Meje uporabe splošne uredbe o varstvu podatkov: zakaj domet pravnega varstva po GDPR ne vključuje pravnih oseb?
Avtorica: Lana Banjanin*
Izvleček: Splošna uredba o varstvu osebnih podatkov (GDPR) zagotavlja varstvo osebnih podatkov izključno fizičnim osebam, podatki, ki se navezujejo na pravne osebe pa varstva uredbe ne uživajo. Takšna ureditev odpira vprašanje, ali obstoječi pravni okvir zadostno varuje legitimne interese pravnih oseb, zlasti pri varovanju poslovno občutljivih informacij. Čeprav pravi red že pozna institute, kot so poslovna skrivnost, nedotakljivost poslovnih prostorov in pravica do ugleda in dobrega imena, pa ti instuti ne tvorijo enotnega in harmoniziranega pravnega okvirja varstva neosebnih podatkov na način, kot je ta zagotovljen varstvu osebnih podatkov, četudi bi bla takšna ureditev, po vzoru ureditve v GDPR na ravni Evropske unije smotrna, saj bi zagotovila učinkovitejše varstvo neosebnih podatkov pravnih oseb.
Oznake: GDPR, varstvo osebnih podatkov, osebni podatki, uredba o varstvu osebnih podatkov, neosebni podatki, pravo Evropske unije, varstvo podatkov pravnih oseb.
Kategorija: pravo Evropske unije.
Povzetek
Pravno varstvo osebnih podatkov po uredbi GDPR uživajo le fizične, ne pa tudi pravne osebe. Takšno varstvo posamezniku omogoča nadzor in avtonomijo nad osebnimi podatki ter prispeva k ohranjanju človekovega dostojanstva v tehnološko napredni družbi. Odpira se vprašanje, ali bi bilo pravno varstvo smortno razširiti tudi na pravne osebe. Čeprav so pravne osebe iz sistema varstva osebnih podatkov izključene že na podlagi definicije osebnega podatka, bi lahko uživale vsebinsko podobno varstvo na podlagi sorodnega sistema, saj sicer uživajo večino pravic, ki pripadajo fizičnim osebam. Na nacionalni ravni že obstajajo instituti, s katerimi varujemo podatke, ki se nanašajo na pravne osebe, zato bi bilo smotrno sistem pravnega varstva harmonizirati tudi na ravni Evropske unije.
1. UVOD
Domet pravnega varstva po uredbi o varstvu osebnih podatkov GDPR vključuje le fizične, ne pa tudi pravne osebe. Ker se osebni podatek po sami definiciji nanaša na fizično osebo, so pravne osebe iz takšnega varstva a priori izključene. Poraja se vprašanje, ali bi bilo pravno varstvo po vzoru GDPR smortno razširiti tudi na pravne osebe. Pravni redi na nacionalni ravni držav članic Evropske unije že urejajo institute, ki varujejo podatke, ki se nanašajo na pravne osebe. Sem sodijo zlasti institut varovanja poslovne skrivnosti, nedotakljivost poslovnih prostorov ter pravica do ugleda in dobrega imena. Slednje kaže, da pravni red potrebo po varstvu podatkov, ki se nanašajo na pravne osebe, že delno priznava.
2. DEFINICIJA OSEBNEGA PODATKA
Recital 14 Uredbe o varstvu osebnih podatkov (v nadaljevanju: GDPR in Uredba) izrecno navaja, da varstvo osebnih podatkov zagotavlja zgolj fizičnim, ne pa tudi pravnim osebam. Uredba pri tem ne navaja posebnega razloga za takšno normativno odločitev, prav tako te odločitve ne obrazloži izrecno v nobenem drugem recitalu, členu ali komentarju.[1]
Za razumevanje take normativne odločitve in dometa varstva GDPR nasploh je ključna prav opredelitev definicije osebnega podatka. Osebni podatek pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom.[2] Slovenski prevod uporablja pojem »posameznik«, kar utegne biti zavajajoče, zlasti v primerjavi z drugimi jezikovnimi različicami Uredbe, ki dosledno uporabljajo izraz »fizična oseba«. Med takšne sodita na primer angleška različica, ki uporablja izraz »natural person«, in francoska različica, ki uporablja izraz »personne physique«.[3] Uporaba izraza fizična oseba bi bila tudi v slovenski različici primernejša, saj bi se s tem izognili morebitnim nejasnostim, ki izvirajo iz dejstva, da je beseda posameznik v slovenščini koncipirana širše od izraza fizična oseba.
