Primjer: Davatelj hosting usluga primi obavijest o nezakonitom sadr\u017eaju, provjerava je dijelom automatizirano, uklanja post, obrazla\u017ee odluku predmetnoj osobi i pohranjuje taj postupak radi mogu\u0107eg postupka podno\u0161enja \u017ealbe. S obzirom na DSA, to su \u010dlanci 16., 17. i 20. DSA. S obzirom na GDPR, svaki od tih koraka predstavlja obradu osobnih podataka koji zahtijeva pravnu osnovu, svrhu i rok za brisanje.<\/p>\n
Prema \u010dlanku 2. stavku 4. lit. g DSA-e odnos izme\u0111u dviju pravnih akata je nepromijenjen. DSA-e ne smatraju se \u201eneslu\u017ebenom\u201c verzijom GDPR-a, nego se njime ne primjenjuje nikakav lex specialis (usmena uputa, r. 8.). U suprotnom slu\u010daju, jednako va\u017eni akti Unije bez pravila prednosti moraju se primjenjivati tako da ostanu me\u0111usobno uskla\u0111eni. Osim toga, DSA-e u klju\u010dnim to\u010dkama upu\u0107uju na GDPR: profiliranje u \u010dlanku 26. stavku 3. i \u010dlanku 28. stavku 2. DSA-e je ono iz \u010dlanka 4. stavka 4. GDPR-a, a posebne kategorije su one iz \u010dlanka 9. stavka 1. GDPR-a (usmena uputa, r. 4.).<\/p>\n
Paralelnost odre\u0111uje i razinu nadzora. U Austriji je organizacija Koordinator f\u00fcr digitale Dienste po Zakonu o koordinatoru za digitalne usluge tvrtka KommAustria, a sredi\u0161te za rje\u0161avanje sporova je RTR-GmbH. Za GDPR ostaje Povjerenstvo za za\u0161titu podataka<\/a> odgovorna. Jedan i isti slu\u010daj mo\u017ee obuhvatiti obje sfere istovremeno i kao rezultat toga obuhvatiti dvije vlasti koje provjeravaju po razli\u010ditim mjerilima.<\/p>\n Smjernice EDSA izdaju se u skladu s \u010dlankom 70. stavkom 1. to\u010dkom e GDPR-a i nisu pravno obvezuju\u0107e. To\u010dno, to je norma iz podru\u010dja za\u0161tite podataka. Smjernice ne \u017eele ni tuma\u010diti DSA-u; to je u prvom redu u nadle\u017enosti Komisije, Europskog odbora za digitalne usluge i Suda Europske unije. EDSA, naprotiv, obja\u0161njava kako se GDPR treba primjenjivati u situacijama koje DSA navodi (Smjernice, r. 5).<\/p>\n U prakti\u010dnom smislu to ima veliku snagu. Agencije za za\u0161titu podataka u EU-u provjeravaju po\u0161tuju li se te smjernice, a svatko tko odstupa od njih mora mo\u0107i obrazlo\u017eiti svoj odstupanje. Nakon konzultacijskog ciklusa tako\u0111er je utvr\u0111ena \u010dvrsta pozicija koja se vi\u0161e ne mo\u017ee smatrati tek nacrtom. Dvije teme su izri\u010dito izostavljene: politi\u010dka ogla\u0161avanje u skladu s Uredbom (EU) 2024\/900 i pristup istra\u017eiva\u010dkim podacima u skladu s \u010dlankom 40 DSA (Smjernice, rz 6).<\/p>\n Art 7 DSA uklanja sumnje kod davatelja internetskih usluga u vezi s time da dobrovoljno tra\u017eenje nezakonitih sadr\u017eaja mo\u017ee dovesti do toga da se povuku od\u0161tetne zahtjeve iz Art 4 do 6 DSA (Clauza dobrog samarijanca<\/em>). Me\u0111utim, to ne podrazumijeva zakonsku dozvolu za za\u0161titu podataka. Osobe koje filtriraju, klasificiraju ili treniraju modele na vlastitu inicijativu trebaju imati pravnu osnovu, a to je u pravilu legitimni interes u skladu s \u010dlankom 6. stavkom 1. to\u010dkom f GDPR-a (Smjernice, Rz 17).