Opća uredba o zaštiti podataka (GDPR) na snazi je otprilike deset godina, a nedavna analiza Compliance Weeka ponovno postavlja pitanje koje prati ovaj zakon od samog početka: funkcionira li provedba GDPR-a svugdje jednako? Prema izvješću, odgovor je i dalje ne. Deset godina kasnije, razlike u tome kako pojedine države EU-a nadziru i kažnjavaju povrede privatnosti ostaju trajan problem, koji ima stvarne posljedice za ljude koje bi zakon trebao štititi.

Desetljeće GDPR-a: Jedan zakon, 27 različitih provedbenih tijela

GDPR je zamišljen kao jedinstven, usklađen pravilnik za sve države članice EU-a, ali provedba nikada nije bila povjerena jednom središnjem regulatoru. Umjesto toga, svaka zemlja ima vlastito nacionalno tijelo za zaštitu podataka (DPA), odgovorno za istraživanje pritužbi, nadzor tvrtki i izricanje kazni unutar svojih granica. U predmetima koji prelaze nacionalne okvire, poput onih koji uključuju multinacionalne tehnološke tvrtke, obično se određuje "vodeće tijelo", a koordinacija se provodi putem Europskog odbora za zaštitu podataka.

Na papiru, ovakva struktura omogućuje lokalnu stručnost i pristupačnost – stanovnici svake zemlje imaju regulatora koji govori njihov jezik i razumije njihov nacionalni pravni kontekst. U praksi, kako ponavlja analiza Compliance Weeka, ovaj decentralizirani model doveo je do neujednačenih rezultata. Neka tijela za zaštitu podataka bolje su financirana, odlučnija i brža od drugih. Ta neujednačenost znači da snaga zaštite prema GDPR-u može djelomično ovisiti o tome gdje je sjedište tvrtke koja obrađuje vaše podatke ili gdje vi živite.

To nije nova kritika. Zagovornici privatnosti i pravni stručnjaci godinama su je ponavljali, a činjenica da se i desetljeće nakon stupanja zakona na snagu i dalje ističe sugerira da problem nije u potpunosti riješen. Propis je jak onoliko koliko je jaka njegova provedba, a kad se provedba značajno razlikuje od države do države, obećanje jednake zaštite u cijelom EU-u postaje teže zajamčiti u praksi.

Zašto su razlike u provedbi važne za obične korisnike

Neujednačena provedba nije samo apstraktno pitanje usklađenosti za korporativne pravne timove. Ona ima praktične implikacije onog trenutka kad nešto pođe po zlu. Razmislite što se događa nakon povrede podataka: tvrtka je zakonski obvezna obavijestiti pogođene osobe i nadležna tijela, ali koliko brzo i temeljito će se ta obavijest pratiti i hoće li odgovorno tijelo za zaštitu podataka zaista zahtijevati odgovornost, može se znatno razlikovati ovisno o tome koja država vodi slučaj.

Nedavni primjer pokazuje što je na kocki kad zaštita zakaže. Izvještaj o ransomware napadu Stormous na nizozemsku crkvenu mrežu pokazao je koliko brzo osjetljivi osobni podaci, u ovom slučaju vezani uz vjersku organizaciju koja djeluje u Nizozemskoj, mogu završiti izloženi nakon što napadači probiju mrežu. Ovakvi incidenti naglašavaju zašto je dosljedna i dobro opremljena provedba važna: kad dođe do povrede, snaga i brzina regulatornog odgovora često određuju hoće li žrtve dobiti stvarne odgovore, hoće li pogođene organizacije poboljšati svoju sigurnost i hoće li budući incidenti uopće biti odvraćani.

Kad je provedba snažna, povrede podataka pokreću istrage, kazne i javnu odgovornost koji organizacije potiču na bolju praksu zaštite podataka. Kad provedba zaostaje, bilo zbog nedostatnih resursa, zaostataka u predmetima ili različitih nacionalnih prioriteta, učinak odvraćanja slabi, a pojedinci su sljedeći put izloženiji.

Što to znači za vas

Ako živite ili poslujete u EU-u, GDPR vam i dalje daje značajna prava: mogućnost da zatražite pristup svojim podacima, tražite njihovo brisanje i zahtijevate transparentnost o tome kako se koriste. No glavni nalaz izvješća koristan je podsjetnik da se ta prava ne provode savršeno ujednačeno, pa se isplati biti proaktivan umjesto pretpostaviti da će sustav uvijek otkriti probleme umjesto vas.

Nekoliko praktičnih koraka može pomoći smanjiti jaz između zaštite zapisane u zakonu i one koju zaista doživljavate svakodnevno:

  • Ostvarujte svoja GDPR prava izravno s tvrtkama umjesto da čekate da regulatori djeluju u vaše ime.
  • Obratite pozornost na obavijesti o povredi podataka i pratite ih, jer nisu svi odgovori tijela za zaštitu podataka jednako brzi ni temeljiti.
  • Koristite jake, jedinstvene lozinke i uključite dvofaktornu autentifikaciju, jer tehničke mjere zaštite ne ovise o tome koji je regulator nadležan.
  • Razmislite o alatima za privatnost poput VPN-a ili šifrirane komunikacije pri rukovanju osjetljivim informacijama, osobito ako niste sigurni koliko će vaši podaci biti strogo zaštićeni u daljnjem lancu obrade.

Zaključak

Deset godina nakon što je GDPR postao zakon, ovaj je okvir nesporno podigao osnovnu razinu zaštite podataka diljem Europe i utjecao na propise o privatnosti i izvan granica EU-a. No analiza Compliance Weeka pravovremen je podsjetnik da je zakon učinkovit onoliko koliko je jaka njegova najslabija karika provedbe. Dok god provedba među državama članicama ne postane dosljednija, pojedinci će i dalje nejednako koristiti zaštitu koju je GDPR trebao jamčiti. Za sada, najpouzdaniji put naprijed jest kombinirati svijest o svojim zakonskim pravima s razumnim osobnim sigurnosnim navikama, umjesto da se isključivo oslanjamo na regulatore da popune praznine.