Za razliku od direktive, koja je ugrađena u nacionalna zakonodavstva država članica, nova uredba bila bi neposredno primjenjiva i njezine odredbe ne bi se prenosile u nacionalne zakone.
Plan Komisije EU (dalje: EK) je dovršiti zakonodavni postupak do kraja 2017., kako bi se Uredba o e-privatnosti počela primjenjivati istodobno s Općom uredbom o zaštiti osobnih podataka, s kojom je usko povezana.
Iako se u ovom trenutku ne može prejudicirati ishod zakonodavne rasprave, smatramo zanimljivim već sada ukazati na nekoliko važnih aspekata koji proizlaze iz prijedloga EK. Uz to, nakon donošenja uredbe, bit će zanimljivo usporediti prihvaćena s izvorno predloženim rješenjima.
Institucionalna pitanja
Zaštita privatnosti u elektroničkim komunikacijama trenutno je regulirana u Zakonu o elektroničkim komunikacijama (ZEK) i nadzor nad poštivanjem tih odredbi provodi regulator zadužen za elektroničke komunikacije (Hrvatska regulatorna agencija za mrežne djelatnosti – HAKOM). Međutim, nova Uredba o e-privatnosti zamišljena je kao produžetak Opće uredbe o zaštiti osobnih podataka, čime se nadležnost za njezinu provedbu seli u tijelo zaduženo za zaštitu osobnih podataka (Agencija za zaštitu osobnih podataka – AZOP). Predloženi tekst uredbe ne ostavlja diskrecijsku mogućnost državama članicama za drugačije određivanje nacionalnog nadležnog tijela za provedbu.
Međutim, iz prijedloga nove uredbe vidljivo je da je ona, osim što se nadopunjuje na Opću uredbu o zaštiti osobnih podataka, ostala vezana i uz propise kojima se uređuje područje elektroničkih komunikacija. To se u prvom redu odnosi na definicije usluga koje su predmet primjene uredbe, a koje su preuzete iz buduće Direktive o Europskom zakoniku elektroničkih komunikacija.
Širenje područja primjene
Jedna od ključnih novosti je širenje područja primjene koje bi, osim s tradicionalnih pružatelja elektroničkih komunikacijskih usluga, trebalo obuhvatiti i pružatelje tzv. OTT (eng. Over the top) usluga. To su pružatelji usluga sadržaja i aplikacija na internetu (npr. Whatsapp, Snapchat, Viber, Skype) koje, između ostalog, omogućavaju komunikaciju između korisnika na suštinski jednak način kao i tradicionalne telekomunikacijske usluge (pozivi, sms poruke, elektronička pošta). Osim toga, područje primjene uključuje i usluge u kojima je komunikacija samo manja pomoćna funkcija, koja je neraskidivo povezana s drugom uslugom (npr. Facebook).
U odnosu na povjerljivost komunikacije, odredbe nove uredbe trebale bi se primjenjivati i na komunikaciju između strojeva (npr. pametni televizori, pametni automobili).
Svrha proširenja područja primjene je dvojaka. Prvo, iz perspektive krajnjih korisnika zaštita njihove privatnosti trebala bi biti jednaka, neovisno služe li se tradicionalnim ili novim komunikacijskim uslugama. Drugo, iz perspektive tradicionalnih telekomunikacijskih operatora nije pravedno da njihove usluge budu podvrgnute strogim ograničenjima zaštite privatnosti, a da ista pravila ne vrijede za usluge koje im, u suštini, konkuriraju.
Međutim, širenje područja primjene i podvrgavanje OTT pružatelja usluga strožim pravilima o zaštiti privatnosti moglo bi dovesti u pitanje poslovne modele nekih od tih pružatelja, koji svoje usluge ne naplaćuju direktno, već kroz mogućnost raspolaganja osobnim podacima korisnika.
Metapodaci i sadržaj komunikacije
Prijedlog nove uredbe razlikuje dvije kategorije elektroničkih komunikacijskih podataka: metapodatke i sadržaj komunikacije.
Metapodaci (u sadašnjoj Direktivi o e-privatnosti i ZEK-u koristi se termin „prometni podaci“) su svi podaci koji nastaju u procesu prenošenja komunikacije, a temeljem kojih se može utvrditi izvor i odredište komunikacije, lokacija uređaja te datum, vrijeme, trajanje i vrsta komunikacije.
Sadržaj komunikacije je sve ono što se komunikacijom prenosi, kao što je npr. tekst, govor, video, slike i zvuk.
Koncepcijski, nova uredba zadržava uvjete pod kojima operatori i drugi pružatelji usluga mogu koristiti i zadržavati metapodatke (obračun i naplata, prijenos komunikacije, pristanak korisnika). Međutim, metapodaci se mogu uz pristanak korisnika koristi samo ako se svrha radi koje je korisnik dao pristanak ne može postići obradom anonimiziranih podataka.
Anonimizirani podaci su oni iz kojih se ni na koji način ne može saznati na koju se osobu odnose. Za razliku od toga, pseudonimizirani podaci su oni gdje se podaci iz više izvora, koji se odnose na jednu osobu, povezuju putem pseudonima. Pomoću ključa za usporedbu pseudonima može se otkriti stvarni identitet fizičke osobe.
