NACRT ZAKONA O ZAŠTITI PODATAKA O LIČNOSTI - Tekst propisa

Deo prvi

OPŠTI DEO

Glava I. OSNOVNE ODREDBE

Predmet zakona

Član 1.

Ovim zakonom uređuje se pravo fizičkog lica na zaštitu podataka o ličnosti u vezi sa njihovom obradom, uključujući osnovna načela obrade, prava lica na koje se podaci odnose i obaveze rukovalaca i obrađivača, kao i slobodni protok podataka o ličnosti i prenos podataka u druge države i međunarodne organizacije, obrada podataka o ličnosti od strane nadležnih organa u posebne svrhe, nadzor nad sprovođenjem ovog zakona, pravna sredstva, odgovornost i kazne u slučaju povrede ovog prava.

Cilj zakona

Član 2.

Cilj ovog zakona je uređenje prava fizičkog lica na zaštitu podataka o ličnosti na način kojim se obezbeđuje efikasna i delotvorna zaštita ovog prava i drugih, sa njim povezanih, prava i sloboda lica na koje se podaci odnose.

Primena

Član 3.

(1)        Ovaj zakon primenjuje se na obradu podataka o ličnosti koja se vrši, u celini ili delimično, na automatizovan način, kao i na neautomatizovanu obradu podataka o ličnosti koji čine deo zbirke podataka ili su namenjeni zbirci podataka i to na obradu podataka o ličnosti:

1)         koju vrši rukovalac, odnosno obrađivač koji ima sedište, odnosno prebivalište, boravište ili odobren boravak na teritoriji Republike Srbije, u okviru aktivnosti koje se vrše na teritoriji Republike Srbije, bez obzira da li se radnja obrade vrši na teritoriji Republike Srbije,

2)         lica na koje se podaci odnose koje ima prebivalište, odnosno boravište ili odobren boravak na teritoriji Republike Srbije od strane rukovaoca, odnosno obrađivača koji nema sedište, odnosno prebivalište, boravište ili odobren boravak na teritoriji

 

Republike Srbije, ako se radnje obrade podataka o ličnosti vrše u okviru aktivnosti na teritoriji Republike Srbije.

(2)        Ovaj zakon se ne primenjuje na obradu podataka o ličnosti koju vrši fizičko lice za lične potrebe, odnosno potrebe svog domaćinstva, kao i na neautomatizovanu obradu podataka o ličnosti koji ne čini deo zbirke podataka ili nisu namenjeni zbirci podataka.

(3)        Ovaj zakon se ne primenjuje na obradu podataka o ličnosti preminulih lica.

(4)        Odredbe posebnih zakona kojima se uređuje obrada podataka o ličnosti moraju biti u skladu sa ovim zakonom.

Značenje izraza

Član 4.

Pojedini izrazi u ovom zakonu imaju sledeće značenje:

1)         “podatak o ličnosti” je svaki podatak koji se odnosi na fizičko lice čiji je identitet određen ili odrediv, neposredno ili posredno, posebno na osnovu oznake identiteta, kao što je ime i identifikacioni broj, podataka o lokaciji, identifikatora u elektronskim komunikacionim mrežama ili jednog, odnosno više obeležja njegovog fizičkog, fiziološkog, genetičkog, mentalnog, ekonomskog, kulturnog i društvenog identiteta;

2)         “lice na koje se podaci odnose” je fizičko lice čiji se podaci o ličnosti obrađuju;

3)         “obrada podataka o ličnosti” je svaka radnja ili skup radnji koje se vrše automatizovano ili neautomatizovano sa podacima o ličnosti ili njihovim skupovima, kao što su prikupljanje, beleženje, razvrstavanje, grupisanje, odnosno strukturisanje, skladištenje, čuvanje, upodobljavanje ili menjanje, otkrivanje, uvid, upotreba, otkrivanje prenosom, odnosno dostavljanjem, umnožavanje, distribuiranje ili na drugi način činjenje dostupnim, upoređivanje, ograničavanje, brisanje ili uništavanje (u daljem tekstu: obrada);

4)         “ograničavanje obrade” je označavanje skladištenih podataka o ličnosti u cilju ograničenja njihove obrade u budućnosti;

5)         “profilisanje” je svaki oblik obrade koji se koristi da bi se ocenilo određeno svojstvo ličnosti, posebno u cilju analize ili predviđanja radnog učinka fizičkog lica, njegovog ekonomskog položaja, zdravstvenog stanja, ličnih sklonosti, interesa, pouzdanosti, ponašanja, lokacije ili kretanja;

6)         “pseudonimizacija” je obrada na način koji onemogućava pripisivanje podataka o ličnosti određenom licu bez korišćenja dodatnih podataka, pod uslovom da se ovi dodatni podaci čuvaju posebno i da su preduzete tehničke, organizacione i kadrovske mere koje obezbeđuju da se podatak o ličnosti ne može pripisati određenom ili odredivom licu;

7)         “anonimizacija” je proces kojim se vrši zamena ili izostavljanje podatka o ličnosti i time postiže trajan prekid veza između postojećih podataka i identiteta lica;

 

8)         “kriptozaštita” je primena metoda, mera i postupaka radi transformisanja podataka u oblik koji ih za određeno vreme ili trajno čini nedostupnim neovlašćenim licima, u skladu sa zakonom kojim se uređuje informaciona bezbednost;

9)         “zbirka podataka” je svaki struktuirani skup podataka o ličnosti koji je dostupan u skladu sa posebnim kriterijumima pretrage, bez obzira da li je zbirka centralizovana, decentralizovana ili razvrstana po funkcionalnim ili geografskim osnovama;

10)       “rukovalac” je fizičko lice, preduzetnik ili pravno lice, odnosno organ vlasti koji samostalno ili zajedno sa drugima određuje svrhu i način obrade, pri čemu se zakonom kojim se određuje svrha i način obrade, može odrediti i rukovalac ili propisati uslovi za njegovo određivanje;

11)       “obrađivač” je fizičko lice, preduzetnik ili pravno lice, odnosno organ vlasti koji obrađuje podatke o ličnosti u ime rukovaoca;

12)       “primalac” je fizičko lice, preduzetnik ili pravno lice, odnosno organ vlasti kome su podaci o ličnosti otkriveni, bez obzira da li se radi o trećoj strani ili ne, osim ako se radi o organima vlasti koji, u skladu sa zakonom, primaju podatke o ličnosti u okviru obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja i obrađuju ove podatke u skladu sa pravilima o zaštiti podataka o ličnosti koja se odnose na svrhu obrade;

13)       “treća strana” je fizičko lice, preduzetnik ili pravno lice, odnosno organ vlasti, koji nije lice na koje se podaci odnose, rukovalac ili obrađivač, kao ni lice koje je ovlašćeno da obrađuje podatke o ličnosti pod neposrednim nadzorom rukovaoca ili obrađivača;

14)       “pristanak” je izražena volja lica kojom daje pristanak za obradu podataka o ličnosti koji se na njega odnose;

15)       “povreda podataka o ličnosti” je povreda bezbednosti podataka o ličnosti koja dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmene, neovlašćenog otkrivanja ili pristupa podacima o ličnosti koji su preneseni, skladišteni ili na drugi način obrađivani;

16)       “rizik” je stvarna mogućnost narušavanja bezbednosti podataka o ličnosti;

17)       “upravljanje rizicima bezbednosti podataka o ličnosti” je proces identifikacije, kontrole i svođenja na prihvatljivu meru neizvesnih događaja koji predstavljaju rizik i koji mogu da utiču na bezbednost podataka o ličnosti, što uključuje procenu, postupanje, prihvatanje i obaveštavanje o riziku;

18)       “genetički podatak” je podatak o ličnosti koji se odnosi na nasleđena ili stečena genetička obeležja fizičkog lica, koja pružaju jedinstvenu informaciju o fiziologiji ili zdravlju tog lica, a naročito oni koji su dobijeni analizom iz uzorka biološkog porekla;

19)       “biometrijski podatak” je podatak o ličnosti dobijen posebnom tehničkom obradom podataka u vezi sa fizičkim obeležjima, fiziološkim obeležjima ili

 

obeležjima ponašanja fizičkog lica, koja omogućava ili potvrđuje jedinstvenu identifikaciju tog lica, kao što je slika njegovog lica ili njegovi daktiloskopski podaci;

20)       “video nadzor” je sistem koji se koristi za monitoring, odnosno nadziranje određenog prostora, zatvorenog ili otvorenog, putem kamera kojima se vrši prikupljanje i dalja obrada podataka o ličnosti;

21)       “podatak o zdravstvenom stanju” je podatak o fizičkom ili mentalnom zdravlju fizičkog lica, uključujući i onaj o pružanju zdravstvenih usluga, kojima se otkrivaju informacije o njegovom zdravstvenom stanju;

22)       “predstavnik” je fizičko ili pravno lice sa prebivalištem, boravištem ili odobrenim boravkom, odnosno sedištem na teritoriji Republike Srbije koje je u skladu sa odredbama ovog zakona ovlašćeno da predstavlja rukovaoca, odnosno obrađivača u vezi sa njihovim obavezama predviđenim ovim zakonom;

23)       “privredni subjekat” je fizičko ili pravno lice koje obavlja privrednu delatnost, bez obzira na njegov pravni oblik;

24)       “Akreditaciono telo Srbije”, je ustanava čiji su položaj i rad uređeni zakonom kojim se uređuje akreditacija;

25)       “akreditacija, sertifikat o akreditaciji i ocenjivanje usaglašenosti”,

imaju značenje propisano zakonom kojim se uređuje akreditacija;

26)       “sertifikaciono telo” je telo koje, u skladu sa zakonom kojim se uređuje akreditacija, obavlja poslove ocenjivanja usaglašenosti;

27)       “multinacionalno privredno društvo” je privredni subjekt koji ima ogranak, odnosno predstavništvo u Republici Srbiji, odnosno privredni subjekat koji je kontrolni osnivač ili kontrolni član privrednog subjekta ili sa značajnim učešćem u privrednom subjektu, odnosno u osnivaču ogranka privrednog subjekta, koji obavlja privrednu delatnost u državi u kojoj se ne nalazi njegovo sedište, a koje je registrovano i posluje u skladu sa zakonom kojim se uređuju privredna društva;

28)       “grupa društava” je grupa povezanih privrednih društava, u skladu sa zakonom kojim se uređuje povezivanje privrednih društava;

29)       “obavezujuća poslovna pravila” su interna pravila o zaštiti podataka o ličnosti koja su usvojena i koja se primenjuju od strane rukovaoca, odnosno obrađivača, sa prebivalištem, boravištem ili odobrenim boravkom, odnosno sedištem na teritoriji Republike Srbije, u svrhu regulisanja prenošenja podataka o ličnosti rukovaocu ili obrađivaču u jednoj ili više država unutar multinacionalnog privrednog društva ili grupe privrednih subjekata;

30)       “Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti” (u daljem tekstu: Poverenik) je samostalan državni organ, nezavisan u vršenju svoje nadležnosti, ustanovljen na osnovu zakona, koji je nadležan za nadzor nad sprovođenjem ovog zakona i obavljanje drugih poslova propisanih zakonom;

 

31)       “usluga informacionog društva” je svaka usluga koja se uobičajeno pruža na daljinu, u skladu sa zakonom kojim se uređuje elektronska trgovina;

32)       “međunarodna organizacija” je organizacija ili njeno telo koje uređuje međunarodno javno pravo, kao i bilo koje drugo telo ustanovljeno sporazumom ili na osnovu sporazuma između država;

33)       “organ vlasti” je organ Republike Srbije, autonomne pokrajine, jedinice lokalne samouprave ili gradske opštine, javno preduzeće, ustanova, privredno društvo ili drugo pravno lice čiji je osnivač ili član Republika Srbija, autonomna pokrajina, jedinica lokalne samouprave ili gradska opština, pravno lice ili preduzetnik koji obavlja delatnosti od opšteg interesa ili pravno lice ili fizičko lice koje ima javna ovlašćenja;

34)       “nadležni organi” su:

a) organi vlasti koji su nadležni za sprečavanje, istragu i otkrivanje krivičnih dela i prekršaja, kao i gonjenje njihovih učinilaca ili izvršenje izrečenih sankcija, uključujući i zaštitu i sprečavanje pretnji javnoj i nacionalnoj bezbednosti (u daljem tekstu: obrada u posebne svrhe);

b) pravno lice koje je za vršenje poslova iz podtačke a) ove tačke ovlašćeno zakonom.

35)       “obavljanje poslova u javnom interesu” je delovanje organa vlasti na zaštiti interesa koji predstavljaju dobrobit za sve građane ili veliku većinu građana Republike Srbije, a naročito: nacionalne bezbednosti, uključujući odbranu, unutrašnju bezbednost, obavljanje bezbednosno-obaveštajnih poslova i međunarodni položaj zemlje; ekonomske i fanansijske stabilnosti; javnog zdravlja; prirodnih resursa i životne sredine; sprečavanje ili otkrivanje krivičnog dela, optuženja za krivično delo, vođenje sudskog ili drugog pravno uređenog postupka, kao i života, zdravlja, bezbednosti ili kojeg drugog važnog dobra nekog lica.

36)       “legitimni interes” je stvaran, konkretan i pravno dopušten interes rukovaoca ili treće strane, koji je poslovnog ili šireg društvenog karaktera, da u okviru uspostavljenog odnosa sa fizičkim licem obrađuje podatke o ličnosti tog lica, uključujući njihov prenos trećoj strani, bez pribavljene saglasnosti tog lica, uz poštovanje principa neophodnosti, podobnosti i srazmernosti u odnosu na ostvarivanje svrhe obrade (sprečavanje prevara, zaštita informacione bezbednosti i dr.), pod uslovom da nad tim interesom ne pretežu interesi ili osnovna prava i slobode lica na koje se podaci odnose, uzimajući u obzir razumna očekivanja tih lica zasnovana na njihovom odnosu sa rukovaocem.

 

Glava II.

OBRADA PODATAKA O LIČNOSTI

1.         Osnovna načela obrade podataka o ličnosti

Načelo zakonitosti Član 5.

(1)        Podaci o ličnosti moraju se obrađivati zakonito, na način kojim se obezbeđuje predvidljivost u postupanju rukovaoca, jednakost pred zakonom i zaštita prava fizičkog lica u vezi sa obradom njegovih podataka o ličnosti.

(2)        Zakonita obrada je ona obrada podataka o ličnosti koja se vrši u skladu sa ustavom, potvrđenim međunarodnim ugovorima, opšteprihvaćenim pravilima međunarodnog prava i ovim zakonom, odnosno drugim zakonom kojim se uređuje obrada.

(3)        Ograničenja zaštite prava lica čiji se podaci obrađuju moguća su samo pod uslovima i na način propisan zakonom.

Načelo poštenja Član 6.

Obrada podataka o ličnosti mora biti poštena, odnosno zasnovana na pravičnim osnovama, pri čemu je rukovalac dužan da prilikom obrade vodi računa o opravdanim interesima i razumnim očekivanjima lica na koje se podaci odnose.

Načelo transparentnosti Član 7.

Transparentna obrada je obrada podataka o ličnosti pri kojoj rukovalac omogućava licu na koje se podaci odnose da bude obavešteno o obradi na jasan, razumljiv i lako dostupan način.

Načelo ograničenja u odnosu na svrhu obrade Član 8.

(1)        Podaci o ličnosti prikupljaju se u svrhe koje su konkretno određene, izričite, opravdane i zakonite i dalje se ne mogu obrađivati na način koji nije u skladu sa tim svrhama.

(2)        Obrada u svrhu koja je različita od svrhe za koju su podaci prikupljeni moguća je samo pod uslovima i na način propisan zakonom.

 

Načelo minimizacije podataka Član 9.

(1)        Podaci o ličnosti koji se obrađuju moraju biti neophodni, bitni i ograničeni na ono što je nužno u odnosu na svrhu obrade.

(2)        Prilikom procene da li su podaci o ličnosti koji se obrađuju neophodni, bitni i ograničeni na ono što je nužno, rukovalac naročito uzima u obzir potrebu, podobnost i srazmernost podataka o ličnosti koje obrađuje u odnosu na svrhu obrade.

Načelo tačnosti podataka Član 10.

(1)        Podaci o ličnosti koji se obrađuju moraju biti tačni i, ako je to neophodno, ažurirani, uzimajući u obzir svrhu obrade.

(2)        Tačnost i ažuriranost podataka obezbeđuje se preduzmanjem potrebnih mera da se netačni podaci o ličnosti bez odlaganja izbrišu, isprave ili dopune.

Načelo ograničenja čuvanja Član 11.

Podaci o ličnosti koji se obrađuju čuvaju se u obliku koji omogućava identifikaciju lica samo u roku koji je neophodan za ostvarivanje svrhe obrade.

Načelo integriteta i poverljivosti Član 12.

Podaci o ličnosti obrađuju se na način koji obezbeđuje odgovarajuću zaštitu podataka o ličnosti, uključujući zaštitu od neovlašćene ili nezakonite obrade, kao i od slučajnog gubitka, uništenja ili oštećenja primenom odgovarajućih tehničkih, organizacionih i kadrovskih mera.

Načelo odgovornosti za postupanje Član 13.

Rukovalac je odgovoran za poštovanje i primenu osnovnih načela obrade podataka o ličnosti i dužan je da predoči njihovu primenu.

 

2.         Zakonitost obrade

Pravni osnov za obradu podataka o ličnosti Član 14.

(1)        Obrada podataka o ličnosti je zakonita ako se zasniva na jednom od osnova određenih ovim zakonom, kao i ako su ispunjeni propisani uslovi u pogledu svakog od tih osnova.

(2)        Osnovi za zakonitu obradu podataka o ličnosti su:

1)         poštovanje zakonskih obaveza rukovaoca;

2)         obavljanje poslova u javnom interesu ili izvršenje zakonom propisanih ovlašćenja rukovaoca;

3)         zaštita životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica;

4)         pristanak lica na obradu podataka o ličnosti, za jednu ili više posebno određenih svrha;

5)         izvršenje ugovora zaključenog sa licem na koje se podaci odnose;

6)         ostvarivanje legitimnih interesa rukovaoca ili treće strane.

Određenost u zakonu kao osnov za obradu Član 15.

(1)        Kada je osnov za obradu podataka o ličnosti poštovanje zakonskih obaveza rukovaoca, odnosno obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja rukovaoca iz člana 14. stav (2) tač. 1) i 2) ovog zakona, obrada je zakonita ako je neophodna u cilju ostvarivanja svrhe obrade i pod uslovom da je određena zakonom.

(2)        U slučaju obrade u cilju poštovanja zakonskih obaveza rukovaoca iz člana 14. stav

(2) tačka 1) ovog zakona, zakonom se određuje i svrha obrade.

(3)        Kada se radi o obradi iz člana 14. stav (2) tačka 2) ovog zakona, zakonom se određuje javni interes koji se namerava ostvariti obavljanjem konkretnog posla, odnosno ovlašćenje koje se primenjuje, kao i obaveza poštovanja principa srazmernosti obrade u odnosu na cilj ostvarivanja svrhe.

(4)        Zakonom iz st. (2) i (3) ovog člana mogu se propisati i uslovi za dozvoljenost obrade od strane rukovaoca, vrsta podataka koji su predmet obrade, lica na koje se podaci o ličnosti odnose, lica kojima se podaci mogu otkriti i svrha njihovog otkrivanja, ograničenja koja se odnose na svrhu obrade, rok skladištenja i čuvanja podataka, kao i druge posebne radnje i postupak obrade, uključujući i mere za obezbeđivanje zakonite, poštene i transparentne obrade.

 

Zaštita životno važnih interesa lica kao osnov za obradu

Član 16.

Kada je osnov za obradu podataka o ličnosti zaštita životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica iz člana 14. stav (2) tačka 3) ovog zakona, obrada je zakonita ako je rukovalac u mogućnosti da predoči da je obrada neophodna u cilju ostvarivanja svrhe obrade.

Pristanak kao osnov za obradu Član 17.

(1)        Kada se osnov za obradu podataka o ličnosti zasniva na pristanku iz člana 14. stav (2) tačka 4) ovog zakona, rukovalac mora biti u mogućnosti da predoči da je lice pristalo na obradu podataka o ličnosti.

(2)        Pristanak lica na obradu podataka o ličnosti mora biti dobrovoljan, određen i nedvosmislen, u vidu izjave, jasne potvrdne, odnosno druge konkludentne radnje, donete na osnovu potpunih informacija.

(3)        Kada se pristanak iz stava (2) ovog člana daje u okviru pismene izjave koja se odnosi i na druga pitanja, zahtev za davanje pristanka mora biti prezentovan na način kojim se izdvaja od tih drugih pitanja, u razumljivom i lako dostupnom obliku, kao i uz upotrebu jasnih i jednostavnih reči.

(4)        Deo pismene izjave koji je u suprotnosti sa stavom (3) ovog člana ne proizvodi pravno dejstvo.

(5)        Pre davanja pristanka lice na koje se podaci odnose mora biti obavešteno o pravu na opoziv pristanka, kao i dejstvu opoziva.

(6)        Lice na koje se podaci odnose ima pravo da opozove pristanak u svakom trenutku, pri čemu opoziv pristanka ne utiče na dopuštenost obrade koja je vršena na osnovu pristanka pre opoziva.

(7)        Opozivanje pristanka mora biti jednostavno, kao i davanje pristanka.

(8)        Opoziv pristanka proizvodi dejstvo od trenutka kada rukovalac primi opoziv.

(9)        Prilikom ocenjivanja da li je pristanak za obradu podataka o ličnosti slobodno dat, posebno se mora voditi računa o tome da li se izvršenje ugovora, uključujući i pružanje usluga, uslovljava davanjem pristanka koji nije neophodan za njegovo izvršenje.

Pristanak maloletnog lica u vezi sa korišćenjem usluga informacionog društva Član 18.

(1)        Maloletno lice koje je navršilo 15 godina života može samostalno da daje pristanak za obradu podataka o ličnosti u korišćenju usluga informacionog društva.

(2)        Ako se radi o maloletnom licu koje nije navršilo 15 godina života, za obradu podataka iz stava (1) ovog člana pristanak mora dati roditelj koji vrši roditeljsko pravo, odnosno drugi zakonski zastupnik maloletnog lica.

 

(3)        Rukovalac mora preduzeti razumne mere u cilju utvrđivanja da li je pristanak dao roditelj koji vrši roditeljsko pravo, odnosno drugi zakonski zastupnik maloletnog lica, uzimajući u obzir dostupne tehnologije.

Ugovor kao osnov za obradu Član 19.

Kada je osnov za obradu podataka o ličnosti izvršenje ugovora iz člana 14. stav (2) tačka 5) ovog zakona, obrada je zakonita ako je neophodna za izvršenje ugovora zaključenog sa licem na koje se podaci odnose ili se radi o neophodnosti obrade podataka o ličnosti u vezi sa preduzimanjem radnji, na zahtev lica na koje se podaci odnose, pre zaključenja ugovora.

Legitimni interes rukovaoca ili treće strane Član 20.

(1)        Kada je osnov za obradu podataka o ličnosti ostvarivanje legitimnih interesa rukovaoca ili treće strane iz člana 14. stav (2) tačka 6) ovog zakona, obrada je zakonita ako je neophodna u cilju ostvarivanja tih interesa, osim ako su nad tim interesima pretežniji interesi ili osnovna prava i slobode lica na koje se podaci odnose, koji zahtevaju zaštitu podataka o ličnosti, a posebno ako je lice na koje se podaci odnose maloletno lice.

(2)        Osnov za obradu iz stava (1) ovog člana nije primenljiv na obradu koju vrši organ vlasti u okviru svoje nadležnosti.

3.         Transparentnost obrade

Informisanje o obradi podataka o ličnost Član 21.

(1)        Obrada podataka o ličnosti je transparentna ako je rukovalac preduzeo odgovarajuće mere da informiše lice na koje se podaci odnose o nameravnoj obradi podataka o ličnosti, u slučaju kada se podaci prikupljaju od njega lično, odnosno o započetoj obradi, kada se podaci ne prikupljaju od lica na koje se odnose, kao i ostvarivanju drugih prava propisanih ovim zakonom, u vezi sa obradom podataka o ličnosti.

(2)        Rukovalac je dužan da informacije iz stava (1) ovog člana pruži na jasan, transparentan, razumljiv i lako dostupan način, korišćenjem jasnih i jednostavnih reči, a posebno ako se radi o informaciji koja je namenjena maloletnom licu.

(3)        Informacije iz stava (1) ovog člana daju se u pismenom ili drugom obliku, uključujući, ako je to pogodno, elektronski oblik, kao i usmeno ako lice na koje se podaci odnose to zahteva, pod uslovom da je identitet lica nesumnjivo utvrđen.

(4)        Informacije iz stava (1) ovog člana, mogu se dati u kombinaciji sa standardizovanim ikonama prikazanim u elektronskom obliku i čitljivim na

 

elektronskom uređaju, kako bi se, na lako vidljiv, razumljiv i jasno uočljiv način, obezbedio svrsishodan uvid u obradu.

(5)        Poverenik određuje informacije koje se predstavljaju standardizovanim ikonama prikazanim u elektronskom obliku i uređuje postupak za njihovo utvrđivanje.

Informacije koje se pružaju kad se podaci o ličnosti prikupljaju od lica na koje se odnose

Član 22.

Kada se podaci o ličnosti prikupljaju od lica na koje se odnose, rukovalac je dužan da tom licu pruži sledeće informacije:

1)         o identitetu i kontakt podacima rukovaoca, kao i njegovog predstavnika, ako je on određen;

2)         kontakt podatke lica za zaštitu podataka o ličnosti, ako je ono određeno;

3)         o svrsi nameravane obrade i pravnom osnovu za obradu;

4)         o vrsti podataka koji se obrađuju;

5)         o legitimnom interesu rukovaoca ili treće strane, ako je obrada zasnovana na odredbi iz člana 20. stav (1) ovog zakona;

6)         o primaocu, odnosno grupi primalaca podataka o ličnosti, ako oni postoje;

7)         o činjenici da rukovalac namerava da iznese podatke o ličnosti u drugu državu ili međunarodnu organizaciju, kao i o tome da li se ta država ili međunarodna organizacija nalazi na listi Vlade kojom se utvrđuje da te države, odnosno međunarodne organizacije obezbeđuju primereni nivo zaštite podataka o ličnosti, a u slučaju prenosa podataka u državu ili međunarodnu organizaciju koja se ne nalaze na listi, o upućivanju na odgovarajuće mere zaštite, kao i o načinu na koji se lice na koje se podaci odnose može upoznati sa tim merama.

Dodatne informacije Član 23.

Pored informacija iz člana 22. ovog zakona, rukovalac je dužan da licu na koje se podaci odnose pruži i sledeće dodatne informacije, ako su one neophodne da bi se obezbedila poštena i transparentna obrada u odnosu na to lice, i to:

1)         o roku čuvanja podataka o ličnosti ili, ako to nije moguće, o kriterijumima za njegovo određivanje, koji moraju biti u skladu sa načelom ograničenja čuvanja podataka o ličnosti iz člana 11. ovog zakona;

2)         o pravu da se od rukovaoca zahteva pristup, ispravka i dopuna ili brisanje njegovih podataka o ličnosti, odnosno o pravu na ograničenje obrade, pravu na prigovor, kao i pravu na prenosivost podataka;

3)         o pravu na opoziv pristanka u bilo koje vreme, kao i o tome da opoziv pristanka ne utiče na dopuštenost obrade na osnovu pristanka pre opoziva, ako je osnov za obradu

 

podataka o ličnosti zasnovan na pristanku iz člana 17. ovog zakona, uključujući pristanak na obradu posebno osetljivih podataka o ličnosti, u skladu sa ovim zakonom;

4)         o pravu da se podnese pritužba Povereniku, odnosna tužba sudu;

5)         o tome da li je davanje podataka o ličnosti zakonska ili ugovorna obaveza ili je davanje podataka neophodan uslov za zaključenje ugovora, kao i o tome da li lice na koje se podaci odnose ima obavezu davanja podatka i o mogućim posledicama ako se podaci ne daju;

6)         o postojanju automatizovanog donošenja odluke, uključujući profilisanje, o bližem načinu automatizovane obrade podataka, kao i o značaju i očekivanim posledicama te obrade po lice na koje se podaci odnose.

Informacije koje se pružaju kad se podaci o ličnosti ne prikupljaju od lica na koje se odnose

Član 24.

(1)        Kada se podaci o ličnosti ne prikupljaju od lica na koje se odnose, rukovalac je dužan da licu na koje se podaci odnose pruži informacije iz člana 22. ovog zakona.

(2)        Pored informacija iz stava (1) ovog člana, rukovalac je dužan da licu na koje se podaci odnose pruži i dodatne informacije iz člana 23. ovog zakona, ako su neophodne da bi se obezbedila poštena i transparentna obrada, kao i informaciju o izvoru iz kog potiču podaci o ličnosti i, prema potrebi, da li podaci potiču iz javno dostupnih izvora.

Informacije u slučaju obrade u druge svrhe Član 25.

Kada rukovalac namerava da dalje obrađuje podatke o ličnosti u svrhu koja je različita od one za koju su podaci prikupljeni, rukovalac je dužan da pre započinjanja dalje obrade, licu na koje se podaci odnose, bez obzira da li se podaci prikupljaju od tog lica ili lica na koje se podaci ne odnose, pruži informacije o toj drugoj svrsi, kao i sve druge bitne dodatne informacije iz čl. 23. i 24. stav (2) ovog zakona, ako su one neophodne da bi se obezbedila poštena i transparentna obrada.

Oslobađanje rukovaoca obaveze pružanja informacije Član 26.

(1)        Rukovalac nije dužan da licu na koje se podaci odnose pruži informacije iz čl.

22. do 25. ovog zakona, ako lice već raspolaže tim informacijama.

(2)        Kada ne prikuplja podatke o ličnosti od lica na koje se podaci odnose, rukovalac nije dužan da licu na koje se podaci odnose pruži informacije iz člana 24. ovog zakona, ako:

1)         je pružanje takvih informacija nemoguće ili bi zahtevalo nesrazmeran utrošak vremena i sredstava, a naročito u slučaju obrade u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja, kao i u statističke svrhe, pod uslovom da je

 

obezbeđena primena tehničkih, organizacionih i kadrovskih mera zaštite podataka, a posebno ako je obezbeđeno poštovanje načela minimizacije podataka, uključujući pseudonimizaciju;

2)         je verovatno da bi izvršenje obaveza pružanja informacija onemogućilo ili bitno otežalo ostvarivanje svrhe obrade;

3)         je prikupljanje ili otkrivanje podataka o ličnosti izričito propisano zakonom kojim se obezbeđuju odgovarajuće mere zaštite legitimnih interesa lica na koje se podaci odnose;

4)         se podaci o ličnosti moraju zaštititi u skladu sa obavezom čuvanja profesionalne tajne, koja je propisana zakonom.

(3)        U slučajevima iz stava (2) tač. 1) i 2) ovog člana rukovalac je dužan da preduzme odgovarajuće mere zaštite prava i sloboda, kao i legitimnih interesa lica na koje se podaci odnose, što uključuje i javno objavljivanje informacija.

Rokovi za pružanje informacija Član 27.

(1)        Kada se podaci o ličnosti prikupljaju od lica na koje se podaci odnose, rukovalac je dužan da u trenutku prikupljanja podataka o ličnosti tom licu pruži informacije iz čl. 22. i 23. ovog zakona.

(2)        Kada se podaci o ličnosti ne prikupljaju od lica na koje se podaci odnose, rukovalac je dužan da licu na koje se podaci odnose informacije iz člana 24. ovog zakona, pruži:

1)         u razumnom roku posle prikupljanja podataka o ličnosti, a najkasnije u roku od 30 dana, uzimajući u obzir sve posebne okolnosti obrade;

2)         najkasnije prilikom uspostavljanja prve komunikacije;

3)         najkasnije prilikom prvog otkrivanja podataka o ličnosti, ako je predviđeno otkrivanje podataka o ličnosti primaocu.

(3)        Rukovalac pruža informacije iz čl. 22. do 25. ovog zakona licu na koje se podaci odnose bez naknade.

4.         Obrada u druge svrhe

Osnovne odredbe Član 28.

Obrada podataka o ličnosti u druge svrhe je ona obrada kod koje se svrha obrade razlikuje od svrhe za koju su podaci prvobitno prikupljeni, ako su ispunjeni naročito sledeći uslovi:

1)         podaci se obrađuju od strane istog rukovaoca;

2)         postoji međusobna usklađenost između svrhe za koju su podaci prvobitno prikupljeni i druge svrhe.

 

Obrada u druge svrhe zasnovana na zakonu Član 29.

(1)        Kada je obrada podataka o ličnosti u svrhu koja je različita od svrhe za koju su podaci prikupljeni zasnovana na zakonu, tim zakonom moraju biti propisane neophodne i srazmerne mere u demokratskom društvu radi zaštite važnih javnih interesa propisanih ovim zakonom, zbog kojih se mogu ograničiti prava u vezi sa obradom podataka o ličnosti, u skladu sa odredbama ovog zakona.

(2)        Smatra se da se podaci o ličnosti ne obrađuju na način koji nije u skladu sa prvobitnom svrhom, ako se dalja obrada vrši u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja, kao i u statističke svrhe, u skladu sa ovim zakonom.

(3)        Podaci o ličnosti koji se obrađuju isključivo u svrhe iz stava (2) ovog člana mogu se čuvati u dužem roku u odnosu na rokove koji su određeni u vezi sa prvobitnom svrhom obrade, uz poštovanje odredaba ovog zakona o primeni odgovarajućih tehničkih, organizacionih i kadrovskih mera zaštite podataka.

Obrada u druge svrhe na osnovu pristanka Član 30.

Kada je obrada podataka o ličnosti u druge svrhe zasnovana na pristanku lica, u pogledu uslova za punovažnost pristanka, uključujući njegov opoziv, primenjuju se odredbe člana 17. ovog zakona.

Obrada u druge svrhe na osnovu ocene rukovaoca Član 31.

Kada obrada podataka o ličnosti u svrhu koja je različita od svrhe u koju su podaci prikupljeni nije zasnovana na zakonu ili na pristanku lica na koje se podaci odnose, rukovalac je dužan da oceni da li je ta druga svrha obrade usklađena sa svrhom obrade u koju su podaci prikupljeni, posebno uzimajući u obzir:

1)         da li postoji veza između svrhe u koju su podaci prikupljeni i druge svrhe nameravane obrade;

2)         okolnosti u kojima su podaci prikupljeni, uključujući i odnos između rukovaoca i lica na koje se podaci odnose;

3)         prirodu podataka, a posebno da li se obrađuju posebno osetljivi podaci o ličnosti, određeni ovim zakonom, odnosno podaci o ličnosti u vezi sa kažnjivim delima i sudskim odlukama u krivičnom i prekršajnom postupku;

4)         moguće posledice dalje obrade za lice na koje se podaci odnose;

5)         primenu odgovarajućih mera zaštite, kao što su kriptozaštita i pseudonimizacija.

 

5.         Obrada posebnih kategorija podataka o ličnosti

Obrada posebno osetljivih podataka o ličnosti Član 32.

(1)        Zabranjena je obrada kojom se otkriva rasno ili etničko poreklo, političko mišljenje, uključujući i članstvo u političkom subjektu, versko ili filozofsko uverenje ili članstvo u sindikatu, kao i obrada genetičkih podataka, biometrijskih podataka u cilju jedinstvene identifikacije lica, podataka koji se odnose na zdravstveno stanje ili podataka o seksualnom životu ili seksualnoj orijentaciji fizičkog lica.

(2)        Obrada podataka o ličnosti iz stava (1) ovog člana izuzetno je dopuštena u sledećim slučajevima:

1)         lice na koje se podaci odnose je dalo izričit pristanak za obradu za jednu ili više svrha obrade, osim ako je zakonom propisano da se obrada ne vrši na osnovu pristanka;

2)         obrada je neophodna u cilju izvršenja zakonskih obaveza ili primene zakonom propisanih ovlašćenja rukovaoca ili lica na koje se podaci odnose u oblasti rada, socijalnog osiguranja i socijalne zaštite, ako je takva obrada propisana zakonom ili kolektivnim ugovorom koji propisuje primenu odgovarajućih mera zaštite osnovnih prava, sloboda i interesa lica na koje se podaci odnose;

3)         obrada je neophodna u cilju zaštite životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica, ako lice na koje se podaci odnose fizički ili pravno nije u mogućnosti da daje pristanak;

4)         obrada se vrši u okviru registrovane delatnosti i uz primenu odgovarajućih mera zaštite od strane zadužbine, fondacije, udruženja ili druge nedobitne organizacije sa političkim, filozofskim, verskim ili sindikalnim ciljem, pod uslovom da se obrada odnosi isključivo na članove, odnosno bivše članove te organizacije ili lica koja imaju redovne kontakte sa njom u vezi sa ciljem organizacije, kao i da se podaci o ličnosti ne otkrivaju izvan te organizacije bez pristanka lica na koje se odnose;

5)         obrađuju se podaci o ličnosti koje je lice na koje se oni odnose očigledno učinilo javno dostupnim;

6)         obrada je neophodna u cilju podnošenja, ostvarivanja ili odbrane pravnog zahteva ili u slučaju kad sud postupa u okviru svoje nadležnosti;

7)         obrada je neophodna u cilju ostvarivanja značajnog javnog interesa, određenog zakonom, ako je takva obrada srazmerna ostvarivanju cilja, uz poštovanje suštine prava na zaštitu podataka o ličnosti i ako je obezbeđena primena odgovarajućih i posebnih mera zaštite osnovnih prava i interesa lica na koje se ovi podaci odnose;

8)         obrada je neophodna u svrhu preventivne medicine ili medicine rada, radi procene radne sposobnosti zaposlenih, medicinske dijagnostike, pružanja usluga zdravstvene ili socijalne zaštite, odnosno upravljanja zdravstvenim ili socijalnim sistemima, na osnovu zakona ili na osnovu ugovora sa zdravstvenim radnikom, ako se obrada

 

vrši od strane ili pod nadzorom zdravstvenog radnika ili drugog lica koje ima obavezu čuvanja profesionalne tajne propisane zakonom ili profesionalnim pravilima;

9)         obrada je neophodna u cilju ostvarivanja javnog interesa u oblasti javnog zdravlja, kao što je zaštita od ozbiljnih prekograničnih pretnji zdravlju stanovništva ili obezbeđivanje visokih standarda kvaliteta i sigurnosti zdravstvene zaštite i lekova ili medicinskih sredstava, na osnovu zakona koji obezbeđuje odgovarajuće i posebne mere zaštite prava i sloboda lica na koje se podaci odnose, posebno u pogledu čuvanja profesionalne tajne;

10)       obrada je neophodna u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja i u statističke svrhe, ako je takva obrada srazmerna ostvarivanju ciljeva koji se nameravaju postići, uz poštovanje suštine prava na zaštitu podataka o ličnosti i ako je obezbeđena primena odgovarajućih i posebnih mera zaštite osnovnih prava i interesa lica na koje se ovi podaci odnose.

(3)        Obrada biometrijskih podataka o ličnosti u svrhu jedinstvene identifikacije lica čiji je osnov za obradu pristanak, dopuštena je pod uslovom da lice čiji se podaci obrađuju ima mogućnost izbora između njegove identifikacije putem obrade biometrijskih podataka i identifikacije obradom podataka na drugi način, kojim se manje zadire u prava i slobode lica.

Obrada u vezi sa kažnjivim delima

Član 33.

(1)        Obrada podataka o ličnosti koji se odnose na kažnjiva dela i odluke donete u krivičnom i prekršajnom postupku, može se vršiti ako je zasnovana na jednom od osnova iz člana 14. stav (2) tač. 1) do 5) ovog zakona samo pod nadzorom nadležnog organa, uz primenu odgovarajućih posebnih mera zaštite prava i sloboda lica na koje se podaci odnose.

(2)        Evidencije o odlukama iz stava (1) ovog člana vode se isključivo od strane i pod nadzorom nadležnog organa.

Obrada koja ne zahteva identifikaciju Član 34.

(1)        Kada za ostvarivanje svrhe obrade nije potrebno, odnosno više nije potrebno da rukovalac identifikuje lice na koje se podaci odnose, rukovalac nije dužan da zadrži, pribavi ili obradi dodatne informacije radi identifikacije tog lica samo u cilju primene ovog zakona.

(2)        Ako u slučaju iz stava (1) ovog člana rukovalac ne može da identifikuje lice na koje se podaci odnose, dužan je da o tome na odgovarajući način informiše lice koje je podnelo zahtev za ostvarivanje prava u vezi sa obradom podataka o ličnosti, ako je to moguće.

(3)        U slučaju iz stava (1) ovog člana ne primenjuju se odredbe ovog zakona kojima se uređju prava lica na pristup, ispravku ili dopunu i brisanje podataka o ličnosti, kao i

 

prava na ograničenje obrade, obavezu obaveštavanja u vezi sa ispravkom ili brisanjem podataka i pravo na prenosivost podataka, osim ako lice na koje se podaci odnose, u cilju ostvarivanja tih prava, ne dostavi dodatne informacije koje omogućavaju njegovu identifikaciju.

6.         Posebni slučajevi obrade podataka o ličnosti

Obrada i sloboda izražavanja i informisanja Član 35.

(1)        Na obradu podataka o ličnosti koja se vrši u svrhe novinarskog istraživanja i objavljivanja informacija u medijima, kao i u svrhe naučnog, umetničkog ili književnog izražavanja, ne primenjuju se odredbe ovog zakona kojima se uređuju osnovna načela obrade podataka o ličnosti, prava i obaveze u vezi sa obradom podataka o ličnosti, dužnosti rukovaoca i obrađivača, prenos podataka u druge države i međunarodne organizacije i nadležnost Poverenika, kao i odredbe ovog zakona kojima se uređuju drugi posebni slučajevi obrade podataka o ličnosti, ako su u konkretnom slučaju izuzeci od primene navednih odredaba ovog zakona neophodni u cilju zaštite slobode izražavanja i informisanja.

(2)        Primena odredbe iz stava (1) ovog člana ne oslobađa rukovaoca, odnosno obrađivača na primenu pojedinih mera zaštite podataka o ličnosti, kao što su pseudonimizacija i anonimizacija, na način kojim se obezbeđuje da se sloboda izražavanja i informisanja i pravo na zaštitu podataka o ličnosti mogu ostvariti zajedno.

Obrada i slobodan pristup informacijama od javnog značaja Član 36.

Informacije od javnog značaja koje sadrže podatke o ličnosti mogu biti učinjene

dostupnim tražiocu informacije od strane organa vlasti na način kojim se obezbeđuje da se pravo javnosti da zna i pravo na zaštitu podataka o ličnosti mogu ostvariti zajedno, u meri propisanoj zakonom kojim se uređuje slobodan pristup informacijama od javnog značaja i ovim zakonom, uključujući primenu mera zaštite podataka o ličnosti, a posebno anonimizaciju.

Obrada jedinstvenog matičnog broja građana Član 37.

(1)        Na obradu jedinstvenog matičnog broja građana, primenjuju se odredbe zakona kojim se uređuje jedinstveni matični broj građana (u daljem tekstu: JMBG), odnosno drugog zakona, uz primenu odredbi ovog zakona koje se odnose na zaštitu prava i sloboda lica na koje se podaci odnose.

 

(2)        Zabranjena je radnja obrade JMBG kojom se JMBG čini javno dostupnim neograničenom broju lica.

Obrada u oblasti rada i zapošljavanja Član 38.

(1)        Na obradu podataka o ličnosti u oblasti rada i zapošljavanja primenjuju se odredbe zakona kojima se uređuje rad i zapošljavanje i kolektivni ugovori, uz primenu odredaba ovog zakona.

(2)        Zakonom iz stava (1) ovog člana, u odredbama koje se odnose na zaštitu podataka o ličnosti moraju se propisati i posebne mere zaštite dostojanstva ličnosti, legitimnih interesa i osnovnih prava lica na koje se podaci odnose, posebno u odnosu na transparentnost obrade, razmenu podataka o ličnosti unutar multinacionalnog privrednog društva, odnosno grupe privrednih društava, kao i sistem nadzora u radnoj sredini.

Obrada u svrhe arhiviranja u javnom interesu Član 39.

(1)        Na obradu podataka o ličnosti u svrhe arhiviranja u javnom interesu primenjuju se odgovarajuće tehničke, organizacione i kadrovske mere zaštite prava i sloboda lica na koje se podaci odnose, propisane ovim zakonom, kao i zakonom kojim se uređuje arhivska građa i arhivska delatnost, a posebno mere kojima se obezbeđuje poštovanje načela minimizacije podataka, kao i pseudonimizacija, ako se svrha obrade može ostvariti primenom ove mere.

(2)        Kada se svrha obrade iz stava (1) ovog člana može ostvariti bez identifikacije lica ili bez dalje identifikacije lica na koje se podaci odnose, ta svrha se mora ostvarivati na način koji onemogućava dalju identifikaciju lica.

(3)        Lice na koje se podaci odnose ima pravo na pristup podacima koji su sadržani u arhivskoj građi koja je u arhivi stvaraoca, odnosno imaoca te građe, dok se ista ne preda nadležnom javnom arhivu.

(4)        Kada se arhivska građa preda nadležnom javnom arhivu i utvrdi za kulturno dobro, lice na koje se podaci odnose nema pravo na pristup podacima ako bi pružanje informacija ili kopiranje tih podataka o ličnosti zahtevalo nesrazmeran napor.

(5)        Lice čiji se podaci obrađuju u svrhe iz stava (1) ovog člana, nema pravo na ispravku ili dopunu podataka, ograničenje obrade, prigovor i prava u vezi sa automatizovanim donošenjem pojedinačnih odluka, pravo na obaveštavanje u vezi sa ispravkom ili dopunom, brisanjem ili ograničenjem obrade, kao i pravo na prenosivost podataka koji su sadržani u arhivskoj građi, ako je to neophodno za ostvarivanje svrhe ili ako bi ostvarivanje ovih prava onemogućilo ili značajno otežalo ostvarivanje svrhe, uz primenu mera iz st. (1) i (2) ovog člana.

 

(6)        Kada lice čiji se podaci obrađuju u svrhu iz stava (1) ovog člana tvrdi da su njegovi podaci o ličnosti netačni ili neažurni ima mogućnost da, pred nadležnim javnim arhivom, da izjavu u kojoj navodi druge činjenice, a koja se, ako je to opravdano, prilaže uz odgovarajuću arhivsku građu utvrđenu za kulturno dobro.

Obrada u svrhe naučnog ili istorijskog istraživanja Član 40.

(1)        Na obradu podataka o ličnosti u svrhe naučnog ili istorijskog istraživanja primenjuju se odgovarajuće tehničke, organizacione i kadrovske mere zaštite prava i sloboda lica na koje se podaci odnose, propisane ovim zakonom, naročito kako bi se obezbedilo poštovanje načela minimizacije, što uključuje pseudonimizaciju.

(2)        Rukovalac neće proslediti podatke o ličnosti u svrhe naučnog ili istorijskog istraživanja ako:

1)         lice, odnosno organizacija, koja zahteva podatke nije upisana u evidenciju istraživača, odnosno naučno istraživačke ili visokoškolske ustanove;

2)         lice ne priloži odluku odgovarajućeg etičkog odbora za sprovođenje tog istraživanja.

(3)        Prilikom sprovođenja naučnog ili istorijskog istraživanja mogu se, bez ograničenja iz stava (2) ovog člana, koristiti podaci iz javnih arhiva i drugih javno dostupnih izvora.

(4)        Ako se svrhe iz stava (1) ovog člana mogu ostvariti bez identifikacije ili bez dalje identifikacije lica na koje se podaci odnose, vrši se anonimizacija podataka.

(5)        Lice čiji se podaci obrađuju u svrhu iz stava (1) ovog člana može ostvariti pravo na pristup i prigovor, ako to ne bi značajno otežalo ostvarivanje svrhe.

Obrada u statističke svrhe Član 41.

(1)        Na obradu podataka o ličnosti u statističke svrhe primenjuju se odgovarajuće tehničke, organizacione i kadrovske mere zaštite prava i sloboda lica na koje se podaci odnose, propisane ovim zakonom, što uključuje pseudonimizaciju.

(2)        Lice čiji se podaci obrađuju u svrhu iz stava (1) ovog člana ima pravo na pristup podacima, osim ako bi davanje podataka ili kopiranje tih podataka o ličnosti zahtevalo nesrazmeran napor ili ako rukovalac ne može da identifikuje to lice.

(3)        Pravo na ispravku i dopunu lice može ostvariti ako je rukovalac te podatke pribavio od lica na koje se podaci odnose.

(4)        Odredbe ovog zakona kojim se uređuje pravo na ograničenje obrade, pravo na obaveštavanje u vezi sa ispravkom ili dopunom, brisanjem ili ograničnjem obrade, pravo na prenosivost podataka, pravo na prigovor, kao i prava u vezi sa automatizovanim donošenjem pojedinačnih odluka, ne primenjuju se.

 

Obrada od strane crkve i verske zajednice

Član 42.

(1)        Kada crkva ili verska zajednica primenjuje sveobuhvatna pravila u pogledu zaštite prava fizičkih lica u slučaju obrade podataka o ličnosti, ta postojeća pravila mogu se i dalje primenjivati pod uslovom da su u skladu sa ovim zakonom.

(2)        Kod obrade podataka o ličnosti iz stava (1) ovog člana, primenjuju se odredbe ovog zakona o inspekcijskim i drugim ovlašćenjima Poverenika, osim ako crkva, odnosno verska zajednica ne obrazuje posebno nezavisno nadzorno telo koje će vršiti ta ovlašćenja, pod uslovom da takvo telo ispunjava uslove propisane ovim zakonom.

Obrada u humanitarne svrhe od strane organa vlasti Član 43.

(1)        Podaci o ličnosti koje obrađuje organ vlasti, mogu da se obrađuju i u cilju prikupljanja sredstava u humanitarne svrhe, uz primenu odgovarajućih mera zaštite prava i sloboda lica na koje se podaci odnose, u skladu sa ovim zakonom.

(2)        Podaci o ličnosti koje obrađuje organ vlasti u ostvarivanju ciljeva iz stava (1) ovog člana ne mogu se ustupati drugim licima.

Obrada u svrhe podnošenja pravnog zahteva Član 44.

Na obradu podataka o ličnosti koja je neophodna u cilju podnošenja, ostvarivanja ili odbrane pravnog zahteva u pravno uređenom postupku, primenjuju se odredbe zakona kojim se uređuje sadržina akta kojim se pokreće konkretan pravni postupak, odnosno odredbe zakona koje uređuju ostvarivanje ili odbranu pravnog zahteva, uz primenu odredaba ovog zakona koje se odnose na zaštitu prava lica na koje se podaci odnose u slučaju povrede načela minimizacije podataka iz člana 9. ovog zakona.

7.         Obrada podataka o ličnosti upotrebom video nadzora

Zajedničke odredbe Član 45.

(1)        Obrada podataka o ličnosti upotrebom sistema video nadzora, može se vršiti samo u svrhu koja je neophodna i opravdana za zaštitu lica, imovine, podataka koji su određeni za tajne i podataka koji su određeni kao poslovna tajna, na način propisan zakonom, pod uslovom da u konkretnom slučaju interesi lica na koja se podaci odnose ne pretežu nad interesom obrade podataka u navedene svrhe.

 

(2)        Zabranjeno je korišćenje sistema video nadzora u prostorijama za odmor, ličnu higijenu, presvlačenje i drugim prostorijama odnosno prostoru gde lice opravdano očekuje veći nivo privatnosti.

(3)        Rukovalac je dužan da vidno obeleži objekat, prostor, prostoriju u njemu i spoljnu površinu objekta koji je pod video nadzorom.

(4)        Snimci dobijeni putem sistema video nadzora čuvaju se najduže do šest meseci, osim ako je drugim zakonom propisan duži rok čuvanja ili ako isti predstavljaju dokaz u zakonom uređenom postupku.

(5)        Sistem video nadzora mora biti zaštićen od pristupa neovlašćenih lica.

(6)        Pristup, korišćenje ili prenos snimaka sistema video nadzora dozvoljen je odgovornom licu rukovaoca, odnosno obrađivača ili licu koje on ovlasti, samo u svrhe koje su postojale u vreme nastanka snimka i bile navedene u informaciji iz čl. 22. i 23. ovog zakona.

Obaveštenje o video nadzoru Član 46.

(1)        Rukovalac koji vrši obradu podataka o ličnosti upotrebom sistema video nadzora u skladu sa odredbama ovog zakona, dužan je da vidno istakne obaveštenje o upotrebi video nadzora, jasno uočljivo najkasnije prilikom ulaska lica u perimetar snimanja.

(2)        Obaveštenje iz stava (1) ovog člana sadrži jednostavan i lako razumljiv likovni, odnosno grafički simbol video nadzora, praćen tekstom kojim se licima pružaju najmanje sledeće informacije:

1)         da je prostor pod video nadzorom;

2)         naziv rukovaoca;

3)         kontakt podatke rukovaoca (telefon, adresa elektronske pošte) i link ka veb stranici, putem kojih lice na koje se podaci odnose može dobiti informacije u vezi sa obradom podataka i ostvariti svoja prava, u skladu sa odredbama ovog zakona.

(3)        Obaveza isticanja obaveštenja iz stava (1) ovog člana ne isključuje obavezu rukovaoca da informiše lice o svim bitnim aspektima obrade iz čl. 22. i 23. ovog zakona.

Video nadzor pristupa u službene i poslovne prostorije Član 47.

(1)        Rukovalac može upotrebom sistema video nadzora da vrši obradu podataka o ličnosti u vezi sa pristupom u službene, odnosno poslovne prostorije i prostore (u daljem tekstu: poslovni prostor), ukoliko je to neophodno u svrhu zaštite bezbednosti lica i imovine, kontrole ulaska ili izlaska iz poslovnog prostora ili ako zbog prirode posla postoji povećani rizik za zaposlene i druge korisnike tog prostora.

 

(2)        Rukovalac donosi odluku o uvođenju sistema video nadzora iz stava (1) ovog člana u pismenoj formi, koja sadrži razloge za uvođenje, osim ako uvođenje video nadzora nije propisano posebnim zakonom.

(3)        Kada se poslovni prostor nalazi u stambenoj zgradi, upotreba sistema video nadzora vrši se na način koji isključuje snimanje unutrašnjih delova stambene zgrade koji nisu povezani sa ulazom u poslovni prostor, kao i ulaz u privatne stanove.

(4)        Zabranjen je pristup snimcima sistema video nadzora iz stava (1) ovog člana preko interne kablovske televizije, javne kablovske televizije ili drugih sredstava za elektronsku komunikaciju kojima se takvi snimci mogu preneti, bilo u trenutku njihovog nastanka ili nakon toga.

(5)        Rukovalac koji obrađuje podatke korišćenjem sistema video nadzora u poslovnom prostoru, može sistemom video nadzora da obuhvati i javni prostor koji je u neposrednoj blizini tog poslovnog prostora, samo ako je to neophodno iz razloga navedenih u stavu (1) ovog člana.

Video nadzor u poslovnom prostoru Član 48.

(1)        Rukovalac može da vrši obradu podataka o ličnosti upotrebom sistema video nadzora u poslovnom prostoru ako je to neophodno radi zaštite bezbednosti lica i imovine ili podataka koji su određeni za tajne, odnosno koji su određeni kao poslovna tajna, donošenjem posebne odluke, ukoliko uvođenje tog sistema nije propisano zakonom.

(2)        Rukovalac je dužan da pre donošenja odluke iz stava (1) ovog člana, razmotri druge mehanizme kojima može ostvariti istu svrhu, a kojima se manje zadire u osnovna prava i slobode zaposlenih i drugih lica.

(3)        Odluka iz stava (1) ovog člana sadrži razloge za uvođenje sistema video nadzora, a naročito:

1)         opis drugih mera koje su prethodno razmatrane sa ciljem ispunjavanja svrhe obrade podataka;

2)         obrazloženje zbog čega su mere iz tačke 1) ovog stava prepoznate kao neadekvatne ili nedovoljne.

(4)        Rukovalac je dužan da pre donošenja odluke o uvođenju sistema video nadzora iz stava (1) ovog člana, obavesti reprezentativni sindikat kod rukovaoca, ako on postoji.

(5)        Rukovalac je dužan da lice koje radi u poslovnom prostoru informiše o uvođenju sistema video nadzora, u pismenom obliku, pre početka njegovog sprovođenja, u skladu sa čl. 22. i 23. ovog zakona, koji uređuje informisanje o nameravanoj obradi podataka o ličnosti.

(6)        Dokaze o ispunjenju obaveze iz stava (5) ovog člana, rukovalac čuva u svojoj dokumentaciji.

 

(7)        Zabranjeno je korišćenje sistema video nadzora u svrhu praćenja rada zaposlenih, osim ako interesi iz stava (1) ovog člana, odnosno drugi javni interesi utvrđeni zakonom ne pretežu nad pravima i slobodama lica na koja se podaci odnose.

(8)        Odredbe st. (3) do (6) ovog člana ne primenjuju se na poslovni prostor državnih organa nadležnih za poslove u oblasti nacionalne bezbednosti, odnosno oblasti odbrane, javne bezbednosti, obavljanja bezbednosno-obaveštajnih poslova i zaštite tajnih podataka.

Evidencija o video nadzoru Član 49.

