Omladinskih brigada 102A, 11070 Beograd

Lice za zaštitu podataka o ličnosti – DPO

PRUŽANJE USLUGA LICA ZA ZAŠTITU PODATAKA O LIČNOSTI OD STRANE ADVOKATA

Jedna od usluga koje pružamo našim klijentima je i mogućnost da obavljamo dužnost lica za zaštitu podataka o ličnosti, u situacijama u kojima su Rukovaoci odnosno obrađivači po zakonu dužni da imenuju to lice, odnosno ukoliko iz drugih razloga odluče da imaju profesionalnu pomoć i podršku za sprovođenje ovog bitnog zakona i niza obaveza koje ovaj zahtevni akt propisuje. Naime, kako je Upravni odbor Advokatske komore Beograda zvanično zauzeo stav da advokat može biti angažovan na ovim poslovima, odnosno da isti nisu nespojivi sa advokatskom delatnošću, nema ni pravnih prepreka da advokati mogu biti eksterno angažovani od strane njihovih klijenata. Prilikom angažovanja advokata u svojstvu lica za zaštitu podataka o ličnosti posebno se vodi računa o zakonskim zahtevima njegove nezavisnosti i sprečavanju sukoba interesa.

Dakle, pored implementacije rešenja zakona o zaštiti podataka o ličnosti u poslovanje klijenata, izrade potrebnih opštih akata, izrade evidencija radnji obrade i njihovog vođenja, kao i svih vrsta konsaltinga, pružamo i usluge formalnog angažovanja u svojstvu DPO-a, što uključuje i upis u evidenciju lica za zaštitu podataka o ličnosti koju vodi Poverenik.

U okviru angažovanja pružamo stručnu i savetodavnu podršku u ispunjavanju obaveza iz Zakona, kako u svojstvu eksternog lica za zaštitu podataka o ličnosti, tako i kroz posebne usluge pravnog savetovanja i pomoći pri usklađivanju poslovanja sa propisima o zaštiti podataka o ličnosti.

Dakle, između ostalog usluge podrazumevaju pravovremeno informisanje i savetovanje rukovaoca ili obrađivača, odnosno zaposlenih koji vrše obradu unutar pravnog lica ili drugog pravnog subjekta. Takođe, bićete na vreme informisani o svim izmenama i dopunama zakona, novim podzakonskim aktima, mišljenjima i uputstvima Poverenika, a koji su od značaja za vaše poslovanje. Usluge podrazumevaju i komunikaciju sa Poverenikom, kako po zahtevu istog, ali i vezano za druga važna pitanja i u isto vreme biti kontakt za sva obraćanja od strane nadzornog organa. To naročito podrazumeva i davanje mišljenja o proceni uticaja kada je ona neophodna, praćenje postupanja po toj proceni i pomoć pri izradi tog akta.

Prilikom utvrđivanja potrebe za sprovođenjem procene uticaja na zaštitu podataka o ličnosti analiziramo prirodu, obim, okolnosti i svrhe nameravane obrade, kao i rizike koje ona može proizvesti za prava i slobode fizičkih lica. Kada je procena neophodna, pružamo stručnu podršku u njenoj pripremi i sprovođenju.

U okviru usluge Lica za zaštitu podataka o ličnosti, pružamo i usluge izrade opštih akata, evidencija, ugovora o obradi podataka, sporazuma o zajedničkoj obradi, kao i asistiramo pri popunjavanju kontrolnih lista koje Poverenik šalje na početku inspekcijskog nadzora.

Ukoliko želite da za vašu kompaniju obavljamo poslove lica za zaštitu podataka o ličnosti, kontaktirajte nas.

