Gotovo svaka kompanija obrađuje podatke o ličnosti zaposlenih, klijenata, kupaca, poslovnih partnera ili korisnika svojih usluga. Zakon o zaštiti podataka o ličnosti (ZZPL), a u odgovarajućim slučajevima i Opšta uredba EU o zaštiti podataka (GDPR), propisuju obaveze koje se odnose na zakonitost, transparentnost i bezbednost obrade tih podataka.
Poštovanje propisa ne podrazumeva samo izradu odgovarajuće dokumentacije, već i uspostavljanje postupaka kojima se obezbeđuje zakonito prikupljanje, korišćenje, čuvanje i brisanje podataka o ličnosti. Poseban značaj ima načelo odgovornosti, prema kojem rukovalac mora biti u stanju da dokaže da primenjuje propisana načela obrade.
Advokatska kancelarija MILIĆ Legal pruža pravnu podršku kompanijama i drugim organizacijama u postupku usklađivanja poslovanja sa propisima o zaštiti podataka o ličnosti, od početne analize obrade i izrade dokumentacije, do pravnog savetovanja u svakodnevnom poslovanju i pripreme za nadzor Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti.
Zašto posedovanje dokumentacije nije isto što i usklađenost?
Samo formalno posedovanje politika privatnosti, internih pravilnika ili drugih dokumenata nije dovoljno ukoliko se obrada podataka u praksi ne sprovodi u skladu sa zakonom.
Dokumentacija preuzeta od druge kompanije ili izrađena bez prethodne analize poslovnih procesa može sadržati netačne podatke o pravnim osnovima obrade, rokovima čuvanja, primaocima podataka i merama zaštite.
Zbog toga postupak usklađivanja treba da počne analizom stvarnih procesa obrade: koji se podaci prikupljaju, zašto se obrađuju, gde se čuvaju, ko im ima pristup, kome se dostavljaju i pod kojim uslovima se brišu.
Na osnovu ovih informacija utvrđuju se pravne obaveze organizacije, identifikuju eventualni nedostaci i priprema dokumentacija prilagođena konkretnom poslovanju.
Cilj usklađivanja nije samo ispunjavanje formalnih zakonskih zahteva, već i uspostavljanje pravila koja zaposleni mogu razumeti i primenjivati u svakodnevnom radu.
Usluge usklađivanja sa ZZPL-om i GDPR-om
U zavisnosti od veličine, delatnosti, organizacije poslovanja i potreba klijenta, pravna podrška može obuhvatiti:
Analizu obrade podataka o ličnosti: identifikovanje procesa obrade, kategorija podataka, svrha, primalaca, rokova čuvanja i drugih relevantnih okolnosti;
Procenu pravnih osnova obrade: analizu primene ugovora, zakonske obaveze, legitimnog interesa, pristanka i drugih zakonom predviđenih osnova, kao i posebnih uslova za obradu određenih kategorija podataka;
Izradu i reviziju dokumentacije: politike zaštite podataka, interne pravilnike, procedure, obaveštenja zaposlenima, klijentima i drugim licima na koja se podaci odnose;
Evidencije radnji obrade: izradu i ažuriranje evidencija u skladu sa odgovarajućim zakonskim zahtevima;
Dokumentaciju u vezi sa pristankom: pripremu izjava, obrazaca i preporuka za pribavljanje i evidentiranje pristanka kada se obrada zasniva na ovom pravnom osnovu;
Ugovore sa obrađivačima: uređivanje odnosa sa pružaocima hosting, cloud, IT, knjigovodstvenih, marketinških i drugih usluga, kada imaju svojstvo obrađivača podataka;
Međunarodni prenos podataka: analizu uslova za prenos podataka iz Republike Srbije i Evropske unije u druge države, uključujući odgovarajuće ugovorne i druge mere zaštite;
Procenu uticaja na zaštitu podataka (DPIA): procenu potrebe za njenim sprovođenjem i pravnu podršku u pripremi;
Postupanje po zahtevima lica: pripremu procedura za ostvarivanje prava na pristup, ispravku, brisanje, ograničenje obrade, prenosivost podataka i drugih zakonom predviđenih prava;
Postupanje u slučaju povrede podataka: izradu internih procedura za otkrivanje, procenu i dokumentovanje povreda, kao i za obaveštavanje nadležnog organa i lica kada je to zakonom potrebno;
Pripremu za inspekcijski nadzor Poverenika: pravnu analizu postojeće dokumentacije, pomoć pri popunjavanju kontrolnih lista i savetovanje u vezi sa postupanjem tokom nadzora;
Obuku zaposlenih: upoznavanje zaposlenih i odgovornih lica sa pravilima zaštite podataka i njihovom primenom u konkretnim poslovnim procesima.
Pored početnog usklađivanja, kancelarija pruža i usluge pravnog savetovanja povodom pojedinačnih pitanja obrade podataka, uvođenja novih tehnologija, angažovanja novih pružalaca usluga i drugih promena koje mogu uticati na zakonitost obrade.
