Правна заштита права на личне податке и одговорност за накнаду штете – између нормативног оквира и стварне ефикасности

ПРАВНА ЗАШТИТА ПРАВА НА ЛИЧНЕ ПОДАТКЕ И ОДГОВОРНОСТ ЗА НАКНАДУ ШТЕТЕ – ИЗМЕЂУ НОРМАТИВНОГ ОКВИРА И СТВАРНЕ ЕФИКАСНОСТИ

АПСТРАКТ: Право на заштиту података о личности представља једно од кључних савремених људских права, чија се повреда све чешће јавља у условима интензивне дигитализације и масовне обраде података. Иако нормативни оквир, посебно у европском правном простору кроз Општу уредбу о заштити података (General Data Protection Regulation, ГДПР, 2016) предвиђа право на накнаду материјалне и нематеријалне штете услед повреде овог права, у пракси се отвара питање стварне ефикасности грађанскоправне заштите оштећених лица. Циљ овог рада јесте да испита домете и ограничења грађанскоправне одговорности за повреду права на заштиту личних података, са посебним освртом на институт накнаде нематеријалне штете. У раду се примењују нормативно-правни и упоредноправни метод, као и анализа релевантне праксе Суда правде Европске уније, нарочито у погледу тумачења члана 82 ГДПР-а (2016). Посебна пажња посвећена је разматрању односа између саме повреде права и постојања правно релевантне штете, као и проблемима доказивања нематеријалне штете у националним правним порецима. Резултати истраживања указују на постојање нормативно успостављеног, али у пракси често фрагментисаног система грађанскоправне заштите, у којем неуједначена судска пракса и одсуство јасних критеријума за утврђивање и висину накнаде нематеријалне штете умањују стварну делотворност права на накнаду. Закључно, рад указује на потребу даљег усклађивања грађанскоправних института са циљевима права заштите података о личности, како би се обезбедила потпуна и ефективна правна заштита оштећених субјеката.

Кључне речи: заштита података о личности, грађанскоправна одговорност, накнада штете, нематеријална штета, ГДПР, ефикасност правне заштите.

1.    Увод

Право на заштиту личних података данас представља једно од основних права савременог правног поретка, чији је значај додатно повећан због интензивног развоја дигиталних технологија, масовне обраде података и све чешћих кршења индивидуалне приватности. Све интензивнију размену личних података прате бројне злоупотребе и кршења права, због чега се прописи о заштити личних података интензивно развијају широм света у последње две деценије (Јашаревић, 2018, стр. 293). Иако је нормативни оквир за заштиту личних података, посебно на нивоу Европске уније и у националном законодавству, достигао висок ниво развоја, питање стварне ефикасности правне заштите и даље остаје отворено, посебно у области грађанске одговорности и накнаде штете настале кршењем овог права.

Циљ овог рада јесте да се испита у којој мери постојећи нормативни оквир пружа ефикасну грађанскоправну заштиту права на заштиту личних података, са посебним освртом на грађанскоправну одговорност за штету и остваривање права на накнаду нематеријалне штете. Полази се од тезе да висок ниво нормативне заштите сам по себи не гарантује њену ефикасну примену у пракси, посебно у ситуацијама када су критеријуми за утврђивање постојања штете и одређивање њене висине недоследни или недовољно прецизно дефинисани.

У методолошком смислу, рад се заснива на нормативној анализи релевантних извора права, пре свега Опште уредбе о заштити података (General Data Protection Regulation, 2016) и домаћих прописа који регулишу заштиту личних података, као и на анализи савремене судске праксе Суда правде Европске уније у области накнаде штете због повреде права на заштиту личних података. Поред тога, примењена је метода упоредног права како би се испитао однос између европских стандарда заштите и традиционалних института грађанског права, као и аналитичко-догматска метода како би се разјаснио концепт нематеријалне штете и грађанскоправне одговорности у овом специфичном правном контексту.

На овај начин, рад настоји да пружи критички осврт на постојећа нормативна и судска решења, али и да идентификује кључне практичне изазове у остваривању права на накнаду штете настале услед повреде права на заштиту личних података. Посебна пажња посвећена је разматрању могућих праваца за побољшање ефикасности грађанскоправне заштите, укључујући развој јаснијих критеријума за процену нематеријалне штете, јачање процесних механизама који олакшавају доказивање повреде права и њених последица, као и значај судске праксе у обезбеђивању јединствене и ефикасне заштите лица чији су лични подаци незаконито обрађени или на други начин повређени. На основу наведеног, рад указује на потребу успостављања равнотеже између високих нормативних стандарда за заштиту личних података и њихове доследне и ефикасне примене у судској пракси.