<\/p>\n EDSA zahtijeva dokumentiranu procjenu rizika. Interes za otkrivanje nezakonitih sadr\u017eaja je legitimatan, ali je nu\u017eno dokazati potrebu za takvom procjenom, a u procjenu moraju biti uklju\u010deni razumni o\u010dekivanja korisnika i pitanje jesu li djeca pogo\u0111ena (Smjernice, Rz 18). Va\u017eno je i vezivanje na odre\u0111ene svrhe. Podaci iz procesa moderiranja ne smiju se koristiti za personalizaciju sadr\u017eaja ili ogla\u0161avanja. Smjernice, Rz 12. tako\u0111er jasno navode da EDSA ne dopu\u0161ta profiliranje za mogu\u0107e utvr\u0111ivanje kaznenih djela (Smjernice, Rz 22).<\/p>\n U suprotnom, ako postoji konkretna zakonska obveza, na primjer u skladu s \u010dlankom 17. Direktive o autorskim pravima (EU) 2019\/790 ili za izvr\u0161avanje zahtjeva za brisanje u skladu s \u010dlankom 17. GDPR-a, kao pravna osnova mo\u017ee se uzeti \u010dlanak 6. stavak 1. to\u010dka c) GDPR-a. Obveza mora biti jasna, precizna i predvidljiva, a obrada mora biti proporcionalna (Smjernice, r. 20. i sl.).<\/p>\n Obveza podno\u0161enja prijava i poduzimanja korektivnih mjera u skladu s \u010dlankom 16 DSA obvezuje svakog pru\u017eatelja hosting usluga, bez obzira na veli\u010dinu (Smjernice, Rz 26; ErwGr 50 DSA). Povjerenstvo pritom jasno odre\u0111uje opseg prikupljenih podataka (Smjernice, Rz 31 f):<\/p>\n Pri prijavama o prekr\u0161ajima u skladu s \u010dlancima 3. do 7. Direktive 2011\/93\/EU, ime i e-adresu ne treba uvodno navoditi (Smjernice, Rz 29).<\/p>\n \u010clanak 23 DSA dopu\u0161ta internetskim platformama da obustave svoje usluge prema osobama koje nepravilno koriste sustav, kao i obustavu obrade prijava i pritu\u017ebi koje su o\u010dito neutemeljene. \u010clanak 20 DSA zahtijeva internetsko upravljanje pritu\u017ebama pod nadzorom kvalificiranih osoba. Zakon o za\u0161titi podataka time stavlja u sredi\u0161te pozornosti temelj koji ina\u010de dobiva malo pa\u017enje: to\u010dnost u skladu s \u010dlankom 5. stavkom 1. lit. d GDPR-a. Ostavljanje podataka na temelju neto\u010dnih podataka te\u0161ko poga\u0111a osobe koje su pogo\u0111ene, stoga je baza podataka potrebna da bude to\u010dna i trajanje pohrane ograni\u010deno na potreban razlog (Smjernice, Rz 42. f.).<\/p>\n Odbor tako\u0111er isti\u010de da postupci podno\u0161enja \u017ealbi i blokiranja ne utje\u010du na prava iz GDPR-a. Osobe koje su blokirane mogu i dalje tra\u017eiti informacije, brisanje i prenosivost podataka (Smjernice, st. 43).<\/p>\n \u010clanak 25. stavak 1. DSA zabranjuje manipulativno pona\u0161anje internetskih platformi (Dark Patterns); \u010clanak 2 leg cit<\/em> predpostavlja ono \u0161to je ve\u0107 obuhva\u0107eno GDPR-om ili UGP-om. Ograni\u010denje je stoga pitanje nadle\u017enosti, a EDSA navodi dva kriterija (smjernice, Rz 45):<\/p>\n Ovaj se razlika mo\u017ee ilustrirati primjerom. Obavijest \u201eSamo jo\u0161 nekoliko komada na lageru\u201c ozna\u010dava prodajni pritisak i stoga je vi\u0161e pitanje prava na informiranje. Dodatak \u201eSad unesite e-adresu, datum ro\u0111enja i adresu i rezervirajte\u201c usmjerava na davanje dodatnih podataka i stoga je u suprotnosti s GDPR-om. Tada se naj\u010de\u0161\u0107e donosi odluka jer takva struktura kr\u0161i na\u010delo vjernosti prema \u010dlanku 5. stavku 1. lit. a GDPR-a.