Više od tabele: zašto se interni okviri za podatke urušavaju na GDPR reviziji

Između 2018. i 2026. evropski organi za zaštitu podataka izrekli su GDPR kazne veće od €7,5 milijardi, prema CMS GDPR Enforcement Trackeru. Obrazac iza gotovo svake mere sprovođenja propisa je identičan: organizacija je svoje interne prakse obrade podataka zasnovala na pretpostavkama, a ne na stvarnim zahtevima uredbe iz članova 5, 6 i 9.

GDPR ne zanima šta vi mislite da pravila treba da budu. Zanima ga šta pravila zaista jesu. Jaz između onoga što većina preduzeća smatra usklađenim — polja za pristanak, šifrovane baze podataka, stranica o privatnosti u podnožju — i onoga što članovi 5(1), 5(2), 24 i 30 zaista zahtevaju jeste mesto gde nastaje svaka kazna od sedam cifara.

Ako se vaša politika zaštite podataka zasniva na „oduvek smo to tako radili" ili „naš pravni tim je rekao da je verovatno u redu", radite po izmišljenim pravilima. I svaki slučaj u nastavku počeo je na isti način.

Zašto kompanije izmišljaju sopstvena pravila

To obično nije zlonamerno. Većina preduzeća ne sedne i ne odluči da prekrši GDPR. Ono što se dešava je suptilnije:

• Čitaju rezime umesto uredbe. Neko je 2018. preletio blog post, sproveo ono što je razumeo i nikada se nije vratio na to. GDPR ima 99 članova i 173 uvodne izjave. Rezime od 500 reči to ne pokriva.
• Kopiraju ono što radi konkurencija. „Ako druge kompanije u našoj delatnosti to rade ovako, mora da je u redu." Osim što i te kompanije možda nisu usklađene — samo još nisu uhvaćene.
• Pretpostavljaju da pristanak pokriva sve. „Korisnik je kliknuo ‚prihvatam', pa možemo da radimo šta hoćemo sa njegovim podacima." Pristanak po GDPR-u ne funkcioniše tako. Ni izbliza.
• Mešaju bezbednost podataka sa zaštitom podataka. Imati firewall i šifrovane baze podataka je bezbednost. Znati pravni osnov za obradu svake kategorije ličnih podataka, poštovati prava lica na koje se podaci odnose i sve dokumentovati — to je zaštita podataka. Potrebno vam je oboje.
• Misle da su mala preduzeća izuzeta. GDPR se primenjuje na svaku organizaciju koja obrađuje lične podatke stanovnika EU. Tačka. Ne postoji prag prihoda. Ne postoji minimalan broj zaposlenih. Kompanija sa jednim zaposlenim i listom za slanje mejlova podleže GDPR-u.

Kazne nisu hipotetičke

Otkako je GDPR stupio na snagu u maju 2018, evropski organi za zaštitu podataka izrekli su kazne veće od €7,5 milijardi — oko €7,6 milijardi u više od 3.400 slučajeva do novembra 2026, prema CMS GDPR Enforcement Trackeru. To nisu teorijske kazne u dokumentu koji niko ne čita. To su stvarni računi koje su stvarne kompanije morale da plate.

Pogledajmo slučajeve — jer detalji su bitni.

Meta (Facebook) — €1,2 milijarde (maj 2023)

Irska komisija za zaštitu podataka (DPC) kaznila je Metu sa €1,2 milijarde zbog kršenja člana 46(1) — prenosa ličnih podataka korisnika iz EU u Sjedinjene Države bez odgovarajućih zaštitnih mera nakon što je presuda Schrems II poništila okvir Privacy Shield. Metino izmišljeno pravilo: „Standardne ugovorne klauzule iz člana 46(2)(c) su dovoljne." Odgovor DPC-a: same SCC ne mogu da prevaziđu strukturne nedostatke američkog zakonodavstva o nadzoru (FISA član 702) koji građanima EU uskraćuje delotvorna pravna sredstva iz člana 47 Povelje EU o osnovnim pravima.

To je najveća GDPR kazna ikada izrečena. Meta je imala četiri godine između presude Schrems II (jul 2020) i mere sprovođenja da uvede usklađene mehanizme prenosa. Odlučila je da čeka.