ZBOG ČEGA BI TREBALO DA IMENUJETE LICE ZA ZAŠTITU PODATAKA O LIČNOSTI

Opšta uredba Evropskog parlamenta i Saveta o zaštiti fizičkih lica u odnosu na obradu podataka o ličnosti i o slobodnom kretanju takvih podataka, broj 2016/679, od 27. aprila 2016, koja je stupila na snagu 24. maja 2016, a primenjuje se od 25. maja 2018, donela je niz novih pravila koja su podigla nivo zaštite podataka o ličnosti pojedinca na znatno viši nivo, a njena rešenja prati i naš Zakon o zaštiti podataka o ličnosti. Promene koje donose ova dva akta ogledaju se najviše u teritorijalnoj i personalnoj primeni, zatim vrsti podataka koja se smatraju ličnim i znatno oštrije postavljenim kriterijumima za prikupljanje i obradu podataka o ličnosti. GDPR se neposredno primenjuje u državama članicama Evropske unije, uz mogućnost da nacionalni propisi, u oblastima i granicama koje sama Uredba dopušta, bliže urede pojedina pitanja obrade podataka o ličnosti, naročito kada su u pitanju osetljivi podaci poput biometrijskih, ili osetljive kategorije lica poput maloletnika.

Za nepridržavanje propisanih pravila uredba je propisala stroge sankcije, u vidu administrativnih novčanih kazni, koje se kreću i do vrtoglavih 20 miliona evra odnosno 4% ukupnog godišnjeg prometa kompanije na svetskom nivou za prethodnu finansijsku godinu, zavisno od toga koja je vrednost viša. Pri odmeravanju kazne uzimaju se u obzir, između ostalog, priroda, težina i trajanje povrede, da li je povreda učinjena namerno ili iz nehata, kategorije podataka na koje se odnosi, prethodne povrede, kao i saradnja rukovaoca sa nadzornim organom. U svakom slučaju, kazne su jako visoke i predstavljaju ogroman rizik po poslovanje kompanija koje se bave obradom ili u okviru svoje delatnosti obrađuju neku vrstu podataka.

U Republici Srbiji Zakon o zaštiti podataka o ličnosti predviđa poseban sistem prekršajne odgovornosti, sa novčanim kaznama za pravna lica u rasponu od 50.000 do 2.000.000 dinara, dok se odredbe GDPR-a primenjuju kada su ispunjeni uslovi njegove teritorijalne primene.

Zbog toga je Uredba propisala obavezu ili mogućnost obezbeđivanja profesionalne pomoći u vidu angažovanja lica za zaštitu podataka.

Angažovanje lica predstavlja obavezu u situacijama kada:

  • obradu vrši organ javne vlasti
  • se osnovna delatnost rukovaoca ili obrađivača sastoji iz radnji obrade koje po svojoj prirodi, obimu, odnosno svrhama zahtevaju redovan i sistematski nadzor velikog broja lica na koja se podaci odnose
  • se osnovna delatnost rukovaoca ili obrađivača sastoji iz obrade u velikom obimu posebnih vrsta podataka, kao što su rasno ili etničko poreklo, političko mišljenje, versko ili filozofsko uverenje, članstvo u sindikatu, genetski podaci, biometrijski podaci u svrhu jedinstvene identifikacije fizičkog lica, podaci o zdravstvenom stanju ili seksualnoj orijentaciji, ili iz obrade u velikom obimu podataka u vezi sa krivičnim presudama i kažnjivim delima.

Važno je naglasiti da se ova obaveza ne odnosi na sudove u okviru vršenja sudskih ovlašćenja odnosno obavljanja pravosudne funkcije.

Kada se podaci obrađuju u velikom obimu:

Radna grupa iz člana 29, u Smernicama o licima za zaštitu podataka koje je preuzeo Evropski odbor za zaštitu podataka, preporučuje da se prilikom odlučivanja da li se obrada vrši u velikom obimu, posebno razmotre sledeći faktori:

  • Broj lica čiji se podaci obrađuju, bilo kao određeni broj ili kao procenat u odnosu na broj stanovnika
  • Obim obrađenih podataka
  • Trajanje ili trajnost obrade podataka
  • Geografska oblast na kojoj se aktivnost obrade vrši

Primeri obrade velikog obima:

  • kada bolnica obrađuje podatke o pacijentima u redovnom toku poslovanja
  • obrada podataka o putovanju pojedinaca koji koriste gradski sistem javnog prevoza (npr. praćenje putem putne karte)
  • obrada podataka o geolokaciji u realnom vremenu kupaca međunarodnog lanca brze hrane za statističke svrhe od strane obrađivača specijalizovanog za pružanje ovih usluga
  • obrada podataka o klijentima u redovnom toku poslovanja od strane osiguravajućeg društva ili banke
  • obrada podataka o ličnosti za bihevioralno oglašavanje od strane pretraživača
  • obrada podataka (sadržaja, saobraćaja, lokacije) od strane telefonskih ili internet provajdera

Primeri kada se ne radi o obradi velikog obima:

  • obrada podataka o pacijentu od strane individualnog lekara
  • obrada podataka o ličnosti o krivičnim osudama i prekršajima od strane advokata pojedinca

Šta podrazumeva redovno i sistematsko praćenje:

Redovno podrazumeva jednu od sledećih situacija:

  • Obrada je u toku ili se dešava u određenim intervalima za određeni period
  • Obrada se stalno ponavlja ili se ponavljanje vrši na određeno vreme
  • Obrada je stalna ili periodična

Sistematsko podrazumeva sledeće:

  • Obrada se vrši unapred dogovoreno, organizovano ili metodično
  • Obrada se odvija kao deo opšteg plana za prikupljanje podataka
  • Obrada se sprovodi kao deo strategije

Radi ekonomičnosti, ali i efikasnosti omogućeno je grupi povezanih društava ili grupi od više organa javne vlasti da imenuju jedno ovlašćeno lice za zaštitu podataka. Međutim, to je uslovljeno time da je ovo lice jednako dostupno svakom članu grupe. Kada su u pitanju organi vlasti, važno je razmotriti i veličinu organa i potreban obim posla, i proceniti da li je moguće da jedno lice obavlja funkciju DPO-a kod više organa, ili je potrebno angažovati više lica.

U ostalim slučajevima rukovaoci i obrađivači mogu da angažuju ovlašćeno lice za zaštitu podataka o ličnosti. Dakle, nemaju tu obavezu, ali svakako s obzirom na kompleksnost zakonskih odredbi i samog pitanja zaštite podataka, preporuka je imati interno ili eksterno angažovano lice koje je obučeno da vodi računa o zaštiti podataka.

Ovlašćeno lice može biti i iz reda zaposlenih kod rukovaoca i obrađivača i imenuje se na osnovu stručne kompetentnosti, znanja iz oblasti zaštite podataka i sposobnosti da odgovori zahtevima posla. Ovlašćeno lice čak ne mora ni da bude u stalnom radnom odnosu, već može biti angažovano po drugom osnovu.

Rukovalac, odnosno obrađivač dužan je da objavi kontakt podatke lica za zaštitu podataka o ličnosti i dostavi propisane podatke Povereniku, koji vodi evidenciju ovih lica.

Zakonom (čl. 58 ZZPL) i Uredbom (čl. 39 GDPR) propisane su najmanje sledeće obaveze lica za zaštitu podataka o ličnosti:

  • informisanje i davanje mišljenja rukovaocu ili obrađivaču, kao i zaposlenima koji vrše radnje obrade, o njihovim zakonskim obavezama u vezi sa zaštitom podataka o ličnosti
  • praćenje primene propisa i internih akata o zaštiti podataka o ličnosti, uključujući podelu odgovornosti, podizanje svesti i obuku zaposlenih, kao i kontrolu
  • davanje mišljenja, kada se to zatraži, o proceni uticaja obrade na zaštitu podataka o ličnosti i praćenje postupanja po toj proceni
  • saradnja sa Poverenikom, uključujući i to da predstavlja kontakt tačku za saradnju sa Poverenikom

Rukovalac i obrađivač dužni su da obezbede nezavisnost lica za zaštitu podataka o ličnosti i ne mogu ga kazniti niti raskinuti ugovor sa njim zbog izvršavanja ovih obaveza. Lice za zaštitu podataka neposredno odgovara rukovodiocu rukovaoca ili obrađivača, a lica na koja se podaci odnose mogu mu se obraćati u vezi sa obradom svojih podataka i ostvarivanjem svojih prava. Odgovornost za usklađenost obrade ostaje na rukovaocu.