2.    Појам и значај права на заштиту података о личности

Право на заштиту података о личности данас се сматра једним од основних права савременог правног поретка, чији је значај у великој мери превазишао оквире класичног схватања права на приватност. Иако се историјски развијало у оквиру права на приватни и породични живот, у савременим правним системима право на заштиту података о личности афирмисано је као самостално основно право, са посебним нормативним садржајем, институционалним механизмима и судском заштитом. То потврђују како нормативни извори права Европске уније тако и савремена судска пракса и правна доктрина (Charter of Fundamental Rights of the European Union, 2012, чл. 7–8; Van Alsenoy, 2016, стр. 272– 273; Слијепчевић, 2019, стр. 4–6).

Подаци о личности обухватају све информације које се односе на одређено или одредиво физичко лице и које омогућавају његову непосредну или посредну идентификацију. Неадекватно коришћење таквих података може довести до повреде права на приватност и других основних права. У ову категорију спадају идентификациони и контакт-подаци, као што су име и презиме, јединствени матични број грађана, адреса пребивалишта, број телефона, бројеви личних исправа, као и подаци о старости, запослењу, функцији, статусу и положају појединца у одређеним правним или друштвеним односима (Слијепчевић, 2019). Реч је о подацима чије откривање или злоупотреба могу угрозити живот, телесни и физички интегритет, част, углед, породични живот, идентитет и лично име појединца, при чему се заштита односи како на жива лица тако и на лица која су преминула или проглашена умрлим. У савременом друштву, које карактерише стални пораст доступности и размене информација, заштита података о личности представља једно од најзначајнијих и најосетљивијих правних питања, јер повећана доступност података истовремено носи и већи ризик од њихове злоупотребе, која се може разумети као свака неовлашћена или незаконита обрада података способна да проузрокује или потенцијално проузрокује штету лицу на које се подаци односе.

Док се право на приватност традиционално схвата као право појединца да искључи јавност из одређених сегмената свог живота, право на заштиту података о личности има шири домет, јер се односи и на ситуације у којима не постоји елемент интимности, али постоји ризик од злоупотребе информација које омогућавају идентификацију одређеног лица (Li, 2023, стр. 337). Управо у овој разлици огледа се грађанскоправни значај овог права, будући да штета може настати и без класичне повреде приватног живота, на пример, услед губитка контроле над подацима о личности, страха од њихове злоупотребе или нарушавања угледа.

Значај права на заштиту података о личности додатно је наглашен чињеницом да се савремена обрада података одвија масовно, аутоматизовано и често нетранспарентно, што повећава ризик од повреде права и истовремено отежава остваривање ефикасне правне заштите. Управо због тога разматрање овог права не може остати само на нивоу његовог нормативног признавања, већ захтева анализу његове стварне делотворности у пракси.

3.    Нормативни оквир заштите права на заштиту података о личности

Развој информационо-комуникационих технологија довео је до експоненцијалног пораста обраде података о личности, што је условило успостављање свеобухватног и вишеслојног правног оквира којим се ова област уређује како на међународном тако и на националном нивоу. Нормативна заштита права на заштиту података о личности не може се посматрати изоловано, већ као саставни део ширег система заштите приватности, личних права и грађанскоправних интереса појединца, који обухвата и право на судску заштиту, као и право на накнаду штете у случају повреде овог права.

На међународном плану, заштита права на заштиту података о личности своје темеље налази у универзалним инструментима заштите људских права. Универзална декларација о људским правима (1948) гарантује заштиту приватног и породичног живота, дома и преписке, забрањујући произвољно мешање у ове сфере. Слична заштита предвиђена је и Међународним пактом о грађанским и политичким правима (1966), којим се државама намеће обавеза да обезбеде делотворну правну заштиту од незаконитог или произвољног задирања у приватност. Посебан значај у европском правном простору има Европска конвенција за заштиту људских права и основних слобода (Convention for the Protection of Human Rights and Fundamental Freedoms, 1950), чији члан 8 јемчи право на поштовање приватног и породичног живота, дома и преписке, док је пракса Европског суда за људска права значајно допринела развоју стандарда заштите у овој области.

Значајан нормативни искорак ка прецизнијем и систематичнијем уређењу ове материје учињен је усвајањем Конвенције Савета Европе о заштити лица у односу на аутоматску обраду података о личности, познатија као Конвенција 108 (Convention on the Protection of Individuals with regard to Automatic Processing of Personal Data, 1981), првог међународног обавезујућег инструмента који је искључиво посвећен заштити података о личности (1981). Ова конвенција, заједно са Додатним протоколом, поставила је основна начела законите обраде података, њихове безбедности и међународног преноса, која су касније инкорпорирана у савремене европске стандарде заштите података.

