ЗЗЛП наспроти ГДПР: разлики за фирми што работат со ЕУ

Компанија за развој на софтвер во Скопје го применува Законот за заштита на личните податоци (ЗЗЛП) веќе неколку години: има регистар на активности на обработка, определено лице за заштита на податоци, политики за рокови на чување и процедура за пријавување прекршување на безбедноста. Кога тимот за набавки на нов клиент од ЕУ побарал потпис на модул за стандардни договорни клаузули (SCC) како дел од договорот за услуги, одговорниот менаџер бил збунет: „веќе имаме закон моделиран според ГДПР — зошто ни треба уште еден посебен документ?“ Прашањето е разбирливо, но одговорот бара да се раздели она што навистина е заедничко меѓу двата закона од она што само изгледа заедничко.

Заедничко потекло, но не идентични рамки

Законот за заштита на личните податоци (Службен весник бр. 42/2020), целосно применлив од август 2021 година, е свесно моделиран според Општата регулатива за заштита на податоците на ЕУ (ГДПР) — дел од долгорочниот процес на усогласување на македонското законодавство со правото на ЕУ. Затоа преклопувањето во начела е реално, не козметичко: правно основание за обработка, минимизирање на податоци, рокови на чување, известување за прекршување на безбедноста на податоци во определен рок, права на субјектите на податоци (пристап, бришење, приговор), и обврска за проценка на влијанието кај обработки со висок ризик. Компанија со зрела ЗЗЛП практика веќе има изградено голем дел од оперативните навики што ѝ требаат и за ГДПР. Но „моделиран според“ не значи „правно еквивалентен на“ и не значи „автоматски ги исполнува условите на“.

Јурисдикцискиот опфат: вистинската разлика

ЗЗЛП, како домашен закон, го уредува просторот во кој важи македонската јурисдикција — обработка на податоци на жители на Северна Македонија и обработка што фактички се врши на територијата на земјата. ГДПР се активира по два одделни пата: првиот е класичен — контролор или обработувач со деловно седиште во ЕУ; вториот е екстратериторијален, преку член 3, став 2 — компанија надвор од ЕУ што им нуди стоки или услуги на лица во ЕУ, или го следи нивното однесување. Овие два опфата не се преклопуваат автоматски. Македонска компанија може истовремено да биде целосно во опфатот на ЗЗЛП за својата домашна обработка на податоци на вработени и клиенти, и во опфатот на ГДПР за конкретните активности насочени кон ЕУ — при што ниту еден од двата закона не го заменува другиот во својата сопствена сфера.

Надзорен орган: АЗЛП не е „ГДПР-полиција“ за вашата ЕУ-активност

Агенцијата за заштита на личните податоци (АЗЛП) е надлежен орган за ЗЗЛП и само за ЗЗЛП. За активностите на компанијата опфатени со ГДПР, АЗЛП нема мандат — надлежен е соодветниот надзорен орган во земјата-членка каде се наоѓаат засегнатите лица или каде е назначен претставникот на компанијата по член 27 од ГДПР. Спремноста за инспекција од страна на АЗЛП не е доказ за ГДПР-спремност за ЕУ-насочените активности, и не треба да се третира како таква пред клиент или ревизор од ЕУ.

Практичната разлика што најмногу изненадува: пренос на податоци

Ова е точката каде многу компании погрешно претпоставуваат дека сличноста на законите решава сè. Според член 45 од ГДПР, Европската комисија може да донесе одлука за соодветност (adequacy decision) за одредена трета земја, со што преносот на лични податоци од ЕУ кон таа земја станува значително поедноставен, без потреба од дополнителна договорна заштита. Швајцарија, Обединетото Кралство и уште неколку земји имаат таква одлука. Северна Македонија, до моментот на пишување на овој текст, нема таква одлука за соодветност. Тоа значи дека кога ЕУ-компанија испраќа лични податоци на македонска компанија (на пример, база на клиенти, податоци за вработени или технички логови), тоа претставува пренос на податоци кон трета земја во смисла на ГДПР — и бара посебен правен механизам, најчесто стандардни договорни клаузули на Европската комисија (SCC), потпишани помеѓу извозникот на податоци во ЕУ и увозникот во Северна Македонија. Ова важи независно од тоа колку добро развиена е ЗЗЛП програмата на македонската компанија.

Санкции: различна логика, различна изложеност

ГДПР предвидува глоби до 20 милиони евра или 4% од вкупниот годишен светски промет на компанијата, во зависност од тоа кој износ е повисок — надлежност што ја применуваат надзорните органи во ЕУ. ЗЗЛП има сопствен, домашен режим на прекршочни санкции, со сосема поинаква логика и обем од оној на ГДПР. Точниот износ на актуелните прекршочни казни по ЗЗЛП вреди да се провери директно кај АЗЛП пред да се потпре на бројка од трет извор — тука намерно не наведуваме конкретна сума, за да не пренесеме застарена или неточна информација. Она што е сигурно е дека станува збор за два одделни санкциски режими, применети од два одделни органи, и дека усогласеноста со едниот не ја намалува изложеноста кон другиот.

Список за проверка пред следниот клиентски одит

• Разграничете кои обработки се чисто домашни (опфатени со ЗЗЛП) наспроти оние насочени кон ЕУ или кон лица во ЕУ (опфатени со ГДПР).
• Проверете дали примате лични податоци од клиент или партнер во ЕУ како увозник — ако да, обезбедете стандардни договорни клаузули или друг признат механизам за пренос.
• Проверете дали ви треба претставник во ЕУ по член 27 од ГДПР, доколку компанијата им нуди стоки или услуги на лица во ЕУ, или го следи нивното однесување.
• Ажурирајте ги политиката за приватност и договорите за обработка на податоци да ги рефлектираат и ЗЗЛП и ГДПР одделно, наместо еден генерички документ што тврди дека ги покрива и двете.
• Проверете дали договорите со добавувачи и подобработувачи содржат клаузули и за ЗЗЛП, и за ГДПР — не само за едниот од двата закона.
• Проверете ја тековната состојба на одлуките за соодветност на ЕУ пред да претпоставите дека таа не важи или дека важи за Северна Македонија.

Информациите погоре се од општ карактер и не претставуваат правен совет за конкретната состојба на вашата компанија. Точниот однос меѓу ЗЗЛП и ГДПР зависи од видот на податоците, улогата на компанијата и договорите со партнерите во ЕУ — детали што ниту еден општ текст не може целосно да ги опфати. Komplya јасно разграничува кои содржини се правно прегледани и кои остануваат работна верзија, за да знаете со колкава сигурност можете да се потпрете на нив.

Наједноставниот следен чекор не е нова политика за приватност напишана од нула, туку документ што ги покрива и ЗЗЛП и ГДПР обврските одделно, засновани на вашите конкретни активности со ЕУ — наместо генерички шаблон преземен од интернет. Генерирајте персонализирана политика за приватност во Komplya, изготвена врз основа на податоците што реално ги обработувате и клиентите со кои реално работите.