Primjer: Hosting provajder primiti obavijest o nezakonitom sadr\u017eaju, poluautomatski je pregleda, ukloni objavu, obrazlo\u017ei odluku pogo\u0111enoj osobi i pohrani postupak za mogu\u0107i \u017ealbeni postupak. Sa stanovi\u0161ta Akt o digitalnim uslugama (DSA), ovo su \u010dlanovi 16, 17 i 20 DSA. Sa stanovi\u0161ta Op\u0107e uredbe o za\u0161titi podataka (GDPR), svaki pojedina\u010dni korak predstavlja obradu li\u010dnih podataka koja zahtijeva pravni osnov, svrhu i rok \u010duvanja.<\/p>\n
O odnosu ova dva pravna akta govori \u010dl. 2. st. 4. t. g DSA. DSA ostavlja GDPR \u201eneizmijenjenim\u201c, on nije lex specialis u odnosu na njega (Smjernice, marg. br. 8 i d.). Pravni akti Unije istog ranga bez pravila prvenstva moraju se, naprotiv, primjenjivati tako da ostanu me\u0111usobno uskla\u0111eni. Pored toga, DSA na klju\u010dnim mjestima upu\u0107uje na GDPR: profiliranje u \u010dl. 26. st. 3. i \u010dl. 28. st. 2. DSA je ono iz \u010dl. 4. t. 4. GDPR-a, posebne kategorije su one iz \u010dl. 9. st. 1. GDPR-a (Smjernice, marg. br. 4).<\/p>\n
Paralel\u0578\u0582\u0569\u0575\u0578\u0582\u0576 odre\u0111uje i nadzorni nivo. Koordinator za digitalne usluge u Austriji, u skladu sa Zakonom o koordinatoru za digitalne usluge, jeste KommAustria, tijelo za rje\u0161avanje sporova je RTR-GmbH. Za GDPR ostaje Agencija za za\u0161titu podataka<\/a> nadle\u017ean. Jedna te ista \u010dinjenica mo\u017ee istovremeno uticati na obje sfere i posljedi\u010dki uposliti dva organa koja vr\u0161e provjeru po razli\u010ditim kriterijima.<\/p>\n Smjernice EDSA-e izdaju se u skladu s \u010dlankom 70. stavkom 1. to\u010dkom e) GDPR-a i nisu pravno obavezuju\u0107e. To je ta\u010dno; ovo je odredba o za\u0161titi podataka. Niti smjernice nastoje tuma\u010diti DSA; to je rezervirano Komisiji, Europskom odboru za digitalne usluge i Suda pravde Europske unije. Naprotiv, EDSA poja\u0161njava kako se GDPR treba primjenjivati u scenarijima koje propisuje DSA (Smjernice, stavak 5).<\/p>\n Prakti\u010dno ovo dodu\u0161e ima veliku djelotvornost. Agencije za za\u0161titu podataka u EU vr\u0161e provjere du\u017e ovih linija, a ko od toga odstupa, mora biti u stanju opravdati svoje odstupanje. Nakon kruga konsultacija, osim toga, postoji u\u010dvr\u0161\u0107en stav koji se vi\u0161e ne mo\u017ee odbaciti kao nacrt. Dvije teme su izri\u010dito izuzete: politi\u010dko ogla\u0161avanje prema Uredbi (EU) 2024\/900 i pristup istra\u017eiva\u010dkim podacima prema \u010dlanu 40. DSA (smjernice, ta\u010dka 6).<\/p>\n \u010clan 7 DSA ubla\u017eava zabrinutost pru\u017eatelja usluga da bi dobrovoljna pretraga nezakonitog sadr\u017eaja mogla dovesti do gubitka izuze\u0107a od odgovornosti predvi\u0111enih \u010dlancima 4 do 6 DSA (Odredba dobrog Samaritanca<\/em>). Me\u0111utim, ovo ne predstavlja odobrenje prema zakonu o za\u0161titi podataka. Svako ko filtrira, klasificira ili obu\u010dava modele na vlastitu inicijativu treba pravnu osnovu, a to je obi\u010dno legitimni interes prema \u010dlanu 6(1)(f) GDPR-a (Smjernice, stav 17).