Током готово петнаест година, Директива о заштити података (Data Protection Directive, 1995), представљала је основни нормативни оквир заштите података о личности у Европској унији. Иако су њени основни циљеви и принципи задржали своју вредност, убрзани развој информационо-комуникационих технологија, масовна дигитализација јавног и приватног сектора, централизација база података и глобализација обраде података учинили су постојећи регулаторни модел недовољно прилагођеним савременим друштвеним и технолошким околностима. Европска комисија још је 2010. године указала на потребу свеобухватне

ПРАВНА ЗАШТИТА ПРАВА НА ЛИЧНЕ ПОДАТКЕ И ОДГОВОРНОСТ ЗА НАКНАДУ ШТЕТЕ... реформе система заштите података, док је јавна консултација спроведена 2009. године потврдила растућу забринутост због утицаја нових технологија на приватност, као и на потребу за јединственијим, кохерентнијим и ефикаснијим системом заштите података на нивоу Европске уније (Van Alsenoy, 2016).

Усвајањем Опште уредбе о заштити података 2016. године, која се примењује од 2018. године, основна структура одговорности из Директиве 95/46/ЕЗ је задржана, али је истовремено квалитативно унапређена. ГДПР уводи модеран, свеобухватан и непосредно применљив регулаторни оквир, који обезбеђује уједначену заштиту података о личности широм Европске уније, али и изван ње, имајући у виду њен екстериторијални домашај.

Нормативни допринос ГДПР-а (2016) огледа се првенствено у прецизнијем дефинисању кључних појмова, проширењу и систематизацији основних начела заштите података о личности, као и њиховом непосредном повезивању са самим процесом обраде података. За разлику од претходног режима, у којем су ова начела имала претежно декларативни карактер, она су добила статус оперативних правних стандарда чије поштовање руковалац мора бити у стању да континуирано доказује. Посебно су разрађена начела законитости, правичности и транспарентности, ограничења сврхе, минимизације података, тачности, ограничења периода чувања, као и интегритета и поверљивости, која заједно чине нормативну основу законите обраде података о личности.

Истовремено, ГДПР (2016) значајно јача правни положај појединца увођењем и разрадом нових субјективних права, међу којима се издвајају право на јасне и разумљиве информације о обради података, право на приступ подацима, право на преносивост података, право на брисање података („право на заборав“), право на обавештење о повреди безбедности података, као и посебна заштита деце у дигиталном окружењу. Ова права употпуњена су снажнијим институционалним системом надзора и знатно строжим механизмима санкционисања, чиме се обезбеђује ефикаснија примена прописа и јача превентивна функција правне заштите.

У погледу грађанскоправне одговорности, ГДПР (2016) успоставља свеобухватан оквир којим се уређује одговорност руковалаца и обрађивача за незакониту обраду података о личности и штету насталу услед повреде његових одредаба. По први пут изричито се признаје да и обрађивачи представљају субјекте са непосредним законским обавезама и самосталном одговорношћу према лицима чији се подаци обрађују.

Судска пракса Суда правде Европске уније додатно је разјаснила домет овог права, нарочито у погледу појма нематеријалне штете, неприхватања прага озбиљности као услова за остваривање права на накнаду, као и критеријума за њено досуђивање. На тај начин потврђено је да ГДПР није само административни инструмент заштите података о личности, већ регулаторни оквир који непосредно утиче на национална грађанскоправна правила о одговорности и накнади штете. Тиме заштита података о личности превазилази оквире традиционалног управног надзора и постаје саставни део савременог система грађанскоправне заштите личних права (Li, 2023, стр. 336–339).

У правном поретку Републике Србије право на заштиту података о личности има уставни карактер. Устав Републике Србије (2006) јемчи заштиту података о личности и забрањује њихову употребу изван сврхе за коју су прикупљени, уз гарантовано право сваког лица на судску заштиту у случају злоупотребе. На законском нивоу ова област уређена је Законом о заштити података о личности (2018), који је у великој мери усклађен са ГДПР-ом (2016) и уводи слична начела, институте и права лица на која се подаци односе. Поред управне заштите која се остварује пред Повереником за информације од јавног значаја и заштиту података о личности, домаћи правни оквир омогућава и остваривање грађанскоправне заштите, укључујући право на накнаду штете.

Грађанскоправна димензија заштите права на заштиту података о личности остварује се применом општих правила облигационог права, пре свега института одговорности за штету. Иако Закон о облигационим односима (ЗОО, 1978) не садржи посебне одредбе којима се уређује заштита података о личности, његова општа правила о проузроковању штете, повреди права личности и накнади нематеријалне штете примењују се и на случајеве незаконите обраде података о личности (ЗОО, 1978). Поред тога, поједини облици повреде права на заштиту података о личности могу имати и кривичноправне импликације, нарочито кроз кривично дело неовлашћеног прикупљања и коришћења података о личности (Кривични законик, 2005), као и кроз процесне механизме заштите у оквиру кривичног поступка (Законик о кривичном поступку, 2011). У литератури се истиче да управо међусобна повезаност управноправних, грађанскоправних и кривичноправних механизама представља кључни предуслов стварне делотворности заштите права на заштиту података о личности (Слијепчевић, 2019, стр. 4–6).

