U okviru razvoja evropskog sistema zaštite podataka o ličnosti, sve je izraženiji trend prelaska sa apstraktno formulisanih obaveza na njihovu detaljnu proceduralnu standardizaciju. Taj trend se posebno jasno vidi u oblasti obaveštavanja o povredi podataka o ličnosti gde se nastoji obezbediti veća doslednost u postupanju rukovalaca i nadzornih organa.

U tom kontekstu, Evropski odbor za zaštitu podataka o ličnosti („EDPB“) otvorio je javnu raspravu o modelu obaveštenja o povredi podataka o ličnosti. Cilj ovog dokumenta je da uvede jedinstven i strukturisan model obaveštenja o povredi podataka o ličnosti koji se dostavlja nadzornim organima u okviru GDPR sistema, te pomogne organizacijama da usklade i objedine procese obaveštavanja o povredi podataka o ličnosti.

Ovaj dokument oslanja se na postojeći normativni okvir, pre svega na član 33. GDPR, koji propisuje obavezu obaveštavanja nadzornog organa o povredi podataka o ličnosti u roku od 72 sata. EDPB kroz ovaj model obaveštenja uvodi operativnu standardizaciju načina na koji se ta obaveza izvršava u praksi, posebno kroz ujednačavanje sadržine i strukture obaveštenja.

Model obaveštenja će biti predmet javne rasprave do 5. avgusta 2026. godine, i dostupan je na sledećem linku.

Od slobodnog opisa ka strukturisanom modelu

Dosadašnja praksa obaveštavanja o povredi podataka o ličnosti bila je zasnovana na relativno fleksibilnom narativnom opisu incidenta. Novi EDPB model obaveštenja menja tu logiku tako što uvodi strukturisan digitalni model, gde se informacije prikupljaju kroz unapred definisane kategorije.

Obaveštenje se popunjava po poljima koja vode rukovaoca kroz identifikaciju tipa povrede, opis okolnosti, klasifikaciju povrede, kategorije podataka, broj pogođenih lica i broj zapisa, kao i informacije o preduzetim tehničkim i organizacionim merama.

Dodatno, određeni odgovori automatski otvaraju nova pitanja (polja), što znači da model obaveštenja funkcioniše kao vođeni sistem, a ne kao slobodan tekstualni izveštaj.

Razrađena je i mogućnost višefaznog izveštavanja, gde se u samom obaveštenju označava da li se podnosi novo ili dodatno obaveštenje, a takođe se u ovom drugom slučaju dozvoljava i opcija povlačenja prethodno podnetog obaveštenja. Ovo praktično znači mogućnost upravljanja i ranije podnetim obaveštenjima, koja se kroz novi model obaveštenja mogu dopuniti ili povući, uz navođenje identifikacionih podataka o ranije podnetom obaveštenju.

Standardizacija procene rizika i posledica

Procena rizika se u novom modelu obaveštenja dodatno strukturira kroz zatvorene kategorije. Umesto otvorene pravne analize, uvode se unapred definisane opcije koje se odnose na tipove incidenata i potencijalne posledice po lica.

Pri popunjavanju obaveštenja rukovalac mora odabrati jednu od ponuđenih kategorija koje se odnose na, između ostalog, verovatne posledice u slučaju povrede poverljivosti podataka o ličnosti (na primer, situacija u kojoj su podaci otkriveni izvan okvira politike privatnosti ili važećih propisa, ili se podaci mogu koristiti u svrhe koje nisu predviđene) ili prirodu mogućih posledica po lice na koje se podaci odnose (na primer, ograničavanje njegovih prava, finansijski gubitak, krađa ili zloupotreba identiteta itd.).

Što se procene rizika tiče, rukovalac u samom obaveštenju mora odabrati jednu od opcija koje se odnose na ishod procene rizika, a kategorije koje su mu na raspolaganju jesu povreda podataka o ličnosti koja prouzrokuje visok rizik za prava i slobode lica na koja se podaci odnose, povreda koja prouzrokuje nizak rizik, kao i povreda sa kojom dolazi mala verovatnoća prouzrokovanja rizika za prava i slobode lica na koja se podaci odnose.

Time se postiže veća uporedivost između obaveštenja različitih rukovalaca, ali se istovremeno smanjuje prostor za individualizovanu pravnu kvalifikaciju složenih slučajeva. U praksi to vodi ka većoj administrativnoj ujednačenosti, ali i ka jačanju formularnog pristupa proceni rizika.

Značaj modela EDPB za domaći kontekst

Obaveza prijavljivanja povrede podataka o ličnosti nije novina ni u domaćem pravu. Zakon o zaštiti podataka o ličnosti u velikoj meri prati rešenja GDPR-a i propisuje da je rukovalac dužan da o povredi podataka obavesti Poverenika bez nepotrebnog odlaganja, a po mogućnosti u roku od 72 časa od saznanja za povredu.

Slično odredbi člana 33. GDPR, prijava treba da sadrži opis prirode povrede, kategorije i približan broj lica na koja se povreda odnosi, moguće posledice povrede, kao i mere koje su preduzete ili se predlažu radi njenog otklanjanja i ublažavanja posledica. Dodatno, sadržina obaveštenja detaljnije je razrađena Pravilnikom o obrascu obaveštenja o povredi podataka o ličnosti, koji je Poverenik doneo radi ujednačavanja prakse prijavljivanja povreda podataka.

U tom kontekstu, EDPB model ne predstavlja potpuno nov koncept, već pre svega korak ka dodatnoj standardizaciji i harmonizaciji postupka prijavljivanja povreda podataka na nivou Evropske unije. Njegov značaj za srpske rukovaoce ogleda se upravo u tome što pruža uvid u očekivanja evropskih nadzornih organa u pogledu obima, strukture i nivoa detalja koji se očekuju prilikom prijavljivanja incidenata. EDPB je naveo da je cilj modela da obezbedi da prijave sadrže informacije koje zahteva član 33. GDPR, uz veću doslednost i ujednačenost postupanja nadzornih organa širom EU.

Od standardizacije ka novim očekivanjima

EDPB model ne uvodi nove materijalne obaveze za rukovaoce, niti menja sadržinu člana 33. GDPR. Njegov značaj ogleda se pre svega u standardizaciji načina na koji se postojeće obaveze izvršavaju u praksi i u nastojanju da se postigne veća doslednost u postupanju nadzornih organa širom Evropske unije.

Za organizacije koje posluju na više tržišta ili nastoje da svoje procese usklade sa evropskim standardima, ovaj model predstavlja koristan pokazatelj očekivanja regulatora u pogledu sadržine, strukture i nivoa detalja koji se očekuju prilikom prijavljivanja povreda podataka o ličnosti. Bez obzira na ishod javne rasprave, jasno je da se regulatorni fokus sve više pomera sa pitanja da li postoji obaveza prijavljivanja incidenta na pitanje kako se ta obaveza dokumentuje, obrazlaže i sprovodi u praksi.

Ovaj članak je isključivo informativne prirode i ne predstavlja pravni savet. Ukoliko su Vam potrebne dodatne informacije, budite slobodni da nas kontaktirate.