<\/p>\n EDSA zahtijeva dokumentiranu ravnote\u017eu interesa u ovom pogledu. Iako je interes za otkrivanje nezakonitog sadr\u017eaja legitiman, neophodnost se mora dokazati, a postupak uspostavljanja ravnote\u017ee mora uzeti u obzir razumna o\u010dekivanja korisnika i to da li su djeca pogo\u0111ena (Smjernice, stav 18). Princip ograni\u010denja svrhe je tako\u0111er va\u017ean. Podaci iz procesa moderacije ne smiju se ponovo koristiti za personalizaciju sadr\u017eaja ili ogla\u0161avanja. Uvodna izjava 56 DSA tako\u0111er jasno navodi da DSA ne dopu\u0161ta profiliranje u svrhu potencijalne istrage krivi\u010dnih djela (Smjernice, stavak 22).<\/p>\n Ako, s druge strane, postoji posebna zakonska obaveza, na primjer prema \u010dlanu 17. Direktive o autorskim pravima (EU) 2019\/790 ili za izvr\u0161enje zahtjeva za brisanje prema \u010dlanku 17. GDPR-a, \u010dlanak 6. stavak 1. to\u010dka (c) GDPR-a mo\u017ee se smatrati pravnim osnovom. Obaveza mora biti jasna, precizna i predvidiva, a obrada proporcionalna (Smjernice, stavak 20 i sl.).<\/p>\n Obaveza po\u0161tivanja procedura izvje\u0161tavanja i otklanjanja nedostataka prema \u010dlanu 16. DSA-e odnosi se na sve pru\u017eatelje usluga hostinga, bez obzira na njihovu veli\u010dinu (Smjernice, stavak 26; Recital 50 DSA-e). Odbor povla\u010di jasnu granicu u pogledu opsega prikupljenih podataka (Smjernice, stavak 31 i dalje):<\/p>\n U slu\u010daju prijava prekr\u0161aja prema \u010dlancima 3. do 7. Direktive 2011\/93\/EU, ime i adresa e-po\u0161te ne bi trebali biti prikupljani od samog po\u010detka (Smjernice, stavak 29).<\/p>\n \u010clan 23 DSA omogu\u0107ava online platformama da obustave svoje usluge korisnicima koji zloupotrebljavaju sistem, kao i da obustave obradu izvje\u0161taja i pritu\u017ebi koje su o\u010digledno neosnovane. \u010clan 20 DSA zahtijeva interni sistem za upravljanje pritu\u017ebama pod nadzorom kvalifikovanih lica. Iz perspektive za\u0161tite podataka, ovo isti\u010de princip koji ina\u010de dobiva malo pa\u017enje: ta\u010dnost prema \u010dlanu 5(1)(d) GDPR-a. Suspenzije zasnovane na neta\u010dnim podacima imaju ozbiljan utjecaj na subjekte podataka; stoga, podaci moraju biti ta\u010dni, a period \u010duvanja ograni\u010den na svrhu (Smjernice, stav 42 i sl.).<\/p>\n Odbor tako\u0111e napominje da postupci po \u017ealbi i blokade ne dovode u pitanje prava iz GDPR-a. Ko god je blokiran, i dalje mo\u017ee zahtijevati pristup, brisanje, kao i prenosivost podataka (Smjernice, ta\u010dka 43).<\/p>\n \u010clan 25. stav 1. Zakona o digitalnim uslugama (DSA) zabranjuje online platformama upotrebu manipulativnih interfejsa (dark patterns); stav 2. Pro\u010ditaj nogu<\/em> isklju\u010duje ono \u0161to je ve\u0107 obuhva\u0107eno GDPR-om ili Direktivom o nepo\u0161tenoj poslovnoj praksi (UPG). Razgrani\u010denje je stoga pitanje nadle\u017enosti, a EDPB navodi dva kriterija (Smjernice, ta\u010dka 45):<\/p>\n Razliku je mogu\u0107e ilustrirati primjerom. Poruka 'Ostalo je samo nekoliko na zalihi' je prodajni slogan i stoga vi\u0161e pitanje zakona o po\u0161tenoj trgovini. Dodatak 'Unesite svoju e-mail adresu, datum ro\u0111enja i po\u0161tansku adresu sada kako biste rezervisali svoj artikal' osmi\u0161ljen je da prikupi dodatne podatke i stoga spada pod GDPR. U takvim slu\u010dajevima se stvar obi\u010dno rje\u0161ava jer takva praksa kr\u0161i princip dobre vjere prema \u010dlanu 5(1)(a) GDPR-a.<\/p>\n Odbor posve\u0107uje posebnu pa\u017enju obrascima koji poti\u010du ovisnost, kao \u0161to su beskrajno skrolanje, automatska reprodukcija, mehanike niza i odbrojavanja, koje DSA navodi u izlaganjima 81 do 83 kao izvore sistemskog rizika (Smjernice, stavak 49 i nadalje).