<\/p>\n Odbor posve\u0107uje posebnu pozornost uzbudljivim obrascima igranja kao \u0161to su beskona\u010dno pomicanje, autoplay, streak mehanizmi ili countdowns, koje DSA u ErwGr 81. do 83. navodi kao izvor sistemskih rizika (Guidelines, Rz 49 f.).<\/p>\n \u010clanak 26. stavak 1. DSA obvezuje na transparentnost ogla\u0161avanja u stvarnom vremenu i predstavlja pravnu osnovu za podatke ogla\u0161iva\u010da u skladu s \u010dlankom 6. stavkom 1. lit. c GDPR-a. Za sam prikaz ogla\u0161avanja, odnosno za pitanje kome se prikazuje koja ogla\u0161iva\u010dka poruka, on izri\u010dito ne predstavlja pravnu osnovu. Onaj koji provodi ciljanje i dalje treba za to imati privolu ili drugu osnovu u skladu s \u010dlankom 6. stavkom 1. GDPR-a (Smjernica, r. 60).<\/p>\n Va\u017eno je i vrijeme. Podaci iz \u010dlanka 26. DSA-e navode se uz ogla\u0161avanje, dok informacije iz \u010dlanka 13. GDPR-a ve\u0107 su dostupne u trenutku prikupljanja podataka. Transparentnost DSA-a stoga ne zamjenjuje informaciju o za\u0161titi podataka, nego ju nadopunjuje (Smjernice, r. 55 i sl.).<\/p>\n Sustavi preporuka u pravilu obra\u0111uju osobne podatke. EDSA ide korak dalje i ne isklju\u010duje mogu\u0107nost da odabir i raspored sadr\u017eaja mogu biti odluka u smislu \u010dlanka 22. stavka 1. Op\u0107e uredbe o za\u0161titi podataka, posebno u slu\u010daju ponuda stanova ili radnih mjesta (smjernice, rz 91. f.).<\/p>\n Va\u017eno je tako\u0111er uzeti u obzir \u010dlanak 38 DSA-e, koji obvezuje vrlo velike online platforme i tra\u017eilice da ne koriste profiliranje. Odbor poja\u0161njava \u0161to to zna\u010di. Oba na\u010dina predstavljanja jednaki su, nepo\u017eeljan je push za profiliranje, a dok je nepo\u017eeljna neaktivna verzija, ne smije se aktivno profilirati u pozadini za budu\u0107e preporuke. Odluka se mora po\u0161tovati i nakon sastanka, dok korisnici ne promijene postavke aktivno (Smjernice, Rz 94). Slike postavki smiju se koristiti samo za ispunjavanje obveza iz DSA-e (Smjernice, Rz 95).<\/p>\n Art. 28 DSA zahtijeva od platformi dostupnih maloljetnicima visoku razinu za\u0161tite i zabranjuje ogla\u0161avanje na temelju profiliranja ako je maloljetnost dovoljno sigurno poznata. EDSA prihva\u0107a Art. 28, stavci 1 i 2 DSA kao pravnu osnovu u skladu s \u010dlankom 6, stavkom 1, lit. c GDPR-a, ali samo ako voditelj obrade u pojedina\u010dnom slu\u010daju doka\u017ee da je obrada nu\u017ena i proporcionalna (Smjernice, r. 99).<\/p>\n Prema \u010dlanku 28. stavku 3. DSA-e, to ne podrazumijeva obvezu obrade dodatnih podataka. Provjere starosti koje omogu\u0107uju jasnu online identifikaciju, primjerice preuzimanjem slu\u017ebene fotografije, ne bi trebale biti temelj za obradu prema \u010dlanku 28. DSA-e (Smjernice, Rz 100). Starost ili dobni raspon ne smiju se trajno pohranjivati; va\u017eno je samo provjeriti ispunjava li se uvjet za kori\u0161tenje (Smjernice, Rz 101). Mjerni bi se postupci za jasnu identifikaciju trebali izbjegavati, posebno ako su uklju\u010deni podaci o djeci (Smjernice, Rz 99).<\/p>\n O tome je li uop\u0107e potrebna provjera dobi odlu\u010duje rizik. U slu\u010daju niskog rizika mo\u017ee biti dovoljno predvidjeti za\u0161titne mjere za sve korisnike, bez razlikovanja izme\u0111u maloljetnika i odraslih osoba (Smjernice, Rz 102).