Nikola STOJIĆ

1. april 2023.

Od donošenja GDPR-a do danas, proteklo je skoro pet godina. U tom periodu došlo je do velikih promena u načinu funkcionisanja interneta, obrade podataka i njihovog deljenja između različitih kontrolora i obrađivača podataka. Za internet, pet godina je poput jedne decenije, s obzirom na broj stvari koji se u tom periodu dogodi. Do pre nekoliko godina nismo morali da razmišljamo o AI i njegovom razvoju i upotrebi podataka, već se tada samo pretpostavljalo kakve bi promene mogle da se dese. Međutim, to sada više nije hipoteza nekog rada ili teksta, već realno razmišljanje u dobu ChatGPTa, MidJourneya i ostalih varijacija na temu upotrebe veštačke inteligencije. GDPR je fundamentalno promenio ponašanje, kako kompanija, tako i ljudi u pogledu deljenja podataka i njihovog korišćenja. Realizacija da svaki podatak ima svoju cenu i da ima određenu vrednost izgradio je marketinšku industriju i profit ogromnog broja kompanija, a posebno društvenih mreža. Zajedno sa najnovijim izmenama GDPR, uvođenjem Akta o digitalnim tržištima i Akta o digitalnim servisima, EU se odlučila da postepeno suzi manevarski prostor Big Tech kompanijama i da istovremeno smanji njihov uticaj i omogući fer-plej utakmicu za sve igrače na tržištu.

Od momenta stupanja GDPR na snagu, sada već davne 2018. godine, pokrenuti su slučajevi protiv internet giganata, kao što su, Meta, WhatsApp, Apple, Google. Mnogi od ovih slučajeva su svoju epilog dobili tek nakon nekoliko godina, a neki se i dalje pomeraju brzinom puža. Sa jedne strane, u interesu Evropske unije (EU) je da se slučajevi što pre okončaju, kako bi sama uredba imala efekat na kompanije koje su načinile prekršaj usled nepoštovanja nekih od odredbi GDPR. Istovremeno, sredstva dobijena od kazni idu u budžet EU koji se distribuira za projekte. Zakon koji se ne primenjuje u celosti je mrtvo slovo na papiru, što u ovom slučaju obe strane vrlo dobro znaju. Sa druge strane, kompanije žele da nađu najpovoljnije rešenje i da plate što je moguće manju kaznu. Kao i u svakoj španskoj seriji, da stvar ne bude previše monotona, pojavljuje se treći igrač - Irska, gde većina stranih tehnoloških kompanija ima registrovano evropsko sedište. Uzimajući mesnu nadležnost, pokrenuti slučajevi završe prvo pred Irskom komisijom za zaštitu podataka. S obzirom na popustljivost koju je komisija iskazala prema Big Tech kompanijama u pogledu vođenja postupka i kažnjavanja, upravo to je dovelo do toga da EU reaguje i predloži izmene GDPR.

Prilikom pisanja GDPR, osnovni cilj je bio da se upravljanje podacima konačno stavi u ruke korisnika i da se suzbije prodaja i zloupotreba korisničkih podataka. Nakon donošenja, ogroman broj kompanija uspešno je započeo njegovu primenu. Najviše ga se pridržavaju kompanije manje i srednje veličine, dok Big Tech kompanije na razne načine pokušavaju da zaobiđu njegovu delimičnu ili kompletnu primenu. Operativni pristup Big Tech kompanija sličan je pristupu tabloida. Korist koja se dobija u odnosu na kaznu je višestruka, te je novčanik uvek otvoren za plaćanje, dokle god je korist veća u odnosu na kaznu. Neke kompanije (kao npr. Meta) su čak i pretile i najavljivale da će se povući sa evropskog tržišta ukoliko budu primorane da se povinuju odredbama GDPR.

S obzirom na ozbiljnost slučajeva, EU je pokrenula postupke protiv kompanija koje su nastavile da krše propise. Kao što je na početku rečeno, većina ovih kompanija ima svoje sedište u Irskoj. Jedan od glavnih razloga zbog kog su sve velike firme, poput Apple i Meta otvarale svoja evropska predstavništva u Irskoj, jeste poreska stopa na dobit od 12,5 odsto, kao i povoljna biznis klima i niski operativni troškovi za vođenje predstavništva za evropsko tržište. Prilikom pisanja GDPR, u samom aktu postoji odredba pod nazivom One Stop Shop. Ova odredba označava da ako jedna firma posluje sa celom EU, a ima sedište u jednoj od zemalja EU, da nije potrebno da se postupak protiv kompanije pokreće u svakoj članici ponaosob, već da će nadzorno telo u mestu sedišta, u ovom slučaj Irska Komisija za zaštitu podataka, biti nadređena za pokretanje i vođenje postupaka protiv kompanija. Odluke donete u jednoj zemlji članici važe i primenjuju se u svim zemljama članicama.