(1)        Kada se vrši obrada podataka o ličnosti primenom sistema video nadzora, bez obzira na to da li je ta obrada propisana zakonom ili se sprovodi na osnovu odluke, rukovalac je dužan da vodi evidenciju koja omogućava naknadno utvrđivanje koji su snimci obrađeni, kada i kako su korišćeni ili kome su prosleđeni, ko je izvršio ove radnje obrade, kada i u koju svrhu i po kom pravnom osnovu.

(2)        Podaci iz evidencije iz stava (1) ovog člana čuvaju se godinu dana, po isteku kalendarske godine u kojoj su uvedeni u evidenciju.

(3)        Rukovaoci iz čl. 47. i 48. ovog zakona dužni su da vode sistemski žurnal pristupa podacima, u kome se beleži: identifikacija korisničkog naloga na osnovu kojeg je ostvaren pristup, datum i vreme pristupa, IP adresa sa koje se pristupa, odnosno preduzima druga radnja obrade, kriterijum pretrage, broj predmeta i druge oznake podataka, informacija i dokumenata kojima je pristupano, odnosno koji su obrađivani.

Video nadzor u stambenim zgradama Član 50.

(1)        Kod uspostavljanja sistema video nadzora u stambenim, odnosno poslovno-stambenim zgradama, potrebna je pismena odluka stambene zajednice.

(2)        Odluka iz stava (1) ovo člana doneta je ako se za nju izjasne članovi skupštine stambene zajednice, u skladu sa zakonom koji uređuje stanovanje i održavanje zgrada i sadrži razloge za uvođenje sistema video nadzora, kao i način njegovog sprovođenja, ukoliko uvođenje tog nadzora nije propisano zakonom.

(3)        Perimetar snimanja video nadzora iz stava (1) ovog člana može obuhvatati samo ulaz i izlaz iz objekta i zajedničke prostorije u tim objektima.

(4)        Kod uspostavljanja sistema video nadzora iz stava (1) ovog člana, stambena zajednica je rukovalac podacima o ličnosti.

(5)        Zabranjen je pristup sistemu video nadzora iz stava (1) ovog člana preko interne kablovske televizije, javne kablovske televizije ili drugih sredstava za elektronsku komunikaciju, kojima se takvi snimci mogu preneti, bilo u trenutku njihovog nastanka ili nakon toga.

 

(6)        Zabranjeno je vlasnicima privatnog stana ili kuće da za lične potrebe, odnosno za potrebe svog domaćinstva, uspostavljaju i koriste sistem video nadzora na način kojim se ugrožavaju prava drugih, uključujući snimanje javnog prostora, kao i prostora koje koriste drugi.

(7)        Na uspostavljanje i korišćenje sistema video nadzora iz stava (6) ovog člana primenjuju se odredbe zakona koji uređuje privatno obezbeđenje, uključujući odredbe kojima se uređuje nadležni organ ovlašćen za nadzor nad primenom ovog zakona.

Video nadzor javnih površina Član 51.

(1)        Upotreba sistema video nadzora na javnim površinama dozvoljena je samo organima javne vlasti, pravnim licima s javnim ovlašćenjima i pravnim licima koja obavljaju poslove u javnom interesu, ako je propisana zakonom i neophodna za izvršenje poslova i ovlašćenja organa javne vlasti ili radi zaštite života i zdravlja ljudi i imovine.

(2)        Zakonom iz stava (1) ovog člana određuje se najmanje svrha obrade podataka, rukovalac i način informisanja lica koja borave na javnoj površini, način obrade podataka i rok njihovog čuvanja.

8.         Obrada podataka o ličnosti korišćenjem veštačke inteligencije

Osnovne odredbe Član 52.

(1)        Obrada podataka o ličnosti u svrhu primene, uključujući razvoj i testiranje sistema veštačke inteligencije, kao i modela veštačke inteligencije opšte namene, može se vršiti ako je u skladu sa prvobitnom svrhom u koju su podaci prikupljeni, a u izuzetnim slučajevima na osnovu legitimnog interesa rukovaoca ili trećeg lica koji preteže nad pravima i slobodama lica čiji se podaci obrađuju.

(2)        Pri obradi podataka o ličnosti iz stava (1) ovog člana rukovalac je u obavezi da primenjuje odgovarajuće tehničke, organizacione i kadrovske mere zaštite podataka, naročito kako bi se obezbedilo poštovanje načela minimizacije, što uključuje pseudonimizaciju ili anonimizaciju.

(3)        Lice čiji se podaci obrađuju u svrhu iz stava (1) ovog člana može ostvariti pravo na pristup i prigovor, osim ako to ne bi značajno otežalo ostvarivanje svrhe ili ako rukovalac ne može da identifikuje to lice.

(4)        Kod obrade podataka o ličnosti iz stava (1) ovog člana, odredbe ovog zakona kojim se uređuje pravo na ispravku ili dopunu podataka, ograničenje obrade, prava u vezi sa automatizovanim donošenjem pojedinačnih odluka, pravo na brisanje, kao i pravo na prenosivost podataka, ne primenjuju se.

 

(5)        Nakon ispunjenja svrhe obrade podataka o ličnosti korišćenjem sistema veštačke inteligencije, podaci o ličnosti brišu se.

Sistemi veštačke inteligencije Član 53.

(1)        Obrada podataka o ličnosti korišćenjem veštačke inteligencije dozvoljena je pod uslovima propisanim zakonom, kao i u slučaju ispunjenja drugih uslova, u zavisnosti od sistema veštatke inteligencije u kojima se podaci obrađuju, i to:

1)         kod obrade podataka o ličnosti korišćenjem visokorizičnih sistema veštačke inteligencije - ako je izvršena procena uticaja na obradu podataka o ličnosti, koja može biti sastavni deo procene uticaja visokorizičnog sistema veštačke inteligencije na osnovna ljudska prava i slobode u skladu sa posebnim zakonom, na osnovu koje Poverenik daje mišljenje o obradi podataka;

2)         kod obrade podataka o ličnosti korišćenjem sistema veštačke inteligencije koji direktno komunicira sa pojedincem - ako je lice obavešteno da je u interakciji sa sistemom, odnosno da je u pitanju sistem koji generiše sintetički audio, odnosno video sadržaj ili da se radi o sistemu veštačke inteligencije za prepoznavanje emocija, osim ako je u pitanju sistem veštačke inteligencije namenjen otkrivanju i gonjenju učinioca krivičnog dela.

3)         kod obrade podataka o ličnosti korišćenjem sistema sa minimalnim rizikom - ako se primenjuju odgovarajuće tehničke, organizacione i kadrovske mere zaštite prava i sloboda lica na koje se podaci odnose.

(2)        Lice čiji se podaci obrađuju mora biti obavešteno o korišćenju sistema veštačke inteligencije na jasan i pristupačan način, najkasnije u trenutku prve interakcije ili prvog izlaganja sadržaja.

(3)        Odredba stava 2. ovog člana primenjuje se i na modele veštačke inteligencije opšte namene, uz primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera zaštite prava i sloboda lica na koje se podaci odnose.

(4)        Obrada podatka o ličnosti isključivo upotrebom sistema veštačke inteligencije bez učešća fizičkog lica, kao i modela veštačke inteligencije opšte namene, nije dozvoljena ako može da proizvede štetne posledice po lice na koje se podaci odnose ili značajno utiče na položaj tog lica, odnosno ako je posebnim zakonom zabranjeno korišćenje takvih sistema.

(5)        Obrada podataka o ličnosti upotrebom isključivo sistema veštačke inteligencije, kao i modela veštačke inteligencije opšte namene, dozvoljena je kada se obrada vrši u statističke, naučne ili istorijske svrhe.

(6)        Rukovalac, odnosno obrađivač koji obrađuje podatke o ličnosti u sistemu veštačke inteligencije, uključujući sistem veštačke inteligencije opšte namene koji generiše sintetički audio, odnosno video sadržaj dužan je da označi da je u pitanju

 

generisani, odnosno modifikovan sadržaj, osim ako je u pitanju sistem veštačke inteligencije namenjen otkrivanju i gonjenju učinioca krivičnog dela.

Glava III.

PRAVA LICA U VEZI SA OBRADOM PODATAKA O LIČNOSTI

1.         Prava lica na koje se podaci odnose

Pravo na pristup podacima Član 54.

(1)        Lice ima pravo da od rukovaoca zahteva informaciju o tome da li obrađuje njegove podatke o ličnosti i pravo, u slučaju njihove obrade, pristupa podacima, kao i kopiju podataka koji se obrađuju.

(2)        Na zahtev lica iz stava (1) ovog člana rukovalac je dužan da pruži informaciju o tome da li obrađuje njegove podatke o ličnosti, a u slučaju obrade i sledeće informacije:

1)         o svrsi obrade i pravnom osnovu za obradu;

2)         o vrstama podataka o ličnosti koji se obrađuju;

3)         o primaocu ili vrstama primalaca kojima su podaci o ličnosti otkriveni ili će im biti otkriveni, a posebno primaocima u drugim državama ili međunarodnim organizacijama;

4)         o predviđenom roku čuvanja podataka o ličnosti, ili ako to nije moguće, o kriterijumima za određivanje tog roka koji moraju biti u skladu sa načelom ograničenja čuvanja podataka o ličnosti iz člana 11. ovog zakona;

5)         o postojanju prava da se od rukovaoca zahteva ispravka i dopuna ili brisanje podataka o ličnosti, prava na ograničenje obrade i prava na prigovor na obradu;

6)         o pravu da se podnese pritužba Povereniku, odnosno tužba sudu;

7)         dostupne informacije o izvoru podataka o ličnosti, ako podaci o ličnosti nisu prikupljeni od lica na koje se odnose;

8)         o postojanju postupka automatizovanog donošenja odluke i bližem načinu automatizovane obrade podataka, uključujući profilisanje, a najmanje u tim slučajevima svrsishodne informacije o logici koja se pri tome koristi, kao i o značaju i očekivanim posledicama te obrade po lice na koje se podaci odnose,

9)         o odgovarajućim merama zaštite, u skladu sa odredbama ovog zakona koje se odnose na prenos podataka, ako se podaci o ličnosti lica na koje se odnose prenose u drugu državu ili međunarodnu organizaciju.

(3)        Informacija o obradi podataka o ličnosti daje se u pismenom obliku, uključujući njeno dostavljanje elektronskim putem, a izuzetno se može dati i usmeno, ako na to pristane podnosilac zahteva.

 

(4)        Rukovalac je dužan da na zahtev lica na koje se podaci odnose dostavi kopiju podatka o ličnosti koje obrađuje, na način naveden u zahtevu.

(5)        Kada se zahtevom iz stava (4) ovog člana traži dostavljanje kopije podataka elektronskim putem, rukovalac će dostaviti kopiju podataka elektronskim putem, ako je to moguće.

(6)        Kada rukovalac nije u mogućnosti da kopiju podataka dostavi na način iz stava

(5) ovaog člana, dostavu će izvršiti na drugi odgovarajući način koji omogućava adekvatnu zaštitu podataka o ličnosti.

(7)        Ostvarivanje prava i sloboda drugih lica ne može se ugroziti ostvarivanjem prava na dostavljanje kopije iz stava (4) ovog člana.

Pravo na ispravku i dopunu Član 55.

(1)        Lice na koje se podaci odnose ima pravo da se njegovi netačni podaci o ličnosti bez nepotrebnog odlaganja isprave.

(2)        U zavisnosti od svrhe obrade, lice na koje se podaci odnose ima pravo da svoje nepotpune podatke o ličnosti dopuni, što uključuje i davanje dodatne izjave.

Pravo na brisanje podataka o ličnosti Član 56.

(1)        Lice na koje se podaci odnose ima pravo da se njegovi podaci o ličnosti izbrišu od strane rukovaoca.

(2)        Rukovalac je dužan da bez nepotrebnog odlaganja podatke iz stava (1) ovog člana, izbriše u sledećim slučajevima:

1)         kada istekne propisani rok njihovog čuvanja;

2)         podaci o ličnosti više nisu neophodni za ostvarivanje svrhe obrade;

3)         lice na koje se podaci odnose je opozvalo pristanak na osnovu kojeg se obrada vršila, a nema drugog pravnog osnova za obradu;

4)         lice na koje se podaci odnose je podnelo prigovor u skladu sa odredbama ovog zakona, u slučaju:

a) obrade podataka o ličnosti u cilju obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja rukovaoca, koja se vrši u skladu sa članom 15. stav (1) tačka 3) ovog zakona ili obrade podataka o ličnosti u cilju ostvarivanja legitimnih interesa rukovaoca ili treće strane, koja se vrši u skladu sa članom 20. stav

(1) ovog zakona, uključujući i profilisanje koje se zasniva na tim odredbama, a nema drugog pravnog osnova za obradu koji preteže nad legitimnim interesom, pravom ili slobodom lica na koje se podaci odnose;

b) obrade podataka o ličnosti za potrebe direktnog oglašavanja, uključujući i profilisanje, u meri u kojoj je ono povezano sa direktnim oglašavanjem;

4)         podaci o ličnosti su nezakonito obrađivani;

 

5)         podaci o ličnosti moraju biti izbrisani u cilju izvršenja zakonskih obaveza rukovaoca;

(3)        Lice na koje se podaci odnose ima pravo da zahteva brisanje podataka o ličnosti koje je dalo na osnovu pristanka sa navršenih 15 godina života u vezi sa korišćenjem usluga informacionog društva, a nije bilo u potpunosti svesno rizika obrade, uključujući i podatke objavljene na internetu.

(4)        Ako je rukovalac javno objavio podatke o ličnosti, u obaveza je da:

1)         izbriše podatke u skladu sa stavom (2) ovog člana preduzimanjem svih potrebnih mera, uključujući i tehničke, u skladu sa dostupnim tehnologijama;

2)         o tome obavesti druge rukovaoce koji te podatke obrađuju, kako bi se izvršilo brisanje podataka i svih elektronskih veza prema tim podacima (pravo na zaborav).

(5)        Ako rukovalac ne izbriše podatka u slučajevima iz stava (2), odnosno ne postupi na način iz stava (4) ovog člana, lice na koje se podaci odnose ima pravo da podnose zahtev za ostvarivanje prava na brisanje podataka o ličnosti.

Ograničenje prava na brisanje Član 57.

Rukovalac nije dužan da primeni odredbe iz člana 56. ovog zakona, koje propisuju obavezu brisanja podataka, u meri u kojoj je obrada neophodna zbog:

1)         ostvarivanja slobode izražavanja i informisanja;

2)         poštovanja zakonske obaveze rukovaoca kojom se zahteva obrada, ili izvršenja poslova u javnom interesu ili izvršenja službenih ovlašćenja rukovaoca;

3)         ostvarivanja javnog interesa u oblasti javnog zdravlja, u skladu sa članom 32. stav

(2) tač. 8) i 9) ovog zakona;

4)         obrade u svrhe arhiviranja u javnom interesu, svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe u skladu sa odredbama ovog zakona, a opravdano se očekuje da bi ostvarivanje prava na brisanje podataka o ličnosti moglo da onemogući ili bitno ugrozi ostvarivanje ciljeva te svrhe,

5)         podnošenja, ostvarivanja ili odbrane pravnog zahteva.

Pravo na ograničenje obrade Član 58.

(1)        Lice na koje se podaci odnose ima pravo da se obrada njegovih podataka o ličnosti ograniči od strane rukovaoca, u sledećim slučajevima:

1)         lice na koje se podaci odnose osporava tačnost podataka o ličnosti - u kom slučaju se obrada ograničava na vremenski period koji omogućava rukovaocu proveru tačnosti podataka;

2)         obrada je nezakonita - kada se lice na koje se podaci odnose protivi brisanju podataka i zahteva ograničenje upotrebe podataka;

 

3)         rukovaocu više nisu potrebni podaci o ličnosti za ostvarivanje svrhe obrade - ako ih je lice na koje se podaci odnose zatražilo u cilju podnošenja, ostvarivanja ili odbrane pravnog zahteva;

4)         lice na koje se podaci odnose je podnelo prigovor, u skladu sa odredbama ovog zakona, na obradu podataka o ličnosti koja se vrši u cilju obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja rukovaoca, odnosno u cilju ostvarivanja legitimnih interesa rukovaoca ili treće strane - u kom slučaju se obrada ograničava za vreme dok traje procena pretežnijeg interesa u konkretnom slučaju.

(2)        Ako je obrada ograničena u skladu sa stavom (1) ovog člana, podaci se mogu dalje obrađivati samo na osnovu pristanka lica na koje se odnose.

(3)        Podaci u pogledu kojih je obrada ograničena, mogu se, izuzetno, dalje obrađivati i bez pristanka lica na koje se odnose, samo ako se radi o njihovom skladištenju ili u cilju podnošenja, ostvarivanja ili odbrane pravnog zahteva, zaštite prava drugih fizičkih, odnosno pravnih lica ili ostvarivanja značajnih javnih interesa.

(4)        Ako je obrada ograničena u skladu sa stavom (1) ovog člana, rukovalac je dužan da informiše lice na koje se podaci odnose o prestanku ograničenja, pre nego što ograničenje prestane da važi.

Obaveza obaveštavanja primaoca u vezi sa ispravkom ili brisanjem podataka, kao i ograničenjem obrade

Član 59.

(1)        Rukovalac je dužan da o ispravci i dopuni, odnosno brisanju podataka, kao i ograničenju obrade, koje su sprovedene u skladu sa odredbama ovog zakona obavesti svakog primaoca kojem su podaci o ličnosti preneti, odnosno dostavljeni, osim ako je to nemoguće ili zahteva prekomeran utrošak vremena i sredstava.

(2)        Rukovalac je dužan da lice na koje se podaci odnose, na njegov zahtev, informiše o svim primaocima iz stava (1) ovog člana.

Pravo na prenosivost podataka Član 60.

(1)        Lice na koje se podaci odnose ima pravo da podatke o ličnosti koje je prethodno dostavilo rukovaocu primi od njega u struktuiranom, mašinski čitljivom formatu i pravo da ove podatke prenese drugom rukovaocu bez ometanja od strane rukovaoca kojem su ti podaci bili dostavljeni, ako su zajedno ispunjeni sledeći uslovi:

1)         obrada je zasnovana na pristanku, uključujući pristanak za obradu posebno osetljivih podataka o ličnosti ili ugovoru;

2)         obrada se vrši automatizovano.

(2)        Pravo iz stava (1) ovog člana obuhvata i pravo lica da njegovi podaci o ličnosti budu neposredno preneti drugom rukovaocu od strane rukovaoca kojem su ovi podaci prethodno dostavljeni, ako je to tehnički izvodljivo.

 

(3)        Ostvarivanje prava iz stava (1) ovog člana nema uticaja na primenu odredaba iz člana 56. ovog zakona, kojima se uređuje pravo na brisanje podataka.

(4)        Pravo iz stava (1) ovog člana se ne može ostvariti ako je obrada nužna za izvršenje poslova od javnog interesa ili za vršenje službenih ovlašćenja rukovaoca.

(5)        Ostvarivanje prava iz stava (1) ovog člana ne može štetno uticati na ostvarivanje prava i sloboda drugih lica.

Pravo na prigovor Član 61.

(1)        Lice na koje se podaci odnose ima pravo da, ako smatra da je opravdano u odnosu na posebnu situaciju u kojoj se nalazi, u svakom trenutku podnese rukovaocu prigovor na obradu podataka o ličnosti, ako je osnov za obradu obavljanje poslova u javnom interesu ili izvršenje zakonom propisanih ovlašćenja rukovaoca ili ostvarivanje legitimnih interesa rukovaoca ili treće strane, koja se vrši u skladu sa čl. 15. i 20. ovog zakona, uključujući i profilisanje koje se zasniva na tim odredbama.

(2)        Rukovalac je dužan da prekine obradu podataka o ličnosti lica koje je podnelo prigovor, osim ako je u mogućnosti da predoči da postoje opravdani razlozi za obradu, koji pretežu nad interesima, pravima ili slobodama lica na koji se podaci odnose ili su u vezi sa podnošenjem, ostvarivanjem ili odbranom pravnog zahteva.

(3)        Lice na koje se podaci odnose ima pravo da u svakom trenutku podnese prigovor na obradu podataka o ličnosti koja se vrši za potrebe direktnog oglašavanja, uključujući i profilisanje, u meri u kojoj je ono povezano sa direktnim oglašavanjem, u kojem slučaju se podaci o ličnosti ne mogu dalje obrađivati u takve svrhe.

(4)        Rukovalac je dužan da najkasnije prilikom uspostavljanja prve komunikacije sa licem na koje se podaci odnose, ukaže tom licu na postojanje prava iz st. (1) i (3) ovog člana i da ga upozna sa tim pravima na izričit i jasan način, odvojeno od svih drugih informacija koje mu pruža.

(5)        U korišćenju usluga informacionog društva, lice na koje se podaci odnose ima pravo da podnese prigovor na automatizovan način, u skladu sa tehničkim specifikacijama korišćenja usluga.

(6)        Ako se podaci o ličnosti obrađuju u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe, uz primenu odgovarajućih mera zaštite prava i sloboda lica propisanih ovim zakonom, lice na koje se podaci odnose ima pravo da podnese prigovor na obradu podataka o ličnosti, osim ako je obrada neophodna za obavljanje poslova u javnom interesu.

(7)        Rukovalac je dužan da preduzme radnje na proveri navoda iz prigovora i obavesti podnosioca o rezultatima provere, u roku od 60 dana od dana podnošenja prigovora.

(8)        Sastavni deo obaveštenja iz stava (7) ovog člana su podaci o toku postupka provere, uključujući radnje preduzete na proveri navoda iz prigovora.

 

Pravo lica na zaštitu u vezi sa automatizovanim donošenjem pojedinačnih odluka i profilisanjem

Član 62.

(1)        Lice na koje se podaci odnose ima pravo da se na njega ne primenjuje odluka doneta isključivo na osnovu automatizovane obrade podataka o ličnosti, uključujući i profilisanje, ako se odlukom proizvode pravne posledice po to lice ili značajno utiče na njegov položaj.

(2)        Odredba stava (1) ovog člana ne primenjuje se ako je odluka:

1)         neophodna za zaključenje ili izvršenje ugovora između lica na koje se podaci odnose i rukovaoca;

2)         zasnovana na zakonu, ako su tim zakonom propisane odgovarajuće mere zaštite prava, sloboda i legitimnih interesa lica na koje se podaci odnose;

3)         zasnovana na izričitom pristanku lica na koje se podaci odnose.

(3)        U slučajevima iz stava (2) tač. 1) i 3) ovog člana rukovalac je dužan da primeni odgovarajuće mere zaštite prava, sloboda i legitimnih interesa lica na koje se podaci odnose, a najmanje pravo da se obezbedi učešće fizičkog lica u donošenju odluke, pravo lica na koje se podaci odnose da izrazi svoj stav u vezi sa odlukom, kao i pravo da ospori odluku pred ovlašćenim licem rukovaoca.

(4)        Odluke iz stava (2) ovog člana ne mogu se zasnivati na obradi posebno osetljivih podataka o ličnosti iz člana 32. stav (1) ovog zakona, osim ako se radi o obradi na osnovu izričitog pristanka lica ili obradi podataka koje je lice očigledno učinilo javno dostunim i ako su obezbeđene odgovarajuće mere zaštite prava, sloboda i legitimnih interesa lica na koje se podaci odnose.

2.         Ograničenja prava i obaveza

Zaštita važnog javnog interesa Član 63.

(1) Prava i obaveze propisane odredbama ovog zakona u vezi obrade, odnosno povodom

obrade podataka o ličnosti, uključujući prava i obaveze obaveštavanja o povredi podataka o ličnosti, kao i prava i obaveze koje proizilaze iz osnovnih načela obrade uređenih ovim zakonom, pod uslovom da se odnose na ostvarivanje tih prava, odnosno ispunjavanje tih obaveza, izuzimajući, u tom slučaju, odredbe o pravima i obavezama obaveštavanja o povredi podataka o ličnosti, mogu se ograničiti na način propisan zakonom ako ta ograničenja ne zadiru u suštinu osnovnih prava i sloboda i ako to predstavlja neophodnu i srazmernu meru u demokratskom društvu, u cilju zaštite:

1)         nacionalne bezbednosti, naročito odbrane zemlje, javne bezbednosti i obavljanja bezbednosno-obaveštajnih poslova;

 

2)         sprečavanja, istrage i otkrivanja krivičnih dela i prekršaja, gonjenja njihovih učinilaca, ili izvršenja izrečenih sankcija;

3)         drugih važnih javnih interesa, a posebno važnih državnih ili finansijskih interesa Republike Srbije, uključujući monetarnu politiku, budžet, poreski sistem, javno zdravlje i socijalnu zaštitu;

4)         nezavisnosti pravosuđa i sudskih postupaka;

5)         sprečavanja, istraživanja, otkrivanja i gonjenja za povredu profesionalne etike;

6)         funkcije praćenja, nadzora ili vršenja regulatorne funkcije koja je stalno ili povremeno povezana sa vršenjem službenih ovlašćenja u slučajevima iz tač. 1) do 3) i tačke

5) ovog stava;

7)         lica na koje se podaci odnose ili prava i sloboda drugih lica;

8)         ostvarivanja potraživanja u građanskim stvarima.

(2) Lice na koje se odnose podaci ima pravo da bude informisano o ograničenju prava i obaveza, osim ako to informisanje onemogućava ostvarivanje svrhe ograničenja.

Zakonsko propisivanje načina ograničenja Član 64.

Prilikom zakonskog propisivanja načina ograničenja prava i obaveza iz člana 63. ovog zakona moraju se, prema okolnostima svakog konkretnog slučaja, uzeti u obzir najmanje:

1)         svrha obrade ili vrsta obrade;

2)         vrsta podataka o ličnosti;

3)         obim ograničenja;

4)         mere zaštite u cilju sprečavanja zloupotrebe, nedozvoljenog pristupa ili prenosa podataka o ličnosti;

5)         posebnosti rukovaoca, odnosno vrsta rukovaoca;

6)         rok čuvanja i mere zaštite podataka o ličnosti koje se mogu primeniti, s obzirom na prirodu, obim i svrhu obrade ili vrste obrade,

7)         rizici po prava i slobode lica na koje se podaci odnose.

3.         Postupak po zahtevu za ostvarivanje prava

Zahtev za ostvarivanje prava Član 65.

(1)        Lice na koje se podaci odnose podnosi rukovaocu zahtev za ostvarivanje prava propisanih ovim zakonom u vezi sa obradom podataka o ličnosti, u pismenom ili u elektronskom obliku, na način koji omogućuje rukovaocu da pouzdano utvrdi identitet podnosioca.

(2)        Ako se radi o obradi koja ne zahteva identifikaciju, rukovalac ne može odbiti da postupi po zahtevu lica za ostvarivanje prava propisanih ovim zakonom u vezi sa

 

obradom podataka o ličnosti, osim ako rukovalac predoči da nije u mogućnosti da identifikuje lice.

(3)        Zahtev iz stava (1) ovog člana sadrži podatke o identitetu podnosioca: ime i prezime, adresu prebivališta ili boravišta, odnosno odbrenog boravka, a može sadržati i broj telefona, adresu elektronske pošte, kao i što preciznije određenje na koje podatke o ličnosti se zahtev odnosi.

(4)        Kada postoje razlozi za opravdanu sumnju u identitet lica koje je podnelo zahtev za ostvarivanje prava u vezi sa obradom podataka o ličnosti, rukovalac će zatražiti dostavljanje dodatnih informacija neophodnih za potvrdu identiteta lica, što ne isključuje primenu odredaba iz člana 34. ovog zakona kojima se uređuje obrada koja ne zahteva identifikaciju.

(5)        Ako je zahtev za ostvarivanje prava nerazumljiv ili nepotpun, rukovalac će u roku od 15 dana od dana prijema zahteva obavestiti podnosioca o potrebi da otkloni nedostatke, i pružiti drugu pomoć licu na koje se podaci odnose u ostvarivanju njegovih prava propisanih ovim zakonom.

(6)        Ako podnosilac zahteva ne otkloni nedostatke u roku od 15 dana od dana prijema obaveštenja iz stava (5) ovog člana, a nedostaci su takvi da se po zahtevu ne može postupiti, rukovalac nije dužan da postupi po zahtevu.

(7)        Rukovalac postupa po zahtevu za ostvarivanje prava u vezi sa obradom podataka o ličnosti, bez naknade.

(8)        Ako je zahtev lica za ostvarivanje prava u vezi sa obradom podataka o ličnosti očigledno neosnovan ili preteran, a posebno ako se isti zahtev učestalo ponavlja, rukovalac može da:

1)         naplati nužne administrativne troškove pružanja informacije, odnosno postupanja po zahtevu (ponovno kopiranje podataka, štampanje, dostavljanje i dr.);

2)         ne postupi po zahtevu.

(9)        Teret dokazivanja u slučajevima iz stava (8) tačka 1) ovog člana, leži na rukovaocu.

Rok za postupanje po zahtevu Član 66.

(1)        Rukovalac je dužan da po zahtevu lica na koje se podaci odnose za ostvarivanje prava propisanih ovim zakonom u vezi sa obradom podataka o ličnosti, postupi bez odlaganja, a najkasnije u roku od 30 dana od dana prijema zahteva.

(2)        Rok iz stava (1) ovog člana može biti produžen za još najduže 60 dana ako je to neophodno, uzimajući u obzir složenost i broj zahteva, o čemu rukovalac, kao i o razlozima za produženje, obaveštava podnosioca zahteva u roku od 30 dana od dana prijema zahteva.

(3)        Ako rukovalac ne postupi po zahtevu iz stava (1) ovog člana dužan je da o razlozima za nepostupanje obavesti lice na koje se podaci odnose bez odlaganja, a najkasnije

 

u roku od 30 dana od dana prijema zahteva, kao i o pravu na podnošenje pritužbe Povereniku, odnosno tužbe sudu.

Glava IV.

RUKOVALAC I OBRAĐIVAČ

1.         Rukovalac

Obaveze rukovaoca Član 67.

(1)        Uzimajući u obzir prirodu, obim, okolnosti i svrhu obrade, nivo tehnoloških dostignuća i troškove njihove primene, kao i verovatnoću nastupanja rizika i nivo rizika za prava i slobode fizičkih lica koji proizilaze iz obrade, rukovalac je dužan da prilikom određivanja načina obrade, kao i u toku obrade preduzme odgovarajuće tehničke, organizacione i kadrovske mere kako bi obezbedio da se obrada podataka o ličnosti vrši u skladu sa ovim zakonom i bio u mogućnosti da to predoči.

(2)        Obaveza rukovaoca iz stava (1) ovog člana posebno uključuje mere koje imaju za cilj obezbeđivanje delotvorne primene načela zaštite podataka o ličnosti, uključujući pseudonimizaciju, primenu načela minimizacije putem smanjenja broja podataka koji se obrađuju, kao i primenu neophodnih mehanizama zaštite u toku obrade.

(3)        Rukovalac je dužan da stalnom primenom odgovarajućih mera iz stava (1) ovog člana obezbedi da se uvek obrađuju samo oni podaci o ličnosti koji su neophodni za ostvarivanje svake pojedinačne svrhe obrade, što uključuje broj prikupljenih podataka, obim njihove obrade, rok njihovog skladištenja i njihovu dostupnost.

(4)        Merama iz stava (1) ovog člana mora se uvek obezbediti da se bez učešća fizičkog lica podaci o ličnosti ne mogu učiniti dostupnim neograničenom broju drugih lica.

(5)        Mere iz stava (1) ovog člana se preispituju i ažuriraju, ako je to neophodno.

(6)        Ako je to u srazmeri sa obradom podataka, mere iz stava (1) ovog člana uključuju donošenje i primenu odgovarajućih internih akata rukovaoca, u kojima se bliže utvrđuju mere zaštite podataka o ličnosti i način njihove primene.

(7)        Rukovalac može predočiti da se pridržava obaveza iz stava (1) ovog člana i na osnovu primene odobrenog kodeksa postupanja ili izdatog sertifikata, u skladu sa odredbama ovog zakona.

Zajednički rukovaoci Član 68.

(1)        Ako dva ili više rukovalaca zajednički određuju svrhu i način obrade, oni se smatraju zajedničkim rukovaocima.

 

(2)        Zajednički rukovaoci na transparentan način određuju odgovornost svakog od njih za poštovanje obaveza propisanih ovim zakonom, a posebno obaveza u pogledu ostvarivanja prava lica na koje se podaci odnose na informisanost o obradi podataka o ličnosti iz čl.

21. do 25. ovog zakona.

(3)        Odgovornost iz stava (2) ovog člana uređuje se sporazumom zajedničkih rukovalaca, osim ako je ova odgovornost propisana zakonom koji se primenjuje na rukovaoce.

(4)        Sporazumom iz stava (3) ovog člana mora se odrediti lice za kontakt sa licem na koje se podaci odnose i urediti odnos svakog od zajedničkih rukovalaca sa licem na koje se podaci odnose.

(5)        Suština odredaba sporazuma iz stava (3) ovog člana mora biti dostupna licu na koje se podaci odnose.

(6)        Bez obzira na odredbe sporazuma iz stava (3) ovog člana, lice na koje se podaci odnose može ostvariti svoja prava utvrđena ovim zakonom pojedinačno u odnosu prema svakom od zajedničkih rukovalaca.

2.         Obrađivač

Obaveze obrađivača Član 69.

(1)        Rukovalac može za obrađivača da odredi drugo lice ili organ vlasti, da u njegovo ime vrši obradu podataka o ličnosti, pod uslovom pružanja garancije primene mera zaštite podataka o ličnosti iz člana 67. ovog zakona.

(2)        Garancija iz stava (1) ovog člana uključuje primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera zaštite podataka o ličnosti, na način koji obezbeđuje da se obrada vrši u skladu sa odredbama ovog zakona i da se obezbeđuje zaštita prava lica na koje se podaci odnose.

(3)        Obrađivač iz stava (1) ovog člana može poveriti obradu drugom obrađivaču samo ako ga rukovalac za to ovlasti na osnovu opšteg ili posebnog pismenog ovlašćenja.

(4)        Kada se obrada vrši na osnovu opšteg ovlašćenja, obrađivač je dužan da informiše rukovaoca o nameravanom izboru drugog obrađivača, odnosno zameni drugog obrađivača, uključujući i njegov identitet, kako bi rukovalac imao mogućnost da se suprotstavi takvoj promeni.

(5)        Obrađivač, odnosno drugo lice koje je od strane rukovaoca ili obrađivača ovlašćeno za pristup podacima o ličnosti, ne može da obrađuje te podatke preduzimanjem druge radnje obrade bez naloga rukovaoca, osim ako je takva obrada propisana zakonom.

(6)        Ako obrađivač povredi odredbe ovog zakona određujući svrhu i način obrade podatka o ličnosti koje su različite od svrhe i načina koje je odredio rukovalac, obrađivač se smatra rukovaocem u odnosu na tu obradu.

 

(7)        Primena odobrenog kodeksa postupanja, odnosno izdatog sertifikata u skladu sa odredbama ovog zakona može se koristiti da se predoči da obrađivač ispunjava obaveze pružanja garancije iz stava (1) ovog člana.

Pravna uređenost obrade od strane obrađivača Član 70.

(1)        Obrada od strane obrađivača mora biti uređena ugovorom ili drugim pravno

obavezujućim aktom, koji je zaključen, odnosno usvojen u pismenom obliku, što obuhvata i elektronski oblik, koji obavezuje obrađivača prema rukovaocu i kojim se uređuje predmet i trajanje obrade, priroda i svrha obrade, vrsta podataka o ličnosti koji se obrađuju i kategorija lica o kojima se podaci obrađuju, kao i prava i obaveze rukovaoca.

(2)        Ugovorom ili drugim pravno obavezujućim aktom iz stava (1) ovog člana propisuje se da je obrađivač dužan da:

1)         obrađuje podatke o ličnosti samo na osnovu pismenih uputstava rukovaoca, uključujući i uputstvo u odnosu na prenošenje podataka o ličnosti u druge države ili međunarodne organizacije;

2)         pre započinjanja obrade obavesti rukovaoca o postojanju zakonske obaveze da obrađuje podatke, uključujući prenos podataka o ličnosti u druge države ili međunarodne organizacije, osim ako zakon zabranjuje dostavljanje tih informacija zbog potrebe zaštite važnog javnog interesa;

3)         obezbedi da se fizičko lice koje je ovlašćeno da obrađuje podatke o ličnosti obavezalo na čuvanje poverljivosti podataka ili da to lice podleže zakonskoj obavezi čuvanja poverljivosti podataka;

4)         preduzme sve potrebne mere u skladu odredbama ovog zakona kojima se uređuje bezbednost obrade podataka o ličnosti;

5)         poštuje uslove za poveravanje obrade drugom obrađivaču iz člana 69. st. 3) i 4) ovog zakona u pogledu:

a) postojanja opšteg ili posebnog pismenog ovlašćenja od strane rukovaoca za poveravanje obrade;

b) postojanja posebnog ugovora ili drugog pravno obavezujućeg akta, koji je zaključen, odnosno usvojen u pismenom obliku, što obuhvata i elektronski oblik, kojim se u odnosu između obrađivača i drugog obrađivača propisuju dovoljne garancije za primenu odgovarajućih mera zaštite podataka o ličnosti, koje odgovaraju merama iz ugovora zaključenog između rukovaoca i obrađivača;

6)         pomaže rukovaocu primenom odgovarajućih tehničkih, organizacionih i kadrovskih mera, koliko je to moguće uzimajući u obzir prirodu obrade, u ispunjavanju obaveza rukovaoca u odnosu na zahteve za ostvarivanje prava lica na koje se podaci odnose propisanih odredbama ovog zakona;

7)         pomaže rukovaocu u ispunjavanju obaveza propisanih ovim zakonom u pogledu bezbednosti obrade i obaveštavanja Poverenika i lica na koje se podaci odnose o povredi

 

podataka o ličnosti, kao i o proceni uticaja nameravane obrade na zaštitu podataka o ličnost i sa tim u vezi pribavljanja prethodnog mišljenja Poverenika, uzimajući u obzir prirodu obrade i informacije koje su mu dostupne;

8)         posle okončanja ugovorenih radnji obrade, a na osnovu odluke rukovaoca, izbriše ili vrati rukovaocu sve podatke o ličnosti i izbriše sve kopije ovih podataka, osim ako je zakonom propisana obaveza čuvanja podataka;

9)         učini dostupnim rukovaocu sve informacije koje su neophodne za predočavanje ispunjenosti obaveza obrađivača propisanih ovim zakonom, kao i informacije koje omogućavaju i doprinose kontroli rada obrađivača, koju sprovodi rukovalac ili drugo lice koje on za to ovlasti.

(3)        Obrađivač je dužan da bez odlaganja upozori rukovaoca ako smatra da pismeno uputstvo iz stava (2) tačka 1) ovog člana, koje je od njega dobio, nije u skladu sa ovim zakonom ili drugim zakonom kojim se uređuje zaštita podataka o ličnosti.

(4)        Poverenik može da izradi standardne ugovorne klauzule koje se mogu koristiti da se predoči da obrađivač ispunjava obaveze pružanja garancije za primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera zaštite podataka o ličnosti propisanih ovim zakonom u slučaju da rukovalac poveri obradu obrađivaču, posebno uzimajući u obzir evropsku praksu u izradi standardnih ugovornih klauzula.

Pravna uređenost obrade od strane drugog obrađivača Član 71.

(1)        Ako obrađivač odredi drugog obrađivača za vršenje posebnih radnji obrade u ime rukovaoca, iste obaveze zaštite podataka o ličnosti propisane ugovorom ili drugim pravno obavezujućim aktom između rukovaoca i obrađivača obavezuju i tog drugog obrađivača, na osnovu posebnog ugovora ili drugog pravno obavezujućeg akta, koji je zaključen između obrađivača i drugog obrađivača, odnosno usvojen u pismenom obliku, što obuhvata i elektronski oblik.

(2)        Ako drugi obrađivač ne ispuni svoje obaveze u vezi sa zaštitom podataka o ličnosti, za ispunjenje obaveza drugog obrađivača, rukovaocu odgovara obrađivač.

(3)        Pravni odnos između rukovaoca i obrađivača, u slučaju da obrađivač poveri obradu drugom obrađivaču, može biti zasnovan u celini ili delimično na standardnim ugovornim klauzulama, uključujući i one koje su vezane za sertifikat koji se odobrava rukovaocu ili obrađivaču u skladu sa odredbama ovog zakona.

(4)        Poverenik može da izradi standardne ugovorne klauzule koje se mogu koristiti da se predoči da drugi obrađivač ispunjava obaveze pružanja garancije za primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera zaštite podataka o ličnosti propisanih ovim zakonom, u slučaju da obrađivač poveri obradu drugom obrađivaču, posebno uzimajući u obzir evropsku praksu u izradi standardnih ugovornih klauzula.

 

Predstavnici rukovaoca ili obrađivača koji nemaju sedište u Republici Srbiji

Član 72.

(1)        Kada rukovalac, odnosno obrađivač koji nema sedište u Republici Srbiji, radnje obrade podataka o ličnosti vrši u okviru aktivnosti na teritoriji Republike Srbije rukovalac, odnosno obrađivač dužan je da odredi, u pismenom obliku, svog predstavnika u Republici Srbiji, osim ako je:

1)         obrada povremena, ne uključuje u velikoj meri obradu posebno osetljivih podataka o ličnosti iz člana 32. stav (1) ovog zakona ili podataka o ličnosti koji se odnose na osude za kažnjiva dela iz člana 33. ovog zakona, i verovatno je da neće prouzrokovati rizik za prava i slobode fizičkih lica uzimajući u obzir prirodu, okolnosti, obim i svrhe obrade;

2)         rukovalac, odnosno obrađivač organ vlasti.

(2)        Rukovalac, odnosno obrađivač ovlašćuje predstavnika iz stava (1) ovog člana kao lice kome se, uz rukovaoca ili obrađivača, odnosno umesto njih, lice na koje se podaci odnose, Poverenik ili drugo lice može obratiti u pogledu svih pitanja u vezi sa obradom podatka o ličnosti, a u cilju obezbeđivanja poštovanja odredbi ovog zakona.

(3)        Imenovanje predstavnika rukovaoca ili obrađivača iz stava (1) ovog člana ne utiče na pravne radnje koje mogu da budu preduzete protiv samog rukovaoca ili obrađivača, što uključuje pritužbu, tužbu i druge pravne zahteve u skladu sa zakonom.

(4)        Zastupnik ogranka, odnosno predstavništva multinacionalnog privrednog društva u Republici Srbiji koje radnje obrade podataka o ličnosti vrši u okviru aktivnosti na teritoriji Republike Srbije, smatra se predstavnikom iz stava (1) ovo člana u pogledu položaja i obaveza propisanih ovim zakonom, ako predstavnik nije posebno određen.

3.         Evidencije

Evidencija radnji obrade Član 73.

(1)        Rukovalac ili obrađivač, odnosno njihovi predstavnici ako su određeni, dužni su da vode evidenciju o radnjama obrade podataka o ličnosti.

(2)        Evidencija iz stava (1) ovog člana vode se u pismenom obliku, što obuhvata i elektronski oblik i čuva se trajno.

(3)        Rukovalac ili obrađivač, kao i njihovi predstavnici ako su određeni, dužni su da evidenciju iz stava (1) ovog člana učine dostupnom Povereniku, na njegov zahtev.

Evidencija rukovaoca Član 74.

Rukovalac i njegov predstavnik, ako je određen, dužan je da vodi evidenciju o radnjama obrade za koje je odgovoran, a koja sadrži informacije o:

 

1)         imenu i kontakt podacima rukovaoca, zajedničkih rukovaoca i svakog obrađivača, predstavnika rukovaoca ili obrađivača i lica za zaštitu podataka o ličnosti, ako oni postoje, odnosno ako su određeni;

2)         svrsi obrade i pravnom osnovu za obradu;

3)         kategoriji lica na koje se podaci odnose i vrsti podataka o ličnosti;

4)         vrsti primalaca kojima su podaci o ličnosti otkriveni ili će biti otkriveni, uključujući i primaoce u drugim državama ili međunarodnim organizacijama;

5)         prenosu podataka o ličnosti u druge države ili međunarodne organizacije, uključujući i naziv druge države ili međunarodne organizacije, kao i dokumente o primeni mera zaštite ako se podaci prenose u države, odnosno međunarodne organizacije koje ne obezbeđuju primeren nivo zaštite podataka o ličnosti, odnosno ne obezbeđuju taj nivo zaštite ni uz primenu odgovarajućih mera zaštite, u skladu sa odredbama ovog zakona, ako se takav prenos podataka o ličnosti vrši;

6)         roku posle čijeg isteka se brišu određene vrste podataka o ličnosti, ako je takav rok određen;

7)         opštem opisu mera zaštite propisanih odredbama ovog zakona koje uređuju bezbednost obrade, ako je to moguće.

Evidencija obrađivača Član 75.

Obrađivač i njegov predstavnik, ako je određen, dužan je da vodi evidenciju o svim vrstama radnji obrade koje se vrše u ime rukovaoca, a koja sadrži informacije o:

1)         imenu i kontakt podacima svakog obrađivača i svakog rukovaoca u čije ime se obrada vrši, odnosno predstavnika rukovaoca ili obrađivača i lica za zaštitu podataka o ličnosti, ako oni postoje, odnosno ako su određeni;

2)         vrsti obrada koje se vrše u ime svakog rukovaoca;

3)         prenosu podataka o ličnosti u druge države ili međunarodne organizacije, uključujući i naziv druge države ili međunarodne organizacije, kao i dokumente o primeni mera zaštite ako se podaci prenose u države, odnosno međunarodne organizacije koje ne obezbeđuju primeren nivo zaštite podataka o ličnosti, odnosno ne obezbeđuju taj nivo zaštite ni uz primenu odgovarajućih mera zaštite, u skladu sa odredbama ovog zakona, ako se takav prenos podataka o ličnosti vrši;

4)         opštem opisu mera zaštite propisanih odredbama ovog zakona koje uređuju bezbednost obrade, ako je to moguće.

Izuzetak od obaveze vođenja evidencija Član 76.

Obavezu vođenja evidencije radnji obrade podataka o ličnosti iz čl. 74. i 75. ovog zakona nemaju privredni subjekti i organizacije u kojima je zaposleno manje od 250 lica, osim ako:

 

1)         obrada koju vrše može da prouzrokuje visok rizik po prava i slobode lica na koje se podaci odnose;

2)         obrada nije povremena,

3)         obrada obuhvata posebno osetljive podatake o ličnosti iz člana 32. stav (1) ovog zakona ili podatke o ličnosti koji se odnose na kažnjiva dela iz člana 33. ovog zakona.

Saradnja sa Poverenikom Član 77.

Rukovalac, obrađivač i njihovi predstavnici, ako su određeni, dužni su da sarađuju sa Poverenikom u vršenju njegovih ovlašćenja.

4.         Bezbednost podataka o ličnosti

Bezbednost obrade Član 78.

(1)        U cilju zaštite prava lica na koje se podaci odnose rukovalac i obrađivač u obavezi su da primene odgovarajuće tehničke, organizacione i kadrovske mere zaštite podataka o ličnosti koje obrađuju, odnosno čuvaju u skladu sa nivoom tehnoloških dostignuća i troškovima njihove primene, srazmerno rizicima koji proizlaze iz obrade, a naročito rizicima od slučajnog ili nezakonitog uništenja, oštećenja, gubitka, izmene, neovlašćenog otkrivanja ili pristupa podacima o ličnosti koji su preneseni, skladišteni ili obrađivani na drugi način.

(2)        Prilikom procene rizika iz stava (1) ovog člana, uključujući verovatnoću nastupanja rizika i nivo rizika rukovalac i obrađivač u svakom konkretnom slučaju, između ostalog, naročito uzimaju u obzir:

1)         prirodu i obim podataka koje obrađuju, odnosno čuvaju;

2)         svrhu obrade;

3)         posledice po prava i slobode fizičkih lica, u slučaju povrede podataka o ličnosti.

(3)        Primena izdatog sertifikata, odnosno odobrenog kodeksa postupanja na osnovu odredbi ovog zakona, može se koristiti u cilju predočavanja ispunjenosti obaveza iz stava

(1) ovog člana.

Opšte mere zaštite Član 79.

Uzimajući u obzir broj zaposlenih, svrhu obrade, prirodu i obim podataka o ličnosti koje obrađuje, odnosno čuva, rukovalac, odnosno obrađivač preduzima, prema potrebi, opšte mere zaštite podataka o ličnosti, koje naročito obuhvataju:

1)         uspostavljanje organizacione strukture, sa utvrđenim poslovima i odgovornostima lica koja vrše obradu podataka;

 

2)         obuku svih lica koja vrše obradu;

3)         fizičku zaštitu objekata, prostora i prostorija, odnosno zona u kojima se obrađuju podaci i nalazi oprema za obradu podataka;

4)         postupak redovnog testiranja, ocenjivanja i procenjivanja delotvornosti tehničkih, organizacionih i kadrovskih mera zaštite podataka o ličnosti.

Mere zaštite u slučaju obrade podataka o ličnosti u elektronskom obliku Član 80.

Kada se podaci o ličnosti obrađuju, odnosno čuvaju u elektronskom obliku, prema potrebi mere zaštite podataka o ličnosti, naročito obuhvataju:

1)         autentifikaciju i autorizaciju lica koja pristupaju podacima, čime se sprečava neovlašćeni pristup;

2)         zaštitu nosača podataka i obezbeđivanje integriteta softvera i operativnih sistema;

3)         upotrebu tehnika zaštite poverljivosti, autentičnosti i integriteta podataka, uključujući pseudonimizaciju i kriptozaštitu;

4)         obezbeđivanje ispravnog i bezbednog funkcionisanja sredstava za obradu podataka;

5)         prevenciju i reagovanje na bezbednosne incidente,

6)         formiranje rezervne kopije podataka, softvera i sistema radi obezbeđenja kontinuiteta obrade.

Mere zaštite u slučaju obrade podataka o ličnosti u papirnom obliku Član 81.

Kada se podaci o ličnosti obrađuju, odnosno čuvaju u papirnom obliku, mere zaštite podataka o ličnosti, naročito obuhvataju:

1)         obezbeđivanje odgovarajućeg prostora i opreme za smeštaj i zaštitu;

2)         obezbeđivanje kontrole pristupa podacima od strane ovlašćenih lica;

3)         uspostavljanje evidencije pristupa podacima;

4)         obezbeđivanje kopije podataka (kopiranjem, digitalizacijom, mikrofilmovanjem ili na drugi odgovarajući način).

Obaveštavanje Poverenika o povredi podataka o ličnosti Član 82.

(1)        U slučaju povrede podataka o ličnosti koja može da proizvede posledice po prava i slobode fizičkih lica rukovalac je dužan da obavesti Poverenika bez nepotrebnog odlaganja, ili, ako je to moguće, u roku od 72 sata od saznanja za povredu.

(2)        Ako rukovalac ne postupi na način i u roku iz stava (1) ovog člana, dužan je da obrazloži razloge nepostupanja.

 

(3)        Obrađivač je dužan da, posle saznanja za povredu podataka o ličnosti, bez nepotrebnog odlaganja obavesti rukovaoca o toj povredi.

(4)        Obaveštenje iz stava (1) ovog člana mora da sadrži najmanje sledeće informacije:

1)         opis prirode povrede podataka o ličnosti, uključujući vrste podataka i približan broj lica na koja se podaci te vrste odnose, kao i približan broj podataka o ličnosti čija je bezbednost povređena;

2)         ime i kontakt podatke lica za zaštitu podataka o ličnosti ili informacije o drugom načinu na koji se mogu dobiti informacije o povredi;

3)         opis mogućih posledica povrede;

4)         opis mera koje je rukovalac preduzeo ili čije je preduzimanje predloženo u vezi sa povredom, uključujući i mere koje su preduzete u cilju umanjenja štetnih posledica.

(5)        Ako se sve informacije iz stava (4) ovog člana ne mogu dostaviti istovremeno, rukovalac bez nepotrebnog odlaganja postupno dostavlja dostupne informacije.

(6)        Rukovalac je dužan da dokumentuje svaku povredu podataka o ličnosti, uključujući i činjenice o povredi, njenim posledicama i preduzetim merama za njihovo otklanjanje.

(7)        Dokumentacija iz stava (6) ovog člana mora omogućiti Povereniku da utvrdi da li je rukovalac postupio u skladu sa odredbama ovog člana.

(8)        Poverenik propisuje obrazac obaveštenja iz stava (1) ovog člana i bliže uređuje način obaveštavanja.

Obaveštavanje lica o povredi podataka o ličnosti Član 83.

(1)        Ako konkretne okolnosti povrede podataka o ličnosti ukazuju na postojanje visokog stepena verovatnoće nastupanja ozbiljnih posledica po prava i slobode fizičkih lica, rukovalac je dužan da bez nepotrebnog odlaganja o povredi obavesti lice na koje se podaci odnose.

(2)        U obaveštenju iz stava (1) ovog člana rukovalac je dužan da na jasan i razumljiv način opiše prirodu povrede podataka i navede najmanje informacije iz člana 82. stav (4) tač. 2) do 4) ovog zakona.

(3)        Rukovalac nije dužan da obavesti lice iz stava (1) ovog člana ako:

1)         je preduzeo odgovarajuće tehničke, organizacione i kadrovske mere zaštite u odnosu na podatke o ličnosti čija je bezbednost povređena, a posebno ako je kriptozaštitom ili drugim merama onemogućio razumljivost podataka svim licima koja nisu ovlašćena za pristup ovim podacima;

2)         je naknadno preduzeo mere kojima je obezbedio da povreda podataka o ličnosti više ne može da proizvede posledice za prava i slobode lica na koje se podaci odnose;

3)         bi obaveštavanje lica na koje se podaci odnose predstavljalo nesrazmeran utrošak vremena i sredstava, u kom slučaju je rukovalac dužan da putem javnog obaveštavanja ili na drugi delotvoran način obezbedi pružanje obaveštenja licu na koje se podaci odnose.

 

(4)        Ako rukovalac nije obavestio lice na koje se podaci odnose o povredi podataka o ličnosti, Poverenik može, uzimajući u obzir stepen verovatnoće od nastupanja ozbiljnih posledica za prava i slobode lica, da naloži rukovaocu da to učini ili može da utvrdi da su ispunjeni uslovi iz stava (3) ovog člana, kada rukovalac nije dužan da dostavi obaveštenje.

Procena uticaja obrade na zaštitu podataka o ličnosti Član 84.

(1)        Ako je verovatno da će neka vrsta obrade podataka o ličnosti, posebno upotrebom novih tehnologija i uzimajući u obzir prirodu, obim, okolnosti i svrhu obrade, prouzrokovati visok rizik po prava i slobode fizičkih lica, rukovalac je dužan da pre nego što započne sa obradom izvrši procenu uticaja predviđenih radnji obrade na zaštitu podataka o ličnosti.

(2)        Ako više sličnih radnji obrade mogu prouzrokovati slične visoke rizike za zaštitu podataka o ličnosti, može se izvršiti zajednička procena.

(3)        Prilikom procene uticaja iz stava (1) ovog člana rukovalac je dužan da zatraži mišljenje lica za zaštitu podataka o ličnosti, ako je ono određeno.

(4)        Prema potrebi, u postupku izrade procene uticaja, rukovalac od lica na koje se podaci odnose ili njihovih predstavnika traži mišljenje o radnjama obrade koje namerava da vrši, ne dovodeći u pitanje zaštitu poslovnih ili javnih interesa ili bezbednost radnji obrade.

(5)        Procena uticaja iz stava (1) ovog člana obavezno se vrši u slučaju:

1)         sistematske i sveobuhvatne procene stanja i osobina fizičkog lica koja se vrši pomoću automatizovane obrade podataka o ličnosti, uključujući i profilisanje, na osnovu koje se donose odluke od značaja za pravni položaj pojedinca ili na sličan način značajno utiču na njega;

2)         obrade posebno osetljivih podataka o ličnosti iz člana 32. stav (1) ovog zakona ili obrade podataka o ličnosti u vezi sa kažnjivim delima iz člana 33. ovog zakona, u velikom obimu;

3)         sistematskog nadzora nad javnim prostorom, u velikom obimu.

(6)        Kada je osnov za obradu podataka o ličnosti poštovanje zakonskih obaveza rukovaoca ili obavljanje poslova u javnom interesu ili izvršenje zakonom propisanih ovlašćenja iz člana 15. stav (1) tač. 2) i 3) ovog zakona, pri čemu je procena uticaja na zaštitu podataka o ličnosti već izvršena u okviru opšte procene uticaja prilikom donošenja posebnog zakona čijim odredbama se propisuju pojedine radnje obrade, odnosno grupe radnji obrade, ne izrađje se procena uticaja na zaštitu podataka o ličnosti, osim ako se utvrdi da je neophodno izvršiti novu procenu.

(7)        Rukovalac je dužan da preispita da li se radnje obrade vrše u skladu sa izvršenom procenom uticaja na zaštitu podataka o ličnosti, prema potrebi, a najmanje u slučaju kad je došlo do promene nivoa rizika u vezi sa radnjama obrade.

 

(8)        Poverenik je dužan da sačini i javno objavi na svojoj internet stranici listu vrsta radnji obrade za koje se mora izvršiti procena uticaja iz stava (1) ovog člana, a može da sačini i objavi i listu vrsta radnji obrade za koje procena nije potrebna.

Sadržina procene uticaja Član 85.