Amazon — €746 miliona (2021)

Luksemburški CNPD kaznio je Amazon zbog kršenja članova 6(1), 12, 13 i 14 — obrade ličnih podataka za oglašavanje zasnovano na ponašanju bez valjanog pravnog osnova i bez transparentnih informacija o tome kako se ti podaci koriste. Amazonovo izmišljeno pravilo: „Legitimni interes iz člana 6(1)(f) pokriva naše oglašivačke prakse." Test odmeravanja CNPD-a zaključio je suprotno: obim, nametljivost i neprozirnost praćenja ponašanja na više sajtova ne mogu se opravdati legitimnim interesom kada lice na koje se podaci odnose nema stvarnu svest niti kontrolu. Kazna je potvrđena i po žalbi.

H&M — €35,3 miliona (oktobar 2020)

Ovaj slučaj je posebno poučan. H&M-ov servisni centar u Nirnbergu beležio je detaljne lične informacije o zaposlenima tokom razgovora „po povratku na posao" — uključujući zdravstvena stanja, porodične probleme, verska uverenja i iskustva sa odmora. Rukovodioci su te beleške čuvali na deljenom disku dostupnom drugim rukovodiocima.

H&M-ovo izmišljeno pravilo: „Ove informacije su nam potrebne da bismo efikasno upravljali zaposlenima." Odgovor hamburškog organa za zaštitu podataka: beleženje zdravstvenih stanja i verskih uverenja zaposlenih bez njihovog znanja ili pristanka, a zatim deljenje tih podataka među rukovodstvom, predstavlja ogromno kršenje načela zaštite podataka.

€35,3 miliona za beleške na deljenom disku. Kršenje se odnosilo na članove 5(1)(a), 5(1)(c) i 6 — zakonitost, pravičnost, minimizaciju podataka i nepostojanje pravnog osnova za obradu posebnih kategorija podataka prema članu 9.

British Airways — £20 miliona (oktobar 2020)

Povreda podataka izložila je lične i finansijske podatke otprilike 430.000 kupaca. ICO je utvrdio da British Airways nije uveo odgovarajuće mere bezbednosti — konkretno, napad nisu otkrili više od dva meseca. Prvobitno predložena kazna iznosila je £183 miliona, a kasnije je smanjena zbog ekonomskog uticaja pandemije COVID-19.

Izmišljeno pravilo kompanije BA: „Naše postojeće mere bezbednosti su dovoljne." Stvarnost: imali su neadekvatan nadzor, nedovoljnu višefaktorsku autentifikaciju i lošu segmentaciju mreže.

Kršenje se odnosilo na članove 5(1)(f) i 32 — obavezu da se obezbedi odgovarajuća bezbednost ličnih podataka, uključujući zaštitu od neovlašćene obrade i slučajnog gubitka. Prema članu 33, rukovaoci moraju da prijave povrede u roku od 72 sata od saznanja — rok koji je nemoguće ispuniti ako vaša infrastruktura za nadzor ne može da otkrije upade u realnom vremenu.

Medicinski podaci: gde su ulozi najveći

Ako mislite da su kazne za obične lične podatke zastrašujuće, kršenja u vezi sa medicinskim podacima su u potpuno drugoj ligi. GDPR klasifikuje podatke o zdravlju kao „posebnu kategoriju" prema članu 9, što znači da uživaju najviši nivo zaštite i najstrože zahteve za obradu.

Evo šta to znači u praksi: podatke o zdravlju uopšte ne smete da obrađujete osim ako ne ispunjavate jedan od veoma konkretnih izuzetaka iz člana 9(2). Ne „legitimni interes". Ne „korisno je za naše poslovanje". Potreban vam je izričit pristanak, ili konkretna zakonska obaveza, ili obrada mora biti neophodna u svrhe zdravstvene zaštite pod odgovornošću zdravstvenog radnika vezanog obavezom čuvanja poverljivosti.

Bolnica Haga (Holandija) — €460.000

Desetine zaposlenih u bolnici pristupilo je medicinskom kartonu jedne holandske poznate ličnosti bez ikakvog opravdanog razloga. Bolnica nije imala odgovarajuće kontrole pristupa kojima bi sprečila ili otkrila neovlašćen pristup kartonima pacijenata.

