Piše: Harun Išerić, viši asistent na Univerzitetu u Sarajevu – Pravnom fakultetu
Začetak prava na zaborav
Digitalizacija je sa sobom donijela nova ljudska prava online, uključujući pravo na pristup internetu, pravo na anonimnosti i pravo na zaborav. Pravo na zaborav (right to be forgotten) je pravno prepoznao kao rezultat sudskog aktivizma Suda Evropske unije u predmetu Costeja (presuda od 13. maja 2014. godine). Sud se je tada pozvao na Direktivu o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka iz 1995. godina (koja više nije na snazi), za koju je rekao da implicitno garantuje pravo na ispravak, brisanje ili blokiranje ličnih podatka, kao i pravo na prigovor na obradu njihovih ličnih podataka od strane korporacija. Tada je građanima EU dato pravo da zahtijevaju od operatora pretraživača – kao što je npr. Google – da uklone određene linkove iz njihovog indeksa pretraživanja, ako rezultati sadrže lične podatke koji su „neadekvatni, irelevantni ili više nisu relevantni ili pretjerani”. Donošenje presude Costeja je pratilo usvajanje smjernica za njenu implementaciju, kako bi se olakšalo razumijevanje i primjena od strane korporacija. Prema Googlovim podacima, od maja 2014. do januara 2025. godine, Google je iz država EU zaprimio preko milion i 700,000 zahtjeva za uklanjanje preko 6 milion i 700,000 URL poveznica. Od toga broja, 51,2% URL poveznica su uklonjene, a 48,8% nisu.
Pravo na brisanje i pravo na zaborav u GDPR
Evropska unija je ovo pravo kodificirala u Uredbi o zaštiti pojedinaca u vezi sa obradom ličnih podataka i o slobodnom kretanju takvih podataka (GDPR) iz 2016. godine. U 2020. godini, Evropski odbor za zaštitu podataka, krovna organizacija koja okuplja nacionalna tijela za zaštitu ličnih podataka i osigurava dosljednu primjenu GDPR, usvojio je Smjernice 5/2019 o kriterijima prava na zaborav u slučajevima internet pretraživača u skladu s GDPR.
Član 17 GDPR (kojem korespondira član 19 u Prijedlogu Zakona o zaštiti ličnih podataka BiH) garantuje, pored prava na zaborav, i pravo na brisanje. U svom prvom stavu, propisano je pravo nosioca podataka (lice čije se lični podaci obrađuju) na brisanje podataka „bez nepotrebnog odgađanja“ i obaveza kontrolora obrade ličnih podataka (koji je definisan kao fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade ličnih podataka) da izbriše lične podatke „bez nepotrebnog odgađanja“. To će se desiti ukoliko je ispunjen jedan od šest alternativno postavljenih uslova i to:
- lični podaci više nisu nužni u odnosu na svrhe za koje su prikupljeni ili na drugi način obrađeni;
- nosilac podataka povuče pristanak na kojem se temelji obrada ličnih podataka (koji je dat u skladu sa GDPR) i ako ne postoji druga pravna osnova za obradu;
- nosilac podataka uloži prigovor na obradu ličnih podataka, a ne postoje jači legitimni razlozi za obradu;
- lični podaci nezakonito su obrađeni;
- lični podaci moraju se brisati radi poštovanja pravne obaveze iz prava Unije ili prava države članice kojem podliježe voditelj obrade;
- lični podaci prikupljeni su u vezi s ponudom usluga informacijskog društva izravno djetetu.
Pravo na brisanje ličnih podataka se odnosi na lične podatke podnositelja zahtjeva, a ne na podatke trećih lica, dok pak podaci koji se tiču nosioca podataka i istovremeno se tiču trećih lica mogu biti predmet brisanja. Uskraćenje brisanja takvih podataka bi limitiralo opseg zaštite koju nudi GDPR.