<\/p>\n Za vrlo velike online platforme i tra\u017eilice, \u010dlanci 34. i 35. zahtijevaju procjenu sistemskih rizika, posebno s obzirom na temeljna prava iz \u010dlanaka 7. i 8. GDPR-a. EDSA iz toga iznosi prakti\u010dni zaklju\u010dak: Onaj tko otkrije sistemski rizik za za\u0161titu podataka obi\u010dno mora provesti i procjenu u\u010dinaka na za\u0161titu podataka u skladu s \u010dlankom 35. GDPR-a (Smjernice, r. 106. i 114.). S druge strane, minimaliziranje podataka, pseudonimizacija i za\u0161tita podataka tehnolo\u0161kim rje\u0161enjima u skladu s \u010dlankom 25. GDPR-a mogu poslu\u017eiti kao mjere za smanjenje rizika u skladu s \u010dlankom 35. DSA (Smjernice, r. 109.).<\/p>\n Dr\u017eave \u010dlanice ne moraju uputiti zahtjev Agenciji za za\u0161titu podataka zdasDSA, a u Austriji to ni nisu u\u010dinile (Smjernice, r. 121). Povjerenstvo stoga temelji suradnju na \u010dlanku 8. stavku 3. GDPR-a i na\u010delu lojalne suradnje prema \u010dlanku 4. stavku 3. EUV-a: ako Agencija za za\u0161titu podataka provjeri je li pona\u0161anje u skladu s GDPR-om, mora se konzultirati s nadle\u017enom agencijom za za\u0161titu podataka, a obrnuto (Smjernice, r. 125; Sud EU-a 04.07.2023, C-252\/21).<\/p>\n Smjernice donose malo iznena\u0111uju\u0107eg, ali dosta osiguranja. DSA uvodi nove obveze, ali ne i nove kategorije dozvola. Za platforme operatora to prije svega zna\u010di jedno. DSA i GDPR se ne mogu razraditi odvojeno. Onaj koji je svoje procese do sada uglavnom gradio iz jedne perspektive treba ih ponovno pogledati iz druge. Smjernice prvi put daju koristan okvir za provjeru iz perspektive zakona o za\u0161titi podataka.<\/p>\n U velikom dijelu je tako. Obveze u vezi s postupcima prijavljivanja i otklanjanja problema te za obrazlaganje odluka moderiranja vrijede za sve davatelje hosting usluga, bez obzira na veli\u010dinu. Samo dodatne obveze za vrlo velike platforme i tra\u017eilice vezane su uz broj od 45 milijuna korisnika, dok za male i mikropoduzetnike DSA predvi\u0111a pojedina\u010dne olak\u0161ice.<\/p>\n<\/div>\n Samo tamo gdje DSA utvr\u0111uje jasnu, preciznu i predvidljivu obvezu, ona mo\u017ee biti priznata kao pravna obveza u skladu s \u010dlankom 6. stavkom 1. to\u010dkom c GDPR-a. Primjer za tu granicu pru\u017ea \u010dlanak 26. stavak 1. DSA-e: Za podatke ogla\u0161iva\u010da on je pravna osnova, ali izri\u010dito ne za pitanje tko \u0107e prikazati ogla\u0161avanje (Smjernice, Rz 60).<\/p>\n Za vlastiti proizvod, da. Svako tko integrira komponente tre\u0107ih strana i stavlja nastali proizvod na tr\u017ei\u0161te je proizvo\u0111a\u010d cjelokupnog proizvoda i mora uklju\u010diti te komponente u svoju procjenu rizika i upravljanje ranjivostima. Sam projekt otvorenog koda ostaje nepromijenjen.<\/p>\n<\/div>\n Da, ako postoji odgovaraju\u0107a pravna osnova. Ako se obrada temelji na legitimnom interesu, u slu\u010daju direktne reklame postoji neobvezuju\u0107i pravo prigovora u skladu s \u010dlankom 21. stavkom 2. GDPR-a (Smjernice, r. 73). Izuzimaju se svi oblici profiliranja posebnih kategorija osobnih podataka, uklju\u010duju\u0107i i one pri kojima je privola potrebna, pa \u010dak i ako je segment kupljen. Ono \u0161to je va\u017eno je ono \u0161to se prenosi, a ne kako je nazna\u010deno.