EDPB (European Data Protection Board) je donio Smjernice kojima želi ujednačiti način na koji nadzorna tijela odlučuju treba li za utvrđenu povredu GDPR-a izreći upravnu novčanu kaznu, bilo samostalno, bilo zajedno s drugim korektivnim mjerama iz članka 58. stavka 2. GDPR-a.
Novčana kazna samo je jedna od mogućih korektivnih mjera.
Nadzorno tijelo može primijeniti i upozorenje, ukor, različite naloge, ograničenje ili zabranu obrade te povlačenje certifikacije.
Pri izboru mjere mora voditi računa o svrsi pojedinih korektivnih ovlasti te odabrati mjeru koja je primjerena, nužna i proporcionalna kako bi se otklonila utvrđena nepravilnost i osigurala puna primjena GDPR-a.
Ove EDPB smjernice treba razlikovati od ranijih smjernica o izračunu visine novčanih kazni. Ranije smjernice uređuju pitanje koliki treba biti iznos kazne, dok ove smjernice uređuju prethodno pitanje: treba li novčanu kaznu uopće izreći?
EDPB za tu odluku utvrđuje metodologiju od pet koraka:
1. Može li se za konkretnu povredu uopće izreći novčana kazna?
Nadzorno tijelo prvo mora utvrditi da je konkretna povreda takva da za nju postoji pravna osnova za izricanje upravne novčane kazne. Nisu sve povrede GDPR-a nužno kažnjive novčanom kaznom. Pravna osnova mora proizlaziti iz samog GDPR-a ili, gdje je primjenjivo, iz nacionalnog prava.
2. Može li se konkretni subjekt kazniti za tu povredu?
Mora se utvrditi da je upravo subjekt protiv kojeg se vodi postupak odgovoran za povredu odredbe koja mu nameće predmetnu obvezu.
Ovisno o povrijeđenoj odredbi, odgovornost može primjerice biti na voditelju obrade ili izvršitelju obrade. Dakle, nije dovoljno utvrditi da se povreda dogodila; mora se utvrditi i da je za nju pravno odgovoran konkretni subjekt kojem bi kazna bila izrečena.
3. Je li povreda počinjena namjerno ili iz nepažnje?
Nadzorno tijelo zatim mora utvrditi postoji li krivnja, odnosno je li povreda počinjena namjerno ili iz nepažnje.
Prema metodologiji EDPB-a, takva skrivljena povreda predstavlja pretpostavku za izricanje upravne novčane kazne. Samo objektivno postojanje povrede stoga nije dovoljno za izricanje kazne.
4. Je li riječ o manjoj povredi?
Nakon što su ispunjene pravne pretpostavke za kažnjavanje, nadzorno tijelo mora razmotriti sve relevantne otegotne i olakotne okolnosti iz članka 83. stavka 2. točaka a.-k. GDPR-a i utvrditi može li se povreda smatrati manjom.
Ako je riječ o manjoj povredi, prema EDPB-u je opće pravilo da se upravna novčana kazna neće izreći. To je povezano s uvodnom izjavom 148. GDPR-a, prema kojoj se kod manje povrede umjesto novčane kazne može izdati upozorenje.
Ako povreda nije manja, situacija je obrnuta: postoji snažna presumpcija u korist izricanja upravne novčane kazne.
5. Je li novčana kazna učinkovita, proporcionalna i odvraćajuća?
Konačno, čak i kada prethodni koraci upućuju na izricanje kazne, nadzorno tijelo mora provesti individualnu procjenu prema članku 83. stavku 1. GDPR-a. Mora utvrditi bi li kazna u konkretnom slučaju bila učinkovita, proporcionalna i odvraćajuća.
Upravo ovaj završni korak omogućuje odstupanje od općeg pristupa. Nadzorno tijelo može utvrditi da u konkretnim okolnostima postoje razlozi da se kazna ipak ne izrekne iako povreda nije manja. Obrnuto, kod manje povrede mogu postojati okolnosti koje opravdavaju odstupanje od općeg pravila neizricanja kazne.
Ključna poruka
EDPB-ov pristup može se svesti na logičan slijed: najprije se utvrđuje postoji li pravna mogućnost kažnjavanja, zatim odgovornost konkretnog subjekta i njegova krivnja; potom se procjenjuje je li povreda manja, a na kraju je li kazna u konkretnom slučaju učinkovita, proporcionalna i odvraćajuća.
EDPB smjernice nalaze se na javnoj raspravi:
Image from Magnific
#gdprcroatia