(1)        Procena uticaja radnji obrade na zaštitu podataka o ličnosti, najmanje mora da sadrži:

1)         sveobuhvatan opis predviđenih radnji obrade i svrhu obrade, uključujući i opis legitimnog interesa rukovaoca, ako on postoji;

2)         procenu potrebnosti, neophodnosti i srazmernosti vršenja radnji obrade u odnosu na svrhe obrade;

3)         identifikaciju i procenu rizika za prava i slobode lica na koje se podaci odnose;

4)         opis mera koje se nameravaju preduzeti u odnosu na postojanje rizika, uključujući mehanizme zaštite, kao i tehničke, organizacione i kadrovske mere u cilju zaštite podatka o ličnosti i obezbeđivanja dokaza o poštovanju odredbi ovog zakona, uzimajući u obzir prava i legitimne interese lica na koje se podaci odnose i drugih lica.

(2)        Primena odobrenog kodeksa postupanja u skladu sa odredbama ovog zakona, od strane rukovaoca ili obrađivača, mora se uzeti u obzir prilikom procene uticaja radnji obrade na zaštitu podataka o ličnosti.

Zahtev za mišljenje Poverenika Član 86.

(1)        Ako procena uticaja radnji obrade na zaštitu podataka o ličnosti, koja je izvršena u skladu sa čl. 84. i 85. ovog zakona, ukazuje da će nameravane radnje obrade proizvesti visok rizik i nakon preduzimanja mera za smanjenje rizika, odnosno preostali rizik je i dalje visok, rukovalac je dužan da zatraži mišljenje Poverenika pre započinjanja radnji obrade.

(2)        Uz zahtev za mišljenje, rukovalac je dužan da Povereniku dostavi procenu uticaja iz stava (1) ovog člana, kao i podatke o:

1)         dužnostima rukovaoca, uključujući dužnosti zajedničkih rukovalaca i obrađivača koji učestvuju u obradi, ako postoje, posebno ako se radi o obradi koja se vrši unutar grupe privrednih subjekata;

2)         svrhama i načinima nameravane obrade;

3)         tehničkim, organizacionim i kadrovskim merama zaštite, kao i mehanizmima zaštite prava i sloboda lica na koje se podaci odnose u skladu sa ovim zakonom;

4)         kontakt podacima lica za zaštitu podataka, ako je ono određeno;

5)         svim drugim informacijama koje zatraži Poverenik.

 

Prethodno mišljenje Poverenika

Član 87.

(1)        Ako Poverenik smatra da bi nameravane radnje obrade iz člana 84. stav (1) ovog zakona mogle da povrede odredbe ovog zakona, a posebno ako rukovalac nije na odgovarajući način procenio ili umanjio rizik, Poverenik je dužan da u roku od 60 dana od dana prijema zahteva dostavi pismeno mišljenje rukovaocu ili obrađivaču koji je podneo zahtev, kao i da po potrebi iskoristi inspekcijska i druga ovlašćenja propisana ovim zakonom.

(2)        Rok iz stava (1) ovog člana može se produžiti za 45 dana uzimajući u obzir složenost nameravanih radnji obrade, a Poverenik je dužan da o odlaganju i razlozima za odlaganje davanja mišljenja upozna rukovaoca ili obrađivača, koji je podneo zahtev, u roku od 30 dana od prijema zahteva za mišljenje.

(3)        Rokovi iz st. (2) i (3) ovog člana ne teku dok Poverenik ne dobije sve tražene informacije koje su neophodne za davanje mišljenja.

(4)        Poverenik može da sastavi i javno objavi na svojoj internet prezentaciji listu vrsti radnji obrade u vezi sa kojima se mora tražiti njegovo mišljenje.

(5)        Organi vlasti koji pripremaju nacrte zakona i predloge drugih propisa zasnovanih na zakonima, a koji sadrže odredbe o obradi podataka o ličnosti, dužni su da u toku njihove pripreme zatraže mišljenje Poverenika.

5.         Lice za zaštitu podataka o ličnosti

Određivanje lica za zaštitu podataka o ličnosti Član 88.

(1)        Rukovalac i obrađivač mogu da odrede lice za zaštitu podataka o ličnosti.

(2)        Rukovalac i obrađivač dužni su da odrede lice za zaštitu podataka o ličnosti ako se:

1)         obrada vrši od strane organa vlasti, osim ako se radi o obradi koju vrši sud u svrhu obavljanja njegovih sudskih ovlašćenja;

2)         osnovne aktivnosti rukovaoca ili obrađivača sastoje u radnjama obrade koje po svojoj prirodi, obimu, odnosno svrhama zahtevaju redovan i sistematski nadzor velikog broja lica na koje se podaci odnose;

3)         osnovne aktivnosti rukovaoca ili obrađivača sastoje u obradi posebno osetljivih podataka o ličnosti iz člana 32. stav (1) ili podataka o ličnosti u vezi sa kažnjivim delima iz člana 33. ovog zakona, u velikom obimu.

(3)        Grupa privrednih subjekata može odrediti zajedničko lice za zaštitu podataka o ličnosti, pod uslovom da je ovo lice jednako dostupno svakom članu grupe.

(4)        Ako su rukovaoci ili obrađivači organi vlasti, može se odrediti zajedničko lice za zaštitu podataka o ličnosti, uzimajući u obzir organizacionu strukturu i veličinu tih organa vlasti.

 

(5)        Posebnim zakonom može se propisati da rukovaoci, odnosno obrađivači ili njihova udruženja koja ih predstavljaju, moraju odrediti lice za zaštitu podataka o ličnosti.

(6)        Lice za zaštitu podataka o ličnosti određuje se na osnovu njegovih stručnih kvalifikacija, a naročito stručnog znanja i iskustva u oblasti zaštite podataka o ličnosti, kao i sposobnosti za izvršavanje obaveza propisanih ovim zakonom.

(7)        Lice za zaštitu podataka o ličnosti može biti zaposleno kod rukovaoca ili obrađivača ili može obavljati poslove na osnovu ugovora.

(8)        Rukovalac ili obrađivač dužan je da objavi kontakt podatke lica za zaštitu podataka o ličnosti i dostavi ih Povereniku, kao i da ih u slučaju promene ažurira u najkraćem roku dostavi ih Povereniku.

(9)        Poverenik vodi evidenciju lica za zaštitu podataka o ličnosti koja sadrži: imena i prezimena lica za zaštitu podataka o ličnosti, njihove kontakt podatke, kao i imena i kontakt podatke rukovaoca, odnosno obrađivača.

(10)      Poverenik propisuje obrazac evidencije iz stava (9) ovog člana i uređuje način njenog vođenja.

Položaj lica za zaštitu podataka o ličnosti Član 89.

(1)        Rukovalac i obrađivač dužni su da blagovremeno i na odgovarajući način uključe lice za zaštitu podataka o ličnosti u sve poslove koji su u nadležnosti ili koje u okviru svoje delatnosti obavlja rukovalac, odnosno obrađivač, a koji se odnose na zaštitu podataka o ličnosti.

(2)        Rukovalac i obrađivač dužni su da omoguće licu za zaštitu podataka o ličnosti izvršavanje njegovih obaveza iz ovog zakona na taj način što mu obezbeđuju neophodna sredstva za izvršavanje ovih obaveza, pristup podacima o ličnosti i radnjama obrade, kao i njegovo stručno usavršavanje.

(3)        Rukovalac i obrađivač dužni su da obezbede nezavisnost lica za zaštitu podataka o ličnosti u izvršavanju njegovih obaveza.

(4)        Rukovalac ili obrađivač ne mogu kazniti lice za zaštitu podataka o ličnosti, niti raskinuti radni odnos, odnosno ugovor sa njim zbog izvršavanja njegovih obaveza iz ovog zakona.

(5)        Za izvršavanje obaveza iz ovog zakona lice za zaštitu podataka o ličnosti neposredno je odgovorno rukovodiocu rukovaoca, odnosno obrađivača.

(6)        Lica na koje se podaci odnose mogu se obratiti licu za zaštitu podataka o ličnosti u vezi sa svim pitanjima koja se odnose na obradu njegovih podatka o ličnosti, kao i u vezi sa ostvarivanjem svojih prava propisanih ovim zakonom.

(7)        Lice za zaštitu podataka o ličnosti dužno je da čuva tajnost, odnosno poverljivost podataka do kojih je došlo u izvršavanju obaveza iz ovog zakona, u skladu sa zakonom.

 

(8)        Lice za zaštitu podataka o ličnosti može da obavlja druge poslove i izvršava druge obaveze, a rukovalac ili obrađivač dužni su da obezbede da izvršavanje drugih poslova i obaveza ne dovede lice za zaštitu podataka o ličnosti u sukob interesa.

Obaveze lica za zaštitu podataka o ličnosti Član 90.

(1)        Lice za zaštitu podataka o ličnosti ima najmanje obavezu da:

1)         informiše i daje mišljenje rukovaocu, odnsno obrađivaču, kao i zaposlenima koji vrše radnje obrade o njihovim zakonskim obavezama u vezi sa zaštitom podataka o ličnosti;

2)         prati primenu odredbi ovog zakona, drugih zakona i internih propisa od strane rukovaoca ili obrađivača koji se odnose na zaštitu podataka o ličnosti, uključujući i pitanja podele odgovornosti, podizanja svesti i obuke zaposlenih koji učestvuju u radnjama obrade, kao i kontrole;

3)         daje mišljenje, kada se to zatraži, o proceni uticaja obrade na zaštitu podataka o ličnosti i prati postupanje po toj proceni, u skladu sa odredbama ovog zakona;

4)         sarađuje sa Poverenikom, predstavlja kontakt tačku za saradnju sa Poverenikom i savetuje se sa njim u vezi sa pitanjima koja se odnose na obradu podataka o ličnosti, uključujući i obaveštavanje i pribavljanje prethodnog mišljenja Poverenika iz člana 84. ovog zakona.

(5) U izvršavanju svojih obaveza lice za zaštitu podataka o ličnosti dužno je da posebno vodi računa o prisustvu i stepenu rizika u vezi sa radnjama obrade podataka o ličnosti, uzimajući u obzir prirodu, obim, okolnosti i svrhe obrade.

6.         Sertifikat o zaštiti podataka o ličnosti

Osnovne odredbe Član 91.

(1)        U cilju dokazivanja poštovanja odredbi ovog zakona od strane rukovaoca i obrađivača, a posebno uzimajući u obzir potrebe malih i srednjih preduzeća, može se koristiti sertifikat o zaštiti podataka o ličnosti, sa odgovarajućim žigovima i oznakama za zaštitu podataka.

(2)        Rukovaocu, odnosno obrađivaču na koje se ovaj zakon ne primenjuje, u cilju dokazivanja preduzimanja mera zaštite od strane rukovaoca i obrađivača, a u okviru prenosa njihovih podataka o ličnosti u druge države ili međunarodne organizacije za koje nije utvrđeno postojanje primerenog nivoa zaštite, može se izdati sertifikat, sa odgovarajućim žigovima i oznakama, u skladu sa odredbama ovog zakona, pod uslovom da oni putem ugovora ili drugog pravno obavezujućeg akta prihvate primenu ovih mera zaštite, uključujući i zaštitu prava lica na koje se podaci odnose od strane rukovaoca ili obrađivača u drugoj državi ili međunarodnoj organizaciji.

 

(3)        Postojanje izdatog sertifikata iz stava (1) ovog člana ne može uticati na zakonske obaveze rukovaoca i obrađivača, niti na inspekcijska i druga ovlašćenja Poverenika propisana odredbama ovog zakona.

Sertifikaciono telo Član 92.

(1)        Sertifikat o zaštiti podataka o ličnosti iz člana 91. stav (1) ovog člana izdaje

akreditovano sertifikaciono telo, koje je pravno lice ili deo pravnog lica.

(2)        Sertifikaciono telo iz stava (1) ovog člana ocenjuje usaglašenost procesa, odnosno sistema zaštite podataka o ličnosti od strane rukovaoca i obrađivača sa relevantnim nacionalnim standardima kojima su preuzeti harmonizovani standardi za ocenjivanje usaglašenosti proizvoda, procesa i usluga, što uključujue izdavanje, obnavljanje i ukidanje sertifikata o zaštiti podataka o ličnosti, zajedno sa žigom i oznakom.

(3)        Pre izdavanja sertifikata iz stava (1) ovog člana, sertifikaciono telo o tome obaveštava Poverenika, što ne utiče na inspekcijska i druga ovlašćenja Poverenika propisana odredbama ovog zakona.

(4)        Sertifikaciono telo je odgovorno za pravilnu ocenu ispunjenosti kriterijuma za izdavanje, obnavljanje i ukidanje sertifikata o zaštiti podataka o ličnosti i dužno je da Poverenika upozna sa razlozima za izdavanje, obnavljanje ili ukidanje sertifikata.

(5)        Sertifikat o zaštiti podataka o ličnosti koji je izdalo sertifikovano telo druge države ili međunarodne organizacije važi u Republici Srbiji, ako je izdat u skladu sa potvrđenim međunarodnim sporazumom čiji je potpisnik Republika Srbija.

Akreditacija sertifikacionog tela

Član 93.

(1)        Postupak akreditacije sertifikacionog tela za izdavanje sertifikata o zaštiti podataka o ličnosti sprovodi Akreditaciono telo Srbije, primenom odredbi zakona kojim se uređuje akreditacija i podzakonskim aktima donetim za izvršenje ovog zakona.

(2)        Postupak iz stava (1) ovog člana pokreće se prijavom za akreditaciju usaglašenosti koju pravno lice ili deo pravnog lica podnosi Akreditacionom telu Srbije.

(3)        Akreditaciono telo Srbije može da uputi pravno lice ili deo pravnog lica iz stava (2) ovog člana, koje je registrovano u Republici Srbiji da prijavu za akreditaciju usaglašenosti podnese akreditacionom telu druge države, ako Akreditaciono telo Srbije ne vrši poslove akreditacije za određena ocenjivanja usaglašenosti iz podnete prijave, ili da zatraži od akreditacionog tela druge države da izvrši jedan deo aktivnosti iz postupka akreditacije.

 

(4)        U slučajevima iz stava (3) ovog člana, sertifikat o akreditaciji koji je izdalo akreditaciono telo druge države upisuje se u registar akreditovanih tela za ocenjivanje usaglašenosti koji vodi Akreditaciono telo Srbije, odnosno izdaje sertifikat o akreditaciji u slučaju kada akreditaciono telo druge države izvrši jedan deo aktivnosti iz postupka akreditacije.

(5)        Sertifikaciono telo iz stava (1) ovog člana mora da poseduje odgovarajući nivo stručnosti u oblasti zaštite podataka o ličnosti i da ispunjava zahteve odgovarajućih srpskih standarda kojima su preuzeti harmonizovani standardi, kao i dodatne zahteve iz oblasti zaštite podataka o ličnosti, propisane odredbama ovog zakona.

(6)        Akreditacija iz stava (1) ovog člana izdaje se sertifikacionom telu na period do pet godina, sa mogućnošću obnove ako sertifikaciono telo i dalje ispunjava propisane zahteve za akreditaciju.

(7)        Akreditacija se ukida ako se utvrdi da sertifikaciono telo više ne ispunjava zahteve za akreditaciju ili ako se utvrdi da krši odredbe ovog zakona.

(8)        Kada je sertifikaciono telo koje je sprovelo sertifikaciju akreditovano od strane nacionalnog tela druge države, koje je sa Akreditacionim telom Srbije potpisalo sporazum kojim se međusobno priznaje ekvivalentnost sistema akreditacije u obimu koji je određen potpisanim sporazumom, u Republici Srbiji se mogu prihvatiti sertifikati o zaštiti podataka o ličnosti tog sertifikacionog tela, bez ponovnog sprovođenja postupka sertifikacije.

Dodatni zahtevi za akreditaciju sertifikacionog tela Član 94.

(1)        Sertifikaciono telo za izdavanje sertifikata o zaštiti podataka o ličnosti

može biti akreditovano ako, pored ispunjavanja zahteva odgovarajućih srpskih standarda kojima su preuzeti harmonizovani standardi, ispunjava i dodatne zahteve iz oblasti zaštite podataka o ličnosti, i to:

1)         predoči dokaze u pogledu svoje stručnosti, u odnosu na predmet sertifikacije;

2)         predoči dokaze u pogledu svoje nezavisnosti;

3)         se obavezalo na poštovanje kriterijuma za sertifikaciju, propisanih ovim zakonom;

4)         ima izrađenu šemu sertifikacije, odobrenu od strane Poverenika;

5)         propiše postupak za izdavanje, periodičnu proveru i ukidanje sertifikata, žiga i oznake;

6)         propiše postupak i odredi organe za postupanje po pritužbama protiv rukovaoca i obrađivača zbog vršenja radnji obrade na način suprotan izdatom sertifikatu;

7)         akte kojim se propisuje postupak i određuju organi iz tač. 5) i 6) ovog stava učini dostupnim javnosti i licu na koje se podaci odnose;

9) predoči dokaze da u izvršavanju njegovih poslova nema sukoba interesa.

 

(2)        Poverenik donosi akt kojim se bliže razrađuju zahtevi iz stava (1) ovog člana, uključujući način dokazivanja njihove ispunjenosti i javno ga objavljuje.

Kriterijumi za sertifikaciju rukovaoca Član 95.

(1)        Sertifikaciono telo za izdavanje sertifikata o zaštiti podataka o ličnosti prilikom ocenjivanja usaglašenosti procesa, odnosno sistema zaštite podataka o ličnosti od strane rukovaoca, razmatra ispunjenost sledećih kriterijuma:

1)         da je identifikovani, odnosno određeni pravni osnov za obradu podataka o ličnosti u skladu sa odredbama ovog zakona;

2)         da su podaci o ličnosti obrađuju u svrhe koje su konkretno određene, izričite, opravdane i zakonite i da se dalje ne obrađuju na način koji nije u skladu sa tim svrhama;

3)         da su podaci o ličnosti primereni, bitni i ograničeni na ono što je neophodno u odnosu na svrhu obrade;

4)         da su podaci o ličnosti koji se obrađuju tačni i ažurirani;

5)         da se podaci o ličnosti čuvaju u obliku koji omogućava identifikaciju lica samo u roku koji je neophodan za ostvarivanje svrhe obrade;

6)         da su primenjene odgovarajuće tehničke, organizacione i kadrovske mere koje obezbeđuju odgovarajuću zaštitu podataka o ličnosti, uključujući zaštitu od neovlašćene ili nezakonite obrade, kao i od slučajnog gubitka, uništenja ili oštećenja;

7)         da je obezbeđena transparentnost obrade;

8)         da rukovalac može da dokaže komulativnu ispunjenost kriterijuma iz tač. 1) do

7) ovog stava;

9)         da su ispunjeni dodatni uslovi za obradu posebnih kategorija podataka o ličnosti, uključujući primenu dodatnih mera zaštite;

10)       da su obezbeđena prava u vezi sa obradom podataka licima na koje se podaci odnose, propisana ovim zakonom;

11)       da je rukovalac u mogućnosti da ispuni svoje obaveze iz ovog zakona, kada se radi o primaocima podataka;

12)       da je rukovalac definisao procedure ili politike u vezi sa postupanjem po zahtevima lica čiji se podaci obrađuju i da je u mogućnosti da ih dokumentuje;

13)       da su procenjeni rizici po bezbednost podataka o ličnosti;

14)       da je rukovalac primenio adekvatne mere zaštite u odnosu na procenjeni rizik;

15)       da je postupak obrade usklađen sa zahtevima u pogledu tehničke i integrisane zaštite;

16)       da rukovalac ima uređen postupak u slučaju povrede podataka o ličnosti;

17)       da u slučaju obrade podataka o ličnosti od strane zajedničkih rukovaoca, uloge, obaveze i odgovornosti svakog od njih budu uređene sporazumom ili propisane zakonom koji se primenjuje na rukovaoce;

 

18)       da poveravanje pojedinih radnji obrade obrađivaču bude zasnovano na ugovoru ili drugom pravno obavezujućem aktu;

19)       da rukovalac vodi evidencije o radnjama obrade koje su predmet sertifikacije;

20)       da je rukovalac odredio lice za zaštitu podataka o ličnosti, u skladu sa ovim zakonom;

21)       da je rukovalac sproveo procenu uticaja na zaštitu sloboda i prava lica čiji se podaci obrađuju, gde je to neophodno u skladu sa odredbama ovog zakona;

22)       da rukovalac ispunjava obaveze u slučaju prenosa podataka u drugu državu ili u međunarodnu organizaciju i da je u mogućnosti da to dokaže, uključujući i dodatne obaveze u slučaju prenosa podataka u drugu državu ili u međunarodnu organizaciju za koje nije utvrđeno da obezbeđuju primereni nivo zaštite podataka o ličnosti.

(2)        Poverenik donosi akt kojim se bliže razrađuju kriterijumi iz stava (1) ovog člana, uključujući način dokazivanja njihove ispunjenosti i javno ga objavljuje.

Kriterijumi za sertifikaciju obrađivača Član 96.

(1)        Sertifikaciono telo za izdavanje sertifikata o zaštiti podataka o ličnosti

prilikom ocenjivanja usaglašenosti procesa, odnosno sistema zaštite podataka o ličnosti od strane obrađivača, razmatra ispunjenost sledećih kriterijuma:

1)         da je obrađivač zaključio ugovor o poveravanju pojedinih radnji obrade sa rukovaocem;

2)         da je preduzeo odgovarajuće mere zaštite podataka o ličnosti, u skladu sa odredbama ovog zakona;

3)         da pomaže rukovaocu u ispunjavanju njegovih obaveza propisanih zakonom;

4)         da poštuje uslove koji se tiču poveravanja dalje obrade drugom obrađivaču - podobrađivaču;

5)         da je odredio lice za zaštitu podataka o ličnosti, u skladu sa odredbama ovog zakona;

6)         da vodi evidencije o radnjama obrade;

7)         da ispunjava svoje obaveze nakon prestanka važenja ugovora sa rukovaocem;

8)         da ispunjava obaveze u pogledu prenosa podataka o ličnosti u drugu državu ili u međunarodnu organizaciju.

(2)        Poverenik donosi akt kojim se bliže razrađuju kriterijumi iz stava (1) ovog člana, uključujući način dokazivanja njihove ispunjenosti i javno ga objavljuje.

Postupak izdavanja sertifikata Član 97.

(1)        Postupak izdavanja sertifikata o zaštiti podataka o ličnosti je dobrovoljan i transparentan.

(2)        Rukovalac i obrađivač koji zahtevaju izdavanje sertifikata iz stava (1) ovog člana dužni su da akreditovanom sertifikacionom telu omoguće pristup radnjama obrade i

 

pruže sve informacije o obradi koje su neophodne za sprovođenje postupka izdavanja sertifikata.

(3)        Sertifikat se izdaje rukovaocu i obrađivaču na period koji ne može biti duži od tri godine, a može se obnoviti ako oni i dalje ispunjavaju kriterijume za izdavanje sertifikata, propisane ovim zakonom.

(4)        Sertifikat se ukida u slučaju kad sertifikaciono telo utvrdi da rukovalac, odnosno obrađivač više ne ispunjava propisane kriterijume za izdavanje sertifikata.

(5)        Poverenik vodi i javno objavljuje na svojoj internet stranici spisak akreditovanih sertifikacionih tela i izdatih sertifikata o zaštiti podataka o ličnosti, sa odgovarajućim žigovima i oznakama.

(6)        Poverenik donosi akt kojim se bliže uređuje postupak izdavanja sertifikata o zaštiti podataka o ličnosti, uključujući prijavu za sertifikaciju, zaključenje ugovora o sertifikaciji, kao i standardizovane metode vrednovanja, spisak sertifikacionih procesa i postupke provere poštovanja kriterijuma za sertifikaciju u sladu sa relevantnim standardima iz ove oblasti.

7.         Kodeks postupanja

Sadržina kodeksa Član 98.

(1)        Udruženja i drugi subjekti koji predstavljaju grupe rukovalaca ili obrađivača mogu izraditi kodeks postupanja u cilju efikasnije primene ovog zakona, a naročito u pogledu:

1)         poštene i transparentne obrade;

2)         legitimnih interesa rukovalaca, uzimajući u obzir okolnosti konkretnih slučajeva;

3)         prikupljanja podataka o ličnosti;

4)         pseudonimizacije podataka o ličnosti;

5)         informacija koje se pružaju javnosti i licima na koje se podaci odnose;

6)         ostvarivanja prava lica na koje se podaci odnose;

7)         informacija koje se pružaju maloletnim licima, njihovoj zaštiti, kao i načina na koji se pribavlja pristanak roditelja koji vrši roditeljsko pravo, odnosno drugog staraoca;

8)         mera i postupaka iz čl. 67. i 78. ovog zakona, koje imaju za cilj da se obrada podataka o ličnosti vrši u skladu sa ovim zakonom, uključujući bezbednost obrade;

9)         obaveštavanja Poverenika o povredi podataka o ličnosti, kao i informisanja lica na koje se podaci odnose o takvim povredama;

10)       prenosa podataka o ličnosti u druge države ili međunarodne organizacije;

 

11)       načina rešavanja sporova između rukovaoca i lica na koje se podaci odnose mirnim putem, što ne utiče na ostvarivanja prava lica na podnošenje pravnog sredstva, uključujući sudsku zaštitu u skladu sa odredbama ovog zakona.

(2)        Rukovaoci, odnosno obrađivači na koje se ovaj zakon ne primenjuje, u cilju obezbeđivanja odgovarajućih mera zaštite lica na koje se podaci odnose u okviru prenosa njihovih podataka o ličnosti u druge države ili međunarodne organizacije u kojima nije utvrđeno postojanje primerenog nivoa zaštite, mogu prihvatiti ili se obavezati na primenu kodeksa postupanja koji je odobren u skladu sa odredbama ovog zakona, putem ugovornih ili drugih pravno obavezujućih akata kojima se obavezuju na primenu tih mera zaštite, a posebno u odnosu na prava lica na koje se podaci odnose.

(3)        Kodeks postupanja iz stava (1) ovog člana obavezno sadrži odredbe koje omogućavaju pravnom licu ili delu pravnog lica koje može, uz ispunjavanje zahteva odgovarajućih srpskih standarda kojima su preuzeti harmonizovani standardi i dodatnih zahteva propisanih odredbama ovog zakona, da vrši kontrolu nad primenom kodeksa od strane rukovalaca ili obrađivača koji su se obavezali na primenu kodeksa.

Mišljenje Poverenika na predlog kodeksa Član 99.

(1)        Udruženja i drugi subjekti iz člana 98. stava (1) ovog zakona koji nameravaju da izrade kodeks postupanja ili da izmene postojeći kodeks, dužni su da predlog kodeksa ili njegovih izmena dostave Povereniku na mišljenje.

(2)        Mišljenje Poverenika iz stava (1) ovog člana sadrži ocenu usklađenosti predloga kodeksa postupanja ili njegovih izmena sa odredbama ovog zakona.

(3)        Kada u postupku davanja mišljenja utvrdi da predlog kodeksa sadrži dovoljne garancije za zaštitu podataka o ličnosti, Poverenik kodeks postupanja ili njegove izmene registruje i javno objavljuje na svojoj internet stranici.

Kontrola primene kodeksa postupanja Član 100.

(1)        Kontrolu primene kodeksa postupanja može da vrši pravno lice ili deo pravnog lica, akreditovanog za vršenje kontrole u skladu sa zakonom koji uređuje akreditaciju.

(2)        Postupak akreditacije pravnog lica ili dela pravnog lica iz stava (1) ovog člana sprovodi Akraditaciono telo Srbije primenom odredbi zakona kojim se uređuje akreditacija i podzakonskim aktima donetim za izvršenje ovog zakon.

(3)        Na pokretanje postupka akreditacije pravnog lica ili dela pravnog lica za vršenje kontrole primene kodeksa postupanja, kao i na mogućnost upućivanja podnosioca prijave sa sedištem u Republici Srbiji da prijavu podnese akreditacionom telu druge države, odnosno da Akreditaciono telo Srbije zatraži od akreditacionog tela druge države da izvrši jedan deo aktivnosti iz postupka akreditacije, primenjuju se odredbe člana 93. st. (2) do (4) ovog zakona.

 

(4)        Pravno lice ili deo pravnog lica iz stava (1) ovog člana može biti akreditovano ako, pored ispunjavanja zahteva odgovarajućih srpskih standarda kojima su preuzeti harmonizovani standardi za obavljanje poslova kontrolisanja, ispunjava i sledeće dodatne zahteve iz oblasti zaštite podataka o ličnosti, i to:

1)         predoči dokaze u pogledu svoje stručnosti, u odnosu na sadržinu kodeksa;

2)         predoči dokaze u pogledu svoje nezavisnosti;

3)         uspostavi postupak procene osposobljenosti rukovaoca i obrađivača za primenu kodeksa postupanja, praćenja primene kodeksa od strane rukovaoca ili obrađivača, kao i periodičnog preispitivanja njegove delotvornosti;

4)         uspostavi postupak i organ za odlučivanje o pritužbama zbog povrede kodeksa postupanja ili načina njegove primene od strane rukovaoca ili obrađivača, kao i ako obezbedi transparentnost tog postupka i organa prema javnosti i licima na koja se podaci odnose;

5)         predočilo dokaze da u vršenju njegovih ovlašćenja nema sukoba interesa.

(5)        Akreditacija iz stava (1) ovog člana izdaje se na period do pet godina, sa mogućnošću obnove ako pravno lice ili deo pravnog lica koje je akreditovano za kontrolu primene kodeksa postupanja i dalje ispunjava propisane zahteve za akreditaciju.

(6)        Vršenje kontrole iz stava (1) ovog člana ne utiče na inspekcijska i druga ovlašćenja Poverenika propisana odredbama ovog zakona.

(7)        Akreditacija se ukida ako se utvrdi da pravno lice ili deo pravnog lica akreditovanog za kontrolu primene kodeksa postupanja više ne ispunjava zahteve za akreditaciju ili ako se utvrdi da krši odredbe ovog zakona.

(8)        Poverenik donosi akt kojim se bliže razrađuju zahtevi iz stava (3) ovog člana, uključujući način dokazivanja njihove ispunjenosti i javno ga objavljuje.

Mere u slučaju povrede kodeksa postupanja Član 101.

(1)        U slučaju povrede kodeksa postupanja od strane rukovaoca ili obrađivača, pravno lice ili deo pravnog lica akreditovanog za kontrolu primene kodeksa postupanja preduzima odgovarajuće mere u propisanom postupku, uključujući i privremeno ili trajno isključenje rukovaoca, odnosno obrađivača iz primene kodeksa.

(2)        O preduzetim merama iz stava (1) ovog člana, pravno lice ili deo pravnog lica akreditovanog za kontrolu primene kodeksa postupanja je dužno da obavesti Poverenika, kao i razlozima za njihovo određivanje.

(3)        Preduzimanje mera iz stava (1) ovog člana ne utiče na ovlašćenja Poverenika propisana odredbama ovog zakona, kao i na pravo lica čija su prava povređena na podnošenje pritužbe Povereniku.

 

Glava V.

PRENOS PODATAKA O LIČNOSTI U DRUGE DRŽAVE I MEĐUNARODNE ORGANIZACIJE I OBAVEZUJUĆA POSLOVNA PRAVILA

1.         Prenos podataka u druge države i međunarodne organizacije

Opšta odredba o prenosu Član 102.

U cilju obezbeđivanja primerenog nivoa zaštite prava fizičkih lica koji je jednak nivou koji garantuje ovaj zakon, svaki prenos podataka o ličnosti, čija je obrada u toku ili su namenjeni daljoj obradi posle njihovog prenošenja u drugu državu ili međunarodnu organizaciju, može se izvršiti samo ako rukovalac i obrađivač postupaju u skladu sa uslovima propisanim ovom glavom zakona i shodnom primenom drugih odredaba ovog zakona, što obuhvata i dalji prenos podataka o ličnosti iz druge države ili međunarodne organizacije u treću državu ili međunarodnu organizaciju.

Prenos na osnovu primerenog nivoa zaštite Član 103.

(1)        Prenos podataka o ličnosti u drugu državu, na deo njene teritorije, ili u jedan ili više sektora određenih delatnosti u toj državi ili u međunarodnu organizaciju, bez prethodnog odobrenja, može se izvršiti ako je utvrđeno da ta druga država, deo njene teritorije ili jedan ili više sektora određenih delatnosti u toj državi ili ta međunarodna organizacija obezbeđuje primereni nivo zaštite podataka o ličnosti.

(2)        Smatra se da je primereni nivo zaštite iz stava (1) ovog člana obezbeđen u državama i međunarodnim organizacijama koje su članice Konvencije Saveta Evrope o zaštiti lica u odnosu na automatsku obradu ličnih podataka, odnosno u državama, na delovima njihovih teritorija ili u jednom ili više sektora određenih delatnosti u tim državama ili međunarodnim organizacijama za koje je od strane Evropske unije utvrđeno da obezbeđuju primereni nivo zaštite.

(3)        Smatra se da je obezbeđen primereni nivo zaštite i ako je sa drugom državom ili međunarodnom organizacijom zaključen međunarodni sporazum o prenosu podataka o ličnosti.

(4)        U postupku zaključivanja međunarodnog sporazuma iz stava (3) ovog člana, posebno se utvrđuje ispunjenost uslova propisanih odredbama ovog zakona za postupak donošenja odluke kojom se utvrđuje da neka država, deo njene teritorije, oblast delatnosti, odnosno

 

pravnog regulisanja ili neka međunarodna organizacija obezbeđuje, odnosno ne obezbeđuje primeren nivo zaštite podataka o ličnosti.

Odluka kojom se utvrđuje da nije obezbeđen primereni nivo zaštite Član 104.

(1)        Vlada može da utvrdi da država, deo njene teritorije, oblast delatnosti, odnosno pravnog regulisanja ili međunarodna organizacija ne obezbeđuje primereni nivo zaštite podataka o ličnosti, osim ako se radi o članicama Konvencije Saveta Evrope o zaštiti lica u odnosu na automatsku obradu ličnih podataka.

(2)        U postupku donošenja odluke iz stav (1) ovog člana, Vlada uzima u obzir, naročito:

1)         princip vladavine prava i poštovanja ljudskih prava i osnovnih sloboda u drugoj državi, tom prilikom ceneći, posebno:

a) važeće zakonodavstvo, posebno u oblasti nacionalne bezbednosti, uključujući javnu bezbednost i odbranu, krivičnog prava i pristupa organa vlasti podacima o ličnosti;

b) primenu ovih propisa, uključujući pravila o zaštiti podataka o ličnosti i profesionalnih pravila u ovoj oblasti;

v) preduzimanje mera zaštite podataka o ličnosti, uključujući pravila o daljem prenošenju podataka o ličnosti u treće države ili međunarodne organizacije, koja se primenjuju u praksi sudova i drugih organa vlasti u drugoj državi ili međunarodnoj organizaciji, kao i delotvornost ostvarivanja prava lica na koje se podaci odnose, a posebno delotvornost upravnih i sudskih postupaka zaštite prava lica čiji se podaci prenose;

2)         postojanje i delotvornost rada nadzornog tela za zaštitu podataka o ličnosti u drugoj državi ili nadzornog tela koje je nadležno za nadzor nad međunarodnom organizacijom u ovoj oblasti, tom prilikom ceneći posebno njegovo ovlašćenje da:

a) obezbedi primenu pravila o zaštiti podataka o ličnosti;

b) pokrene postupke zaštite podataka o ličnosti u slučaju njihovog nepoštovanja; v) pruži pomoć i savetuje lica na koja se podaci odnose u ostvarivanju njihovih prava

i sarađuje sa nadzornim telima drugih država;

3)         međunarodne obaveze koje je druga država ili međunarodna organizacija preuzela, uzimajući u obzir i druge obaveze koje proizilaze iz pravno obavezujućih međunarodnih ugovora ili drugih pravnih instrumenata, kao i iz članstva u multilateralnim ili regionalnim organizacijama, a posebno u pogledu zaštite podatka o ličnosti.

(3)        Vlada prati stanje u oblasti zaštite podataka o ličnosti u drugim državama, na delovima njihovih teritorija ili u jednom ili više sektora određenih delatnosti u tim državama ili u međunarodnim organizacijama, na osnovu dostupnih informacija i na

 

osnovu informacija prikupljenih od strane međunarodnih organizacija, koje su od značaja za preispitivanje postojanja primerenog nivoa zaštite.

(4)        Lista država, delova njihovih teritorija ili jednog ili više sektora određenih delatnosti u tim državama i međunarodnih organizacija u kojima se smatra da je obezbeđen primereni nivo zaštite, odnosno za koje je Vlada utvrdila da ne obezbeđuje primereni nivo zaštite objavljuje se u “Službenom glasniku Republike Srbije”.

Prenos uz primenu odgovarajućih mera zaštite Član 105.

(1)        Rukovalac ili obrađivač mogu da prenesu podatke o ličnosti u drugu državu, na deo njene teritorije ili u jedan ili više sektora određenih delatnosti u toj državi ili u međunarodnu organizaciju za koju listom iz člana 104. stav (4) ovog zakona nije utvrđeno postojanje primerenog nivoa zaštite, samo ako je rukovalac, odnosno obrađivač obezbedio odgovarajuće mere zaštite ovih podataka i ako je licu na koje se podaci odnose obezbeđena ostvarivost njegovih prava i delotvorna pravna zaštita.

(2)        Odgovarajuće mere zaštite iz stava (1) ovog člana mogu se bez posebnog odobrenja Poverenika obezbediti:

1)         pravno obavezujućim aktom sačinjenim između organa vlasti;

2)         standardnim ugovornim klauzulama izrađenim od strane Poverenika kojima se u celini uređuje pravni odnos između rukovaoca, odnosno obrađivača iz Republike Srbije koji prenosi podatke o ličnosti sa rukovaocem, odnosno obrađivačem u drugoj državi ili međunarodnoj organizaciji kojem se podaci prenose, što uključuje odnos između rukovalaca, između rukovaoca i obrađivača, između dva obrađivača i između obrađivača i rukovaoca.

3)         obavezujućim poslovnim pravilima, odobrenim od strane Poverenika u skladu sa odredbama ovog zakona;

4)         izdatim sertifikatima iz člana 91. ovog zakona, zajedno sa preuzetim obavezama primene odgovarajućih mera zaštite, uključujući i zaštitu prava lica na koje se podaci odnose, od strane rukovaoca ili obrađivača u drugoj državi ili međunarodnoj organizaciji.

5)         odobrenim kodeksom postupanja u skladu sa članom 98. ovog zakona, zajedno sa obavezujućom i sprovodivom primenom odgovarajućih mera zaštite, uključujući i zaštitu prava lica na koje se podaci odnose, od strane rukovaoca ili obrađivača u drugoj državi ili međunarodnoj organizaciji;

(3)        Poverenik izrađuje i javno objavljuje standardne ugovorne klauzule iz stava (2) tačka 2) ovog člana posebno uzimajući u obzir evropsku praksu u izradi standardnih ugovornih klauzula.

(4)        Odgovarajuće mere zaštite iz stava (1) ovog člana mogu se obezbediti i na osnovu posebnog odobrenja Poverenika:

 

1)         ugovornim odredbama između rukovalaca ili obrađivača i rukovaoca, obrađivača ili primaoca u drugoj državi ili međunarodnoj organizaciji;

2)         odredbama koje se unose u sporazum između organa vlasti, a kojima se obezbeđuje delotvorna i sprovodiva zaštita prava lica na koja se podaci odnose.

(5)        Poverenik daje odobrenje iz stava (3) ovog člana u roku od 60 dana od dana podnošenja zahteva za odobrenje.

Prenos ili otkrivanje podataka na osnovu odluke organa druge države Član 106.

Odluke suda ili upravnog organa druge države, kojima se od rukovaoca ili obrađivača u Republici Srbiji zahteva prenos ili otkrivanje podataka o ličnosti, mogu biti priznate ili izvršene u Republici Srbiji samo ako se zasnivaju na međunarodnom sporazumu, kao što je sporazum o međunarodnoj pravnoj pomoći zaključen između Republike Srbije i te druge države, što ne utiče na primenu drugih osnova za prenos u skladu sa odredbama ove glave zakona.

Prenos podataka u posebnim situacijama Član 107.

(1)        Kada se prenos podatka o ličnosti ne vrši u skladu sa odredbama čl. 103. i 105. ovog zakona, kao i kada prenos nije zasnovan na obavezujućim poslovnim pravilima koja su usvojena i primenjuju se u skladu sa odredbama ovog zakona, podaci mogu se preneti u drugu državu ili međunarodnu organizaciju samo ako se radi o jednom od sledećih slučajeva:

1)         lice na koje se podaci odnose je izričito pristalo na predloženi prenos, pošto je, zbog nepostojanja odluke o primerenom nivou zaštite i odgovarajućih mera zaštite, informisano o mogućim rizicima vezanim za taj prenos;

2)         prenos je neophodan za izvršenje ugovora između lica na koje se podaci odnose i rukovaoca ili za primenu predugovornih mera preduzetih na zahtev lica na koje se podaci odnose;

3)         prenos je neophodan za zaključenje ili izvršenje ugovora zaključenog u interesu lica na koje se podaci odnose između rukovaoca i drugog fizičkog ili pravnog lica;

4)         prenos je neophodan za ostvarivanje važnog javnog interesa propisanog zakonom Republike Srbije, pod uslovom da prenos pojedinih vrsta podataka o ličnosti ovim zakonom nije ograničen;

5)         prenos je neophodan za podnošenje, ostvarivanje ili odbranu pravnog zahteva;

6)         prenos je neophodan za zaštitu životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica, ako lice na koje se podaci odnose fizički ili pravno nije u mogućnosti da daje pristanak;

7)         vrši se prenos pojedinih podataka o ličnosti sadržanih u javnom registru, koji su dostupni javnosti ili bilo kom licu koje može da dokaže da ima opravdani interes, ali samo u meri u kojoj su ispunjeni zakonom propisani uslovi za uvid u tom posebnom slučaju.

 

(2)        Prenos podataka iz stava (1) tačka 7) ovog člana ne može da se odnosi na sve podatke o ličnosti ili na cele vrste podataka o ličnosti iz registra.

(3)        Ako se prenose podaci iz registra koji su dostupni samo licu koje ima opravdani interes, u skladu sa stavom (1) tačka 7) ovog člana, prenos se može izvršiti samo na zahtev tog lica ili ako je to lice primalac podataka.

(4)        Odredbe stava (1) tač. 1) do 3) ne primenjuju se na aktivnosti organa vlasti u vršenju njihovih nadležnosti.

Prenos podataka u izuzetnim slučajevima Član 108.

(1)        Ako se prenos podataka o ličnosti ne može izvršiti u skladu sa čl. 103, 105. i

107. ovog zakona, podaci o ličnosti se mogu preneti u drugu državu ili međunarodnu organizaciju samo ako su zajedno ispunjeni sledeći uslovi:

1)         prenos podataka se ne ponavlja;

2)         prenose se podaci ograničenog broja fizičkih lica;

3)         prenos je neophodan u cilju ostvarivanja legitimnog interesa rukovaoca koji preteže nad interesima, odnosno pravima ili slobodama lica na koje se podaci odnose;

4)         rukovalac je obezbedio primenu odgovarajućih mera zaštite podataka o ličnosti na osnovu prethodne procene svih okolnosti u vezi sa prenosom ovih podataka.

(2)        Rukovalac, odnosno obrađivač dužni su da u evidenciji o radnjama obrade iz čl.

74. i 75. ovog zakona obezbede dokaz o izvršenoj proceni i primeni odgovarajućih mera zaštite iz stava (1) tačka 4) ovog člana.

(3)        Rukovalac je dužan da obavesti Poverenika o prenosu podataka izvršenom u skladu sa stavom (1) ovog člana.

(4)        Rukovalac je dužan da licu na koje se podaci odnose, uz informacije iz čl. 22. do

25. ovog zakona, pruži i informaciju o prenosu podataka iz stava (1) ovog člana, uključujući i informaciju o tome koji se legitimni interes rukovaoca ostvaruje takvim prenosom.

(5)        Odredbe stava (1) ovog člana ne primenjuju se na aktivnosti organa vlasti u vršenju njihovih nadležnosti.

Međunarodna saradnja u vezi sa zaštitom podataka o ličnosti Član 109.

Poverenik preduzima odgovarajuće mere u odnosima sa organima nadležnim za zaštitu podataka o ličnosti u drugim državama i međunarodnim organizacijama u cilju:

1)         razvoja mehanizama međunarodne saradnje za olakšavanje delotvorne primene zakona koji se odnose na zaštitu podataka o ličnosti;

2)         obezbeđivanja međunarodne uzajamne pomoći u primeni zakona koji se odnose na zaštitu podataka o ličnosti, uključujući i obaveštavanje, upućivanje na postupke zaštite

 

i pravne pomoći u vršenju nadzora, kao i razmenu informacija, pod uslovom da su preduzete odgovarajuće mere zaštite podataka o ličnosti i osnovnih prava i sloboda;

3)         angažovanja zainteresovanih strana u raspravama i aktivnostima koje su usmerene na razvoj međunarodne saradnje u primeni zakona koji se odnose na zaštitu podataka o ličnosti;

4)         podsticanja i unapređivanja razmene informacija o zakonodavstvu koje se odnosi na zaštitu podataka o ličnosti i njegovoj primeni, uključujući i pitanja sukoba nadležnosti sa drugim državama u ovoj oblasti.

2.         Obavezujuća poslovna pravila

Uslovi za obavezujuća poslovna pravila Član 110.

(1)        Multinacionalno privredno društvo ili grupe privrednih subjekata mogu usvojiti i primenjivati obavezujuća poslovna pravila u cilju efikasnije primene ovog zakona kod prenosa podataka o ličnosti rukovaocu ili obrađivaču u jednoj ili više država unutar multinacionalnog privrednog društva ili grupe privrednih subjekata.

(2)        Obavezujuća poslovna pravila iz stava (1) ovog člana odobrava Poverenik, ako zajedno ispunjavaju sledeće uslove:

1)         pravno su obavezujuća i sprovode se od strane svakog člana multinacionalnog privrednog društva ili grupe privrednih subjekata, uključujući i njihove zaposlene;

2)         izričito obezbeđuju ostvarivanje prava lica na koja se podaci odnose u vezi sa obradom njihovih podataka;

3)         ispunjavaju odgovarajuće zahteve u pogledu predmeta regulisanja.

(3)        Ako su ispunjeni uslovi iz stava (2) ovog člana, Poverenik odobrava obavezujuća poslovna pravila u roku od 60 dana od dana podnošenja zahteva za njihovo odobrenje.

Predmet regulisanja obavezujućim poslovnim pravilima Član 111.

(1)        Obavezujućim poslovnim pravilima iz člana 110. stava (1) ovog zakona najmanje se

mora odrediti:

1)         struktura i kontakt podaci multinacionalnog privrednog društva ili grupe privrednih subjekata, kao i svakog od njihovih članova;

2)         podatke o ličnosti ili grupe podataka o ličnosti koji se prenose, što uključuje vrste podataka o ličnosti, vrste radnji obrade i njihovu svrhu, vrste lica na koje se podaci odnose i naziv države u koju se podaci prenose;

3)         obaveznost primene obavezujućih poslovnih pravila, kako u okviru multinacionalnog privrednog društva ili grupe privrednih subjekata, tako i izvan njih;

4)         primena opštih načela zaštite podataka o ličnosti, a naročito ograničenja svrhe obrade, minimizacija podataka, ograničenje čuvanja, integritet podataka, mere stalne

 

zaštite podataka, pravni osnov za obradu, obrade posebnih vrsta podataka o ličnosti, mere bezbednosti i uslovi za dalji prenos podataka o ličnosti drugim licima ili telima koja nisu obavezana obavezujućim poslovnim pravilima;

5)         prava lica na koja se podaci odnose u odnosu na obradu i načine ostvarivanja tih prava u skladu sa odredbama ovog zakona, uključujući i prava u vezi sa automatizovanim donošenjem pojedinačnih odluka i profilisanjem, pravo na podnošenje pritužbe Povereniku, odnosno tužbe sudu, kao i pravo na naknadu štete zbog povrede obavezujućih poslovnih pravila;

6)         prihvatanje odgovornosti rukovaoca, odnosno obrađivača sa prebivalištem, boravištem, odnosno odobrenim boravkom ili sedištem na teritoriji Republike Srbije za povredu ovih pravila koju je učinio drugi član grupe koji nema prebivalište, boravište, odnosno odobren boravak ili sedište na teritoriji Republike Srbije, osim ako rukovalac ili obrađivač dokaže da taj drugi član grupe nije odgovoran za događaj koji je prouzrokovao štetu;

7)         način na koji se licu na koje se podaci odnose pružaju informacije o obavezujućim poslovnim pravilima, a posebno o odredbama tač. 4) do 6) ovog stava, uz pružanje drugih informacija iz čl. 21. do 24. ovog zakona, koje obradu čine transparentnom;

8)         ovlašćenja lica za zaštitu podataka o ličnosti, određenog u skladu sa članom 90. ovog zakona, ili bilo kog drugog lica koje je ovlašćeno za nadzor nad primenom obavezujućih poslovnih pravila unutar multinacionalnog privrednog društva ili grupe privrednih subjekata, uključujući i nadzor nad obukom i odlučivanje o pritužbama unutar multinacionalnog privrednog društva ili grupe;

9)         postupak koji se sprovodi po pritužbama;

10)       mehanizam provere postupanja u skladu sa obavezujućim poslovnim pravilima unutar multinacionalnog privrednog društva ili grupe privrednih subjekata, koji naročito uključuje:

a) reviziju zaštite podataka o ličnosti i korektivne mere za zaštitu prava lica na koje se podaci odnose;

b) obavezu saopštavanja rezultata provere licu za zaštitu podataka o ličnosti, upravljačkom organu multinacionalnog privrednog društva ili grupe privrednih subjekata, kao i njihovo stavljanje na raspolaganje Povereniku, na njegov zahtev;

11)       način izveštavanja i vođenja evidencije o promenama obavezujućih poslovnih pravila i način obaveštavanja Poverenika o tim promenama;

12)       način saradnje sa Poverenikom u cilju obezbeđenja primene obavezujućih poslovnih pravila od strane svakog člana multinacionalnog privrednog društva ili grupe privrednih subjekata pojedinačno, a posebno način na koji se Povereniku stavljaju na raspolaganje rezultati provere iz tačke 10) podtačka b) ovog stava;

13)       način izveštavanja Poverenika o pravnim obavezama koje se primenjuju prema članu multinacionalnog privrednog društva ili grupe privrednih subjekata u drugoj

 

državi, a koji bi mogli imati značajan štetan uticaj na garancije propisane obavezujućim poslovnim pravilima;

14)       odgovarajuća obuka za zaštitu podataka o ličnosti lica koja imaju trajan ili redovan pristup podacima o ličnosti.

(2)        Poverenik može bliže urediti način razmene informacija između rukovalaca, obrađivača i Poverenika u primeni odredbi stava (1) ovog člana.

Deo drugi

OBRADA PODATAKA O LIČNOSTI NADLEŽNIH ORGANA U POSEBNE SVRHE

Glava VI. OBRADA PODATAKA

1.         Opšte odredbe

Odredbe zakona koje se primenjuju Član 112.

(1)        Kod obrade podataka o ličnosti koju vrše nadležni organi u posebne svrhe, primenjuju se odredbe čl. 112. do 149. ovog zakona.

(2)        Na pitanja obrade podataka o ličnosti od strane nadležnih organa u posebne svrhe, koja nisu uređena odredbama čl. 112. do 149. ovog zakona, shodno se primenjuju odrebe sadržane u glavi I. do V. ovog zakona.

(3)        Kada organi iz stava (1) ovog člana obrađuju podatke o ličnosti u svrhe koje nisu posebne primenjuju ostale odredbe ovog zakona.

Zakonitost obrade Član 113.

(1)        Obrada koju vrši nadležni organ u posebne svrhe je zakonita samo ako je ta obrada neophodna za obavljanje poslova nadležnog organa i ako je propisana zakonom.

(2)        Zakonom iz stava (1) ovog člana se određuju najmanje ciljevi obrade, podaci o ličnosti koji se obrađuju i svrha obrade.

Čuvanje podataka i rokovi Član 114.

(1)        Kod obrade podataka o ličnosti od strane nadležnog organa u posebne svrhe, mora se odrediti rok kada će se ti podaci izbrisati, odnosno rok za periodičnu ocenu potrebe njihovog čuvanja.

(2)        Ako rok iz stava (1) ovog člana nije određen zakonom, određuje ga rukovalac.

 

(3)        Poverenik nadzire poštovanje rokova iz st. (1) i (2) ovog člana u skladu sa svojim ovlašćenjima propisanim ovim zakonom.

2.         Posebni slučajevi obrade od strane nadležnih organa

Obrada posebno osetljivih podataka Član 115.

Obrada koju vrši nadležni organ u posebne svrhe, čiji su predmet posebno osetljivi podaci o ličnosti iz člana 32. stav (2) ovog zakona, dopuštena je samo ako je to neophodno, uz primenu odgovarajućih mera zaštite prava lica na koje se podaci odnose, u jednom od sledećih slučajeva:

1)         nadležni organ je zakonom ovlašćen da obrađuje posebno osetljive podatake o ličnosti;

2)         obrada posebno osetljivih podataka o ličnosti vrši se u cilju zaštite životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica;

3)         obrada se odnosi na posebno osetljive podatake o ličnosti koje je lice na koje se oni odnose očigledno učinilo dostupnim javnosti.

Obrada genetičkih i biometrijskih podataka Član 116.

(1)        Obrada genetičkih i biometrijskih podataka od strane nadležnih organa u

posebne svrhe, u cilju jedinstvene identifikacije lica nije dopuštena, osim u slučajevima propisanim zakonom u svrhu zaštite javnog interesa u demokratskom društvu.

(2)        Zakonom iz stava (1) ovog člana uzimaju se u obzir sledeći kriterijumi: da se ovaj interes ne može zaštititi na drugi način, da interes ostvarivanja svrhe obrade preteže nad interesom zaštite osnovnih prava i sloboda lica na koje se podaci odnose i da je obim podataka koji se obrađuju srazmeran u odnosu na svrhu obrade.

(3)        Zakonom iz stava (1) ovog člana određuju se rukovaoci, svrhe obrade i propisuju ciljevi obrade, podaci o ličnosti koji se obrađuju i način njihove obrade, primaoci podataka, mere bezbednosti podataka, rokovi čuvanja, brisanje podataka, kao i mere zaštite osnovnih prava i interesa lica na koje se podaci odnose.

(4)        Zabranjena je daljinska, masovna i neselektivna biometrijska identifikacija lica upotrebom sistema video nadzora.

Obrada u druge svrhe Član 117.

(1)        Podaci o ličnosti koji su prikupljeni od strane nadležnog organa u posebne svrhe ne mogu se obrađivati u svrhu koja je različita od svrhe za koju su podaci prikupljeni, osim ako je ta dalja obrada propisana zakonom.

(2)        Obrada u posebne svrhe iz stava (1) ovog člana dozvoljena je ako su zajedno ispunjeni sledeći uslovi:

 

1)         rukovalac je ovlašćen da obrađuje te podatke o ličnosti u takve druge svrhe, u skladu sa zakonom;

2)         obrada je neophodna i srazmerna toj drugoj svrsi, u skladu sa zakonom.

(3)        Obrada koju vrši nadležni organ u posebne svrhe može da obuhvati arhiviranje podataka o ličnosti u javnom interesu, odnosno njihovo korišćenje u naučne, statističke ili istorijske svrhe, pod uslovom da se primenjuju odgovarajuće tehničke, organizacione i kadrovske mere u cilju zaštite prava i sloboda lica na koje se podaci odnose.

Provera kvaliteta podataka o ličnosti i njihov prenos Član 118.

(1)        Nadležni organ koji obrađuje podatke o ličnosti u posebne svrhe je dužan da korišćenjem razumnih mera obezbedi da se netačni, nepotpuni i neažurirani podaci o ličnosti ne prenose, odnosno da ne budu dostupni.

(2)        Tačnost, potpunost i ažuriranost podataka o ličnosti nadležni organ proverava, u meri u kojoj je to moguće, pre započinjanja prenosa, odnosno pre nego što se ti podaci učine dostupnim.

(3)        Nadležni organ koji drugom nadležnom organu prenosi podatke o ličnosti koji se obrađuju u posebne svrhe dužan je da mu, u meri u kojoj je to moguće, dostavi i informacije koje su neophodne za ocenu stepena tačnosti, potpunosti, proverenosti, odnosno pouzdanosti podataka o ličnosti, kao i da mu dostavi obaveštenje o ažuriranosti tih podataka.

(4)        Ako su preneti netačni podaci o ličnosti, odnosno ako su podaci o ličnosti preneti nezakonito, nadležni organ koji prenosi podatke o tome bez odlaganja obaveštava primaoca, a preneti podaci moraju biti ispravljeni ili izbrisani, odnosno njihova obrada mora biti ograničena u skladu sa ovim zakonom.

(5)        Kada se za obradu zakonom zahtevaju posebni uslovi, nadležni organ koji prenosi podatke o ličnosti koji se obrađuju u posebnu svrhu dužan je da upozna primaoca podataka sa tim posebnim uslovima, kao i obavezom njihovog ispunjenja.

3.         Razlikovanje kategorija lica i vrsta podataka

Kategorije lica na koje se podaci odnose Član 119.