Може се закључити да нормативни оквир заштите права на заштиту података о личности карактерише вишеслојност и међусобна повезаност међународних, европских и националних извора права. Посебан значај има ГДПР (2016), који је у значајној мери редефинисао грађанскоправну одговорност и право на накнаду штете, приближавајући заштиту података о личности класичним институтима грађанског права. Ипак, развој нормативног оквира сам по себи није довољан да обезбеди потпуну и делотворну заштиту. Њена стварна ефикасност зависи од доследне примене прописа, развоја уједначене судске праксе и јачања свести о значају заштите података о личности у савременом друштву, што представља основ за даље разматрање грађанскоправне одговорности и изазова у остваривању права на накнаду штете због повреде овог права.

4.    Повреда права на заштиту података о личности и њене правне последице

Повреда права на заштиту података о личности настаје у ситуацијама када се обрада података о личности врши супротно важећим правним правилима, односно без постојања одговарајућег правног основа, изван дозвољене сврхе обраде или уз непоштовање основних начела обраде података. Савремена правна теорија и судска пракса указују на то да повреда овог права није ограничена искључиво на масовне безбедносне инциденте, попут цурења великих база података, већ може настати и у појединачним случајевима неовлашћеног прикупљања, коришћења, откривања или објављивања података о одређеном лицу (Слијепчевић, 2019, стр. 3–5).

Најчешћи облици повреде права на заштиту података о личности обухватају незакониту обраду података, њихово неовлашћено објављивање, као и неадекватно обезбеђење података које доводи до неовлашћеног приступа трећих лица. Посебно су изражени ризици у дигиталном окружењу, где аутоматизована обрада података и профилисање омогућавају обраду великих количина података без стварне контроле лица на које се подаци односе. Судска пракса Суда правде Европске уније потврђује да чак и привремени губитак контроле над подацима о личности може представљати правно релевантну повреду права, независно од тога да ли је накнадно дошло до њихове злоупотребе (C-300/21, UI против Österreichische Post AG ).

Једно од кључних питања које се поставља поводом повреде права на заштиту података о личности јесте питање настанка штете. У складу са савременим европским стандардима, штета може имати како материјални тако и нематеријални карактер. Материјална штета најчешће се испољава кроз финансијске губитке, крађу идентитета или онемогућавање остваривања одређених права, док нематеријална штета обухвата повреду психичког интегритета, осећај несигурности, страха, губитак контроле над сопственим подацима, као и нарушавање поверења у институције и друга лица која обрађују податке о личности (Li, 2023, стр. 336–339). Посебан значај има став Суда правде Европске уније према којем нематеријална штета не мора достићи одређени праг озбиљности да би била правно релевантна, већ је довољно да постоји стварна и индивидуално препознатљива штетна последица.

Може се закључити да повреда права на заштиту података о личности представља сложен правни феномен који превазилази традиционалне

ПРАВНА ЗАШТИТА ПРАВА НА ЛИЧНЕ ПОДАТКЕ И ОДГОВОРНОСТ ЗА НАКНАДУ ШТЕТЕ... оквире заштите приватности. Њене последице не огледају се само у настанку индивидуалне материјалне или нематеријалне штете већ и у нарушавању поверења грађана у правни и институционални систем заштите података о личности. Управо због тога разумевање различитих облика повреде и њихових правних последица представља неопходну полазну основу за разматрање грађанскоправне одговорности и делотворности института накнаде штете, што ће бити предмет анализе у наредном поглављу.

5.    Грађанскоправна одговорност за повреду права на заштиту података о личности

У правној теорији и судској пракси дуго није постојало јединствено становиште о правној природи одговорности за повреду права на заштиту података о личности. Преовлађујуће схватање полази од тога да је реч о посебном облику деликтне одговорности засноване на противправном поступању којим се повређује право личности, при чему се подаци о личности посматрају као саставни део личне, психолошке и информационе аутономије појединца (Van Alsenoy, 2016, стр. 271). У том смислу, повреда прописа о заштити података представља повреду законом заштићеног добра, чиме се испуњава основна претпоставка за настанак деликтне одговорности уз примену општих начела грађанског права о одговорности за штету. Овакво схватање нарочито је заступљено у правним системима који право на заштиту података о личности посматрају као саставни део ширег концепта права личности и права на приватност.