Izmišljeno pravilo bolnice: „Naše osoblje su profesionalci, pristupaće samo kartonima koji su im potrebni." Odgovor holandskog organa za zaštitu podataka: poverenje nije bezbednosna mera. Morate da uvedete kontrolu pristupa zasnovanu na ulogama, evidentiranje i nadzor.

Portugalska bolnica (Centro Hospitalar Barreiro Montijo) — €400.000

Ovo je bila jedna od prvih izrečenih GDPR kazni. Bolnica je imala daleko više aktivnih „lekarskih" profila nego što je zapošljavala lekara. Socijalni radnici, tehničari i administrativno osoblje imali su pristup kartonima pacijenata preko dozvola na nivou lekara.

Izmišljeno pravilo bolnice: „Dozvole ćemo već nekad srediti." Portugalski organ za zaštitu podataka (CNPD) utvrdio je da je bolnica prekršila načela integriteta, poverljivosti i minimizacije podataka.

Stotine ljudi imalo je pristup medicinskim kartonima koje nisu imali nikakav razlog da vide. To nije bio sofisticiran hakerski napad. Bilo je to traljavo interno upravljanje.

Švedska zdravstvena linija (1177 Vårdguiden)

Milioni snimljenih telefonskih poziva na švedsku nacionalnu liniju za zdravstvene savete bili su pohranjeni na nezaštićenom web serveru. Bez šifrovanja. Bez autentifikacije. Svako ko bi pronašao server mogao je da sluša pozive u kojima su pacijenti govorili o simptomima, stanjima i lečenju.

Izmišljeno pravilo: „Skladištenje vodi naš podizvođač, pa je to njegova odgovornost." Švedski organ za zaštitu podataka je rekao drugačije. Vi ste rukovalac podacima. Vi odgovarate za svoje obrađivače. Prepuštanje posla drugome ne prepušta i odgovornost.

Lični podaci: slučajevi koji se tiču svakog preduzeća

Ne morate biti bolnica ili tehnološki gigant da biste dobili kaznu. Velika većina mera sprovođenja GDPR-a odnosi se na uobičajenu obradu uobičajenih ličnih podataka — mejl adresa, brojeva telefona, istorije kupovina, ponašanja pri pregledanju.

Austrijska pošta

Austrijska pošta je kreirala profile političkih sklonosti za milione austrijskih građana analizom njihovih demografskih podataka, adrese i kupovnog ponašanja. Zatim je te profile prodavala političkim strankama za ciljane kampanje.

Njihovo izmišljeno pravilo: „To je statistička analiza, a ne obrada ličnih podataka." Austrijski organ za zaštitu podataka nije se složio. Izvođenje političkih mišljenja iz podataka o ponašanju je obrada posebnih kategorija podataka. To ne smete bez izričitog pristanka, a svakako ne radi prodaje političkim strankama.

Vodafone Španija — više odluka

Vodafone Španija je dobio više kazni zbog slanja marketinških poruka bez pristanka, nastavka pozivanja ljudi koji su se odjavili i, u jednom upadljivom slučaju, sklapanja telefonskog ugovora na ime osobe koja uopšte nije bila Vodafoneov korisnik.

Njihovo izmišljeno pravilo: „Odnos sa kupcem podrazumeva pristanak na marketing." Ne podrazumeva. Prema GDPR-u svaki komunikacioni kanal zahteva poseban, konkretan pristanak. Prijava na mejl ne znači da ste pristali i na telefonske pozive.

Clearview AI — više kazni širom Evrope

Clearview AI je prikupio ogroman broj fotografija sa društvenih mreža kako bi izgradio bazu za prepoznavanje lica, a zatim prodavao pristup organima za sprovođenje zakona. Kažnjen je u više jurisdikcija jer je obrađivao biometrijske podatke — još jednu posebnu kategoriju — miliona ljudi bez ikakvog pravnog osnova.

Njihovo izmišljeno pravilo: „Fotografije su bile javno dostupne, pa možemo da ih koristimo." Javna dostupnost nije isto što i pristanak na biometrijsku obradu. Objavljivanje fotografije na Instagramu ne daje kompaniji dozvolu da skenira vaše lice i doda ga u bazu za nadzor.

