Koje će nove troškove i obaveze imati privredni subjekti i organi po novom Zakonu o zaštiti podataka o ličnosti?

Opšti pojmovi

Zbog brzog tehnološkog razvoja i globalizacije pojavili su se novi izazovi u zaštiti ličnih podataka. Ovde se posebno misli na internet, podatke koje se prikupljaju tim putem ali posebno slučajevi i mogućnosti zloupotrebe putem pojedinih sajtova, socijalnih mreža, platformi. Izuzetno značajni slučajevi jesu Google i Facebook, koji su i možda ključni za ovakvu temeljnu i obimnu izmenu u polju zaštite ovih prava. Opseg prikupljanja i razmene ličnih podataka značajno se povećao. Tehnologijom se omogućuje obrada ličnih podataka u do sada nedosegnutom obimu.

Treba pre svega reći da je pravo na zaštitu podataka o ličnosti u Srbiji zajemčeno Ustavom (što govori i o značaju zaštite ovog prava) i to čl. 42., koji određuje da se prikupljanje, držanje, obrada i korišćenje podataka o ličnosti se uređuju zakonom. Zabranjena je i kažnjiva upotreba podataka o ličnosti izvan svrhe za koju su prikupljeni, u skladu sa zakonom, osim za potrebe vođenja krivičnog postupka ili zaštite bezbednosti Republike Srbije, na način predviđen zakonom, a svako ima pravo da bude obavešten o prikupljenim podacima o svojoj ličnosti, u skladu sa zakonom, i pravo na sudsku zaštitu zbog njihove zloupotrebe.

Kao posledica procesa pridruživanja Republike Srbije Evropskoj uniji, harmonizacije prava i direktne primene prava EU, ali i potrebe, tj. nedostataka starog zakonskog rešenja, Srbija je donela novi Zakon o zaštiti podataka o ličnosti (“Sl. glasniku RS”, broj 87/2018), koji se primenjuje nakon 21. avgusta 2019. god.

Novi Zakon o zaštiti podataka o ličnosti je proizvod pre svega Uredbe 2016/679 Evropskog parlamenta i Saveta (GDPR) kao i Direktive 2016/680 Evropskog parlamenta i Saveta, čije su odredbe u velikoj meri preuzete i inkorporirane u sam Zakon. Šta je određeno ovim dokumentima?

Pomenutom uredbom se propisuju pravila u vezi sa zaštitom fizičkih lica prilikom obrade podataka o ličnosti i pravila u vezi sa slobodnim kretanjem podataka o ličnosti.

Istom se štite osnovna prava i slobode fizičkih lica, a posebno njihovo pravo na zaštitu podataka o ličnosti. Slobodno kretanje podataka unutar Unije se ne sme ograničavati ili zabranjivati iz razloga koji se odnose na zaštitu fizičkih lica prilikom obrade podataka o ličnosti.

Što se tiče područja primene, ova uredba se primenjuje na obradu podataka o ličnosti koja se u celosti ili delimično obavlja automatski i na neautomatizovanu obradu podataka o ličnosti koji čine deo sistema pohranjivanja ili su namenjeni da budu deo sistema pohranjivanja.

Ono što nije obuhvaćeno Uredbom definiisano je  Direktivi 2016/680, a odnosi se pre svega o zaštiti pojedinca u vezi sa obradom podataka o ličnosti od strane nadležnih tela u svrhe sprečavanja, istrage, otkrivanja ili gonjenja krivičnih dela ili izvršenja krivičnih sankcija i slobodnom kretanju takvih podataka, pa je imajući u vidu obaveze Republike Srbije u procesu pridruživanja Evropskoj uniji, bilo je neophodno doneti novi Zakon o zaštiti podataka o ličnosti koji će obezbediti usklađenost sa ovim propisima Evropske unije.

Treba napomenuti i da su sve nove definicije, u odnosu na prethodni zakon, pored potrebe da se osnovni pojmovi koji se koriste u zakonu što preciznije odrede, posledica usaglašavanja sa Uredbom i Direktivom, ali nedostaju npr. odredbe iz Uredbe koje se odnose na nove institute, kao što su obavezujuća poslovna pravila, sertifikacija, lice za zaštitu podataka o ličnosti i kodeks postupanja.