<\/p>\n \u010clan 26(1) DSA zahtijeva transparentnost ogla\u0161avanja u stvarnom vremenu i predstavlja pravnu osnovu za podatke ogla\u0161iva\u010da prema \u010dlanu 6(1)(c) GDPR-a. Izri\u010dito ne predstavlja pravnu osnovu za samu isporuku oglasa \u2013 to jest, za odre\u0111ivanje kojim se oglasima prikazuje kome. Svako ko se bavi ciljanjem mora i dalje pribavljati pristanak ili se oslanjati na drugu pravnu osnovu prema \u010dlanu 6(1) GDPR-a (Smjernice, stav 60).<\/p>\n Vrijeme je tako\u0111er va\u017eno. Informacije potrebne prema \u010dlanku 26 DSA dostavljaju se u trenutku obavje\u0161tavanja, dok se informacije potrebne prema \u010dlanku 13 GDPR-a moraju dostaviti u trenutku prikupljanja. Zahtjevi transparentnosti DSA stoga ne zamjenjuju informacije o za\u0161titi podataka; oni ih nadopunjuju (Smjernice, stavak 55 i nadalje).<\/p>\n Sistemi preporuke u pravilu obra\u0111uju li\u010dne podatke. EDPB ide korak dalje i ne isklju\u010duje mogu\u0107nost da odabir i raspored sadr\u017eaja mo\u017ee predstavljati odluku u smislu \u010dlana 22. stav 1. GDPR-a, posebno u slu\u010daju ponuda za stanove ili radna mjesta (smjernice, ta\u010dke 91. i dalje).<\/p>\n Tako\u0111er treba obratiti pa\u017enju na \u010dlan 38. Akt o digitalnim uslugama (DSA), koji vrlo velike internetske platforme i pretra\u017eiva\u010de obavezuje na opciju koja se ne zasniva na profilisanju. Odbor precizira \u0161ta to zna\u010di. Obje opcije se moraju predstaviti kao ravnopravne, nagovaranje (nudging) u smjeru profilisanja nije dozvoljeno, i dok je opcija bez profilisanja aktivna, u pozadini se ne smije nastaviti s profilisanjem za kasnije preporuke. Odluka se mora po\u0161tovati i nakon zavr\u0161etka sesije, sve dok je korisnici aktivno ne promijene (Smjernice, ta\u010dka 94). Same postavke se smiju koristiti samo za ispunjavanje obaveza iz DSA (Smjernice, ta\u010dka 95).<\/p>\n \u010clan 28 DSA zahtijeva od platformi koje su dostupne maloljetnicima visok nivo za\u0161tite i zabranjuje ogla\u0161avanje na osnovu profilisanja kada je maloljetnost poznata sa dovoljnom sigurno\u0161\u0107u. EDPB prepoznaje \u010dlan 28. stav 1. i 2. DSA kao pravni osnov u skladu sa \u010dlanom 6. stav 1. ta\u010dka (c) GDPR-a, ali samo u onoj mjeri u kojoj voditelj obrade u pojedina\u010dnom slu\u010daju doka\u017ee da je obrada neophodna i srazmjerna (Smjernice, ta\u010dka 99).<\/p>\n \u010clan 28. stav 3. DSA pri tome ne utemeljuje obradu dodatnih podataka. Provjere starosti koje omogu\u0107avaju jasnu onlajn identifikaciju, na primjer putem otpremanja zvani\u010dnog identifikacionog dokumenta sa fotografijom, ne bi trebale da se zasnivaju samo na \u010dlanu 28. DSA (Smjernice, ta\u010dka 100). Starost ili starosni raspon ne smiju se trajno \u010duvati, ve\u0107 treba zabilje\u017eiti samo da li je uslov za kori\u0161tenje ispunjen (Smjernice, ta\u010dka 101). Biometrijske postupke za jasnu identifikaciju treba izbjegavati, posebno kada su u pitanju podaci o djeci (Smjernice, ta\u010dka 99).<\/p>\n Da li je provjera starosti uop\u0107e potrebna, odlu\u010duje rizik. U slu\u010daju niskog rizika mo\u017ee biti dovoljno predvidjeti za\u0161titne mjere za sve korisnike\/ca, bez pravljenja razlike izme\u0111u maloljetnika i odraslih (Smjernice, ta\u010dka 102).