Zaštita ličnih podataka

Procjena postojećeg stanja

Prvi korak u usklađivanju je upoznavanje sa stvarnim tokovima podataka unutar organizacije. Dokumentacija treba da odgovara načinu rada, informacionim sistemima i odnosima sa drugim učesnicima u obradi.

Početna procjena može obuhvatiti:

• identifikovanje organizacionih jedinica koje obrađuju lične podatke;
• utvrđivanje kategorija fizičkih lica čiji se podaci obrađuju;
• popis vrsta ličnih podataka koji se prikupljaju;
• utvrđivanje svrhe svake aktivnosti obrade;
• analizu pravnog osnova za obradu;
• određivanje izvora iz kojih se podaci pribavljaju;
• utvrđivanje korisnika kojima se podaci dostavljaju;
• pregled rokova čuvanja i načina brisanja podataka;
• analizu informacionih sistema i fizičkih evidencija;
• pregled odnosa sa spoljnim pružaocima usluga;
• identifikovanje međunarodnih prenosa podataka;
• procjenu postojećih organizacionih i tehničkih mjera zaštite;
• prepoznavanje obrada koje mogu predstavljati povećan rizik za prava fizičkih lica.

Na osnovu analize priprema se pregled utvrđenih nedostataka i plan mjera potrebnih za usklađivanje.

Evidencije aktivnosti obrade

Kontrolor i obrađivač treba da mogu dokazati koje obrade provode i na koji način izvršavaju svoje zakonske obaveze. Evidencija aktivnosti obrade predstavlja jedan od osnovnih dokumenata za organizovanje i dokazivanje usklađenosti.

Kancelarija pruža podršku pri:

• utvrđivanju aktivnosti koje treba evidentirati;
• izradi evidencije aktivnosti obrade;
• određivanju svrhe i pravnog osnova svake obrade;
• popisu kategorija nosilaca podataka i ličnih podataka;
• evidentiranju primalaca kojima se podaci dostavljaju;
• određivanju rokova čuvanja;
• evidentiranju međunarodnih prenosa;
• opisivanju organizacionih i tehničkih mjera zaštite;
• uspostavljanju postupka redovnog ažuriranja evidencije;
• povezivanju evidencije sa drugim internim aktima i procedurama.

Evidencija se izrađuje prema stvarnim procesima organizacije i mijenja se kada se uvede nova usluga, informacioni sistem, vrsta obrade ili spoljni pružalac usluga.

Pravni osnov i načela obrade

Svaka obrada mora imati određenu svrhu i odgovarajući pravni osnov. Saglasnost je samo jedan od mogućih osnova i ne treba je koristiti kada se obrada zasniva na zakonu, ugovoru, legitimnom interesu ili drugom propisanom osnovu.

Pravna podrška obuhvata:

• utvrđivanje odgovarajućeg pravnog osnova;
• provjeru da li su podaci primjereni, relevantni i ograničeni na ono što je potrebno;
• procjenu opravdanosti svrhe obrade;
• analizu mogućnosti oslanjanja na legitimni interes;
• provođenje testa legitimnog interesa;
• određivanje uslova za pribavljanje saglasnosti;
• pripremu jasnog teksta saglasnosti;
• uređivanje načina povlačenja saglasnosti;
• procjenu mogućnosti korišćenja podataka u novu svrhu;
• usklađivanje rokova čuvanja sa svrhom obrade i posebnim propisima.

Obavještenja i pravila privatnosti

Fizičko lice treba da dobije jasne i razumljive informacije o tome ko obrađuje njegove podatke, u koju svrhu, po kojem osnovu, koliko dugo i koja prava može ostvariti.

Kancelarija izrađuje i prilagođava:

• pravila privatnosti za internet stranice i aplikacije;
• obavještenja za klijente i korisnike usluga;
• obavještenja za zaposlene i kandidate za zaposlenje;
• obavještenja za poslovne partnere i kontakt osobe;
• obavještenja o videonadzoru;
• obavještenja za posjetioce poslovnih prostorija;
• informacije koje se daju prilikom telefonskog razgovora ili elektronske komunikacije;
• tekstove saglasnosti kada je saglasnost odgovarajući pravni osnov;
• obavještenja o korišćenju kolačića i sličnih tehnologija.

Dokumenti se pripremaju jednostavnim jezikom i prilagođavaju trenutku i načinu na koji se podaci prikupljaju.