Ovde ćemo pokušati da prikažemo najbitnije novine, tj. prava, obaveze i troškove koji će nastati kako za privredne subjekte tako i za državne organe.

Na koga utiču rešenja iz novog zakona ?

Novi Zakon o zaštiti podataka o ličnosti imaće neposredan efekat na veći broj različitih subjekata. Reč je o sledećim subjektima:

1) organi vlasti;

2) nadležni organi;

3) Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti, kao nezavisnom i samostalnom nadzornom organu;

4) lica čiji se podaci o ličnosti obrađuju;

5) veliki privredni subjekti i multinacionalne kompanije;

6) mala i srednja preduzeća;

7) druga lica koja su u vezi sa obradom podataka o ličnosti.

Prikaz efekata zakona na određenu kategoriju subjekata

1) Organi vlasti

Zakon pod organom vlasti ne podrazumeva samo državne organe već i organe teritorijalne autonomije, jedinica lokalne samouprave, javnapreduzeća, ustanove i druge javne službe, organizacije i druga pravna ili fizička lica koja vrše javna ovlašćenja.

Usklađivanje sa zakonskim rešenjima će svakako zavisiti od veličine organa vlasti, kao i od broja podataka o ličnosti koje obrađuje. Kada su u pitanju veći organi  vlasti, biće neophodno izvršiti odgovarajuće organizacione promene, kako bi se odredila posebna organizaciona jedinica za zaštitu podataka o ličnosti ili odredilo posebno radno mesto za zaštitu podataka o ličnosti. Potrebno je izvršiti i obuku lica za zaštitu podataka o ličnosti, kao i preduzeti odgovarajuće tehničke mere, što ne bi trebalo da predstavlja veći problem, jer se, pre svega u informacionim sistemima,veći broj ovih mera već sprovodi. Takođe, biće neophodno preduzeti aktivnosti kakobi se izvršila procena rizika obrade podataka o ličnosti, kao i mere u slučaju povrede bezbednosti ovih podataka.

Kada su u pitanju organi vlasti manje veličine, koji ne obrađuju veći broj podataka o ličnosti, njihove obaveze i troškovi u primeni Zakona će svakako biti manji.

Primena Zakona se odnosi na sve organe vlasti, pa pojedini organi javne vlasti sa većim brojem zaposlenih (npr. Ministarstvo unutrašnjih poslova, Ministarstvo odbrane i dr.) imaće potrebu za obrazovanjem novih unutrašnjih organizacionih jedinica koje će se baviti zaštitom podataka o ličnosti.

To konkretno znači veći broj državnih službenika iz drugih ministarstava ili pravosuđa, na neodređeno vreme u ostalim ministarstvima, Republičkom javnom tužilaštvu, Vrhovnom kasacionom sudu i drugim organima javne vlasti.

S obzirom da se Zakonom uvodi novi sudski postupak, neophodno je sprovesti obuku za sudije. Obuka će se sprovesti u Pravosudnoj akademiji.

To podrazumeva i troškove obuke za sudije.

Što se tiče dodatnih troškova: IT, kancelarijska oprema, kao i druga oprema neophodna za zaposlene, kao i kancelarije, u skladu sa mogućnostima.

Kako bi se izvršila odgovarajuća priprema za primenu Zakona, Zakon predviđa odložen početak njegove primene, dok se ne steknu svi potrebni uslovi za primenu.

2) Nadležni organi

Zakon određuje nadležne organe kao organe vlasti koji su nadležni za sprečavanje, istragu i otkrivanje krivičnih dela, kao i gonjenje učinilaca krivičnih dela ili izvršenje krivičnih sankcija, uključujući i zaštitu i sprečavanje pretnji javnoj i nacionalnoj bezbednosti (ovo je posledica pomenute Direktive). Zbog toga, ovo je prvi put da se propisuje veći broj posebnih zakonskih odredbi koje određuje uslove i postupanje nadležnih organaka da obrađuju podatke o ličnosti u posebne svrhe. Ako nadležni organi ne obrađuju podatke u posebne svrhe, na njih se primenjuju ostale opšte odredbe Zakona.

