Za uskla\u0111enost sa GDPR regulativom bi\u0107e potrebno ulo\u017eiti mnogo vremena i resursa, bez obzira na veli\u010dinu organizacije, ali mo\u017ee se re\u0107i da je re\u017eim za\u0161tite podataka koji se name\u0107e Srbiji i drugim zemljama koje nisu \u010dlanice EU \u201emek\u0161i\u201c jer ne\u0107e uticati na sve kompanije.\u00a0 Ta \u010dinjenica za strane investitore mo\u017ee predstavljati takozvanu konkurentnu prednost jer \u0107e im u nekim slu\u010dajevima olak\u0161ati poslovanje u ovim zemljama. Naime, prema GDPR-u, kompanije koje nisu \u010dlanice EU podle\u017eu novim pravilima za\u0161tite podataka samo ako su njihove aktivnosti obrade podataka vezane za:<\/p>\n
GDPR ne defini\u0161e precizno zna\u010denje pojmova \u201cnu\u0111enje roba ili usluga\u201d, posebno imaju\u0107i u vidu da se preko grani\u010dna ponuda dobara i usluga fizi\u010dkim licima danas uobi\u010dajeno obavlja putem online platformi, kojima se mo\u017ee pristupiti iz celog sveta \u2013 uklju\u010duju\u0107i i zemlje EU. Da bismo procenili rizik koji se odnosi na takve platforme, moramo se osloniti na smisao i svrhu propisa GDPR-a, koji nam mogu dati bolji uvid u procenu samog rizika. [1]<\/a><\/p>\n Jednostavno posedovanje veb stranice \u00a0kojoj mo\u017ee pristupiti osoba sa lokacije iz EU (npr. Budimpe\u0161ta, Ma\u0111arska) i kupiti robu ili uslugu, prema svrsi tih propisa, nije dovoljno za primenu GDPR-a. Sa druge strane, ako veb stranica ima verziju na ma\u0111arskom jeziku, ako jasno navodi da se roba ili usluga mo\u017ee kupiti iz Ma\u0111arske i platiti u evrima, i ako, na primer, postoje pregledi proizvoda koji su u\u010dinili Ma\u0111ari –\u00a0 verovatno \u0107e biti o\u010digledno da veb stranica cilja ba\u0161 na stanovnike EU u Ma\u0111arskoj i tada se primenjuje GDPR.<\/p>\n Dodatno, prema stavovima propisa, kada je re\u010d o pra\u0107enju pona\u0161anja fizi\u010dkih lica koja su u EU – konkretno, kada se fizi\u010dka lica prate na internetu sa ciljem predvi\u0111anja njihovih li\u010dnih \u017eelja, pona\u0161anja i stavova ili dono\u0161enja odluka koje ih se ti\u010du – GDPR \u0107e verovatno biti primenjiv i u tim slu\u010dajevima. U praksi, ovo pra\u0107enje pona\u0161anja se uglavnom odnosi na profilisane i na savremene \/ sofisticirane marketin\u0161ke i promotivne strategije.<\/p>\n U skladu sa gore navedenim kriterijumima, imajte na umu da, ako je cilj stranog investitora da se bavi samo informacijama o rezidentima koji nisu iz EU, takav investitor verovatno ne treba da brine o primeni GDPR \u2013a.[2]<\/a> Na primer, ako ameri\u010dka kompanija namerava da prenese neke od svojih IT funkcija u Srbiju, ona ne bi bila obavezna da se pridr\u017eava pravila iz GDPR-a – \u0161to se samo po sebi mo\u017ee smatrati konkurentskom predno\u0161\u0107u Srbije u pore\u0111enju sa zemljama \u010dlanicama EU.