Pravni standard „bez nepotrebnog odgađanja“ se tumači kao vremenski period koji nije duži od mjesec dana. On je posebno relevantan za obavezu kontrolora obrade ličnih podataka, koji u tom roku mora informisati nosioca podataka o brisanju podataka ili odbijanju da se to učini. GDPR ne specificira sadržaj i formu zahtjeva za brisanje. Zahtjev može biti izražen u usmenoj ili pismenoj formi, dok primjer takvog zahtjeva može se pronaći ovdje. Međutim, brisanje ličnih podataka ne smije se temeljiti odnosno zavisiti isključivo od zahtjeva nosioca obrade, već bi kontrolor obrade morao, u skladu sa načelima obrade ličnih podataka (član 5 GDPR i član 7 Prijedloga zakona o zaštiti ličnih podataka), nezavisno i samostalno, izbrisati podatke, ukoliko su za to ispunjeni propisani uslovi. Tako uklanjanje pak ne može biti naslijepo.
Čak i ako se podaci izbrišu s jedne web stranice, oni i dalje mogu biti dostupni i povezani na drugim web stranicama, potvrđujući frazu kako internet nikad ne zaboravlja. U takvim slučajevima, brisanje podataka od strane jednog kontrolora obrade, očigledno nije djelotvorno. Kako bi ojačalo pravo na zaborav, posebno u internet okruženju, stav dva član 17 GDPR propisuje obavezu kontrolora obrade, koji je objavio javno podatke, pa ih izbrisao u skladu sa stavom 1 člana 17, da informiše druge kontrolore obrade da je nosilac podataka zatražio brisanje svih poveznica do njih ili kopija ili replika tih ličnih podataka. U vezi sa tim, kontrolor obrade je dužan poduzeti razumne mjere, uvažavajući dostupnu tehnologiju i trošak informisanja. Imajući u vidu činjenicu da broj kontrolora obrade može biti izrazio visok, te da se radi o licima koja su ili mogu biti nepoznata, ovakva obaveza je kritikovana kao preveliko opterećenje za kontrolora obrade, iako je pokušano njeno ublaženje „razumnim mjerama“. Šta podrazumijevaju razumne mjere, zavisit će od slučaja do slučaja, tako npr. u sitaciji kada nisu poznati svi kontrolori obrade, onda bi obavještenje na web stranici incijalnog kontrolora obrade moglo zadovoljiti ovaj kriterij.
Pravo na zaborav se po drugi put ogleda u obavezi obavještavanja iz člana 19 GDPR (član 21 Prijedloga zakona o zaštiti ličnih podataka). Prema ovoj odredbi, kontrolor obrade mora obavijestiti sve primaoce podataka o bilo kakvom ispravljanju ili brisanju, i u tu svrhu mora iskoristiti sva raspoloživa sredstva, sve dok to postane nemoguće ili zahtjeva nesrazmjeran napor.
Riječima Suda pravde, pravo na zaštitu osobnih podataka nije apsolutno pravo, nego se mora razmatrati u odnosu na svoju funkciju u društvu te se treba odvagnuti s drugim temeljnim pravima u skladu s načelom proporcionalnosti. Tako stav tri člana 17 GDPR, propisuje odstupanja od pravila odnosno kada neće doći do brisanja ličnih podataka, i to kada je obrada podataka nužna u sljedećim situacijama:
- radi ostvarivanja prava na slobodu izražavanja i informiranja;
- radi poštovanja pravne obveze kojom se zahtijeva obrada u pravu Unije ili pravu države članice kojem podliježe voditelj obrade ili za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti kontrolora obrade;
- zbog javnog interesa u području javnog zdravlja u skladu sa GDPR-om;
- u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili historijskog istraživanja ili u statističke svrhe u skladu s članom 89 GDPR-a, u mjeri u kojoj je vjerojatno da se pravom na brisanje ličnih podataka može onemogućiti ili ozbiljno ugroziti postizanje ciljeva te obrade; ili
- radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.