Sprovođenje i primena Zakona će takođe zahtevati manje organizacione promene i uvođenje tehničkih mera u manjem obimu, s obzirom da nadležni organi već uglavnom imaju uslove za primenu tih mera. Takođe, biće neophodno sprovođenje obuka, i to kako onih za primenu Zakon, tako i kontinuiranih obuka, u cilju upoznavanja zaposlenih u nadležnim organima sa konkretnim zakonskim rešenjima vezanim za njihov rad. Međutim, time će se obezbediti dosledna primena načela zakonitosti u njihovom radu što će svakako omogućiti efikasniji rad i postupanje sa podacima o ličnosti.

3) Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti

Uvedene su značajne novine kada je u pitanju Poverenik. Preciznije se određuje njegov status kao nezavisnog i samostalnog nadzornog tela nadležnog za sprovođenje Zakona. Poverenik je potpuno nezavisan od svakog neposrednog ili posrednog spoljnog uticaja, te ne može primati naloge ni od koga. Takođe je predviđena obaveza da se moraju stvoriti finansijski, tehnički, organizacioni i kadrovski uslovi za rad Poverenika, a on samostalno vrši izbor zaposlenih. Nadzor nad trošenjem sredstava za rad Poverenika može da vrši samo Državna revizorka institucija, i to na način koji ne utiče na nezavisnost Poverenika.

U odnosu na stari Zakon o zaštiti podataka o ličnosti kojim je propisano 16 pojedinačnih nadležnosti Poverenika, novim Zakonom predviđa se više ovakvih nadležnosti. Značajno je da je propisano izričito ovlašćenje Poverenika da daje mišljenje o zakonskim i drugim merama koje se odnose na zaštitu prava i sloboda fizičkih lica u vezi sa obradom podataka o ličnosti.

Poverenik je ovlašćen i da postupa po pritužbama. Pritužbu ima pravo da podnese lice na koje se podaci odnose, ako smatra da je obrada podataka o njegovoj ličnosti izvršena suprotno odredbama Zakon. Sa druge strane, podnošenje pritužbe ne utiče na pravo ovog lica da pokrene druge postupke upravne ili sudske zaštite.

Precizirana su i ovlašćenja Poverenika. Članom 79. Zakona propisana su njegova inspekcijaska ovlašćenja, kao i korektivne mere koje Poverenik može da preduzme (izricanje opomene, nalaganje određenih mera rukovaocu i obrađivaču, poništavanje izdatog sertifikata i izricanje novčane kazne na osnovu prekršajnog naloga). Pored pomenutih, Poverenik je ovlašćen da propisuje kriterijume za akreditaciju, izdaje sertifikate, odobrava ugovorne odredbe, kao i da registruje i objavljuje kodeks postupanja.

Takođe ovlašćen je za poslove međunarodne saradnje u vezi sa zaštitom podataka o ličnosti, što podrazumeva preduzimanje odgovarajućih mera u odnosima sa organima nadležnim za zaštitu podataka o ličnosti u drugim državama i međunarodnim organizacijama. Pod ovim merama se podrazumeva međunarodna saradnja u cilju olakšavanja delotvorne primene Zakona koji se odnose na zaštitu podataka o ličnosti, obezbeđivanja međunarodne pravne pomoći u primeni Zakon, obaveštavanje, upućivanje na postupke zaštite i pravne pomoći u vršenju nadzora, kao i razmenu informacija, angažovanja zainteresovanih strana u raspravama i aktivnostima koje su usmerene na razvoj međunarodne saradnje u primeni Zakona, kao i podsticanje i unapređivanje razmene informacija o zakonodavstvu koje se odnosi na zaštitu podataka o ličnosti.

Imajući u vidu da se značajno povećavaju nadležnosti i obim poslova Poverenika, za sprovođenje Zakona biće potrebno obezbediti finansijska sredstva kako bi se obezbedili neophodni uslovi za obavljanje novih poslova. Ovi troškovi se pre svega odnose na povećnje broja zaposlenih u službi Poverenika.