Ob upoštevanju navedenega opazimo, da že sama definicija osebnega podatka jasno potrjuje, da je varstvo osebnih podatkov omejeno izključno na informacije, na podlagi katerih je mogoče neposredno identificirati (določen posameznik) ali posredno določiti (določljiv posameznik) fizično osebo in se tako ne more raztezati tudi na pravne osebe (Šarf, 2022).
Vsi ostali podatki, vključno s podatki, ki se nanašajo na pravne osebe, javne organe, države in druge nečloveške entitete, sodijo v kategorijo neosebnih podatkov. Pravni red Evropske unije osebnim podatkom priznava bistveno višjo raven pravnega varstva kot neosebnim podatkom, kar se odraža tudi v razlikah med obsegom pravic fizičnih in pravic pravnih oseb ter enakovrednostjo obsega obveznosti upravljavcev in obdelovalcev podatkov, pri čemer narava entitete upravljavca ali obdelovalca ni bistvena. Edino izjemo predstavljajo upravljavci in obdelovalci podatkov z izrazito ekonomsko in organizacijsko močjo, denimo velike korporacije ali države, ki so zaradi svoje premoči v razmerju do strank strožje pravno regulirani[4] (Van der Sloot, 2015).
Razmejitev med osebnimi in neosebnimi podatki je bila predmet več odločitev Sodišča Evropske unije, ki s svojo bogato sodno prakso omogoča jasno razmejitev pojmov. Sodna praksa hkrati potrjuje tudi dejstvo, da so definicije osebnih in neosebnih podatkov, uporabljene v GDPR, del širšega konceptualnega okvira sekundarnega prava Evropske unije.[5] GDPR torej ni posegel v samo definicijo osebnih oziroma neosebnih podatkov, temveč je ohranil že ustaljen pristop, po katerem je sistem varstva osebnih podatkov v Evropski uniji prvenstveno in sistematično usmerjen v varovanje fizičnih oseb. Izključitev pravnih oseb iz dometa varstva GDPR zato ne predstavlja normativnega odmika ali posebnosti te ureditve, temveč že ustaljen sistem zgolj utrjuje (Šarf, 2022).
2.1. Mejna območja pojma osebnega podatka
Kljub temu, da so podatki, ki se nanašajo na gospodarske družbe, neosebni podatki, je v praksi že bilo mogoče zaznati nekaj, sicer restriktivno razlaganih izjem, ki sistem varstva podatkov prilagajajo v primerih, ko je osebni substrat gospodarske družbe z njo neločljivo povezan na način, ki je po svoji vsebini bližje varstvu osebnih kot varstvu neosebnih podatkov. Tak primer so zlasti majhna družinska podjetja in enoosebne družbe, kjer je identiteta pravne osebe pogosto neločljivo povezana z identiteto fizične osebe, ki za njo stoji.[6] Ratio takšnega pristopa je torej v varovanju fizične osebe, ki bi bila preko neosebnih podatkov o gospodarski družbi lahko enostavno identificirana (Šarf, 2022).
3. VARSTVO OSEBNIH PODATKOV KOT IZRAZ VARSTVA TEMELJNIH PRAVIC
Varstvo osebnih podatkov izhaja iz širše zahteve po varovanju temeljnih človekovih pravic in svoboščin, zlasti pravice do zasebnosti, ki je kot samostojna pravica priznana že v 8. členu Listine Evropske unije o temeljnih pravicah, pred uveljavitvijo GDPR pa je to področje urejala Direktiva Evropskega parlamenta in Sveta 95/46/ES. Od sprejetja Direktive leta 1995 je tehnologija močno napredovala, zlasti na področjih profiliranja, čezmejne obdelave podatkov, količinsko obsežnih obdelav podatkov in mikrociljanja na podlagi osebnih značilnosti, tako na političnem kot tudi na marketinškem področju. Pravni sistem se je takšnim tehnološkim spremembam in posledično novim načinom obdelave podatkov moral prilagoditi, uveljavitev GDPR pa je bila nujna tudi zaradi potrebe po harmonizaciji prava varstva osebnih podatkov v Evropski uniji, saj je le z zagotovitvijo enotne in visoke ravni varstva osebnih podatkov v vseh državah članicah mogoče zagotoviti učinkovito in varno delovanje notranjega trga ter prost pretok osebnih podatkov znotraj Evropske unije (Chase, 2019).