<\/p>\n Za vrlo velike online platforme i pretra\u017eiva\u010de, \u010dlanci 34. i 35. zahtijevaju procjenu sistemskih rizika, izri\u010dito s obzirom na temeljna prava navedena u \u010dlancima 7. i 8. Povelje o temeljnim pravima. EDPS iz toga izvodi prakti\u010dan zaklju\u010dak: svako ko utvrdi sistemski rizik za za\u0161titu podataka, kao pravilo, tako\u0111er \u0107e morati provesti procjenu utjecaja na za\u0161titu podataka u skladu s \u010dlankom 35. GDPR-a (Smjernice, stavovi 106 i 114). Suprotno tome, minimizacija podataka, pseudonimizacija i za\u0161tita podataka od samog po\u010detka prema \u010dlanu 25. GDPR-a mogu slu\u017eiti kao mjere ubla\u017eavanja rizika prema \u010dlanu 35. DSA (Smjernice, stavak 109).<\/p>\n Dr\u017eave \u010dlanice nisu obavezne da tijelo za za\u0161titu podataka imenuju za DSA tijelo, a u Austriji to nisu u\u010dinile (Smjernice, stav 121). Odbor stoga iz \u010dlana 8. stavka 3. Povelje o temeljnim pravima i na\u010dela iskrene suradnje iz \u010dlana 4. stavka 3. Ugovora o Europskoj uniji izveden obvezu suradnje: Kada nadle\u017eno tijelo DSA procjenjuje je li postupanje u skladu s GDPR-om, mora se posavjetovati s nadle\u017enim tijelom za za\u0161titu podataka, i obrnuto (Smjernice, stavak 125; SUDEU 4. jula 2023, C-252\/21).<\/p>\n Smjernice donose malo toga iznena\u0111uju\u0107eg, ali dosta osiguranja. DSA stvara nove obaveze, ali ne i nove osnove za dozvoljenost. Za operatere platformi to zna\u010di prije svega jedno. DSA i GDPR se ne mogu obra\u0111ivati odvojeno. Ko je svoje procese do sada gradio prvenstveno iz jedne perspektive, trebao bi ih jo\u0161 jednom pregledati s druge strane. Smjernice po prvi put daju upotrebljiv okvir za provjeru u tu svrhu iz perspektive za\u0161tite podataka.<\/p>\n U velikoj mjeri da. Obaveze u vezi s postupcima obavje\u0161tavanja i djelovanja, kao i obrazlaganjem odluka o moderiranju sadr\u017eaja, odnose se na svakog pru\u017eaoca usluga hostinga bez obzira na njegovu veli\u010dinu. Samo dodatne obaveze za vrlo velike platforme i pretra\u017eiva\u010de vezane su za prag od 45 miliona korisnika, a za mikro i mala preduze\u0107a Zakon o digitalnim uslugama (DSA) predvi\u0111a odre\u0111ena olak\u0161anja.<\/p>\n<\/div>\n Samo tamo gdje DSA formulira jasnu, preciznu i predvidivu obvezu, ona mo\u017ee poslu\u017eiti kao pravna obveza prema \u010dl. 6. st. 1. to\u010d. c) Op\u0107e uredbe o za\u0161titi podataka (GDPR). Uzorak granice pru\u017ea \u010dl. 26. st. 1. DSA: Za podatke ogla\u0161iva\u010da on predstavlja pravnu osnovu, dok za pitanje kome se neki oglas prikazuje izri\u010dito ne predstavlja (Smjernice, to\u010d. 60).<\/p>\n Za vlastiti proizvod, da. Svako ko integri\u0161e komponente tre\u0107e strane i plasira nastali proizvod na tr\u017ei\u0161te je proizvo\u0111a\u010d cjelokupnog proizvoda i mora uklju\u010diti te komponente u svoju procjenu rizika i upravljanje ranjivostima. Sam open-source projekat ostaje nepromijenjen.<\/p>\n<\/div>\n Da, pod uslovom da postoji odgovaraju\u0107i pravni osnov. Ako se obrada zasniva na legitimnom interesu, kod direktnog marketinga postoji bezuslovno pravo na prigovor u skladu s \u010dl. 21. st. 2. GDPR-a (Smjernice, ta\u010dka 73). Isklju\u010deno je svako profilisanje s posebnim kategorijama li\u010dnih podataka, \u010dak i uz pristanak, kao i u slu\u010daju kada je segment kupljen. Mjerodavno je kakvu poruku on prenosi, a ne kako je nazvan.