To znači veliki broj državnih službenika u Stručnoj službi Poverenika, za stalno – na neodređeno vreme, visoka stručna sprema, diplomiranih pravnika ili eventualno nekog od fakulteta društvenog smera, od čega bi najveći deo bio u zvanju višeg savetnika, a manji deo bi činili zaposleni sa srednjom stručnom spremom

4) Lica čiji se podaci o ličnosti obrađuju

Postojeća prava lica na koje se podaci odnose, u skladu sa starim zakonom, kao što su pravo na obaveštavanje o obradi, pravo na pristup i kopiju, kao i prava posle ostvarenog pristupa, novim Zakonom su mnogo detaljnije propisana. Novinu predstavlja pravo na prenosivost podataka koje podrazumeva da lice na koje se podaci odnose ima pravo da njegove podatke o ličnosti koje je prethodno dostavilo rukovaocu primi od njega u uobičajno korišćenom i elektronski čitljivom obliku, kao i da ove podatke prenese drugom rukovaocu bez ometanja od strane rukovaoca koji obrađuje njegove podatke.

Detaljnije su uređene odredbe koje se odnose na automatizovno donošenje pojedinačnih odluka. Lice na koje se podaci odnose ima pravo da se na njega ne primenjuje odluka doneta isključivo na osnovu automatizovane obrade, uključujući i profilisanje, ako se tom odlukom proizvode pravne posledice po to lice ili ta odluka značajno utiče na njegov položaj. Ukoliko obradu vrše nadležni orgni u posebne svrhe propisana je još restrktivnija odredba (član 39. Zakona), koja predviđa da je zabranjeno je donošenje odluke isključivo na osnovu automatizovane obrade koju vrše nadležni organi u posebne svrhe, uključujući i profilisanje, ako takva odluka može da proizvede štetne pravne posledice po lice na koje se podaci odnose ili značajno utiče na položaj tog lica, osim ako je donošenje te odluke zasnovano na zakonu i ako su tim zakonom propisane odgovarajuće mere zaštite prava i sloboda lica na koje se podaci odnose, a najmanje pravo da se obezbedi učešće fizičkog lica pod kontrolom rukovaoca u donošenju odluke.

Najznačajnija novina koja se odnosi na lice na koje se podaci odnose je vezana je za podnošenje pravnih sredstava ako se vrši obrada njegovih podataka o ličnosti. Po starom zakonu, lice je imalo pravo žalbe Povereniku, ako smatra da rukovalac ne obrađuje njegove podatke u skladu sa zakonom, a ako je nezadovoljan odlukom Poverenika, mogao je da pokrene upravni spor.

Sada se predviđa čitav niz različitih mogućnosti za zaštitu prava, pri čemu je moguće podneti više pravnih sredstava, nezavisno od toga da li je već podneto neko sredstvo. Pre svega, može se podneti prigovor rukovaocu na obradu podataka.

Pored toga, može se podneti pritužba Povereniku. Protiv odluke Poverenika, odnosno u slučaju da takva odluka nije doneta u roku od 60 dana od dana podnošenja pritužbe, može da se pokrene upravni spor.

Takođe, a nezavisno od drugih postupaka može se ostvariti i neposredna sudska zaštita. Tužbom za zaštitu prava može se zahtevati od suda da obaveže tuženog na:

– davanje informacije;

– ispravku, odnosno brisanje podataka o tužiocu;

– ograničenje obrade podataka;

– davanje podataka u uobičajno korišćenom i elektronski čitljivom obliku;

– prenošenje podataka drugom rukovaocu i

– prekid obrade podataka.

Zakon izričito propisuje i pravo na naknadu štete, koje podrazumeva da lice koje je pretrpelo materijalnu ili nematerijalnu štetu zbog povrede odredaba Zakon ima pravo na novčanu naknadu ove štete od rukovaoca, odnosno obrađivača koji je štetu prouzrokovao.

