GDPR zapinje na strukturnim tehnološkim problemima

Kada hrvatski korisnik podnese pritužbu zbog Facebooka, Instagrama, WhatsAppa ili TikToka, ona u pravilu ne završava pred domaćim nadzornim tijelom. Odlazi u Dublin. Irska Komisija za zaštitu podataka vodi gotovo sve velike postupke provedbe Opće uredbe o zaštiti podataka, poznatije kao GDPR, protiv globalnih tehnoloških kompanija. Njezina bivša čelnica sada je priznala da sustav ne funkcionira dobro ondje gdje su problemi najvažniji. Helen Dixon rekla je ovoga mjeseca na skupu Law Societyja da GDPR „nije uvijek koristan za sustavna pitanja” (Law Society of Ireland).

To priznanje dolazi od osobe koja je irsku provedbu vodila kroz njezine najaktivnije godine. U njemu se sažima napetost koja se gradila osam godina: Europa je htjela jedinstvena pravila za digitalno tržište, ali je velik dio njihove provedbe završio u rukama jedne nacionalne institucije.

Kako je jedan grad postao europsko središte privatnosti

GDPR je u članku 56. uveo mehanizam „jedinstvene kontaktne točke” (EUR-Lex). Logika je bila praktična: umjesto da se kompanija bavi s 27 nacionalnih tijela, prekogranične slučajeve vodi tijelo u državi u kojoj ima glavno europsko sjedište. Apple, Google, Meta, TikTok, LinkedIn i Microsoft smjestili su europske centrale u Irskoj. Irski DPC tako je u praksi postao glavno europsko tijelo za zaštitu privatnosti za veći dio tehnološke industrije (anonym.community).

Postupak se vodi kroz suradnju iz članka 60. DPC, kao vodeće nadzorno tijelo, istražuje pritužbu i sastavlja nacrt odluke. Taj nacrt zatim šalje svim drugim nacionalnim tijelima za zaštitu podataka koja su zahvaćena predmetom, odnosno takozvanim uključenim nadzornim tijelima. Ako ona ulože prigovor, a to se događa često, spor odlazi Europskom odboru za zaštitu podataka, koji donosi obvezujuće rješenje (EUR-Lex). Ukratko, Dublin piše presudu, ali ostala tijela mogu osporiti njezin sadržaj.

Sustav je trebao spriječiti da kompanije biraju blaža nadzorna tijela. U praksi je otvorio drugi problem: jedna institucija srednje veličine postala je usko grlo provedbe za cijeli kontinent.

Velike kazne, spora naplata

DPC je izrekao oko 80 posto svih velikih kazni EU-a tehnološkim kompanijama prema GDPR-u (anonym.community). Najveći iznosi govore sami za sebe: 1,2 mlrd. eura kazne Meti zbog nezakonitog prijenosa podataka europskih korisnika u Sjedinjene Države, 530 mil. eura TikToku zbog omogućavanja pristupa europskim podacima kineskim inženjerima i 310 mil. eura LinkedInu zbog nezakonitog profiliranja ponašanja korisnika (anonym.legal).

Izreći kaznu nije isto što i naplatiti je. Kompanije se žale na gotovo svaku veliku odluku, a irski sudovi mogu zaustaviti plaćanje dok postupak traje. Zato je razlika između objavljenih kazni i stvarno primljenog novca i dalje velika. Druga nacionalna tijela imaju vlastita ograničenja: sustav suradnje iz članka 60. dopušta im da ulažu prigovore, ali im ne dopušta samostalno postupanje u prekograničnim slučajevima protiv tih kompanija. Ona gledaju, dok Dublin odlučuje.

Popravak s rokom

Nova postupovna uredba o GDPR-u, koja stupa na snagu u travnju 2027., uvodi rok od 15 mjeseci u kojem vodeća nadzorna tijela moraju izdati nacrt odluke u prekograničnim predmetima (Netguardia). U sadašnjem sustavu istrage su znale trajati godinama. Metina kazna od 1,2 mlrd. eura prošla je pet godina od prve pritužbe do konačne odluke. Reforma uvodi i jasnije rokove za prigovore uključenih nadzornih tijela te za slanje sporova Europskom odboru za zaštitu podataka (Netguardia).

Taj postupovni popravak rješava brzinu. Ne rješava temeljnu neravnotežu: jedno nacionalno tijelo, odgovorno irskim sudovima i vezano irskim upravnim pravom, nosi regulatornu odgovornost za tehnološke kompanije koje opslužuju 450 milijuna Europljana. Dixonino priznanje da se okvir teško nosi sa sustavnim problemima (Law Society of Ireland) pokazuje što reforma iz 2027. ostavlja po strani. Odluke će možda dolaziti brže, ali i dalje kroz isti uzak kanal. Važnije pitanje bit će hoće li Europa jednom preispitati sam kanal, a ne samo brzinu kojom se kroz njega kreću predmeti.