Uredbom se tijelima za zaštitu podataka daju veće provedbene ovlasti. Za razliku od zabrinutosti koje su neki dionici izrazili prije svibnja 2018., nacionalna tijela za zaštitu podataka usvojila su uravnotežen pristup provedbenim ovlastima. Usmjerili su se na dijalog, a ne na sankcije, posebno za najmanje subjekte koji ne obrađuju osobne podatke kao osnovnu djelatnost. Istodobno su se učinkovito koristili svojim novim ovlastima kad god je to bilo potrebno, među ostalim pokretanjem istraga u području društvenih medija i izricanjem upravnih novčanih kazni u rasponu od nekoliko tisuća eura do nekoliko milijuna eura, ovisno o težini povrede pravila o zaštiti podataka.

U prekograničnim predmetima svako tijelo za zaštitu podataka više nije samo nacionalno tijelo, nego je dio postupka na razini EU-a u svim fazama, od istrage do odluke. Takva bliska suradnja postala je svakodnevna praksa: do kraja lipnja 2019. u okviru mehanizma suradnje riješeno je 516 prekograničnih predmeta.

Općenito, trgovačka društva navela su da su mogla provesti nova prava ispitanika, iako je ponekad bilo teško poštovati rokove zbog povećanog broja zahtjeva i njihova opsežnijeg karaktera ili provjeriti identitet podnositelja zahtjeva.

Utjecaj na inovacije

Uredbom se ne samo omogućuje, nego se i potiče razvoj novih tehnologija, uz istodobno poštovanje temeljnog prava na zaštitu osobnih podataka. To je slučaj u područjima kao što je umjetna inteligencija.

Trgovačka društva počela su razvijati ponudu novih usluga kojima se više štiti privatnost. Na primjer, tražilice koje ne prate korisnike ili se koriste bihevioralnim oglašavanjem, sve više stječu tržišne udjele u nekim državama članicama. Druga poduzeća razvijaju usluge koje se temelje na novim pravima dodijeljenima pojedincima, kao što su prenosivost njihovih osobnih podataka. Sve veći broj trgovačkih društava promicao je poštovanje osobnih podataka kao konkurentsku prednost i ono što privlači kupca. Ta kretanja nisu ograničena na EU, nego se odnose i na vrlo inovativna strana gospodarstva.

Posebna situacija mikropoduzeća i malih poduzeća „niskog rizika”

Iako se situacija među državama članicama razlikuje, mikropoduzeća i mala poduzeća koja ne obrađuju osobne podatke u okviru svoje temeljne poslovne aktivnosti bila su među dionicima koji su imali najviše pitanja o primjeni Uredbe. Mada se čini da se ta pitanja djelomično temelje na nedostatku svijesti o pravilima o zaštiti podataka, njihove zabrinutosti ponekad pogoršavaju i kampanje konzultantskih društava za pružanje plaćenog savjetovanja širenjem netočnih informacija, primjerice u pogledu potrebe za sustavnim dobivanjem pristanka od pojedinaca te dodatnim zahtjevima koji se nameću na nacionalnoj razini.

U tom kontekstu mikropoduzeća i mala poduzeća pozivaju na izradu smjernica koje su prilagođene njihovoj specifičnoj situaciji i sadržavaju vrlo praktične informacije. Neka tijela za zaštitu podataka već su to učinila na nacionalnoj razini. Kako bi dopunila nacionalne inicijative, Komisija je izdala informativni materijal kako bi se takvim poduzećima pomoglo da se usklade s novim pravilima nizom praktičnih koraka.

Korištenje alatima iz Uredbe

U Uredbi se navode alati za dokazivanje usklađenosti, kao što su standardne ugovorne klauzule, kodeksi ponašanja i novouvedeni mehanizmi certificiranja.

Standardne ugovorne klauzule ogledne su klauzule koje se mogu na dobrovoljnoj osnovi uključiti u ugovor, primjerice između voditelja obrade podataka i izvršitelja obrade podataka te kojima se utvrđuju obveze ugovornih stranaka na temelju Uredbe. Uredbom se proširuju mogućnosti upotrebe standardnih ugovornih klauzula za međunarodne prijenose i unutar EU-a. U području međunarodnih prijenosa, njihova široka upotreba ukazuje na to da su vrlo korisne trgovačkim društvima u njihovim nastojanjima za postizanje usklađenosti te od posebne koristi poduzećima koja nemaju dovoljno sredstava za pregovaranje o pojedinačnim ugovorima sa svakim od svojih izvođača za obradu podataka.

Niz sektora također smatra i da je donošenje standardnih ugovornih klauzula koristan način poticanja usklađivanja, osobito kada ih donosi Komisija. Komisija će surađivati s dionicima kako bi iskoristila mogućnosti iz Uredbe i ažurirala postojeće klauzule.