Najznačajniji izuzetak je onaj prvi, s obzirom da se njime štiti sloboda govora, dok je praksa pokazala kako se pravila GDPR već zloupotrebljavaju radi suzbijanja slobode govora i to u formi SLAPP postupaka. S druge strane, u članu 85 GDPR se izričito propisuje obaveza država da zakonom usklade pravo na zaštitu ličnih podataka sa slobodom izražavanja (uključujući obradu ličnih podataka u novinarske svrhe i svrhe akademskog, umjetničkog ili književnog izražavanja). U uvodnoj izjavi broj 153 GDPR-a naglašava se značaj slobode govora i adekvatnog balansiranja ovih prava, dok zbog važnosti prava na slobodu izražavanja u svakom demokratskom društvu potrebno je široko tumačiti pojmove u vezi s tom slobodom, kao što je novinarstvo.
Na ovaj izuzetak se, pored medija, mogu pozvati i druga pravna lica, ali i fizička lica. Prilikom uspostavljanja ravnoteže između prava na zaštitu ličnih podataka i slobode izražavanja, institucije za zaštitu ličnih podataka i sudovi će morati uzeti u obzir nekoliko kriterija, uključujući prirodu ličnog podatka i njegovu osjetljivost za život nosioca podataka, te interes javnosti za te podatke (koji će očigledno varirati od uloge nosioca podataka u javnom životu – da li se radi o javnoj ličnosti, njenom profesionalnom životu i sl.).
Praksa Suda pravde Evropske unije
Evropski sud pravde je u 2019. godini utvrdio da pravo na zaborav ne prelazi granice EU. Prema stavu Suda, član 17 GDPR omogućava nosiocima podataka da ostvare svoje pravo na uklanjanje poveznica prema operatoru pretraživača koji ima jedan poslovni nastan na području EU ili više njih, u okviru kojih provodi aktivnosti obrade ličnih podataka u vezi s tim licima, i to neovisno o tome odvija li se ta obrada u EU ili ne.
Međutim, ne postoji obaveza uklanjanja poveznica koje se odnose na nacionalne verzije pretraživača koji ne postoje u državama članicama EU. Niti u pravu EU se trenutačno ne predviđaju instrumenti i mehanizmi saradnje u pogledu dosega uklanjanja poveznica izvan EU.
S druge strane, postavlja se pitanje da li operator pretraživača, koji je prihvatio zahtjev za brisanje ličnih podataka u jednoj državi članici EU, to mora učiniti na preostalim verzijama svog pretraživača u drugim državama članicama EU. Sud je zauzeo stav, da se u načelu, takvo uklanjanje mora provesti na teritoriji cijele EU, odnosno u svim državama članicama. Međutim, nasuprot tog načelnog stava stoji činjenica različitog interesa javnosti za pristup informaciji u državama članicama EU. Pored toga, Sud je zapazio da postoje različiti mehanizmi saradnje među nacionalnim tijelima za zaštitu ličnih podataka, koji mogu donijeti odluku o brisanju poveznica u svim državama članicama EU. U konačnici, prema stavu Suda, obaveza operatora pretraživača je poduzeti dovoljno učinkovite mjere za osiguranje djelotvorne zaštite temeljnih prava nosioca podataka. Same te mjere moraju sprječavati ili barem ozbiljno odvraćati korisnike interneta u državama članicama da imaju pristup predmetnim poveznicama kad izvrše pretragu po ličnom imenu te osobe (nosioca podataka).
U decembru 2022. godine Sud je proširio opseg zaštite prava na zaborav. Sud je zauzeo stav da je operator pretraživača, kakav je Google, dužan je prihvatiti zahtjev za uklanjanje poveznica ako osoba koja je podnijela zahtjev za uklanjanje poveznica podnese relevantne i dovoljne dokaze koji mogu potkrijepiti zahtjev i dokazati netačnost informacija iz indeksiranog sadržaja ili barem jednog dijela tih informacija koji nije neznatan s obzirom na cijeli taj sadržaj. Isto vrijedi i kada nosilac podataka dostavi sudsku odluku protiv urednika internet stranice koja se temelji na utvrđenju da su informacije sadržane u indeksiranom sadržaju, koje nisu neznatne s obzirom na cijeli sadržaj, barem na prvi pogled netačne. Međutim, ako iz dokaza koje je pružio nosilac podatak nije očito vidljivo da su te informacije u indeksiranom sadržaju netačne, operator pretraživača nije dužan u slučaju nepostojanja takve sudske odluke prihvatiti taj zahtjev za uklanjanje poveznica. Kada informacije o kojima je riječ mogu doprinijeti raspravi u općem interesu, s obzirom na sve okolnosti predmetnog slučaja, valja pridati posebnu važnost pravu na slobodu izražavanja i informiranja.