<\/p>\n Me\u0111utim, ako poslovni plan investitora uklju\u010duje aktivnosti koje spadaju pod jedan od gore navedenih kriterijuma, takav investitor \u0107e biti obavezan da u potpunosti po\u0161tuje GDPR, skoro kao da radi u EU. Ova obaveza se primenjuje bilo da taj investitor vr\u0161i poslovanje u Srbiji ili bilo kojoj drugoj dr\u017eavi koja nije \u010dlanica EU. U ve\u0107ini slu\u010dajeva postizanje uskla\u0111enosti sa novim pravilima o za\u0161titi podataka ne\u0107e biti lak zadatak \u2013 s obzirom da novi re\u017eim name\u0107e \u010ditav niz obaveza, od kojih je ve\u0107ina uglavnom \u0161iroko formulisana i zahteva poseban pristup u zavisnosti od situacije.<\/p>\n Na primer, kompanije koje (i) obra\u0111uju li\u010dne podatke u velikoj meri ili koje (ii) obra\u0111uju li\u010dne podatke kao deo svoje osnovne delatnosti du\u017ene su da imenuju posebnog zvani\u010dnika za za\u0161titu podataka. U ovom slu\u010daju, zna\u010denje izraza „veliki obim“ i „osnovna poslovna aktivnost“ podle\u017ee tuma\u010denju, \u0161to u praksi mo\u017ee zahtevati stru\u010dnu pravnu pomo\u0107\u0301. Gre\u0161ke se, u ovom pogledu, lako mogu napraviti \u0161to mo\u017ee dovesti do masovnih nov\u010danih kazni, kako je opisano u nastavku.<\/p>\n GDPR tako\u0111e kodira „pravo da se bude zaboravljen“, ina\u010de poznato kao „pravo na brisanje“. Naime, to zna\u010di da pojedinac, uz odre\u0111ena ograni\u010denja, mo\u017ee od kompanije da zahteva da obri\u0161e sve njegove li\u010dne podatke. Pojedinac tako\u0111e mo\u017ee da zatra\u017ei od kompanije da mu se dostave svi li\u010dni podaci u strukturiranom, \u010desto kori\u0161\u0107enom formatu – \u0161to je poznato kao pravo na „prenosivost podataka“.<\/p>\n Ove dve obaveze dovode do nekoliko pitanja, pre svega – mo\u017eete li identifikovati sve li\u010dne podatke koje va\u0161a organizacija poseduje i koji se odnose na jednu osobu? Da li \u0107e to mo\u0107i da se uradi automatski ili \u0107e biti potrebno vr\u0161iti manuelnu obradu?<\/p>\n Iako je verovatno mogu\u0107e kori\u0161\u0107enje manuelne obrade za re\u0161avanje jednog zahteva, ovaj metod \u010desto nije pogodan za obradu vi\u0161e istovremenih zahteva. Imaju\u0107i to na umu postavlja se pitanje da li je neophodno sprovesti odre\u0111ene promene ili uvesti nove procedure? Ova pitanja su samo neki od primera o kojima investitor treba da brine kada je re\u010d o primeni GDPR \u2013a odnosno o tome da li se ova regulative odnosi na njegov biznis, a na takva pitanja odgovore bi trebalo da pru\u017ee zajedno advokati i IT stru\u010dnjaci i to u me\u0111usobnoj saradnji sa ljudskim resursima i drugim poslovnim jedinicama kompanije.<\/p>\n Postoji jo\u0161 jedna obaveza koju \u017eelimo da spomenemo, a koja posebno uti\u010de na rezidente koji nisu u EU \u2013 a to je\u00a0 obaveza da se imenuje predstavnik u EU.[3]<\/a> Ova obaveza ima dva va\u017ena izdvajanja, jer se ne primenjuju na:<\/p>\n Ako takav predstavnik treba da bude uspostavljen, on mora biti lociran u jednoj od dr\u017eava \u010dlanica EU u kojoj se tako\u0111e nalaze fizi\u010dka lica \u010diji se li\u010dni podaci obra\u0111uju. Drugim re\u010dima, ako nudite robu ili usluge npr. francuskom ili ma\u0111arskom stanovni\u0161tvu, onda morate odrediti predstavnika u tim zemljama – \u0161to zna\u010di da bi imenovanje predstavnika, na primer, na Kipru, bilo nedovoljno.