Da li se GDPR odnosi na srpske kompanije koje izvoze u EU?

Vaša softverska kuća iz Novog Sada radi na fiksnom ugovoru za nemačkog klijenta već treću godinu, ili Vaša firma iz automobilske industrije u okolini Kragujevca isporučuje delove kooperantu koji dalje snabdeva EU proizvođača automobila. Nedavno je nemački partner tražio da potpišete ugovor o obradi podataka (DPA) usklađen sa GDPR-om, ili je EU klijent u upitniku za dobavljače pitao ko je Vaš predstavnik u Evropskoj uniji prema članu 27. GDPR-a. Prva reakcija je često: imamo Zakon o zaštiti podataka o ličnosti od 2019, radimo po pravilima sličnim GDPR-u, znači pokriveni smo. To nije tačno, i razlika između te dve tvrdnje je upravo ono što EU partneri proveravaju.

Domaći zakon i GDPR nisu ista stvar, čak i kad liče

Zakon o zaštiti podataka o ličnosti Republike Srbije, u primeni od avgusta 2019. godine, u velikoj meri je modelovan po GDPR-u kao deo procesa usklađivanja sa pravom EU pred pristupanje. Principi su gotovo identični: zakonitost i transparentnost obrade, ograničenje svrhe, minimizacija podataka, prava lica na koja se podaci odnose, obaveza prijave povrede podataka, u određenim slučajevima i lice za zaštitu podataka o ličnosti. Ono što taj zakon ne radi jeste da Vašoj firmi automatski daje status usklađenosti sa GDPR-om kada obrađujete podatke lica koja se nalaze u Evropskoj uniji. To su dva odvojena pravna režima, sa različitim nadležnim telima, koji se u praksi mogu primenjivati istovremeno na istu firmu, svaki na svoj deo aktivnosti.

Član 3. stav 2. GDPR-a: kada evropsko pravo važi za srpsku firmu

GDPR sadrži sopstveno pravilo o teritorijalnoj primeni koje ne zavisi od toga gde je firma registrovana. Prema članu 3. stavu 2, GDPR se primenjuje na obradu ličnih podataka lica koja se nalaze u Uniji od strane rukovaoca ili obrađivača koji nema sedište u EU, kada je ta obrada povezana sa ponudom robe ili usluga takvim licima (bez obzira na to da li se od njih traži plaćanje) ili sa praćenjem njihovog ponašanja u meri u kojoj se to ponašanje odvija u Uniji. Za srpsku firmu to znači: ako imate veb-šop koji prodaje potrošačima u Nemačkoj ili Austriji, ako Vaš SaaS proizvod ima aktivne korisnike u Francuskoj, ako Vaš sajt koristi analitiku ili kolačiće koji prate posetioce iz EU, ili ako kao IT autsorsing partner obrađujete lične podatke krajnjih korisnika proizvoda Vašeg EU klijenta po njegovim instrukcijama — za tu konkretnu aktivnost GDPR se primenjuje na Vašu firmu, uporedo sa domaćim zakonom koji i dalje važi za obradu podataka srpskih rezidenata i zaposlenih u Srbiji.

Bitna razlika je i uloga: ako sami određujete svrhu i sredstva obrade (npr. prikupljate podatke posetilaca sajta radi sopstvenog marketinga), Vi ste rukovalac prema GDPR-u za tu obradu. Ako obrađujete podatke isključivo po pisanim instrukcijama EU klijenta — čest slučaj kod IT autsorsinga i razvoja softvera po narudžbini — Vi ste obrađivač, a GDPR član 28. postavlja konkretne ugovorne zahteve koje takav odnos mora ispuniti, nezavisno od toga što isti podaci možda nikad fizički ne borave u Srbiji.

Ko nadzire šta, i zašto Poverenik nije adresa za GDPR pitanja

Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti nadležan je za primenu domaćeg Zakona o zaštiti podataka o ličnosti u Srbiji. Za deo Vaše obrade koji potpada pod GDPR na osnovu člana 3. stava 2 — dakle za aktivnosti usmerene ka licima u EU — nadležnost u principu ima nadzorno telo za zaštitu podataka u državi članici EU u kojoj se nalaze ta lica, ili u kojoj je Vaš predstavnik po članu 27, zavisno od okolnosti. Poverenikova saglasnost ili odsustvo primedbi na Vašu domaću dokumentaciju ne znači i ne dokazuje usklađenost sa GDPR-om za taj EU-usmereni deo poslovanja — to su odvojena pitanja, pred odvojenim telima.

Šta proveriti pre nego što potpišete sledeći ugovor sa EU partnerom

Konkretan popis pitanja, aktivnost po aktivnost, umesto uopštene procene celog poslovanja:

• Nudi li Vaša firma robu ili usluge fizičkim licima u EU direktno — veb-prodaja, pretplate, aplikacije sa krajnjim korisnicima u EU?
• Prati li Vaš sajt ili proizvod ponašanje posetilaca iz EU putem kolačića, analitike ili profilisanja?
• Obrađujete li lične podatke po instrukcijama EU klijenta kao obrađivač (tipično kod IT autsorsinga i razvoja softvera), i imate li potpisan ugovor o obradi podataka usklađen sa članom 28. GDPR-a?
• Ako neka od gornjih aktivnosti postoji, imate li određenog predstavnika sa sedištem u EU prema članu 27. GDPR-a, ili proveru da izuzetak za povremenu obradu stvarno važi u Vašem slučaju?
• Da li Vaša interna evidencija obrade jasno razdvaja obradu koja potpada isključivo pod domaći zakon od obrade koja dodatno potpada pod GDRP na osnovu člana 3. stava 2?

Cena greške nije samo teoretska

Kazne po GDPR-u dostižu do 20 miliona evra ili 4% ukupnog godišnjeg prometa firme na globalnom nivou, u zavisnosti od toga koji je iznos veći — i taj okvir važi za srpsku firmu jednako kao za firmu iz Nemačke ili Francuske, za onaj deo obrade koji potpada pod član 3. stav 2. U praksi, za većinu srpskih izvoznika i IT autsorsing firmi prvi signal retko dolazi od evropskog nadzornog tela — dolazi od EU klijenta ili partnera koji u postupku provere dobavljača traži dokaz usklađenosti, ugovor o obradi podataka ili podatak o predstavniku u EU, i ne dobije jasan odgovor.

Ovaj tekst predstavlja opštu informaciju, a ne pravni savet prilagođen Vašoj konkretnoj situaciji. Tačna primena GDPR-a zavisi od toga koje podatke obrađujete, u kojoj ste ulozi prema svakoj konkretnoj obradi (rukovalac ili obrađivač) i šta tačno zahteva Vaš EU partner — detalje koje nijedan opšti tekst ne može u potpunosti obuhvatiti. Komplya u svom sadržaju jasno razlikuje ono što je pravno provereno od onoga što je radni materijal, kako biste znali sa kolikom sigurnošću se na pojedini deo teksta možete osloniti.

Najbrži način da od opšte slike dođete do konkretnog odgovora za Vašu firmu jeste da prođete kratak upitnik primenljivosti kompanije Komplya — besplatno, bez kartice — i dobijete jasan pregled toga koje obaveze iz GDPR-a i domaćeg zakona se odnose na Vaše konkretno poslovanje sa EU.