ZAKON O ZAŠTITI PODATAKA O LIČNOSTI - Odgovori na pitanja u vezi sa primenom Zakona

Tweet

Autori: Redakcija Paragraf Lex i Zlatko Petrović

Objavljeno: 24.10.2019.

Novi Zakon o zaštiti podataka o ličnosti (dalje: Zakon) u primeni je od 22.8.2019. godine. Zakon je usklađen sa Opštom uredbom o zaštiti podataka o ličnosti (2016/679) koja je na snazi u Evropskoj uniji. U nastavku slede odgovori na pitanja u vezi sa primenom Zakona.

- Postupanje rukovaoca -

• Kako da lice koje jedino u privrednom društvu ima podatke svih zaposlenih i njihovih supružnika kao i dece zarad zdravstvenog osiguranja, postupa u vezi sa zaštitom podataka o ličnosti?

Zakon propisuje opšte obaveze rukovaoca u članu 41. Posebne obaveze rukovalaca propisane su u drugim odgovarajućim odredbama istog zakona. Takođe, isti zakon u članu 21, 23. i 24. propisuje koje informacije, kada i na koji način treba pružiti licu na koje se podaci odnose, kada se prikupljaju od istog lica ili od drugog lica.

- Lice za zaštitu podataka o ličnosti -

• Da li su privredna društva sa delatnostima: trgovina na malo i proizvodnja hleba i peciva, obavezani na imenovanje lica za zaštitu podataka o ličnosti?

Zakon u članu 56. propisuje: rukovalac i obrađivač mogu da odrede lice za zaštitu podataka o ličnosti (stav 1); rukovalac i obrađivač dužni su da odrede lice za zaštitu podataka o ličnosti ako se:

1) obrada vrši od strane organa vlasti, osim ako se radi o obradi koju vrši sud u svrhu obavljanja njegovih sudskih ovlašćenja;
2) osnovne aktivnosti rukovaoca ili obrađivača sastoje u radnjama obrade koje po svojoj prirodi, obimu, odnosno svrhama zahtevaju redovan i sistematski nadzor velikog broja lica na koje se podaci odnose;
3) osnovne aktivnosti rukovaoca ili obrađivača sastoje u obradi posebnih vrsta podataka o ličnosti iz člana 17. stav 1. ili podataka o ličnosti u vezi sa krivičnim presudama i kažnjivim delima iz člana 19. ovog zakona, u velikom obimu (stav 2).

U skladu sa Smernicama Radne grupe 29 o licima za zaštitu podataka o ličnosti, koje su dostupne na veb prezentaciji Evropske komisije, na adresi https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=612048, pojam redovnog i sistematskog nadzora obuhvata sve oblike praćenja i izrade profila na internetu, uključujući i praćenje radi bihevioralnog oglašavanja, ali nije ograničen samo na internetsko okruženje. Primeri delatnosti koje se mogu smatrati redovnim i sistematskim nadzorom su: upravljanje telekomunikacionom mrežom, pružanje telekomunikacionih usluga, preusmeravanje elektronske pošte, marketinške aktivnosti zasnovane na podacima, izrada profila i ocena radi procene rizika (npr. radi ocene kreditnog boniteta, određivanja premije osiguranja, sprečavanja prevara, otkrivanja pranja novca), praćenje lokacije, na primer primenom mobilnih aplikacija, programi lojalnosti, bihevioralno oglašavanje, praćenje podataka o opštem stanju organizma, telesnoj kondiciji i zdravlju pomoću uređaja koji se nose na telu, CCTV, povezani uređaji, npr. pametna brojila, pametni automobili, automatizacija doma itd.

U istim smernicama zauzet je stav da se pojam "redovnog nadzora" tumači na najmanje jedan od sledećih načina: praćenje koje je trajno ili se sprovodi u određenim intervalima u određenom razdoblju; praćenje koje se ponovo sprovodi ili ponavlja u tačno određeno vreme; praćenje koje se sprovodi stalno ili periodično. Što se tiče pojma "sistematskog nadzora", isti se tumači na najmanje jedan od sledećih načina: praćenje koje se sprovodi u skladu s određenim sistemom; praćenje koje je prethodno dogovoreno, organizovano ili metodično; praćenje koje je deo opšteg plana za prikupljanje podataka; praćenje koje se sprovodi kao deo strategije.

- Podaci o zaposlenima -

• Šta sve pravno lice, sa stanovišta Zakona ima kao obavezu da uradi ako za potrebe obračuna i isplate zarada prikuplja i koristi podatke o zaposlenima i uglavnom podatke koristi u te svrhe i eventualne potrebe banaka?