3.1. Materialni smoter GDPR in vprašanje razširitve varstva
Osnovni materialni namen GDPR je usmerjen v varovanje pravic in svoboščin fizičnih oseb, zlasti pred neupravičenimi, nesorazmernimi in pretiranimi posegi s strani upravljavcev podatkov.[7] Pri tem pa GDPR zagotavlja tudi druge pravice, zlasti pravico do dostopa, popravka, izbrisa, omejitve obdelave ter prepoved avtomatiziranega odločanja, kadar ima takšna odločitev za posameznika pravno relevanten ali podobno signifikanten učinek.
Varovanje osebnih podatkov ima za fizične osebe ključno vlogo pri učinkovitem uresničevanju osebne avtonomije, svobode in dostojanstva. Pravne osebe teh konceptov ne doživljajo na enak način kot fizične, imajo pa kljub temu legitimne interese po višjem pravnem varstvu nanje nanašajočih se podatkov, zlasti na področju zasebnosti komunikacij in varovanja poslovno občutljivih informacij. Ob upoštevanju dejstva, da jim pravni red sicer priznava širok spekter osebnostnih pravic, bi bilo smiselno razmisliti o priznanju višje ravni pravnega varstva tudi na področju varstva podatkov. To bi bilo mogoče doseči bodisi z delno razširitvijo uporabe posameznih institutov GDPR bodisi z oblikovanjem posebnega, GDPR-ju sorodnega pravnega okvirja (Van der Sloot, 2015).
Ob upoštevanju ustaljenih definicij osebnih in neosebnih podatkov poseganje v samo konceptualno logiko varstva osebnih podatkov sekundarnega prava Evropske unije, katerega del je tudi GDPR, ni smiselno. Alternativno bi bilo primerneje razmisliti o priznanju določenih pravic iz GDPR tudi nekaterim kategorijam neosebnih podatkov, zlasti tistim, ki se nanašajo na pravne osebe. Med takšne pravice bi bilo smotrno uvrstiti predvsem pravico do dostopa do podatkov ter pravico do popravka. Pri pravici do izbrisa je zaradi možnih zlorab in ogrozitve preglednosti poslovanja pri pravnih osebah potrebno več previdnosti, zato bi bilo primerneje, da jim ta pravica bodisi ostane nepriznana bodisi se jim prizna v zelo restriktivnem okviru.[8] Poleg tega bi bilo primerno obseg pravic v določeni meri prilagoditi dejanski moči pravne osebe, po vzoru ureditve obveznosti upravljavcev. S tem bi se večji obseg pravic priznal finančno in politično šibkejšim pravnim osebam, medtem ko bi za multinacionalne in druge mogočne korporacije veljala nekoliko restriktivnejša ureditev.
Priznanje enakega obsega varstva osebnih in neosebnih podatkov ne bi bilo utemeljeno in takšnega cilja tudi ne bi bilo smotrno zasledovati. Osebni podatki terjajo višjo in intenzivnejšo raven varstva, saj so interesi posameznikov v tehnološko napredni in hitro razvijajoči se družbi pogosto bistveno bolj izpostavljeni tveganjem zlorab. Posameznik je praviloma v šibkejšem položaju v razmerju do velikih tehnoloških korporacij in državnih organov, ki razpolagajo z znatnimi kapacitetami za zbiranje, obdelavo ter hrambo njihovih osebnih podatkov. To velja še posebej za posebne vrste osebnih podatkov, ki so se nekoč imenovali »občutljivi podatki«. Mednje sodijo zlasti podatki o zdravstveni zgodovini, spolni usmerjenosti in političnih prepričanjih posameznika. Te kategorije osebnih podatkov uživajo bistveno višjo raven pravnega varstva, pri čemer je že po njihovi naravi jasno, da so nosilci pravic iz tega naslova lahko le fizične osebe (Van der Sloot, 2015).