Praktično, preko noći, Irska je dobila neverovatno moćnu polugu upravljanja i našla se, istovremeno, kako u nezavidnom, tako i u podređenom položaju. Sa jedne strane stoje obaveze prema samoj EU i poštovanja njenih zakona, a sa druge strane status kompanijskog raja i obaveza ugađanja kompanijama kako bi očuvali svoju povoljnu poslovnu klimu. Nesumnjivo je da su u Irskoj vršeni pritisci i dogovori iza kulisa, kako bi se donosile povoljnije odluke. Čitava saga između Irske i EU počela je kada su se poveli prvi postupci protiv Big Tech kompanija. Verujući da ih ima u šaci, EU je računala da će postupci biti brzo pokrenuti i što pre okončani, s obzirom na količinu prisutnih dokaza. Igrom slučaja, postupci su se konstantno odlagali, kasno pokretali koliko god je to bilo moguće, što je rezultiralo time da su mnogi trajali po više godina. Primera radi, postupak protiv WhatsAppa pokrenut je 2018. godine, a okončan sredinom 2021. godine. Irska komisija za zaštitu podataka ograničila je postupak protiv WhatsAppa na bezbednost podataka i na poboljšanje usluga. Ako pogledamo postupke protiv Instagrama i Facebooka koji su pokrenuti od strane austrijskog i belgijskog državljanina zbog personalizovanih oglasa, ukupna suma koju su dužni da plate iznosi 390 miliona evra. Irska komisija je planirala da kazna bude između 29-36 miliona evra, što je, praktično, ništavna suma za kompaniju takve veličine. Evropski odbor za zaštitu podataka (EOZP) - nadnacionalno telo na nivou EU, u decembru prošle godine preinačila je odluku Irske komisije i proširila njen efekat. Naime, s obzirom na to da su Facebook, Instagram i WhatsApp deo kompanije Meta, te da svi međusobno dele podatke o korisnicima i to koriste kako bi pravili personalizovane oglase koji se, zatim, nude korisnicima, doneta je nova odluka koja je to sve uzela u obzir. Meta je u svom odgovoru na odluku citirala tačku b, člana 6 GPDR, gde je navela da su oglasi potreban deo usluge, odnosno, ugovora koji se izvršava kada se korisnici registruju za neku od njihovih usluga. Stavljena između čekića i nakovanja, Irska se protivi izvršenju preinačene odluke, spremna da pokrene postupak protiv EOZP.

Jedan od glavnih razloga zbog kog je Irska zaštitinički nastrojena prema Big Tech kompanijama polazi upravo od toga što one čine 16 odsto njene ekonomije i zapošljavaju oko 100 hiljada stanovnika. Irska je, praktično, zavisna od tehnoloških kompanija, s obzirom na to da su većim delom odgovorne za njen ekonomski rast. Međutim, kao članica EU, Irska, takođe, ima određene obaveze koje mora da ispunjava. Značajnu ulogu u razvoju Irske igralo je i njeno članstvo u EU, kao i brojni trgovinski sporazumi.

Glavna novina u okviru GDPR koju EU želi da uvede, jeste da se delimično oslobodi One Stop Shop modela. S obzirom na to da su svi zakoni u članicama EU sinhronizovani u najvećem delu, mala je razlika u kojoj će se državi započeti postupak. Ipak, najveća izmena koju donosi predlog EU odnosi se na uvođenje konsultacija i obaveštavanje drugih članica na svaka dva meseca o slučajevima koji su pokrenuti i njihovom statusu. Cilj je da se na vreme reaguje od strane drugih država članica, kako bi se sprečilo otezanje postupka i samim tim dodeljivanje manjih kazni od strane država poput Irske.

Novac koji se može dobiti zbog prekršaja za GDPR iznosi od dva do četiri odsto globalnog profita, odnosno, od 10 do 20 miliona evra - koji god da je veći iznos, a u zavisnosti od prekršaja. Kombinovano sa kaznom od 10 odsto, predviđenom za prekršaj pravila Akta o digitalnim tržištima, reč je o sumama koje se kreću u milijardama dolara za kompanije velike kao Meta ili Twitter. Sa jedne strane, potrebno je da kompanije osete da zaista postoji rizik da će biti kažnjene i da će ih to „udariti po džepu”. Sa druge strane, reč je o novcu koji se može iskoristiti i preusmeriti u kasu za razne razvojne projekte u okviru same EU. Irsko nezadovoljstvo navedenim izmenama GDPR je razumljivo, s obzirom na to da su, tehnički, izgubili svoju nezavisnost u odlučivanju. Opet, posmatrano sa aspekta Irske kao države, svaka zemlja se trudi da maksimalno obezbedi povoljne uslove poslovanja za strane investicije i da prihoduje koliko god je moguće u svoju kasu. Međutim, kada je reč o multinacionalnim kompanijama čiji je profit veći od budžeta ogromnog dela država, teško je izboriti se sa tim uticajem kao mala država u odnosu na blok država poput EU. Čak i sada, kompanije poput Amazona, Applea, Microsofta, šalju svoje lobiste u Belgiju i druge države kako bi izlobirale što povoljniji tretman u okviru same EU. Ostaje da vidimo kako će navedene izmene GDPR uticati na odnos Irske i EU i na rad predstavništva inostranih kompanija na teritoriji EU. Što je veći ćup sa zlatom, to je i za leprikona još nezgodnije da ga sačuva.