Zaštita podataka zaposlenih i video-nadzor
Poseban izazov u praksi predstavlja obrada podataka o ličnosti zaposlenih i drugih radno angažovanih lica.
Poslodavci obrađuju različite kategorije podataka, od osnovnih identifikacionih i kontakt podataka, preko evidencija radnog vremena i zarada, do podataka o zdravstvenom stanju i drugih informacija za koje mogu važiti posebni uslovi obrade.
U ovoj oblasti potrebno je uskladiti obaveze koje proizlaze iz radnopravnih propisa sa pravilima zaštite podataka o ličnosti, vodeći računa o svrsi, obimu i pravnom osnovu konkretne obrade.
Jedno od posebno osetljivih pitanja predstavlja video-nadzor na radnom mestu. Njegova zakonitost zavisi od konkretne svrhe, pravnog osnova, neophodnosti i srazmernosti snimanja, obima prostora koji se nadzire i drugih relevantnih okolnosti. Pored ZZPL-a, u zavisnosti od slučaja, mogu biti relevantni i drugi propisi, uključujući Zakon o privatnom obezbeđenju.
Slična pitanja otvaraju praćenje službene elektronske pošte, korišćenje GPS uređaja u službenim vozilima, kontrola pristupa poslovnim prostorijama i drugi oblici nadzora zaposlenih.
Pri tome, pristanak zaposlenog često nije odgovarajući pravni osnov, imajući u vidu odnos zavisnosti između poslodavca i zaposlenog, koji može dovesti u pitanje dobrovoljnost pristanka.
Pravna podrška obuhvata analizu ovih obrada, izradu odgovarajućih obaveštenja i internih akata, kao i savetovanje o uslovima pod kojima se pojedini oblici nadzora mogu sprovoditi.
Lice za zaštitu podataka o ličnosti (DPO)
Za određene kategorije rukovalaca i obrađivača imenovanje lica za zaštitu podataka o ličnosti (Data Protection Officer – DPO) predstavlja zakonsku obavezu.
Obaveza imenovanja zavisi od prirode i obima obrade, kao i od drugih zakonom predviđenih kriterijuma. U određenim slučajevima imenovanje DPO-a može biti korisno i kada nije zakonski obavezno.
Advokatska kancelarija pruža pravnu podršku pri proceni obaveze imenovanja DPO-a, savetovanju o njegovom položaju, nadležnostima i nezavisnosti, kao i organizovanju obuka za lica koja obavljaju ovu funkciju.
Kancelarija pruža i posebne usluge lica za zaštitu podataka o ličnosti (DPO), koje se mogu ugovoriti nezavisno od postupka početnog usklađivanja poslovanja.
Kako izgleda postupak usklađivanja?
Postupak usklađivanja prilagođava se veličini i organizaciji klijenta, vrstama podataka koje obrađuje i složenosti poslovnih procesa.
Upoznavanje sa poslovanjem: analiziramo osnovne informacije o delatnosti, organizacionoj strukturi, kategorijama korisnika i informacionim sistemima koji se koriste.
Analiza postojećeg stanja: putem upitnika, razgovora i pregleda dostupne dokumentacije utvrđujemo način obrade podataka i postojeće pravne i organizacione mere zaštite.
Izveštaj i plan usklađivanja: identifikujemo pravne nedostatke i pitanja koja zahtevaju dodatno uređenje, uz predlog prioriteta za njihovo otklanjanje.
Izrada dokumentacije i podrška primeni: pripremamo potrebne akte, evidencije, ugovore i obaveštenja i pružamo pravne preporuke za njihovu primenu.
Naknadna pravna podrška: prema dogovorenom obimu angažovanja, pružamo savetovanje povodom promena poslovanja, novih vrsta obrade i izmena relevantnih propisa.
Usklađivanje poslovanja kao kontinuiran proces
Usklađivanje sa ZZPL-om i GDPR-om ne završava se nužno izradom i usvajanjem dokumentacije.
Uvođenje novih softverskih rešenja, promena pružalaca cloud usluga, proširenje poslovanja na druga tržišta ili uvođenje novih načina praćenja korisnika mogu zahtevati dodatnu pravnu analizu i izmene postojećih postupaka obrade.
Zbog toga je važno da organizacija raspolaže jasnim pravilima za procenu novih obrada, postupanje po zahtevima lica, reagovanje na bezbednosne incidente i periodično preispitivanje postojećih mera zaštite.
Kod digitalnih servisa posebnu pažnju zahtevaju i politike privatnosti za veb-sajtove i aplikacije, kao i pravila o korišćenju kolačića i drugih tehnologija za prikupljanje podataka.
Kome je usluga namenjena?
Usluga je namenjena privrednim društvima, poslodavcima, IT i SaaS kompanijama, internet prodavnicama, finansijskim institucijama, marketinškim agencijama, zdravstvenim i obrazovnim ustanovama, kao i drugim organizacijama koje obrađuju podatke o ličnosti u okviru svog poslovanja.