Pridržavanje kodeksa ponašanja još je jedan operativni i praktični alat na raspolaganju industriji kako bi se olakšalo dokazivanje usklađenosti s Uredbom. Te bi kodekse trebale izrađivati trgovinske udruge ili tijela koja predstavljaju kategorije voditelja i izvršitelja obrade podataka te bi trebale opisati kako se pravila o zaštiti podataka mogu provoditi u određenom sektoru. Usklađivanjem obveza i rizika, mogu se pokazati i kao vrlo koristan i troškovno učinkovit način ispunjavanja obveza malih i srednjih poduzeća.

Konačno, certificiranje isto tako može biti koristan instrument za dokazivanje usklađenosti s posebnim zahtjevima iz Uredbe. Može povećati pravnu sigurnost za trgovačka društva i globalno promicati Uredbu. Smjernicama za certifikaciju i akreditaciju, koje je nedavno donio Europski odbor za zaštitu podataka, omogućit će se razvoj programa certificiranja u EU-u. Komisija će pratiti ta kretanja i, prema potrebi, iskoristiti ovlasti iz Uredbe za utvrđivanje zahtjeva za certifikaciju. Komisija može izdati i zahtjev za normizaciju tijelima EU-a za normizaciju u pogledu elemenata koji su relevantni za Uredbu.

VI.Napredak uzlazne konvergencije na međunarodnoj razini

Potražnja za zaštitom osobnih podataka nije ograničena samo na EU. Kako je vidljivo iz nedavne globalne ankete o internetskoj sigurnosti, nedostatak povjerenja diljem svijeta sve je veći, zbog čega ljudi mijenjaju svoj način ponašanja na internetu. Sve veći broj poduzeća bavi se tim pitanjima tako što na vlastitu inicijativu primjenjuje prava koja proizlaze iz Uredbe na kupce iz trećih zemalja.

Osim toga, s obzirom na to da se zemlje diljem svijeta sve više bave sličnim izazovima, same se opremaju novim pravilima o zaštiti podataka ili moderniziraju postojeća. Ti zakoni često imaju niz zajedničkih obilježja koja se upotrebljavaju u okviru sustava EU-a za zaštitu podataka, kao što su sveobuhvatno zakonodavstvo, umjesto sektorskih pravila, provediva pojedinačna prava i neovisno nadzorno tijelo. Taj je trend doista globalan, od Južne Koreje do Tajlanda, od Čilea do Brazila, od Indije do Indonezije. Sve šire univerzalno članstvo u „Konvenciji br. 108” Vijeća Europe, koja je nedavno modernizirana znatnim doprinosom Komisije, još je jedan jasan znak tog trenda uzlazne konvergencije.

Promicanje sigurnog i slobodnog protoka podataka odlukama o primjerenosti i drugim sredstvima

Razvojem konvergencije otvaraju se nove mogućnosti za olakšavanje protoka podataka, a time i trgovine te suradnje među javnim tijelima, uz istodobno povećanje razine zaštite podataka pojedinaca u EU-u koji se prenose u inozemstvo.

Provedbom strategije utvrđene u Komunikaciji iz 2017. o razmjeni i zaštiti osobnih podataka u globaliziranom svijetu Komisija je pojačala svoj angažman s trećim zemljama i drugim međunarodnim partnerima na temelju i daljnjim razvojem elemenata konvergencije među sustavima privatnosti. To je uključivalo istraživanje mogućnosti pripreme nalaza o primjerenosti s odabranim trećim zemljama. U tom su radu ostvareni važni rezultati, posebno stupanje na snagu dogovora o uzajamnoj primjerenosti između EU-a i Japana u veljači 2019. kojim je stvoreno najveće područje slobodnog i sigurnog protoka podataka na svijetu. Pregovori o primjerenosti s Južnom Korejom u naprednoj su fazi te je u tijeku istraživački rad s ciljem pokretanja pregovora o primjerenosti s nekoliko zemalja Latinske Amerike, kao što su Čile ili Brazil, ovisno o dovršetku zakonodavnih postupaka koji su u tijeku. Razvoj događaja obećavajući je i u nekim dijelovima Azije, kao što su Indija, Indonezija i Tajvan te u europskom istočnom i južnom susjedstvu, što bi moglo otvoriti vrata budućim odlukama o primjerenosti.

Komisija istodobno pozdravlja činjenicu da su druge zemlje koje su uvele instrumente za prijenos slične primjerenosti Uredbe priznale da EU i zemlje koje EU priznaje kao „primjerene” osiguravaju potrebnu razinu zaštite. Time se može stvoriti mreža zemalja u kojima podaci mogu slobodno teći.