Kada se radi o podacima o ličnosti koje obrađuje nadležni organ u posebne svrhe, rukovalac je dužan da prilikom njihove obrade, ako je to moguće, napravi jasnu razliku između podataka koji se odnose na pojedine kategorije lica o kojima se podaci obrađuju, kao što su:

1)         lica protiv kojih postoje osnovi sumnje da su izvršila ili nameravaju da izvrše krivično delo;

2)         lica protiv kojih postoji osnovana sumnja da su izvršila krivično delo;

 

3)         lica koja su osuđena za krivično delo;

4)         lica oštećena krivičnim delom ili lica za koja se pretpostavlja da bi mogla biti oštećena krivičnim delom;

5)         druga lica koja su u vezi sa krivičnim delom, kao što su svedoci, lica koja mogu da obezbede informacije o krivičnom delu, povezana lica ili saradnici sa licem iz tač.

1)         do 3) ovog člana.

Vrsta podataka o ličnosti koji se obrađuju Član 120.

Kada se radi o podacima o ličnosti koje obrađuje nadležni organ u posebne svrhe, rukovalac je dužan da, u meri u kojoj je to moguće, podatke o ličnosti koji su zasnovani isključivo na činjeničnom stanju jasno izdvoji od podataka o ličnosti koji su zasnovani na ličnoj oceni.

Glava VII. PRAVA LICA

1.         Informisanje i načini ostvarivanja prava lica na koje se odnose podaci

Osnovna odredba Član 121.

(1)        Kada obradu vrši nadležni organ u posebne svrhe, rukovalac je dužan da preduzme razumne mere da bi licu na koje se podaci odnose pružio informacije u vezi sa obradom njegovih podataka o ličnosti, odnosno informacije u vezi sa ostvarivanjem prava povodom obrade podataka o ličnosti, propisane odredbama ove glave zakona.

(2)        Informacije iz stava (1) ovog člana rukovalac pruža na bilo koji primeren način, uključujući i elektronskim putem, korišćenjem jasnih i jednostavnih reči, koje omogućavaju sažeto, razumljivo i lako dostupno informisanje o obradi podataka o ličnosti, odnosno pravima lica čiji se podaci obrađuju.

(3)        Po pravilu, rukovalac iz stava (1) ovog člana pruža informacije na način na koji je zahtev dostavljen, odnosno u obliku u kojem je sadržan zahtev lica na koje se podaci odnose.

(4)        Rukovalac iz stava (1) ovog člana dužan je da pruži pomoć licu na koje se podaci odnose u ostvarivanju njegovih prava povodom obrade podataka o ličnosti propisanih odredbama ove glave zakona.

 

Rok za pružanje informacija po zahtevu i troškovi Član 122.

(1)        Kada obradu vrši nadležni organ u posebne svrhe, rukovalac je dužan da licu na koje se podaci odnose bez odlaganja, u pismenom obliku, pruži informacije o postupanju po njegovom zahtevu iz člana 121. stav (3) ovog zakona.

(2)        Rukovalac iz stava (1) ovog člana pruža informacije, odnosno postupa po zahtevu za ostvarivanje prava lica čiji se podaci obrađuju u skladu sa odredbama ove glave zakona, bez naknade.

(3)        Ako je zahtev lica na koje se podaci odnose iz stava (2) ovog člana očigledno neosnovan ili preteran, a posebno ako se isti zahtev učestalo ponavlja, rukovalac može da:

1)         naplati nužne administrativne troškove pružanja informacije, odnosno postupanja po zahtevu;

2)         odbije da postupi po zahtevu.

(4)        Teret dokazivanja da je zahtev očigledno neosnovan ili preteran leži na rukovaocu.

(5)        Ako rukovalac iz stava (1) ovog člana opravdano sumnja u identitet lica koje je podnelo zahtev za pristup podacima, za ispravku, dopunu, ažuriranje ili brisanje podataka, kao i za ograničenje obrade, rukovalac može da zahteva dostavljanje dodatnih informacija neophodnih za potvrdu identiteta tog lica.

Informacije koje se stavljaju na raspolaganje licu na koje se podaci odnose Član 123.

(1)        Kada obradu vrši nadležni organ u posebne svrhe, rukovalac je dužan da licu na

koje se podaci o ličnosti odnose stavi na raspolaganje ili pruži najmanje sledeće informacije:

1)         o nazivu i kontakt podacima rukovaoca;

2)         kontakt podatke lica za zaštitu podataka o ličnosti, ako je ono određeno;

3)         o svrsi nameravane obrade;

4)         o pravu da se podnese pritužba Povereniku i kontakt podatke Poverenika;

5)         o postojanju prava da se od rukovaoca zahteva pristup, ispravka, dopuna, ažuriranje ili brisanje njegovih podataka o ličnosti, odnosno postojanju prava na ograničenje obrade tih podataka.

(2)        Kada je u određenim slučajevima za ostvarivanje prava lica na koje se podaci odnose to neophodno, rukovalac je dužan da licu, uz informacije iz stava (1) ovog člana, pruži sledeće dodatne informacije:

1)         o pravnom osnovu za obradu;

 

2)         o roku čuvanja podataka o ličnosti ili, ako to nije moguće, o kriterijumima za njegovo određivanje;

3)         o grupi primalaca podataka o ličnosti, ako oni postoje, uključujući i one u drugim državama ili međunarodnim organizacijama;

4)         druge podatke, ako je to neophodno, a posebno ako su podaci o ličnosti prikupljeni bez znanja lica na koje se odnose.

Ograničenje pružanja informacija Član 124.

(1)        Kada obradu vrši nadležni organ u posebne svrhe, rukovalac može uskratiti informacije iz člana 123. ovog zakona koje se odnose na pojedine vrste obrade, odnosno pružiti ih u ograničenom obimu ili naknadno licu na koje se podaci o ličnosti odnose, samo u onoj meri i u onom trajanju dok je to neophodno i srazmerno u demokratskom društvu u odnosu na poštovanje osnovnih prava i legitimnih interesa fizičkih lica, kako bi se:

1)         izbeglo ometanje zakonom uređenog prikupljanja informacija;

2)         omogućilo sprečavanje, istraga i otkrivanje krivičnih dela i prekršaja, gonjenje njihovih učinilaca, vođenje postupka ili izvršenje izrečenih sankcija;

3)         zaštitila nacionalna bezbednost, a naročito odbrana zemlje, obavljanje bezbednosno-obaveštajnih poslova, kao i unutrašnja bezbednost, uključujući javnu bezbednost;

4)         zaštitila prava i slobode drugih lica.

(2)        Zakonom se mogu odrediti vrste obrade koje, u celini ili delimično, mogu biti obuhvaćene nekim od slučajeva iz stava (1) ovog člana.

2.         Prava lica na koje se podaci o ličnosti odnose

Pravo na pristup podacima Član 125.

(1)        Kada podatke o ličnosti obrađuje nadležni organ u posebne svrhe, lice na koje se podaci odnose ima pravo da od rukovaoca dobije informaciju o tome da li obrađuje njegove podatke o ličnosti i pristup tim podacima, u slučaju njihove obrade.

(2)        Ako rukovalac iz stava (1) ovog člana obrađuje podataka o ličnosti, lice na koje se podaci odnose ima, pored prava pristupa tim podacima, pravo da mu se učine dostupnim i informacije iz člana 54. stav (2) tač. 1) do 7) ovog zakona.

(3)        Pravo na pristup iz stava (1) ovog člana može se ograničiti, u celini ili delimično, samo u onoj meri i u onom trajanju u kome je takvo delimično ili potpuno ograničenje neophodno i predstavlja srazmernu meru u demokratskom društvu, uz poštovanje osnovnih prava i legitimnih interesa lica čiji se podaci obrađuju, kako bi se zaštitio javni interes iz člana 124. stav (1) ovog zakona.

 

(4)        Zakonom se mogu odrediti vrste obrade koje, u celini ili delimično, mogu biti obuhvaćene ograničenjem u nekim od slučajeva zaštite javnog interesa iz člana 124. stav

(1) ovog zakona.

(5)        Rukovalac je dužan da pismeno obavesti lice na koje se podaci odnose da je pristup njegovim podacima o ličnosti odbijen ili ograničen, kao i o razlozima za odbijanje ili ograničenje, bez nepotrebnog odlaganja, a najkasnije u roku od 15 dana od dana prijema zahteva za pristup podacima.

(6)        Rukovalac nije dužan da postupi u skladu sa stavom (5) ovog člana ako bi se time dovelo u pitanje ostvarivanje svrhe zbog koje je pristup odbijen ili ograničen.

(7)        U slučaju iz stava (6) ovog člana, kao i u slučaju ako se u postupku po zahtevu za pristup podacima utvrdi da se podaci o ličnosti podnosioca zahteva ne obrađuju, rukovalac ima obavezu da bez nepotrebnog odlaganja, a najkasnije u roku od 15 dana od dana prijema zahteva, pismeno obavesti podnosioca zahteva da je proverom utvrđeno da ne obrađuje podatke o ličnosti u vezi kojih se mogu ostvariti prava predviđena zakonom, kao i da se može pritužbom obratiti Povereniku, odnosno tužbom sudu.

(8)        Rukovalac je dužan da dokumentuje činjenične i pravne razloge za ograničenje prava na pristup podacima, koji moraju biti stavljeni na raspolaganje Povereniku, na njegov zahtev.

Pravo na ispravku, brisanje ili ograničenje obrade Član 126.

(1)        Kada obradu vrši nadležni organ u posebne svrhe, lice na koje se podaci odnose ima pravo da zahteva da se njegovi netačni, nepotpuni ili neažurirani podaci o ličnosti bez nepotrebnog odlaganja isprave, dopune ili ažuriraju, odnosno da se izbrišu ili ograniči njihova obrada od strane rukovaoca.

(2)        Rukovalac iz stava (1) ovog člana dužan je da bez nepotrebnog odlaganja izbriše podatke ako su obradom povređene odredbe ovog zakona kojima se uređuju načela obrade, zakonitost obrade od strane nadležnih organa u posebne svrhe i obrada posebno osetljivih podataka o ličnosti od strane nadležnih organa u posebne svrhe ili ako podaci o ličnosti moraju biti izbrisani zbog ispunjenja zakonske obaveze rukovaoca.

(3)        Rukovalac iz stava (1) ovo člana dužan je da ograniči obradu, umesto da izbriše podatke o ličnosti, ako se radi o jednom od sledećih slučajeva:

1)         tačnost podataka o ličnosti je osporena od strane lica na koje se podaci odnose, a njihova tačnost, odnosno netačnost se ne može utvrditi;

2)         podaci o ličnosti moraju biti sačuvani u cilju prikupljanja i obezbeđivanja dokaza.

(4)        Ako je obrada ograničena u skladu sa stavom (3) tačka 1) ovog člana, rukovalac je dužan da informiše lice na koje se podaci odnose o prestanku ograničenja, pre nego što ograničenje prestane da važi.

 

Pravo na obaveštenje u vezi sa ispravkom ili brisanjem podataka i ograničenjem obrade

Član 127.

(1)        Kada obradu podataka o ličnosti vrši nadležni organ u posebne svrhe, rukovalac je dužan da pismeno obavesti lice na koje se podaci odnose o odbijanju ispravljanja, dopune, ažuriranja ili brisanja njegovih podataka o ličnosti, odnosno ograničavanju obrade, kao i o razlozima za to odbijanje.

(2)        Rukovalac je potpuno ili delimično oslobođen obaveze obaveštavanja iz stava (1) ovog člana u onoj meri u kojoj takvo ograničenje predstavlja neophodnu i srazmernu meru u demokratskom društvu, uz dužno poštovanje osnovnih prava i legitimnih interesa lica čiji se podaci obrađuju, kako bi se zaštitio javni interes iz člana 124. stav (1) ovog zakona.

(3)        U slučaju iz st. (1) i (2) ovog člana, rukovalac je dužan da informiše lice na koje se podaci odnose da se može pritužbom obratiti Povereniku, odnosno tužbom sudu.

(4)        Rukovalac iz stava (1) ovog člana dužan je da o ispravci netačnih podataka obavesti drugi nadležni organ, ako su ovi podaci dobijeni od tog organa.

(5)        Kada su podaci o ličnosti ispravljeni, dopunjeni, ažurirani, izbrisani ili je njihova obrada ograničena u skladu sa članom 55. i članom 126. st. (2) i (3) ovog zakona, rukovalac je dužan da primaoce podataka obavesti o tome.

(6)        Primaoci podataka koji su obavešteni u skladu sa stavom (5) ovog člana dužni su da podatke koji se kod njih nalaze isprave, dopune, ažuriraju, odnosno izbrišu ili ograniče njihovu obradu.

Provera Poverenika Član 128.

(1)        U slučajevima ograničenja prava iz člana 124. stav (1), člana 125. st. (5) i (6) i člana 127. stav (2) ovog zakona, prava lica na koje se podaci odnose mogu se ostvariti i preko Poverenika, u skladu sa njegovim ovlašćenjima propisanim ovim zakonom.

(2)        Rukovalac je dužan da obavesti lice na koje se podaci odnose da u slučajevima iz stava (1) ovog člana može da ostvari svoja prava preko Poverenika.

(3)        Ako se, u slučajevima iz stava (1) ovog člana, prava lica na koje se podaci odnose ostvaruju preko Poverenika, Poverenik je dužan da obavesti to lice najmanje o tome da je izvršena provera ili nadzor nad obradom njegovih podataka o ličnosti, kao i o pravu da se za zaštitu svojih prava može obratiti sudu.

Automatizovano donošenje pojedinačnih odluka i profilisanje Član 129.

(1)        Zabranjeno je donošenje odluke isključivo na osnovu automatizovane obrade podataka o ličnosti koju vrši nadležni organ u posebne svrhe, uključujući i

 

profilisanje, ako takva odluka može da proizvede štetne pravne posledice po lice na koje se podaci odnose ili značajno utiče na položaj tog lica.

(2)        Izuzetno, dozvoljeno je donošenje odluke iz stava (1) ovog člana pod uslovom da je takvo odlučivanje zasnovano na zakonu i ako su tim zakonom propisane odgovarajuće mere zaštite prava i sloboda lica na koje se podaci odnose, a najmanje pravo da se obezbedi učešće fizičkog lica, pod kontrolom rukovaoca, u donošenju odluke.

(3)        Odluka iz stava (2) ovog člana ne može se zasnivati na posebno osetljivim podacima o ličnosti iz člana 115. ovog zakona, osim ako se primenjuju odgovarajuće mere zaštite prava, sloboda i legitimnih interesa lica na koje se podaci odnose.

(4)        Zabranjeno je profilisanje koje dovodi do diskriminacije fizičkih lica na osnovu posebno osetljivih podataka o ličnosti iz člana 115. ovog zakona.

Glava VIII.

NADLEŽNI ORGANI U ULOZI RUKOVAOCA I OBRAĐIVAČA

1.         Rukovalac, zajednički rukovaoci i obrađivač

Obaveze Član 130.

(1)        Na obaveze nadležnog organa, kada obrađuje podatke o ličnosti u posebne svrhe, u pogledu dužnosti preduzimanja odgovarajućih tehničkih, organizacionih i kadrovskih mera kako bi obezbedio da se obrada vrši u skladu sa ovim zakonom, uključujući i mogućnost da predoči ispunjenja ovih obaveza, primenjuju se odredbe čl. 67. i 69. ovog zakona, kojima se uređuju obaveze rukovaoca, odnosno obrađivača.

(2)        Rukovalac, odnosno obrađivač ne mogu se u cilju predočavanja ispunjenosti obaveza iz stava (1) ovog člana pozivati na primenu izdatog sertifikata iz člana 91. ovog zakona ili odobrenog kodeksa postupanja iz člana 98. ovog zakona.

Nadležni organi kao zajednički rukovaoci Član 131.

(1)        Kada dva ili više nadležnih organa, koji obrađuju podatke o ličnosti u posebne svrhe, zajednički određuju svrhu i način obrade, na njih se primenjuju odredbe člana 68. ovog zakona, kojima se uređuju zajednički rukovaoci.

(2)        Kada odgovornost svakog od zajedničkih rukovalaca iz stava (1) ovog člana za poštovanje obaveza uređenih ovim zakonom nije propisana zakonom koji se primenjuje na rukovaoca, zajednički rukovaoci sporazumom određuju ovu odgovornost.

(3)        Sporazum zajedničkih rukovalaca iz stava (2) ovog člana ne sadrži odredbe o određivanju lica za kontakt sa licem na koje se podaci odnose,uređenju odnosa svakog od zajedničkih rukovalaca sa tim licem, kao i o dostupnosti suštine ovog sporazuma tom licu.

 

Odnos nadležnog organa kao rukovaoca prema obrađivaču

Član 132.

(1)        Nadležni organ u statusu rukovaoca koji obrađuju podatke o ličnosti u posebne svrhe, može da odredi obrađivača koji vrši obradu u njegovo ime, u kom slučaju se primenjuju odredbe čl. 69. do 71. ovog zakona, kojima se uređuju obaveze obrađivača, pravna uređenost obrade od strane obrađivača i pravna uređenost obrade od strane drugog obrađivača, ako odredbama ovog člana nije drugačije propisano.

(2)        Rukovalac iz stava (1) ovog člana može za obrađivača odrediti samo ono lice ili organ vlasti koji u potpunosti garantuje primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera, na način koji obezbeđuje da se obrada vrši u skladu sa odredbama ovog zakona i da se obezbeđuje zaštita prava lica na koje se podaci odnose.

(3)        Obrada od strane obrađivača iz stava (1) ovog člana mora biti uređena ugovorom ili drugim pravno obavezujućim aktom, kojim se propisuje se da je obrađivač dužan da:

1)         obrađuje podatke o ličnosti samo na osnovu uputstava rukovaoca;

2)         obezbedi da se lice koje je ovlašćeno da obrađuje podatke obavezalo na čuvanje poverljivosti podataka ili da to lice podleže zakonskoj obavezi čuvanja poverljivosti podataka;

3)         pomaže na odgovarajući način rukovaocu u ispunjavanju njegove obaveze poštovanja odredbi o pravima lica na koje se podaci odnose iz čl. 125. do 129. ovog zakona;

4)         posle okončanja ugovorenih radnji obrade, a na osnovu odluke rukovaoca, izbriše ili mu vrati sve podatke o ličnosti i izbriše sve kopije ovih podataka, osim ako je zakonom propisana obaveza čuvanja podataka;

5)         učini dostupnim rukovaocu sve informacije koje su neophodne za predočavanje ispunjenosti obaveza obrađivača propisanih ovim članom;

6)         Obezbedi poštovanje uslova iz člana 69. st. (3) i (4) ovog zakona u pogledu ovlašćenja za poveravanja obrade drugom obrađivaču i informisanja rukovaoca o nameri poveravanja obrade drugom obrađivaču, kao i uslova iz člana 70. st. (1) i (2) ovog zakona u pogledu forme i sadržine posebnog ugovora ili drugog pravno obavezujućeg akta, ako poverava obradu drugom obrađivaču.

(4)        Pravni odnos između rukovaoca i obrađivača koji se uređuje u skladu sa stavom

(3) ovog člana, ne može biti zasnovan na standardnim ugovornim klauzulama iz člana 70. stav (4) ovog zakona, uključujući i one koje su vezane za sertifikat koji je izdat rukovaocu ili obrađivaču u skladu sa članom 97. stav (2) ovog zakona.

(5)        Obrađivač iz stava (1) ovog člana ne može se pozivati na primenu izdatog sertifikata iz člana 91. ovog zakona ili odobrenog kodeksa postupanja iz člana 98. ovog zakona, kako bi predočio da ispunjava obaveze pružanja garancija iz stava (2) ovog člana.

 

2.         Evidencija radnji obrade nadležnih organa

Evidencija rukovaoca Član 133.

(1)        Kada obradu podataka o ličnosti vrši nadležni organ u posebne svrhe, rukovalac je dužan da vodi evidenciju o svim vrstama radnji obrade za koje je odgovoran.

(2)        Na sadržinu evidencija iz stava (1) ovog člana shodno se primenjuju odredbe člana 74. ovog zakona.

(3)        Pored podataka iz člana 74. ovog zakona, evidencija radnji obrade nadležnog organa kada obrađuje podatke o ličnosti u posebne svrhe, sadrži i informacije o:

1)         korišćenju profilisanja, ako se profilisanje koristi;

2)         vrstama prenosa podataka o ličnosti u druge države ili međunarodne organizacije, ako se takav prenos podataka o ličnosti vrši;

3)         pravnom osnovu za postupak obrade, uključujući i prenos podataka o ličnosti.

Evidencija obrađivača Član 134.

(1)        Kada obradu vrši nadležni organ u posebne svrhe, svaki obrađivač je dužan da vodi evidenciju o svim vrstama radnji obrade koje se vrše u ime rukovaoca.

(2)        Na sadržinu evidencija iz stava (1) ovog člana shodno se primenjuju odredbe člana 75. ovog zakona.

Beleženje radnji obrade u sistemima za automatizovanu obradu podataka Član 135.

(1)        Nadležni organ koji obrađuje podatke u posebne svrhe dužan je da obezbedi da se prilikom upotrebe sistema automatizovane obrade podataka o ličnosti u tom sistemu beleže najmanje sledeće radnje obrade: unos, menjanje, uvid, otkrivanje, uključujući i prenos, upoređivanje i brisanje.

(2)        Beleženje uvida i otkrivanja podataka o ličnosti iz stava (1) ovog člana mora da omogući utvrđivanje razloga za vršenje ovih radnji obrade, datuma i vremena preduzimanja radnji obrade i, ako je to moguće, identiteta lica koje je izvršilo uvid ili otkrilo podatke o ličnosti, kao i identiteta primaoca ovih podataka.

(3)        Beleženje iz stava (1) ovog člana može biti korišćeno isključivo u svrhu ocene zakonitosti obrade, internog nadzora, obezbeđivanja integriteta i bezbednosti podataka, kao i pokretanja i vođenja krivičnog postupka.

 

Rok čuvanja i dostavljanje podataka Povereniku

Član 136.

(1)        Evidencije iz čl. 133. i 134. ovog zakona, vode se u pismenom obliku, što obuhvata i elektronski oblik i čuvaju se trajno.

(2)        Zapis nastao beleženjem iz člana 135. ovog zakona čuva se trajno.

(3)        Rukovalac ili obrađivač dužni su da evidencije iz stava (1) ovog člana, odnosno zapis iz stava (2) ovog člana učine dostupnim Povereniku, na njegov zahtev.

3.         Bezbednost obrade

Osnovna odredba Član 137.

(1)        Kada obradu vrši nadležni organ u posebne svrhe, u skladu sa nivoom tehnoloških dostignuća i troškovima njihove primene, prirodom, obimom, okolnostima i svrhom obrade, kao i verovatnoćom nastupanja rizika i nivoom rizika za prava i slobode fizičkih lica, rukovalac i obrađivač sprovode odgovarajuće tehničke, organizacione i kadrovske mere kako bi dostigli odgovarajući nivo bezbednosti u odnosu na rizik, a posebno ako se radi o obradi posebno osetljivih podataka o ličnosti iz člana 115. ovog zakona.

(2)        Na obavezu rukovaca i obrađivača iz stava (1) ovog člana shodno se primenjuju odredbe čl. 78. do 81. ovog zakona.

Mere bezbednosti podataka u slučaju automatizovane obrade Član 138.

Na osnovu procene rizika za prava i slobode fizičkih lica, rukovalac ili obrađivač iz člana 137. ovog zakona, koji obrađuje podatke o ličnosti u sistemima za automatizovanu obradu podataka u obavezi je da primeni odgovarajuće tehničke, organizacione i kadrovske mere zaštite, koje obezbeđuju da se:

1)         onemogući neovlašćenom licu pristup opremi koja se koristi za obradu (“kontrola pristupa opremi”);

2)         spreči neovlašćeno čitanje, umnožavanje, izmena ili uklanjanje nosača podataka (“kontrola nosača podataka”);

3)         spreči neovlašćeno unošenje podataka o ličnosti, kao i neovlašćena izmena, brisanje i kontrola pohranjenih podataka o ličnosti (“kontrola skladištenja”);

4)         spreči korišćenje sistema za automatizovanu obradu od strane neovlašćenog lica, upotrebom opreme za prenos podataka (“kontrola upotrebe”);

5)         osigura da lice koje je ovlašćeno za korišćenje sistema za automatizovanu obradu ima pristup samo onim podacima o ličnosti na koje se odnosi njegovo ovlašćenje za pristup podacima (“kontrola pristupa podacima”);

 

6)         može proveriti, odnosno ustanoviti kome su podaci o ličnosti preneti, mogu biti preneti ili učinjeni dostupnim, upotrebom opreme za prenos podataka (“kontrola prenosa”);

7)         može naknadno proveriti, odnosno utvrditi koji su podaci o ličnosti uneti u sistem automatizovane obrade, od strane kog lica i kada su uneti (“kontrola unosa”);

8)         spreči neovlašćeno čitanje, umnožavanje, izmena ili brisanje podataka o ličnosti u toku njihovog prenosa ili u toku prevoza nosača podataka (“kontrola prevoza”);

9)         ponovo uspostavi instalirani sistem u slučaju prekida njegovog rada (“obnavljanje sistema”);

10)       osigura da sistem ispravno radi i da se greške u radu sistema uredno prijavljuju (“pouzdanost”), kao i da se uskladišteni podaci o ličnosti ne mogu ugroziti zbog nedostataka u radu sistema (“integritet”).

Obaveštavanje Poverenika o povredi podataka o ličnosti Član 139.

(1)        Na obavezu obaveštavanja Poverenika o povredi podataka o ličnosti od strane nadležnog organa koji obrađuje podatke o ličnosti u posebne svrhe, shodno se primenjuju odredbe člana 82. ovog zakona.

(2)        Rukovalac iz stava (1) ovog člana dužan je da obezbedi primenu efektivnih mehanizama poverljivog prijavljivanja slučajeva povrede ovog zakona Povereniku.

(3)        Ako se radi o povredi podataka o ličnosti koji su preneti rukovaocu u drugoj državi ili međunarodnoj organizaciji, rukovalac iz stava (1) ovog člana dužan je da bez nepotrebnog odlaganja dostavi informacije iz člana 82. stava (4) ovog zakona rukovaocu u toj državi ili međunarodnoj organizaciji, u skladu sa međunarodnim sporazumom.

Obaveštavanje lica o povredi podataka o ličnosti Član 140.

(1)        Nadležni organ koji obrađuje podatke o ličnosti u posebne svrhe u obavezi je da o povredi podataka o ličnosti obavesti lice na koje se podaci odnose u skladu sa odredbama člana 83. ovog zakona.

(2)        Rukovalac iz stava (1) ovog člana može odložiti ili ograničiti obaveštavanje lica na koje se podaci odnose, u skladu sa uslovima i na osnovu razloga iz člana 124. stav

(1) ovog zakona.

 

4.         Procena uticaja obrade i mišljenje Poverenika

Procena uticaja na zaštitu podataka o ličnosti Član 141.

(1)        Na obavezu nadležnog organa koji obrađuje podatke o ličnosti u posebne svrhe da, pre nego što započne sa obradom, izvrši procenu uticaja predviđenih radnji obrade na zaštitu podataka o ličnosti, shodno se primenjuju odredbe čl. 84. i 85. ovog zakona.

(2)        Procena uticaja radnji obrade iz stava (1) ovog člana najmanje mora da sadrži sveobuhvatan opis predviđenih radnji obrade, procenu rizika po prava i slobode lica na koje se podaci odnose, opis mera koje se nameravaju preduzeti u odnosu na postojanje rizika, uključujući mehanizme zaštite, kao i tehničke, organizacione i kadrovske mere u cilju zaštite podatka o ličnosti i obezbeđivanja dokaza o poštovanju odredbi ovog zakona, uzimajući u obzir prava i legitimne interese lica na koje se podaci odnose i drugih lica.

(3)        Prilikom procene uticaja radnji obrade na zaštitu podataka o ličnosti rukovalac, odnosno obrađivač iz stava (1) ovog člana ne mogu se u pozivati na primenu odobrenog kodeksa postupanja iz člana 98. ovog zakona.

Prethodno mišljenje Poverenika Član 142.

(1)        Kada obradu podataka o ličnosti vrši nadležni organ u posebne svrhe, rukovalac, odnosno obrađivač je dužan da zatraži mišljenje Poverenika pre započinjanja radnji obrade koje će dovesti do stvaranja nove zbirke podataka u slučaju da:

1)         procena uticaja na zaštitu podataka o ličnosti, koja je izvršena u skladu sa članom 141. ovog zakona, ukazuje da će nameravane radnje obrade proizvesti visok rizik i nakon preduzimanja mera za smanjenje rizika, odnosno preostali rizik je i dalje visok;

2)         vrsta obrade, a posebno ako se koriste nove tehnologije, mehanizmi zaštite ili postupci, predstavljaju visok rizik za prava i slobode lica na koje se podaci odnose.

(2)        U postupku pribavljanja mišljenja iz stava (1) ovog člana rukovalac je dužan da Povereniku dostavi podatke o proceni uticaja na zaštitu podataka o ličnosti, a na zahtev Poverenika i druge informacije koje su od značaja za njegovo mišljenje o radnjama obrade, a posebno riziku po zaštitu podataka o ličnosti lica na koje se podaci odnose i mehanizmima zaštite njegovih prava.

(3)        Na postupanje Poverenika po zahtevu za mišljenje iz stava (1) ovog člana, primenjuju se odredbe člana 87. ovog zakona, kao i odredbe ovog zakona kojima se uređuju ovlašćenja Poverenika.

 

5.         Lice za zaštitu podataka o ličnosti

Obaveza određivanja Član 143.

(1)        Nadležni organ koji obrađuju podatke o ličnosti u posebne svrhe, dužan je da odrede lice za zaštitu podataka o ličnosti, osim ako se radi o obradi od strane sudova u vršenju poslova iz sudske nadležnosti.

(2)        Rukovaoci ili obrađivači iz stava (1) ovog člana mogu odrediti zajedničko lice za zaštitu podataka o ličnosti, uzimajući u obzir organizacionu strukturu i njihovu veličinu.

Položaj i obaveze Član 144.

Na druga pitanja u vezi sa određivanjem lica za zaštitu podataka o ličnosti od strane nadležnog organa koji obrađuje podatke o ličnosti u posebne svrhe, uključujući njegove stručne kvalifikacije i sposobnosti za izvršavanje obaveza, radno-pravni status, položaj i obaveze, primenjuju se odredbe čl. 88. do 90. ovog zakona, izuzev odredbi člana

89. st. (1) do (5) i (8) i člana 90. stava 1. tač. 1) i 2), koje se ne primenjuju na obrađivača.

Glava IX.

PRENOS PODATAKA OD STRANE NADLEŽNIH ORGANA U DRUGE DRŽAVE I MEĐUNARODNE ORGANIZACIJE

1.         Osnovne odredbe

Uslovi prenosa Član 145.

Prenos podataka o ličnosti koje obrađuje nadležni organ u posebne svrhe, čija je obrada u toku ili su namenjeni daljoj obradi posle njihovog prenosa u drugu državu ili međunarodnu organizaciju, može se izvršiti samo ako su zajedno ispunjeni sledeći uslovi:

1)         prenos je neophodno izvršiti u posebne svrhe;

2)         podaci o ličnosti se prenose rukovaocu u drugoj državi ili međunarodnoj organizaciji koji je nadležan organ za obradu podataka u posebne svrhe;

3)         Vlada je utvrdila listu država, delova njihovih teritorija ili jednog ili više sektora određenih delatnosti u tim državama i međunarodnih organizacija koje obezbeđuju primereni nivo zaštite podataka o ličnosti u skladu sa članom 104. ovog zakona, a prenos podataka se vrši u jednu od tih država, na deo njene teritorije ili u jedan ili više sektora određene delatnosti u toj državi ili u međunarodnu organizaciju, ili je, ako to nije slučaj, primena odgovarajućih mera zaštite obezbeđena u skladu sa članom 105. ovog

 

zakona, ili se, ako njihova primena nije obezbeđena, primenjuju odredbe o prenosu podataka u posebnim situacijama iz člana 107. ovog zakona.

Dalji prenos podataka o ličnosti Član 146.

Kada se ukaže potreba daljeg prenosa podataka o ličnosti iz druge države ili međunarodne organizacije u treću državu ili međunarodnu organizaciju, nadležni organ koji je izvršio prvi prenos ili drugi nadležni organ u Republici Srbiji koji odobrava dalji prenos, donosi odluku o prenosu nakon što je uzeo u obzir sve okolnosti od značaja za dalji prenos, uključujući težinu krivičnog dela, svrhu prvog prenosa i nivo zaštite podataka o ličnosti u trećoj državi ili međunarodnoj organizaciji u koju se podaci dalje prenose.

2.         Slučajevi prenosa podataka od strane nadležnih organa

Prenos uz primenu odgovarajućih mera zaštite Član 147.

(1)        Prenos podataka o ličnosti koje obrađuje nadležni organ u posebne svrhe u drugu državu, na deo njene teritorije ili u jedan ili više sektora određenih delatnosti u toj državi ili u međunarodnu organizaciju za koju listom iz člana 104. stav (4) ovog zakona nije utvrđeno postojanje primerenog nivoa zaštite, dopušten je u jednom od sledećih slučajeva:

1)         ako su odgovarajuće mere zaštite podataka o ličnosti propisane u pravno obavezujućem aktu;

2)         ako je rukovalac ocenio sve okolnosti koje se odnose na prenos podataka o ličnosti i utvrdio da odgovarajuće mere zaštite podataka o ličnosti postoje.

(2)        Rukovalac je dužan da obavesti Poverenika o prenosu koji je izvršen na osnovu stava (1) tačka 2) ovog člana.

(3)        Rukovalac je dužan da dokumentuje prenos koji je izvršen na osnovu stava (1) tačka

2) ovog člana, kao i da dokumentaciju o prenosu stavi na raspolaganje Povereniku, na njegov zahtev.

(4)        Dokumentacija o prenosu iz stava (3) ovog člana sadrži informacije o datumu i vremenu prenosa, nadležnom organu koji prima podatke, razlozima za prenos i podacima koji su preneti.

Posebne situacije prenosa podataka nadležnih organa Član 148.

(1)        Kada se prenos podatka o ličnosti koje obrađuju nadležni organi u posebne svrhe ne vrši u skladu sa odredbama čl. 145. i 147. ovog zakona, ovi podaci mogu se preneti u

 

drugu državu ili međunarodnu organizaciju samo ako je takav prenos neophodan u jednom od sledećih slučajeva:

1)         u cilju zaštite životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica;

2)         u cilju zaštite legitimnih interesa lica na koje se podaci odnose, ako je to predviđeno zakonom;

3)         u cilju sprečavanja neposredne i ozbiljne opasnosti za bezbednost Republike Srbije ili druge države;

4)         u pojedinačnom slučaju, ako je u pitanju obrada u posebne svrhe;

5)         u pojedinačnom slučaju, u cilju podnošenja, ostvarivanja ili odbrane pravnog zahteva, ako je taj cilj neposredno u vezi sa posebnim svrhama.

(2)        Prenos podataka o ličnosti ne može se izvršiti ako nadležan organ koji vrši prenos utvrdi da interes zaštite osnovnih prava i sloboda lica na koje se podaci odnose preteže u odnosu na javni interes iz stava (1) tač. 4) i 5) ovog člana.

(3)        Nadležni organ je dužan da dokumentuje prenos koji je izvršen na osnovu stava

(1) ovog člana, kao i da ovu dokumentaciju stavi na raspolaganje Povereniku, na njegov zahtev.

(4)        Dokumentacija o prenosu iz stava (3) ovog člana sadrži informacije o datumu i vremenu prenosa, nadležnom organu koji prima podatke, razlozima za prenos i podacima koji su preneti.

Prenos podataka nadležnih organa neposredno primaocu u drugoj državi

Član 149.

(1)        Nadležni organ koji obrađuje podatke o ličnosti u posebne svrhe može, izuzetno od odredbe člana 145. stav (1) tačka 2) ovog zakona i bez obzira na primenu međunarodnog sporazuma koji je zaključen između Republike Srbije i jedne ili više drugih država, a kojim se uređuje saradnja u krivičnim stvarima, policijska saradnja ili saradnja između službi bezbednosti, neposredno preneti podatke o ličnosti primaocu u drugoj državi samo uz poštovanje drugih odredaba ovog zakona i ako su zajedno ispunjeni sledeći uslovi:

1)         prenos je neophodan za izvršenje zakonskog ovlašćenja nadležnog organa koji vrši prenos u posebne svrhe;

2)         nadležni organ koji vrši prenos je utvrdio da interes zaštite osnovnih prava ili sloboda lica na koje se podaci odnose ne preteže u odnosu na javni interes radi čije zaštite je neophodno izvršiti prenos podataka;

3)         nadležni organ koji vrši prenos smatra da je prenos nadležnom organu u drugoj državi u posebne svrhe uz poštovanje uslova iz člana 145. ovog zakona, odnosno na način predviđen sporazumom iz stava (1) ovog člana nedelotvoran ili da ne odgovara postizanju tih svrha, a posebno ako se prenos ne može izvršiti na vreme;

 

4)         nadležni organ u drugoj državi je bez nepotrebnog odlaganja obavešten o prenosu, osim ako je takvo obaveštavanje nedelotvorno ili ne odgovara postizanju svrhe;

5)         nadležni organ koji vrši prenos je obavestio primaoca u drugoj državi o svrhama obrade podataka, kao i o tome da se obrada može vršiti samo u te svrhe, samo od strane primaoca i samo ako je takva obrada neophodna.

(2)        Nadležni organ koji vrši prenos dužan je da obavesti Poverenika o prenosu koji je izvršen na osnovu stava (1) ovog člana.

(3)        Nadležni organ je dužan da dokumentuje prenos koji je izvršen na osnovu stava

(1) ovog člana, kao i da ovu dokumentaciju stavi na raspolaganje Povereniku, na njegov zahtev.

(4)        Dokumentacija o prenosu iz stava (3) ovog člana sadrži informacije o datumu i vremenu prenosa, primaocu podataka, razlozima za prenos i podacima o ličnosti koji su preneti.

Deo treći

POVERENIK, PRAVNA SREDSTVA, ODGOVORNOST I KAZNE

Glava X. POVERENIK

1.         Nezavisan status

Nadzorno telo Član 150.

(1)        U cilju zaštite osnovnih prava i sloboda fizičkih lica u vezi sa obradom podataka o ličnosti, poslove praćenja primene ovog zakona, u skladu sa propisanim ovlašćenjima, vrši Poverenik, kao samostalan državni organ, nezavisan u vršenju svoje nadležnosti.

(2)        Poverenik ima zamenika za zaštitu podataka o ličnosti.

(3)        Na sedište Poverenika, izbor Poverenika i zamenika Poverenika za zaštitu podataka o ličnosti, prestanak njihovog mandata, postupak njihovog razrešenja, njihov položaj, Stručnu službu Poverenika, kao i na finansiranje i podnošenje izveštaja, primenjuju se odredbe zakona kojim se uređuje slobodan pristup informacijama od javnog značaja, ako ovim zakonom nije drugačije određeno.

(4)        Pored uslova za izbor Poverenika, propisanih zakonom kojim se uređuje slobodan pristup informacijama od javnog značaja, Poverenik i zamenik Poverenika za zaštitu podataka o ličnosti moraju da imaju potrebno stručno znanje i iskustvo u oblasti zaštite podataka o ličnosti.

 

Nezavisnost

Član 151.

(1)        U vršenju svojih ovlašćenja i poslova, u skladu sa ovim zakonom, Poverenik je nezavisan, slobodan od svakog neposrednog ili posrednog spoljnog uticaja i ne može da traži niti prima naloge od bilo koga.

(2)        Poverenik se ne može baviti drugom delatnošću ni drugim poslom, uz naknadu ili bez naknade, niti može obavljati drugu javnu funkciju ili vršiti drugo javno ovlašćenje, niti politički delovati.

(3)        U cilju obezbeđivanja delotvornog vršenja zakonom propisanih ovlašćenja, neophodna finansijska sredstva za rad, prostorije za rad, kao i neophodne tehničke, organizacione i kadrovske uslove za rad Poverenika obezbeđuju se u skladu sa zakonom kojim se uređuje budžet i zakonima kojima se uređuje državna uprava i položaj državnih službenika.

(4)        Poverenik samostalno vrši izbor zaposlenih između kandidata koji ispunjavaju zakonom propisane uslove za rad u državnim organima i njima potpuno samostalno rukovodi.

Nadležnosti Poverenika Član 152.

(1)        Poverenik vrši svoja ovlašćenja, u skladu sa ovim zakonom, na teritoriji Republike Srbije.

(2)        U vršenju svojih ovlašćenja Poverenik postupa u skladu sa zakonom kojim se uređuje opšti upravni postupak, kao i shodnom primenom zakona kojim se uređuje inspekcijski nadzor, ako ovim zakonom nije drugačije određeno.

(3)        Poverenik nije nadležan da vrši nadzor nad obradom podataka o ličnosti od strane sudova u vršenju poslova iz sudske nadležnosti.

Obaveza čuvanja profesionalne tajne Član 153.

(1)        Poverenik, zamenik Poverenika i zaposleni u Stručnoj službi Poverenika dužni su da kao profesionalnu tajnu čuvaju sve podatke do kojih su došli u obavljanju svoje funkcije, odnosno poslova, uključujući i podatke u vezi sa povredom ovog zakona sa kojima ih je upoznalo lice koje nije zaposleno kod Poverenika.

(2)        Obaveza iz stava (1) ovog člana traje i posle prestanka obavljanja funkcije Poverenika ili zamenika Poverenika, odnosno prestanka rada u službi Poverenika.

 

2.         Poslovi i ovlašćenja Poverenika

Poslovi Poverenika Član 154.

(1)        Poverenik:

1)         vrši nadzor i obezbeđuje primenu ovog zakona u skladu sa svojim ovlašćenjima;

2)         stara se o podizanju javne svesti o rizicima, pravilima, merama zaštite i pravima u vezi sa obradom, a posebno ako se radi o obradi podataka o maloletnom licu;

3)         daje mišljenje Narodnoj skupštini, Vladi, drugim organima vlasti i organizacijama, u skladu sa propisima, o zakonskim i drugim merama koje se odnose na zaštitu prava i sloboda fizičkih lica u vezi sa obradom;

4)         daje mišljenje Narodnoj skupštini, Vladi, drugim organima vlasti i organizacijama, po sopstvenoj inicijativi ili na njihov zahtev, kao i javnosti, o svim pitanjima u vezi sa zaštitom podataka o ličnosti;

5)         stara se o podizanju svesti rukovalaca i obrađivača u vezi sa njihovim obavezama propisanim ovim zakonom;

6)         na zahtev lica na koja se podaci odnose, pruža informacije o njihovim pravima propisanim ovim zakonom;

7)         odlučuje po pritužbama lica na koja se podaci odnose, o povredi prava u vezi sa obradom podataka o ličnosti iz Glave III. ovog zakona;

8)         postupa po predstavkama lica kojima se ukazuje na povrede ovog zakona, utvrđuje da li je došlo do povrede i obaveštava podnosioca o toku i rezultatima postupka koji vodi, u skladu sa odredbama ovog zakona;

9)         sarađuje sa nadzornim organima drugih država u vezi sa zaštitom podataka o ličnosti, a posebno u razmeni informacija i pružanju uzajamne pravne pomoći;

10)       vrši inspekcijski nadzor nad primenom ovog zakona;

11)       podnosi zahtev za pokretanje prekršajnog postupka ako utvrdi da je došlo do povrede ovog zakona, u skladu sa zakonom kojim se uređuju prekršaji;

12)       prati razvoj informacionih i komunikacionih tehnologija, kao i poslovne i druge prakse od značaja za zaštitu podataka o ličnosti;

13)       izrađuje standardne ugovorne klauzule iz čl. 70. stav (4) i 105. stav (3) ovog zakona;

14)       sačinjava i javno objavljuje liste vrsta radnji obrade za koje se mora izvršiti procena uticaja iz člana 84. stav (8) ovog zakona;

15)       daje pismeno mišljenje u vezi sa procenom uticaja radnji obrade na zaštitu podataka o ličnosti iz člana 87. stav (1) ovog zakona;

16)       vodi evidenciju lica za zaštitu podataka o ličnosti iz člana 88. stav (9) ovog zakona;

17)       podstiče izdavanje sertifikata za zaštitu podataka o ličnosti i odgovarajućih žigova i oznaka iz člana 91. stav (1);

 

18)       odobrava šemu sertifikacije, u skladu sa članom 94. stav (1) tačka 4) ovog zakona;

19)       vodi i javno objavljuje spisak akreditovanih sertifikacionih tela i izdatih sertifikata sa odgovarajućim žigovima i oznakama, u skladu sa članom 97. stav (6) ovog zakona;

20)       podstiče izradu kodeksa postupanja iz člana 98. stav (1) ovog zakona i registruje i objavljuje kodeks postupanja, na koji je prethodno dao saglasnost, u skladu sa članom 99. stav 3. ovog zakona;

21)       odobrava ugovorne odredbe, odnosno odredbe koje se unose u sporazum, u skladu sa članom 102. stav (4) ovog zakona;

22)       odobrava obavezujuća poslovna pravila, u skladu sa članom 110. ovog zakona;

23)       vodi internu evidenciju o povredama ovog zakona i merama koje se u vršenju inspekcijskog nadzora preduzimaju u skladu sa odredbama ovog zakona;

24)       obavlja i druge poslove određene ovim zakonom.

(2)        Poslove nadzora iz stava (1) tač. 1) ovog člana Poverenik vrši preko ovlašćenih lica iz stručne službe Poverenika.

(3)        Evidencija iz stava (1) tačka 20) ovog člana sadrži: podatke o rukovaocima ili obrađivačima koji su povredili ovaj zakon (njihovo ime i prezime ili naziv, prebivalište, boravište, sedište ili odobren boravak), podatke o povredama ovog zakona (opis povrede i član zakona koji je povređen), podatke o merama koje su preduzete i podatke o postupanju rukovaoca ili obrađivača po izrečenim merama.

(4)        Obrazac evidencije iz stava (3) ovog člana i način njenog vođenja propisuje Poverenik.

(5)        Poverenik obavlja svoje poslove besplatno za lica na koje se podaci odnose i lica za zaštitu podataka o ličnosti.

Inspekcijska i druga ovlašćenja Poverenika Član 155.

(1)        Poverenik vrši inspekcijski nadzor nad primenom ovog zakona, u skladu sa ovim zakonom i shodnom primenom zakona kojim se uređuje inspekcijski nadzor.

(2)        Poverenik je ovlašćen da:

1)         naloži rukovaocu i obrađivaču, a prema potrebi i njihovim predstavnicima, da mu pruže sve informacije koje zatraži u vršenju svojih ovlašćenja;

2)         proverava i ocenjuje primenu odredbi zakona i na drugi način vrši nadzor nad zaštitom podataka o ličnosti korišćenjem inspekcijskih ovlašćenja;

3)         obaveštava rukovaoca, odnosno obrađivača o mogućim povredama ovog zakona;

4)         izvrši inspekcijski nadzor, uz obavezu rukovaoca, odnosno obrađivača koji je uredno obavešten o predstojećem inspekcijskom nadzoru, da njegov predstavnik bude prisutan na mestu vršenja nadzora, odnosno nadzor izvrši u prisustvu službenog ili drugog lica rukovaoca, odnosno obrađivača koje se zatekne na mestu vršenja inspekcijskog nadzora;

 

5)         zatraži i dobije od rukovaoca i obrađivača pristup svim podacima o ličnosti, kao i informacijama neophodnim za vršenje njegovih ovlašćenja;

6)         zatraži i dobije pristup svim prostorijama rukovaoca i obrađivača, uključujući i pristup svim sredstvima i opremi.

(3)        Poslove inspekcijskog nadzora iz stava (1) ovog člana Poverenik vrši preko ovlašćenih lica iz Stručne službe Poverenika.

(4)        Ovlašćena lica Poverenika imaju službene legitimacije čiji izgled i sadržinu propisuje Poverenik.

Korektivne mere Član 156.

U obavljanju poslova propisanih ovim zakonom, Poverenik je ovlašćen da preduzme sledeće korektivne mere:

1)         da upozori rukovaoca i obrađivača, dostavljanjem pismenog mišljenja, da se nameravanim radnjama obrade mogu povrediti odredbe ovog zakona, u skladu sa članom 87. stav (1) i članom 142. stav (3) ovog zakona;

2)         da izrekne opomenu rukovaocu, odnosno obrađivaču ako se obradom povređuju odredbe ovog zakona;

3)         da naloži rukovaocu i obrađivaču da postupe po zahtevu lica na koje se podaci odnose u vezi sa ostvarivanjem njegovih prava, u skladu sa ovim zakonom;

4)         da naloži rukovaocu i obrađivaču da usklade radnje obrade sa odredbama ovog zakona, na tačno određeni način i u tačno određenom roku;

5)         da naloži rukovaocu da obavesti lice na koje se podaci o ličnosti odnose o povredi podataka o ličnosti;

6)         da izrekne privremeno ili trajno ograničenje vršenja radnje obrade, uključujući i zabranu obrade;

7)         da naloži ispravljanje, dopunu ili ažuriranje podataka, odnosno brisanje podataka o ličnosti ili ograniči vršenje radnje obrade u skladu sa čl. 55, 56. i 126. ovog zakona, kao i da naloži rukovaocu da obavesti o tome drugog rukovaoca, lice na koje se podaci odnose i primaoce kojima su podaci o ličnosti otkriveni ili preneti, u skladu sa članom 56. stav (3), kao i čl. 58. i 127. ovog zakona;

8)         da izrekne novčanu kaznu na osnovu prekršajnog naloga ako je prilikom inspekcijskog nadzora utvrđeno da je došlo do prekršaja za koji je ovim zakonom propisana novčana kazna u fiksnom iznosu, umesto drugih mera propisanih ovim stavom ili uz njih, a u zavisnosti od okolnosti konkretnog slučaja;

9)         da obustavi prenos podataka o ličnosti primaocu u drugoj državi ili međunarodnoj organizaciji.

 

Kontrola akata Poverenika i pokretanje postupka pred sudom

Član 157.

(1)        Kontrolu akata Poverenika donetih na osnovu odredbi čl. 155. i 156. ovog zakona vrši sud, u skladu sa zakonom.

(2)        U vršenju ovlašćenja čl. 155. i 156. ovog zakona Poverenik može da pokrene postupak pred sudom ili drugim organom, u skladu sa zakonom.

Izveštavanje Član 158.

(1)        Poverenik je dužan da sačini godišnji izveštaj o svojim aktivnostima, koji sadrži podatke o vrstama povreda ovog zakona i merama koje su preduzete u vezi sa tim povredama, kao i da ga podnese Narodnoj skupštini.

(2)        Izveštaj iz stava (1) ovog člana dostavlja se Vladi i stavlja se na uvid javnosti, na odgovarajući način.

(3)        Izveštaj iz stava (1) ovog člana ne sadrži podatke o ličnosti.

Glava XI.

PRAVNA SREDSTVA, ODGOVORNOST I KAZNE

1.         Pravna sredstva

Pravo na pritužbu Povereniku Član 159.

(1)        Lice na koje se podaci odnose može da podnese pritužbu Povereniku ako smatra da rukovalac, po njegovom zahtevu iz čl. 65. i 121. ovog zakona za ostvarivanje prava u vezi sa obradom podataka o ličnosti, nije postupio u skladu sa odredbama ovog zakona.

(2)        Uz pritužbu iz stava (1) ovog člana pritužilac dostavlja kopiju zahteva podnetog rukovaocu za ostvarivanje prava u vezi sa obradom podataka o ličnosti, kao i raspoložive podatke koje ukazuju na povredu prava.

(3)        Na postupak po pritužbi shodno se primenjuju odredbe zakona kojim se uređuje opšti upravni postupak pred prvostepenim organom, ako ovim zakonom nije drugačije propisano.

(4)        Poverenik je dužan da odluči o zahtevu pritužioca u roku od 60 dana od dana prijema pritužbe.

(5)        U postupku po pritužbi Poverenik može da sprovede inspekcijski nadzor, u kom slučaju se, u ovom delu postupka, shodno primenjuju odredbe zakona koji uređuje inspekcijski nadzor iniciran podnošenjem predstavke.

(6)        Podnošenje pritužbe Povereniku ne utiče na pravo lica na koje se podaci odnose da pokrene druge postupke upravne ili sudske zaštite.

 

(7)        Poverenik propisuje obrazac pritužbe i omogućava njeno podnošenje elektronskim putem, ne isključujući ni druge načine podnošenja propisane zakonom, u cilju pojednostavljenja podnošenja.

Pravo na sudsku zaštitu protiv odluke Poverenika Član 160.

(1)        Ako Poverenik u roku od 60 dana od dana podnošenja pritužbe iz člana 159. stav

(1)        ovog zakona ne postupi po pritužbi, lice na koje se podaci odnose ima pravo da tužbom pokrene upravni spor.

(2)        Lice na koje se podaci odnose, rukovalac, obrađivač, odnosno drugo fizičko ili pravno lice na koje se odnosi odluka Poverenika doneta po pritužbi, ima pravo da protiv ove odluke tužbom pokrene upravni spor u roku od 30 dana, od dana prijema odluke.

(3)        Podnošenje tužbe iz st. (1) i (2) ovog člana ne utiče na pravo da se pokrenu drugi postupci sudske zaštite.

Postupanje Poverenika po predstavci Član 161.

(1)        Poverenik postupa po drugim podnescima lica kojima se ukazuje na povrede ovog

zakona, kao što su predstavka, obaveštenje, informacija, prijava, peticija, predlog ili akt drugog naziva, uključujući i pritužbe koje se ne odnose na zaštitu prava iz glave III. ovog zakona (u daljem tekstu: predstavka).

(2)        U postupku po predstavci iz stava (1) ovog člana Poverenik utvrđuje da li je došlo do povrede ovog zakona i obaveštava podnosioca o toku i rezultatima postupka koji vodi, u skladu sa odredbama ovog zakona.

(3)        Ako je predstavku podnelo lice čiji se podaci o ličnosti obrađuju, Poverenik u obaveštenju iz stava (2) ovog člana obaveštava podnosioca o pravu na sudsku zaštitu.

(4)        Na postupak Poverenika iz stava (2) ovog člana shodno se primenjuju odredbe zakona kojim se uređuje inspekcijski nadzor, u delu koji se odnosi na postupanje po predstavkama.

(5)        Poverenik može propisati obrazac predstavke i omogućiti njeno podnošenje elektronskim putem, ne isključujući druga sredstva komunikacije, u cilju pojednostavljenja podnošenja.

Troškovi postupka Član 162.

(1)        Postupci pred Poverenikom iz čl. 159. i 161. su besplatani.

(2)        Ako je pritužba iz člana 159. ovog zakona, odnosno predstavka iz člana 161. ovog zakona očigledno neosnovana, preobimna ili se preterano ponavlja, Poverenik može da

 

traži naknadu nužnih administrativnih troškova (ponovno kopiranje dokumenata, štampanje, dostavljanje i dr.) ili da odbije da postupi po pritužbi, odnosno predstavci.

(3)        U slučaju primene odredbe iz stava (2) ovog člana, Poverenik navodi razloge kojima se dokazuje da se radi o neosnovanom, preobimnom ili preterano ponovljenom zahtevu.

Sudska zaštita prava lica Član 163.

(1)        Lice na koje se podaci odnose ima pravo na sudsku zaštitu ako smatra da mu je, suprotno ovom zakonu, od strane rukovaoca ili obrađivača radnjom obrade njegovih podataka o ličnosti povređeno pravo propisano ovim zakonom.

(2)        Podnošenje tužbe sudu, sa zahtevom da sud utvrdi povredu prava na zaštitu podataka o ličnosti, ne utiče na pravo ovog lica da pokrene druge postupke upravne ili sudske zaštite.

(3)        Tužbom iz stava (2) ovog člana može se zahtevati od suda da obaveže tuženog na:

1)         davanje informacije iz čl. 22. do 25. i čl. 54. i 121. ovog zakona;

2)         ispravku, ažuriranje i dopunu, odnosno brisanje podataka o tužiocu iz čl. 55, 56. i 126. ovog zakona;

3)         ograničenje obrade iz čl. 58. i 126. ovog zakona;

4)         davanje podataka u strukturisanom, uobičajeno korišćenom i elektronski čitljivom obliku;

5)         prenošenje podataka drugom rukovaocu iz člana 60. ovog zakona;

6)         prekid obrade podataka, u slučaju postojanja podnetog prigovora na obradu podataka o ličnosti iz člana 61. ovog zakona.

(5)        Tužbom za zaštitu prava iz stava (1) ovog člana može se zahtevati od suda i da utvrdi da je odluka doneta isključivo na osnovu automatizovane obrade podataka o ličnosti, koja se odnosi na tužioca, doneta suprotno čl. 62. i 129. ovog zakona.

(6)        Tužba iz stava (2) ovog člana podnosi se višem sudu na čijoj teritoriji rukovalac, odnosno obrađivač ili njihov predstavnik ima prebivalište, boravište ili odobren boravak, odnosno sedište ili na čijoj teritoriji lice na koje se odnose podaci ima prebivalište, boravište ili odobren boravak, osim ako je rukovalac, odnosno obrađivač organ vlasti.

(7)        Revizija po pravnosnažnoj odluci suda doneta po tužbi iz stava (2) ovog člana je uvek dopuštena.