Prava nosilaca podataka

Organizacija treba da ima jasan postupak za prijem, provjeru i rješavanje zahtjeva fizičkih lica. Odgovor mora biti potpun, pravovremen i usklađen sa pravima drugih lica i obavezom čuvanja povjerljivih podataka.

Kancelarija pruža podršku pri ostvarivanju prava na:

• pristup ličnim podacima;
• dobijanje kopije podataka;
• ispravku netačnih ili nepotpunih podataka;
• brisanje podataka kada su ispunjeni zakonski uslovi;
• ograničenje obrade;
• prenosivost podataka;
• prigovor na obradu;
• povlačenje saglasnosti;
• zaštitu u vezi sa automatizovanim donošenjem odluka i profilisanjem;
• podnošenje prigovora Agenciji za zaštitu ličnih podataka;
• sudsku zaštitu i naknadu štete.

Podrška kontrolorima obuhvata i izradu interne procedure, obrazaca zahtjeva, evidencije primljenih zahtjeva i predložaka odgovora.

Podaci zaposlenih i kandidata

Poslodavci obrađuju značajnu količinu podataka od objavljivanja konkursa do prestanka radnog odnosa i isteka zakonskih rokova čuvanja dokumentacije. Obrada treba da bude zasnovana na jasno određenoj svrsi i ograničena na podatke koji su zaista potrebni.

Pravna podrška obuhvata:

• podatke kandidata i postupke zapošljavanja;
• sadržaj i čuvanje personalnih dosijea;
• evidencije o radnom vremenu, naknadama i odsustvima;
• obradu podataka o zdravstvenom stanju zaposlenih;
• kontrolu pristupa poslovnim prostorijama i sistemima;
• korišćenje službene elektronske pošte i uređaja;
• evidencije ulazaka i izlazaka;
• videonadzor na radnom mjestu;
• interne istrage i postupanje po prijavama nepravilnosti;
• objavljivanje fotografija i podataka zaposlenih;
• dostavljanje podataka računovodstvu, osiguravajućim društvima i drugim primaocima;
• rokove čuvanja i brisanje dokumentacije nakon prestanka radnog odnosa.

Klijenti, korisnici i marketing

Podaci klijenata i korisnika često se koriste kroz više sistema i u različite svrhe. Potrebno je razlikovati obradu koja je nužna za zaključenje i izvršenje ugovora od marketinga, profilisanja i drugih dodatnih namjena.

Kancelarija pruža podršku pri:

• prikupljanju podataka tokom prodaje i pružanja usluga;
• zaključivanju i izvršenju ugovora;
• vođenju korisničkih i CRM evidencija;
• provjeri identiteta korisnika;
• evidentiranju komunikacije i korisničkih zahtjeva;
• direktnom marketingu putem elektronske pošte, telefona i drugih kanala;
• segmentaciji korisnika i profilisanju;
• organizovanju programa lojalnosti;
• snimanju razgovora;
• korišćenju kolačića i analitičkih alata;
• organizovanju promotivnih aktivnosti;
• objavljivanju fotografija, preporuka i iskustava korisnika;
• povezivanju podataka iz različitih izvora.

Posebne kategorije ličnih podataka

Podaci o zdravstvenom stanju, biometrijski i genetski podaci te druge zakonom određene posebne kategorije zahtijevaju viši nivo zaštite i dodatnu analizu dopuštenosti obrade.

Pravna podrška može obuhvatiti:

• utvrđivanje posebnog zakonskog uslova za obradu;
• ograničavanje pristupa ovlašćenim licima;
• uređivanje povjerljivosti i obaveze čuvanja tajne;
• pripremu posebnih obavještenja i procedura;
• utvrđivanje rokova čuvanja;
• procjenu potrebe za provođenjem procjene uticaja;
• ugovorno uređivanje odnosa sa obrađivačima;
• postupanje po zahtjevima za pristup posebno osjetljivim podacima;
• procjenu posljedica incidenta koji uključuje ove kategorije podataka.

Kontrolori, zajednički kontrolori i obrađivači

Prije angažovanja spoljnog pružaoca usluga potrebno je utvrditi njegovu stvarnu ulogu u obradi podataka. Naziv ugovora nije presudan — odgovornost zavisi od toga ko određuje svrhu i način obrade.