Posebno je značajna za subjekte koji obrađuju velike količine podataka, posebne vrste podataka o ličnosti ili koriste tehnologije koje mogu predstavljati povećan rizik za prava i slobode fizičkih lica.
Pravna podrška relevantna je i za kompanije iz Srbije koje nude robu ili usluge licima u Evropskoj uniji ili prate njihovo ponašanje, kada njihove aktivnosti ispunjavaju uslove za primenu GDPR-a.
Česta pitanja
Da li se Zakon o zaštiti podataka o ličnosti odnosi i na male firme?
Da. Primena ZZPL-a ne zavisi isključivo od veličine kompanije ili broja zaposlenih.
Ipak, pojedine obaveze zavise od prirode, obima i rizika konkretne obrade. Na primer, zakon predviđa određene izuzetke od obaveze vođenja evidencije radnji obrade za manje organizacije, ali se oni ne primenjuju na sve vrste obrade. Posebno je važno razmotriti da li je obrada povremena, da li predstavlja rizik po prava i slobode lica i koje kategorije podataka obuhvata.
Kada se GDPR primenjuje na kompaniju iz Srbije?
GDPR se može primenjivati i na organizacije koje nemaju sedište ili poslovnu jedinicu u Evropskoj uniji.
To je, između ostalog, slučaj kada je konkretna obrada povezana sa nuđenjem robe ili usluga licima koja se nalaze u EU ili sa praćenjem njihovog ponašanja koje se odvija na teritoriji EU.
Sama dostupnost internet stranice korisnicima iz EU ne znači automatski da se GDPR primenjuje.
Kada se GDPR primenjuje na kompaniju izvan EU, potrebno je razmotriti i eventualnu obavezu imenovanja predstavnika u Evropskoj uniji, uz zakonom predviđene izuzetke.
Da li je dovoljno imati politiku privatnosti i interni pravilnik?
Ne. Ovi dokumenti mogu predstavljati važan deo sistema zaštite podataka, ali njihovo postojanje samo po sebi ne dokazuje da je obrada zakonita.
Potrebno je da pravni osnovi, svrhe obrade, rokovi čuvanja, odnosi sa obrađivačima, bezbednosne mere i drugi postupci u praksi odgovaraju propisanim zahtevima.
Da li svaka kompanija mora da imenuje DPO-a?
Ne. Obaveza imenovanja lica za zaštitu podataka o ličnosti postoji u slučajevima predviđenim zakonom, naročito kod određenih organa vlasti, kada osnovne aktivnosti rukovaoca ili obrađivača zahtevaju redovan i sistematski nadzor velikog broja lica ili kada se njihove osnovne aktivnosti sastoje u obradi određenih kategorija podataka u velikom obimu.
Za ostale organizacije imenovanje DPO-a može predstavljati odgovarajuće organizaciono rešenje, ali nije u svakom slučaju zakonska obaveza.
Šta ako dođe do povrede podataka o ličnosti?
U slučaju povrede podataka potrebno je bez odlaganja utvrditi okolnosti incidenta, vrste i obim ugroženih podataka i moguće posledice po prava i slobode fizičkih lica.
Ukoliko povreda može proizvesti rizik po prava i slobode fizičkih lica, rukovalac je dužan da o tome obavesti Poverenika bez nepotrebnog odlaganja, u zakonom predviđenom roku. U određenim slučajevima postoji i obaveza obaveštavanja lica na koja se podaci odnose.
Nije svaka povreda podataka automatski razlog za prijavljivanje Povereniku, ali se svaka mora odgovarajuće proceniti i dokumentovati.
Šta ako je Poverenik najavio inspekcijski nadzor?
U tom slučaju potrebno je analizirati predmet nadzora, postojeću dokumentaciju i stvarne procese obrade podataka.
Pravna podrška može obuhvatiti pripremu dokumentacije, analizu kontrolne liste, savetovanje o pravima i obavezama nadziranog subjekta i zastupanje u postupku, u skladu sa okolnostima konkretnog slučaja.
Usklađivanje vašeg poslovanja sa ZZPL-om i GDPR-om
Ukoliko vam je potrebna pravna podrška u postupku usklađivanja poslovanja sa propisima o zaštiti podataka o ličnosti, možete nam dostaviti osnovne informacije o delatnosti, veličini organizacije i vrstama podataka koje obrađujete.
Na osnovu prirode poslovanja i obima potrebnih aktivnosti moguće je definisati predmet angažovanja i pripremiti odgovarajuću ponudu.
E-mail: office@milic.rs
Napomena: Ovaj tekst je informativnog karaktera i ne predstavlja pravni savet niti pravno mišljenje u konkretnom slučaju. Primena navedenih pravila zavisi od relevantnih činjenica, okolnosti pojedinačnog slučaja i važećih propisa.