<\/p>\n Ne op\u0107enito, ve\u0107 na temelju procjene rizika. Ako se procijeni da je potrebna provjera starosti, ne bi se trebalo baviti nejasnom identifikacijom. Moralo bi se utvrditi ispunjava li osoba uvjete za kori\u0161tenje; prema EDSA-i to ne podrazumijeva obradu dodatnih podataka u skladu s \u010dlankom 28. stavkom 3. DSA. Me\u0111utim, trajno pohranjivanje dobi ili raspona dobi bi bilo pre\u0161iroko (Smjernice, Rz 101).<\/p>\n Oboje, ovisno o gledi\u0161tu, u vezi s istim predmetom. KommAustria, kao koordinatorica za digitalne usluge, nadzire po\u0161tovanje DSA-e od strane pru\u017eatelja usluga sa sjedi\u0161tem u Austriji, a Agencija za za\u0161titu podataka nadzire po\u0161tovanje GDPR-a. U vrlo velikim platformama nadzor nad obvezama iz odjeljka 5 u potpunosti le\u017ei na Komisiji (Smjernice, Rz 123). EDSA o\u010dekuje da se vlasti savjetuju prije nego \u0161to one donesu odluku o re\u017eimu druge vlasti (Smjernice, Rz 125).<\/p>\n<\/div>\n<\/div>\n<\/div>\n ATB.LAW vam poma\u017ee u postavljanju procesa prijava i moderiranja, logike ogla\u0161avanja i provjera dobi tako da odgovaraju oba regulatorna okvira (DSA i GDPR). Kontaktirajte nas Stefan Knotzer<\/a> i Roman Taudes<\/a> u bilo kojem trenutku u office@atb.law<\/a> ili telefonom na 01 39 12345<\/a> za besplatne po\u010detne konzultacije.<\/em><\/p>","protected":false},"template":"","categories":[29],"class_list":["post-9344","blog-post","type-blog-post","status-publish","has-post-thumbnail","hentry","category-datenschutz-und-ki"],"acf":[],"post-kategorie":"29","_post-kategorie":"field_66d947537140a","post-kurzbeschreibung":"Was die (finalen) Leitlinien 3\/2025 des EDSA f\u00fcr Online-Plattformen bedeuten","_post-kurzbeschreibung":"field_66d949fe1efe2","post-beitragsbild":"9346","_post-beitragsbild":"field_66d94a4a1efe3","post-author_post-author-name":"Stefan Knotzer","_post-author_post-author-name":"field_66d94a801efe5","post-author_post-author-foto":"8759","_post-author_post-author-foto":"field_66d94aa11efe6","post-author":"","_post-author":"field_66d94ee2827ca","yoast_head":"\nKoliko su smjernice va\u017ene<\/h2>\n
Volonterske mjere protiv nezakonitih sadr\u017eaja<\/h2>\n
Postupak prijave<\/h2>\n
\n
Brisanja i pritu\u017ebe<\/h2>\n
Manipulativna kreacija<\/h2>\n
\n
Ogla\u0161avanje<\/h2>\n
Sustavi preporuka<\/h2>\n
Za\u0161tita maloljetnika<\/h2>\n
Sistemske rizike i DSFA<\/h2>\n
Nadzor<\/h2>\n
Zaklju\u010dak<\/h2>\n
<\/h2>\n
\u010cesto postavljana pitanja (FAQs)<\/h2>\n
Ali vrijedi li DSA i za nas, ako ne vodimo veliku platformu?<\/h4>\n
Zamjenjuje li obveza DSA pravnu osnovu u skladu s GDPR-om?<\/h4>\n
Integriramo komponente otvorenog koda \u2013 \u010dini li nas to odgovornima?<\/h4>\n<\/div>\n
Mogli bismo nastaviti ogla\u0161avati prema interesima?<\/h4>\n
Moramo li provjeriti dob na\u0161ih korisnika?<\/h4>\n<\/div>\n
Tko je u Austriji nadle\u017ean \u2013 KommAustria ili Agencija za za\u0161titu podataka?<\/h4>\n<\/div>\n
Je li va\u0161a platforma u pravu?<\/h3>\n