Zakon propisuje u članu 12. stav 1. da je obrada zakonita samo ako je ispunjen jedan od sledećih uslova:

1) lice na koje se podaci o ličnosti odnose je pristalo na obradu svojih podataka o ličnosti za jednu ili više posebno određenih svrha;
2) obrada je neophodna za izvršenje ugovora zaključenog sa licem na koje se podaci odnose ili za preduzimanje radnji, na zahtev lica na koje se podaci odnose, pre zaključenja ugovora;
3) obrada je neophodna u cilju poštovanja pravnih obaveza rukovaoca;
4) obrada je neophodna u cilju zaštite životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica;
5) obrada je neophodna u cilju obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja rukovaoca;
6) obrada je neophodna u cilju ostvarivanja legitimnih interesa rukovaoca ili treće strane, osim ako su nad tim interesima pretežniji interesi ili osnovna prava i slobode lica na koje se podaci odnose koji zahtevaju zaštitu podataka o ličnosti, a posebno ako je lice na koje se podaci odnose maloletno lice.

Isti zakon u članu 14. stav 1. propisuje da se osnov za obradu iz člana 12. stav 1. tač. 3) i 5) ovog zakona određuje zakonom.

Član 91. stav 1. istog zakona propisuje da se na obradu u oblasti rada i zapošljavanja primenjuju odredbe zakona kojima se uređuje rad i zapošljavanje i kolektivni ugovori, uz primenu odredbi ovog zakona.

Zakon o radu propisuje u članu 16. tačka 1. da je poslodavac dužan da zaposlenom za obavljeni rad isplati zaradu, u skladu sa zakonom, opštim aktom i ugovorom o radu.

Član 33. istog zakona propisuje: Ugovor o radu sadrži:

1) naziv i sedište poslodavca;
2) lično ime zaposlenog, mesto prebivališta, odnosno boravišta zaposlenog;
3) vrstu i stepen stručne spreme, odnosno obrazovanja zaposlenog, koji su uslov za obavljanje poslova za koje se zaključuje ugovor o radu;
4) naziv i opis poslova koje zaposleni treba da obavlja;
5) mesto rada;
6) vrstu radnog odnosa (na neodređeno ili određeno vreme);
7) trajanje ugovora o radu na određeno vreme i osnov za zasnivanje radnog odnosa na određeno vreme;
8) dan početka rada;
9) radno vreme (puno, nepuno ili skraćeno);
10) novčani iznos osnovne zarade na dan zaključenja ugovora o radu;
11) elemente za utvrđivanje osnovne zarade, radnog učinka, naknade zarade, uvećane zarade i druga primanja zaposlenog;
12) rokove za isplatu zarade i drugih primanja na koja zaposleni ima pravo;
13) trajanje dnevnog i nedeljnog radnog vremena (stav 1); ugovor o radu ne mora da sadrži elemente iz stava 1. tač. 11-13) ovog člana ako su oni utvrđeni zakonom, kolektivnim ugovorom, pravilnikom o radu ili drugim aktom poslodavca u skladu sa zakonom, u kom slučaju u ugovoru mora da se naznači akt kojim su ta prava utvrđena u momentu zaključenja ugovora o radu (stav 2); na prava i obaveze koja nisu utvrđena ugovorom o radu primenjuju se odgovarajuće odredbe zakona i opšteg akta (stav 3).

Sadržine evidencije o zaposlenim licima i evidencije o zaradama zaposlenih lica propisane su Zakonom o evidencijama u oblasti rada.

- Obaveze pravnog lica -

• Da li se mora doneti Pravilnik o zaštiti podataka o ličnosti?

Zakon propisuje opšte obaveze rukovaoca u članu 41. na sledeći način:

"Rukovalac je dužan da preduzme odgovarajuće tehničke, organizacione i kadrovske mere kako bi obezbedio da se obrada vrši u skladu sa ovim zakonom i bio u mogućnosti da to predoči, uzimajući u obzir prirodu, obim, okolnosti i svrhu obrade, kao i verovatnoću nastupanja rizika i nivo rizika za prava i slobode fizičkih lica (stav 1); mere iz stava 1. ovog člana se preispituju i ažuriraju, ako je to neophodno (stav 2); ako je to u srazmeri sa obradom podataka, mere iz stava 1. ovog člana uključuju primenu odgovarajućih internih akata rukovaoca o zaštiti podataka o ličnosti (stav 3). Rukovalac može predočiti da se pridržava obaveza iz stava 1. ovog člana i na osnovu primene odobrenog kodeksa postupanja iz člana 59. ovog zakona ili izdatog sertifikata iz člana 61. ovog zakona (stav 4) stav 4. ovog člana ne primenjuje se na obradu koju vrše nadležni organi u posebne svrhe (stav 5)."