Marriott International — £18,4 miliona

Povreda podataka koja je potekla iz sistema za rezervacije gostiju Starwooda (pre nego što je Marriott preuzeo Starwood) izložila je stotine miliona zapisa o gostima. Povreda godinama nije bila otkrivena.

Marriottovo izmišljeno pravilo: „Ovaj sistem smo nasledili preuzimanjem, pa raniji nivo bezbednosti nije naša greška." ICO se nije složio. Kada preuzmete kompaniju, preuzimate i njene obaveze u vezi sa zaštitom podataka. Dubinska analiza treba da obuhvati temeljnu procenu praksi zaštite podataka.

Obrazac: šta je zajedničko svim ovim slučajevima

Svaka pojedinačna od ovih kazni ima isti koren: organizacija je pravila pretpostavke o tome šta je dozvoljeno umesto da proveri šta zakon zaista zahteva.

Pretpostavke u svakom slučaju izgledaju drugačije:

• „Pristanak pokriva sve" (ne pokriva — pristanak ima stroge zahteve)
• „Legitimni interes je opšte rešenje" (nije — zahteva test odmeravanja)
• „Naši podizvođači vode računa o usklađenosti" (ne vode — vi ste rukovalac)
• „Podaci su bili javni" (nebitno — i dalje vam je potreban pravni osnov)
• „Premali smo da bismo bili meta" (veličina ne određuje sprovođenje propisa)
• „Naša delatnost to tako radi" (praksa delatnosti nije pravna odbrana)
• „Nismo znali" (neznanje nije odbrana prema GDPR-u)

Šta zaista treba da radite

Dosta o tome šta ide naopako. Evo kako izgleda prava GDPR usklađenost — i nije toliko preterano koliko deluje kada joj pristupite sistematski.

1. Mapirajte svoje aktivnosti obrade podataka

Pre svega ostalog morate da znate koje lične podatke obrađujete, zašto i na kom pravnom osnovu. To je član 30 — Evidencija aktivnosti obrade (ROPA). Svaka organizacija mora da je ima.

Za svaku aktivnost obrade dokumentujte:

• Koje podatke prikupljate
• Zašto ih prikupljate (svrha)
• Pravni osnov (pristanak, ugovor, legitimni interes, zakonska obaveza, vitalni interesi ili javni zadatak)
• Ko ima pristup
• Koliko dugo ih čuvate
• Da li ih prenosite izvan EU

Kako mi tome pristupamo: Statične tabele zastare čim neko doda novi alat ili promeni tok rada. U našem radu na arhitekturi usklađenosti koristimo pristup kontinuiranog mapiranja podataka koji nazivamo Zero-Assumption Privacy Mapping (ZAPM) — svaki sistem koji dodiruje lične podatke katalogizovan je sa svojim pravnim osnovom, kategorijama podataka, logikom čuvanja i odnosima sa obrađivačima. Kada se integriše novi SaaS alat ili se promeni API endpoint, mapa se ažurira programski, umesto da čeka tromesečni pregled koji se nikada ne dogodi. Počnite tako što ćete popisati svaki sistem koji dodiruje lične podatke — vaš CRM, alat za mejl marketing, analitiku, HR platformu, fakturisanje — i dokumentovati gornjih šest polja za svaki od njih. Zatim automatizujte nadzor kako bi mapa ostala ažurna.

2. Ispravno uredite mehanizme pristanka

Ako se oslanjate na pristanak kao pravni osnov, on mora biti:

• Dobrovoljan — nije vezan za uslove korišćenja
• Konkretan — „Pristajem na primanje marketinških mejlova", a ne „Prihvatam sve uslove"
• Informisan — osoba tačno zna na šta pristaje
• Nedvosmislen — aktivna prijava, a ne unapred označena polja ili zaključivanje iz ćutanja
• Opoziv — povlačenje pristanka mora biti jednako lako kao i njegovo davanje

Kako mi tome pristupamo: Uvedite mašinu stanja pristanka — centralizovan sistem koji prati svaki događaj pristanka (dat, povučen, istekao) po korisniku, po svrsi i po kanalu. Svaka radnja pristanka treba da ima vremensku oznaku, verziju i vezu sa konkretnom verzijom obaveštenja o privatnosti koju je korisnik tada video. Proverite svaku tačku prikupljanja — baner za kolačiće, prijavu na newsletter, kontakt formulare, kreiranje naloga — i uverite se da svaka od njih beleži granularan pristanak specifičan za svrhu koji ispunjava svih pet GDPR zahteva. Cilj je jedan izvor istine koji pri reviziji može da dokaže šta je tačno svaki korisnik odobrio i kada.

