Pravni okvir i regulacije vezane za digitalni identitet i privatnost

1. Uvod

U današnjem digitalnom društvu, gdje se gotovo sve naše aktivnosti od osobnih komunikacija do financijskih transakcija, odvijaju putem interneta, zaštita privatnosti i sigurnost digitalnih identiteta postali su ključni izazovi. Najave novih tehnologija poput WEB3 u kojem će privatnost i sigurnost biti ključni tek trebaju proći početne korake. Kako bi se osigurala sigurnost korisnika, smanjili rizici od zlonamjernih napada i neovlaštenog pristupa i osigurala pravna zaštita, u još uvijek sveprisutnoj WEB2 tehnologiji, od ključne je važnosti imati odgovarajući pravni okvir i regulacije. Digitalni identiteti koji uključuju osobne podatke, biometrijske podatke, zaporke i druge osjetljive informacije moraju biti zaštićeni zakonskim normama koje definiraju prava korisnika, obveze organizacija i odgovornost za eventualne povrede.

Pravni okvir koji regulira digitalne identitete i privatnost omogućuje postavljanje jasnih smjernica u vezi s prikupljanjem, obradom i pohranom podataka, kao i postupcima u slučaju sigurnosnih incidenata. Također važno je razumjeti ulogu regulatornih tijela u implementaciji zakona, osiguravanju prava na privatnost korisnika i rješavanju transnacionalnih izazova koji nastaju zbog globalne prirode interneta. Klasični zakoni koji su se bavili privatnošću i zaštitom podataka često ne odgovaraju potrebama digitalnog doba, zbog čega je usklađivanje s novim tehnologijama i stalnim promjenama u digitalnom prostoru nužno.

U ovom kontekstu, regulacije poput europske Opće uredbe o zaštiti podataka (GDPR), američkog Zakona o zaštiti privatnosti potrošača (CCPA) i drugih zakona na globalnoj razini pružaju pravnu osnovu za zaštitu digitalnih identiteta. Svi ovi propisi imaju cilj osigurati transparentnost u vezi s upotrebom podataka, jamčiti nadzor korisnicima nad njihovim osobnim informacijama i poduzeti odgovarajuće mjere protiv zloupotreba.

Ovaj pravni okvir nije samo alat za reguliranje ponašanja u digitalnom prostoru, već i važna zaštita prava pojedinaca u svijetu koji je sve više umrežen, povezan i digitaliziran. Razumijevanje tih pravnih normi ključno je za svakog korisnika interneta jer omogućava sigurno i odgovorno sudjelovanje u digitalnoj ekonomiji, a istodobno štiti osnovna ljudska prava na privatnost i osobnu sigurnost.

Kako GDPR štiti osobne podatke korisnika u EU-u i kako se primjenjuje na upravljanje digitalnim identitetom proučite u ovoj knjizi.

2. Kako GDPR štiti podatke korisnika u EU-u

GDPR (Opća uredba o zaštiti podataka) pravni je okvir Europske unije koji štiti osobne podatke građana EU-a i regulira način na koji organizacije prikupljaju, pohranjuju i obrađuju te podatke.

GDPR je usvojen u Europskom parlamentu 27. travnja 2016. godine, a primjenjuje se od 25. svibnja 2018. godine u svim državama članicama.

Opća uredba o zaštiti podataka (GDPR) usvojena je radi jačanja i ujednačivanja regulative, tj. zaštite osobnih podataka unutar Europske unije. Njezina je glavna svrha osigurati privatnost i sigurnost osobnih podataka građana EU-a, pružajući im veći nadzor nad tim podatcima. GDPR propisuje stroge smjernice za prikupljanje, pohranu, obradu i dijeljenje osobnih podataka, čime se nastoji spriječiti njihova zloupotreba ili neovlašteni pristup.
Osim što korisnicima daje veću kontrolu, GDPR također postavlja stroge uvjete za organizacije koje obrađuju osobne podatke, uključujući obvezu provođenja procjena utjecaja na privatnost (DPIA), obavještavanje o povredi podataka i postavljanje odgovarajućih tehničkih i organizacijskih mjera zaštite.