Primena "odgovarajućih internih akata rukovaoca o zaštiti podataka o ličnosti", prema navedenoj zakonskoj odredbi, predstavlja deo mera koje rukovalac preduzima, kako bi obezbedio zakonitu obradu i bio u mogućnosti da isto dokumentuje. U tom smislu, rukovalac najpre mora razmotriti "prirodu, obim, okolnosti i svrhu obrade, kao i verovatnoću nastupanja rizika i nivo rizika za prava i slobode fizičkih lica", te pristupiti izradi internih akata o zaštiti podataka o ličnosti, "ako je to u srazmeri sa obradom podataka".

- Mapiranje podataka -

• Da li treba tražiti od programera da se izvrši "mapiranje" svih ličnih podataka fizičkih lica koji se koriste za potrebe pravnog lica.

Kako bi rukovalac mogao da preduzme tehničke, organizacione i kadrovske mere zaštite podataka o ličnosti, najpre mora imati jasnu predstavu o tome kojim podacima raspolaže, te koji su tokovi kretanja tih podataka (na koji način se prikupljaju, gde se čuvaju, ko im pristupa, kome se čine dostupnim itd). U tom smislu postupak "mapiranja" podataka jeste preduslov za preduzimanje daljih mera zaštite.

- Video nadzor .

• Zbog postojanja video nadzora radnicima smo još u trenutku instalacije istog uručivali na potpis izjavu-saglasnost za rad u uslovima video obezbeđenja, da li je to dovoljno jer nov zakon nema precizne definicije za rad u uslovima video nadzora.

Zakon propisuje u članu 4. tačka 12. da je "pristanak" lica na koje se podaci odnose svako dobrovoljno, određeno, informisano i nedvosmisleno izražavanje volje tog lica, kojim to lice, izjavom ili jasnom potvrdnom radnjom, daje pristanak za obradu podataka o ličnosti koji se na njega odnose.

U članu 12. stav 1. Zakona propisano je da je obrada zakonita samo ako je ispunjen jedan od sledećih uslova: 1) lice na koje se podaci o ličnosti odnose je pristalo na obradu svojih podataka o ličnosti za jednu ili više posebno određenih svrha; 2) obrada je neophodna za izvršenje ugovora zaključenog sa licem na koje se podaci odnose ili za preduzimanje radnji, na zahtev lica na koje se podaci odnose, pre zaključenja ugovora; 3) obrada je neophodna u cilju poštovanja pravnih obaveza rukovaoca; 4) obrada je neophodna u cilju zaštite životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica; 5) obrada je neophodna u cilju obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja rukovaoca; 6) obrada je neophodna u cilju ostvarivanja legitimnih interesa rukovaoca ili treće strane, osim ako su nad tim interesima pretežniji interesi ili osnovna prava i slobode lica na koje se podaci odnose koji zahtevaju zaštitu podataka o ličnosti, a posebno ako je lice na koje se podaci odnose maloletno lice.

Član 15. zakona propisuje: Ako se obrada zasniva na pristanku, rukovalac mora biti u mogućnosti da predoči da je lice pristalo na obradu svojih podataka o ličnosti (stav 1); Ako se pristanak lica na koje se podaci odnose daje u okviru pismene izjave koja se odnosi i na druga pitanja, zahtev za davanje pristanka mora biti predstavljen na način kojim se izdvaja od tih drugih pitanja, u razumljivom i lako dostupnom obliku, kao i uz upotrebu jasnih i jednostavnih reči. Deo pismene izjave koji je u suprotnosti sa ovim zakonom ne proizvodi pravno dejstvo (stav 2); Lice na koje se podaci odnose ima pravo da opozove pristanak u svakom trenutku. Opoziv pristanka ne utiče na dopuštenost obrade koja je vršena na osnovu pristanka pre opoziva. Pre davanja pristanka lice na koje se podaci odnose mora biti obavešteno o pravu na opoziv, kao i dejstvu opoziva. Opozivanje pristanka mora biti jednostavno, kao i davanje pristanka (stav 3); Prilikom ocenjivanja da li je pristanak za obradu podataka o ličnosti slobodno dat, posebno se mora voditi računa o tome da li se izvršenje ugovora, uključujući i pružanje usluga, uslovljava davanjem pristanka koji nije neophodan za njegovo izvršenje (stav 4).