<\/p>\n Nadle\u017eni organi i subjekat podataka mogu se obratiti ovom predstavniku u vezi sa svim pitanjima koja se ti\u010du GDPR-a, me\u0111utim oni mogu odabrati opciju i da se neposredno obrate subjektu koji nije u EU. U slu\u010daju neusagla\u0161enosti sa GDPR-om, predstavnik mo\u017ee biti predmet izvr\u0161nog postupka, \u0161to zna\u010di da se u nekim slu\u010dajevima ova uloga mo\u017ee smatrati opasnom.<\/p>\n Kao \u0161to je spomenuto gore i kao ne\u0161to o \u010demu se \u010desto raspravlja u pravnim krugovima, nov\u010dane kazne koje nametne GDPR su vi\u0161e nego zna\u010dajne, \u0161to je verovatno jedan od glavnih razloga zbog kojeg se GDPR -u posve\u0107uje toliko pa\u017enje \u0161irom sveta.<\/p>\n U slu\u010daju zna\u010dajnog kr\u0161enja pravila o za\u0161titi podataka, ove kazne mogu iznositi i do dvadeset miliona evra ili 4% ukupnog godi\u0161njeg prometa iz prethodne finansijske godine, u zavisnosti koja cifra od te dve je vi\u0161a. Za manje zna\u010dajne povrede, kazne \u0107e se pove\u0107ati na vi\u0161e od deset miliona evra ili 2% od ukupnog godi\u0161njeg prometa.<\/p>\n Osim pomenutih nov\u010danih kazni, rizici izme\u0111u ostalog uklju\u010duju i \u0161tetu nanetu ugledu kompanije, a posebno ovaj rizik je sve va\u017eniji zbog nedavne pa\u017enje medija u vezi sa zloupotrebom li\u010dnih podataka.<\/p>\n Da zaklju\u010dimo:<\/strong><\/p>\n Po\u0161to je GDPR stupio na snagu 25. maja 2018. godine, preporu\u010dljivo je zapo\u010deti sa neophodnim pripremama kako bi se izbeglo nepo\u0161tovanje i kako bi se ubla\u017eili rizici vezani za novu regulativu za za\u0161titu podataka o li\u010dnosti. Prvi korak u pripremama bi bio procena da li GDPR va\u017ei za predmetnu kompaniju – \u0161to mo\u017ee zahtevati sveobuhvatnu analizu poslovanja kompanije. Ako je zaklju\u010dak analize da je GDPR primenjiv, onda je neophodno pripremiti i pratiti plan koraka koji \u0107e obuhvatati sve obaveze koje nametne GDPR. Imajte na umu da, ako se poslovanje predmetne kompanije zna\u010dajno oslanja na bavljenje li\u010dnim podacima, spomenuti postupak za postizanje usagla\u0161enosti treba zapo\u010deti \u0161to je pre mogu\u0107e – jer bi ga te\u0161ko bilo ubrzati.<\/p>\n Ovde smo spomenuli samo neke od obaveza vezanih za za\u0161titu podataka, jer sam GDPR je dokument od 88 strana sa razli\u010ditim obavezama i nijansama i stoga se ne mo\u017ee u potpunosti opisati u ovom formatu. Me\u0111utim, ako odlu\u010dite da vam je potrebna pravna pomo\u0107\u0301 u vezi sa primenom GDPR-a u jurisdikciji koja nije \u010dlanica EU,[4]<\/a> Advokatska kancelarija Gecic\u0301<\/strong> vam stoji na raspolaganju za sve dodatne informacije.<\/p>\n <\/p>\n [1]<\/a> Vidi stavove 23. i 24. GDPR-a<\/p>\n [2]<\/a> Upotrebili smo izraz \u201everovatno\u201c zato \u0161to jo\u0161 nije jasno dokle \u0107e i\u0107i primena GDPR-a na rezidentima koji nisu iz EU a koji rade ili putuju u Evropskoj uniji.<\/p>\n [3]<\/a> Za vi\u0161e detalja, vidi \u010dlanove 9., 10. i 27. GDPR-a<\/p>\n\n