GDPR je popraćen snažnim sankcijama za prekršitelje, uključujući novčane kazne do 20 milijuna eura ili četiri posto ukupnog godišnjeg prometa poduzeća, ovisno o težini prekršaja. Postoje brojni primjeri kada su organizacije dobile kaznene zbog nepoštivanja GDPR-a:

1. Google (2019.) – Francuski regulator CNIL odredio je Googleu kaznu od 50 milijuna eura zbog nepoštivanja GDPR-ovih zahtjeva u vezi s transparentnošću i informiranjem korisnika o njihovim pravima. Prema regulatoru, Google nije jasno objasnio korisnicima kako se njihovi podatci prikupljaju i obrađuju, što je protivno pravilima GDPR-a o informiranju korisnika. Izvor
   
   
2. British Airways (2018.) – Tvrtku je kaznila britanska regulatorna agencija ICO sa 183 milijuna funti (kasnije smanjeno na 20 milijuna) zbog sigurnosnog incidenta u kojem su podatci više od 500.000 korisnika bili izloženi. Pojedinci nisu bili obaviješteni na vrijeme, a prekršeno je nekoliko aspekata GDPR-a u vezi s obradom podataka i pravima korisnika. Izvor
   
   
3. Marriott International (2020.) – Marriott je kažnjen s 18,4 milijuna funti zbog nepoštovanja GDPR-a nakon što je u 2018. godini došlo do sigurnosnog incidenta u kojem su kompromitirani podatci 339 milijuna korisnika. Regulator je ustanovio da Marriott nije poduzeo odgovarajuće mjere zaštite podataka i da nije obavijestio korisnike na vrijeme. Izvor
   
   
4. A1 (2022.) – Agencija za zaštitu osobnih podataka (AZOP) izrekla je telekomunikacijskoj kompaniji A1 kaznu od 2,15 milijuna kuna zbog hakerskog napada u kojem su im kompromitirani podatci oko 100 tisuća korisnika. Izvor

Poveznica na zakon

3. Ključna načela GDPR-a

Zakonitost, poštenost i transparentnost
– Ovo načelo zahtijeva da se osobni podatci obrađuju zakonito, pošteno i na transparentan način prema osobi na koju se podatci odnose. Obrada podataka mora biti utemeljena na jasno definiranoj zakonskoj osnovi, kao što je pristup korisnika (suglasnost), ispunjenje ugovornih obveza, zakonske obveze, zaštita životnih interesa, zadovoljenje javnog interesa ili legitimni interesi voditelja obrade.

Ograničenje svrhe
– Osobni podatci moraju biti prikupljeni za specifične, izričite i legitimne svrhe i kasnije se ne smiju upotrebljavati za druge svrhe koje nisu u skladu s početnom. To znači da organizacija mora jasno definirati i komunicirati korisnicima zašto prikuplja njihove podatke i zašto ih obrađuje i neće ih upotrebljavati za drugu svrhu.

Primjer: Ako organizacija prikuplja podatke za ispunjenje narudžbe (npr. ime, adresu, broj telefona), ti se podatci ne smiju upotrijebiti za slanje marketinških materijala, osim ako korisnik nije izričito pristao na to.

Smanjenje količine podataka
– Ovo načelo znači da se prikupljaju samo oni podatci koji su nužni za ostvarenje postavljenih ciljeva. Organizacije ne smiju prikupljati ili obrađivati podatke koji nisu relevantni ili neophodni za zadovoljenje svrhe obrade.

Primjer: Ako organizacija želi obraditi narudžbu, trebala bi prikupljati samo podatke koji su relevantni za ispunjenje te narudžbe (npr. ime, adresa, kontakt informacije), a ne dodatne podatke poput hobija korisnika.