4. INSTITUTI, KI PRAVNE OSEBE IN NJIHOVE PODATKE VARUJEJO
4.1. Varovanje poslovne skrivnosti
Poslovna skrivnost je eden izmed temeljnih institutov varstva interesov pravnih oseb. Gre za informacijo, ki jo podjetje obravnava kot zaupno in ki ima zaradi svoje tajnosti in omejenega dostopa tržno vrednost, razkritje ali nepooblaščena uporaba teh pa lahko imetniku povzroči gospodarsko škodo.[9] Pravno varstvo tako gospodarskim subjektom omogoča ohranitev in krepitev konkurenčnih prednosti, a deluje relativno in imetniku zagotavlja pravno varstvo le zoper kršitelje.[10] Mednarodni sporazum o trgovinskih vidikih pravic intelektualne lastnine (TRIPS) vzpostavlja tri pogoje, ki morajo biti izpolnjeni, da je informacija varovana kot poslovna skrivnost. To so dejstvo, da informacija ni splošno znana ali enostavno dostopna, da ima tržno vrednost, ki je posledica njene tajnosti ter dejstvo, da je oseba, ki ima zakonit nadzor nad temi informacijami, sprejela razumne ukrepe z namenom, da njihovo vsebino ohranja tajno. Pravni standard slednjega se presoja na konkretnem primeru (Gaberščik, 2022).
4.2. Nedotakljivost poslovnih prostorov
Nedotakljivost poslovnih prostorov je institut, ki izhaja iz ustavnopravnega varstva nedotakljivosti stanovanja. V tuje stanovanje ali druge prostore načeloma ni dovoljeno vstopiti niti jih ni dopustno preiskovati brez privolitve imetnika ali odločbe sodišča.[11] Zagotavlja varstvo pravice do zasebnosti, ki ne zadeva le stanovanja v bivalnem smislu, pač pa se nanaša na vse zaprte prostore, kjer posamezniki utemeljeno uživajo neko raven zasebnosti, vključno s poslovnimi prostori. Kršitev nedotakljivosti prostorov je opredeljena kot kaznivo dejanje.[12] Pri varovanju informacijske zasebnosti preko nedotakljivosti prostorov gre za varovanje vsebine, ki je v prostoru navzoča, kot so dokumenti, nosilci podatkov, komunikacijski mediji ter drugi viri informacij, ki so lahko osebne ali poslovno občutljive narave.[13] Ratio instituta je varovanje pravice do zasebnosti, ki je temeljna osebnostna pravica in je neločljivo povezana z osebno svobodo, avtonomijo ter informacijsko zasebnostjo. (Klemenčič, Kečanovič in Žaberl, 2002).
4.3. Pravica do ugleda in dobrega imena
Pravica do ugleda in dobrega imena je institut varstva osebnostnih pravic, ki je tesno povezana s pravico do osebnega dostojanstva. Priznava se tako fizičnim kot tudi pravnim osebam, zlasti kadar je slednjim potrebno zagotoviti varstvo njihovega položaja na ekonomskem trgu. Dobro ime in ugled predstavljata objektivni, zunanji kategoriji, ki izražata vrednost subjekta v družbi in se povezujeta z zaupanjem javnosti, poslovnih partnerjev ter potrošnikov. Posledično lahko posegi vanje povzročijo negativne posledice na konkurenčnem področju (Lozinšek, 2015).
4.4. Pomen nacionalnih institutov za razvoj prava EU
Obstoj opisanih institutov kaže, da pravni red priznava potrebo po zaščiti nekaterih interesov pravnih oseb, povezanih z njihovo zasebnostjo ter varstvom nanje navezujočih se podatkov, a to počne fragmentno prek institutov, ki niso sistematično zasnovani kot del enotnega režima varstva podatkov. Zaradi razdrobljenosti tega varstva na ravni Evropske unije bi bilo bolje ustvariti koherentnejši in preglednejši sistem varstva neosebnih podatkov, nanašajočih se na pravne osebe.