Kancelarija pruža podršku pri:

• određivanju uloge svakog učesnika u obradi;
• razgraničenju kontrolora i obrađivača;
• uređivanju odnosa zajedničkih kontrolora;
• izradi i pregledu ugovora o obradi podataka;
• određivanju dopuštenih uputstava obrađivaču;
• ugovaranju povjerljivosti i sigurnosnih mjera;
• angažovanju podobrađivača;
• uređivanju pomoći pri ostvarivanju prava fizičkih lica;
• postupanju u slučaju povrede podataka;
• vraćanju ili brisanju podataka nakon prestanka ugovora;
• pravu kontrolora na provjeru i reviziju obrađivača.

Ovi ugovori posebno su značajni u odnosima sa računovodstvenim servisima, IT podrškom, cloud platformama, marketinškim agencijama, pozivnim centrima i drugim spoljnim saradnicima.

Procjena uticaja na zaštitu podataka

Kada planirana obrada može prouzrokovati visok rizik za prava i slobode fizičkih lica, prije njenog početka potrebno je procijeniti uticaj na zaštitu podataka.

Kancelarija pruža podršku pri:

• utvrđivanju da li je procjena uticaja potrebna;
• opisu planirane obrade i njene svrhe;
• procjeni nužnosti i srazmjernosti obrade;
• identifikovanju rizika za fizička lica;
• određivanju mjera za umanjenje rizika;
• dokumentovanju zaključaka i prihvaćenih mjera;
• uključivanju službenika za zaštitu podataka;
• pripremi za prethodno savjetovanje sa Agencijom kada se visok rizik ne može dovoljno umanjiti;
• redovnom preispitivanju procjene nakon promjene sistema ili načina obrade.

Zaštita podataka prilikom razvoja novih rješenja

Zaštita podataka treba da bude ugrađena u proizvod, uslugu ili proces od početka, a ne dodavana nakon što je sistem već uveden.

Pravna podrška obuhvata:

• pregled novih aplikacija, platformi i informacionih sistema;
• određivanje najmanjeg obima podataka potrebnog za svrhu obrade;
• uređenje korisničkih ovlašćenja i pristupa;
• postavljanje odgovarajućih početnih postavki privatnosti;
• definisanje rokova automatskog brisanja;
• pseudonimizaciju i druge mjere smanjenja rizika;
• pregled funkcija profilisanja i automatizovanog odlučivanja;
• pripremu obavještenja i korisničkih kontrola;
• ugovorno uređivanje odnosa sa dobavljačima tehnologije.

Službenik za zaštitu ličnih podataka

Određene organizacije imaju obavezu imenovanja službenika za zaštitu podataka, dok ga druge mogu imenovati dobrovoljno. Odluka zavisi od prirode, obima i načina obrade, a ne samo od broja zaposlenih.

Kancelarija pruža podršku pri:

• procjeni postojanja obaveze imenovanja;
• određivanju položaja, zadataka i odgovornosti službenika;
• pripremi odluke o imenovanju;
• uređivanju njegove nezavisnosti i pristupa rukovodstvu;
• prijavi kontakt podataka nadležnoj Agenciji;
• definisanju saradnje službenika sa organizacionim jedinicama;
• pripremi godišnjeg plana rada i izvještavanja;
• pružanju stručne podrške imenovanom službeniku.

Sigurnost ličnih podataka

Kontrolor i obrađivač dužni su da primijene mjere zaštite koje odgovaraju riziku, vrsti podataka, načinu obrade i mogućim posljedicama za fizička lica.

Pravna podrška obuhvata:

• pravnu procjenu postojećih sigurnosnih mjera;
• izradu politike informacione sigurnosti i povjerljivosti;
• uređivanje pristupa podacima prema poslovnim ulogama;
• pravila korišćenja službenih uređaja i informacionih sistema;
• postupke izrade sigurnosnih kopija i oporavka podataka;
• vođenje evidencije pristupa i drugih relevantnih zapisa;
• upravljanje rizicima spoljnih pružalaca usluga;
• obaveze zaposlenih u slučaju incidenta;
• periodičnu provjeru primijenjenih mjera;
• dokumentovanje mjera radi dokazivanja usklađenosti.

Tehničke mjere određuju se u saradnji sa stručnjacima za informacionu sigurnost, dok kancelarija osigurava da njihova primjena bude pravilno uređena internim aktima i ugovorima.

Povreda sigurnosti ličnih podataka

Gubitak dokumentacije, neovlašćen pristup, pogrešna dostava, krađa uređaja, napad na informacioni sistem ili nenamjerno objavljivanje mogu predstavljati povredu ličnih podataka.