<\/p>\n Ne pau\u0161alno, ve\u0107 na temelju rizika. Ako procjena rezultira time da je potrebna provjera starosti, ona bi trebala pro\u0107i bez jasne identifikacije. Mo\u017ee se zabilje\u017eiti da li neko ispunjava uslove za kori\u0161tenje; prema EDPB-u, to ne predstavlja obradu dodatnih podataka u smislu \u010dlana 28. stav 3. DSA. S druge strane, trajno pohranjivanje starosti ili starosnog raspona ide predaleko (Smjernice, ta\u010dka 101).<\/p>\n Oboje, ovisno o uglu gledanja na istu stvar. KommAustria kao koordinator za digitalne usluge nadzire uskla\u0111enost s DSA-om od strane pru\u017ealaca usluga sa sjedi\u0161tem u Austriji, a Agencija za za\u0161titu podataka uskla\u0111enost s GDPR-om. Kada je rije\u010d o vrlo velikim platformama, nadzor nad obavezama iz odjeljka 5 je isklju\u010divo u nadle\u017enosti Komisije (Smjernice, ta\u010dka 123). EDPB o\u010dekuje da se tijela me\u0111usobno konsultuju prije nego \u0161to bilo koje od njih donese odluku koja se ti\u010de re\u017eima onog drugog (Smjernice, ta\u010dka 125).<\/p>\n<\/div>\n<\/div>\n<\/div>\n ATB.LAW vam poma\u017ee da postavite procese prijavljivanja i moderacije, logiku ogla\u0161avanja i provjere starosti tako da budu uskla\u0111eni s oba regulatorna okvira (DSA i GDPR). Kontaktirajte Stefan Knotzer<\/a> i Roman Taudes<\/a> u bilo koje vrijeme na office@atb.law<\/a> ili telefonom na 01 39 12345<\/a> za besplatnu po\u010detnu konsultaciju.<\/em><\/p>","protected":false},"template":"","categories":[29],"class_list":["post-9344","blog-post","type-blog-post","status-publish","has-post-thumbnail","hentry","category-datenschutz-und-ki"],"acf":[],"post-kategorie":"29","_post-kategorie":"field_66d947537140a","post-kurzbeschreibung":"Was die (finalen) Leitlinien 3\/2025 des EDSA f\u00fcr Online-Plattformen bedeuten","_post-kurzbeschreibung":"field_66d949fe1efe2","post-beitragsbild":"9346","_post-beitragsbild":"field_66d94a4a1efe3","post-author_post-author-name":"Stefan Knotzer","_post-author_post-author-name":"field_66d94a801efe5","post-author_post-author-foto":"8759","_post-author_post-author-foto":"field_66d94aa11efe6","post-author":"","_post-author":"field_66d94ee2827ca","yoast_head":"\nKakav zna\u010daj imaju smjernice<\/h2>\n
Dobrovoljne mjere protiv nezakonitog sadr\u017eaja<\/h2>\n
Postupak registracije<\/h2>\n
\n
Blokade i \u017ealbe<\/h2>\n
Manipulativni dizajn<\/h2>\n
\n
Oglas<\/h2>\n
Sistemi preporuka<\/h2>\n
Za\u0161tita maloljetnika<\/h2>\n
Sistemski rizici i procjena uticaja na za\u0161titu podataka (DSFA)<\/h2>\n
Nadzor<\/h2>\n
Zaklju\u010dak<\/h2>\n
<\/h2>\n
\u010cesto postavljana pitanja (FAQs)<\/h2>\n
Da li se DSA odnosi i na nas, ako ne upravljamo velikom platformom?<\/h4>\n
Da li obaveza iz Zakona o digitalnim uslugama (DSA) zamjenjuje pravnu osnovu prema GDPR-u?<\/h4>\n
Integriramo komponente otvorenog koda \u2013 da li nas to \u010dini odgovornima?<\/h4>\n<\/div>\n
Da li i dalje smijemo prikazivati oglase na osnovu interesovanja?<\/h4>\n
Moramo li provjeriti starost na\u0161ih korisnika?<\/h4>\n<\/div>\n
Ko je u Austriji nadle\u017ean, KommAustria ili Agencija za za\u0161titu podataka?<\/h4>\n<\/div>\n
Radi li va\u0161a platforma po zakonu?<\/h3>\n