(8)        U postupku sudske zaštite prava na zaštitu podataka o ličnosti primenjuju se odredbe zakona kojim se uređuje parnični postupak, ako ovim zakonom nije drugačije određeno.

 

Zastupanje lica na koje se podaci odnose

Član 164.

Lice na koje se podaci odnose, u vezi sa ostvarivanjem prava na zaštitu podataka o ličnosti, ima pravo da ovlasti neprofitno telo, organizaciju ili udruženje koje se bavi zaštitom prava i sloboda lica na koje se podaci odnose da ga u skladu sa zakonom, bez naknade, zastupa u postupcima iz čl. 159, 160. i 163. ovog zakona, kao i u postupku za naknadu štete zbog povrede odredaba ovog zakona.

2.         Odgovornost

Pravo na naknadu štete Član 165.

(1)        Lice koje je pretrpelo materijalnu ili nematerijalnu štetu zbog povrede odredaba ovog zakona ima pravo na novčanu naknadu ove štete od rukovaoca, odnosno obrađivača koji je štetu prouzrokovao.

(2)        Za štetu iz stava (1) ovog člana odgovara rukovalac, a obrađivač odgovara samo ako nije postupao u skladu sa obavezama propisanim ovim zakonom koje se odnose neposredno na njega ili kad je postupao izvan uputstava ili suprotno uputstvima rukovaoca, izdatim u skladu sa ovim zakonom.

(3)        Rukovalac, odnosno obrađivač oslobađa se odgovornosti za štetu ako dokaže da ni na koji način nije odgovoran za nastanak štete.

(4)        Ako obradu vrši više rukovalaca, odnosno obrađivača ili zajedno rukovalac i obrađivač, i ako su oni odgovorni za štetu, svaki rukovalac, odnosno obrađivač odgovoran je za celokupan iznos naknade štete.

(5)        Ako je rukovalac, odnosno obrađivač iz stava (4) ovog člana isplatio celokupan iznos naknade štete, on ima pravo da zahteva od drugih rukovaoca, odnosno obrađivača povraćaj dela iznosa koji odgovara njihovoj odgovornosti za nastanak štete, u skladu sa stavom (2) ovog člana.

Uslovi za izricanje novčane kazne Član 166.

(1)        Novčana kazna zbog povrede odredbi ovog zakona u svakom pojedinačnom slučaju izriče se i primenjuje na delotvoran, srazmeran i preventivan način.

(2)        Novčana kazna iz stava (1) ovog člana, u zavisnosti od okolnosti pojedinačnog slučaja, može se izreći uz mere ili nezavisno od toga da li su izrečene mere propisane članom 156. stav (1) tač. 1) do 7) i tačka 9) ovog zakona.

(3)        Prilikom odlučivanja o izricanju novčanih kazni i njihovom iznosu mora se u svakom pojedinačnom slučaju voditi računa o:

 

1)         prirodi, težini i trajanju povrede odredbi zakona, uzimajući u obzir vrstu, obim i svrhu obrade, kao i broj lica na koja se podaci odnose i nivo štete koju su ona pretrpela;

2)         postojanju namere ili nepažnje prekršioca;

3)         svakoj radnji rukovaoca i obrađivača usmerenoj na otklanjanje ili ublažavanje štete koju su pretrpela lica na koja se podaci odnose;

4)         stepenu odgovornosti rukovaoca i obrađivača, uzimajući u obzir mere koje su primenili u skladu sa čl. 78. do 81. i čl. 137. i 138. ovog zakona;

5)         prethodnim slučajevima kršenja odredbi ovog zakona od strane rukovaoca i obrađivača koji su od značaja za izricanje kazne;

6)         stepenu saradnje rukovaoca i obrađivača sa Poverenikom u cilju otklanjanja posledica povrede zakona i otklanjanja ili ublažavanja štetnih posledica povrede;

7)         vrstama podataka o ličnosti na koje se odnose povrede;

8)         načinu na koji je Poverenik saznao za povredu, a posebno o tome da li je i u kojoj meri rukovalac, odnosno obrađivač obavestio Poverenika o povredi;

9)         postupanju u skladu sa korektivnim merama Poverenika koje su ranije izrečene rukovaocu, odnosno obrađivaču u vezi sa istim slučajem povrede, u skladu sa članom 156. stav (1) ovog zakona;

10)       postojanju sertifikata iz člana 91. ovog zakona, odnosno primeni odobrenih kodeksa postupanja u skladu sa članom 98. ovog zakona;

11)       svim drugim otežavajućim i olakšavajućim okolnostima u konkretnom slučaju, kao što su izbegavanje finansijskog gubitka ili finansijska korist koja je ostvarena na neposredan ili posredan način povredom odredbi ovog zakona.

3.         Kaznene odredbe

Odgovornost pravnog lica Član 167.

(1)        Novčanom kaznom od 200.000 do 2.000.000 dinara kazniće se za prekršaj rukovalac, odnosno obrađivač koji ima svojstvo pravnog lica, ako:

1)         obrađuje podatke o ličnosti suprotno načelima obrade iz čl. 5. do 13. ovog zakona;

2)         obrađuje podatke o ličnosti u druge svrhe, suprotno čl. 28. do 31. ovog zakona;

3)         obrađuje podatke o ličnosti bez saglasnosti lica na koje se podaci odnose, a nije u mogućnosti da predoči da je lice na koje se podaci odnose dalo pristanak za obradu svojih podataka (član 17. stav (1));

4)         licu na koje se podaci odnose ne pruži informacije iz čl. 22. do 24. ovog zakona;

5)         obrađuje posebno osetljive podatake o ličnosti suprotno članu 32. ovog zakona;

6)         obrađuje podatke o ličnosti u vezi sa kažnjivim delima suprotno članu 33. stav

(1) ovog zakona;

7)         obrađuje JMBG suprotno članu 37. ovog zakona;

 

8)         obrađuje podatke o ličnosti u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe suprotno čl. 39. do 41. ovog zakona;

9)         obrađuje podataka o ličnosti upotrebom sistema video nadzora, suprotno čl. 45. do 51. ovog zakona;

10)       obrađuje podatake o ličnosti korišćenjem veštačke inteligencije, suprotno čl.

52. i 53. ovog zakona;

11)       ne pruži tražene informacije, ne omogući pristup podacima, odnosno ako ne dostavi kopiju podataka koje obrađuje (član 54);

12)       ne ispravi netačne podatke ili ne dopuni nepotpune podatke, suprotno članu 55. ovog zakona;

13)       ne izbriše podatke lica na koje se podaci odnose bez odlaganja u slučajevima iz člana 56. stav (2) ovog zakona;

14)       ne ograniči obradu podataka o ličnosti u slučajevima iz člana 58. ovog zakona;

15)       ne obavesti primaoca u vezi sa ispravkom, brisanjem i ograničenjem obrade (član

59. stav (1));

16)       ne prekine sa obradom podataka nakon što je lice podnelo prigovor (član 61. stav

(1));

17)       se donese odluka koja proizvodi pravne posledice po lice na koje se podaci

odnose isključivo na osnovu automatizovane obrade, suprotno članu 62. ovog zakona;

18)       prilikom određivanja načina obrade, kao i u toku obrade ne preduzme odgovarajuće tehničke, organizacione i kadrovske mere, suprotno članu 67. st. (1) i (2) ovog zakona;

19)       se odnos između zajedničkih rukovaoca ne uredi na način propisan članom 68. st.

2) do 4) ovog zakona;

20)       poveri obradu podataka o ličnosti obrađivaču, suprotno članu 69. st. (1) do (4) ovog zakona;

21)       se podaci obrađuju bez naloga ili suprotno nalogu rukovaoca (član 69. stav (5));

22)       ne odredi svog predstavnika u Republici Srbiji, suprotno članu 72. ovog zakona;

23)       ne obavesti Poverenika o povredi bezbednosti podataka, suprotno članu 82. ovog zakona;

24)       ne obavesti lice na koje se podaci odnose o povredi bezbednosti podataka, suprotno članu 83. ovog zakona;

25)       ne izvrši procenu uticaja na zaštitu bezbednosti podataka na način predviđen članom 84. ovog zakona;

26)       ne obavesti Poverenika, odnosno ne zatraži mišljenje Poverenika pre započinjanja radnje obrade (član 86. stav (1));

27)       ne odredi lice za zaštitu podataka o ličnosti u slučajevima iz člana 88. stav (2) ovog zakona;

28)       ne izvrši svoje obaveze prema licu za zaštitu podataka o ličnosti iz člana 89. st. (1) do (3) ovog zakona;

 

29)       se prenos podataka o ličnosti u druge zemlje i međunarodne organizacije vrši suprotno čl.102. do 108. ovog zakona;

30)       sprečava ili na drugi način ometa ovlašćeno lice Poverenika u vršenju inspekcijskog nadzora, suprotno odredbama člana 155. stav (2) tač. 4) do 6) ovog zakona;

(2)        za prekršaj iz stava (1) ovog člana može se izreći novčana kazna u srazmeri sa visinom pričinjene štete ili neizvršene obaveze koja je predmet prekršaja, a najviše do dvadesetostrukog iznosa tih vrednosti, s tim da ne prelazi petostruki iznos najvećih novčanih kazni koje se mogu izreći po odredbi stava (1) ovog zakona.

(3)        novčanom kaznom od 200.000 do 2.000.000 dinara kazniće se za prekršaj odgovorno lice u organu vlasti, odnosno pravnom licu iz člana 4. tačka 34) koji u ulozi rukovaoca, odnosno obrađivača obrađuje podatke o ličnosti u posebne svrhe ako:

1)         obrađuje podatke o ličnosti suprotno načelima obrade iz čl. 5. do 13. ovog zakona;

2)         obrađuje podataka o ličnosti upotrebom sistema video nadzora, suprotno čl. 45. do 51. ovog zakona;

3)         obrađuje posebno osetljive podatake o ličnosti suprotno članu 115. ovog zakona;

4)         obrađuje genetičke ili biometrijske podatake u cilju jedinstvene identifikacije lica, suprotno članu 116. ovog zakona;

5)         obrađuje podatke o ličnosti u druge svrhe, suprotno članu 117. ovog zakona;

6)         ako korišćenjem razumnih mera ne obezbedi da se netačni, nepotpuni i neažurni podaci o ličnosti ne prenose, odnosno da ne budu dostupni (118. stav (1));

7)         jasno ne izdvoji podatke o ličnosti koji su zasnovani na činjeničnom stanju od podataka o ličnosti koji su zasnovani na ličnoj oceni (član 120);

8)         licu na koje se podaci odnose ne stavi na raspolaganje ili ne pruži informacije iz člana 123. st. (1) i (2) ovog zakona;

9)         ne pruži tražene informacije, odnosno ne omogući pristup podacima (član 125. stav (2) u vezi sa članom 54. stav (2));

10)       ograniči delimično ili u celini pravo na pristup podacima licu na koje se podaci odnose suprotno članu 125. st. (3), (5) i (7) ovog zakona;

11)       ne ispravi netačne podatke ili ne dopuni nepotpune podatke, suprotno članu 126. stav (1) ovog zakona;

12)       ne izbriše podatke o ličnosti suprotno članu 126. stav (2) ovog zakona;

13)       ne ograniči obradu podataka o ličnosti u slučajevima iz člana 126. stav (3) ovog zakona;

14)       ne obavesti primaoca u vezi sa ispravkom, dopunom, brisanjem i ograničenjem obrade (član 127. stav (1));

15)       ne informiše lice na koje se podaci odnose o odluci o odbijanju ispravljanja, dopune ili brisanja, odnosno ograničavanja obrade, kao i o razlogu za odbijanje (127. stav (3));

16)       se donese odluka koja proizvodi pravne posledice po lice na koje se podaci odnose isključivo na osnovu automatizovane obrade, suprotno članu 129. ovog zakona;

 

17)       se odnos između zajedničkih rukovalaca ne uredi na način propisan članom 131. ovog zakona;

18)       poveri obradu podataka o ličnosti obrađivaču, suprotno članu 132. stav (2) ovog zakona;

19)       se podaci obrađuju bez naloga ili suprotno nalogu rukovaoca (član 132. stav (3));

20)       prilikom određivanja načina obrade, kao i u toku obrade ne preduzme odgovarajuće tehničke, organizacione i kadrovske mere, suprotno čl. 137. i 138. ovog zakona;

21)       ne obavesti Poverenika o povredi bezbednosti podataka, suprotno članu 139. stav

(1) ovog zakona;

22)       ne obezbedi primenu efektivnih mehanizama poverljivog prijavljivanja slučajeva povrede ovog zakona (član 139. stav (2));

23)       ne obavesti lice na koje se podaci odnose o povredi bezbednosti podataka, suprotno članu 140. ovog zakona;

24)       ne izvrši procenu uticaja na zaštitu bezbednosti podataka na način predviđen članom 141. ovog zakona;

25)       ne obavesti Poverenika, odnosno ne zatraži mišljenje Poverenika pre započinjanja radnje obrade (član 142. st. (1) i (2));

26)       ne odredi lice za zaštitu podataka o ličnosti (član 143);

27)       ne izvrši svoje obaveze prema licu za zaštitu podataka o ličnosti iz člana 144. u vezi sa članom 89. st. 1) do 3) ovog zakona;

28)       se prenos podataka o ličnosti u druge zemlje i međunarodne organizacije vrši suprotno čl. 145. do 149. ovog zakona;

29)       sprečava ili na drugi način ometa ovlašćeno lice Poverenika u vršenju inspekcijskog nadzora, suprotno odredbama člana 155. stav 2. tač. 4) do 6) ovog zakona;

(4)        Za prekršaj iz stava (3). ovog člana može se izreći novčana kazna u srazmeri sa visinom pričinjene štete ili neizvršene obaveze koja je predmet prekršaja, a najviše do dvadesetostrukog iznosa tih vrednosti, s tim da ne prelazi petostruki iznos najvećih novčanih kazni koje se mogu izreći po odredbi stava (3) ovog zakona.

(5)        Novčanom kaznom u iznosu od 300.000 dinara kazniće se za prekršaj rukovalac, odnosno obrađivač iz stava (1) ovog člana, ako:

1)         ne vodi propisane evidencije o obradi (čl. 49, 74. i 75.);

2)         nastavi sa obradom u cilju direktnog oglašavanja, a lice na koje se podaci odnose je podnelo prigovor na takvu obradu (član 61. stav (3));

3)         ne objavi kontakt podatke lica za zaštitu podataka o ličnosti i ne dostavi ih Povereniku (član 88. stav (8)).

(6)        Novčanom kaznom u iznosu od 50.000 dinara kazniće se za prekršaj odgovorno lice u organu vlasti, odnosno pravnom licu iz člana 4. tačka 34) koji u ulozi rukovaoca, odnosno obrađivača obrađuje podatke o ličnosti u posebne svrhe ako:

1)         ne upozna primaoca sa posebnim uslovima za obradu podataka o ličnosti propisnim zakonom i njegovom obavezom ispunjenja tih uslova (član 118. stav (5));

 

2)         ne dostavi licu na koje se podaci odnose obrazloženu odluku, odnosno ne obavesti lice u roku iz člana 125. st. (5) i (7) ovog zakona;

3)         ne vodi propisane evidencije o obradi (čl. 133. i 134), ili ne beleži radnje obrade (član 135);

4)         ne objavi kontakt podatke lica za zaštitu podataka o ličnosti i ne dostavi ih Povereniku (član 144).

(7)        Prekršajni postupak za prekršaje propisane ovim članom ne može se pokrenuti niti voditi po isteku roka od pet godina od dana izvršenja prekršaja.

Odgovornost fizičkog lica, odgovornog lica u pravnom licu i preduzetnika Član 168.

(1)        Novčanom kaznom od 50.000 do 150.000 dinara kazniće se za prekršaj fizičko lice koje ne čuva kao profesionalnu tajnu podatke o ličnosti koje je saznalo tokom obavljanja poslova (član 89. stav (7) i član 153).

(2)        Za prekršaj iz člana 167. stava (1) ovog zakona kazniće se preduzetnik novčanom kaznom od 200.000 do 500.000 dinara.

(3)        Za prekršaj iz člana 167. stava (1) ovog zakona kazniće se fizičko lice, odnosno odgovorno lice u pravnom licu, državnom organu, odnosno organu teritorijalne autonomije i jedinici lokalne samouprave, kao i odgovorno lice u predstavništvu ili poslovnoj jedinici stranog pravnog lica novčanom kaznom od 50.000 do 150.000 dinara.

(4)        Za prekršaj iz člana 167. stav (4) ovog zakona kazniće se preduzetnik novčanom kaznom od u iznosu od 150.000 dinara.

(5)        Za prekršaj iz člana 167. stav (4) ovog zakona kazniće se fizičko lice, odnosno odgovorno lice u pravnom licu, državnom organu, odnosno organu teritorijalne autonomije i jedinici lokalne samouprave, kao i odgovorno lice u predstavništvu ili poslovnoj jedinici stranog pravnog lica novčanom kaznom u iznosu od 50.000 dinara

Glava XII.

PRELAZNE I ZAVRŠNE ODREDBE

1.         Prelazne odredbe

Zamenik Poverenika Član 169.

Zamenik Poverenika za zaštitu podataka o ličnosti koji je izabran u skladu sa Zakonom o zaštiti podataka o ličnosti (“Službeni glasnik RS”, broj 87/18), nastavlja da vrši tu dužnost do isteka mandata na koji je izabran.

 

Započeti postupci

Član 170.

Postupci po pritužbama povodom zahteva za ostvarivanje prava u vezi sa obradom podataka o ličnosti, postupci nadzora koji nisu okončani do dana stupanja na snagu ovog zakona,postupci po zahtevima za izdavanje dozvole za iznošenje podataka iz Republike Srbije i postupci davanja prethodnog mišljenja na akt o proceni uticaja, okončaće se po odredbama Zakona o zaštiti podataka o ličnosti (“Službeni glasnik RS”, broj 87/18).

Vođenje registra i evidencija Član 171.

Evidencije uspostavljene odredbama Zakona o zaštiti podataka o ličnosti (“Službeni glasnik RS”, broj 87/18) i to evidencija: sertifikacionih tela i izdatih sertifikata o zaštiti podataka o ličnosti; lica za zaštitu podataka o ličnosti; povreda zakona; mera koje se u vršenju inspekcijskog nadzora preduzimaju; odobrenih ugovornih odredbi i odobrenih obavezujućih poslovnih pravila, nastavljaju da se vode stupanjem na snagu ovog zakona.

Podzakonski akti Član 172.

(1)        Podzakonski akti predviđeni ovim zakonom biće doneti u roku od devet meseci od dana stupanja na snagu ovog zakona.

(2)        Podzakonski akti koji su doneti na osnovu Zakona o zaštiti podataka o ličnosti (“Službeni glasnik RS”, broj 87/18) nastavljaju da se primenjuju do donošenja podzakonskih akata iz stava (1) ovog člana, ako nisu u suprotnosti sa ovim zakonom.

Usklađivanje drugih zakona Član 173.

Odredbe drugih zakona, koje se odnose na obradu podataka o ličnosti, uskladiće se sa odredbama ovog zakona u roku od godinu dana od dana stupanja na snagu ovog zakona.

2.         Završne odredbe

Prestanak važenja ranijeg zakona Član 174.

Danom stupanja na snagu ovog zakona prestaje da važi Zakon o zaštiti podataka o ličnosti (“Službeni glasnik RS”, broj 87/18).

 

Stupanje zakona na snagu

Član 175.

Ovaj zakon stupa na snagu osmog dana od dana objavljivanja u “Službenom glasniku Republike Srbije”.

IZ OBRAZLOŽENJA

II. RAZLOZI ZA DONOŠENjE ZAKONA

Razlozi za donošenje novog Zakona o zaštiti podataka o ličnosti su brojni i mogu se razmatrati kako zbog potreba Republike Srbije, tako i zbog, kao i zbog daljeg procesa pridruživanja Republike Srbije Evropskoj uniji. Sa stanovišta unutrašnjeg prava, postojeći pravni okvir zaštite podataka o ličnosti još uvek ne može adekvatno da obezbedi nesmetano ostvarivanje prava na zaštitu podataka o ličnosti u svim oblastima, zbog čega je neophodno izvršiti izmene i dopune normativnog okvira u ovoj oblasti. Kada je u pitanju međunarodna saradnja, odnosno proces pridruživanja Republike Srbije Evropskoj uniji, usklađivanje nacionalnog zakonodavstva sa pravom Evropske unije predstavlja međunarodnopravnu obavezu Republike Srbije. Imajući u vidu navedene razloge, neophodno je unaprediti zakonski okvir koji uređuje ovu oblast.

Zakon o zaštiti podataka o ličnosti (“Službeni glasnik RS”, broj 87/18) stupio je na snagu 21. novembra 2018. godine, a primenjuje se od 22. avgusta 2019. godine, trenutno predstavlja osnovni propis u oblasti zaštite podataka o ličnosti.. Iako je važeći zakon u velikoj meri usklađen sa pravnim tekovinama Evropske unije, od početka njegove primene, praksa je ukazivala da je neophodno dodatno precdizirati njegove odredbe radi lakšeg sporođenja u praksi.

Značaj zaštite podataka o ličnosti za Evropsku uniju (i države članice pojedinačno) izražen je pre svega Poveljom o fundamentalnim pravima Evropske Unije (2000/C 364/01). Pravo na zaštitu podataka zajemčeno je članom 8. navedene Povelje (Zaštita podataka o ličnosti). Najvažniji relevantni propisi Evropske unije koji uređuju oblast zaštite podataka o ličnosti su: Uredba 2016/679 Evropskog parlamenta i Saveta o zaštiti pojedinca u vezi sa obradom podataka o ličnosti i slobodnom kretanju takvih podataka i stavljanju van snage Direktive 98/46/EZ (u daljem tekstu Uredba), kao i Direktivo 2016/680 o zaštiti pojedinca u vezi sa obradom podataka o ličnosti od strane nadležnih tela u svrhe sprečavanja, istrage, otkrivanja ili gonjenja krivičnih dela ili izvršenja krivičnih sankcija i slobodnom kretanju takvih podataka i stavljanju van snage okvirne odluke Saveta 2008/977/PUP (u daljem tekstu: Direktiva)

Navedeni relevantni dokumenti Evropske unije ukazuju da zaštita podataka više nije pitanje harmonizacije prava Evropske unije i pojedinačne implementacije u

 

nacionalno zakonodavstvo, već oblast direktne primene prava Evropske unije. Snažan nezavisni organ za zaštitu podataka o ličnosti je preduslov adekvatne zaštite podataka o ličnosti za Evropsku uniju, na šta ukazuje i postojanje posebnog organa za zaštitu podataka o ličnosti u okviru Unije - Evropskog supervizora za zaštitu podataka o ličnosti, posebnih odeljenja i oficira za zaštitu podataka o ličnosti Europola ili Eurodžasta, kao i odluke Suda pravde Evropske unije o položaju organa nadležnih za zaštitu podataka o ličnosti.

Kao što je rečeno, pored potrebe daljeg usklađenosti sa pravom Evropske unije i standardima zaštite podataka o ličnosti, na neophodnost novih rešenja ukazuje i višegodišnja primena važećeg zakona.

Prema Strategiji zaštite podataka o ličnosti za period od 2023. do 2030. godine (“Službeni glasnik RS”, broj 72/23) najvažniji problemi koji se mogu rešiti izmenama postojećih zakonskih rešenja su sledeći:

-           odmah nakon početka primene važećeg zakona ispoljili su se nedostaci koji sprečavaju efektivno ostvarivanje prava na zaštitu podataka o ličnosti i prouzrokuju pravnu nesigurnost u oblasti koju uređuje. Ova nesigurnost ogleda se naročito u nemogućnosti da se u svakoj situaciji na nedvosmislen način utvrde obaveze određenog rukovaoca, što se posledično odražava i na mogućnost ostvarivanja prava fizičkih lica na koja se odnose podaci koji se obrađuju. Usled toga je primenljivost pojedinih odredaba zakona je dovedena u pitanje, otežana, ili čak onemogućena, pa je zato neophodno pristupiti njegovim izmenama i dopunama;

-           sa porastom broja elektronskih usluga, sve većeg broja uspostavljenih elektronskih evidencija - registara, masovnom razmenom podataka između različitih organa i organizacija, pitanje zaštite podataka o ličnosti koji čine najveći udeo obrađivanih informacija, postaje pitanje od posebnog značaja. Kako bi se smanjila mogućnost zloupotrebe podataka o ličnosti, koja može dovesti i do krađe identiteta, potrebno je zakonom urediti slučajeve u kojima je dozvoljeno kopiranje ili zadržavanje ličnih dokumenata građana;

-           značajan broj rukovalaca i obrađivača još uvek ne ispunjava svoje obaveze koje proizilaze iz važećeg zakona, niti su razvili adekvatne mehanizme postupanja po zahtevima za ostvarivanje prava u vezi sa obradom podataka o ličnosti, usled čega dolazi do učestalog kršenja prava na zaštitu podataka o ličnosti, potrebno je pored preventivnog delovanja i kontinuiranih edukacija rukovalaca i obrađivača, pojačati i odgovornost za povredu osnovnih načela, kao i drugih obaveza utvrđenih važećom zakonom, što bi trebalo da utiče na učesnike u obradi da veću pažnju posvete zaštiti podataka o ličnosti;

-           u Republici Srbiji ne postoje propisi koji na sistemski način uređuju upotrebu sredstava za video i audio nadzor, čija je pristupačnost na tržištu i mogućnost kontrole koju pružaju dovela do širokog korišćenja ovih sredstava u mnogim sferama života kako u privatnom tako i u javnom prostoru, a time i do obrade podataka o fizičkim licima. Pri tome svrha obrade nije uvek konkretno određena i opravdana, niti je uspostavljen odgovarajući pravni osnov za obradu, a što su osnovne pretpostavke zakonitosti obrade i isključenja, odnosno svođenja na minimum slučajeva zloupotrebe tih sredstava;

-           Obrada podataka o ličnosti koji se dobijaju analizom biološkog materijala, kao što su genetički i biometrijski podaci, koji pružaju jedinstvene informacije o određenom fizičkom licu, zbog osetljive prirode tih podataka zahteva dodatno zakonsko uređivanje kako bi bio uspostavljen zaokružen sistem u oblasti zaštite fizičkih lica u vezi sa obradom podataka o ličnosti;

 

-           razvoj i upotreba veštačke inteligencije predstavlja još jedan izazov u oblasti zaštite podataka o ličnosti, s obzirom na mogućnost automatizovanog prikupljanja i analize velikih količina podataka i, s tim u vezi, praćenja ponašanja fizičkih lica i profilisanja;

-           propisane prekršajne novčane kazne nesrazmerno su niske za povredu prava na zaštitu podataka o ličnosti kao osnovnog ljudskog prava, naročito imajući u vidu kazne propisane Opštom uredbom o zaštiti podataka koje se kreću do 20.000.000 evra ili, u slučaju pravnog lica, do 4% ukupnog godišnjeg prometa u svetu za prethodnu finansijsku godinu, u zavisnosti od toga koji iznos je veći. Takođe, prekršajna ni krivično-pravna sudska zaštita lica nije još uvek dovoljno razvijena, naročito ako se uzme u obzir učestalost kršenja prava na zaštitu podataka o ličnosti u Republici Srbiji u prethodnom periodu, što se može videti iz godišnjih izveštaja Poverenika.

Pored toga:

-           potrebno je potpunije urediti pitanje mera bezbednost podataka o ličnosti, kao i preciznije urediti postupak u slučaju da do povrede bezbednosti ipak dođe;

-           potrebno je detaljnije propisati obaveze analize rizika pre započinjanja radnji obrade podataka o ličnosti, posebno ako je u pitanju mogućnost postojanja rizika visokog nivoa;

-           prilikom pripreme zakonskog teksta ocenjeno je da je neophodno izmeniti i sistematiku zakona, kao i intervenisati u većem broju članova važećeg zakona, zbog čega je obim izmena i dopuna sadašnjeg važećeg zakonskog daleko veći nego što je to predviđeno Jedinstvenim metodološkim pravilima za izradu propisa, pa je, shodno tim pravilima ipripremljen tekst novog zakona.

Iz svih navedenih razloga, bilo je neophodno doneti novi Zakon o zaštiti podataka o ličnosti.

Sa druge strane, tekst novog zakona ni na koji način ne odstupa od osnovnih načela važećeg zakona, obima dostignutih prava građana u ovoj oblasti, pravnim mehaniznima za zaštitu prava, niti međunarodnim standardima u ovoj oblasti, već ih dodatno garantuje i olakšava njihovo ostvarivanje.

Pridavanjem značaja pitanjima zaštite podataka o ličnosti, kao što to čini Evropska unija, Republika Srbija iskazuje svoje opredeljenje da svojim građanima obezbedi nivo prava koji imaju građani Evropske unije, čineći ih ravnopravnim sa njima i obezbeđujući time uslove za ostvarivanje drugih društvenih vrednosti na kojima je zasnovana moderna demokratska država, kao što je dostojanstvo ličnosti, sloboda mišljenja i izražavanja, zabrana diskriminacije, kao i dalje obezbeđivanje usklađenosti sa relevantnim dokumentima Evropske unije, što je istovremeno i od velikog značaja za ispunjavenje obaveza Republike Srbije koje su predviđene Pregovaračkim poglavljima 23 i 24.

Prilikom izrade teksta novog zakona korišćeni su inicijative i preporuke za izmenu važećih odredaba (a posebno Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti) koje su upućivane Ministarstvu pravde, zakonodavna rešenja koja je pripremila Posebna radna grupa za pripremu zakonskog teksta, uporedno-pravna zakonska rešenja država u regionu, kao i međunarodna praksa u ovoj oblasti.

 

III. OBJAŠNjENjE       OSNOVNIH    PRAVNIH       INSTITUTA     I POJEDINAČNIH REŠENjA

 

to:

 

Zakon o zaštiti podataka o ličnosti sadrži tri dela, odnosno dvanaest glava, i

Deo prvi OPŠTI DEO - Osnovne odredbe (Glava I), Obrada podataka o ličnosti

 

(Glava II), Prava lica u vezi sa obradom podataka o ličnosti (Glava III), Rukovalac i obrađivač (Glava IV), Prenos podataka o ličnosti u druge zemlje i međunarodne organizacije (Glava V), Deo drugi OBRADA PODATAKA O LIČNOSTI NADLEŽNIH ORGANA U POSEBNE SVRHE - Obrada podataka o ličnosti nadležni organa u druge svrhe (Glava VI), Prava lica kada obradu vrši nadležni organ u posebne svrhe (Glava VII), Nadležni organi u ulozi rukovaoca i obrađivača (Glava VIII), Prenos podataka od strane nadležnih organa u druge države imeđunarodne organizacije (Glava IH), Deo treći POVERENIK, PRAVNA SREDSTVA, ODGOVORNOST I KAZNE -

Poverenik (Glava H), Pravna sredstva, odgovornost i kazne (Glava HI) i Prelazne i završne odredbe (Glava HII).

Deo prvi OPŠTI DEO

Osnovne odredbe (Glava I. zakona) sadrže četiri člana, i uređuju predmet zakona, cilj zakona, njegovu primenu i značenje osnovnih izraza koji se koriste u zakonu. Obzirom na značaj ove glave za tekst celog zakona (posebno što se predviđa značenje najvažnijih izraza koji se koriste kroz ceo tekst zakona), ova glava je i nazvana

“Osnovne odredbe”.

Treba napomenuti da je sistematika zakona u odnosu na važeći zakon promenjena. Naime, s obzirom da pravila iz Direktive predstavljaju ograničenja u odnosu na odredbe iz Uredbe, kroz ceo tekst važećeg zakona data su opšta pravila o obradi podataka koja su predviđena Uredbom, a odmah zatim propisani su izuzeci koji se odnese na obradu podataka u svrhe sprečavanja, istrage, otkrivanja ili gonjenja krivičnih dela ili izvršenja krivičnih sankcija, koji su predviđeni Direktivom. Predložena sistematika zakona uređuje ovo pitanje na drugačiji način zbog lakše i jednostavnije primene zakona, tako da su sve posebne odredbe koje se odnose na nadležne organe u jednoj posebnoj celini, a to je drugi deo zakona. Treba napomenuti i da se, kao i do sada, na obradu podataka o ličnosti nadležnih organa (u slučajevima kada ne obrađuju podatke u posebne svrhe), primenjuje opšti režim kao i na ostale organe vlasti.

U članu 2. zakona zakona propisan je njegov cilj. Opšti cilj zakona je uređenje prava fizičkog lica na zaštitu podataka o ličnosti na način kojim se obezbeđuje efikasna i delotvorna zaštita ovog prava i drugih, sa njim povezanih, prava i sloboda lica na koje se podaci odnose.

Član 3. zakona odnosi se na obim njegove primene, koji je proširen u odnosu na važeće zakonsko rešenje. Stavom 1. je predviđeno da se, pored primene zakona na obradu podataka o ličnosti koju vrši rukovalac, odnosno obrađivač koji ima sedište na teritoriji Republike Srbije, u okviru aktivnosti koje se vrše na teritoriji Republike Srbije, i to bez obzira da li se radnje obrade vrše na teritoriji Republike Srbije, zakon primenjuje i na svaku obradu od od strane rukovaoca, odnosno obrađivača koji nema sedište, odnosno prebivalište, boravište ili odobren boravak na teritoriji Republike Srbije, ako se radnje obrade podataka o ličnosti vrše u okviru aktivnosti na teritoriji Republike Srbije (a ne samo na ponudu robe, odnosno usluga ili praćenje aktivnosti na lica na koje se podaci odnose na teritoriji Republike Srbije, što je sada

 

važeće zakonsko rešenje), čime se dodatno štite prava građana u odnosu na aktivnosti koje se vezane za teritoriju Republike Srbije.

Stavom 2. istog člana predviđeno je da se zakon ne primenjuju se na obradu podataka fizičkog lica za lične potrebe, odnosno za potrebe svog porodičnog domaćinstva, uz zakonsku novinu da se ne primenjuje ni na neautomatizovanu obradu podataka o ličnosti koji ne čini deo zbirke podataka ili nisu namenjeni zbirci podataka. Iako se ovaj dodatak zakonskog rešenja podrazumevao, zbog lakšeg tumačenja u praksi bilo je potrebno to jasno odrediti, odnosno precizirati.

Stav 4. istog člana ukazuje na značaj ovog zakona kao zakona koji u oblasti zaštite podataka o ličnosti ima opšti i sistemski karakter, kao i potrebu da posebni zakoni (obzirom da se zakonom mora urediti prikupljanje, držanje, obrada i korišćenje podataka o ličnosti), kada uređuju obradu podataka moraju biti usklađeni sa ovim zakonom, jer on ovu oblast celovito i najdetaljnije uređuje.

Jedan od najvažnijih članova zakona je svakako član 4. u kome su data objašnjenja najznačajnih pojmova koji se u zakonu koriste. U odnosu na važeći zakon (koji sadrži 26 osnovnih pojmova), sada su u zakonu kao novi pojmovi određeni: “anonimizacija”,

“kriptozaštita”, “rizik”, “upravljanje rizicima bezbednosti podataka o ličnosti”

“video nadzor”, “Akredaciono telo Srbije”, “akreditacija, sertifikat o akreditaciji i ocenjivanje usaglašenosti”, “sertifikaciono telo”, “obavljanje poslova u javnom interesu” i “legitimni interes”. U odnosu na dosadašnja zakonska rešenja značajno su precizirani i pojmovi: “multinacionalno privredno društvo” i “organ vlasti”. Praksa u primeni sadašnjeg zakona je pokazala da bi bilo korisno propisati pojmove

“anonimizacija” i “kriptozaštita”, s obzirom je je reč o pojmovima koji su poznati organima vlasti i da je reč o postupcima koji podatke o ličnosti štite od pristupa neovlašćenim licima. Kao što je rečeno novinu predstavlja određivanje pojmova

“rizik”, “upravljanje rizicima bezbednosti podataka o ličnosti”. Imajući u vidu da je reč o obavezama vezanim za rukovaoce i obrađivače (propisanim u pododeljku

“Upravljanje rizicima bezbednosti podataka o ličnosti”), svakako da je nužno i odrediti značenje ovih osnovnih pojmova. Isto tako, određni su i pojmovi

“Akredaciono telo Srbije”, “akreditacija, sertifikat o akreditaciji i ocenjivanje usaglašenosti” i “sertifikaciono telo”, koji su veoma značani za proces sertifikacije i istovremeno izvršeno potrebno usklađivanje sa Zakonom o akreditaciji (“Službeni glasnik RS”, br. 73/10 i 47/21). Kao što je rečeno, jedan od ciljeva zakona je propisivanje obrade podataka o ličnosti u vezi sa video nadzorom. Iz navedenog razloga, nužno je i odrediti značenje tog pojma. U praksi, postojale su značajne nejasnoće šta se smatra pod pojmovima “obavljanje poslova u javnom interesu” i “legitimni interes”. S obzirom da je reč o osnovima za zakonitu obradu podataka o ličnosti, neophodno ih je bilo odrediti u opštem značenju pojmova. Zbog toga, precizirano je da se pod “obavljanjem poslova u javnom interesu” podrazumeva delovanje organa vlasti na zaštiti interesa koji predstavljaju dobrobit za sve građane ili veliku većinu građana Republike Srbije, a naročito: nacionalne bezbednosti, uključujući odbranu, unutrašnju bezbednost, obavljanje bezbednosno-obaveštajnih poslova i međunarodni položaj zemlje; ekonomske i fanansijske stabilnosti; javnog zdravlja; prirodnih resursa i životne sredine; sprečavanje ili otkrivanje krivičnog dela, optuženja za krivično delo, vođenje sudskog ili drugog pravno uređenog postupka, kao i života, zdravlja, bezbednosti ili kojeg drugog važnog dobra nekog lica.

Još veći problem u praksi je bio oko toga šta predstavlja pojam “legitimni interes”, kao jedan od osnova za zakonitu obradu podataka. Iz tog razloga, propisano je da se pod ovim pojmom podrazumeva stvaran, konkretan i pravno dopušten interes rukovaoca ili treće strane, koji je poslovnog ili šireg društvenog karaktera, da u

 

okviru uspostavljenog odnosa sa fizičkim licem obrađuje podatke o ličnosti tog lica, uključujući njihov prenos trećoj strani, bez pribavljene saglasnosti tog lica, uz poštovanje principa neophodnosti, podobnosti i srazmernosti u odnosu na ostvarivanje svrhe obrade (sprečavanje prevara, zaštita informacione bezbednosti i dr.), pod uslovom da nad tim interesom ne pretežu interesi ili osnovna prava i slobode lica na koje se podaci odnose, uzimajući u obzir razumna očekivanja tih lica zasnovana na njihovom odnosu sa rukovaocem.

Treba istaći i da je pojam “Poverenik” usklađen sa istim pojmom u Zakonu o slobodnom pristupu informacijama od javnog značaja (“Službeni glasnik RS” br. 120/04, 54/07, 104/09, 36/10 i 105/21), s obzirom da su tim zakonom uređni sedište Poverenika, izbor Poverenika i zamenika Poverenika, prestanak njihovog mandata, postupak njihovog razrešenja, njihov položaj, Stručna služba Poverenika, kao i finansiranje i podnošenje izveštaja, što propisuje i ovaj zakon (član 150).

Glava druga zakona (Obrada podataka o ličnosti čl. 5. do 53) uređuje načela koja se odnose na obradu podataka, zakonitost obrade, transparentnost obrade, obradu podataka u druge svrhe, obradu posebnih kategorija podataka o ličnosti, posebne slučajeve obrade podataka o ličnosti, obradu genetičkih i biometrijskih podataka, obradu podataka o ličnosti upotrebom video nadzora i obradu podataka o ličnosti korišćenjem veštačke inteligencije.

Odeljak 1. ove glave zakona uređuje osnovna načela obrade podataka o ličnosti. Član 5. Predloga zakona propisuje načela obrade podataka o ličnosti. Ta načela su sledeća: zakonitost, poštenje, transparentnost, ograničenje u odnosu na svrhu obrade, minimizacija podataka, tačnost, ograničenje čuvanja, integritet i poverljivost i odgovornost za postupanje. Osnovna načela izražavaju osnovne vrednosti u oblasti obrade podataka o ličnosti i zaštiti prava lica u vezi sa obradom podataka.

Načelo zakonitosti (član 5) podrazumeva da se podaci o ličnosti moraju obrađivati zakonito, na način kojim se obezbeđuje predvidljivost u postupanju rukovaoca, jednakost pred zakonom i zaštita prava fizičkog lica u vezi sa obradom njegovih podataka o ličnosti.

Načelo poštenja (član 6) određuje da brada podataka o ličnosti mora biti poštena, odnosno zasnovana na pravičnim osnovama, pri čemu je rukovalac dužan da prilikom obrade vodi računa o opravdanim interesima i razumnim očekivanjima lica na koje se podaci odnose.

Načelo transparentonosti (član 7) predviđa da je transparentna obrada ona obrada podataka o ličnosti pri kojoj rukovalac omogućava licu na koje se podaci odnose da bude obavešteno o obradi na jasan, razumljiv i lako dostupan način.

Načelo ograničenje u odnosu na svrhe obrade (član 8) podrazumeva da se podaci o ličnosti moraju prikupljati samo u svrhe koje su konkretno određene, izričite, opravdane i zakonite i dalje se ne mogu obrađivati na način koji nije u skladu sa tim svrhama.

Načelo minimizacije podataka (član 9) podrazumeva da podaci koji se obrađuju moraju biti neophodni i bitni i ograničeni samo na ono što je neophodno u odnosu na svrhu obrade.

Načelo tačnosti podataka (član 10) podrazumeva ne samo da podaci o ličnosti moraju biti tačni, nego i da se moraju preduzeti sve potrebne mere da se netačni podaci o ličnosti bez odlaganja izbrišu ili isprave.

Načelo ograničenje čuvanja (član 11) podrazumeva da se podaci moraju čuvati u obliku koji omogućava idektifikaciju lica samo u vremenskom periodu neophodnom za ostvarivanje svrhe obrade.

 

Načelo integriteta i poverljivosti (član 12) podrazumevaju da se podaci moraju obrađivati na način koji obezbeđuje odgovarajuću zaštitu podataka o ličnosti, što uključuje zaštitu podataka od neovlašćene ili nezakonite obrade, od slučajnog gubitka, od uništenja ili oštećenja, kao i primenu odgovarajućih mera zaštite.

Načelo odgovornosti za postupanje (član 13) određuje da je rukovalac odgovoran za poštovanje i primenu osnovnih načela obrade podataka o ličnosti i da je dužan da predoči njihovu primenu.

Član 14. zakona propisuje pravne osnove za obradu podataka o ličnosti. Uslov za zakonitost obrade ako se zasniva na jednom od osnova za obradu podataka, kao i ako su ispunjeni propisani uslovi u pogledu svakog od tih osnova. Ti osnovi su sledeći: poštovanje zakonskih obaveza rukovaoca; obavljanje poslova u javnom interesu ili izvršenje zakonom propisanih ovlašćenja rukovaoca; zaštita životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica; pristanak lica na obradu podataka o ličnosti, za jednu ili više posebno određenih svrha; izvršenje ugovora zaključenog sa licem na koje se podaci odnose i ostvarivanje legitimnih interesa rukovaoca ili treće strane.

Kada je osnov za obradu podataka o ličnosti poštovanje zakonskih obaveza rukovaoca, odnosno obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja rukovaoca, obrada je zakonita ako je neophodna u cilju ostvarivanja svrhe obrade i pod uslovom da je, kao takva, određena zakonom (član 15). U slučaju obrade u cilju poštovanja zakonskih obaveza rukovaoca, posebnim zakonom se određuje i svrha obrade. U slučaju obrade u cilju obavljanja poslova u javnom interesu ili izvršenje zakonom propisanih ovlašćenja rukovaoca, zakonom se određuje javni interes koji se namerava ostvariti obavljanjem konkretnog posla, odnosno ovlašćenje koje se primenjuje, kao i obaveza poštovanja principa srazmernosti obrade u odnosu na cilj ostvarivanja svrhe. Kada je u pitanju zaštita životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica, posebnim zakonom se mogu propisati i uslovi za dozvoljenost obrade od strane rukovaoca, vrsta podataka koji su predmet obrade, lica na koje se podaci o ličnosti odnose, lica kojima se podaci mogu otkriti i svrha njihovog otkrivanja, ograničenja koja se odnose na svrhu obrade, rok skladištenja i čuvanja podataka, kao i druge posebne radnje i postupak obrade, uključujući i mere za obezbeđivanje zakonite, poštene i transparentne obrade.

Obrada podataka o ličnosti je zakonita ako je rukovalac u mogućnosti da predoči da je obrada neophodna u cilju ostvarivanja svrhe obrade, kada se radi o zaštiti životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica kaoosnovu za obradu (član 16).

Članom 17. zakona je uređeno pitanje pristanka kao osnova za obradu podataka. Pristanak lica na obradu podataka o ličnosti mora biti dobrovoljan, određen i nedvosmislen, u vidu izjave, jasne potvrdne, odnosno druge konkludentne radnje, donete na osnovu svih potrebnih informacija. Kada pristanak daje maloletno lice u vezi sa korišćenjem usluga informacionog društva (član 18), predviđeno je da takav pristanak može samostalno da daje maloletno lice koje je navršilo 15 godina života. Ako to nije slučaj, pristanak mora dati roditelj koji vrši roditeljsko pravo, odnosno drugi zakonski zastupnik maloletnog lica. Prilikom određivanja ove starosne granice imalo se u vidu da maloletnik od 15 godina može da zasnuje radni odnos, kao i da se radi o davanju saglasnosti za obradu podataka o ličnosti u korišćenju usluga informacionog društva, koje maloletnici i inače veoma često koriste, zbog čega je uzrast od 15 godina primeren za samostalno davanje ovakve saglasnosti.

Kada je osnov za obradu podataka o ličnosti izvršenje ugovora, obrada je zakonita ako je neophodna za izvršenje ugovora zaključenog sa licem na koje se podaci odnose ili

 

se radi o neophodnosti obrade podataka o ličnosti u vezi sa preduzimanjem radnji, a na zahtev lica na koje se podaci odnose,i to pre zaključenja ugovora (član 19).

Ako je osnov za obradu podataka o ličnosti ostvarivanje legitimnih interesa rukovaoca ili treće strane (član 20), obrada je zakonita ako je neophodna u cilju ostvarivanja tih interesa, osim ako su nad tim interesima pretežniji interesi ili osnovna prava i slobode lica na koje se podaci odnose, koji zahtevaju zaštitu podataka o ličnosti, a posebno ako je lice na koje se podaci odnose maloletno lice. Ovaj osnov za obradu podataka se ne može primeniti na obradu koju vrši organ vlasti u okviru svoje nadležnosti.

Transparentnost obrade bliže je uređena čl. 21. do 27. zakona (Odeljak 3. iste glave zakona).

Obrada podataka o ličnosti je transparentna ako je rukovalac preduzeo odgovarajuće mere da informiše lice na koje se podaci odnose o nameravnoj obradi podataka o ličnosti, u slučaju kada se podaci prikupljaju od njega lično, odnosno o započetoj obradi, kada se podaci ne prikupljaju od lica na koje se odnose, kao i ostvarivanju drugih prava propisanih ovim zakonom, u vezi sa obradom podataka o ličnosti. Informacije se pružaju na jasan, transparentan, razumljiv i lako dostupan način, korišćenjem jasnih i jednostavnih reči, a posebno ako se radi o informaciji koja je namenjena maloletnom licu (član 21).

Kada se podaci o ličnosti prikupljaju od lica na koje se odnose, rukovalac je dužan da tom licu pruži informacije o identitetu i kontakt podacima rukovaoca, kao i njegovog predstavnika, ako je on određen; kontakt podatke lica za zaštitu podataka o ličnosti, ako je ono određeno; o svrsi nameravane obrade i pravnom osnovu za obradu; o vrsti podataka koji se obrađuju; o legitimnom interesu rukovaoca ili treće strane o primaocu, odnosno grupi primalaca podataka o ličnosti, ako oni postoje, kao i o činjenici da rukovalac namerava da iznese podatke o ličnosti u drugu državu ili međunarodnu organizaciju (član 22). Pored toga, licu na koje se podaci odnose je dužan da pruži i druge dodatne informacije navedene u članu 23. zakona.

Kada je u pitanju slučaj kada se podaci podaci o ličnosti ne prikupljaju od lica na koje se podaci odnose, ostaje ista obaveza rukovaoca pružanja osnovnih informacija o obradu, kao i pružanja dodatnih informacija, ako su iste neophodne da bi se obezbedila poštena i transparentna obrada, kao i informaciju o izvoru iz kog potiču podaci o ličnosti (član 24).

Kada rukovalac namerava da dalje obrađuje podatke o ličnosti u svrhu koja je različita od one za koju su podaci prikupljeni, rukovalac je dužan da pre započinjanja dalje obrade, licu na koje se podaci odnose, bez obzira da li se podaci prikupljaju od tog lica ili lica na koje se podaci ne odnose, pruži informacije o toj drugoj svrsi, kao i sve druge bitne dodatne informacije (član 25).

Članom 26. zakona propisani su slučajevi oslobođenja rukovaoca obaveze pružanja informacija. Kada je u pitanju lice na koje se podaci odnose, obaveza ne postoji ako lice već raspolaže tim informacijama. Kada nije u pitanju prikupljanje podataka od lica na koje se podaci odnose, oslobođenje od obaveze pružanja informacija postoji ako je pružanje takvih informacija nemoguće ili bi zahtevalo nesrazmeran utrošak vremena i sredstava; ako       je verovatno da bi izvršenje obaveza pružanja informacija onemogućilo ili bitno otežalo ostvarivanje svrhe obrade; ako je prikupljanje ili otkrivanje podataka o ličnosti izričito propisano zakonom i ako se podaci o ličnosti moraju zaštititi u skladu sa obavezom čuvanja profesionalne tajne.

Rokovi za pružanje informacija su propisani u članu 27. zakona, pri čemu se takođe pravi razlika između pružanja informacija licu na koje se podaci odnose,

 

odnosno u slučaju kada se podaci o ličnosti ne prikupljaju od lica na koje se podaci odnose.

Četvrti odeljak iste glave zakona uređuje obradu u druge svrhe (čl. 28. do 31).

Obrada podataka o ličnosti u druge svrhe je ona obrada kod koje se svrha obrade razlikuje od svrhe za koju su podaci prvobitno prikupljeni, ako su ispunjeni sledeći uslovi: da se podaci obrađuju od strane istog rukovaoca; da postoji međusobna usklađenost između svrhe za koju su podaci prvobitno prikupljeni.

Smatra se da se podaci o ličnosti ne obrađuju na način koji nije u skladu sa prvobitnom svrhom, ako se dalja obrada vrši u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja, kao i u statističke svrhe.

Obrada podataka u druge svrhe može biti zasnovana i na posebnom zakonu, odnosno pristanku lica na koje se podaci o ličnosti odnose. Kada obrada podataka o ličnosti u svrhu koja je različita od svrhe za koju su podaci prikupljeni nije zasnovana na zakonu ili na pristanku lica na koje se podaci odnose, rukovalac je dužan da oceni da li je ta druga svrha obrade međusobno usklađena sa svrhom obrade za koju su podaci prikupljeni. Tom prilikom se posebno uzima u obzir: da li postoji veza između svrhe za koju su podaci prikupljeni i druge svrhe nameravane obrade; okolnosti u kojima su podaci prikupljeni, uključujući i odnos između rukovaoca i lica na koje se podaci odnose; priroda podataka, a posebno da li se obrađuju posebno osetljivi podaci o ličnosti, odnosno podaci o ličnosti u vezi sa kažnjivim delima i sudskim odlukama u krivičnom i prekršajnom postupku; moguće posledice dalje obrade za lice na koje se podaci odnose i primena odgovarajućih mera zaštite, kao što su kriptozaštita i pseudonimizacija.

Peti odeljak iste glave zakona uređuje obradu posebnih kategorija podataka o ličnosti (čl. 32. do 34). Reč je obradi posebno osetljivih podataka o ličnosti, obradi podataka u vezi sa kažnjivim delima i obradi podataka koja ne zahteva identifikaciju. Posebno osetljivi podaci o ličnosti su podaci kojima se otkriva rasno ili etničko poreklo, političko mišljenje, uključujući i članstvo u političkom subjektu, versko ili filozofsko uverenje ili članstvo u sindikatu, kao i obrada genetičkih podataka, biometrijskih podataka u cilju jedinstvene identifikacije lica, podataka koji se odnose na zdravlje ili podataka o seksualnom životu ili seksualnoj

orijentaciji fizičkog lica.

Načelno, zbog njihove osetljivosti, zabranjena je obrada ovakvih podataka, međutim zakon izričito propisuje deset izuzetaka kada je obrada ovakvih podataka dopuštena. Reč je o slučajevima kada je lice na koje se podaci odnose dalo izričit pristanak za obradu, ako je obrada neophodna u cilju izvršenja obaveza propisanim zakonom, u cilju zaštite životnih interesa lica na koje se podaci odnose i drugo, odnosno o onim situacijama kada je ovakvo odstupanje opravdano.

Obrada podataka o ličnosti koji se odnose na kažnjiva dela i odluke donete u krivičnom i prekršajnom postupku, može se vršiti ako je zasnovana na jednom od osnova za obradu, i to samo pod nadzorom nadležnog organa, uz punu primenu odgovarajućih posebnih mera zaštite prava i sloboda lica na koje se podaci odnose. Sa druge strane, evidencije o odlukama donetim u krivičnom i prekršajnom postupku mogu se voditi isključivo od strane i pod nadzorom nadležnog organa.

Obrada koja ne zahteva identifikaciju je ona obrada kada za ostvarivanje svrhe obrade nije potrebno, odnosno više nije potrebno da rukovalac identifikuje lice na koje se podaci odnose. U tom slučaju, rukovalac nije dužan da zadrži, pribavi ili obradi dodatne informacije radi identifikacije tog lica, pri čemu se ne primenjuju

 

odredbe zakona kojima se uređju prava lica na pristup, ispravku ili dopunu i brisanje podataka o ličnosti, kao i prava na ograničenje obrade, obavezu obaveštavanja u vezi sa ispravkom ili brisanjem podataka i pravo na prenosivost podataka, osim ako lice na koje se podaci odnose ne dostavi dodatne informacije o svojoj identifikaciji.

Šestim odeljkom iste glava zakona uređeni su posebni slučajevi obrade podataka o ličnosti (čl. 35. do 44).

Posebni slučajevi obrade podataka imaju svoje specifičnosti u odnosu na ostale odredbe zakona, pa su zbog toga predviđene u posebnom odeljku. Reč je o obradi podataka o ličnosti koja se vrši u svrhe novinarskog istraživanja i objavljivanja informacija u medijima, kao i svrhe naučnog, umetničkog ili književnog izražavanja, odnosu obrade podataka o ličnosti i slobodnog pristupa informacijama od javnog značaja, obradi jedinstvenog matičnog broja građana, obradi podataka u oblasti rada i zapošljavanja, zaštiti i ograničenju primene odredbi zakona na obradu podataka u svrhe arhiviranja u javnom interesu, naučnog ili istorijskog istraživanja i u statističke svrhe, obradi podataka o ličnosti od strane crkava i verskih zajednica, kao i obradi podataka o ličnosti u humanitarne svrhe od strane organa vlasti.

Na obradu podataka o ličnosti koja se vrši u svrhe novinarskog istraživanja i objavljivanja informacija u medijima, kao i u svrhe naučnog, umetničkog ili književnog izražavanja, ne primenjuju se značajan deo odredbi ovog zakona kojima,pod uslovom da su, u konkretnom slučaju, izuzeci od primene zakonskih odredbi neophodni u cilju zaštite slobode izražavanja i informisanja. Dakle, odmeravanje pretežnijeg interesa između dva zaštićena dobra mora se ceniti u svakom konkrtnom slučaju. Sa druge strane, to svakako ne oslobađa rukovaoca, odnosno obrađivača na primenu pojedinih mera zaštite podataka o ličnosti, kao što su pseudonimizacija i anonimizacija, na način kojim se obezbeđuje da se sloboda izražavanja i informisanja i pravo na zaštitu podataka o ličnosti mogu ostvariti zajedno (član 35).

Slična situacije je kod odnosa između podataka o ličnosti i slobodnog pristupa informacijama od javnog značaja. U članu 36. zakon predviđa da informacije od javnog značaja koje sadrže podatke o ličnosti mogu biti učinjene dostupnim tražiocu informacije od strane organa vlasti na način kojim se obezbeđuje da se pravo javnosti da zna i pravo na zaštitu podataka o ličnosti mogu ostvariti zajedno, u meri propisanoj zakonom kojim se uređuje slobodan pristup informacijama od javnog značaja i ovim zakonom, uključujući primenu mera zaštite podataka o ličnosti, a posebno anonimizaciju.

Kada je u pitanju obrada jedinstvenog matičnog broja građana, primenjuju se odredbe zakona kojim se uređuje jedinstveni matični broj građana, odnosno drugog zakona, uz primenu odredbi ovog zakona koje se odnose na zaštitu prava i sloboda lica na koje se podaci odnose (član 37. stav 1). Zakonsku novinu predstavlja propisivanje izričite zabrane radnji obrade jedinstvenog matičnog broja građana (stav 2. istog člana), kojom se ovaj broj čini javno dostupnim neograničenom broju lica. Imajući u vidu da je u praksi bilo zloupotreba oko obrade jedinstvenog matičnog broja građana, a posebno objavljivanjem na društvenim mrežama, neophodno je propisati ovakvu izričitu zabranu. Nepoštovanje ove zakonske odredbe predstavlja i osnov za prekršajnu odgovornost, s obzirom da je takva radnja propisana kao poseban prekršaj u kaznenim odredbama zakona.