Истовремено, савремена правна теорија указује на то да се одговорност за повреду права на заштиту података о личности не може увек свести искључиво на деликтни модел. У појединим ситуацијама, нарочито када се обрада података врши у оквиру уговорног односа, као што су уговори о пружању дигиталних услуга, коришћење интернет платформи или електронска трговина, повреда обавеза прописаних ГДПР-ом може истовремено представљати и повреду уговорних обавеза према кориснику (Li, 2023, стр. 336). У таквим случајевима грађанскоправна одговорност може имати и карактеристике уговорне одговорности, уз примену општих правила о одговорности за повреду уговорних обавеза и поштовање посебних стандарда заштите података о личности. На тај начин потврђује се хибридна природа одговорности у овој области, која се креће између класичног деликтног и уговорног модела. Питање да ли члан 82 ГДПР-а (2016) успоставља елементе објективне одговорности дуго је привлачило значајну пажњу у правној теорији и судској пракси. Таква схватања заснивала су се на чињеници да овај акт обезбеђује висок степен заштите лица на која се подаци односе, као и ограничене могућности ослобођења од одговорности. Ипак, указивано је на то да чак ни режими строге или објективне одговорности сами по себи не доводе аутоматски до обавезе накнаде штете уколико није настала конкретна правно релевантна штета и ако не постоји узрочна веза између противправног поступања и настале последице (Shavell, 1980, стр. 1).

Управо је тумачење питања правне природе одговорности руковаоца и обрађивача, било предмет интензивног развоја у пракси Суда правде Европске уније. Најновија пракса Суда правде Европске уније значајно је допринела разјашњењу правне природе одговорности из члана 82 ГДПР-а (2016). У предмету C-667/21 Krankenversicherung Nordrhein против Verbraucherzentrale Nordrhein-Westfalen eV Суд је заузео став да је за утврђивање одговорности руковаоца неопходно постојање његове кривице, при чему се кривица претпоставља, осим ако руковалац докаже да догађај који је проузроковао штету ни на који начин није последица

ПРАВНА ЗАШТИТА ПРАВА НА ЛИЧНЕ ПОДАТКЕ И ОДГОВОРНОСТ ЗА НАКНАДУ ШТЕТЕ... његовог поступања (Пресуда Суда правде Европске уније C-667/21 од 21. децембра 2023. године). На тај начин Суд је потврдио да члан 82 ГДПР-а (2016) не успоставља режим објективне одговорности, већ субјективне одговорности засноване на претпостављеној кривици. Овакво тумачење истовремено обезбеђује висок степен заштите лица на која се подаци односе и очување основних начела грађанскоправне одговорности (Novović & Bubalo, 2025, стр. 32).

Савремено схватање одговорности за повреду права на заштиту података о личности стога све више напушта раније ставове који су наглашавали њен објективни карактер и полази од становишта да право на накнаду штете из члана 82 ГДПР-а (2016) захтева кумулативно постојање повреде права, штете, узрочне везе и претпостављене кривице руковаоца или обрађивача. Тек након испуњења ових претпоставки настаје грађанскоправна одговорност за повреду права на заштиту података о личности, а право на накнаду штете постаје централни инструмент грађанскоправне заштите лица чији су подаци повређени. Накнада штете представља средишњи сегмент грађанскоправне заштите у случају повреде права на заштиту података о личности. ГДПР изричито признаје право на накнаду како материјалне тако и нематеријалне штете, чиме потврђује широко схватање последица повреде овог права. У пракси се материјална штета најчешће испољава кроз финансијске губитке, трошкове отклањања последица повреде, крађу идентитета или неовлашћено коришћење података у комерцијалне сврхе. Нематеријална штета, с друге стране, обухвата повреду психичког интегритета, губитак контроле над подацима о личности, страх од њихове злоупотребе, нарушавање угледа, као и осећај несигурности и понижења (Li, 2023, стр. 339).

У пресуди UI против Österreichische Post AG¹ (C-300/21) Суд правде Европске уније заузео је став да сама повреда одредаба ГДПР-а (2016) није довољна за остваривање права на накнаду штете, већ је неопходно доказати постојање конкретне штете и узрочне везе између повреде и настале последице. Истовремено, Суд је одбацио захтев да нематеријална штета мора достићи одређени праг озбиљности да би могла бити накнађена. На тај начин судска пракса успоставила је равнотежу између спречавања злоупотребе права на накнаду штете и обезбеђивања делотворне заштите оштећених лица.

Даља судска пракса потврђује да привремени губитак контроле над подацима о личности, као и оправдан страх од њихове будуће злоупотребе, могу представљати основ за накнаду нематеријалне штете, под условом да се докаже да је повреда имала стварне последице по положај оштећеног лица (Пресуда Суда правде Европске уније C-182/22 Scalable Capital од 14. децембра 2023. године; Пресуда Суда правде Европске уније C-340/21 VB против National Agency for Revenue од 26. октобра 2023. године)2. Овакво тумачење потврђује тенденцију ширег разумевања појма штете у области заштите података о личности, у складу са циљевима ГДПР-а (2016). Aутори сматрају да губитак контроле над подацима о личности треба признати као самосталан облик нематеријалне штете, независно од тога да ли је касније дошло до њихове стварне злоупотребе. Сам губитак могућности лица да контролише приступ, коришћење и даљу обраду сопствених података представља повреду информационе аутономије, која може произвести осећај несигурности, узнемирености и нарушавања приватности. С тим у вези, оправдан страх од будуће злоупотребе података не би требало посматрати као апстрактну или хипотетичку могућност, већ као правно релевантну последицу када је заснован на конкретним околностима случаја и када је способан да произведе стварне негативне ефекте по оштећено лице.

