Hitna zabrana obrade podataka: rješenje prema § 22 DSG

Austrijsko tijelo za zaštitu podataka može rješenjem prema § 22 stav 4 DSG zabraniti nastavak obrade podataka ako rad obrade stvara bitnu neposrednu opasnost za zaštićene interese tajnosti pogođenih osoba i postoji opasnost zbog odlaganja. Organ može izreći i djelimičnu zabranu ako je ona tehnički moguća, svrsishodna i dovoljna za uklanjanje opasnosti.

Za organizaciju time počinje hitna pravna i tehnička reakcija. Obrada navedena u rješenju mora se odmah zaustaviti ili ograničiti. Istovremeno treba provjeriti da li će se u roku od dvije sedmice podnijeti predstavka. Predstavka ne odgađa zabranu. Ovaj tekst obrađuje takvu nadzornu hitnu zabranu. Odvojena pitanja predstavljaju zahtjev za brisanje uz postojeću obavezu čuvanja i razliku između anonimizacije i pseudonimizacije.

Član 22 stav 4 DSG traži kvalifikovanu opasnost. Rad obrade mora stvarati bitnu neposrednu opasnost za zaštićene interese tajnosti pogođenih osoba. Mora postojati i opasnost zbog odlaganja. Tada organ može zabraniti nastavak obrade rješenjem prema § 57 stav 1 AVG.

Mjerilo se odnosi na tekući rad i prijeteće zadiranje u interese tajnosti. Opšte nezadovoljstvo obradom ili otvoreno pravno pitanje sami po sebi ne dokazuju hitnu zabranu. Zato treba zajedno procijeniti konkretnu obradu, pogođene osobe, opasnost i hitnost.

Rješenje postoji pored drugih postupaka zaštite podataka. Nadzorni uvid, običan postupak pristupa ili prigovora i zahtjev za ograničenje prema članu 18 GDPR-a traže posebnu analizu. Član 22 stav 4 DSG povezuje hitnu zabranu sa akutnom opasnošću.

Tijelo za zaštitu podataka može potpuno zabraniti nastavak obrade. Ako je djelimična zabrana tehnički moguća, svrsishodna za cilj obrade i dovoljna za uklanjanje opasnosti, organ može zabraniti samo dio obrade. Zato rješenje treba uporediti sa stvarnim tokom podataka i korištenim sistemima.

Za primjenu treba zabilježiti obradu, kategorije podataka, grupe pogođenih osoba, sisteme, interfejse, primaoce i automatizovane postupke. Kontrola koja obuhvata samo vidljivi interfejs može biti preuska ako pozadinski procesi, izvozi ili pružaoci usluga nastavljaju obradu.

Djelimična zabrana nije opšta dozvola za nastavak ostatka rada. Dozvoljene aktivnosti moraju se jasno odvojiti od zabranjenog dijela. Organizacija treba odmah dokumentovati tehničku granicu, odgovorne osobe i kontrole zabrane.

Tijelo za zaštitu podataka može od rukovaoca ili izvršitelja obrade tražiti potrebna objašnjenja i uvid u obrade i povezanu dokumentaciju. Rukovalac ili izvršitelj obrade moraju pružiti potrebnu podršku. Kontrola se mora provoditi uz najveće moguće poštovanje prava organizacije i trećih osoba.

Za potrebe uvida organ, nakon obavještavanja držaoca prostorija i rukovaoca ili izvršitelja obrade, može ući u prostorije u kojima se obavljaju obrade. Može pokrenuti opremu za obradu podataka, provesti obradu koja se provjerava i izraditi kopije nosača podataka u obimu koji je nužno potreban za kontrolu.

Informacije do kojih organ dođe tokom kontrole smiju se koristiti samo za nadzor u okviru propisa o zaštiti podataka. Zakonska obaveza čuvanja tajne zato stvara poseban zaštitni okvir. Organizacije treba da dokumentaciju pripreme potpuno i pregledno, jasno označe obradu i odrede odgovornost za odgovore.

Kada je nastavak obrade zabranjen, organizacija mora bez odlaganja primijeniti rješenje u navedenom obimu. Praktična reakcija počinje zaštićenom kopijom rješenja, provjerom izreke i tehničkim povezivanjem. Zatim treba zaustaviti nove unose, automatizovane postupke, pristupe i dostavljanja ili ih ograničiti na dozvoljeni dio.

Primjenu treba dokumentovati vremenom, sistemom, promjenom, odgovornom osobom i kontrolnim korakom. To uključuje čuvanje važnih zapisa i obavještavanje timova koji upravljaju obradom, podrškom, brisanjem ili dostavljanjem. Dokumentacija ne smije zaobići zabranu dodatnim kopijama ili zamjenskim procesima.

Član 22 stav 4 DSG izričito određuje da tijelo za zaštitu podataka postupa prema članu 83 stav 5 GDPR-a ako se zabrana ne izvrši bez odlaganja. Time nastaje posebni rizik sankcije. Konkretna posljedica zavisi od daljeg postupka i okolnosti slučaja.

§ 57 stav 1 AVG dopušta rješenje bez prethodnog ispitnog postupka kada zbog opasnosti zbog odlaganja treba preduzeti neodložne mjere. Rješenje prema § 22 stav 4 DSG može se zasnivati na toj odredbi. Zato rješenje treba odmah primijeniti i kada činjenični postupak još nije završen.

Protiv rješenja donesenog prema § 57 stav 1 AVG može se organu koji ga je donio podnijeti predstavka u roku od dvije sedmice. Rok se računa na osnovu dokaza dostave konkretnog rješenja. Predstavka ima odloženo dejstvo samo kod određivanja novčane obaveze. Kod zabrane nastavka obrade podataka ona zato ne zaustavlja primjenu.

Pravna provjera treba zajedno obuhvatiti izreku, obrazloženje, dostavu, procjenu opasnosti, pogođenu obradu i obim. Važno može biti i pitanje da li je tehnički moguća i dovoljna djelimična zabrana umjesto potpune zabrane.

Predstavka sama po sebi ne ukida hitnu zabranu. Prema § 57 stav 3 AVG organ mora u roku od dvije sedmice od prijema predstavke pokrenuti ispitni postupak. Ako to ne učini, pobijano rješenje prestaje da važi po sili zakona. Na zahtjev stranke organ mora to prestajanje pismeno potvrditi.

Organizacija zato treba sačuvati dokaz o podnošenju, prijemu i narednim koracima organa. Tehnička primjena zabrane i komunikacija sa organom traže odvojene odgovornosti. Tako je moguće kontrolisati rokove bez ugrožavanja zaštitne mjere zbog nejasne interne nadležnosti.

Dalja provjera usmjerena je na konkretnu opasnost, nužnost i obim rješenja. Nove tehničke mjere, sigurno razdvajanje dijelova obrade ili promijenjeni dizajn obrade mogu biti važni za procjenu. Oni ne zamjenjuju pravovremenu predstavku niti postupanje po postojećem rješenju.

Za ciljanu provjeru pripremite potpuno rješenje, dokaz dostave, pogođenu obradu, tehničku primjenu, važne tokove podataka i već preduzete zaštitne mjere. Zajedno procjenjujemo opasnost, obim, hitno postupanje i predstavku. Tako se može odrediti koja obrada mora odmah stati i koje korake treba pripremiti u roku.