Kancelarija pruža podršku kroz:

• pravnu procjenu događaja i njegovog obima;
• utvrđivanje kategorija podataka i pogođenih lica;
• procjenu rizika za prava i slobode fizičkih lica;
• evidentiranje činjenica, posljedica i preduzetih mjera;
• pripremu obavještenja Agenciji kada postoji zakonska obaveza;
• pripremu obavještenja pogođenim licima kada je to potrebno;
• koordinaciju sa IT stručnjacima i drugim učesnicima;
• komunikaciju sa poslovnim partnerima i obrađivačima;
• pripremu odgovora na zahtjeve nadležnih organa;
• izmjenu procedura radi sprečavanja ponavljanja incidenta.

Plan postupanja treba pripremiti unaprijed jer su rokovi za procjenu i prijavu povrede kratki.

Videonadzor i kontrola pristupa

Videonadzor podrazumijeva obradu ličnih podataka i mora imati određenu svrhu, pravni osnov i odgovarajuće mjere zaštite. Postavljanje obavještenja nije samo po sebi dovoljno za zakonitost takve obrade.

Podrška obuhvata:

• procjenu opravdanosti i srazmjernosti videonadzora;
• određivanje prostora koji se smije snimati;
• ograničavanje pristupa snimcima;
• utvrđivanje roka čuvanja;
• pripremu obavještenja o videonadzoru;
• izradu interne odluke i procedure;
• vođenje evidencije pristupa i izdavanja snimaka;
• postupanje po zahtjevima fizičkih lica;
• dostavljanje snimaka policiji, sudu ili drugim nadležnim organima;
• procjenu videonadzora zaposlenih i radnog prostora.

Međunarodni prenos podataka

Korišćenje stranih cloud servisa, centralizovanih sistema grupe ili pružalaca usluga izvan Bosne i Hercegovine može uključivati međunarodni prenos ličnih podataka.

Kancelarija pruža podršku pri:

• utvrđivanju lokacije primaoca i mjesta obrade;
• identifikovanju međunarodnog prenosa;
• procjeni pravnog osnova za prenos;
• provjeri nivoa zaštite u državi primaoca;
• izboru odgovarajućeg mehanizma prenosa;
• ugovaranju zaštitnih mjera sa primaocem;
• procjeni rizika pristupa podacima u drugoj državi;
• evidentiranju prenosa u dokumentaciji kontrolora;
• informisanju nosilaca podataka;
• komunikaciji sa Agencijom kada je potrebna njena odluka ili odobrenje.

Nadzor Agencije

U postupku nadzora organizacija mora pokazati ne samo da posjeduje propisane dokumente nego i da se utvrđena pravila stvarno primjenjuju.

Kancelarija pruža podršku kroz:

• preventivni pregled usklađenosti prije nadzora;
• organizovanje i pravni pregled dokumentacije;
• pripremu odgovornih lica i zaposlenih;
• izjašnjenje na zahtjeve Agencije;
• dostavljanje evidencija i drugih traženih dokaza;
• pravnu podršku tokom inspekcijskog nadzora;
• izjašnjenje o utvrđenim nepravilnostima;
• pripremu plana korektivnih mjera;
• postupanje po nalozima Agencije;
• korišćenje raspoloživih pravnih sredstava;
• zastupanje u upravnom sporu i drugim povezanim postupcima.

GDPR i poslovanje iz Bosne i Hercegovine

Privredni subjekt sa sjedištem u Bosni i Hercegovini može biti obuhvaćen i pravilima GDPR-a ako nudi robu ili usluge licima u Evropskoj uniji ili prati njihovo ponašanje na način predviđen tim propisom.

Kancelarija pruža podršku pri:

• procjeni teritorijalne primjene GDPR-a;
• usklađivanju dokumentacije sa domaćim i evropskim pravilima;
• određivanju uloge društva u prekograničnoj obradi;
• procjeni obaveze imenovanja predstavnika u Evropskoj uniji;
• ugovornom uređivanju odnosa sa partnerima iz Evropske unije;
• međunarodnim prenosima ličnih podataka;
• postupanju po zahtjevima lica koja se nalaze u Evropskoj uniji.

Kada nam se možete obratiti

Možete nam se obratiti kada započinjete proces usklađivanja, uvodite novi sistem ili uslugu, angažujete spoljnog obrađivača, planirate videonadzor ili koristite cloud platformu izvan Bosne i Hercegovine.

Pravna podrška je posebno važna kada fizičko lice zatraži pristup ili brisanje podataka, kada nastane sigurnosni incident, kada je najavljen nadzor Agencije ili kada postojeća dokumentacija više ne odgovara stvarnom načinu obrade.