Упоредноправна анализа показује да, упркос хармонизованом нормативном оквиру, државе чланице Европске уније и даље различито приступају признавању и одмеравању нематеријалне штете. Док поједини правни системи задржавају рестриктиван приступ, други прихватају шире тумачење ослањајући се на начела делотворности и еквиваленције права Европске уније (Van Alsenoy, 2016, стр. 275; Li, 2023, стр. 344). Та разлика у приступу може се уочити и у домаћој судској пракси. Тако је у пресуди Управног суда Републике Србије У.14718/15 Суд своју оцену ограничио на испитивање да ли је Повереник поступао у оквиру својих законских овлашћења и у складу са прописаним процесним правилима, не упуштајући се у суштинску анализу конкретних последица повреде права на заштиту података о личности по појединца. Питање постојања стварне повреде права личности и нематеријалне штете која би захтевала делотворну судску заштиту није било предмет дубље анализе (Пресуда Управног суда Републике Србије У.14718/15 од 22. септембра 2015. године)3.

Посебну пажњу заслужује питање значаја праксе Суда правде Европске уније за домаћи правни систем. Иако Република Србија није држава чланица Европске уније и одлуке овог суда формално не представљају обавезујући извор права за домаће судове, чињеница да је Закон о заштити података о личности (2018) у великој мери усклађен са ГДПР-ом (2016) отвара могућност да се ставови овог суда користе као релевантан интерпретативни извор. Сходно томе, тумачења развијена у пракси Суда правде Европске уније поводом примене члана 82 ГДПР-а (2016) могу имати значајан утицај на развој домаће судске праксе, нарочито када је реч о дефинисању појма нематеријалне штете, процени значаја губитка контроле над подацима о личности, признавању страха од њихове злоупотребе као правно релевантне штете, као и утврђивању узрочне везе између повреде прописа и настале штете.

У предметима VB против National Agency for Revenue (C-340/21) и Scalable Capital (C-182/22) потврђено је да губитак контроле над подацима о личности и основан страх од њихове будуће злоупотребе могу представљати нематеријалну штету уколико су такве последице стварне и доказиве. Овакви ставови могу бити од посебног значаја за домаће судове у случајевима када повреда права на заштиту података о личности није проузроковала непосредну материјалну штету, али је довела до осећаја несигурности, узнемирености или повреде приватности оштећеног лица.

Прихватање стандарда развијених у пракси Суда правде Европске уније могло би допринети формирању јаснијих критеријума за процену и досуђивање накнаде нематеријалне штете у домаћем праву, већој правној сигурности и предвидивости судских одлука. То је од посебног значаја имајући у виду да је домаћа судска пракса до сада претежно била усмерена на контролу законитости одлука Повереника, док су питања грађанскоправне одговорности и накнаде штете због повреде права на заштиту података о личности још увек недовољно развијена.

6.    Изазови у пракси и стварна делотворност заштите

У домаћој судској пракси заштита права на заштиту података о личности најчешће се остварује у управним споровима поводом одлука Повереника за информације од јавног значаја и заштиту података о личности. У тим поступцима Управни суд пре свега испитује законитост обраде података и правилну примену материјалног права, што потврђује и пресуда Управног суда Републике Србије У.17892/17, у којој је суд спорни акт оценио искључиво са становишта његове законитости, испитујући да ли је Повереник правилно применио релевантне прописе и поступао у границама својих законских овлашћења. Суд је своју оцену ограничио на испитивање усклађености обраде података са важећим правним оквиром, не разматрајући питања грађанскоправне одговорности нити накнаде штете коју је евентуално претрпело лице на које се подаци односе, чиме је поново потврђена претежно управноправна природа судске заштите у овој области (Пресуда Управног суда Републике Србије У.17892/17 од 1. новембра 2017. године)⁴. Овај несклад између нормативних стандарда и њихове практичне примене препознат је и у пракси Европског суда за људска права, који је више пута истакао да формално постојање законског оквира само по себи не представља довољну гаранцију делотворне заштите права на приватност и податке о личности ( Rotaru против Румуније , стр. 59–61)⁵.