Pored zakonom propisanih dužnosti lica za zaštitu podataka o ličnosti, u okviru posebnog konsultantskog angažovanja moguće je pružanje i dodatnih usluga u oblasti usklađivanja poslovanja sa propisima o zaštiti podataka o ličnosti, uz poštovanje zahteva nezavisnosti i izbegavanja sukoba interesa, kao što su:

  • Aktivno učestvovanje u pripremi opšteg akta/Pravilnika o zaštiti podataka o ličnosti i predlaganje njegovih izmena i dopuna
  • Praćenje i predlaganje mera u vezi sa zaštitom podataka
  • Nadzor nad postupkom obrade podataka
  • Briga o podacima koji su okarakterisani kao osetljivi
  • Predlaganje mera za obaveštavanje lica čiji se podaci obrađuju, u skladu sa zakonom i drugim propisima
  • Stalno praćenje obrade u cilju provere njene neophodnosti, potrebnog obima i zakonitosti svrhe obrade podataka
  • Praćenje rokova čuvanja podataka i staranje o poštovanju načela ograničenja čuvanja
  • Pomoć u postupanju po zahtevima lica čiji se podaci prikupljaju i obrađuju, u skladu sa njihovim pravima
  • Savetovanje u vezi sa promenom svrhe obrade i pribavljanjem pristanka kada je potrebno
  • Pomoć rukovaocu pri obaveštavanju Poverenika i lica na koja se podaci odnose o povredi podataka o ličnosti, u propisanom roku
  • Vođenje ili organizacija evidencije radnji obrade podataka, kao i redovno ažuriranje iste
  • Praćenje obrade podataka o ličnosti zaposlenih
  • Edukacija i obuka zaposlenih u cilju što efikasnije primene pravila o zaštiti podataka, što ima za cilj minimalizaciju rizika od kršenja pravila o zaštiti
  • Praćenje regulative i informisanje nadležnih osoba kod Rukovaoca o novim pravilima i potrebama koje se moraju implementirati u poslovanje i opšte i pojedinačne akte
  • Izveštavanje nadležnih osoba kod Rukovaoca o stanju podataka i preduzetim merama bezbednosti

NIVO STRUČNOSTI POTREBAN ZA LICE ZA ZAŠTITU PODATAKA O LIČNOSTI

Potreban nivo stručnosti nije strogo definisan Zakonom, ali mora biti srazmeran osetljivosti podataka koji se obrađuju, složenosti obrade i količini podataka. Na primer, gde se vrši složena obrada podataka ili ako obrada podrazumeva veliku količinu osetljivih podataka, na primer, podataka o zdravstvenom stanju, imenovanom Licu je potreban viši nivo stručnosti i podrške. Takođe treba praviti razliku u zavisnosti od toga da li rukovalac ili obrađivač sistematski prenosi podatke o ličnosti u treću zemlju i da li su takvi transferi stalni ili povremeni. Dakle, Lice za zaštitu podataka bi trebalo pažljivo odabrati, uzimajući u obzir specifičnosti pitanja zaštite podataka o ličnosti koja se javljaju unutar organizacije koja vrši obradu.

Zakon ne propisuje određenu vrstu diplome niti obaveznu sertifikaciju za obavljanje funkcije lica za zaštitu podataka o ličnosti. Međutim, zahteva odgovarajuće stručne kvalifikacije, naročito znanje i iskustvo u oblasti zaštite podataka o ličnosti, kao i sposobnost izvršavanja zakonskih obaveza. Svakako je preporuka da bi subjekti koji imenuju Lice za zaštitu podataka trebalo da imaju kao kriterijum stručnost u pogledu nacionalne i evropske pravne regulative i prakse u oblasti zaštite podataka. Preporuka je da angažovana lica idu na stalna usavršavanja i obuke. U slučaju organa javne vlasti, Lice za zaštitu bi trebalo imati i veštinu poznavanja pravila administracije i organizacije poslovanja u tim organima.