5) Veliki privredni subjekti i multinacionalne kompanije

Veliki privredni subjekti i multinacionalne kompanije, zbog primene novog Zakona, mogu imati određene dodatne troškove. Međutim, dugoročno gledano, takvi troškovi će svakako smanjiti mnogo veće troškove koji mogu da nastanu zbog obrade podataka o ličnosti koja nije u skladu sa zakonom, a posebno zbog prenosa podataka o ličnosti u drugu državu ili međunarodnu organizaciju.

Napominjemo da značajne zakonske novine koje se odnose na kodeks postupanja, izdavanje sertifikata, obavezujujuća poslovna pravila i određivanje lica za zaštitu podataka, u većini slučajeva, nisu obavezujuća. Tako npr., obaveza određivanja lica za zaštitu podataka o ličnosti postoji samo u slučaju ako se osnovne aktivnosti rukovaoca ili obrađivača sastoje u radnjama obrade koje po svojoj prirodi, obimu, odnosno svrhama zahtevaju redovan i sistematski nadzor velikog broja lica na koje se podaci odnose ili ako se osnovne aktivnosti sastoje u obradi posebnih vrsta podataka o ličnosti. Takođe je predviđeno da grupa privrednih subjekata može odrediti zajedničko lice za zaštitu podataka o ličnosti, što takođe predstavlja dobru mogućnost. Isto tako, propisano je da udruženja i drugi subjekti koji predstavljaju grupe rukovaoca ili obrađivača mogu (dakle ne moraju) usvojiti kodeks postupanja.

Za postupak izdavanja sertifikata je izričito propisano da je dobrovoljan i transparentan, a ne postoji izričita obaveza od strane multinacionalne kompanije, odnosno grupe poslovnih subjekata da donesu obavezujuća poslovna pravila.

Međutim, veliki privredni subjekti i multinacionalne kompanijebi svakako trebalo da prepoznaju svoj interes za uspostavljanje navedenih mehanizama, jer će na taj način:

 – obezbediti poštovanje zakonskih odredbi;

– smanjiti moguće troškove za postupke štete;

– te mehanizme koristiti za predočavanje da poštuju odredbe Zakon;

– uspostaviti mogućnost za bolje kontakte i povezivanje sa drugim grupama privrednih subjekata i multinacionalnih kompanija koji imaju takve mehanizme;

– imati mogućnost da iskoriste više različitih načina za zakonit prenos podataka u druge države.

Ovi subjekti imaju iste obaveze kao i drugi rukovaoci. To podrazumeva: omogućavanje licima na koje se podaci odnose da ostvare prava koja zakon predviđa, dužnost preduzimanja odgovarajućih tehničkih, organizacionih i kadrovskih mera zaštite, da vode evidenciju radnji obrade, da sarađuju sa Poverenikom, da izvrše prethodnu procenu rizika, kao i da poštuju postupak u slučaju povrede podataka o ličnosti. Kao što je rečeno (u odnosu na organe vlasti), a to se odnosi i na velike privredne subjekte i multinacionalne kompanije, i ovde je pretpostavka da preduzimanje odgovarajućih tehničkih mera ne bi trebalo da predstavlja veći problem i da se, pre svega uinformacionim sistemima, veći broj ovih mera već sprovodi.

Za velike privredne subjekte i multinacionalne kompanije koje nemaju sedište na teritoriji Republike Srbije, a obrađuju podatke o ličnosti lica koja imaju prebivalište ili boravište na teritoriji Republike Srbiji, postoji i obaveza određevanja predstavnika koji mora biti fizičko ili pravno lice sa prebivalištem, odnosno sedištem na teritoriji Republike Srbije. Predstavnik je ovlašćen da predstavlja rukovaoca, odnosno obrađivača u vezi sa njihovim obavezama predviđenim ovim zakonom.

6) Mala i srednja preduzeća

Za mala i srednja preduzeća, pod pretpostavkom da njihove poslovne aktivnosti nisu vezane za obradu većeg broja podataka o ličnosti ili obradu posebnih kategorija podataka, primena ovog Zakona ne bi trebalo da izazove troškove u većoj meri, niti neka veća prilagođavanja. Mala i srednja preduzeća, kao rukovaoci ili obrađivači podataka o ličnosti imaju opšte obaveze kao i drugi rukovaoci i obrađivači, s tim da nemaju obavezu vođenja evidencije o obradi podataka. Naime, tu obavezu načelno nemaju privredni subjekt i organizacije u kojima je zaposleno manje od 250 lica.