Додатни проблем представља неуједначеност судске праксе у погледу критеријума за утврђивање постојања и висине накнаде нематеријалне штете. Иако је Суд правде Европске уније изричито одбацио захтев постојања прага озбиљности штете, национални судови још увек примењују различите стандарде приликом оцене да ли је конкретна повреда достигла интензитет који оправдава досуђивање накнаде. Сличан проблем препознат је и у пракси Европског суда за људска права, који државама признаје одређени степен слободе процене у погледу висине накнаде, али истовремено захтева да досуђена сатисфакција не буде само симболична, већ да обезбеди стварну заштиту повређеног права (Biriuk против Литваније, ставови 45–47)7. Комбинација широког простора за судску оцену и одсуства прецизних критеријума доводи до ситуације да се чињенично и правно слични случајеви различито решавају у појединим државама, па чак и у пракси различитих судова, што доводи у питање начело једнаке и делотворне заштите права гарантованих ГДПР-ом (Van Alsenoy, 2016, стр. 275).

Посебан проблем у пракси представља недовољна информисаност грађана о њиховим правима и расположивим правним средствима заштите. Иако ГДПР полази од идеје оснаживања појединца, сложеност нормативног оквира, као и техничка природа савремених облика обраде података, често доводе до тога да оштећена лица нису у могућности да поуздано процене да ли је дошло до повреде њихових права, нити на који начин могу ефикасно остварити правну заштиту (Knetsch, 2022, стр. 140). Овај проблем нарочито долази до изражаја у условима масовне обраде података од стране великих дигиталних платформи, где је асиметрија моћи између појединца и руковаоца подацима посебно наглашена, што је Европски суд за људска права препознао као фактор који додатно повећава ризик од повреде права на приватност ( S. & Marper против Уједињеног Краљевства , ставови 103–105).

Имајући у виду наведене изазове, у савременој правној литератури све више се истиче потреба за даљим развојем и уједначавањем судске праксе, као и за прецизнијим нормативним и судским дефинисањем критеријума за утврђивање нематеријалне штете, ради обезбеђивања веће правне сигурности и предвидивости судских одлука. Континуитет овакве праксе потврђује и пресуда Управног суда Републике Србије У.12679/17, која указује на то да се судска заштита права на заштиту података о личности у домаћем праву претежно остварује кроз контролу законитости управних аката, док је питање накнаде штете препуштено грађанскоправним механизмима, чија примена у пракси још увек није довољно развијена (Пресуда Управног суда Републике Србије У.12679/17 од 7. августа 2017. године). Истовремено, указује се на значај континуиране едукације судија и других правних професионалаца у области заштите података о личности, као и на потребу јачања процесних механизама који би олакшали доказивање повреде права и њених последица, нарочито када је реч о нематеријалној штети (Li, 2023, стр. 344).

У циљу унапређења стварне делотворности грађанскоправне заштите неопходно је развити јасније критеријуме за утврђивање постојања и висине нематеријалне штете настале услед повреде права на заштиту података о личности. Приликом оцене постојања штете судови би могли узети у обзир природу и осетљивост података који су предмет повреде, обим и трајање незаконите обраде, степен губитка контроле над подацима, постојање оправданог страха од њихове будуће злоупотребе, као и конкретан утицај повреде на приватни и професионални живот оштећеног лица. Примена оваквих критеријума могла би допринети већој уједначености судске праксе и смањењу ризика од различитих одлука у чињенично сличним предметима.

Поред тога, оправдано је размотрити јачање процесних механизама који би олакшали доказивање нематеријалне штете. Имајући у виду да су последице као што су осећај несигурности, губитак контроле над подацима о личности или страх од њихове злоупотребе често тешко доказиве непосредним доказима, посредни докази и чињеничне претпоставке засноване на околностима конкретног случаја могли би добити већи значај. Такав приступ не би подразумевао аутоматско признавање права на накнаду штете, већ би допринео успостављању правичније равнотеже између потребе доказивања штете и обезбеђивања делотворне заштите лицу чија су права повређена. Иако Суд правде Европске уније и даље препушта питање одређивања висине накнаде националним правним системима, даљи развој заједничких интерпретативних стандарда могао би допринети већој правној сигурности и уједначенијој заштити права на заштиту података о личности на европском нивоу.

Све наведено потврђује да стварна делотворност заштите права на заштиту података о личности не зависи искључиво од квалитета нормативног оквира, већ подједнако и од његове доследне, уједначене и функционалне примене у пракси. Развој јаснијих критеријума за утврђивање и процену нематеријалне штете, јачање процесних механизама који олакшавају доказивање повреде права и њених последица, као и даље уједначавање судске праксе представљају важне претпоставке за остваривање делотворне грађанскоправне заштите. Управо у превазилажењу јаза између високих нормативних стандарда и практичних ограничења њихове примене налази се један од кључних изазова савременог система заштите података о личности и грађанскоправне одговорности за њихову повреду.