Industrija „velikih podataka“ u pravilu koristi pseudonimizirane podatke koji joj omogućavaju spajanje podataka iz više izvora koji se odnose na isti pseudonim i detektiranje obrazaca ponašanja vezanih uz taj pseudonim, a koji se poslije mogu komercijalizirati, bilo u reklamne svrhe, bilo u neke druge svrhe, poput npr. utvrđivanja razloga i rješenja problema prometne zagušenosti na određenoj lokaciji.
Podaci pohranjeni na terminalnoj opremi krajnjih korisnika
Važan aspekt privatnosti čine i podaci pohranjeni na terminalnoj opremi (npr. pametnom telefonu), koji uključuju sav sadržaj (slike, pjesme, poruke, podatke o kontaktima, podatke o lokaciji), ali i podatke koje terminalna oprema odašilje radi povezivanja s drugim uređajem. To su jedinstveni identifikatori, kao što su adresa MAC, međunarodni identifikator mobilnog uređaja („IMEI”), međunarodni identifikator mobilnoga pretplatnika („IMSI”) itd.
Nova uredba ostavlja mogućnost korištenja tih identifikatora radi pružanja usluga poput brojanja ljudi, pružanja podataka o broju ljudi koji čekaju u redu, provjeru broja ljudi na određenom području ili slanja komercijalnih poruka s personaliziranim ponudama pri ulasku u trgovine. Pružatelji takvih usluga trebaju na rubu područja pokrivenosti istaknuti obavijesti kojima krajnje korisnike, prije ulaska na definirano područje, informiraju o praćenju signala njihovog uređaja, o svrsi praćenja, osobi odgovornoj za praćenje i načinu smanjenja ili zaustavljanja praćenja.
Nova pravila o sigurnosnim postavkama
U novoj uredbi želi se osigurati da korisnici prilikom instalacije bilo kojeg softvera koji omogućava pronalaženje i prikaz informacija na internetu, moraju odabrati preferiranu razinu privatnosti u odnosu na pohranu podataka trećih strana (tzv. kolačići) kao i na mogućnost obrade podataka koji se nalaze na terminalnoj opremi korisnika. Dakle, korisnicima ne smije biti unaprijed postavljena opcija, već ju oni moraju svjesno odabrati.
Iako se u recitalima nove uredbe navodi kako bi odluke krajnjih korisnika u pogledu prilagodbe općih postavki privatnosti preglednika ili druge aplikacije trebale biti obvezujuće za sve treće strane i izvršive u pogledu svih trećih strana, njome se eksplicitno ne zabranjuje praksa kojom se korisnicima koji ne pristaju na korištenje kolačića ili alata za praćenje aktivnosti, onemogućava pristup pojedinim stranicama ili aplikacijama.
Zaključak
EK je opravdano izašla sa zakonodavnim prijedlogom nove Uredbe o e-privatnosti, jer je uvažila argumente iz javne rasprave, prema kojima u području elektroničkih komunikacija i dalje postoji potreba za posebnim propisom, odnosno da Opća uredba o zaštiti osobnih podataka nije dovoljna.
Ne želeći dovesti u pitanje koherentnost sustava uspostavljenog Općom uredbom, EK je Uredbu o e-privatnosti usko vezala uz nju, posebice kada je riječ o tijelima nadležnim za njezinu provedbu. Međutim, EK nije mogla izbjeći i povezivanje Uredbe o e-privatnosti s propisima iz područja elektroničkih komunikacija. Zbog toga nova uredba neće biti jednostavna za razumijevanje i primjenu, jer će uz nju trebati poznavati i Opću uredbu o zaštiti osobnih podataka te buduću Direktivu o Europskom zakoniku elektroničkih komunikacija.
Nova Uredba o e-privatnosti nastoji uspostaviti ravnotežu između interesa industrije i zaštite privatnosti pojedinaca. Industrija u obradi i analizi „velikih podataka“ vidi profitabilne aktivnosti. Neki od pružatelja komunikacijskih usluga i ne traže drugu naknadu od korisnika, osim mogućnosti obrade njihovih podataka.
Može se stoga očekivati da će zagovornici zaštite privatnosti tražiti stroža rješenja, osobito kada je riječ o mogućnosti praćenja signala uređaja bez traženja suglasnosti, već samo uz obavezu obavijesti, ili kada je riječ o postavkama privatnosti te vezano uz mogućnosti ograničavanja pristupa stranicama i sadržaju, ako korisnik ne dopušta praćenje ili postavljanje kolačića.
Industrija će vrlo vjerojatno ustrajati na pravu da se „velikim podacima“ koristi uz primjenu načela pseudonimizacije, umjesto anonimizacije.
Ishod zakonodavnog procesa, koji se najranije može očekivati krajem godine, pokazat će je li prijedlog EK postigao traženu ravnotežu, ili će pojedina rješenja iz prijedloga biti izmijenjena u korist strože ili liberalnije regulacije.
Domagoj Maričić