Sa druge strane, ukoliko malo ili srednje preduzeće vrši delatnost koja podrazumeva obradu velikog broja podataka o ličnosti, a posebno ako prenosi te podatke u druge države, kao što je rečeno i za druge subjekte, imaće određene troškove zbog primene Zakona, koji će dugoročno predstavljati korist.

Zakon dozvoljava mogućnost vršenja dodatnih delatnosti, odnosno osnivanje novih specijalizovanih privrednih subjekata s obzirom da lice za zaštitu podataka o ličnosti može biti angažovano i po ugovoru, kao i da postoji mogućnost osnivanja odgovarajućeg sertifikacionog tela koje će izdavati sertifikate za zaštitu podataka o ličnosti.

7) Druga lica koja su u vezi sa obradom podataka o ličnosti

Ova lica mogu biti primalac i treća strana.

Primalac može biti fizičko ili pravno lice (kao i organ vlasti), kome su podaci o ličnosti otkriveni. U odnosu na njih, Zakon predviđa obavezu rukovaoca da o primacioma obavesti lice na koje se podaci odnose, kao i obavezu primaoca da podatke o ličnosti, koji se kod njih nalaze isprave, izbrišu ili ograniče njihovu obradu.

Treća strana je fizičko ili pravno lice (kao i organ vlasti), koji nije lice na koje se podaci odnose, rukovalac ili obrađivač, kao ni lice koje je ovlašćeno da obrađuje podatke o ličnosti pod neposrednim nadzorom rukovaoca ili obrađivača. Treća strana je od značaja u odnosu na zakonitost obrade, s obzirom da je jedan od uslova kada je obrada zakonita je njena neophodnost u cilju ostvarenja legitimnog interesa rukovaoca ili treće strane (osim ako su nad tim interesima pretežniji interesi ili osnovna prava i slobode lica na koje se podaci odnose, a koji zahtevaju zaštitu podataka o ličnosti, posebno ako je lice na koje se podaci odnose maloletno lice).

Ovaj uslov se ne primenjuje na obradu podataka koju vrše organi vlasti, kao ni nadležni organi.

Rezime

Usklađivanje sa novim zakonskim rešenjima i pravilna primena novog Zakona o zaštiti ličnosti iziskuje dosta vremena, zbog čega je i odložena primena. Sam Zakon je inkorporirao višedecenisku praksu EU i međunarodnog prava, pre svega Uredbe i Direktive, što dovodi do potpuno novih ovlašćenja, procedura i pojmova. Bez obzira na ovo, svi subjekti će morati da početka primene da predvide troškve i usklade svoje poslovanje i rad sa ovim Zakonom. U suprotnom predviđene su novčane kazne u rasponu od 50.000 do 2.000.000 dinara.

Treba napomenuti da je nemoguće potpuno precizno kvantitativno izraziti troškove koji eventualno mogu da nastanu primenom Zakona, s obzirom da pojedini troškovi organa vlasti pre svega zavise od broja podataka o ličnosti koji se obrađuju, vrste podataka, sadašnjih mera zaštite koje se primenjuju prema podacima o ličnosti (pre svega onih iz oblasti informacione bezbednosti), objektivnih potreba za obradupodataka o ličnosti i dr.

Svakako da će organi vlasti do početka primene Zakona, pa nadalje, moći da opredele detaljne iznose neophodnih budžetskih sredstava za sprovođenje ovog Zakon posebno za naredne godine (2020. godinu i nadalje), što će biti izraženo kroz planiranje i pripremu Zakon koji uređuje Budžet za naredne godine, imajući u vidu njegove mogućnosti i ograničenja.

Izvor: Izvod iz Zakona preuzet iz programa „Propis Soft“, Redakcija Profi Sistem Com-a

Izvor: Izvod iz obrazloženja Predloga Zakona preuzet sa sajta Narodne Skupštine Republike Srbije (www.parlament.gov.rs)