U odnosu na važeće zakonsko rešenje, precizirana je obrada podataka o ličnosti

u oblasti rada i zapošljavanja (član 38). Propisano je da se na ovu oblast primenjuju se odredbe zakona kojima se uređuje rad i zapošljavanje i kolektivni ugovori, uz primenu odredbi ovog zakona. Dodatno preciziranje se odnosi da poseban zakon, u odredbama koje

 

se odnose na zaštiti podataka o ličnosti, mora propisati i posebne mere zaštite dostojanstva ličnosti, legitimnih interesa i osnovnih prava lica na koje se podaci odnose, posebno u odnosu na transparentnost obrade, razmenu podataka o ličnosti unutar multinacionalnog privrednog društva, odnosno grupe privrednih društava, kao i sistem nadzora nad obradom podataka o ličnosti u radnoj sredini.

Član 39. zakona posebno uređuje obradu podataka u svrhe arhiviranja u javnom interesu i precizira takvu vrstu obrade, dok član 40. zakona obradu podataka u svrhe naučnog ili istorijskog istraživanja, a član 41. zakona obradu u statističke svrhe. Važećim zakonom (član 92) sve navedene obrade u posebne svrhe bile su uređene jednim članom, međutim zbog jasnoće zakonskog teksta i potrebe dodatnog zakonskog preciziranja radi lakše primene u praksi, bilo je neophodno obradu podataka u svakom od tih slučajeva pojedinačno urediti.

U čl. 42. i 43. zakona uređena je obrada podataka od strane crkve i verske zajednice, odnosno obrada u humanitarne svrhe od strane organa vlasti. U tim odredbama nema značajnijih odstupanja od odredaba važećeg zakona.

Zakonsku novinu predstavljaju odredbe člana 44. Reč je obradi podataka u svrhe podnošenja pravnog zahteva, kao posebnom slučaju obrade podataka o ličnosti. S obzirom da je obrada podataka u svrhe podnošenja pravnog zahteva u pravno uređenom postupku vezan za ostvarivanje pojedinih zakonskih prava, potrebno je i bliže urediti međusoban odnos različitih zakona u tim slučajevima.

Video nadzor i njegova upotreba nije sistemski uređena krovnim celovitim zakonom u Republici Srbiji, zbog čega je neophodno korišćenje sistema video nadzora i obradu podataka o ličnosti urediti u ovom zakonu (Sedmi odeljak iste glave zakona - čl. 45 do 51). Dodatni razlog predstavlja i činjenica široke upotrebe video nadzora u današnje vreme, kao i nepostojanje jasnih pravila ovakve obrade podataka i zaštite podataka o ličnosti. Uporedno-pravni zakoni većeg broja drugih država (pa i država u regionu) već sadrži određni broj pravila u okviru zakona koji uređuje zaštitu podataka o ličnosti. U značenju osnovnih izraza (član 4. tačka 20) zakona)) video nadzor je određen kao sistem koji se koristi za monitoring, odnosno nadziranje određenog prostora, zatvorenog ili otvorenog, putem kamera kojima se vrši prikupljanje i dalja obrada podataka o ličnosti.

Najvažnije odredbe člana 45. zakona su da se:

-           obrada podataka o ličnosti upotrebom sistema video nadzora, može vršiti samo u svrhu koja je neophodna i opravdana za zaštitu lica, imovine, podataka koji su određeni za tajne i podataka koji su određeni kao poslovna tajna, pod uslovom da u konkretnom slučaju interesi lica na koja se podaci odnose ne pretežu nad interesom obrade podataka u navedene svrhe;

-           da je zabranjeno korišćenje sistema video nadzora u prostorijama za odmor, ličnu higijenu, presvlačenje i drugim prostorijama odnosno prostoru gde lice opravdano očekuje veći nivo privatnosti;

-           da je rukovalac dužan da vidno obeleži objekat, prostor, prostoriju u njemu i spoljnu površinu objekta koji je pod video nadzorom;

-           da se snimci dobijeni putem video nadzora čuvaju se najduže do šest meseci;

-           da sistem video nadzora mora biti zaštićen od pristupa neovlašćenih lica.

-           da je pristup, korišćenje ili prenos snimaka sistema video nadzora dozvoljen je samo u svrhe koje su postojale u vreme nastanka snimka, kao i da je zabranjena upotreba sistema video nadzora za daljinsku, masovnu i neselektivnu biometrijsku identifikaciju lica.

Obaveštenje o video nadzoru mora biti vidno istaknuto, predstavljeno grafičkim simbolima i praćeno odgovarajućim tekstom, koji obavezno sadrži naznaku

 

da je prostor pod video nadzorom, naziv rukovaoca, kao i kontakt podatke rukovaoca, putem kojih lice može dobiti informacije u vezi sa obradom podataka i ostvariti svoja prava (član 46).

Rukovalac može upotrebom sistema video nadzora da vrši obradu podataka o ličnosti u vezi sa pristupom u službene, odnosno poslovne prostorije i prostore, ukoliko je to neophodno u svrhu zaštite bezbednosti lica i imovine, kontrole ulaska ili izlaska iz poslovnog prostora ili ako zbog prirode posla postoji povećani rizik za zaposlene i druge korisnike tog prostora (član 47). O uvođenju video nadzora rukovalac mora doneti odluku u pismenoj formi, koja sadrži razloge za njegovo uvođenje. Značajno je i to da je zabranjen pristup snimcima sistema video nadzora preko interne kablovske televizije, javne kablovske televizije ili drugih sredstava za elektronsku komunikaciju kojima se takvi snimci mogu preneti, bilo u trenutku njihovog nastanka ili nakon toga, ali i to da rukovalac može sistemom video nadzora da obuhvati i javni prostor koji je u neposrednoj blizini tog poslovnog prostora (naravno pod uslovom da je to neophodno zbog zaštite bezbednosti lica i imovine).

Slične su i odredbe člana 48. zakona koje uređuju video nadzor u poslovnom prostoru, uz specifičnost da je rukovalac dužan da pre donošenja odluke o uvođenju sistema video nadzora u poslovnom prostoru obavesti reprezentativni sindikat kod rukovaoca, kao i da je zabranjeno korišćenje sistema video nadzora u svrhu praćenja rada zaposlenih.

Kada se vrši obrada podataka o ličnosti primenom sistema video nadzora, bez obzira na to da li je ta obrada propisana zakonom ili se sprovodi na osnovu odluke, rukovalac je dužan da vodi evidenciju koja omogućava naknadno utvrđivanje koji su snimci obrađeni, kada i kako su korišćeni ili kome su prosleđeni, ko je izvršio ove radnje obrade, kada i u koju svrhu i po kom pravnom osnovu. Podaci iz evidencije čuvju se godinu dana (član 49).

Kod uspostavljanja sistema video nadzora u stambenim, odnosno poslovno-stambenim zgradama, potrebna je pismena odluka stambene zajednice (član 50). Odluka je doneta je ako se za nju izjasne članovi skupštine stambene zajednice. Zabranjen je pristup sistemu video nadzora preko interne kablovske televizije, javne kablovske televizije ili drugih sredstava za elektronsku komunikaciju, kojima se takvi snimci mogu preneti, bilo u trenutku njihovog nastanka ili nakon toga. Zabranjeno je vlasnicima privatnog stana ili kuće da za lične potrebe, odnosno za potrebe svog domaćinstva, uspostavljaju i koriste sistem video nadzora na način kojim ugrožava prava drugih uključujući snimanje javnog prostora, kao i prostora koje koriste drugi.

Upotreba video nadzora na javnim površinama dozvoljena je samo organima javne vlasti, pravnim licima s javnim ovlašćenjima i pravnim licima koja obavljaju poslove u javnom interesu, ako je propisana zakonom i neophodna za izvršenje poslova i ovlašćenja organa javne vlasti ili radi zaštite života i zdravlja ljudi i imovine (član 51).

Osmi pododeljak zakona uređuje obradu podataka o ličnosti korišćenjem veštačke inteligencije. Kao što je rečeno u razlozima za donošenje zakona, korišćenje veštačke inteligencije i njen odnos prema obradi podataka o ličnosti je nužno urediti u ovom zakonu. Posebno zbog značaja koji korišćenje veštačke inteligencije sve više ima u savremenom društvu. Član 52. zakona daje osnovna pravila u vezi korišćenja veštačke inteligencije, a to su: obrada podataka o ličnosti u svrhu primene, može se vršiti ako je u skladu sa prvobitnom svrhom za koju su podaci prikupljeni, a u izuzetnim slučajevima na osnovu legitimnog interesa rukovaoca ili trećeg lica koji preteže nad pravima i slobodama lica čiji se podaci obrađuju. Pri takvoj obradi rukovalac je u obavezi da primenjuje odgovarajuće tehničke,

 

organizacione i kadrovske mere zaštite podataka, naročito kako bi se obezbedilo poštovanje načela minimizacije, što uključuje pseudonimizaciju ili anonimizaciju. Lice čiji se podaci obrađuju može ostvariti pravo na pristup i prigovor, osim ako to ne bi značajno otežalo ostvarivanje svrhe ili ako rukovalac ne može da identifikuje to lice. Odredbe ovog zakona kojim se uređuje pravo na ispravku ili dopunu podataka, ograničenje obrade, prava u vezi sa automatizovanim donošenjem pojedinačnih odluka, pravo na brisanje, kao i pravo na prenosivost podataka, ne primenjuju se. Podaci o ličnosti se brišu, nakon ispunjenja svrhe obrade podataka o ličnosti korišćenjem sistema veštačke inteligencije.

Stavom 1. člana 53. zakona propisani su uslovi po kojim je dozvoljena obrada podataka korišćenjem veštačke inteligencije u zavisnosti od sistema veštatke inteligencije u kojima se podaci obrađuju. Lice čiji se podaci obrađuju mora biti obavešteno o korišćenju sistema veštačke inteligencije na jasan i pristupačan način, najkasnije u trenutku prve interakcije ili prvog izlaganja sadržaja. Pored toga, istim članom zakona propisano je i da obrada podatka o ličnosti isključivo upotrebom sistema veštačke inteligencije nije dozvoljena ako može da proizvede štetne posledice po lice na koje se podaci odnose ili značajno utiče na položaj tog lica, odnosno ako je posebnim zakonom zabranjeno korišćenje takvih sistema. Tu postoji i izuzetak da je obrada podataka upotrebom isključivo sistema veštačke inteligencije dozvoljena kada se obrada vrši u statističke, naučne ili istorijske svrhe. Propisana je i obaveza rukovaoca da je dužan da označi da je u pitanju generisani, odnosno modifikovan sadržaj, osim ako je u pitanju sistem veštačke inteligencije namenjen otkrivanju i gonjenju učinioca krivičnog dela.

Glava treća zakona (Prava lica u vezi sa obradom podataka o ličnosti čl. 54. do 66) uređuje prava lica na koje se podaci odnose, ograničenja prava i obaveza, kao i postupak po zahtevu za ostvarivanje prava. Prava lica na koji se podaci odnose su uređena čl. 54. do 62.

Članom 54. zakona uređuje se pravo lica na pristup podacima o ličnosti, uključujući pravo da dobije informaciju o obradi, kao i kopiju podataka koji se obrađuju. Propisuje se i obim informacija koje je rukovalac dužan da pruži, način dostavljanja, kao i ograničenja radi zaštite prava drugih lica.

Pravo lica na ispravku netačnih i dopunu nepotpunih podataka o ličnosti, bez nepotrebnog odlaganja, u skladu sa svrhom obrade uređeno je članom 55. zakona dok je članom 56. zakona propisano pravo na brisanje podataka o ličnosti, kao i uslovi pod kojima je rukovalac dužan da izvrši brisanje. Uređuje se i obaveza rukovaoca u slučaju javne objave podataka (“pravo na zaborav”).

Članom 57. zakona propisuju se izuzeci od prava na brisanje podataka, u slučajevima kada je obrada neophodna radi ostvarivanja zakonom utvrđenih ciljeva, uključujući javni interes i zaštitu pravnih zahteva, dok se članom 58. zakona uređuje pravo na ograničenje obrade podataka o ličnosti, kao i uslovi pod kojima se ovo pravo može ostvariti, uključujući obaveze rukovaoca u slučaju prestanka ograničenja.

Obaveza rukovaoca da obavesti primaoce podataka o izvršenim ispravkama, brisanju ili ograničenju obrade, kao i pravo lica da bude informisano o tim primaocima propisana je članom 59. zakona, dok je članom 60. zakona propisano pravo na prenosivost podataka, odnosno pravo lica da svoje podatke primi u odgovarajućem formatu i prenese drugom rukovaocu, pod propisanim uslovima.

Članom 61. zakona uređuje se pravo lica na prigovor na obradu podataka o ličnosti, kao i obaveza rukovaoca da obustavi obradu, osim u slučaju postojanja pretežnih zakonskih razloga, dok se članom 62. zakona uređuje pravo lica na zaštitu u

 

vezi sa automatizovanim donošenjem odluka, uključujući profilisanje, kao i izuzeci i mere zaštite u tim slučajevima.

Drugim odeljkom iste glave zakona uređena su ograničenja prava i obaveza. Pre svega članom 63. zakona propisuju se uslovi pod kojima je moguće ograničiti prava lica na koje se podaci odnose i obaveze rukovaoca u vezi sa obradom podataka o ličnosti. Propisuje se da se takva ograničenja mogu uvesti isključivo zakonom, uz obavezu poštovanja suštine osnovnih prava i sloboda, kao i načela neophodnosti i srazmernosti u demokratskom društvu. Na ovaj način se taksativno utvrđuju legitimni ciljevi radi čije zaštite je moguće propisati ograničenja, kao što su nacionalna bezbednost, sprečavanje i gonjenje krivičnih dela, zaštita važnih ekonomskih i finansijskih interesa države, javno zdravlje, nezavisnost pravosuđa i druga zakonom utvrđena dobra. Istovremeno, propisuje se pravo lica da bude informisano o ograničenju, osim u slučajevima kada bi takvo informisanje ugrozilo svrhu ograničenja. Na ovaj način se obezbeđuje balans između zaštite javnog interesa i očuvanja osnovnih prava lica.

Članom 64. zakona bliže se uređujuu kriterijumi koje je zakonodavac dužan da uzme u obzir prilikom propisivanja ograničenja prava i obaveza iz oblasti zaštite podataka o ličnosti. Cilj ove odredbe je da se obezbedi da svako ograničenje bude jasno definisano, predvidivo i proporcionalno konkretnoj svrsi. Propisivanjem elemenata kao što su svrha i vrsta obrade, vrsta podataka, obim ograničenja, mere zaštite, rokovi čuvanja i rizici po prava i slobode lica, obezbeđuje se da ograničenja ne budu proizvoljna, već zasnovana na objektivnim i proverljivim kriterijumima. Ovakvim pristupom jača se pravna sigurnost i obezbeđuje usklađenost sa međunarodnim standardima u oblasti zaštite podataka o ličnosti.

Treći odeljak iste glave zakona predstavlja zakonsku novinu, budući da je ocenjeno da je neophodno bliže urediti postupak po zahtevu za ostvarivanje prava, kao i preciziranje rokova za postupanje po zahtevu za ostvarivanje prava.

Postupak podnošenja zahteva za ostvarivanje prava, sadržina zahteva, kao i postupanje rukovaoca u slučaju neurednog ili nepotpunog zahteva uređuje se članom 65. zakona, dok se članom 66. ovog zakona uređuju rokovi za postupanje rukovaoca po zahtevu lica, kao i obaveza obaveštavanja u slučaju produženja roka ili nepostupanja po zahtevu.

Glava IV. zakona (obaveze rukovaoca, obaveze obrađivača, evidencije, upravljanje rizicima bezbednosti podataka o ličnosti, lice za zaštitu podataka o ličnosti, sertifikat o zaštiti podataka o ličnosti kao i kodeks postupanja čl 67. do 101).

Obaveze rukovaoca uređene su u prvom poglavlju ove glave (čl. 67. i 68). Članom

67. zakona uspostavljaju se osnovni princip odgovornosti rukovaoca u sistemu zaštite podataka o ličnosti koji predstavlja jednu od ključnih odredaba zakona. Rukovalac je dužan da, prilikom određivanja načina obrade, kao i tokom celokupnog trajanja obrade, primenjuje odgovarajuće tehničke, organizacione i kadrovske mere. Ove mere moraju biti srazmerne prirodi, obimu, kontekstu i svrsi obrade, kao i procenjenom riziku po prava i slobode fizičkih lica. Cilj ovako definisane odredbe je na preventivnom delovanju, a to je da rukovalac nije dužan samo da reaguje nakon nastanka rizika, već da unapred uredi sistem obrade tako da rizik svede na minimum. Istovremeno, zakon uvodi obavezu da rukovalac mora biti u stanju da u svakom trenutku pokaže da je obrada usklađena sa zakonom.

Član 68. zakona uređuje situacije u kojima više rukovaoca zajednički određuje svrhu i način obrade podataka, čime oni stiču status zajedničkih rukovaoca. Zakon u

 

takvim slučajevima zahteva da se na transparentan način uredi odgovornost svakog od zajedničkih rukovaoca, posebno u pogledu ostvarivanja prava lica čiji se podaci obrađuju.

Drugim odeljkom iste glave zakona uređuje se obrađivač i njegove obaveze (čl 69. do 72). Članom 69. zakona definisan je pravni položaj obrađivača kao lica koje obrađuje podatke u ime i po nalogu rukovaoca. Obrađivač ne deluje samostalno, već isključivo u okviru instrukcija koje dobija od rukovaoca. On je dužan da obezbedi odgovarajući nivo bezbednosti podataka i da garantuje da će obrada biti u skladu sa zakonom. Posebno se uređuje pitanje poveravanja obrade drugom obrađivaču, koje je dozvoljeno samo uz izričito ovlašćenje rukovaoca. Takođe, ako obrađivač prekorači ovlašćenja i sam odredi svrhu ili način obrade, on gubi status obrađivača i postaje rukovalac u odnosu na tu obradu, čime preuzima punu odgovornost.

Član 70. zakona uvodi obavezu uređenja odnosa između rukovaoca i obrađivača putem ugovora ili drugog pravno obavezujućeg akta. Ovaj ugovor predstavlja ključni instrument kontrole nad obradom podataka i mora sadržati sve bitne elemente obrade: predmet, trajanje, svrhu, vrste podataka, kategorije lica i prava i obaveze ugovornih strana. Poseban značaj imaju odredbe koje se odnose na obaveze obrađivača, pre svega da postupa isključivo po uputstvima rukovaoca, da primenjuje mere bezbednosti, da reguliše angažovanje podobrađivača, kao i da po prestanku odnosa podatke vrati ili izbriše. Ovim se obezbeđuje pravna sigurnost i kontrola nad celokupnim procesom obrade.

Član 71. zakona propisuje pravnu uređenost obrade od strane drugog obrađivača, odnosno situaciju u kojoj obrađivač angažuje drugog obrađivača. Takvo angažovanje je dozvoljeno samo uz prethodno ovlašćenje rukovaoca i uz obavezu da se na drugog obrađivača prenesu iste obaveze zaštite podataka koje važe za prvobitnog obrađivača. Zakon posebno naglašava da primarni obrađivač ostaje odgovoran rukovaocu za postupanje svih podobrađivača, čime se sprečava izbegavanje odgovornosti čime se obezbeđuje jedinstvo odgovornosti i kontrola u svim fazama obrade.

Članom 72. zakona uvodi se obaveza imenovanja predstavnika u Republici Srbiji za rukovaoce i obrađivače koji nemaju sedište u Srbiji, ali obrađuju podatke lica koja se nalaze na teritoriji Republike Srbije. Predstavnik ima ulogu kontakt tačke između nadzornog organa, lica čiji se podaci obrađuju i stranog rukovaoca ili obrađivača. Njegova uloga je da omogući primenu zakona i u prekograničnim situacijama. Imenovanje predstavnika ne utiče na direktnu pravnu odgovornost rukovaoca ili obrađivača, koji i dalje ostaju u potpunosti odgovorni za obradu podataka.

Trećim odeljkom iste glave zakona uređuju se Evidencije (čl 73. do 77). Članom

73. zakona se uvodi opšta obaveza vođenja evidencije o radnjama obrade podataka o ličnosti. Ova evidencija predstavlja jedno od osnovnih sredstava za ostvarivanje transparentnosti i omogućava nadzor nad zakonitošću obrade. Rukovalac, obrađivač i njihovi predstavnici dužni su da vode evidenciju u pisanoj ili elektronskoj formi i da je učine dostupnom Povereniku na njegov zahtev. Obaveza vođenja evidencije ima sistemski karakter i omogućava kontrolu svih radnji obrade.

Član 74. zakona precizira sadržinu evidencije koju vodi rukovalac. Pre svega, evidencija mora da sadrži podatke o rukovaocu, svrsi i pravnom osnovu obrade, kategorijama lica i podataka, primaocima podataka, uključujući i međunarodne transfere, rokovima čuvanja i opštem opisu mera zaštite. Ova odredba predstavlja osnov za procenu zakonitosti obrade od strane nadzornog organa.

 

Član 75. zakona uređuje obavezu obrađivača da vodi evidenciju o svim radnjama obrade koje vrši u ime rukovaoca. Za razliku od evidencije rukovaoca, ova evidencija obuhvata podatke o vrstama obrada, rukovaocima za koje se obrada vrši, prenosima podataka i merama bezbednosti. Cilj ove odredbe je da se obezbedi kontrola i nad obrađivačima kao ključnim učesnicima u procesu obrade. Izuzetak od obaveze vođenja evidencije propisan je članom 76. zakona i predviđa izuzetak od obaveze vođenja evidencije za mala i srednja pravna lica koja zapošljavaju manje od 250 lica. Međutim, ovaj izuzetak nije apsolutan. On se ne primenjuje u slučajevima kada obrada može predstavljati visok rizik po prava i slobode lica, kada nije povremena ili kada obuhvata osetljive kategorije podataka.

Članom 77. zakona propisana je saradnja sa Poverenikom, na način da se utvrđuje opšta obaveza saradnje rukovaoca, obrađivača i njihovih predstavnika sa Poverenikom. Ova obaveza ima veliki značaj za funkcionisanje sistema nadzora, jer omogućava Povereniku da efikasno vrši svoja ovlašćenja, sprovodi kontrolu i obezbeđuje poštovanje zakona.

Četvrtim odeljkom iste glave zakona uređuju se upravljanje rizicima bezbednosti podataka o ličnosti (čl 78. do 87). Član 78. zakona propisuje da se uspostavlja opšti princip bezbednosti obrade podataka zasnovan na proceni rizika. Rukovalac i obrađivač su dužni da primenjuju tehničke, organizacione i kadrovske mere koje odgovaraju nivou rizika po prava lica. Prilikom procene rizika uzimaju se u obzir priroda podataka, svrha obrade i potencijalne posledice povrede. Ova odredba predstavlja osnovu celokupnog sistema, pre svega informacine bezbednosti u oblasti zaštite podataka.

Član 79. zakona propisuje osnovne mere zaštite koje se primenjuju u zavisnosti od prirode poslova i obima obrade. One uključuju organizacionu strukturu i definisanje odgovornosti, obuku zaposlenih, fizičku zaštitu prostora i redovno testiranje efikasnosti mera zaštite. Cilj ovih mera je da se obezbedi sistemski i organizovan pristup zaštiti podataka, dok se članom 80. zakona uređuju mere zaštite u slučaju elektronske obrade podataka. One obuhvataju kontrolu pristupa, autentifikaciju korisnika, zaštitu sistema i podataka, kriptografske mere, kao i mehanizme za reagovanje na bezbednosne incidente. Poseban značaj ima obezbeđivanje kontinuiteta rada i zaštite integriteta podataka.

Član 81. zakona se odnosi na zaštitu podataka koji se obrađuju u papirnom obliku. Mere obuhvataju fizičku zaštitu prostora, kontrolu pristupa, vođenje evidencije pristupa i obezbeđivanje kopija podataka. Cilj je sprečavanje neovlašćenog pristupa i gubitka podataka koji nisu u elektronskom obliku.

Član 82. zakona uvodi obavezu rukovaoca da prijavi povredu podataka Povereniku bez nepotrebnog odlaganja, najkasnije u roku od 72 sata. Obaveštenje mora sadržati detaljne informacije o prirodi povrede, broju lica, posledicama i preduzetim merama. Obrađivač ima obavezu da bez odlaganja obavesti rukovaoca. Takođe se uvodi obaveza dokumentovanja svih povreda, čime se obezbeđuje transparentnost i mogućnost naknadne kontrole.

Član 83. zakona propisuje obavezu direktnog obaveštavanja lica čiji su podaci povređeni, kada postoji visok rizik po njihova prava i slobode. Obaveštavanje nije potrebno ako su primenjene adekvatne zaštitne mere, ako je rizik naknadno otklonjen ili ako bi obaveštavanje bilo nesrazmerno.

Obaveza izrade procene uticaja obrade na zaštitu podataka u slučajevima visokog rizika uvodi se članom 84. zakona. Naime, procena se vrši pre početka obrade i obuhvata analizu rizika, neophodnosti i srazmernosti obrade, kao i preduzete mere

 

zaštite. Ova odredba ima preventivni karakter i služi sprečavanju povreda prava lica. Sadržina procene uticaja se precizira članom 85. zakona, koja mora da obuhvati opis obrade, procenu neophodnosti, identifikaciju rizika i mere za njihovo umanjenje. Posebno se naglašava obaveza dokumentovanja i dokazivanja usaglašenosti, kao i uzimanje u obzir prava lica na koja se podaci odnose.

Član 86. zakona uvodi obavezu pribavljanja mišljenja Poverenika kada procena uticaja ukazuje na visok rizik. Poverenik ima savetodavnu i kontrolnu ulogu i može tražiti dodatne informacije ili predložiti mere za umanjenje rizika pre početka obrade, dok se članom 87. zakona uređuje postupak davanja prethodnog mišljenja Poverenika, koji ima rokove za postupanje i mogućnost produžetka u složenim slučajevima. Poverenik može koristiti i druga ovlašćenja u cilju zaštite prava lica, čime ova odredba ima preventivni karakter.

Petim odeljkom iste glave zakona uređuju se lice za zaštitu podataka o ličnosti (čl 88. do 90). Članom 88. ovog zakona uvodi se institut lica za zaštitu podataka o ličnosti, koje je obavezno u određenim slučajevima, a koje se imenuje na osnovu stručnosti i ima ulogu u nadzoru usklađenosti, savetovanju i komunikaciji sa Poverenikom. Može biti zaposleno kod rukovaoca ili obrađivača, a može obavljati te poslove na osnovu ugovora. Član 89. zakona garantuje nezavisnost lica za zaštitu podataka o ličnosti. Rukovalac mora obezbediti neophodne resurse, pristup podacima i zaštitu od sankcija zbog obavljanja poslova u vezi sa zaštitom podataka o ličnosti. Direktno je odgovoran rukovodiocu rukovaoca ili obrađivača. Sa druge strane lice za zaštitu podataka o ličnosti ima propisane obaveze, uključujući informisanje, praćenje usklađenosti, davanje mišljenja o proceni uticaja i saradnju sa Poverenikom. Njegova uloga je savetodavna i kontrolna, uz poseban akcenat na proceni rizika (član 90).

Šestim odeljkom iste glave zakona uređuje se sertifikacija (čl. 91. do 97). Institut setrifikata je uređen i važećim zakonom ali za sada nije našao svoju primenu u praksi kada je reč o zaštiti podataka o ličnosti. Iz tog razloga predložen je tekst koji predstavlja zakonsko preciziranje u cilju jačanja svesti o ovom institutu i mogućnosti da se u budućnosti mnogo više upotrebljava. Uvodi se dobrovoljni sistem sertifikacije kao dokaz usklađenosti sa zakonom. Sertifikacija omogućava rukovaocima i obrađivačima da dokažu visok nivo zaštite podataka, a može se koristiti i u međunarodnim prenosima podataka (član 91).

Član 92. zakona uređuje status i ulogu sertifikacionih tela, koja moraju biti akreditovana i stručna. Ona sprovode procenu usklađenosti i izdaju sertifikate, uz obavezu obaveštavanja Poverenika. Postupak akreditacije sertifikacionih tela od strane Akreditacionog tela Srbije uređen je članom 93. zakona. Akreditacija se dodeljuje na određeni period, uz mogućnost oduzimanja u slučaju nepoštovanja standarda, dok član 94. zakona propisuje dodatne uslove za akreditaciju, uključujući stručnost, nezavisnost, transparentnost i odsustvo sukoba interesa.

Član 95. zakona definiše kriterijume koje rukovaoci moraju ispuniti da bi bili sertifikovani, uključujući zakonitost obrade, minimizaciju podataka, bezbednost i transparentnost.

Kriterijume za obrađivače propisuje član 96. zakona, a sam postupak izdavanja sertifikata propisan je članom 97. zakona koji reguliše dobrovoljnost i transparentnost postupka sertifikacije, kao i njeno trajanje do tri godine. Poverenik vodi registre i nadzire proces, čime se obezbeđuje integritet sistema.

 

Sedmim odeljkom iste glave zakona uređuje se kodeks postupanja (čl. 98. do 101). I ove odredbe predstavljaju preciziranje važećih zakonskih rešenja i cilj im je takođe veća primena u praksi. Član 98. zakona uvodi mogućnost izrade kodeksa postupanja radi konkretizacije primene zakona u pojedinim sektorima. Kodeksi uređuju transparentnost, bezbednost, prava lica i prenos podataka, i imaju važnu ulogu u ujednačavanju prakse.

Član 99. zakona propisuje obavezu pribavljanja mišljenja Poverenika na predlog kodeksa. Poverenik ocenjuje usklađenost i, ako je kodeks ispunio uslove, registruje ga i objavljuje.

Kontrola primene kodeksa propisana je članom 100. zakona na način kojim se uređuje sistem kontrole primene kodeksa od strane akreditovanih tela. Ova tela moraju biti nezavisna i stručna, a njihova akreditacija se vrši po strogim kriterijumima, dok član 101. zakona propisuje mere u slučaju povrede kodeksa uključujući isključenje iz primene kodeksa. Ove mere ne utiču na nadležnosti Poverenika niti na pravo lica na pravnu zaštitu.

Glava peta zakona uređuje prenos podataka o ličnosti u druge države i međunarodne organizacije i obavezujuća poslovna pravila (čl. 102 do 111). Odredbama o prenosu podataka o ličnosti u druge države i međunarodne organizacije uređuje se jedno od najosetljivijih pitanja savremenog prava zaštite podataka, iznošenje podataka izvan teritorije Republike Srbije. Intencija zakonodavca, sadržana u članu 102. zakona, jeste da se nivo zaštite koji se obezbeđuje ovim zakonom mora očuvati i u slučaju kada podaci prenose van nacionalnog zakonodavstva. Shodno tome, svaki prenos je dozvoljen samo pod uslovom da su ispunjeni zakonom propisani uslovi, pri čemu se ova pravila primenjuju i na svaki dalji prenos podataka.

U članu 103. zakona uvodi se osnovni i najslobodniji režim prenosa, a to je prenos na osnovu postojanja primerenog nivoa zaštite. Zakon polazi od pretpostavke da određene države i međunarodne organizacije već obezbeđuju dovoljan stepen zaštite, te se u tim slučajevima podaci mogu prenositi bez posebnog odobrenja. Posebno se naglašava značaj standarda koje uspostavljaju Savet Evrope i Evropska unija, kao referentni okvir za procenu adekvatnosti, kao i mogućnost da se ovaj nivo obezbedi međunarodnim sporazumom. Suprotno tome, član 104. zakona uređuje situacije u kojima se utvrđuje da primereni nivo zaštite ne postoji. Ovlašćenje za donošenje takve odluke dato je Vladi, koja prilikom procene uzima u obzir niz pravnih i faktičkih kriterijuma, uključujući stanje vladavine prava, delotvornost zaštite prava lica i postojanje nezavisnog nadzornog organa. Ova odredba ima preventivnu funkciju, jer omogućava državi da unapred identifikuje rizične pravne sisteme i time ograniči nebezbedne transfere.

Kada primereni nivo zaštite nije obezbeđen, zakon u članu 105. predviđa mogućnost prenosa uz primenu odgovarajućih mera zaštite. Ove mere predstavljaju pravne i organizacione mehanizme kojima se obezbeđuje da prava lica na koje se podaci odnose ostanu zaštićena i nakon prenosa. Među najznačajnijim instrumentima su standardne ugovorne klauzule, obavezujuća poslovna pravila i različiti oblici sertifikata i kodeksa postupanja. Za pojedine mere nije potrebno posebno odobrenje, dok se u drugim slučajevima zahteva saglasnost nadzornog organa.

Posebna garancija uvodi se članom 106. zakona kojim se ograničava dejstvo odluka stranih sudova i organa vlasti. Naime, takve odluke mogu biti priznate ili izvršene u Republici Srbiji samo ako se zasnivaju na odgovarajućem međunarodnom sporazumu. Ovim se sprečava direktan uticaj stranih organa na podatke koji se nalaze pod domaćom jurisdikcijom.

 

Član 107. zakona predviđa izuzetne situacije u kojima je prenos dozvoljen i bez postojanja primerenog nivoa zaštite ili odgovarajućih mera. Reč je o strogo ograničenim slučajevima, kao što su izričit pristanak lica, potreba za izvršenje ugovora, zaštita životnih interesa ili ostvarivanje pravnih zahteva. Ove odredbe imaju karakter izuzetaka i tumače se restriktivno. Dalje, pooštravanje uslova predviđeno je članom 108. zakona koji se odnosi na izuzetne situacije. U ovim slučajevima prenos je moguć samo ako se ne ponavlja, ako obuhvata ograničen broj lica i ako je neophodan radi ostvarivanja legitimnog interesa rukovaoca koji preovlađuje nad pravima lica. Istovremeno, propisuju se dodatne obaveze transparentnosti i kontrole, uključujući obaveštavanje nadzornog organa i lica na koje se podaci odnose.

U članu 109. zakona naglašava se značaj međunarodne saradnje u oblasti zaštite podataka o ličnosti. Uloga Poverenika ogleda se u razvoju saradnje sa stranim nadzornim organima, razmeni informacija i unapređivanju primene standarda zaštite podataka na međunarodnom nivou.

Posebnu celinu čine odredbe o obavezujućim poslovnim pravilima, uređene čl.

110. i 111. zakona. Ova pravila predstavljaju interni mehanizam multinacionalnih kompanija za regulisanje prenosa podataka unutar korporativnih grupa. Njihova primena uslovljena je odobrenjem nadzornog organa i ispunjavanjem strogih uslova, uključujući pravnu obaveznost, obezbeđivanje prava lica i uređivanje svih relevantnih aspekata obrade podataka. Zakon detaljno propisuje njihovu sadržinu, koja obuhvata, između ostalog, principe obrade, mehanizme kontrole, postupke po pritužbama i odgovornost za povredu pravila.

Odredbe drugog dela zakona uređuju poseban režim obrade podataka o ličnosti koji se odnosi na obradu koju vrše nadležni organi u svrhe krivičnog gonjenja, sprečavanja prekršaja i zaštite javne i nacionalne bezbednosti. Ovaj režim predstavlja lex specialis u odnosu na opšta pravila zaštite podataka, imajući u vidu specifičnost poslova koje ovi organi obavljaju. Kada nadležni organi obrađuju podatke o ličnosti u svrhe koje nisu posebne, primenjuju se ostale odredbe ovog zakona. Polazna norma sadržana u članu 112. zakona utvrđuje da se na obradu podataka u takozvane “posebne svrhe” primenjuju posebne odredbe zakona (čl. 112. do 149). Istovremeno, kada nadležni organi obrađuju podatke van ovih svrha, primenjuje se opšti režim zakona. Na taj način se jasno razdvajaju dva pravna režima obrade.

Član 113. zakona postavlja osnovni princip zakonitosti obrade u ovom domenu. Obrada podataka od strane nadležnih organa je dozvoljena isključivo ako je neophodna za vršenje njihovih zakonom propisanih nadležnosti i ako ima izričit pravni osnov u zakonu. Pored toga, zakon mora precizno odrediti ciljeve obrade, vrste podataka i svrhu, čime se obezbeđuje pravna sigurnost i sprečava proizvoljnost u postupanju organa.

U članu 114. zakona uređuje se pitanje čuvanja podataka i rokova. Zakon nalaže da se unapred odredi period nakon koga se podaci brišu ili preispituje potreba za njihovim daljim čuvanjem. Ukoliko zakon ne propisuje konkretan rok, tu obavezu preuzima rukovalac. Nadzor nad poštovanjem ovih rokova vrši Poverenik što predstavlja mehanizam kontrole.

Posebnu pažnju zakon posvećuje obradi osetljivih podataka. Član 115. zakona propisuje da je obrada takvih podataka dozvoljena samo izuzetno, uz ispunjenje strogih uslova: kada je zakonom izričito predviđena, kada je neophodna radi zaštite vitalnih interesa ili kada su ti podaci već učinjeni javnim od strane samog lica. I u tim slučajevima moraju se primeniti posebne mere zaštite.

 

Kao što je rečeno, jedan od razloga za donošenje novog zakona je i propisivanje obrade podataka o ličnosti u specifičnim oblastima. Jedna od tih oblasti vezan je za genetičke i biometrijske podatke i obradu takvih podataka koji su uređeni članom 116. zakona. Osnovno pravilo je da obrada genetičkih i biometrijskih podataka u cilju jedinstvene identifikacije lica nije dopuštena, osim u slučajevima propisanim zakonom u svrhu zaštite javnog interesa u demokratskom društvu (odbrana zemlje, javna bezbednost i obavljanje bezbednosno-obaveštajnih poslova, ekonomski i finansijski interesi Republike Srbije, sprečavanje, istraga i otkrivanje krivičnih dela, gonjenje učinilaca krivičnih dela ili izvršenje krivičnih sankcija i dr). Kada se obrada genetičkih, odnosno biometrijskih podataka u cilju jedinstvene identifikacije lica propisuje zakonom, u cilju zaštite javnog interesa, moraju se uzimati se u obzir kriterijumi da se li ovaj interes ne može zaštititi na drugi način, da interes ostvarivanja svrhe obrade preteže nad interesom zaštite osnovnih prava i sloboda lica na koje se podaci odnose i da je obim podataka koji se obrađuju srazmeran u odnosu na svrhu obrade. Treba napomenuti i da je zabranjena daljinska, masovna i neselektivna biometrijska identifikacija lica upotrebom sistema video nadzora.

Načelo ograničenja svrhe dodatno je razrađeno u članu 117. zakona. Podaci prikupljeni u posebne svrhe ne mogu se koristiti za druge svrhe, osim ako je to zakonom dozvoljeno i ako su ispunjeni uslovi nužnosti i srazmernosti. Istovremeno, zakon omogućava njihovo korišćenje u naučne, statističke i istorijske svrhe, pod uslovom primene odgovarajućih zaštitnih mera, čime se postiže ravnotežu između javnog interesa i zaštite prava pojedinca.

Član 118. zakona uvodi obavezu obezbeđivanja kvaliteta podataka. Nadležni organi su dužni da preduzmu razumne mere kako bi se sprečilo korišćenje ili prenos netačnih, nepotpunih ili zastarelih podataka. Pre svakog prenosa mora se, u meri u kojoj je to moguće, proveriti njihova tačnost i ažurnost. Pored toga, organ koji prenosi podatke dužan je da dostavi i relevantne informacije o njihovoj pouzdanosti. U slučaju greške ili nezakonitog prenosa, primalac se mora bez odlaganja obavestiti, a podaci ispraviti ili obrisati. Ova norma ima ključnu ulogu u sprečavanju štetnih posledica po lica na koja se podaci odnose.

U okviru trećeg odeljka gleve IV zakona, član 119. zakona uvodi obavezu razlikovanja kategorija lica. Nadležni organi treba da prave jasnu razliku između različitih grupa lica, kao što su osumnjičeni, okrivljeni, osuđeni, oštećeni i svedoci. Ovo razlikovanje je od suštinskog značaja radi sprečavanja nepravilnog tretmana lica i obezbeđivanja srazmernosti u obradi podataka.

Član 120. zakona propisuje obavezu razlikovanja vrsta podataka. Podatke zasnovane na činjenicama potrebno je, kad god je to moguće, jasno odvojiti od podataka koji predstavljaju lične procene ili mišljenja. Ovim se povećava transparentnost i pouzdanost obrade, kao i mogućnost kontrole zakonitosti postupanja nadležnih organa.

Ova glava zakona reguliše pitanje prava lica kada obradu vrše nadležni organi u posebne svrhe (čl. 121. do 129). Ovom glavom se uređuje jedno od ključnih pitanja savremenog društva, a to je kako se štite prava pojedinca onda kada državni organi obrađuju njegove lične podatke, posebno u osetljivim oblastima kao što su bezbednost, krivični postupci i javni interes. Suština je u uspostavljanju ravnoteže, sa jedne strane stoji potreba države da efikasno deluje, a sa druge pravo svakog lica da zna šta se sa njegovim podacima dešava i da na to utiče. Članom 121. zakona propisane su osnovne odredbe, obaveza nadležnog organa da lice obavesti o obradi njegovih podataka i da mu pomogne u ostvarivanju prava. Naglasak je na razumljivosti i pristupačnosti, a

 

to znači da informacije moraju biti date jasno, jednostavno i u formi koja odgovara načinu na koji je zahtev podnet.

Član 122. zakona propisuje rokove i troškove. Ovaj član obezbeđuje efikasnost prava. Organ je dužan da postupa bez odlaganja i besplatno, čime se građanima omogućava da lako koriste svoja prava. Istovremeno, predviđena je zaštita od zloupotrebe ako su zahtevi neosnovani ili preterani, organ može naplatiti troškove ili ih odbiti, ali mora to dokazati. Takođe se uvodi mogućnost provere identiteta, radi zaštite podataka.

Članom 123. zakona uređuju se informacije koje se pružaju, pre svega ko obrađuje podatke, zašto, po kom osnovu, koliko dugo i kome se podaci dostavljaju. Na ovaj način se omogućava pojedincu da ima potpunu sliku o obradi svojih podataka i da donese odluku.

Ograničenje prava na informisanje na način kojim se pravi ravnoteža između prava pojedinca i javnog interesa propisano je članom 124. zakona. U određenim situacijama (krivični postupci, bezbednost države itd) informacije mogu biti ograničene. Međutim, to ograničenje mora biti nužno, srazmerno i vremenski ograničeno, čime se sprečava zloupotreba ovog izuzetka.

Članom 125. zakona uređeno je pravo na pristup podacima. Lice može da sazna da li se njegovi podaci obrađuju i da im pristupi. Ako se pravo ograniči, organ mora to obrazložiti i obavestiti lice, osim ako bi time bila ugrožena svrha ograničenja. Uvodi se i obaveza dokumentovanja razloga, što omogućava kontrolu.

Ispravka, brisanje i ograničenje obrade propisani su članom 126. zakona. Ovim članom se obezbeđuje tačnost i zakonitost podataka. Lice može da zahteva ispravku netačnih podataka ili brisanje nezakonito obrađenih podataka. Umesto brisanja, u određenim slučajevima predviđeno je ograničenje obrade, što omogućava da se podaci sačuvaju kada je to potrebno, dok je članom 127. zakona uređeno obaveštenje o postupanju u vezi sa ispravkom ili brisanjem podataka i ograničenjem obrade. Ako organ odbije zahtev ili ograniči pravo, mora to da obrazloži i uputi lice na pravnu zaštitu. Takođe se uvodi obaveza obaveštavanja drugih organa i primalaca podataka, čime se obezbeđuje doslednost i ažurnost podataka u sistemu.

Uloga Poverenika propisana je članom 128. zakona na način da se uvodi mehanizam kontrole. Kada su prava ograničena, lice može da se obrati Povereniku koji deluje kao nezavisni nadzorni organ. Na taj način se obezbeđuje dodatna zaštita i kontrola rada državnih organa.

Automatizovano odlučivanje i profilisanje propisano je članom 129. zakona. Zakon ovde štiti čoveka od isključivo automatizovane obrade odlučivanja. Zabranjeno je da odluke koje značajno utiču na lice budu donete bez ljudskog učešća, osim ako je to zakonom izričito dozvoljeno i uz garancije. Posebno se štite osetljivi podaci i sprečava diskriminacija putem profilisanja.

Glava VIII. zakona uređuje obaveze nadležnih organa u ulozi rukovaoca i obrađivača (čl. 130. do 144). Član 130. zakona propisuje obaveze nadležnih organa. Ova odredba naglašava da nadležni organi, kada obrađuju podatke o ličnosti u posebne svrhe, imaju pojačanu odgovornost da obezbede zakonitost i bezbednost obrade. To podrazumeva primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera, ali i sposobnost da se pokaže da su te mere zaista sprovedene. Istovremeno, zakon isključuje mogućnost da se organi oslone na formalne mehanizme kao što su sertifikati ili kodeksi postupanja.

Član 131. zakona uređuje situaciju kada dva ili više nadležnih organa zajednički određuju svrhu i način obrade. Ova odredba uređuje situaciju u kojoj više

 

nadležnih organa istovremeno učestvuje u obradi podataka o ličnosti tako što zajednički određuju njenu svrhu i način. U praksi, to su česte situacije saradnje različitih organa (npr. policije, tužilaštva, inspekcijskih službi), gde nijedan organ ne deluje samostalno, već se odluke o obradi donose zajednički.

Član 132. zakona propisuje odnos nadležnog organa kao rukovaoca prema obrađivaču. Ovde se uređuje situacija kada nadležni organ poverava obradu drugom subjektu. Obrađivač mora da garantuje visok nivo zaštite, a njegove obaveze moraju biti precizno uređene ugovorom ili drugim pravno obavezujućim aktom. Zakon detaljno propisuje šta taj odnos mora da sadrži od postupanja po uputstvima rukovaoca do brisanja podataka nakon završetka obrade. I ovim članom je propisano da se pravni odnos između rukovaoca i obrađivača ne može zasnovati na standardnim ugovornim klauzulama, kao i odobrenim sertifikatima.

Evidencija rukovaoca propisana je članom 133. zakona. Ova odredba uvodi obavezu vođenja evidencije o svim radnjama obrade. Cilj je transparentnost i mogućnost kontrole. Evidencija mora da sadrži i dodatne elemente, kao što su profilisanje, međunarodni prenos podataka i pravni osnov obrade, što je posebno važno u osetljivim oblastima, dok      je         članom 134.     zakona propisana        evidencija        obrađivača. Slična obaveza važi i za obrađivače, koji moraju voditi evidenciju o obradi koju vrše u ime rukovaoca. Ovim se obezbeđuje puna odgovornost svih učesnika u obradi podataka. Član 135. zakona propisuje beleženje radnji u automatizovanim sistemima.

Svrha propisivanja ovog člana je da se u svakom trenutku može utvrditi ko je, kada i zašto pristupao podacima. Ovi zapisi imaju ključnu ulogu u kontroli zakonitosti, bezbednosti.

Članom 136. zakona propisano je čuvanje i dostupnost podataka Povereniku. Ova odredba propisuje da se evidencije o obradi podataka i zapisi iz automatizovanih sistema čuvaju trajno, kako bi se obezbedila stalna mogućnost kontrole zakonitosti obrade. Istovremeno, utvrđuje se obaveza da ti podaci budu dostupni Povereniku, čime se jača spoljni nadzor i odgovornost nadležnih organa.

Osnovna bezbednost obrade propisana je članom 137. zakona. Pre svega, mere zaštite moraju biti srazmerne riziku. To znači da što je veći rizik po prava građana, to moraju biti strože mere zaštite. Posebna pažnja se posvećuje osetljivim podacima. Članom 138. zakona uređuju se mere u automatizovanoj obradi. Ova odredba propisuje           konkretne        tehničke          i           organizacione  mere    zaštite  podataka            u automatizovanim sistemima, sa ciljem sprečavanja neovlašćenog pristupa, izmene ili gubitka podataka. Istovremeno obezbeđuje kontrolu pristupa, mogućnost provere svih radnji i pouzdanost sistema, čime se štite poverljivost, integritet i dostupnost

podataka o ličnosti.

Članom 139. zakona propisano je obaveštavanje Poverenika o povredi podataka. Kada dođe do povrede podataka, organ ima obavezu da o tome obavesti Poverenika. Ovo je mehanizam za brzu reakciju i ograničavanje posledica. Posebno se uređuje situacija međunarodnog prenosa podataka, gde je potrebna saradnja sa stranim organima, dok je članom 140. zakona propisano da pored Poverenika, i lice čiji su podaci ugroženi mora biti obavešteno. Međutim, i u ovom članu je predviđena mogućnost ograničenja, kada je to neophodno radi zaštite javnog interesa.

Pre započinjanja obrade, organ je dužan da proceni rizike po prava građana (procena uticaja). Ova procena nije formalnost, već suštinski instrument prevencije, ona omogućava da se problemi uoče i reše pre nego što do njih dođe (član 141).

Mišljenje Poverenika propisano je u članu 142. zakona. U slučajevima visokog rizika, organ mora zatražiti mišljenje Poverenika. Ovo predstavlja dodatni nivo

 

kontrole i osigurava da se složeni ili rizični oblici obrade ne sprovode bez stručnog nadzora.

Član 143. zakona uvodi obavezu nadležnih organa da imenuju lice za zaštitu podataka o ličnosti, koje ima ulogu neke vrste unutrašnjeg nadzora i stručne podrške u primeni propisa o zaštiti podataka. Ono prati zakonitost obrade i doprinosi zaštiti prava lica čiji se podaci obrađuju. Moguće je imenovanje zajedničkog lica za više organa, dok su sudovi izuzeti kada postupaju u okviru svoje sudske nadležnosti.

Članom 144. zakona propisan je položaj i obaveze lica za zaštitu podataka o ličnosti. Ovim članom se upućuje na opšta pravila koja uređuju status, stručnost i nezavisnost ovog lica. Njegova uloga je da obezbedi kontinuirano poštovanje zakona unutar organa, čime se jača sistem interne kontrole.

Glava IX. zakona uređuje prenos podataka od strane nadležnih organa u druge države i međunarodne organizacije (čl. 145. do 149). Ova glava postavlja sistem pravila za međunarodni prenos podataka, čiji je cilj da omogući saradnju nadležnih organa, ali uz zaštitu osnovnih prava lica čiji se podaci prenose. Članom 145. zakona propisani su uslovi prenosa, na način kojim se utvrđuju osnovna pravila za prenos podataka o ličnosti u druge države ili međunarodne organizacije. Prenos je dozvoljen samo ako je neophodan za posebne svrhe, ako se vrši ka nadležnom organu u drugoj državi i ako je obezbeđen odgovarajući nivo zaštite, bilo kroz odluku o adekvatnosti, posebne garancije ili izuzetne mere.

Član 146. zakona propisuje dalji prenos podataka. Ova odredba uređuje situaciju kada se podaci koji su već preneti u drugu državu ponovo šalju dalje. Takav dalji prenos nije automatski dozvoljen, već se mora posebno proceniti, uzimajući u obzir svrhu prvobitnog prenosa, težinu slučaja i nivo zaštite u novoj državi. Na taj način se sprečava nekontrolisano prenošenje podataka. Takođe, uređen je prenos uz odgovarajuće mere zaštite. Ako ne postoji odluka da druga država obezbeđuje adekvatan nivo zaštite, prenos je ipak moguć ako postoje posebne garancije (npr. pravno obavezujući akti) ili ako je organ sam procenio da su mere zaštite dovoljne. U tim slučajevima postoji obaveza obaveštavanja i dokumentovanja prenosa, uz mogućnost kontrole Poverenika. Ovo obezbeđuje ravnotežu između operativnih potreba i zaštite podataka (član 147).

Posebne situacije prenosa podataka nadležnih organa propisane su članom 148. zakona. Ovim članom se predviđaju vanredne situacije u kojima je prenos dozvoljen i bez uobičajenih uslova, npr. radi zaštite života, bezbednosti države, sprečavanja opasnosti ili vođenja konkretnog pravnog postupka. Međutim, i ovi izuzeci su ograničeni načelom srazmernosti: ako prava lica preovladaju nad javnim interesom, prenos nije dozvoljen. Svaki takav slučaj mora biti dokumentovan i podložan nadzoru. Član 149. zakona propisuje prenos podataka nadležnih organa neposredno primaocu u drugoj državi. Ovom odredbom je predviđen izuzetan direktan prenos podataka stranom organu, bez posrednih procedura ili međunarodnih sporazuma, ali samo ako su zajedno ispunjeni određeni uslovi. Prenos mora biti neophodan, mora postojati procena da ne ugrožava prava lica, i mora se proceniti da drugi oblici saradnje nisu delotvorni ili blagovremeni. Uz to, obavezno je obaveštavanje inostranog organa o ograničenoj svrsi korišćenja podataka, kao i naknadna kontrola

od strane Poverenika.

Deo treći zakona uređuje status Poverenika, pravna sredstva, odgovornost i kazne (čl. 150. do 175). Članom 150. zakona propisano je Nadzorno telo (Poverenik) čime se uspostavlja kao centralni, nezavisni organ koji nadzire primenu zakona o zaštiti podataka. Njegova osnovna uloga je da štiti osnovna prava građana u oblasti obrade

 

podataka o ličnosti. Zakon posebno naglašava njegovu samostalnost u radu, kao i činjenicu da je organizaciono odvojen od drugih državnih organa. Uvodi se i zamenik Poverenika, kao i uslov da Poverenik mora posedovati stručno znanje iz oblasti zaštite podataka, čime se obezbeđuje stručnost i kvalitet nadzora.

Članom 151. zakona uređuje se nezavisnost Poverenika. Ova odredba garantuje potpunu institucionalnu i funkcionalnu nezavisnost Poverenika. On ne sme primati naloge od bilo kog organa i mora delovati samostalno. Takođe mu je zabranjeno obavljanje drugih funkcija ili političko delovanje, kako bi se očuvala nepristrasnost. Zakon obezbeđuje i finansijsku nezavisnost kroz budžetska sredstva, kao i samostalnost u izboru i rukovođenju zaposlenima, dok se članom 152. propisuje nadležnosti Poverenika na način koji definiše teritorijalni i procesni okvir rada Poverenika. On postupa na teritoriji Republike Srbije i primenjuje pravila upravnog i inspekcijskog postupka. Istovremeno, zakon izuzima sudove kada obrađuju podatke u okviru svoje sudske funkcije, čime se štiti princip nezavisnosti sudstva.

Poverenik, njegov zamenik i zaposleni u stručnoj službi dužni su da čuvaju sve podatke do kojih dođu u radu kao profesionalnu tajnu. Ova obaveza važi i nakon prestanka funkcije ili radnog odnosa. Cilj je očuvanje poverenja u rad organa i zaštita osetljivih informacija (član 153.).

Članom 154. zakona propisani su poslovi Poverenika, pre svega od nadzora nad primenom zakona, preko podizanja svesti javnosti, do davanja mišljenja državnim organima. Poverenik rešava pritužbe građana, vodi inspekcijski nadzor, sarađuje sa drugim državama i razvija standarde i alate za zaštitu podataka. Takođe, podstiče kodekse ponašanja i sertifikaciju, čime utiče na celokupan sistem zaštite podataka.

Rad Poverenika je besplatan za građane, što osigurava pristupačnost zaštite prava, dok su članom 155. zakona propisana inspekcijska i druga ovlašćenja. Ova odredba daje Povereniku široka ovlašćenja za sprovođenje nadzora. On može da traži sve informacije, uđe u prostorije organa, pristupi sistemima i proveri sve radnje obrade podataka. Cilj je efikasna kontrola i sprečavanje zloupotreba u praksi.

Članom 156. zakona propisane su korektivne mere. Poverenik ima široku lepezu mera koje može primeniti kada utvrdi povredu zakona, od upozorenja i opomena, do naloga za ispravku ili brisanje podataka, ograničenja obrade i izricanja novčanih kazni. U najtežim slučajevima može zabraniti obradu podataka ili obustaviti njihov prenos. Ovim se obezbeđuje efektivno sprovođenje zakona.

Kontrola akata Poverenika i pokretanje postupka pred sudom uređeno je članom

157. zakona na način da se obezbeđuje pravna zaštita odluka Poverenika. Njegovi akti podležu sudskoj kontroli, čime se garantuje zakonitost njegovog rada. Istovremeno, Poverenik ima pravo da pokreće postupke pred sudom ili drugim organima kada je to potrebno radi zaštite zakona.

Poverenik je obavezan da jednom godišnje podnese izveštaj Narodnoj skupštini o svom radu, uključujući podatke o povredama zakona i preduzetim merama. Izveštaj se dostavlja i Vladi i objavljuje javnosti, čime se obezbeđuje transparentnost i uvid građana u rad ovog organa. Pri tome se štite lični podaci i ne objavljuju se osetljive informacije (član 158).

