U prethodnoj Uredbi 45/2001 već je utvrđeno da svaki EUIB mora imati službenika za zaštitu podataka. EUDPR-om dana je veća vidljivost toj ulozi uvođenjem načela odgovornosti. To znači da voditelj obrade mora moći dokazati usklađenost s pravilima o zaštiti podataka i da je odgovoran za to.

Brojni EUIB-ovi, kao što su Komisija, Europska središnja banka i Europska služba za vanjsko djelovanje, izvijestili su o očitom porastu zahtjeva pojedinaca u razdoblju od 2018. do 2021. Međutim, kod drugih, kao što su Sud Europske unije, Europski gospodarski i socijalni odbor te Agencija Europske unije za azil, brojke su bile stabilne ili oscilirale bez jasnog trenda. Još nije moguće utvrditi jasan trend u broju zahtjeva ispitanika nakon stupanja na snagu EUDPR-a s obzirom na to da se način bilježenja različitih vrsta zahtjeva razlikuje ovisno o EUIB-u.

Svi EUIB-ovi, osim dvaju, vode evidenciju o postupcima obrade u središnjem registru. Iako to nije poseban zahtjev u okviru EUDPR-a, to je primjer dobre prakse koju preporučuje i Europski nadzornik za zaštitu podataka. Nadalje, 72 % EUIB-ova evidentiralo je sve svoje obavijesti službeniku za zaštitu podataka u skladu s prethodnom Uredbom. Oni koji još nisu dovršili tu zadaću trebali bi pregledati i ažurirati dokumentaciju o svojim postupcima obrade kako bi se osiguralo da je potpuna i ažurirana.

3.5.Procjene učinka na zaštitu podataka

Najveći broj procjena učinka na zaštitu podataka proveli su Europska središnja banka, Europska investicijska banka i Komisija. U usporedbi s nekadašnjim sustavom „prethodne provjere” u skladu s Uredbom 45/2001, broj predmeta poslanih Europskom nadzorniku za zaštitu podataka znatno se smanjio. To je bila očekivana posljedica te promjene, kao i smanjenje savjetovanja s Europskim nadzornikom za zaštitu podataka o postupcima administrativne obrade, poput postupka ocjenjivanja osoblja.

U tablici 1. u Prilogu prikazan je pregled procjena učinka na zaštitu podataka koje su proveli EUIB-ovi u razdoblju od 2019. do 2021.

Gotovo svi (94 %) EUIB-ovi složili su se da kriteriji EUDPR-a za slučajeve u kojima moraju provoditi procjene učinka na zaštitu podataka na odgovarajući način obuhvaćaju visokorizične postupke obrade. Oni koji se nisu složili istaknuli su da je potrebno da Europski nadzornik za zaštitu podataka pri tumačenju tih kriterija uzme u obzir tehnološki razvoj. Na primjer, računalstvo u oblaku više nije „nova” tehnologija i to bi trebalo uzeti u obzir pri procjeni je li potrebno provesti procjene učinka na zaštitu podataka. EUIB-ovi koji su postavili to pitanje obično smatraju da je sam pravni tekst dovoljno jasan i da je to pitanje tumačenja Europskog nadzornika za zaštitu podataka.

EUDPR ne sadržava posebnu obvezu objavljivanja rezultata procjena učinka na zaštitu podataka. Većina (84 %) EUIB-ova ne objavljuje procjene učinka na zaštitu podataka koje su proveli, dok ih njih 14 % objavljuje djelomično ili kao sažetak, čime se uklanjaju informacije koje bi mogle ugroziti donesene sigurnosne zaštitne mjere. Samo je jedan EUIB naveo da u cijelosti objavljuje svoje procjene učinka na zaštitu podataka. Objava procjena učinka na zaštitu podataka, prema potrebi uklanjanje informacija koje bi ugrozile sigurnost postupaka obrade, povećava transparentnost u pogledu usklađenosti EUIB-ova s pravilima EUDPR-a i dobra je praksa koju preporučuje Europski nadzornik za zaštitu podataka.

3.6.Međunarodni prijenosi podataka

Gotovo svi EUIB-ovi (91 %) izvijestili su da njihove aktivnosti uključuju međunarodne prijenose osobnih podataka. To uključuje prijenose podataka zemljama koje nisu članice EU-a/EGP-a te međunarodnim organizacijama. Međutim, nekoliko EUIB-ova navelo je da su ti prijenosi rijetki ili se odnose samo na ograničenu količinu osobnih podataka. Kad je riječ o upotrijebljenim alatima za prijenos, EUIB-ovi su uglavnom upućivali na odluke o primjerenosti (donesene na temelju OUZP-a ili Direktive o zaštiti podataka pri izvršavanju zakonodavstva) i ugovorne instrumente, na primjer za prijenose podataka privatnim poduzećima. Za prijenose podataka javnim tijelima upotrebljavaju se i drugi alati, kao što su pravno obvezujući sporazumi i administrativni dogovori. Osim toga, 51 % EUIB-ova navelo je da provode ograničene, povremene prijenose, primjerice radi organizacije osposobljavanja, na temelju zakonskih razloga za prijenose podataka („odstupanja”).