Imajući u vidu neravnopravan položaj poslodavca i zaposlenog, pristanak za obradu podataka o ličnosti u radnim odnosima tumači se veoma restriktivno, te se može primenjivati npr. u situacijama kada poslodavac zaposlenima obezbeđuje nekakvu pogodnost, pri čemu zaposleni ne bi trpeli posledice u slučaju uskraćivanja ili opoziva pristanka. U tom smislu, pristanak lica za obradu koja je opisana u postavljenom pitanju bio bi predmet preispitivanja u zakonom propisanom postupku.

- Uverenje o neosuđivanosti -

• U cilju usklađivanja sa Zakonom, a posebno Zakonom o zaštiti podataka o ličnosti, imam nedoumicu da li imamo pravo da internim aktom propišemo obavezu zaposlenih da prilikom zasnivanja radnog odnosa dostave uverenje iz kaznene evidencije MUP-a o neosuđivanosti i Uverenje suda da se protiv tog lica ne vodi krivični postupak?

Zakon propisuje u članu 12. kada je obrada zakonita.

U članu 19. zakon propisuje: obrada podataka o ličnosti koji se odnose na krivične presude, kažnjiva dela i mere bezbednosti, može se vršiti na osnovu člana 12. stav 1. ovog zakona samo pod nadzorom nadležnog organa ili, ako je obrada dopuštena zakonom, uz primenu odgovarajućih posebnih mera zaštite prava i sloboda lica na koje se podaci odnose (stav 1); jedinstvena evidencija o krivičnim presudama vodi se isključivo od strane i pod nadzorom nadležnog organa (stav 2).

Krivični zakonik u članu 102. propisuje: (1) Kaznena evidencija sadrži lične podatke o učiniocu krivičnog dela, o krivičnom delu za koje je osuđen, podatke o kazni, uslovnoj osudi, sudskoj opomeni, oslobođenju od kazne i oproštenoj kazni, kao i podatke o pravnim posledicama osude. U kaznenu evidenciju se unose i kasnije izmene podataka sadržanih u kaznenoj evidenciji, podaci o izdržavanju kazne, kao i poništenje evidencije o pogrešnoj osudi. (2) Podaci iz kaznene evidencije mogu se dati samo sudu, javnom tužiocu i policiji u vezi sa krivičnim postupkom koji se vodi protiv lica koje je ranije bilo osuđeno, organu za izvršenje krivičnih sankcija i organu koji učestvuje u postupku davanja amnestije, pomilovanja, rehabilitacije ili odlučivanja o prestanku pravnih posledica osude, kao i organima starateljstva, kad je to potrebno za vršenje poslova iz njihove nadležnosti. Podaci iz kaznene evidencije mogu se dati i drugim državnim organima koji su nadležni za otkrivanje i sprečavanje izvršenja krivičnih dela, kada je to posebnim zakonom propisano. (3) Podaci iz kaznene evidencije mogu se, na obrazložen zahtev, dati i državnom organu, preduzeću, drugoj organizaciji ili preduzetniku, ako još traju pravne posledice osude ili mere bezbednosti i ako za to postoji opravdani interes zasnovan na zakonu. (4) Niko nema prava da traži od građanina da podnosi dokaz o svojoj osuđivanosti ili neosuđivanosti. (5) Građanima se, na njihov zahtev, mogu davati podaci o njihovoj osuđivanosti ili neosuđivanosti. (6) Podaci o brisanoj osudi ne mogu se nikom dati.

Sudski poslovnik u članu 99. stav 1. propisuje da sud, na zahtev stranke, trećih lica koja imaju opravdan interes i kad je to propisima određeno, izdaje uverenje o činjenicama o kojima vodi službenu evidenciju.

 - Reklamacija robe i povraćaj novca -

• Da li pravno lice, koje je usvojilo reklamaciju kupcu i na osnovu usvojene reklamacije treba da izvrši povrat novca kupcu na tekući račun postupa u skladu sa Zakonom?

Zakon propisuje u članu 12. kada je obrada zakonita. Zakon o zaštiti potrošača u članu 34. propisuje: trgovac je dužan da bez odlaganja izvrši povraćaj uplata koje je primio od potrošača, uključujući i troškove isporuke, a najkasnije u roku od 14 dana od dana kada je primio obrazac za odustanak (stav 1); trgovac vrši povraćaj koristeći ista sredstva plaćanja koja je potrošač koristio u prvobitnoj transakciji, osim ako se potrošač nije izričito saglasio sa korišćenjem drugog sredstva plaćanja i pod uslovom da potrošač zbog takvog povraćaja ne snosi nikakve troškove. Izuzetno od stava 1. ovog člana, trgovac nije dužan da izvrši povraćaj dodatnih troškova koji su posledica izričitog zahteva potrošača za dostavu koja odstupa od najjeftinije uobičajene dostave koju je ponudio trgovac (stav 2).