Glava XI. zakona uređuje pravna sredstva, odgovornost i kazne čl. (159. do 168). Pravo na pritužbu Povereniku propisano je članom 159. zakona. Ovim članom uređuje se pravo lica na koje se podaci odnose da podnese pritužbu Povereniku ako rukovalac nije postupio po njegovom zahtevu u skladu sa zakonom. Cilj odredbe je obezbeđivanje delotvorne upravne zaštite prava lica i kontrole zakonitosti obrade podataka o ličnosti. Propisuje se obaveza dostavljanja dokaza o prethodnom obraćanju rukovaocu,

 

primena pravila opšteg upravnog postupka, rok za odlučivanje, mogućnost inspekcijskog nadzora i pravo lica da koristi i druge oblike pravne zaštite. Takođe se omogućava elektronsko podnošenje pritužbe radi lakšeg pristupa zaštiti prava.

Članom 160. zakona uređuje se pravo na sudsku zaštitu protiv odluke Poverenika na način kojim se obezbeđuje sudska kontrola rada Poverenika i pravo na pokretanje upravnog spora u slučaju nepostupanja ili nezadovoljstva donetom odlukom. Cilj odredbe je obezbeđivanje delotvorne sudske zaštite i kontrole zakonitosti rada nadzornog organa, uz mogućnost korišćenja i drugih oblika sudske zaštite.

Postupanje Poverenika po predstavci propisano je članom 161. zakona. Ovim članom uređuje se postupanje Poverenika po različitim podnescima kojima se ukazuje na moguće povrede zakona. Cilj je omogućavanje širokog pristupa mehanizmima zaštite prava i utvrđivanje nezakonitosti u oblasti obrade podataka o ličnosti. Poverenik je dužan da obavesti podnosioca o toku i rezultatima postupka, a omogućeno je i elektronsko podnošenje predstavke.

Član 162. propisao je troškove postupka. Naime, postupci pred Poverenikom su besplatni, radi obezbeđivanja dostupnosti pravne zaštite svim licima. Istovremeno se predviđa mogućnost naplate nužnih administrativnih troškova ili odbijanja postupanja u slučaju očigledno neosnovanih, preobimnih ili preterano ponovljenih zahteva, uz obavezu obrazlaganja takve odluke, dok je članom 163. zakona propisana sudska zaštita prava lica u slučaju nezakonite obrade podataka o ličnosti. Lice može zahtevati ispravku, brisanje, ograničenje obrade, prenosivost podataka i prestanak nezakonite obrade, kao i zaštitu od odluka donetih isključivo automatizovanom obradom podataka. Odredbom se obezbeđuje delotvorna sudska zaštita prava lica.

Član 164. zakona uređuje zastupanje lica na koje se podaci odnose, na način da lice ovlasti udruženje koje se bavi zaštitom prava i sloboda u oblasti zaštite podataka o ličnosti da ga zastupa u postupcima pred Poverenikom, sudom i u postupcima za naknadu štete. Cilj je jačanje pristupa pravnoj zaštiti.

Pravo na naknadu štete propisano je članom 165. zakona. Ovim članom ustanovljava se pravo na naknadu materijalne i nematerijalne štete nastale povredom zakona. Uređuje se odgovornost rukovaoca i obrađivača, mogućnost oslobođenja od odgovornosti i solidarna odgovornost više lica koja učestvuju u obradi podataka, radi obezbeđivanja pune zaštite oštećenog lica.

Član 166. zakona propisuje uslove za izricanje novčane kazne. Propisuju se načela i kriterijumi za izricanje novčanih kazni zbog povrede zakona. Cilj je da kazne budu delotvorne, srazmerne i preventivne. Prilikom odmeravanja kazne uzimaju se u obzir težina povrede, stepen odgovornosti, posledice povrede, saradnja sa Poverenikom i druge otežavajuće i olakšavajuće okolnosti.

Poglavlje tri iste glave zakona propisuje kaznene odredbe. Odgovornost pravnog lica propisana je članom 167. zakona. Propisana je prekršajna odgovornost rukovaoca i obrađivača koji imaju svojstvo pravnog lica u slučaju povrede obaveza propisanih zakonom. Cilj odredbe je obezbeđivanje delotvorne, srazmerne i preventivne zaštite prava na zaštitu podataka o ličnosti kroz propisivanje novčanih kazni za najteže povrede zakona. Kaznene odredbe odnose se na nezakonitu obradu podataka, nepoštovanje načela obrade, nezakonitu obradu posebno osetljivih podataka, povredu prava lica na pristup, ispravku i brisanje podataka, nezakonitu primenu videonadzora i sistema veštačke inteligencije, nepreduzimanje mera bezbednosti, povredu obaveza u vezi sa prenosom podataka u druge države, kao i ometanje inspekcijskog nadzora Poverenika. Odredbom se posebno uređuju prekršaji u oblasti obrade podataka u posebne svrhe, imajući u vidu specifičnost i osetljivost takve obrade. Propisuju se i blaže kazne za

 

povrede administrativnih i organizacionih obaveza, kao što su vođenje evidencija o obradi, postupanje po prigovoru lica na direktno oglašavanje i objavljivanje podataka o licu za zaštitu podataka o ličnosti.

Član 168. zakona propisuje odgovornost fizičkog lica, odgovornog lica u pravnom licu i preduzetnika. Ovim članom uređuje se prekršajna odgovornost fizičkih lica, odgovornih lica u pravnim licima i preduzetnika za povrede odredaba zakona. Cilj odredbe je obezbeđivanje lične odgovornosti lica koja svojim postupanjem ili propuštanjem doprinose nezakonitoj obradi podataka o ličnosti. Posebno se sankcioniše povreda obaveze čuvanja profesionalne tajne, kao i prekršaji za koje su odgovorni preduzetnici i odgovorna lica u pravnim licima, državnim organima i organima lokalne samouprave. Propisivanjem novčanih kazni obezbeđuje se preventivno delovanje i jačanje svesti o značaju zakonite i bezbedne obrade podataka o ličnosti.

Glava XII. zakona uređuje prelazne i završne odredbe (čl. 169. do 175). Član

169. zakona se odnosi na zamenika Poverenika, odnosno nastavak rada zamenika Poverenika na način kojim se obezbeđuje kontinuitet u vršenju funkcije zamenika Poverenika koji je izabran po ranije važećem zakonu. Cilj odredbe je očuvanje pravne sigurnosti i nesmetano funkcionisanje institucije Poverenika do isteka već započetog mandata.

Članom 170. zakona uređuje se da će postupci započeti pre stupanja na snagu novog zakona biti okončani po odredbama ranije važećeg zakona. Cilj je obezbeđivanje pravne sigurnosti stranaka i sprečavanje primene različitih pravnih režima na iste postupke, dok se članom 171. zakona propisuje vođenje registra i evidencija. Ovim članom propisuje se nastavak vođenja lista, registara i evidencija uspostavljenih po ranijem zakonu, na način kojim se obezbeđuje kontinuitet u evidentiranju i praćenju podataka od značaja za primenu zakona, bez prekida u radu nadležnih organa.

Član 172. zakona propisuje rok za donošenje podzakonskih akata neophodnih za primenu zakona. Istovremeno se propisuje da će se postojeći podzakonski akti primenjivati do donošenja novih, ukoliko nisu u suprotnosti sa ovim zakonom.

Član 173. zakona propisuje obavezu usklađivanja drugih zakona koji uređuju obradu podataka o ličnosti sa odredbama ovog zakona u propisanom roku. Cilj odredbe je obezbeđivanje jedinstvenog i usklađenog sistema u oblasti zaštite podataka o ličnosti.

Član 174. zakona uređuje prestanak važenja ranijeg zakona Zakona o zaštiti podataka o ličnosti danom početka stupanja na snagu novog zakona.

Član 175. zakona propisuje stupanje zakona na snagu, odnosno da zakon počinje da važi osmog dana od dana objavljivanja u “Službenom glasniku Republike Srbije”.

