Zakon o zaštiti podataka o ličnosti ("Sl. glasnik RS", br. 87/2018 - dalje: Zakon) donet je po uzoru na Opštu uredbu o zaštiti podataka Evropske Unije (Regulation (EU) 2016/679 of the European parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) - dalje: GDPR) i njime je određen čitav korpus prava građana, odnosno lica na koja se podaci o ličnosti odnose, u delu trećem, čl. 31. do 40. Građanima su garantovana sledeća prava:
- pravo na informisanje,
- pravo na pristup podacima,
- pravo na ispravku ili dopunu podataka,
- pravo na brisanje,
- pravo na ograničenje obrade i
- pravo na prenosivost podataka.
U ovom tekstu bavićemo se pravom na brisanje podataka. Lice na koje se podaci odnose može zahtevati od rukovaoca brisanje podataka (član 30. Zakona), a rukovalac je u obavezi da podatke bez odlaganja obriše kada:
- podaci o ličnosti više nisu neophodni za ostvarivanje svrhe zbog koje su prikupljeni ili na drugi način obrađivani;
- je lice na koje se podaci odnose opozvalo pristanak na osnovu kojeg se obrada vršila, a nema drugog pravnog osnova za obradu;
- je lice na koje se podaci odnose podnelo prigovor na obradu u skladu sa:
- članom 37. stav 1. Zakona, a nema drugog pravnog osnova za obradu koji preteže nad legitimnim interesom, pravom ili slobodom lica na koje se podaci odnose,
- članom 37. stav 2. Zakona;
- podaci o ličnosti su nezakonito obrađivani;
- podaci o ličnosti moraju biti izbrisani u cilju izvršenja zakonskih obaveza rukovaoca;
- podaci o ličnosti su prikupljeni u vezi sa korišćenjem usluga informacionog društva od strane maloletnog lica (član 16. stav 1. Zakona).
Ipak, izuzetak od prethodno navedene odredbe predstavljaju slučajevi obrade koja je neophodna zbog:
- ostvarivanja slobode izražavanja i informisanja;
- poštovanja zakonske obaveze rukovaoca kojom se zahteva obrada ili izvršenja poslova u javnom interesu ili izvršenja službenih ovlašćenja rukovaoca;
- ostvarivanja javnog interesa u oblasti javnog zdravlja, u skladu sa članom 17. stav 2. tač. 8) i 9) ovog zakona;
- svrhe arhiviranja u javnom interesu, svrhe naučnog ili istorijskog istraživanja, kao i statističke svrhe u skladu sa članom 92. stav 1. Zakona, a opravdano se očekuje da bi ostvarivanje prava iz st. 1. i 2. ovog člana moglo da onemogući ili bitno ugrozi ostvarivanje ciljeva te svrhe;
- podnošenja, ostvarivanja ili odbrane pravnog zahteva.
Pravo na brisanje podataka bilo je propisano i u prethodnom Zakonu o zaštiti podataka o ličnosti u članu 22. ("Sl. glasnik RS", br. 97/2008, 104/2009 - dr. zakon, 68/2012 - odluka US i 107/2012), ali se to pravo moglo ostvariti u pogledu pristanka (nije dat pristanak za obradu) i u pogledu svrhe (podaci nisu potrebni za ostvarivanje svrhe, svrha nije jasno određena ili je izmenjena, a nisu ispunjeni uslovi za obradu u tu izmenjenu svrhu).
Pravo na brisanje podataka izaziva posebnu pažnju u internet okruženju u kome se svakodnevno čine dostupnim nebrojene informacije o milionima fizičkih lica, kako je Zakon u primeni od 22. avgusta 2019. godine ne možemo govoriti o slučajevima iz domaće prakse te u nastavku ističemo jedan važan slučaj iz Evropske Unije.
Praksa Suda pravde Evropske Unije
Pravo na zaborav izraslo je iz presude Suda pravde Evropske Unije u slučaju Gugl protiv Agencije za zaštitu podataka o ličnosti Kraljevine Španije i Maria Kosteha Gonzalesa (dalje: Presuda). Ova presuda doneta je 2014. godine kada je na teritoriji Evropske Unije bila u primeni Direktiva 95/45, koja je prethodila GDPR. U ovom slučaju g. Kosteha Gonzales zatražio je da pretraživač ukloni rezultate pretrage koji se odnose na pisanje visokotiražnog španskog dnevnog lista La Vangardia iz 1998. godine, a u vezi sa javnom prodajom nepokretnosti g. Kosteha Gonzalesa u postupku prinudnog izvršenja.
Sud je našao da je Gugl kao internet pretraživač rukovalac podataka o ličnosti.
Takođe, lice na koje se podaci odnose ima pravo da zatraži brisanje podataka iz rezultata pretrage, s obzirom na osnovna prava zajemčena čl. 7 i 8. Povelje Evropske Unije o osnovnim pravima kojima se jemči poštovanje privatnog i porodičnog života i zaštita podataka o ličnosti. U Presudi stoji: "Lice može zatražiti da se informacija o kojoj je reč više ne stavlja na raspolaganje širokoj javnosti njenim uključivanjem u takav popis rezultata zbog toga što ta prava načelno pretežu ne samo nad javnim interesom operatora pretraživača nego i nad interesom javnosti u vezi s pronalaženjem navedene informacije prilikom pretrage o prezimenu tog lica. Međutim, to ne bi bio slučaj ako se čini da je zbog posebnih razloga, kao što je to uloga navedenog lica u javnom životu, zadiranje u njegova osnovna prava opravdano pretežnijim javnim interesom da se takvim uključivanjem ima pristup informaciji o kojoj je reč."
Dometi Zakona o zaštiti podataka o ličnosti
Zakon se primenjuje i na rukovaoce koji imaju sedište izvan granica Republike Srbije, kako je određeno u članu 3. stav 4. Zakona: "primenjuje se na obradu podataka o ličnosti lica na koje se podaci odnose koje ima prebivalište, odnosno boravište na teritoriji Republike Srbije od strane rukovaoca, odnosno obrađivača koji nema sedište, odnosno prebivalište ili boravište na teritoriji Republike Srbije, ako su radnje obrade vezane za:
- ponudu robe, odnosno usluge licu na koje se podaci odnose na teritoriji Republike Srbije, bez obzira da li se od tog lica zahteva plaćanje naknade za ovu robu, odnosno uslugu;
- praćenje aktivnosti lica na koje se podaci odnose, ako se aktivnosti vrše na teritoriji Republike Srbije."
Tako pod primenu Zakona dolaze i Gugl, Fejsbuk i drugi internet giganti kada svoje usluge pružaju na teritoriji Republike Srbije. Praktično, naši građani bi se mogli obratiti Guglu radi ostvarivanja "prava na zaborav", odnosno brisanja određenih sadržaja koji se tiču njihovih ličnih podataka iz pretraživača.
Za ostvarivanje ovog prava preduslov je da shodno članu 44. Zakona rukovalac ili obrađivač koji nema sedište u Republici Srbiji, a nudi robu i usluge licu na koje se podaci odnose na teritoriji Republike Srbije odredi predstavnika. Do sada su to učinile kompanije Gugl, Netflix, Viber, Vičet i druge, a očekuje se da će taj primer slediti i one velike svetske kompanije koje posluju u internet okruženju, a koje jođ uvek nisu imenovale svoje predstavnike u Republici Srbiji.