Opisano je možno nazorno prikazati na primeru poslovne skrivnosti, kjer varovane informacije praviloma sodijo med neosebne podatke, zato zanje ne velja sistem pravic, ki jih vzpostavlja GDPR. Kljub temu pa pravni red Evropske unije, zlasti Direktiva 2016/943 in nacionalni pravni redi držav članic jasno priznavajo interese pravnih oseb ter širše ekonomske interese držav ter gospodarske skupnosti, ki se nanašajo na spodbujanje gospodarske rasti, učinkovito delovanje notranjega trga Evropske unije ter izboljšanje inovaciskega ter investicijskega potenciala držav članic in Unije. Pravno varstvo teh interesov kaže na zavestno normativno odločitev, da določene kategorije neosebnih podatkov terjajo visoko raven pravne zaščite. Prav tako pa dejstvo, da je tak sistem varstva na ravni Evropske unije urejen z direktivo, kaže na manjko harmonizacije obstoječega sistema. Posledično se zaradi nenatančno opredeljenega pojma razumnih ukrepov zaščite informacij standard varstva poslovnih skrivnosti med državami članicami razlikuje, kar vodi v neenako raven zaščite in posledično zmanjšuje pravno predvidljivost za gospodarske subjekte, ki poslujejo čezmejno (Gaberščik, 2022).
Fragmentacija pravnega varstva je problematična tudi z vidika delovanja notranjega trga ter konkurenčnega položaja podjetij, kar kaže na potrebo po vzpostavitvi natančnejšega in enotnejšega sistema varstva neosebnih podatkov. Višja raven harmonizacije tega področja bi doprinesla h koherentnejšemu sistemu varstva neosebnih podatkov, hkrati pa bi tak sistem ponujal varstvo v širšemu spektru neosebnih podatkov in ne le tistim, ki izpolnjujejo pogoje za varstvo prek instituta poslovne skrivnosti.
5. ZAKLJUČEK
Varstvo osebnih podatkov je po sami definiciji in ustaljeni ureditvi prava Evropske unije vezano na fizične osebe, saj temelji na varstvu človekovega dostojanstva, zasebnosti in osebne avtonomije. Obstoj institutov nacionalnih pravnih redov, kot so instituti varstva poslovne skrivnosti, nedotakljivost poslovnih prostorov ter pravica do ugleda in dobrega imena pa dokazuje, da je legitimen interes pravnih oseb po varstvu nanje nanašajočih se podatkov že pravno priznan. Posledično bi bilo smotrno razmisliti o vzpostavitvi omejenega, koherentnega in na ravni Evropske unije harmoniziranega sistema varstva neosebnih podatkov pravnih oseb, ki bi dopolnjeval, ne pa posegal v obstoječi sistem varstva osebnih podatkov fizičnih oseb.
Seznam literature
Allen, D. W. E., Berg, A., Berg, C., Markey-Towler, B., & Potts, J. (2019). Some economic consequences of the GDPR. Economics Bulletin, 39(2), 785 – 797. https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3160404
Cataleta, M. S. (2020). Humane Artificial Intelligence: The Fragility of Human Rights Facing AI. East-West Center.
Chase, P. H. (2019). Perspectives on the General Data Protection Regulation Of the European Union. German Marshall Fund of the United States. http://www.jstor.org/stable/resrep21227
Cole, M. in Boehm, F. (2018). Ethical Dimensions of GDPR. Commentary on the General Data Protection Regulation. Cheltenham: Edward Elgar. https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3222677
De Busser, E., Briscoe, E. J., Dean, B. C., Tropina, T., in Aparicio, M. B. (2017). Big Data: The Conflict Between Protecting Privacy and Securing Nations. V Big Data: A Twenty-First Century Arms Race (pp. 5 – 16). Atlantic Council. http://www.jstor.org/stable/resrep03719.5
Gaberščik, L. (2022). Poslovna skrivnost. Odvetnik XXIV št. 3 (106). Str. 16 – 22.