7.    Закључак

Право на заштиту података о личности данас представља једно од најзначајнијих права савременог правног поретка, чији значај континуирано расте упоредо са убрзаним развојем дигиталних технологија и све интензивнијом обрадом података. У таквим околностима, грађанскоправна одговорност за штету добија посебан значај као један од кључних инструмената обезбеђивања делотворне заштите појединца. Нормативни оквир успостављен Општом уредбом о заштити података (General Data Protection Regulation, ГДПР, 2016) несумњиво представља један од најразвијенијих система заштите права личности у савременом праву, јер гарантује не само признавање права на заштиту података о личности већ и делотворна правна средства заштите, као и право на накнаду материјалне и нематеријалне штете настале услед њихове повреде.

Резултатиистраживањапоказујудапостојањеразвијеногнормативног оквира само по себи није довољно да обезбеди ефикасну заштиту права у пракси. Иако је пракса Суда правде Европске уније значајно допринела прецизирању услова одговорности из члана 82 ГДПР-а (2016), посебно у погледу појма штете, узрочне везе и претпостављене кривице руковаоца и обрађивача, у пракси још увек постоје бројне недоумице, нарочито када је реч о признавању и одмеравању нематеријалне штете. Неуједначена судска пракса и различити приступи националних судова умањују правну сигурност и могу довести до различитог степена заштите лица чија су права повређена.

Истраживање је потврдило да је највећи недостатак постојећег система одсуство јасних критеријума за процену нематеријалне штете настале услед повреде права на заштиту података о личности. Управо би због тога судска пракса требало да развије јединствен приступ заснован на објективним и предвидивим критеријумима. Приликом одлучивања о накнади штете посебно би требало вредновати: врсту и осетљивост незаконито обрађених података, обим и трајање повреде, број лица којима су подаци постали доступни, степен губитка контроле над подацима, постојање оправданог страха од њихове будуће злоупотребе, стварне последице по приватни, породични и професионални живот оштећеног, као и поступање руковаоца након повреде, нарочито брзину отклањања последица, сарадњу са надзорним органом и благовремено обавештавање лица чији су подаци повређени.

Поред развоја материјалноправних критеријума, неопходно је унапредити и процесноправне механизме заштите. То подразумева јаснија правила о расподели терета доказивања, шире прихватање посредних доказа приликом доказивања нематеријалне штете, као и већу употребу судских вештачења када је потребно утврдити психичке и друге последице повреде права. Истовремено, потребно је обезбедити континуирану едукацију судија у области заштите података о личности и систематичније ослањање домаћих судова на стандарде развијене у пракси Суда правде Европске уније, имајући у виду да је Закон о заштити података о личности (2018) у великој мери усклађен са ГДПР-ом (2016).

Полазна теза рада, према којој висок степен нормативне заштите не подразумева нужно и једнако висок степен њене практичне делотворности, у потпуности је потврђена. Будући развој грађанскоправне заштите права на заштиту података о личности требало би да буде усмерен не само на даље усклађивање законодавства са европским стандардима већ и на развој јединствених судских критеријума, јачање процесних гаранција и унапређење судске праксе. Само комбинацијом јасних материјалноправних правила, ефикасних процесних механизама и доследне примене стандарда Суда правде Европске уније могуће је обезбедити да право на заштиту података о личности не остане само нормативно прокламовано право већ да представља стварно и делотворно средство заштите личности у дигиталном добу.

Право на заштиту података о личности у дигиталном друштву не сме остати само декларативно људско право, већ мора представљати право чија је судска заштита брза, делотворна и предвидива. Само уколико су грађанскоправни механизми способни да обезбеде стварну сатисфакцију оштећеном лицу, може се говорити о пуној остварености циљева ГДПР-а (2016) и савременог система заштите података о личности.

Изјава о непостојању сукоба интереса

Аутори изјављују да немају сукоб интереса.

Доприноси аутора

Концептуализација, М. Б. А.; методологија, Т. В.; формална анализа, М. Б. А. и Т. В.; израда почетне верзије рукописа, М. Б. А.; ревизија и уређивање рукописа, Т. В. Сви аутори су прочитали и одобрили коначну верзију рукописа.

Финансирање

Ово истраживање није финансирано из спољних извора.

Изјава о доступности података

Оригинални подаци и материјали који су коришћени у истраживању садржани су у овом раду и/или његовом пратећем материјалу. Додатне информације могу се добити обраћањем аутору за кореспонденцију.

Информисани пристанак свих учесника у истраживању/одобрење надлежног одбора

Није применљиво

Bećirović-Alić Maida

University of Novi Pazar, Department of Law, Novi Pazar, Serbia

Varađanin Tanja

University Business Academy in Novi Sad, Faculty of Law for Commerce and Judiciary in Novi Sad, Novi Sad, Serbia

LEGAL PROTECTION OF THE RIGHT TO

PERSONAL DATA AND LIABILITY FOR

DAMAGES – BETWEEN THE NORMATIVE

FRAMEWORK AND ACTUAL EFFECTIVENESS