Točnost podataka
– Osobni podatci moraju biti točni i kada je to potrebno, ažurirani. Organizacija mora poduzeti sve razumne mjere kako bi osigurala da su netočni podatci odmah ispravljeni ili izbrisani. Ovo načelo osigurava da korisnici ne budu oštećeni zbog netočnih informacija koje bi mogle biti upotrijebljene protiv njih.

Primjer: Ako korisnik promijeni svoju adresu, organizacija treba ažurirati podatke kako bi izbjegla slanje paketa na staru adresu.

Ograničenje pohrane
– Osobni podatci smiju se pohranjivati samo toliko dugo koliko je neophodno za svrhu za koju su prikupljeni. Nakon što podatci više nisu potrebni, moraju biti izbrisani ili anonimizirani kako bi se spriječila daljnja obrada. Ovo načelo osigurava da podatci ne ostaju pohranjeni dulje nego što je nužno, čime se smanjuje rizik od zloupotrebe.

Primjer: Ako je podatak prikupljen za izvršenje ugovora, podatci se moraju obrisati nakon isteka razumnog roka za izvršenje ugovora, osim ako zakoni ne nalažu duže pohranjivanje (npr. računovodstveni podatci).

Cjelovitost i povjerljivost
– Podatci moraju biti obrađivani na način koji osigurava njihovu sigurnost uključujući zaštitu od neovlaštene ili nezakonite obrade, gubitka, uništavanja ili oštećenja koristeći se odgovarajućim tehničkim i organizacijskim mjerama. Ovo uključuje šifriranje podataka, autentifikaciju, provjeru pristupa, sigurnosne kopije i druge metode zaštite.

Primjer: Upotreba enkripcije za prijenos osjetljivih podataka (npr. kreditne kartice ili osobni identifikacijski brojevi) osigurava da podatci neće biti otkriveni u slučaju kibernetičkog napada.

Odgovornost (accountability)
– Voditelji obrade podataka (organizacije koje obrađuju podatke) moraju biti odgovorni za poštovanje svih navedenih načela i obvezni su biti u mogućnosti dokazati svoju usklađenost s GDPR-om. To znači da organizacije moraju implementirati odgovarajuće politike, procedure i mjere kako bi osigurale poštovanje GDPR-a i biti spremne na nadzor i revizije koje provodi regulator (AZOP u RH).

Primjer: Organizacija mora imati zapisnik svih aktivnosti obrade podataka, provoditi redovite revizije sigurnosti i osigurati edukaciju zaposlenika o zaštiti podataka.

4. Kako GDPR štiti osobne podatke korisnika

Kako možete ostvariti svoja prava zajamčena Općom uredbom o zaštiti podataka i Zakonom o provedbi Opće uredbe o zaštiti podataka?

Više informacija na stranicama AZOP-a: Izvor

• Pravo na pristup osobnim podatcima – članak 15. 
• Pravo na ispravak osobnih podataka – članak 16. 
• Pravo na brisanje osobnih podataka („pravo na zaborav”) – članak 17. 
• Pravo na ograničenje obrade osobnih podataka – članak 18. 
• Pravo na prigovor – članak 21. 
• Pravo na prenosivost podataka – članak 20. 
• Pravo u vezi automatiziranog pojedinačnog donošenja odluka, uključujući izradu profila – članak 22. 
• Obveza prijave povrede podataka – organizacije moraju unutar 72 sata prijaviti incident nadzornom tijelu i potencijalno pogođenim osobama, a da biste ostvarili svoja prava trebate se obratiti društvu ili organizaciji koja obrađuje vaše osobne podatke, odnosno voditelju/izvršitelju obrade. 

Ako voditelj obrade nije udovoljio vašem zahtjevu, a smatrate da vam je povrijeđeno pravo na zaštitu osobnih podataka, obratite se Agenciji za zaštitu osobnih podataka sa zahtjevom za utvrđivanje povrede prava.

5. Izrada rada „Obavijesti o privatnosti”

Trebate izraditi rad „Obavijesti o privatnosti“ za objavu na internetskoj stranici.

Prijedlog strukture rada prema primjeru pronađite na poveznici.