Ivanjko, Š., Kocbek, M., & Prelič, S. (2009). Korporacijsko pravo: Pravni položaj gospodarskih subjektov (2., dopolnjena in predelana izd.). Ljubljana: GV Založba; Maribor: Pravna fakulteta; Impress. Str. 311
Klemenčič, G., Kečanovič, B., & Žaberl, M. (2002). Vaše pravice v policijskih postopkih (1. izd., 1. natis). Ljubljana: Pasadena; Demm.
Lozinšek, K. (2015). Višina denarne odškodnine za razžalitev časti in dobrega imena. (Diplomsko delo). Univerza v Mariboru, Pravna fakulteta. 1 – 8. https://dk.um.si/Dokument.php?id=83736&lang=slv
Pitt, J. C. (2014). “Guns don’t kill, people kill”: Values in and/or around technologies. V P. Kroes in P.-P. Verbeek (ur.). The moral status of technical artefacts. Philosophy of Engineering and Technology, Vol. 17., 89 – 101 Springer.
Sotošek, L. (2021). Varstvo poslovne skrivnosti v pravdnem postopku. (Magistrsko diplomsko delo). Univerza v Ljubljani, Pravna fakulteta. 2 – 6. https://repozitorij.uni-lj.si/Dokument.php?id=140275&lang=slv
Spiecker gen. Döhmann, I., Papakonstantinou, V., Hornung, G., De Hert, P. (2023). General Data Protection Regulation. Article-by-Article Commentary. Nomos Verlagsgesellschaft mbH in Co., 137 – 143.
Swedish Authority for Privacy Protection. (n.d.). The purposes and scope of GDPR. Swedish Authority for Privacy Protection. https://www.imy.se/en/organisations/data-protection/this-applies-accordning-to-gdpr/the-purposes-and-scope-of-gdpr/
Šarf, P. (2022). Interoperabilnost informacijskih sistemov na območju svobode, varnosti in pravice v luči varstva osebnih podatkov. (Doktorska disertacija). Univerza v Ljubljani, Pravna fakulteta. 19 – 100. https://repozitorij.uni-lj.si/Dokument.php?id=157628&lang=slv
Šugman Stubbs, K. in Gorkič, P. (2011). Dokazovanje v kazenskem postopku. GV Založba, Ljubljana. Str. 122 – 126.
Teršek, A. (2003). Ustavnopravna analiza razmerja med 35. in 37/2. členom ustave RS: S posebnim poudarkom na problemu posegov policije v pravico do zasebnosti z uporabo tajnih metod in sredstev. Pravna praksa: PP, 22(10/11), 30–34.
Van der Sloot, B. (2015). Do privacy and data protection rules apply to legal persons and should they? A proposal for a two-tiered system. Computer Law & Security Review, 31(1), 26 – 45. https://www.sciencedirect.com/science/article/pii/S0267364914001812
Vestoso, M. (2018). The GDPR beyond Privacy: Data-Driven Challenges for Social Scientists, Legislators and Policy-Makers. Future Internet, 10(7), 62.
Zelianin, A. (2022). Personal Data as a Market Commodity in the GDPR Era: A Systematic Review of Social and Economic Aspects. Acta Informatica Pragensia, 11(1), 123 – 140.
Opombe
* Študentka tretjega letnika Pravne fakultete Univerze v Ljubljani
[1] Spiecker gen. Döhmann, I., Papakonstantinou, V., Hornung, G. De Hert, P. (2023).
[2] 1. odstavek 4. člena GDPR
[3] Šarf, P. (2022).
[4] Zadeva C-620/19 Land Nordrhein-Westfalen proti D.-H. T. kot stečajnemu upravitelju družbe J & S Service UG. (2020).
[5] Zadeva C-40/17 Fashion ID GmbH & Co. KG proti Verbraucherzentrale NRW eV. (2019).
[6] Združeni zadevi C-92/09 in C-93/09 Volker und Markus Schecke GbR in Hartmut Eifert proti Land Hessen. (2010).
[7] Van der Sloot, B. (2015).
[8] Van der Sloot, B. (2015).
[9] Gaberščik, L. (2022).
[10] Ivanjko, Š., Kocbek, M., Prelič, S. (2009).
[11] 36. člen Ustave Republike Slovenije.
[12] 141. člen KZ-1.
[13] Šugman Stubbs, K, in Gorkič, P. (2011).