U drugom dijelu svoje presude, Sud je razmatrao zahtijev nosioca podataka da fotografije koje ih prikazuju na slikama — ili sličicama — prilikom vršenja pretrage, treba da budu uklonjene. Sud je zauzelo sličan stav kao i glede prvog pitanja – uklanje netačnih informacija – naglašavajući nužno uvažavanja informativne vrijednosti tih fotografija, neovisno o kontekstu njihove objave na internet stranici iz koje su izdvojene, uzimajući u obzir sve tekstualne elemente koji izravno prate prikazivanje tih fotografija u rezultatima pretraživanja i koji mogu pojasniti njihovu informativnu vrijednost.
Pravo na brisanje i pravo na zaborav u BiH
U izostanku izričite regulacije prava na zaborav, ali i nakon što ste to desi, samoregulacioni medijski okvir treba pružiti nužni okviri za ostvarivanje ovog prava. Tako su nadležna tijela u Srbiji i Sjevernoj Makedoniji donošenjem posebnih etičkih dokumenata uredili ovo pitanje. Bh. samoregulacioni mehanizam oličen u Vijeću za štampu i online medije je imao priliku da usvajanjem izmjena i dopuna Kodeksa za štampane i online medije 2023. godine, medijsku zajednicu i javnost, na odgovarajući način pripremi i upozna sa konceptom ovog prava, u susret državnoj regulaciji. Nažalost, u izostanku stručne i javne rasprave o promjenama Kodeksa, ova prilika je propuštena. Kodeks u članu 16 izričito propisuje: „Novinari i urednici online medija nisu dužni da uklone ranije tekstove u kojima su izvještavali o krivičnim postupcima, jer je izvještavanje o krivičnim postupcima uvijek u interesu javnosti.“ Čini se da je ovakvo pravo, bez izuzetaka ili pojašnjenja koja se odnose na lične podatke, protivno pravu na zaborav, odnosno pravu na privatnost, iako se u preambuli Kodeksa, izričito spominje poštivanje ljudskih prava.
Usvajanjem Prijedlog Zakona o zaštiti ličnih podataka BiH, u bh. nacionalno pravo će biti trasplantirano pravo EU, uključujući relevantne odredbe o pravo na brisanje odnosno pravu na zaborav. Uspješnost njegove implementacije zavisit će od obučenosti službenika Agencije za zaštitu ličnih podataka, ali i spremnosti sudija da ovo pravo razumiju kroz prizmu prakse Suda pravde EU. Oživotvorenju ovog prava pak može doprinijeti i činjenica da ga je prepoznao i Evropski sud za ljudska prava, kao sastavni dio prava na privatnost. U konačnici, Agencija, ali i nevladine organizacije, će imati ključnu ulogu u opismenjavanju građana o njihovim pravima i postupku njihove zaštite, naročito jer Google niti Microsoft trenutno ne nude poseban obrazaca zahtjeva za uklanjanje ličnih podataka za korisnike bh. verzije pretraživača, za razliku od npr. srbijanske verzije. Zbog toga, građanin koji želi da se njegovi lični podaci izbrišu mora kreirati poseban zahtjev, pozivajući se na odredbe domaćeg prava – zakon o zaštiti ličnih podataka – ili pak Evropska konvencija za zaštitu ljudskih prava.
This project is financed with the contribution of the Ministry of Foreign Affairs and International Cooperation of the Italian Republic. The content of this document represents the views of its authors and in no way represents the position of the Ministry of Foreign Affairs and International Cooperation.
Fotografija: https://www.picpedia.org/post-it-note/p/privacy.html