3. Uvedite odgovarajuću kontrolu pristupa

Kazne bolnici Haga i portugalskoj bolnici svele su se na istu stvar: previše ljudi imalo je pristup podacima koji im nisu bili potrebni.

Kako mi tome pristupamo: Uvedite kontrolu pristupa zasnovanu na atributima (ABAC) koja dinamički procenjuje dozvole na osnovu uloge, odeljenja, nivoa osetljivosti podataka i konteksta — a ne statične dodele uloga koje vremenom truhnu. Integrišite dodelu pristupa sa svojim provajderom identiteta (Okta, Azure AD, Google Workspace) kako bi se dozvole automatski ažurirale kada neko promeni ulogu ili napusti kompaniju. Evidentirajte svaki događaj pristupa podacima i pokrenite automatsko otkrivanje anomalija — kazna bolnici Haga bila bi sprečena jednostavnim upozorenjem na „osoblje koje ne leči pacijenta pristupa kartonima pacijenata". Pregledajte matrice pristupa kvartalno, ali se svakodnevno oslanjajte na automatsko sprovođenje.

4. Imajte plan za reagovanje na povrede

GDPR zahteva da kvalifikovane povrede prijavite nadzornom organu u roku od 72 sata. Ne možete ispuniti taj rok ako nemate plan pre nego što do povrede dođe.

Rešenje: Dokumentujte jednostavan plan za reagovanje na povrede:

• Ko je prva kontakt osoba kada se povreda otkrije?
• Ko procenjuje ozbiljnost i obim?
• Ko odlučuje da li će se obavestiti organ i pogođena lica?
• Koji šablon ćete koristiti za obaveštenje?
• Ko komunicira prema spolja?

Testirajte ovaj plan jednom godišnje. Vežba za stolom — „Šta bismo uradili da nam procuri lista mejlova?" — traje dva sata i može vam uštedeti milione.

5. Proverite svoje obrađivače

Svaka treća strana koja obrađuje lične podatke u vaše ime treba Ugovor o obradi podataka (DPA). To uključuje vašu platformu za mejl marketing, provajdera cloud hostinga, alate za analitiku, procesora plaćanja i CRM.

Rešenje: Popišite svaki alat i uslugu koji dodiruju lične podatke vaših korisnika. Proverite da li imate DPA sa svakim od njih. Većina SaaS kompanija ih nudi — obično ih samo treba potpisati. Ako provajder neće da potpiše DPA, raskinite saradnju — prema članu 28 lično odgovarate za svakog obrađivača koji radi bez njega.

6. Poštujte prava lica na koje se podaci odnose

Prema GDPR-u, pojedinci imaju pravo da:

• Pristupe svojim podacima (član 15)
• Isprave netačne podatke (član 16)
• Izbrišu svoje podatke — „pravo na zaborav" (član 17)
• Ograniče obradu (član 18)
• Prenesu podatke — prenosivost (član 20)
• Prigovore obradi (član 21)

Na te zahteve morate odgovoriti u roku od mesec dana. Ako nemate proces za njihovo rešavanje, već sada niste usklađeni.

Kako mi tome pristupamo: Ručno vođeni mejl sandučići stvaraju upravo onu vrstu operativne ranjivosti koja vodi do propuštenih rokova i mera sprovođenja propisa. Uvedite cevovod za prijem zahteva lica na koje se podaci odnose (SRR) — strukturiran formular koji automatski klasifikuje vrstu zahteva (pristup, brisanje, prenosivost), proverava identitet podnosioca putem šifrovanih tokena za autentifikaciju i pokreće automatske pretrage skladišta podataka u vašem CRM-u, analitici i HR sistemima. Cevovod treba da generiše vremenski okvir usklađenosti (član 12(3) zahteva odgovor u roku od mesec dana, uz mogućnost produženja na tri za složene zahteve) i da automatski eskalira ako se rok približava bez rešenja. Za manje operacije, namenski web formular povezan sa vašim sistemom za upravljanje zadacima i automatskim podsetnicima je minimalna izvodljiva varijanta — ali nikada nenadgledan mejl sanduče.