U praksi prijenose podataka obično ne obavljaju izravno EUIB-ovi, nego izvršitelji obrade podataka (koji nisu EUIB-ovi) koji djeluju u njihovo ime. Komisija se stoga posebno osvrnula na taj scenarij u standardnim ugovornim klauzulama donesenima na temelju OUZP-a u lipnju 2021. kako bi pomogla voditeljima obrade i izvršiteljima obrade da ispune zahtjeve iz OUZP-a i EUDPR-a. Konkretno, izvršitelji obrade u Europskom gospodarskom prostoru (EGP) imaju mogućnost uključiti te standardne ugovorne klauzule za međunarodne prijenose podataka u ugovore sa svojim podizvršiteljima obrade u trećim zemljama. Time se osigurava usklađenost s pravilima EUDPR-a o angažiranju podizvršitelja obrade u ime EUIB-ova, pod uvjetom da su obveze zaštite podataka usklađene u ugovorima između: i. EUIB-a i izvršitelja obrade te ii. izvršitelja obrade i njegova podizvršitelja. Konkretno, EUIB-ovi mogu osigurati takvo usklađivanje primjenom standardnih ugovornih klauzula koje je Komisija donijela za uređivanje odnosa između voditelja obrade i izvršitelja obrade.

Kako bi se pružili dodatni alati kojima se osiguravaju odgovarajuće zaštitne mjere za izravne prijenose podataka iz EUIB-ova u treće zemlje (tj. bez sudjelovanja izvršitelja obrade iz EU-a/EGP-a), Komisija trenutačno razvija standardne ugovorne klauzule u skladu s člankom 48. stavkom 2. točkom (b) EUDPR-a. Te će klauzule u najvećoj mogućoj mjeri biti usklađene s postojećim klauzulama donesenima na temelju OUZP-a.

Naposljetku, s obzirom na posebna pitanja koja se javljaju pri prijenosu osobnih podataka međunarodnim organizacijama (na primjer zbog statusa međunarodnih organizacija i primjenjivih povlastica i imuniteta), Komisija surađuje sa službenicima za zaštitu podataka EUIB-a kako bi razvila posebne alate (npr. administrativne aranžmane) prilagođene takvim prijenosima.

4.Aktivnosti Europskog nadzornika za zaštitu podataka

4.1.Europski nadzornik za zaštitu podataka kao nadzorno tijelo za zaštitu podataka za EUIB-ove

Europski nadzornik za zaštitu podataka neovisno je nadzorno tijelo za zaštitu podataka za EUIB-ove, koje odražava ulogu nacionalnih nadzornih tijela za zaštitu podataka osnovanih u državama članicama u skladu s OUZP-om i LED-om.

U tablici 2. u Prilogu prikazan je pregled aktivnosti Europskog nadzornika za zaštitu podataka u razdoblju od 2018. do 2021. Od stupanja na snagu EUDPR-a 11. prosinca 2018. podaci za 2018. služe kao polazna točka za usporedbu sa stanjem iz prethodne Uredbe 45/2001.

Europski nadzornik za zaštitu podataka istaknuo je pomak prema glavnoj aktivnosti EUIB-ova kad je riječ o temama savjetovanja koje je od njih primio od početka primjene EUDPR-a. To znači pomak prema pitanjima o obradi osobnih podataka za obavljanje zadaća dodijeljenih EUIB-ovima u javnom interesu i udaljavanje od „administrativnih” tema, kao što je upravljanje osobljem.

Od 2019. do 2021. povećao se broj nedopuštenih pritužbi koje je zaprimio Europski nadzornik za zaštitu podataka. Većina pritužbi koje su proglašene nedopuštenima podnesena je protiv voditelja obrade u državama članicama, koje ne nadzire Europski nadzornik za zaštitu podataka, nego njihova nacionalna tijela za zaštitu podataka. Brojke za 2018. bile su veće najvjerojatnije jer se OUZP počeo primjenjivati. To je dovelo do veće informiranosti o pravilima o zaštiti podataka među stanovništvom, ali i do povećanja broja nedopuštenih pritužbi. Europski nadzornik za zaštitu podataka može zaključiti i prihvatljive pritužbe ako je pronađeno sporazumno rješenje.

Kad je riječ o inspekcijama i revizijama, 2019. zabilježeno je povećanje u odnosu na polaznu vrijednost iz 2018., nakon čega je uslijedilo smanjenje 2020. i 2021. To se može objasniti time što je pandemija bolesti COVID-19 otežala provjere na licu mjesta i zamijenila ih revizijama na daljinu. Europski nadzornik za zaštitu podataka procjenjuje rizike kako bi odlučio koje će EUIB-ove provjeravati. Time se, primjerice, uzima u obzir broj podnesenih savjetovanja, posebno kada se posebne kategorije podataka obrađuju u okviru glavne aktivnosti EUIB-a. Europski nadzornik za zaštitu podataka može i odlučiti provesti istrage na vlastitu inicijativu, npr. o tome kako EUIB koristi pružatelje usluga u oblaku.

Kad je riječ o povredama podataka, Europski nadzornik za zaštitu podataka izvijestio je da je u većini slučajeva ljudska pogreška bila temeljni uzrok, nakon čega slijede tehničke pogreške i vanjski napadi.

Europski nadzornik za zaštitu podataka iskoristio je većinu svojih ovlasti na temelju EUDPR-a, uključujući, na primjer, nametanje privremene zabrane postupaka obrade. Do sada nije iskoristio svoju novu ovlast za izricanje administrativnih novčanih kazni, što je krajnja mjera u okviru EUDPR-a.

Europski nadzornik za zaštitu podataka u svojem je doprinosu ovom izvješću istaknuo i da je uložio vrijeme u aktivnosti informiranja, kao što je osposobljavanje, u kojima je procijenjeni broj sudionika dosegnuo vrhunac 2019. (njih više od 4 600), nakon stupanja na snagu EUDPR-a. Iako se broj sudionika 2020. i 2021. smanjio u odnosu na taj vrhunac, i dalje je znatno viši od osnovnog iznosa od procijenjenih 1 000 sudionika 2018.