7. Sa zdravstvenim i osetljivim podacima postupajte sa dodatnom pažnjom

Ako obrađujete bilo koje podatke posebne kategorije — podatke o zdravlju, biometrijske podatke, rasno ili etničko poreklo, politička mišljenja, verska uverenja, članstvo u sindikatu, genetske podatke ili seksualnu orijentaciju — potrebna vam je pojačana zaštita.

Rešenje:

• Potvrdite da imate važeći izuzetak iz člana 9(2) za svaku aktivnost obrade koja uključuje podatke posebne kategorije
• Uvedite šifrovanje u mirovanju i u prenosu za sve osetljive podatke
• Ograničite pristup na apsolutni minimum ljudi
• Razmotrite procenu uticaja na zaštitu podataka (DPIA) — obavezna je za obradu visokog rizika prema članu 35
• Ako obrađujete podatke o zdravlju u velikom obimu, imenujte službenika za zaštitu podataka (DPO)

Struktura kazni: koliko loše može da bude?

GDPR ima dva nivoa maksimalnih kazni:

Nivo 1 (član 83(4)): Do €10 miliona ili 2% godišnjeg globalnog prometa, šta god je veće. Odnosi se na kršenje obaveza poput prijave povreda, ugrađene privatnosti (privacy by design) i procena uticaja na zaštitu podataka.

Nivo 2 (član 83(5)): Do €20 miliona ili 4% godišnjeg globalnog prometa, šta god je veće. Odnosi se na kršenje osnovnih načela, prava lica na koje se podaci odnose i pravila o međunarodnim prenosima.

Na primer, za kompaniju sa prihodom od €500 miliona, kršenje nivoa 2 moglo bi da znači kaznu do €20 miliona. Za kompaniju sa prihodom od €100 milijardi, teorijski maksimum bio bi €4 milijarde. Metina stvarna kazna od €1,2 milijarde bila je u potpunosti u okviru ovlašćenja regulatora.

Za mala preduzeća, minimalne kazne su i dalje značajne. Na primer, kompanija sa prihodom od €1 milion suočava se sa teorijskim maksimumom od €20 miliona za kršenje nivoa 2 — dvadeset puta većim od celog njenog prihoda. U praksi regulatori uzimaju u obzir proporcionalnost, ali čak i „mala" kazna od €50.000 može biti poražavajuća za malo preduzeće.

Prestanite da nagađate. Počnite da poštujete propise.

GDPR je na snazi više od osam godina. „Nismo ga razumeli" ili „obavićemo to nekad" odavno su prestali da budu prihvatljivi izgovori. Trend sprovođenja je jasan: kazne rastu i po učestalosti i po visini. Svake godine sve više kompanija na teži način nauči da ih izmišljena pravila ne štite.

Operativna stvarnost: GDPR usklađenost je arhitektonska disciplina, a ne vežba dokumentovanja. Zahteva kontinuirano mapiranje podataka, automatsku proveru pristanka, programske kontrole pristupa, infrastrukturu za otkrivanje povreda i upravljanje obrađivačima. Organizacije koje usklađenost tretiraju kao živ sistem, a ne kao jednokratni projekat, one su koje prežive revizije.

Preduzeća koja ovo rade kako treba ne samo da izbegavaju kazne — grade poverenje kod svojih kupaca. U svetu u kojem skandali oko podataka svake nedelje završavaju u naslovima, istinska transparentnost u pogledu toga kako postupate sa ličnim podacima je konkurentska prednost.

Alternativa — izmišljanje sopstvenih pravila u nadi da niko neće primetiti — ima dokumentovan istorijat: kazne od milijardi evra, narušena reputacija i preduzeća koja bi poželela da su sve odmah uradila kako treba.

Ne budite sledeći primer iz studije slučaja. Popravite to sada.

Ako vodite web sajt ili internet prodavnicu u Španiji ili EU, naša revizija pravne usklađenosti web sajta obuhvata GDPR, LSSI, pristanak za kolačiće i zaštitu potrošača — tako da tačno znate šta treba popraviti pre nego što to uradi regulator.