Izvor: Deo prvi OPŠTI DEO Glava I. OSNOVNE ODREDBE Predmet zakona Član 1. Ovim zakonom uređuje se pravo fizičkog lica na zaštitu podataka o ličnosti u vezi sa njihovom obradom, uključujući osnovna načela obrade, prava lica na koje se podaci odnose i obaveze rukovalaca i obrađivača, kao i slobodni protok podataka o ličnosti i prenos podataka u druge države i međunarodne organizacije, obrada podataka o ličnosti od strane nadležnih organa u posebne svrhe, nadzor nad sprovođenjem ovog zakona, pravna sredstva, odgovornost i kazne u slučaju povrede ovog prava. Cilj zakona Član 2. Cilj ovog zakona je uređenje prava fizičkog lica na zaštitu podataka o ličnosti na način kojim se obezbeđuje efikasna i delotvorna zaštita ovog prava i drugih, sa njim povezanih, prava i sloboda lica na koje se podaci odnose. Primena Član 3. (1) Ovaj zakon primenjuje se na obradu podataka o ličnosti koja se vrši, u celini ili delimično, na automatizovan način, kao i na neautomatizovanu obradu podataka o ličnosti koji čine deo zbirke podataka ili su namenjeni zbirci podataka i to na obradu podataka o ličnosti: 1) koju vrši rukovalac, odnosno obrađivač koji ima sedište, odnosno prebivalište, boravište ili odobren boravak na teritoriji Republike Srbije, u okviru aktivnosti koje se vrše na teritoriji Republike Srbije, bez obzira da li se radnja obrade vrši na teritoriji Republike Srbije, 2) lica na koje se podaci odnose koje ima prebivalište, odnosno boravište ili odobren boravak na teritoriji Republike Srbije od strane rukovaoca, odnosno obrađivača koji nema sedište, odnosno prebivalište, boravište ili odobren boravak na teritoriji Republike Srbije, ako se radnje obrade podataka o ličnosti vrše u okviru aktivnosti na teritoriji Republike Srbije. (2) Ovaj zakon se ne primenjuje na obradu podataka o ličnosti koju vrši fizičko lice za lične potrebe, odnosno potrebe svog domaćinstva, kao i na neautomatizovanu obradu podataka o ličnosti koji ne čini deo zbirke podataka ili nisu namenjeni zbirci podataka. (3) Ovaj zakon se ne primenjuje na obradu podataka o ličnosti preminulih lica. (4) Odredbe posebnih zakona kojima se uređuje obrada podataka o ličnosti moraju biti u skladu sa ovim zakonom. Značenje izraza Član 4. Pojedini izrazi u ovom zakonu imaju sledeće značenje: 1) “podatak o ličnosti” je svaki podatak koji se odnosi na fizičko lice čiji je identitet određen ili odrediv, neposredno ili posredno, posebno na osnovu oznake identiteta, kao što je ime i identifikacioni broj, podataka o lokaciji, identifikatora u elektronskim komunikacionim mrežama ili jednog, odnosno više obeležja njegovog fizičkog, fiziološkog, genetičkog, mentalnog, ekonomskog, kulturnog i društvenog identiteta; 2) “lice na koje se podaci odnose” je fizičko lice čiji se podaci o ličnosti obrađuju; 3) “obrada podataka o ličnosti” je svaka radnja ili skup radnji koje se vrše automatizovano ili neautomatizovano sa podacima o ličnosti ili njihovim skupovima, kao što su prikupljanje, beleženje, razvrstavanje, grupisanje, odnosno strukturisanje, skladištenje, čuvanje, upodobljavanje ili menjanje, otkrivanje, uvid, upotreba, otkrivanje prenosom, odnosno dostavljanjem, umnožavanje, distribuiranje ili na drugi način činjenje dostupnim, upoređivanje, ograničavanje, brisanje ili uništavanje (u daljem tekstu: obrada); 4) “ograničavanje obrade” je označavanje skladištenih podataka o ličnosti u cilju ograničenja njihove obrade u budućnosti; 5) “profilisanje” je svaki oblik obrade koji se koristi da bi se ocenilo određeno svojstvo ličnosti, posebno u cilju analize ili predviđanja radnog učinka fizičkog lica, njegovog ekonomskog položaja, zdravstvenog stanja, ličnih sklonosti, interesa, pouzdanosti, ponašanja, lokacije ili kretanja; 6) “pseudonimizacija” je obrada na način koji onemogućava pripisivanje podataka o ličnosti određenom licu bez korišćenja dodatnih podataka, pod uslovom da se ovi dodatni podaci čuvaju posebno i da su preduzete tehničke, organizacione i kadrovske mere koje obezbeđuju da se podatak o ličnosti ne može pripisati određenom ili odredivom licu; 7) “anonimizacija” je proces kojim se vrši zamena ili izostavljanje podatka o ličnosti i time postiže trajan prekid veza između postojećih podataka i identiteta lica; 8) “kriptozaštita” je primena metoda, mera i postupaka radi transformisanja podataka u oblik koji ih za određeno vreme ili trajno čini nedostupnim neovlašćenim licima, u skladu sa zakonom kojim se uređuje informaciona bezbednost; 9) “zbirka podataka” je svaki struktuirani skup podataka o ličnosti koji je dostupan u skladu sa posebnim kriterijumima pretrage, bez obzira da li je zbirka centralizovana, decentralizovana ili razvrstana po funkcionalnim ili geografskim osnovama; 10) “rukovalac” je fizičko lice, preduzetnik ili pravno lice, odnosno organ vlasti koji samostalno ili zajedno sa drugima određuje svrhu i način obrade, pri čemu se zakonom kojim se određuje svrha i način obrade, može odrediti i rukovalac ili propisati uslovi za njegovo određivanje; 11) “obrađivač” je fizičko lice, preduzetnik ili pravno lice, odnosno organ vlasti koji obrađuje podatke o ličnosti u ime rukovaoca; 12) “primalac” je fizičko lice, preduzetnik ili pravno lice, odnosno organ vlasti kome su podaci o ličnosti otkriveni, bez obzira da li se radi o trećoj strani ili ne, osim ako se radi o organima vlasti koji, u skladu sa zakonom, primaju podatke o ličnosti u okviru obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja i obrađuju ove podatke u skladu sa pravilima o zaštiti podataka o ličnosti koja se odnose na svrhu obrade; 13) “treća strana” je fizičko lice, preduzetnik ili pravno lice, odnosno organ vlasti, koji nije lice na koje se podaci odnose, rukovalac ili obrađivač, kao ni lice koje je ovlašćeno da obrađuje podatke o ličnosti pod neposrednim nadzorom rukovaoca ili obrađivača; 14) “pristanak” je izražena volja lica kojom daje pristanak za obradu podataka o ličnosti koji se na njega odnose; 15) “povreda podataka o ličnosti” je povreda bezbednosti podataka o ličnosti koja dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmene, neovlašćenog otkrivanja ili pristupa podacima o ličnosti koji su preneseni, skladišteni ili na drugi način obrađivani; 16) “rizik” je stvarna mogućnost narušavanja bezbednosti podataka o ličnosti; 17) “upravljanje rizicima bezbednosti podataka o ličnosti” je proces identifikacije, kontrole i svođenja na prihvatljivu meru neizvesnih događaja koji predstavljaju rizik i koji mogu da utiču na bezbednost podataka o ličnosti, što uključuje procenu, postupanje, prihvatanje i obaveštavanje o riziku; 18) “genetički podatak” je podatak o ličnosti koji se odnosi na nasleđena ili stečena genetička obeležja fizičkog lica, koja pružaju jedinstvenu informaciju o fiziologiji ili zdravlju tog lica, a naročito oni koji su dobijeni analizom iz uzorka biološkog porekla; 19) “biometrijski podatak” je podatak o ličnosti dobijen posebnom tehničkom obradom podataka u vezi sa fizičkim obeležjima, fiziološkim obeležjima ili obeležjima ponašanja fizičkog lica, koja omogućava ili potvrđuje jedinstvenu identifikaciju tog lica, kao što je slika njegovog lica ili njegovi daktiloskopski podaci; 20) “video nadzor” je sistem koji se koristi za monitoring, odnosno nadziranje određenog prostora, zatvorenog ili otvorenog, putem kamera kojima se vrši prikupljanje i dalja obrada podataka o ličnosti; 21) “podatak o zdravstvenom stanju” je podatak o fizičkom ili mentalnom zdravlju fizičkog lica, uključujući i onaj o pružanju zdravstvenih usluga, kojima se otkrivaju informacije o njegovom zdravstvenom stanju; 22) “predstavnik” je fizičko ili pravno lice sa prebivalištem, boravištem ili odobrenim boravkom, odnosno sedištem na teritoriji Republike Srbije koje je u skladu sa odredbama ovog zakona ovlašćeno da predstavlja rukovaoca, odnosno obrađivača u vezi sa njihovim obavezama predviđenim ovim zakonom; 23) “privredni subjekat” je fizičko ili pravno lice koje obavlja privrednu delatnost, bez obzira na njegov pravni oblik; 24) “Akreditaciono telo Srbije”, je ustanava čiji su položaj i rad uređeni zakonom kojim se uređuje akreditacija; 25) “akreditacija, sertifikat o akreditaciji i ocenjivanje usaglašenosti”, imaju značenje propisano zakonom kojim se uređuje akreditacija; 26) “sertifikaciono telo” je telo koje, u skladu sa zakonom kojim se uređuje akreditacija, obavlja poslove ocenjivanja usaglašenosti; 27) “multinacionalno privredno društvo” je privredni subjekt koji ima ogranak, odnosno predstavništvo u Republici Srbiji, odnosno privredni subjekat koji je kontrolni osnivač ili kontrolni član privrednog subjekta ili sa značajnim učešćem u privrednom subjektu, odnosno u osnivaču ogranka privrednog subjekta, koji obavlja privrednu delatnost u državi u kojoj se ne nalazi njegovo sedište, a koje je registrovano i posluje u skladu sa zakonom kojim se uređuju privredna društva; 28) “grupa društava” je grupa povezanih privrednih društava, u skladu sa zakonom kojim se uređuje povezivanje privrednih društava; 29) “obavezujuća poslovna pravila” su interna pravila o zaštiti podataka o ličnosti koja su usvojena i koja se primenjuju od strane rukovaoca, odnosno obrađivača, sa prebivalištem, boravištem ili odobrenim boravkom, odnosno sedištem na teritoriji Republike Srbije, u svrhu regulisanja prenošenja podataka o ličnosti rukovaocu ili obrađivaču u jednoj ili više država unutar multinacionalnog privrednog društva ili grupe privrednih subjekata; 30) “Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti” (u daljem tekstu: Poverenik) je samostalan državni organ, nezavisan u vršenju svoje nadležnosti, ustanovljen na osnovu zakona, koji je nadležan za nadzor nad sprovođenjem ovog zakona i obavljanje drugih poslova propisanih zakonom; 31) “usluga informacionog društva” je svaka usluga koja se uobičajeno pruža na daljinu, u skladu sa zakonom kojim se uređuje elektronska trgovina; 32) “međunarodna organizacija” je organizacija ili njeno telo koje uređuje međunarodno javno pravo, kao i bilo koje drugo telo ustanovljeno sporazumom ili na osnovu sporazuma između država; 33) “organ vlasti” je organ Republike Srbije, autonomne pokrajine, jedinice lokalne samouprave ili gradske opštine, javno preduzeće, ustanova, privredno društvo ili drugo pravno lice čiji je osnivač ili član Republika Srbija, autonomna pokrajina, jedinica lokalne samouprave ili gradska opština, pravno lice ili preduzetnik koji obavlja delatnosti od opšteg interesa ili pravno lice ili fizičko lice koje ima javna ovlašćenja; 34) “nadležni organi” su: a) organi vlasti koji su nadležni za sprečavanje, istragu i otkrivanje krivičnih dela i prekršaja, kao i gonjenje njihovih učinilaca ili izvršenje izrečenih sankcija, uključujući i zaštitu i sprečavanje pretnji javnoj i nacionalnoj bezbednosti (u daljem tekstu: obrada u posebne svrhe); b) pravno lice koje je za vršenje poslova iz podtačke a) ove tačke ovlašćeno zakonom. 35) “obavljanje poslova u javnom interesu” je delovanje organa vlasti na zaštiti interesa koji predstavljaju dobrobit za sve građane ili veliku većinu građana Republike Srbije, a naročito: nacionalne bezbednosti, uključujući odbranu, unutrašnju bezbednost, obavljanje bezbednosno-obaveštajnih poslova i međunarodni položaj zemlje; ekonomske i fanansijske stabilnosti; javnog zdravlja; prirodnih resursa i životne sredine; sprečavanje ili otkrivanje krivičnog dela, optuženja za krivično delo, vođenje sudskog ili drugog pravno uređenog postupka, kao i života, zdravlja, bezbednosti ili kojeg drugog važnog dobra nekog lica. 36) “legitimni interes” je stvaran, konkretan i pravno dopušten interes rukovaoca ili treće strane, koji je poslovnog ili šireg društvenog karaktera, da u okviru uspostavljenog odnosa sa fizičkim licem obrađuje podatke o ličnosti tog lica, uključujući njihov prenos trećoj strani, bez pribavljene saglasnosti tog lica, uz poštovanje principa neophodnosti, podobnosti i srazmernosti u odnosu na ostvarivanje svrhe obrade (sprečavanje prevara, zaštita informacione bezbednosti i dr.), pod uslovom da nad tim interesom ne pretežu interesi ili osnovna prava i slobode lica na koje se podaci odnose, uzimajući u obzir razumna očekivanja tih lica zasnovana na njihovom odnosu sa rukovaocem. Glava II. OBRADA PODATAKA O LIČNOSTI 1. Osnovna načela obrade podataka o ličnosti Načelo zakonitosti Član 5. (1) Podaci o ličnosti moraju se obrađivati zakonito, na način kojim se obezbeđuje predvidljivost u postupanju rukovaoca, jednakost pred zakonom i zaštita prava fizičkog lica u vezi sa obradom njegovih podataka o ličnosti. (2) Zakonita obrada je ona obrada podataka o ličnosti koja se vrši u skladu sa ustavom, potvrđenim međunarodnim ugovorima, opšteprihvaćenim pravilima međunarodnog prava i ovim zakonom, odnosno drugim zakonom kojim se uređuje obrada. (3) Ograničenja zaštite prava lica čiji se podaci obrađuju moguća su samo pod uslovima i na način propisan zakonom. Načelo poštenja Član 6. Obrada podataka o ličnosti mora biti poštena, odnosno zasnovana na pravičnim osnovama, pri čemu je rukovalac dužan da prilikom obrade vodi računa o opravdanim interesima i razumnim očekivanjima lica na koje se podaci odnose. Načelo transparentnosti Član 7. Transparentna obrada je obrada podataka o ličnosti pri kojoj rukovalac omogućava licu na koje se podaci odnose da bude obavešteno o obradi na jasan, razumljiv i lako dostupan način. Načelo ograničenja u odnosu na svrhu obrade Član 8. (1) Podaci o ličnosti prikupljaju se u svrhe koje su konkretno određene, izričite, opravdane i zakonite i dalje se ne mogu obrađivati na način koji nije u skladu sa tim svrhama. (2) Obrada u svrhu koja je različita od svrhe za koju su podaci prikupljeni moguća je samo pod uslovima i na način propisan zakonom. Načelo minimizacije podataka Član 9. (1) Podaci o ličnosti koji se obrađuju moraju biti neophodni, bitni i ograničeni na ono što je nužno u odnosu na svrhu obrade. (2) Prilikom procene da li su podaci o ličnosti koji se obrađuju neophodni, bitni i ograničeni na ono što je nužno, rukovalac naročito uzima u obzir potrebu, podobnost i srazmernost podataka o ličnosti koje obrađuje u odnosu na svrhu obrade. Načelo tačnosti podataka Član 10. (1) Podaci o ličnosti koji se obrađuju moraju biti tačni i, ako je to neophodno, ažurirani, uzimajući u obzir svrhu obrade. (2) Tačnost i ažuriranost podataka obezbeđuje se preduzmanjem potrebnih mera da se netačni podaci o ličnosti bez odlaganja izbrišu, isprave ili dopune. Načelo ograničenja čuvanja Član 11. Podaci o ličnosti koji se obrađuju čuvaju se u obliku koji omogućava identifikaciju lica samo u roku koji je neophodan za ostvarivanje svrhe obrade. Načelo integriteta i poverljivosti Član 12. Podaci o ličnosti obrađuju se na način koji obezbeđuje odgovarajuću zaštitu podataka o ličnosti, uključujući zaštitu od neovlašćene ili nezakonite obrade, kao i od slučajnog gubitka, uništenja ili oštećenja primenom odgovarajućih tehničkih, organizacionih i kadrovskih mera. Načelo odgovornosti za postupanje Član 13. Rukovalac je odgovoran za poštovanje i primenu osnovnih načela obrade podataka o ličnosti i dužan je da predoči njihovu primenu. 2. Zakonitost obrade Pravni osnov za obradu podataka o ličnosti Član 14. (1) Obrada podataka o ličnosti je zakonita ako se zasniva na jednom od osnova određenih ovim zakonom, kao i ako su ispunjeni propisani uslovi u pogledu svakog od tih osnova. (2) Osnovi za zakonitu obradu podataka o ličnosti su: 1) poštovanje zakonskih obaveza rukovaoca; 2) obavljanje poslova u javnom interesu ili izvršenje zakonom propisanih ovlašćenja rukovaoca; 3) zaštita životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica; 4) pristanak lica na obradu podataka o ličnosti, za jednu ili više posebno određenih svrha; 5) izvršenje ugovora zaključenog sa licem na koje se podaci odnose; 6) ostvarivanje legitimnih interesa rukovaoca ili treće strane. Određenost u zakonu kao osnov za obradu Član 15. (1) Kada je osnov za obradu podataka o ličnosti poštovanje zakonskih obaveza rukovaoca, odnosno obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja rukovaoca iz člana 14. stav (2) tač. 1) i 2) ovog zakona, obrada je zakonita ako je neophodna u cilju ostvarivanja svrhe obrade i pod uslovom da je određena zakonom. (2) U slučaju obrade u cilju poštovanja zakonskih obaveza rukovaoca iz člana 14. stav (2) tačka 1) ovog zakona, zakonom se određuje i svrha obrade. (3) Kada se radi o obradi iz člana 14. stav (2) tačka 2) ovog zakona, zakonom se određuje javni interes koji se namerava ostvariti obavljanjem konkretnog posla, odnosno ovlašćenje koje se primenjuje, kao i obaveza poštovanja principa srazmernosti obrade u odnosu na cilj ostvarivanja svrhe. (4) Zakonom iz st. (2) i (3) ovog člana mogu se propisati i uslovi za dozvoljenost obrade od strane rukovaoca, vrsta podataka koji su predmet obrade, lica na koje se podaci o ličnosti odnose, lica kojima se podaci mogu otkriti i svrha njihovog otkrivanja, ograničenja koja se odnose na svrhu obrade, rok skladištenja i čuvanja podataka, kao i druge posebne radnje i postupak obrade, uključujući i mere za obezbeđivanje zakonite, poštene i transparentne obrade. Zaštita životno važnih interesa lica kao osnov za obradu Član 16. Kada je osnov za obradu podataka o ličnosti zaštita životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica iz člana 14. stav (2) tačka 3) ovog zakona, obrada je zakonita ako je rukovalac u mogućnosti da predoči da je obrada neophodna u cilju ostvarivanja svrhe obrade. Pristanak kao osnov za obradu Član 17. (1) Kada se osnov za obradu podataka o ličnosti zasniva na pristanku iz člana 14. stav (2) tačka 4) ovog zakona, rukovalac mora biti u mogućnosti da predoči da je lice pristalo na obradu podataka o ličnosti. (2) Pristanak lica na obradu podataka o ličnosti mora biti dobrovoljan, određen i nedvosmislen, u vidu izjave, jasne potvrdne, odnosno druge konkludentne radnje, donete na osnovu potpunih informacija. (3) Kada se pristanak iz stava (2) ovog člana daje u okviru pismene izjave koja se odnosi i na druga pitanja, zahtev za davanje pristanka mora biti prezentovan na način kojim se izdvaja od tih drugih pitanja, u razumljivom i lako dostupnom obliku, kao i uz upotrebu jasnih i jednostavnih reči. (4) Deo pismene izjave koji je u suprotnosti sa stavom (3) ovog člana ne proizvodi pravno dejstvo. (5) Pre davanja pristanka lice na koje se podaci odnose mora biti obavešteno o pravu na opoziv pristanka, kao i dejstvu opoziva. (6) Lice na koje se podaci odnose ima pravo da opozove pristanak u svakom trenutku, pri čemu opoziv pristanka ne utiče na dopuštenost obrade koja je vršena na osnovu pristanka pre opoziva. (7) Opozivanje pristanka mora biti jednostavno, kao i davanje pristanka. (8) Opoziv pristanka proizvodi dejstvo od trenutka kada rukovalac primi opoziv. (9) Prilikom ocenjivanja da li je pristanak za obradu podataka o ličnosti slobodno dat, posebno se mora voditi računa o tome da li se izvršenje ugovora, uključujući i pružanje usluga, uslovljava davanjem pristanka koji nije neophodan za njegovo izvršenje. Pristanak maloletnog lica u vezi sa korišćenjem usluga informacionog društva Član 18. (1) Maloletno lice koje je navršilo 15 godina života može samostalno da daje pristanak za obradu podataka o ličnosti u korišćenju usluga informacionog društva. (2) Ako se radi o maloletnom licu koje nije navršilo 15 godina života, za obradu podataka iz stava (1) ovog člana pristanak mora dati roditelj koji vrši roditeljsko pravo, odnosno drugi zakonski zastupnik maloletnog lica. (3) Rukovalac mora preduzeti razumne mere u cilju utvrđivanja da li je pristanak dao roditelj koji vrši roditeljsko pravo, odnosno drugi zakonski zastupnik maloletnog lica, uzimajući u obzir dostupne tehnologije. Ugovor kao osnov za obradu Član 19. Kada je osnov za obradu podataka o ličnosti izvršenje ugovora iz člana 14. stav (2) tačka 5) ovog zakona, obrada je zakonita ako je neophodna za izvršenje ugovora zaključenog sa licem na koje se podaci odnose ili se radi o neophodnosti obrade podataka o ličnosti u vezi sa preduzimanjem radnji, na zahtev lica na koje se podaci odnose, pre zaključenja ugovora. Legitimni interes rukovaoca ili treće strane Član 20. (1) Kada je osnov za obradu podataka o ličnosti ostvarivanje legitimnih interesa rukovaoca ili treće strane iz člana 14. stav (2) tačka 6) ovog zakona, obrada je zakonita ako je neophodna u cilju ostvarivanja tih interesa, osim ako su nad tim interesima pretežniji interesi ili osnovna prava i slobode lica na koje se podaci odnose, koji zahtevaju zaštitu podataka o ličnosti, a posebno ako je lice na koje se podaci odnose maloletno lice. (2) Osnov za obradu iz stava (1) ovog člana nije primenljiv na obradu koju vrši organ vlasti u okviru svoje nadležnosti. 3. Transparentnost obrade Informisanje o obradi podataka o ličnost Član 21. (1) Obrada podataka o ličnosti je transparentna ako je rukovalac preduzeo odgovarajuće mere da informiše lice na koje se podaci odnose o nameravnoj obradi podataka o ličnosti, u slučaju kada se podaci prikupljaju od njega lično, odnosno o započetoj obradi, kada se podaci ne prikupljaju od lica na koje se odnose, kao i ostvarivanju drugih prava propisanih ovim zakonom, u vezi sa obradom podataka o ličnosti. (2) Rukovalac je dužan da informacije iz stava (1) ovog člana pruži na jasan, transparentan, razumljiv i lako dostupan način, korišćenjem jasnih i jednostavnih reči, a posebno ako se radi o informaciji koja je namenjena maloletnom licu. (3) Informacije iz stava (1) ovog člana daju se u pismenom ili drugom obliku, uključujući, ako je to pogodno, elektronski oblik, kao i usmeno ako lice na koje se podaci odnose to zahteva, pod uslovom da je identitet lica nesumnjivo utvrđen. (4) Informacije iz stava (1) ovog člana, mogu se dati u kombinaciji sa standardizovanim ikonama prikazanim u elektronskom obliku i čitljivim na elektronskom uređaju, kako bi se, na lako vidljiv, razumljiv i jasno uočljiv način, obezbedio svrsishodan uvid u obradu. (5) Poverenik određuje informacije koje se predstavljaju standardizovanim ikonama prikazanim u elektronskom obliku i uređuje postupak za njihovo utvrđivanje. Informacije koje se pružaju kad se podaci o ličnosti prikupljaju od lica na koje se odnose Član 22. Kada se podaci o ličnosti prikupljaju od lica na koje se odnose, rukovalac je dužan da tom licu pruži sledeće informacije: 1) o identitetu i kontakt podacima rukovaoca, kao i njegovog predstavnika, ako je on određen; 2) kontakt podatke lica za zaštitu podataka o ličnosti, ako je ono određeno; 3) o svrsi nameravane obrade i pravnom osnovu za obradu; 4) o vrsti podataka koji se obrađuju; 5) o legitimnom interesu rukovaoca ili treće strane, ako je obrada zasnovana na odredbi iz člana 20. stav (1) ovog zakona; 6) o primaocu, odnosno grupi primalaca podataka o ličnosti, ako oni postoje; 7) o činjenici da rukovalac namerava da iznese podatke o ličnosti u drugu državu ili međunarodnu organizaciju, kao i o tome da li se ta država ili međunarodna organizacija nalazi na listi Vlade kojom se utvrđuje da te države, odnosno međunarodne organizacije obezbeđuju primereni nivo zaštite podataka o ličnosti, a u slučaju prenosa podataka u državu ili međunarodnu organizaciju koja se ne nalaze na listi, o upućivanju na odgovarajuće mere zaštite, kao i o načinu na koji se lice na koje se podaci odnose može upoznati sa tim merama. Dodatne informacije Član 23. Pored informacija iz člana 22. ovog zakona, rukovalac je dužan da licu na koje se podaci odnose pruži i sledeće dodatne informacije, ako su one neophodne da bi se obezbedila poštena i transparentna obrada u odnosu na to lice, i to: 1) o roku čuvanja podataka o ličnosti ili, ako to nije moguće, o kriterijumima za njegovo određivanje, koji moraju biti u skladu sa načelom ograničenja čuvanja podataka o ličnosti iz člana 11. ovog zakona; 2) o pravu da se od rukovaoca zahteva pristup, ispravka i dopuna ili brisanje njegovih podataka o ličnosti, odnosno o pravu na ograničenje obrade, pravu na prigovor, kao i pravu na prenosivost podataka; 3) o pravu na opoziv pristanka u bilo koje vreme, kao i o tome da opoziv pristanka ne utiče na dopuštenost obrade na osnovu pristanka pre opoziva, ako je osnov za obradu podataka o ličnosti zasnovan na pristanku iz člana 17. ovog zakona, uključujući pristanak na obradu posebno osetljivih podataka o ličnosti, u skladu sa ovim zakonom; 4) o pravu da se podnese pritužba Povereniku, odnosna tužba sudu; 5) o tome da li je davanje podataka o ličnosti zakonska ili ugovorna obaveza ili je davanje podataka neophodan uslov za zaključenje ugovora, kao i o tome da li lice na koje se podaci odnose ima obavezu davanja podatka i o mogućim posledicama ako se podaci ne daju; 6) o postojanju automatizovanog donošenja odluke, uključujući profilisanje, o bližem načinu automatizovane obrade podataka, kao i o značaju i očekivanim posledicama te obrade po lice na koje se podaci odnose. Informacije koje se pružaju kad se podaci o ličnosti ne prikupljaju od lica na koje se odnose Član 24. (1) Kada se podaci o ličnosti ne prikupljaju od lica na koje se odnose, rukovalac je dužan da licu na koje se podaci odnose pruži informacije iz člana 22. ovog zakona. (2) Pored informacija iz stava (1) ovog člana, rukovalac je dužan da licu na koje se podaci odnose pruži i dodatne informacije iz člana 23. ovog zakona, ako su neophodne da bi se obezbedila poštena i transparentna obrada, kao i informaciju o izvoru iz kog potiču podaci o ličnosti i, prema potrebi, da li podaci potiču iz javno dostupnih izvora. Informacije u slučaju obrade u druge svrhe Član 25. Kada rukovalac namerava da dalje obrađuje podatke o ličnosti u svrhu koja je različita od one za koju su podaci prikupljeni, rukovalac je dužan da pre započinjanja dalje obrade, licu na koje se podaci odnose, bez obzira da li se podaci prikupljaju od tog lica ili lica na koje se podaci ne odnose, pruži informacije o toj drugoj svrsi, kao i sve druge bitne dodatne informacije iz čl. 23. i 24. stav (2) ovog zakona, ako su one neophodne da bi se obezbedila poštena i transparentna obrada. Oslobađanje rukovaoca obaveze pružanja informacije Član 26. (1) Rukovalac nije dužan da licu na koje se podaci odnose pruži informacije iz čl. 22. do 25. ovog zakona, ako lice već raspolaže tim informacijama. (2) Kada ne prikuplja podatke o ličnosti od lica na koje se podaci odnose, rukovalac nije dužan da licu na koje se podaci odnose pruži informacije iz člana 24. ovog zakona, ako: 1) je pružanje takvih informacija nemoguće ili bi zahtevalo nesrazmeran utrošak vremena i sredstava, a naročito u slučaju obrade u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja, kao i u statističke svrhe, pod uslovom da je obezbeđena primena tehničkih, organizacionih i kadrovskih mera zaštite podataka, a posebno ako je obezbeđeno poštovanje načela minimizacije podataka, uključujući pseudonimizaciju; 2) je verovatno da bi izvršenje obaveza pružanja informacija onemogućilo ili bitno otežalo ostvarivanje svrhe obrade; 3) je prikupljanje ili otkrivanje podataka o ličnosti izričito propisano zakonom kojim se obezbeđuju odgovarajuće mere zaštite legitimnih interesa lica na koje se podaci odnose; 4) se podaci o ličnosti moraju zaštititi u skladu sa obavezom čuvanja profesionalne tajne, koja je propisana zakonom. (3) U slučajevima iz stava (2) tač. 1) i 2) ovog člana rukovalac je dužan da preduzme odgovarajuće mere zaštite prava i sloboda, kao i legitimnih interesa lica na koje se podaci odnose, što uključuje i javno objavljivanje informacija. Rokovi za pružanje informacija Član 27. (1) Kada se podaci o ličnosti prikupljaju od lica na koje se podaci odnose, rukovalac je dužan da u trenutku prikupljanja podataka o ličnosti tom licu pruži informacije iz čl. 22. i 23. ovog zakona. (2) Kada se podaci o ličnosti ne prikupljaju od lica na koje se podaci odnose, rukovalac je dužan da licu na koje se podaci odnose informacije iz člana 24. ovog zakona, pruži: 1) u razumnom roku posle prikupljanja podataka o ličnosti, a najkasnije u roku od 30 dana, uzimajući u obzir sve posebne okolnosti obrade; 2) najkasnije prilikom uspostavljanja prve komunikacije; 3) najkasnije prilikom prvog otkrivanja podataka o ličnosti, ako je predviđeno otkrivanje podataka o ličnosti primaocu. (3) Rukovalac pruža informacije iz čl. 22. do 25. ovog zakona licu na koje se podaci odnose bez naknade. 4. Obrada u druge svrhe Osnovne odredbe Član 28. Obrada podataka o ličnosti u druge svrhe je ona obrada kod koje se svrha obrade razlikuje od svrhe za koju su podaci prvobitno prikupljeni, ako su ispunjeni naročito sledeći uslovi: 1) podaci se obrađuju od strane istog rukovaoca; 2) postoji međusobna usklađenost između svrhe za koju su podaci prvobitno prikupljeni i druge svrhe. Obrada u druge svrhe zasnovana na zakonu Član 29. (1) Kada je obrada podataka o ličnosti u svrhu koja je različita od svrhe za koju su podaci prikupljeni zasnovana na zakonu, tim zakonom moraju biti propisane neophodne i srazmerne mere u demokratskom društvu radi zaštite važnih javnih interesa propisanih ovim zakonom, zbog kojih se mogu ograničiti prava u vezi sa obradom podataka o ličnosti, u skladu sa odredbama ovog zakona. (2) Smatra se da se podaci o ličnosti ne obrađuju na način koji nije u skladu sa prvobitnom svrhom, ako se dalja obrada vrši u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja, kao i u statističke svrhe, u skladu sa ovim zakonom. (3) Podaci o ličnosti koji se obrađuju isključivo u svrhe iz stava (2) ovog člana mogu se čuvati u dužem roku u odnosu na rokove koji su određeni u vezi sa prvobitnom svrhom obrade, uz poštovanje odredaba ovog zakona o primeni odgovarajućih tehničkih, organizacionih i kadrovskih mera zaštite podataka. Obrada u druge svrhe na osnovu pristanka Član 30. Kada je obrada podataka o ličnosti u druge svrhe zasnovana na pristanku lica, u pogledu uslova za punovažnost pristanka, uključujući njegov opoziv, primenjuju se odredbe člana 17. ovog zakona. Obrada u druge svrhe na osnovu ocene rukovaoca Član 31. Kada obrada podataka o ličnosti u svrhu koja je različita od svrhe u koju su podaci prikupljeni nije zasnovana na zakonu ili na pristanku lica na koje se podaci odnose, rukovalac je dužan da oceni da li je ta druga svrha obrade usklađena sa svrhom obrade u koju su podaci prikupljeni, posebno uzimajući u obzir: 1) da li postoji veza između svrhe u koju su podaci prikupljeni i druge svrhe nameravane obrade; 2) okolnosti u kojima su podaci prikupljeni, uključujući i odnos između rukovaoca i lica na koje se podaci odnose; 3) prirodu podataka, a posebno da li se obrađuju posebno osetljivi podaci o ličnosti, određeni ovim zakonom, odnosno podaci o ličnosti u vezi sa kažnjivim delima i sudskim odlukama u krivičnom i prekršajnom postupku; 4) moguće posledice dalje obrade za lice na koje se podaci odnose; 5) primenu odgovarajućih mera zaštite, kao što su kriptozaštita i pseudonimizacija. 5. Obrada posebnih kategorija podataka o ličnosti Obrada posebno osetljivih podataka o ličnosti Član 32. (1) Zabranjena je obrada kojom se otkriva rasno ili etničko poreklo, političko mišljenje, uključujući i članstvo u političkom subjektu, versko ili filozofsko uverenje ili članstvo u sindikatu, kao i obrada genetičkih podataka, biometrijskih podataka u cilju jedinstvene identifikacije lica, podataka koji se odnose na zdravstveno stanje ili podataka o seksualnom životu ili seksualnoj orijentaciji fizičkog lica. (2) Obrada podataka o ličnosti iz stava (1) ovog člana izuzetno je dopuštena u sledećim slučajevima: 1) lice na koje se podaci odnose je dalo izričit pristanak za obradu za jednu ili više svrha obrade, osim ako je zakonom propisano da se obrada ne vrši na osnovu pristanka; 2) obrada je neophodna u cilju izvršenja zakonskih obaveza ili primene zakonom propisanih ovlašćenja rukovaoca ili lica na koje se podaci odnose u oblasti rada, socijalnog osiguranja i socijalne zaštite, ako je takva obrada propisana zakonom ili kolektivnim ugovorom koji propisuje primenu odgovarajućih mera zaštite osnovnih prava, sloboda i interesa lica na koje se podaci odnose; 3) obrada je neophodna u cilju zaštite životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica, ako lice na koje se podaci odnose fizički ili pravno nije u mogućnosti da daje pristanak; 4) obrada se vrši u okviru registrovane delatnosti i uz primenu odgovarajućih mera zaštite od strane zadužbine, fondacije, udruženja ili druge nedobitne organizacije sa političkim, filozofskim, verskim ili sindikalnim ciljem, pod uslovom da se obrada odnosi isključivo na članove, odnosno bivše članove te organizacije ili lica koja imaju redovne kontakte sa njom u vezi sa ciljem organizacije, kao i da se podaci o ličnosti ne otkrivaju izvan te organizacije bez pristanka lica na koje se odnose; 5) obrađuju se podaci o ličnosti koje je lice na koje se oni odnose očigledno učinilo javno dostupnim; 6) obrada je neophodna u cilju podnošenja, ostvarivanja ili odbrane pravnog zahteva ili u slučaju kad sud postupa u okviru svoje nadležnosti; 7) obrada je neophodna u cilju ostvarivanja značajnog javnog interesa, određenog zakonom, ako je takva obrada srazmerna ostvarivanju cilja, uz poštovanje suštine prava na zaštitu podataka o ličnosti i ako je obezbeđena primena odgovarajućih i posebnih mera zaštite osnovnih prava i interesa lica na koje se ovi podaci odnose; 8) obrada je neophodna u svrhu preventivne medicine ili medicine rada, radi procene radne sposobnosti zaposlenih, medicinske dijagnostike, pružanja usluga zdravstvene ili socijalne zaštite, odnosno upravljanja zdravstvenim ili socijalnim sistemima, na osnovu zakona ili na osnovu ugovora sa zdravstvenim radnikom, ako se obrada vrši od strane ili pod nadzorom zdravstvenog radnika ili drugog lica koje ima obavezu čuvanja profesionalne tajne propisane zakonom ili profesionalnim pravilima; 9) obrada je neophodna u cilju ostvarivanja javnog interesa u oblasti javnog zdravlja, kao što je zaštita od ozbiljnih prekograničnih pretnji zdravlju stanovništva ili obezbeđivanje visokih standarda kvaliteta i sigurnosti zdravstvene zaštite i lekova ili medicinskih sredstava, na osnovu zakona koji obezbeđuje odgovarajuće i posebne mere zaštite prava i sloboda lica na koje se podaci odnose, posebno u pogledu čuvanja profesionalne tajne; 10) obrada je neophodna u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja i u statističke svrhe, ako je takva obrada srazmerna ostvarivanju ciljeva koji se nameravaju postići, uz poštovanje suštine prava na zaštitu podataka o ličnosti i ako je obezbeđena primena odgovarajućih i posebnih mera zaštite osnovnih prava i interesa lica na koje se ovi podaci odnose. (3) Obrada biometrijskih podataka o ličnosti u svrhu jedinstvene identifikacije lica čiji je osnov za obradu pristanak, dopuštena je pod uslovom da lice čiji se podaci obrađuju ima mogućnost izbora između njegove identifikacije putem obrade biometrijskih podataka i identifikacije obradom podataka na drugi način, kojim se manje zadire u prava i slobode lica. Obrada u vezi sa kažnjivim delima Član 33. (1) Obrada podataka o ličnosti koji se odnose na kažnjiva dela i odluke donete u krivičnom i prekršajnom postupku, može se vršiti ako je zasnovana na jednom od osnova iz člana 14. stav (2) tač. 1) do 5) ovog zakona samo pod nadzorom nadležnog organa, uz primenu odgovarajućih posebnih mera zaštite prava i sloboda lica na koje se podaci odnose. (2) Evidencije o odlukama iz stava (1) ovog člana vode se isključivo od strane i pod nadzorom nadležnog organa. Obrada koja ne zahteva identifikaciju Član 34. (1) Kada za ostvarivanje svrhe obrade nije potrebno, odnosno više nije potrebno da rukovalac identifikuje lice na koje se podaci odnose, rukovalac nije dužan da zadrži, pribavi ili obradi dodatne informacije radi identifikacije tog lica samo u cilju primene ovog zakona. (2) Ako u slučaju iz stava (1) ovog člana rukovalac ne može da identifikuje lice na koje se podaci odnose, dužan je da o tome na odgovarajući način informiše lice koje je podnelo zahtev za ostvarivanje prava u vezi sa obradom podataka o ličnosti, ako je to moguće. (3) U slučaju iz stava (1) ovog člana ne primenjuju se odredbe ovog zakona kojima se uređju prava lica na pristup, ispravku ili dopunu i brisanje podataka o ličnosti, kao i prava na ograničenje obrade, obavezu obaveštavanja u vezi sa ispravkom ili brisanjem podataka i pravo na prenosivost podataka, osim ako lice na koje se podaci odnose, u cilju ostvarivanja tih prava, ne dostavi dodatne informacije koje omogućavaju njegovu identifikaciju. 6. Posebni slučajevi obrade podataka o ličnosti Obrada i sloboda izražavanja i informisanja Član 35. (1) Na obradu podataka o ličnosti koja se vrši u svrhe novinarskog istraživanja i objavljivanja informacija u medijima, kao i u svrhe naučnog, umetničkog ili književnog izražavanja, ne primenjuju se odredbe ovog zakona kojima se uređuju osnovna načela obrade podataka o ličnosti, prava i obaveze u vezi sa obradom podataka o ličnosti, dužnosti rukovaoca i obrađivača, prenos podataka u druge države i međunarodne organizacije i nadležnost Poverenika, kao i odredbe ovog zakona kojima se uređuju drugi posebni slučajevi obrade podataka o ličnosti, ako su u konkretnom slučaju izuzeci od primene navednih odredaba ovog zakona neophodni u cilju zaštite slobode izražavanja i informisanja. (2) Primena odredbe iz stava (1) ovog člana ne oslobađa rukovaoca, odnosno obrađivača na primenu pojedinih mera zaštite podataka o ličnosti, kao što su pseudonimizacija i anonimizacija, na način kojim se obezbeđuje da se sloboda izražavanja i informisanja i pravo na zaštitu podataka o ličnosti mogu ostvariti zajedno. Obrada i slobodan pristup informacijama od javnog značaja Član 36. Informacije od javnog značaja koje sadrže podatke o ličnosti mogu biti učinjene dostupnim tražiocu informacije od strane organa vlasti na način kojim se obezbeđuje da se pravo javnosti da zna i pravo na zaštitu podataka o ličnosti mogu ostvariti zajedno, u meri propisanoj zakonom kojim se uređuje slobodan pristup informacijama od javnog značaja i ovim zakonom, uključujući primenu mera zaštite podataka o ličnosti, a posebno anonimizaciju. Obrada jedinstvenog matičnog broja građana Član 37. (1) Na obradu jedinstvenog matičnog broja građana, primenjuju se odredbe zakona kojim se uređuje jedinstveni matični broj građana (u daljem tekstu: JMBG), odnosno drugog zakona, uz primenu odredbi ovog zakona koje se odnose na zaštitu prava i sloboda lica na koje se podaci odnose. (2) Zabranjena je radnja obrade JMBG kojom se JMBG čini javno dostupnim neograničenom broju lica. Obrada u oblasti rada i zapošljavanja Član 38. (1) Na obradu podataka o ličnosti u oblasti rada i zapošljavanja primenjuju se odredbe zakona kojima se uređuje rad i zapošljavanje i kolektivni ugovori, uz primenu odredaba ovog zakona. (2) Zakonom iz stava (1) ovog člana, u odredbama koje se odnose na zaštitu podataka o ličnosti moraju se propisati i posebne mere zaštite dostojanstva ličnosti, legitimnih interesa i osnovnih prava lica na koje se podaci odnose, posebno u odnosu na transparentnost obrade, razmenu podataka o ličnosti unutar multinacionalnog privrednog društva, odnosno grupe privrednih društava, kao i sistem nadzora u radnoj sredini. Obrada u svrhe arhiviranja u javnom interesu Član 39. (1) Na obradu podataka o ličnosti u svrhe arhiviranja u javnom interesu primenjuju se odgovarajuće tehničke, organizacione i kadrovske mere zaštite prava i sloboda lica na koje se podaci odnose, propisane ovim zakonom, kao i zakonom kojim se uređuje arhivska građa i arhivska delatnost, a posebno mere kojima se obezbeđuje poštovanje načela minimizacije podataka, kao i pseudonimizacija, ako se svrha obrade može ostvariti primenom ove mere. (2) Kada se svrha obrade iz stava (1) ovog člana može ostvariti bez identifikacije lica ili bez dalje identifikacije lica na koje se podaci odnose, ta svrha se mora ostvarivati na način koji onemogućava dalju identifikaciju lica. (3) Lice na koje se podaci odnose ima pravo na pristup podacima koji su sadržani u arhivskoj građi koja je u arhivi stvaraoca, odnosno imaoca te građe, dok se ista ne preda nadležnom javnom arhivu. (4) Kada se arhivska građa preda nadležnom javnom arhivu i utvrdi za kulturno dobro, lice na koje se podaci odnose nema pravo na pristup podacima ako bi pružanje informacija ili kopiranje tih podataka o ličnosti zahtevalo nesrazmeran napor. (5) Lice čiji se podaci obrađuju u svrhe iz stava (1) ovog člana, nema pravo na ispravku ili dopunu podataka, ograničenje obrade, prigovor i prava u vezi sa automatizovanim donošenjem pojedinačnih odluka, pravo na obaveštavanje u vezi sa ispravkom ili dopunom, brisanjem ili ograničenjem obrade, kao i pravo na prenosivost podataka koji su sadržani u arhivskoj građi, ako je to neophodno za ostvarivanje svrhe ili ako bi ostvarivanje ovih prava onemogućilo ili značajno otežalo ostvarivanje svrhe, uz primenu mera iz st. (1) i (2) ovog člana. (6) Kada lice čiji se podaci obrađuju u svrhu iz stava (1) ovog člana tvrdi da su njegovi podaci o ličnosti netačni ili neažurni ima mogućnost da, pred nadležnim javnim arhivom, da izjavu u kojoj navodi druge činjenice, a koja se, ako je to opravdano, prilaže uz odgovarajuću arhivsku građu utvrđenu za kulturno dobro. Obrada u svrhe naučnog ili istorijskog istraživanja Član 40. (1) Na obradu podataka o ličnosti u svrhe naučnog ili istorijskog istraživanja primenjuju se odgovarajuće tehničke, organizacione i kadrovske mere zaštite prava i sloboda lica na koje se podaci odnose, propisane ovim zakonom, naročito kako bi se obezbedilo poštovanje načela minimizacije, što uključuje pseudonimizaciju. (2) Rukovalac neće proslediti podatke o ličnosti u svrhe naučnog ili istorijskog istraživanja ako: 1) lice, odnosno organizacija, koja zahteva podatke nije upisana u evidenciju istraživača, odnosno naučno istraživačke ili visokoškolske ustanove; 2) lice ne priloži odluku odgovarajućeg etičkog odbora za sprovođenje tog istraživanja. (3) Prilikom sprovođenja naučnog ili istorijskog istraživanja mogu se, bez ograničenja iz stava (2) ovog člana, koristiti podaci iz javnih arhiva i drugih javno dostupnih izvora. (4) Ako se svrhe iz stava (1) ovog člana mogu ostvariti bez identifikacije ili bez dalje identifikacije lica na koje se podaci odnose, vrši se anonimizacija podataka. (5) Lice čiji se podaci obrađuju u svrhu iz stava (1) ovog člana može ostvariti pravo na pristup i prigovor, ako to ne bi značajno otežalo ostvarivanje svrhe. Obrada u statističke svrhe Član 41. (1) Na obradu podataka o ličnosti u statističke svrhe primenjuju se odgovarajuće tehničke, organizacione i kadrovske mere zaštite prava i sloboda lica na koje se podaci odnose, propisane ovim zakonom, što uključuje pseudonimizaciju. (2) Lice čiji se podaci obrađuju u svrhu iz stava (1) ovog člana ima pravo na pristup podacima, osim ako bi davanje podataka ili kopiranje tih podataka o ličnosti zahtevalo nesrazmeran napor ili ako rukovalac ne može da identifikuje to lice. (3) Pravo na ispravku i dopunu lice može ostvariti ako je rukovalac te podatke pribavio od lica na koje se podaci odnose. (4) Odredbe ovog zakona kojim se uređuje pravo na ograničenje obrade, pravo na obaveštavanje u vezi sa ispravkom ili dopunom, brisanjem ili ograničnjem obrade, pravo na prenosivost podataka, pravo na prigovor, kao i prava u vezi sa automatizovanim donošenjem pojedinačnih odluka, ne primenjuju se. Obrada od strane crkve i verske zajednice Član 42. (1) Kada crkva ili verska zajednica primenjuje sveobuhvatna pravila u pogledu zaštite prava fizičkih lica u slučaju obrade podataka o ličnosti, ta postojeća pravila mogu se i dalje primenjivati pod uslovom da su u skladu sa ovim zakonom. (2) Kod obrade podataka o ličnosti iz stava (1) ovog člana, primenjuju se odredbe ovog zakona o inspekcijskim i drugim ovlašćenjima Poverenika, osim ako crkva, odnosno verska zajednica ne obrazuje posebno nezavisno nadzorno telo koje će vršiti ta ovlašćenja, pod uslovom da takvo telo ispunjava uslove propisane ovim zakonom. Obrada u humanitarne svrhe od strane organa vlasti Član 43. (1) Podaci o ličnosti koje obrađuje organ vlasti, mogu da se obrađuju i u cilju prikupljanja sredstava u humanitarne svrhe, uz primenu odgovarajućih mera zaštite prava i sloboda lica na koje se podaci odnose, u skladu sa ovim zakonom. (2) Podaci o ličnosti koje obrađuje organ vlasti u ostvarivanju ciljeva iz stava (1) ovog člana ne mogu se ustupati drugim licima. Obrada u svrhe podnošenja pravnog zahteva Član 44. Na obradu podataka o ličnosti koja je neophodna u cilju podnošenja, ostvarivanja ili odbrane pravnog zahteva u pravno uređenom postupku, primenjuju se odredbe zakona kojim se uređuje sadržina akta kojim se pokreće konkretan pravni postupak, odnosno odredbe zakona koje uređuju ostvarivanje ili odbranu pravnog zahteva, uz primenu odredaba ovog zakona koje se odnose na zaštitu prava lica na koje se podaci odnose u slučaju povrede načela minimizacije podataka iz člana 9. ovog zakona. 7. Obrada podataka o ličnosti upotrebom video nadzora Zajedničke odredbe Član 45. (1) Obrada podataka o ličnosti upotrebom sistema video nadzora, može se vršiti samo u svrhu koja je neophodna i opravdana za zaštitu lica, imovine, podataka koji su određeni za tajne i podataka koji su određeni kao poslovna tajna, na način propisan zakonom, pod uslovom da u konkretnom slučaju interesi lica na koja se podaci odnose ne pretežu nad interesom obrade podataka u navedene svrhe. (2) Zabranjeno je korišćenje sistema video nadzora u prostorijama za odmor, ličnu higijenu, presvlačenje i drugim prostorijama odnosno prostoru gde lice opravdano očekuje veći nivo privatnosti. (3) Rukovalac je dužan da vidno obeleži objekat, prostor, prostoriju u njemu i spoljnu površinu objekta koji je pod video nadzorom. (4) Snimci dobijeni putem sistema video nadzora čuvaju se najduže do šest meseci, osim ako je drugim zakonom propisan duži rok čuvanja ili ako isti predstavljaju dokaz u zakonom uređenom postupku. (5) Sistem video nadzora mora biti zaštićen od pristupa neovlašćenih lica. (6) Pristup, korišćenje ili prenos snimaka sistema video nadzora dozvoljen je odgovornom licu rukovaoca, odnosno obrađivača ili licu koje on ovlasti, samo u svrhe koje su postojale u vreme nastanka snimka i bile navedene u informaciji iz čl. 22. i 23. ovog zakona. Obaveštenje o video nadzoru Član 46. (1) Rukovalac koji vrši obradu podataka o ličnosti upotrebom sistema video nadzora u skladu sa odredbama ovog zakona, dužan je da vidno istakne obaveštenje o upotrebi video nadzora, jasno uočljivo najkasnije prilikom ulaska lica u perimetar snimanja. (2) Obaveštenje iz stava (1) ovog člana sadrži jednostavan i lako razumljiv likovni, odnosno grafički simbol video nadzora, praćen tekstom kojim se licima pružaju najmanje sledeće informacije: 1) da je prostor pod video nadzorom; 2) naziv rukovaoca; 3) kontakt podatke rukovaoca (telefon, adresa elektronske pošte) i link ka veb stranici, putem kojih lice na koje se podaci odnose može dobiti informacije u vezi sa obradom podataka i ostvariti svoja prava, u skladu sa odredbama ovog zakona. (3) Obaveza isticanja obaveštenja iz stava (1) ovog člana ne isključuje obavezu rukovaoca da informiše lice o svim bitnim aspektima obrade iz čl. 22. i 23. ovog zakona. Video nadzor pristupa u službene i poslovne prostorije Član 47. (1) Rukovalac može upotrebom sistema video nadzora da vrši obradu podataka o ličnosti u vezi sa pristupom u službene, odnosno poslovne prostorije i prostore (u daljem tekstu: poslovni prostor), ukoliko je to neophodno u svrhu zaštite bezbednosti lica i imovine, kontrole ulaska ili izlaska iz poslovnog prostora ili ako zbog prirode posla postoji povećani rizik za zaposlene i druge korisnike tog prostora. (2) Rukovalac donosi odluku o uvođenju sistema video nadzora iz stava (1) ovog člana u pismenoj formi, koja sadrži razloge za uvođenje, osim ako uvođenje video nadzora nije propisano posebnim zakonom. (3) Kada se poslovni prostor nalazi u stambenoj zgradi, upotreba sistema video nadzora vrši se na način koji isključuje snimanje unutrašnjih delova stambene zgrade koji nisu povezani sa ulazom u poslovni prostor, kao i ulaz u privatne stanove. (4) Zabranjen je pristup snimcima sistema video nadzora iz stava (1) ovog člana preko interne kablovske televizije, javne kablovske televizije ili drugih sredstava za elektronsku komunikaciju kojima se takvi snimci mogu preneti, bilo u trenutku njihovog nastanka ili nakon toga. (5) Rukovalac koji obrađuje podatke korišćenjem sistema video nadzora u poslovnom prostoru, može sistemom video nadzora da obuhvati i javni prostor koji je u neposrednoj blizini tog poslovnog prostora, samo ako je to neophodno iz razloga navedenih u stavu (1) ovog člana. Video nadzor u poslovnom prostoru Član 48. (1) Rukovalac može da vrši obradu podataka o ličnosti upotrebom sistema video nadzora u poslovnom prostoru ako je to neophodno radi zaštite bezbednosti lica i imovine ili podataka koji su određeni za tajne, odnosno koji su određeni kao poslovna tajna, donošenjem posebne odluke, ukoliko uvođenje tog sistema nije propisano zakonom. (2) Rukovalac je dužan da pre donošenja odluke iz stava (1) ovog člana, razmotri druge mehanizme kojima može ostvariti istu svrhu, a kojima se manje zadire u osnovna prava i slobode zaposlenih i drugih lica. (3) Odluka iz stava (1) ovog člana sadrži razloge za uvođenje sistema video nadzora, a naročito: 1) opis drugih mera koje su prethodno razmatrane sa ciljem ispunjavanja svrhe obrade podataka; 2) obrazloženje zbog čega su mere iz tačke 1) ovog stava prepoznate kao neadekvatne ili nedovoljne. (4) Rukovalac je dužan da pre donošenja odluke o uvođenju sistema video nadzora iz stava (1) ovog člana, obavesti reprezentativni sindikat kod rukovaoca, ako on postoji. (5) Rukovalac je dužan da lice koje radi u poslovnom prostoru informiše o uvođenju sistema video nadzora, u pismenom obliku, pre početka njegovog sprovođenja, u skladu sa čl. 22. i 23. ovog zakona, koji uređuje informisanje o nameravanoj obradi podataka o ličnosti. (6) Dokaze o ispunjenju obaveze iz stava (5) ovog člana, rukovalac čuva u svojoj dokumentaciji. (7) Zabranjeno je korišćenje sistema video nadzora u svrhu praćenja rada zaposlenih, osim ako interesi iz stava (1) ovog člana, odnosno drugi javni interesi utvrđeni zakonom ne pretežu nad pravima i slobodama lica na koja se podaci odnose. (8) Odredbe st. (3) do (6) ovog člana ne primenjuju se na poslovni prostor državnih organa nadležnih za poslove u oblasti nacionalne bezbednosti, odnosno oblasti odbrane, javne bezbednosti, obavljanja bezbednosno-obaveštajnih poslova i zaštite tajnih podataka. Evidencija o video nadzoru Član 49. (1) Kada se vrši obrada podataka o ličnosti primenom sistema video nadzora, bez obzira na to da li je ta obrada propisana zakonom ili se sprovodi na osnovu odluke, rukovalac je dužan da vodi evidenciju koja omogućava naknadno utvrđivanje koji su snimci obrađeni, kada i kako su korišćeni ili kome su prosleđeni, ko je izvršio ove radnje obrade, kada i u koju svrhu i po kom pravnom osnovu. (2) Podaci iz evidencije iz stava (1) ovog člana čuvaju se godinu dana, po isteku kalendarske godine u kojoj su uvedeni u evidenciju. (3) Rukovaoci iz čl. 47. i 48. ovog zakona dužni su da vode sistemski žurnal pristupa podacima, u kome se beleži: identifikacija korisničkog naloga na osnovu kojeg je ostvaren pristup, datum i vreme pristupa, IP adresa sa koje se pristupa, odnosno preduzima druga radnja obrade, kriterijum pretrage, broj predmeta i druge oznake podataka, informacija i dokumenata kojima je pristupano, odnosno koji su obrađivani. Video nadzor u stambenim zgradama Član 50. (1) Kod uspostavljanja sistema video nadzora u stambenim, odnosno poslovno-stambenim zgradama, potrebna je pismena odluka stambene zajednice. (2) Odluka iz stava (1) ovo člana doneta je ako se za nju izjasne članovi skupštine stambene zajednice, u skladu sa zakonom koji uređuje stanovanje i održavanje zgrada i sadrži razloge za uvođenje sistema video nadzora, kao i način njegovog sprovođenja, ukoliko uvođenje tog nadzora nije propisano zakonom. (3) Perimetar snimanja video nadzora iz stava (1) ovog člana može obuhvatati samo ulaz i izlaz iz objekta i zajedničke prostorije u tim objektima. (4) Kod uspostavljanja sistema video nadzora iz stava (1) ovog člana, stambena zajednica je rukovalac podacima o ličnosti. (5) Zabranjen je pristup sistemu video nadzora iz stava (1) ovog člana preko interne kablovske televizije, javne kablovske televizije ili drugih sredstava za elektronsku komunikaciju, kojima se takvi snimci mogu preneti, bilo u trenutku njihovog nastanka ili nakon toga. (6) Zabranjeno je vlasnicima privatnog stana ili kuće da za lične potrebe, odnosno za potrebe svog domaćinstva, uspostavljaju i koriste sistem video nadzora na način kojim se ugrožavaju prava drugih, uključujući snimanje javnog prostora, kao i prostora koje koriste drugi. (7) Na uspostavljanje i korišćenje sistema video nadzora iz stava (6) ovog člana primenjuju se odredbe zakona koji uređuje privatno obezbeđenje, uključujući odredbe kojima se uređuje nadležni organ ovlašćen za nadzor nad primenom ovog zakona. Video nadzor javnih površina Član 51. (1) Upotreba sistema video nadzora na javnim površinama dozvoljena je samo organima javne vlasti, pravnim licima s javnim ovlašćenjima i pravnim licima koja obavljaju poslove u javnom interesu, ako je propisana zakonom i neophodna za izvršenje poslova i ovlašćenja organa javne vlasti ili radi zaštite života i zdravlja ljudi i imovine. (2) Zakonom iz stava (1) ovog člana određuje se najmanje svrha obrade podataka, rukovalac i način informisanja lica koja borave na javnoj površini, način obrade podataka i rok njihovog čuvanja. 8. Obrada podataka o ličnosti korišćenjem veštačke inteligencije Osnovne odredbe Član 52. (1) Obrada podataka o ličnosti u svrhu primene, uključujući razvoj i testiranje sistema veštačke inteligencije, kao i modela veštačke inteligencije opšte namene, može se vršiti ako je u skladu sa prvobitnom svrhom u koju su podaci prikupljeni, a u izuzetnim slučajevima na osnovu legitimnog interesa rukovaoca ili trećeg lica koji preteže nad pravima i slobodama lica čiji se podaci obrađuju. (2) Pri obradi podataka o ličnosti iz stava (1) ovog člana rukovalac je u obavezi da primenjuje odgovarajuće tehničke, organizacione i kadrovske mere zaštite podataka, naročito kako bi se obezbedilo poštovanje načela minimizacije, što uključuje pseudonimizaciju ili anonimizaciju. (3) Lice čiji se podaci obrađuju u svrhu iz stava (1) ovog člana može ostvariti pravo na pristup i prigovor, osim ako to ne bi značajno otežalo ostvarivanje svrhe ili ako rukovalac ne može da identifikuje to lice. (4) Kod obrade podataka o ličnosti iz stava (1) ovog člana, odredbe ovog zakona kojim se uređuje pravo na ispravku ili dopunu podataka, ograničenje obrade, prava u vezi sa automatizovanim donošenjem pojedinačnih odluka, pravo na brisanje, kao i pravo na prenosivost podataka, ne primenjuju se. (5) Nakon ispunjenja svrhe obrade podataka o ličnosti korišćenjem sistema veštačke inteligencije, podaci o ličnosti brišu se. Sistemi veštačke inteligencije Član 53. (1) Obrada podataka o ličnosti korišćenjem veštačke inteligencije dozvoljena je pod uslovima propisanim zakonom, kao i u slučaju ispunjenja drugih uslova, u zavisnosti od sistema veštatke inteligencije u kojima se podaci obrađuju, i to: 1) kod obrade podataka o ličnosti korišćenjem visokorizičnih sistema veštačke inteligencije - ako je izvršena procena uticaja na obradu podataka o ličnosti, koja može biti sastavni deo procene uticaja visokorizičnog sistema veštačke inteligencije na osnovna ljudska prava i slobode u skladu sa posebnim zakonom, na osnovu koje Poverenik daje mišljenje o obradi podataka; 2) kod obrade podataka o ličnosti korišćenjem sistema veštačke inteligencije koji direktno komunicira sa pojedincem - ako je lice obavešteno da je u interakciji sa sistemom, odnosno da je u pitanju sistem koji generiše sintetički audio, odnosno video sadržaj ili da se radi o sistemu veštačke inteligencije za prepoznavanje emocija, osim ako je u pitanju sistem veštačke inteligencije namenjen otkrivanju i gonjenju učinioca krivičnog dela. 3) kod obrade podataka o ličnosti korišćenjem sistema sa minimalnim rizikom - ako se primenjuju odgovarajuće tehničke, organizacione i kadrovske mere zaštite prava i sloboda lica na koje se podaci odnose. (2) Lice čiji se podaci obrađuju mora biti obavešteno o korišćenju sistema veštačke inteligencije na jasan i pristupačan način, najkasnije u trenutku prve interakcije ili prvog izlaganja sadržaja. (3) Odredba stava 2. ovog člana primenjuje se i na modele veštačke inteligencije opšte namene, uz primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera zaštite prava i sloboda lica na koje se podaci odnose. (4) Obrada podatka o ličnosti isključivo upotrebom sistema veštačke inteligencije bez učešća fizičkog lica, kao i modela veštačke inteligencije opšte namene, nije dozvoljena ako može da proizvede štetne posledice po lice na koje se podaci odnose ili značajno utiče na položaj tog lica, odnosno ako je posebnim zakonom zabranjeno korišćenje takvih sistema. (5) Obrada podataka o ličnosti upotrebom isključivo sistema veštačke inteligencije, kao i modela veštačke inteligencije opšte namene, dozvoljena je kada se obrada vrši u statističke, naučne ili istorijske svrhe. (6) Rukovalac, odnosno obrađivač koji obrađuje podatke o ličnosti u sistemu veštačke inteligencije, uključujući sistem veštačke inteligencije opšte namene koji generiše sintetički audio, odnosno video sadržaj dužan je da označi da je u pitanju generisani, odnosno modifikovan sadržaj, osim ako je u pitanju sistem veštačke inteligencije namenjen otkrivanju i gonjenju učinioca krivičnog dela. Glava III. PRAVA LICA U VEZI SA OBRADOM PODATAKA O LIČNOSTI 1. Prava lica na koje se podaci odnose Pravo na pristup podacima Član 54. (1) Lice ima pravo da od rukovaoca zahteva informaciju o tome da li obrađuje njegove podatke o ličnosti i pravo, u slučaju njihove obrade, pristupa podacima, kao i kopiju podataka koji se obrađuju. (2) Na zahtev lica iz stava (1) ovog člana rukovalac je dužan da pruži informaciju o tome da li obrađuje njegove podatke o ličnosti, a u slučaju obrade i sledeće informacije: 1) o svrsi obrade i pravnom osnovu za obradu; 2) o vrstama podataka o ličnosti koji se obrađuju; 3) o primaocu ili vrstama primalaca kojima su podaci o ličnosti otkriveni ili će im biti otkriveni, a posebno primaocima u drugim državama ili međunarodnim organizacijama; 4) o predviđenom roku čuvanja podataka o ličnosti, ili ako to nije moguće, o kriterijumima za određivanje tog roka koji moraju biti u skladu sa načelom ograničenja čuvanja podataka o ličnosti iz člana 11. ovog zakona; 5) o postojanju prava da se od rukovaoca zahteva ispravka i dopuna ili brisanje podataka o ličnosti, prava na ograničenje obrade i prava na prigovor na obradu; 6) o pravu da se podnese pritužba Povereniku, odnosno tužba sudu; 7) dostupne informacije o izvoru podataka o ličnosti, ako podaci o ličnosti nisu prikupljeni od lica na koje se odnose; 8) o postojanju postupka automatizovanog donošenja odluke i bližem načinu automatizovane obrade podataka, uključujući profilisanje, a najmanje u tim slučajevima svrsishodne informacije o logici koja se pri tome koristi, kao i o značaju i očekivanim posledicama te obrade po lice na koje se podaci odnose, 9) o odgovarajućim merama zaštite, u skladu sa odredbama ovog zakona koje se odnose na prenos podataka, ako se podaci o ličnosti lica na koje se odnose prenose u drugu državu ili međunarodnu organizaciju. (3) Informacija o obradi podataka o ličnosti daje se u pismenom obliku, uključujući njeno dostavljanje elektronskim putem, a izuzetno se može dati i usmeno, ako na to pristane podnosilac zahteva. (4) Rukovalac je dužan da na zahtev lica na koje se podaci odnose dostavi kopiju podatka o ličnosti koje obrađuje, na način naveden u zahtevu. (5) Kada se zahtevom iz stava (4) ovog člana traži dostavljanje kopije podataka elektronskim putem, rukovalac će dostaviti kopiju podataka elektronskim putem, ako je to moguće. (6) Kada rukovalac nije u mogućnosti da kopiju podataka dostavi na način iz stava (5) ovaog člana, dostavu će izvršiti na drugi odgovarajući način koji omogućava adekvatnu zaštitu podataka o ličnosti. (7) Ostvarivanje prava i sloboda drugih lica ne može se ugroziti ostvarivanjem prava na dostavljanje kopije iz stava (4) ovog člana. Pravo na ispravku i dopunu Član 55. (1) Lice na koje se podaci odnose ima pravo da se njegovi netačni podaci o ličnosti bez nepotrebnog odlaganja isprave. (2) U zavisnosti od svrhe obrade, lice na koje se podaci odnose ima pravo da svoje nepotpune podatke o ličnosti dopuni, što uključuje i davanje dodatne izjave. Pravo na brisanje podataka o ličnosti Član 56. (1) Lice na koje se podaci odnose ima pravo da se njegovi podaci o ličnosti izbrišu od strane rukovaoca. (2) Rukovalac je dužan da bez nepotrebnog odlaganja podatke iz stava (1) ovog člana, izbriše u sledećim slučajevima: 1) kada istekne propisani rok njihovog čuvanja; 2) podaci o ličnosti više nisu neophodni za ostvarivanje svrhe obrade; 3) lice na koje se podaci odnose je opozvalo pristanak na osnovu kojeg se obrada vršila, a nema drugog pravnog osnova za obradu; 4) lice na koje se podaci odnose je podnelo prigovor u skladu sa odredbama ovog zakona, u slučaju: a) obrade podataka o ličnosti u cilju obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja rukovaoca, koja se vrši u skladu sa članom 15. stav (1) tačka 3) ovog zakona ili obrade podataka o ličnosti u cilju ostvarivanja legitimnih interesa rukovaoca ili treće strane, koja se vrši u skladu sa članom 20. stav (1) ovog zakona, uključujući i profilisanje koje se zasniva na tim odredbama, a nema drugog pravnog osnova za obradu koji preteže nad legitimnim interesom, pravom ili slobodom lica na koje se podaci odnose; b) obrade podataka o ličnosti za potrebe direktnog oglašavanja, uključujući i profilisanje, u meri u kojoj je ono povezano sa direktnim oglašavanjem; 4) podaci o ličnosti su nezakonito obrađivani; 5) podaci o ličnosti moraju biti izbrisani u cilju izvršenja zakonskih obaveza rukovaoca; (3) Lice na koje se podaci odnose ima pravo da zahteva brisanje podataka o ličnosti koje je dalo na osnovu pristanka sa navršenih 15 godina života u vezi sa korišćenjem usluga informacionog društva, a nije bilo u potpunosti svesno rizika obrade, uključujući i podatke objavljene na internetu. (4) Ako je rukovalac javno objavio podatke o ličnosti, u obaveza je da: 1) izbriše podatke u skladu sa stavom (2) ovog člana preduzimanjem svih potrebnih mera, uključujući i tehničke, u skladu sa dostupnim tehnologijama; 2) o tome obavesti druge rukovaoce koji te podatke obrađuju, kako bi se izvršilo brisanje podataka i svih elektronskih veza prema tim podacima (pravo na zaborav). (5) Ako rukovalac ne izbriše podatka u slučajevima iz stava (2), odnosno ne postupi na način iz stava (4) ovog člana, lice na koje se podaci odnose ima pravo da podnose zahtev za ostvarivanje prava na brisanje podataka o ličnosti. Ograničenje prava na brisanje Član 57. Rukovalac nije dužan da primeni odredbe iz člana 56. ovog zakona, koje propisuju obavezu brisanja podataka, u meri u kojoj je obrada neophodna zbog: 1) ostvarivanja slobode izražavanja i informisanja; 2) poštovanja zakonske obaveze rukovaoca kojom se zahteva obrada, ili izvršenja poslova u javnom interesu ili izvršenja službenih ovlašćenja rukovaoca; 3) ostvarivanja javnog interesa u oblasti javnog zdravlja, u skladu sa članom 32. stav (2) tač. 8) i 9) ovog zakona; 4) obrade u svrhe arhiviranja u javnom interesu, svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe u skladu sa odredbama ovog zakona, a opravdano se očekuje da bi ostvarivanje prava na brisanje podataka o ličnosti moglo da onemogući ili bitno ugrozi ostvarivanje ciljeva te svrhe, 5) podnošenja, ostvarivanja ili odbrane pravnog zahteva. Pravo na ograničenje obrade Član 58. (1) Lice na koje se podaci odnose ima pravo da se obrada njegovih podataka o ličnosti ograniči od strane rukovaoca, u sledećim slučajevima: 1) lice na koje se podaci odnose osporava tačnost podataka o ličnosti - u kom slučaju se obrada ograničava na vremenski period koji omogućava rukovaocu proveru tačnosti podataka; 2) obrada je nezakonita - kada se lice na koje se podaci odnose protivi brisanju podataka i zahteva ograničenje upotrebe podataka; 3) rukovaocu više nisu potrebni podaci o ličnosti za ostvarivanje svrhe obrade - ako ih je lice na koje se podaci odnose zatražilo u cilju podnošenja, ostvarivanja ili odbrane pravnog zahteva; 4) lice na koje se podaci odnose je podnelo prigovor, u skladu sa odredbama ovog zakona, na obradu podataka o ličnosti koja se vrši u cilju obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja rukovaoca, odnosno u cilju ostvarivanja legitimnih interesa rukovaoca ili treće strane - u kom slučaju se obrada ograničava za vreme dok traje procena pretežnijeg interesa u konkretnom slučaju. (2) Ako je obrada ograničena u skladu sa stavom (1) ovog člana, podaci se mogu dalje obrađivati samo na osnovu pristanka lica na koje se odnose. (3) Podaci u pogledu kojih je obrada ograničena, mogu se, izuzetno, dalje obrađivati i bez pristanka lica na koje se odnose, samo ako se radi o njihovom skladištenju ili u cilju podnošenja, ostvarivanja ili odbrane pravnog zahteva, zaštite prava drugih fizičkih, odnosno pravnih lica ili ostvarivanja značajnih javnih interesa. (4) Ako je obrada ograničena u skladu sa stavom (1) ovog člana, rukovalac je dužan da informiše lice na koje se podaci odnose o prestanku ograničenja, pre nego što ograničenje prestane da važi. Obaveza obaveštavanja primaoca u vezi sa ispravkom ili brisanjem podataka, kao i ograničenjem obrade Član 59. (1) Rukovalac je dužan da o ispravci i dopuni, odnosno brisanju podataka, kao i ograničenju obrade, koje su sprovedene u skladu sa odredbama ovog zakona obavesti svakog primaoca kojem su podaci o ličnosti preneti, odnosno dostavljeni, osim ako je to nemoguće ili zahteva prekomeran utrošak vremena i sredstava. (2) Rukovalac je dužan da lice na koje se podaci odnose, na njegov zahtev, informiše o svim primaocima iz stava (1) ovog člana. Pravo na prenosivost podataka Član 60. (1) Lice na koje se podaci odnose ima pravo da podatke o ličnosti koje je prethodno dostavilo rukovaocu primi od njega u struktuiranom, mašinski čitljivom formatu i pravo da ove podatke prenese drugom rukovaocu bez ometanja od strane rukovaoca kojem su ti podaci bili dostavljeni, ako su zajedno ispunjeni sledeći uslovi: 1) obrada je zasnovana na pristanku, uključujući pristanak za obradu posebno osetljivih podataka o ličnosti ili ugovoru; 2) obrada se vrši automatizovano. (2) Pravo iz stava (1) ovog člana obuhvata i pravo lica da njegovi podaci o ličnosti budu neposredno preneti drugom rukovaocu od strane rukovaoca kojem su ovi podaci prethodno dostavljeni, ako je to tehnički izvodljivo. (3) Ostvarivanje prava iz stava (1) ovog člana nema uticaja na primenu odredaba iz člana 56. ovog zakona, kojima se uređuje pravo na brisanje podataka. (4) Pravo iz stava (1) ovog člana se ne može ostvariti ako je obrada nužna za izvršenje poslova od javnog interesa ili za vršenje službenih ovlašćenja rukovaoca. (5) Ostvarivanje prava iz stava (1) ovog člana ne može štetno uticati na ostvarivanje prava i sloboda drugih lica. Pravo na prigovor Član 61. (1) Lice na koje se podaci odnose ima pravo da, ako smatra da je opravdano u odnosu na posebnu situaciju u kojoj se nalazi, u svakom trenutku podnese rukovaocu prigovor na obradu podataka o ličnosti, ako je osnov za obradu obavljanje poslova u javnom interesu ili izvršenje zakonom propisanih ovlašćenja rukovaoca ili ostvarivanje legitimnih interesa rukovaoca ili treće strane, koja se vrši u skladu sa čl. 15. i 20. ovog zakona, uključujući i profilisanje koje se zasniva na tim odredbama. (2) Rukovalac je dužan da prekine obradu podataka o ličnosti lica koje je podnelo prigovor, osim ako je u mogućnosti da predoči da postoje opravdani razlozi za obradu, koji pretežu nad interesima, pravima ili slobodama lica na koji se podaci odnose ili su u vezi sa podnošenjem, ostvarivanjem ili odbranom pravnog zahteva. (3) Lice na koje se podaci odnose ima pravo da u svakom trenutku podnese prigovor na obradu podataka o ličnosti koja se vrši za potrebe direktnog oglašavanja, uključujući i profilisanje, u meri u kojoj je ono povezano sa direktnim oglašavanjem, u kojem slučaju se podaci o ličnosti ne mogu dalje obrađivati u takve svrhe. (4) Rukovalac je dužan da najkasnije prilikom uspostavljanja prve komunikacije sa licem na koje se podaci odnose, ukaže tom licu na postojanje prava iz st. (1) i (3) ovog člana i da ga upozna sa tim pravima na izričit i jasan način, odvojeno od svih drugih informacija koje mu pruža. (5) U korišćenju usluga informacionog društva, lice na koje se podaci odnose ima pravo da podnese prigovor na automatizovan način, u skladu sa tehničkim specifikacijama korišćenja usluga. (6) Ako se podaci o ličnosti obrađuju u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe, uz primenu odgovarajućih mera zaštite prava i sloboda lica propisanih ovim zakonom, lice na koje se podaci odnose ima pravo da podnese prigovor na obradu podataka o ličnosti, osim ako je obrada neophodna za obavljanje poslova u javnom interesu. (7) Rukovalac je dužan da preduzme radnje na proveri navoda iz prigovora i obavesti podnosioca o rezultatima provere, u roku od 60 dana od dana podnošenja prigovora. (8) Sastavni deo obaveštenja iz stava (7) ovog člana su podaci o toku postupka provere, uključujući radnje preduzete na proveri navoda iz prigovora. Pravo lica na zaštitu u vezi sa automatizovanim donošenjem pojedinačnih odluka i profilisanjem Član 62. (1) Lice na koje se podaci odnose ima pravo da se na njega ne primenjuje odluka doneta isključivo na osnovu automatizovane obrade podataka o ličnosti, uključujući i profilisanje, ako se odlukom proizvode pravne posledice po to lice ili značajno utiče na njegov položaj. (2) Odredba stava (1) ovog člana ne primenjuje se ako je odluka: 1) neophodna za zaključenje ili izvršenje ugovora između lica na koje se podaci odnose i rukovaoca; 2) zasnovana na zakonu, ako su tim zakonom propisane odgovarajuće mere zaštite prava, sloboda i legitimnih interesa lica na koje se podaci odnose; 3) zasnovana na izričitom pristanku lica na koje se podaci odnose. (3) U slučajevima iz stava (2) tač. 1) i 3) ovog člana rukovalac je dužan da primeni odgovarajuće mere zaštite prava, sloboda i legitimnih interesa lica na koje se podaci odnose, a najmanje pravo da se obezbedi učešće fizičkog lica u donošenju odluke, pravo lica na koje se podaci odnose da izrazi svoj stav u vezi sa odlukom, kao i pravo da ospori odluku pred ovlašćenim licem rukovaoca. (4) Odluke iz stava (2) ovog člana ne mogu se zasnivati na obradi posebno osetljivih podataka o ličnosti iz člana 32. stav (1) ovog zakona, osim ako se radi o obradi na osnovu izričitog pristanka lica ili obradi podataka koje je lice očigledno učinilo javno dostunim i ako su obezbeđene odgovarajuće mere zaštite prava, sloboda i legitimnih interesa lica na koje se podaci odnose. 2. Ograničenja prava i obaveza Zaštita važnog javnog interesa Član 63. (1) Prava i obaveze propisane odredbama ovog zakona u vezi obrade, odnosno povodom obrade podataka o ličnosti, uključujući prava i obaveze obaveštavanja o povredi podataka o ličnosti, kao i prava i obaveze koje proizilaze iz osnovnih načela obrade uređenih ovim zakonom, pod uslovom da se odnose na ostvarivanje tih prava, odnosno ispunjavanje tih obaveza, izuzimajući, u tom slučaju, odredbe o pravima i obavezama obaveštavanja o povredi podataka o ličnosti, mogu se ograničiti na način propisan zakonom ako ta ograničenja ne zadiru u suštinu osnovnih prava i sloboda i ako to predstavlja neophodnu i srazmernu meru u demokratskom društvu, u cilju zaštite: 1) nacionalne bezbednosti, naročito odbrane zemlje, javne bezbednosti i obavljanja bezbednosno-obaveštajnih poslova; 2) sprečavanja, istrage i otkrivanja krivičnih dela i prekršaja, gonjenja njihovih učinilaca, ili izvršenja izrečenih sankcija; 3) drugih važnih javnih interesa, a posebno važnih državnih ili finansijskih interesa Republike Srbije, uključujući monetarnu politiku, budžet, poreski sistem, javno zdravlje i socijalnu zaštitu; 4) nezavisnosti pravosuđa i sudskih postupaka; 5) sprečavanja, istraživanja, otkrivanja i gonjenja za povredu profesionalne etike; 6) funkcije praćenja, nadzora ili vršenja regulatorne funkcije koja je stalno ili povremeno povezana sa vršenjem službenih ovlašćenja u slučajevima iz tač. 1) do 3) i tačke 5) ovog stava; 7) lica na koje se podaci odnose ili prava i sloboda drugih lica; 8) ostvarivanja potraživanja u građanskim stvarima. (2) Lice na koje se odnose podaci ima pravo da bude informisano o ograničenju prava i obaveza, osim ako to informisanje onemogućava ostvarivanje svrhe ograničenja. Zakonsko propisivanje načina ograničenja Član 64. Prilikom zakonskog propisivanja načina ograničenja prava i obaveza iz člana 63. ovog zakona moraju se, prema okolnostima svakog konkretnog slučaja, uzeti u obzir najmanje: 1) svrha obrade ili vrsta obrade; 2) vrsta podataka o ličnosti; 3) obim ograničenja; 4) mere zaštite u cilju sprečavanja zloupotrebe, nedozvoljenog pristupa ili prenosa podataka o ličnosti; 5) posebnosti rukovaoca, odnosno vrsta rukovaoca; 6) rok čuvanja i mere zaštite podataka o ličnosti koje se mogu primeniti, s obzirom na prirodu, obim i svrhu obrade ili vrste obrade, 7) rizici po prava i slobode lica na koje se podaci odnose. 3. Postupak po zahtevu za ostvarivanje prava Zahtev za ostvarivanje prava Član 65. (1) Lice na koje se podaci odnose podnosi rukovaocu zahtev za ostvarivanje prava propisanih ovim zakonom u vezi sa obradom podataka o ličnosti, u pismenom ili u elektronskom obliku, na način koji omogućuje rukovaocu da pouzdano utvrdi identitet podnosioca. (2) Ako se radi o obradi koja ne zahteva identifikaciju, rukovalac ne može odbiti da postupi po zahtevu lica za ostvarivanje prava propisanih ovim zakonom u vezi sa obradom podataka o ličnosti, osim ako rukovalac predoči da nije u mogućnosti da identifikuje lice. (3) Zahtev iz stava (1) ovog člana sadrži podatke o identitetu podnosioca: ime i prezime, adresu prebivališta ili boravišta, odnosno odbrenog boravka, a može sadržati i broj telefona, adresu elektronske pošte, kao i što preciznije određenje na koje podatke o ličnosti se zahtev odnosi. (4) Kada postoje razlozi za opravdanu sumnju u identitet lica koje je podnelo zahtev za ostvarivanje prava u vezi sa obradom podataka o ličnosti, rukovalac će zatražiti dostavljanje dodatnih informacija neophodnih za potvrdu identiteta lica, što ne isključuje primenu odredaba iz člana 34. ovog zakona kojima se uređuje obrada koja ne zahteva identifikaciju. (5) Ako je zahtev za ostvarivanje prava nerazumljiv ili nepotpun, rukovalac će u roku od 15 dana od dana prijema zahteva obavestiti podnosioca o potrebi da otkloni nedostatke, i pružiti drugu pomoć licu na koje se podaci odnose u ostvarivanju njegovih prava propisanih ovim zakonom. (6) Ako podnosilac zahteva ne otkloni nedostatke u roku od 15 dana od dana prijema obaveštenja iz stava (5) ovog člana, a nedostaci su takvi da se po zahtevu ne može postupiti, rukovalac nije dužan da postupi po zahtevu. (7) Rukovalac postupa po zahtevu za ostvarivanje prava u vezi sa obradom podataka o ličnosti, bez naknade. (8) Ako je zahtev lica za ostvarivanje prava u vezi sa obradom podataka o ličnosti očigledno neosnovan ili preteran, a posebno ako se isti zahtev učestalo ponavlja, rukovalac može da: 1) naplati nužne administrativne troškove pružanja informacije, odnosno postupanja po zahtevu (ponovno kopiranje podataka, štampanje, dostavljanje i dr.); 2) ne postupi po zahtevu. (9) Teret dokazivanja u slučajevima iz stava (8) tačka 1) ovog člana, leži na rukovaocu. Rok za postupanje po zahtevu Član 66. (1) Rukovalac je dužan da po zahtevu lica na koje se podaci odnose za ostvarivanje prava propisanih ovim zakonom u vezi sa obradom podataka o ličnosti, postupi bez odlaganja, a najkasnije u roku od 30 dana od dana prijema zahteva. (2) Rok iz stava (1) ovog člana može biti produžen za još najduže 60 dana ako je to neophodno, uzimajući u obzir složenost i broj zahteva, o čemu rukovalac, kao i o razlozima za produženje, obaveštava podnosioca zahteva u roku od 30 dana od dana prijema zahteva. (3) Ako rukovalac ne postupi po zahtevu iz stava (1) ovog člana dužan je da o razlozima za nepostupanje obavesti lice na koje se podaci odnose bez odlaganja, a najkasnije u roku od 30 dana od dana prijema zahteva, kao i o pravu na podnošenje pritužbe Povereniku, odnosno tužbe sudu. Glava IV. RUKOVALAC I OBRAĐIVAČ 1. Rukovalac Obaveze rukovaoca Član 67. (1) Uzimajući u obzir prirodu, obim, okolnosti i svrhu obrade, nivo tehnoloških dostignuća i troškove njihove primene, kao i verovatnoću nastupanja rizika i nivo rizika za prava i slobode fizičkih lica koji proizilaze iz obrade, rukovalac je dužan da prilikom određivanja načina obrade, kao i u toku obrade preduzme odgovarajuće tehničke, organizacione i kadrovske mere kako bi obezbedio da se obrada podataka o ličnosti vrši u skladu sa ovim zakonom i bio u mogućnosti da to predoči. (2) Obaveza rukovaoca iz stava (1) ovog člana posebno uključuje mere koje imaju za cilj obezbeđivanje delotvorne primene načela zaštite podataka o ličnosti, uključujući pseudonimizaciju, primenu načela minimizacije putem smanjenja broja podataka koji se obrađuju, kao i primenu neophodnih mehanizama zaštite u toku obrade. (3) Rukovalac je dužan da stalnom primenom odgovarajućih mera iz stava (1) ovog člana obezbedi da se uvek obrađuju samo oni podaci o ličnosti koji su neophodni za ostvarivanje svake pojedinačne svrhe obrade, što uključuje broj prikupljenih podataka, obim njihove obrade, rok njihovog skladištenja i njihovu dostupnost. (4) Merama iz stava (1) ovog člana mora se uvek obezbediti da se bez učešća fizičkog lica podaci o ličnosti ne mogu učiniti dostupnim neograničenom broju drugih lica. (5) Mere iz stava (1) ovog člana se preispituju i ažuriraju, ako je to neophodno. (6) Ako je to u srazmeri sa obradom podataka, mere iz stava (1) ovog člana uključuju donošenje i primenu odgovarajućih internih akata rukovaoca, u kojima se bliže utvrđuju mere zaštite podataka o ličnosti i način njihove primene. (7) Rukovalac može predočiti da se pridržava obaveza iz stava (1) ovog člana i na osnovu primene odobrenog kodeksa postupanja ili izdatog sertifikata, u skladu sa odredbama ovog zakona. Zajednički rukovaoci Član 68. (1) Ako dva ili više rukovalaca zajednički određuju svrhu i način obrade, oni se smatraju zajedničkim rukovaocima. (2) Zajednički rukovaoci na transparentan način određuju odgovornost svakog od njih za poštovanje obaveza propisanih ovim zakonom, a posebno obaveza u pogledu ostvarivanja prava lica na koje se podaci odnose na informisanost o obradi podataka o ličnosti iz čl. 21. do 25. ovog zakona. (3) Odgovornost iz stava (2) ovog člana uređuje se sporazumom zajedničkih rukovalaca, osim ako je ova odgovornost propisana zakonom koji se primenjuje na rukovaoce. (4) Sporazumom iz stava (3) ovog člana mora se odrediti lice za kontakt sa licem na koje se podaci odnose i urediti odnos svakog od zajedničkih rukovalaca sa licem na koje se podaci odnose. (5) Suština odredaba sporazuma iz stava (3) ovog člana mora biti dostupna licu na koje se podaci odnose. (6) Bez obzira na odredbe sporazuma iz stava (3) ovog člana, lice na koje se podaci odnose može ostvariti svoja prava utvrđena ovim zakonom pojedinačno u odnosu prema svakom od zajedničkih rukovalaca. 2. Obrađivač Obaveze obrađivača Član 69. (1) Rukovalac može za obrađivača da odredi drugo lice ili organ vlasti, da u njegovo ime vrši obradu podataka o ličnosti, pod uslovom pružanja garancije primene mera zaštite podataka o ličnosti iz člana 67. ovog zakona. (2) Garancija iz stava (1) ovog člana uključuje primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera zaštite podataka o ličnosti, na način koji obezbeđuje da se obrada vrši u skladu sa odredbama ovog zakona i da se obezbeđuje zaštita prava lica na koje se podaci odnose. (3) Obrađivač iz stava (1) ovog člana može poveriti obradu drugom obrađivaču samo ako ga rukovalac za to ovlasti na osnovu opšteg ili posebnog pismenog ovlašćenja. (4) Kada se obrada vrši na osnovu opšteg ovlašćenja, obrađivač je dužan da informiše rukovaoca o nameravanom izboru drugog obrađivača, odnosno zameni drugog obrađivača, uključujući i njegov identitet, kako bi rukovalac imao mogućnost da se suprotstavi takvoj promeni. (5) Obrađivač, odnosno drugo lice koje je od strane rukovaoca ili obrađivača ovlašćeno za pristup podacima o ličnosti, ne može da obrađuje te podatke preduzimanjem druge radnje obrade bez naloga rukovaoca, osim ako je takva obrada propisana zakonom. (6) Ako obrađivač povredi odredbe ovog zakona određujući svrhu i način obrade podatka o ličnosti koje su različite od svrhe i načina koje je odredio rukovalac, obrađivač se smatra rukovaocem u odnosu na tu obradu. (7) Primena odobrenog kodeksa postupanja, odnosno izdatog sertifikata u skladu sa odredbama ovog zakona može se koristiti da se predoči da obrađivač ispunjava obaveze pružanja garancije iz stava (1) ovog člana. Pravna uređenost obrade od strane obrađivača Član 70. (1) Obrada od strane obrađivača mora biti uređena ugovorom ili drugim pravno obavezujućim aktom, koji je zaključen, odnosno usvojen u pismenom obliku, što obuhvata i elektronski oblik, koji obavezuje obrađivača prema rukovaocu i kojim se uređuje predmet i trajanje obrade, priroda i svrha obrade, vrsta podataka o ličnosti koji se obrađuju i kategorija lica o kojima se podaci obrađuju, kao i prava i obaveze rukovaoca. (2) Ugovorom ili drugim pravno obavezujućim aktom iz stava (1) ovog člana propisuje se da je obrađivač dužan da: 1) obrađuje podatke o ličnosti samo na osnovu pismenih uputstava rukovaoca, uključujući i uputstvo u odnosu na prenošenje podataka o ličnosti u druge države ili međunarodne organizacije; 2) pre započinjanja obrade obavesti rukovaoca o postojanju zakonske obaveze da obrađuje podatke, uključujući prenos podataka o ličnosti u druge države ili međunarodne organizacije, osim ako zakon zabranjuje dostavljanje tih informacija zbog potrebe zaštite važnog javnog interesa; 3) obezbedi da se fizičko lice koje je ovlašćeno da obrađuje podatke o ličnosti obavezalo na čuvanje poverljivosti podataka ili da to lice podleže zakonskoj obavezi čuvanja poverljivosti podataka; 4) preduzme sve potrebne mere u skladu odredbama ovog zakona kojima se uređuje bezbednost obrade podataka o ličnosti; 5) poštuje uslove za poveravanje obrade drugom obrađivaču iz člana 69. st. 3) i 4) ovog zakona u pogledu: a) postojanja opšteg ili posebnog pismenog ovlašćenja od strane rukovaoca za poveravanje obrade; b) postojanja posebnog ugovora ili drugog pravno obavezujućeg akta, koji je zaključen, odnosno usvojen u pismenom obliku, što obuhvata i elektronski oblik, kojim se u odnosu između obrađivača i drugog obrađivača propisuju dovoljne garancije za primenu odgovarajućih mera zaštite podataka o ličnosti, koje odgovaraju merama iz ugovora zaključenog između rukovaoca i obrađivača; 6) pomaže rukovaocu primenom odgovarajućih tehničkih, organizacionih i kadrovskih mera, koliko je to moguće uzimajući u obzir prirodu obrade, u ispunjavanju obaveza rukovaoca u odnosu na zahteve za ostvarivanje prava lica na koje se podaci odnose propisanih odredbama ovog zakona; 7) pomaže rukovaocu u ispunjavanju obaveza propisanih ovim zakonom u pogledu bezbednosti obrade i obaveštavanja Poverenika i lica na koje se podaci odnose o povredi podataka o ličnosti, kao i o proceni uticaja nameravane obrade na zaštitu podataka o ličnost i sa tim u vezi pribavljanja prethodnog mišljenja Poverenika, uzimajući u obzir prirodu obrade i informacije koje su mu dostupne; 8) posle okončanja ugovorenih radnji obrade, a na osnovu odluke rukovaoca, izbriše ili vrati rukovaocu sve podatke o ličnosti i izbriše sve kopije ovih podataka, osim ako je zakonom propisana obaveza čuvanja podataka; 9) učini dostupnim rukovaocu sve informacije koje su neophodne za predočavanje ispunjenosti obaveza obrađivača propisanih ovim zakonom, kao i informacije koje omogućavaju i doprinose kontroli rada obrađivača, koju sprovodi rukovalac ili drugo lice koje on za to ovlasti. (3) Obrađivač je dužan da bez odlaganja upozori rukovaoca ako smatra da pismeno uputstvo iz stava (2) tačka 1) ovog člana, koje je od njega dobio, nije u skladu sa ovim zakonom ili drugim zakonom kojim se uređuje zaštita podataka o ličnosti. (4) Poverenik može da izradi standardne ugovorne klauzule koje se mogu koristiti da se predoči da obrađivač ispunjava obaveze pružanja garancije za primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera zaštite podataka o ličnosti propisanih ovim zakonom u slučaju da rukovalac poveri obradu obrađivaču, posebno uzimajući u obzir evropsku praksu u izradi standardnih ugovornih klauzula. Pravna uređenost obrade od strane drugog obrađivača Član 71. (1) Ako obrađivač odredi drugog obrađivača za vršenje posebnih radnji obrade u ime rukovaoca, iste obaveze zaštite podataka o ličnosti propisane ugovorom ili drugim pravno obavezujućim aktom između rukovaoca i obrađivača obavezuju i tog drugog obrađivača, na osnovu posebnog ugovora ili drugog pravno obavezujućeg akta, koji je zaključen između obrađivača i drugog obrađivača, odnosno usvojen u pismenom obliku, što obuhvata i elektronski oblik. (2) Ako drugi obrađivač ne ispuni svoje obaveze u vezi sa zaštitom podataka o ličnosti, za ispunjenje obaveza drugog obrađivača, rukovaocu odgovara obrađivač. (3) Pravni odnos između rukovaoca i obrađivača, u slučaju da obrađivač poveri obradu drugom obrađivaču, može biti zasnovan u celini ili delimično na standardnim ugovornim klauzulama, uključujući i one koje su vezane za sertifikat koji se odobrava rukovaocu ili obrađivaču u skladu sa odredbama ovog zakona. (4) Poverenik može da izradi standardne ugovorne klauzule koje se mogu koristiti da se predoči da drugi obrađivač ispunjava obaveze pružanja garancije za primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera zaštite podataka o ličnosti propisanih ovim zakonom, u slučaju da obrađivač poveri obradu drugom obrađivaču, posebno uzimajući u obzir evropsku praksu u izradi standardnih ugovornih klauzula. Predstavnici rukovaoca ili obrađivača koji nemaju sedište u Republici Srbiji Član 72. (1) Kada rukovalac, odnosno obrađivač koji nema sedište u Republici Srbiji, radnje obrade podataka o ličnosti vrši u okviru aktivnosti na teritoriji Republike Srbije rukovalac, odnosno obrađivač dužan je da odredi, u pismenom obliku, svog predstavnika u Republici Srbiji, osim ako je: 1) obrada povremena, ne uključuje u velikoj meri obradu posebno osetljivih podataka o ličnosti iz člana 32. stav (1) ovog zakona ili podataka o ličnosti koji se odnose na osude za kažnjiva dela iz člana 33. ovog zakona, i verovatno je da neće prouzrokovati rizik za prava i slobode fizičkih lica uzimajući u obzir prirodu, okolnosti, obim i svrhe obrade; 2) rukovalac, odnosno obrađivač organ vlasti. (2) Rukovalac, odnosno obrađivač ovlašćuje predstavnika iz stava (1) ovog člana kao lice kome se, uz rukovaoca ili obrađivača, odnosno umesto njih, lice na koje se podaci odnose, Poverenik ili drugo lice može obratiti u pogledu svih pitanja u vezi sa obradom podatka o ličnosti, a u cilju obezbeđivanja poštovanja odredbi ovog zakona. (3) Imenovanje predstavnika rukovaoca ili obrađivača iz stava (1) ovog člana ne utiče na pravne radnje koje mogu da budu preduzete protiv samog rukovaoca ili obrađivača, što uključuje pritužbu, tužbu i druge pravne zahteve u skladu sa zakonom. (4) Zastupnik ogranka, odnosno predstavništva multinacionalnog privrednog društva u Republici Srbiji koje radnje obrade podataka o ličnosti vrši u okviru aktivnosti na teritoriji Republike Srbije, smatra se predstavnikom iz stava (1) ovo člana u pogledu položaja i obaveza propisanih ovim zakonom, ako predstavnik nije posebno određen. 3. Evidencije Evidencija radnji obrade Član 73. (1) Rukovalac ili obrađivač, odnosno njihovi predstavnici ako su određeni, dužni su da vode evidenciju o radnjama obrade podataka o ličnosti. (2) Evidencija iz stava (1) ovog člana vode se u pismenom obliku, što obuhvata i elektronski oblik i čuva se trajno. (3) Rukovalac ili obrađivač, kao i njihovi predstavnici ako su određeni, dužni su da evidenciju iz stava (1) ovog člana učine dostupnom Povereniku, na njegov zahtev. Evidencija rukovaoca Član 74. Rukovalac i njegov predstavnik, ako je određen, dužan je da vodi evidenciju o radnjama obrade za koje je odgovoran, a koja sadrži informacije o: 1) imenu i kontakt podacima rukovaoca, zajedničkih rukovaoca i svakog obrađivača, predstavnika rukovaoca ili obrađivača i lica za zaštitu podataka o ličnosti, ako oni postoje, odnosno ako su određeni; 2) svrsi obrade i pravnom osnovu za obradu; 3) kategoriji lica na koje se podaci odnose i vrsti podataka o ličnosti; 4) vrsti primalaca kojima su podaci o ličnosti otkriveni ili će biti otkriveni, uključujući i primaoce u drugim državama ili međunarodnim organizacijama; 5) prenosu podataka o ličnosti u druge države ili međunarodne organizacije, uključujući i naziv druge države ili međunarodne organizacije, kao i dokumente o primeni mera zaštite ako se podaci prenose u države, odnosno međunarodne organizacije koje ne obezbeđuju primeren nivo zaštite podataka o ličnosti, odnosno ne obezbeđuju taj nivo zaštite ni uz primenu odgovarajućih mera zaštite, u skladu sa odredbama ovog zakona, ako se takav prenos podataka o ličnosti vrši; 6) roku posle čijeg isteka se brišu određene vrste podataka o ličnosti, ako je takav rok određen; 7) opštem opisu mera zaštite propisanih odredbama ovog zakona koje uređuju bezbednost obrade, ako je to moguće. Evidencija obrađivača Član 75. Obrađivač i njegov predstavnik, ako je određen, dužan je da vodi evidenciju o svim vrstama radnji obrade koje se vrše u ime rukovaoca, a koja sadrži informacije o: 1) imenu i kontakt podacima svakog obrađivača i svakog rukovaoca u čije ime se obrada vrši, odnosno predstavnika rukovaoca ili obrađivača i lica za zaštitu podataka o ličnosti, ako oni postoje, odnosno ako su određeni; 2) vrsti obrada koje se vrše u ime svakog rukovaoca; 3) prenosu podataka o ličnosti u druge države ili međunarodne organizacije, uključujući i naziv druge države ili međunarodne organizacije, kao i dokumente o primeni mera zaštite ako se podaci prenose u države, odnosno međunarodne organizacije koje ne obezbeđuju primeren nivo zaštite podataka o ličnosti, odnosno ne obezbeđuju taj nivo zaštite ni uz primenu odgovarajućih mera zaštite, u skladu sa odredbama ovog zakona, ako se takav prenos podataka o ličnosti vrši; 4) opštem opisu mera zaštite propisanih odredbama ovog zakona koje uređuju bezbednost obrade, ako je to moguće. Izuzetak od obaveze vođenja evidencija Član 76. Obavezu vođenja evidencije radnji obrade podataka o ličnosti iz čl. 74. i 75. ovog zakona nemaju privredni subjekti i organizacije u kojima je zaposleno manje od 250 lica, osim ako: 1) obrada koju vrše može da prouzrokuje visok rizik po prava i slobode lica na koje se podaci odnose; 2) obrada nije povremena, 3) obrada obuhvata posebno osetljive podatake o ličnosti iz člana 32. stav (1) ovog zakona ili podatke o ličnosti koji se odnose na kažnjiva dela iz člana 33. ovog zakona. Saradnja sa Poverenikom Član 77. Rukovalac, obrađivač i njihovi predstavnici, ako su određeni, dužni su da sarađuju sa Poverenikom u vršenju njegovih ovlašćenja. 4. Bezbednost podataka o ličnosti Bezbednost obrade Član 78. (1) U cilju zaštite prava lica na koje se podaci odnose rukovalac i obrađivač u obavezi su da primene odgovarajuće tehničke, organizacione i kadrovske mere zaštite podataka o ličnosti koje obrađuju, odnosno čuvaju u skladu sa nivoom tehnoloških dostignuća i troškovima njihove primene, srazmerno rizicima koji proizlaze iz obrade, a naročito rizicima od slučajnog ili nezakonitog uništenja, oštećenja, gubitka, izmene, neovlašćenog otkrivanja ili pristupa podacima o ličnosti koji su preneseni, skladišteni ili obrađivani na drugi način. (2) Prilikom procene rizika iz stava (1) ovog člana, uključujući verovatnoću nastupanja rizika i nivo rizika rukovalac i obrađivač u svakom konkretnom slučaju, između ostalog, naročito uzimaju u obzir: 1) prirodu i obim podataka koje obrađuju, odnosno čuvaju; 2) svrhu obrade; 3) posledice po prava i slobode fizičkih lica, u slučaju povrede podataka o ličnosti. (3) Primena izdatog sertifikata, odnosno odobrenog kodeksa postupanja na osnovu odredbi ovog zakona, može se koristiti u cilju predočavanja ispunjenosti obaveza iz stava (1) ovog člana. Opšte mere zaštite Član 79. Uzimajući u obzir broj zaposlenih, svrhu obrade, prirodu i obim podataka o ličnosti koje obrađuje, odnosno čuva, rukovalac, odnosno obrađivač preduzima, prema potrebi, opšte mere zaštite podataka o ličnosti, koje naročito obuhvataju: 1) uspostavljanje organizacione strukture, sa utvrđenim poslovima i odgovornostima lica koja vrše obradu podataka; 2) obuku svih lica koja vrše obradu; 3) fizičku zaštitu objekata, prostora i prostorija, odnosno zona u kojima se obrađuju podaci i nalazi oprema za obradu podataka; 4) postupak redovnog testiranja, ocenjivanja i procenjivanja delotvornosti tehničkih, organizacionih i kadrovskih mera zaštite podataka o ličnosti. Mere zaštite u slučaju obrade podataka o ličnosti u elektronskom obliku Član 80. Kada se podaci o ličnosti obrađuju, odnosno čuvaju u elektronskom obliku, prema potrebi mere zaštite podataka o ličnosti, naročito obuhvataju: 1) autentifikaciju i autorizaciju lica koja pristupaju podacima, čime se sprečava neovlašćeni pristup; 2) zaštitu nosača podataka i obezbeđivanje integriteta softvera i operativnih sistema; 3) upotrebu tehnika zaštite poverljivosti, autentičnosti i integriteta podataka, uključujući pseudonimizaciju i kriptozaštitu; 4) obezbeđivanje ispravnog i bezbednog funkcionisanja sredstava za obradu podataka; 5) prevenciju i reagovanje na bezbednosne incidente, 6) formiranje rezervne kopije podataka, softvera i sistema radi obezbeđenja kontinuiteta obrade. Mere zaštite u slučaju obrade podataka o ličnosti u papirnom obliku Član 81. Kada se podaci o ličnosti obrađuju, odnosno čuvaju u papirnom obliku, mere zaštite podataka o ličnosti, naročito obuhvataju: 1) obezbeđivanje odgovarajućeg prostora i opreme za smeštaj i zaštitu; 2) obezbeđivanje kontrole pristupa podacima od strane ovlašćenih lica; 3) uspostavljanje evidencije pristupa podacima; 4) obezbeđivanje kopije podataka (kopiranjem, digitalizacijom, mikrofilmovanjem ili na drugi odgovarajući način). Obaveštavanje Poverenika o povredi podataka o ličnosti Član 82. (1) U slučaju povrede podataka o ličnosti koja može da proizvede posledice po prava i slobode fizičkih lica rukovalac je dužan da obavesti Poverenika bez nepotrebnog odlaganja, ili, ako je to moguće, u roku od 72 sata od saznanja za povredu. (2) Ako rukovalac ne postupi na način i u roku iz stava (1) ovog člana, dužan je da obrazloži razloge nepostupanja. (3) Obrađivač je dužan da, posle saznanja za povredu podataka o ličnosti, bez nepotrebnog odlaganja obavesti rukovaoca o toj povredi. (4) Obaveštenje iz stava (1) ovog člana mora da sadrži najmanje sledeće informacije: 1) opis prirode povrede podataka o ličnosti, uključujući vrste podataka i približan broj lica na koja se podaci te vrste odnose, kao i približan broj podataka o ličnosti čija je bezbednost povređena; 2) ime i kontakt podatke lica za zaštitu podataka o ličnosti ili informacije o drugom načinu na koji se mogu dobiti informacije o povredi; 3) opis mogućih posledica povrede; 4) opis mera koje je rukovalac preduzeo ili čije je preduzimanje predloženo u vezi sa povredom, uključujući i mere koje su preduzete u cilju umanjenja štetnih posledica. (5) Ako se sve informacije iz stava (4) ovog člana ne mogu dostaviti istovremeno, rukovalac bez nepotrebnog odlaganja postupno dostavlja dostupne informacije. (6) Rukovalac je dužan da dokumentuje svaku povredu podataka o ličnosti, uključujući i činjenice o povredi, njenim posledicama i preduzetim merama za njihovo otklanjanje. (7) Dokumentacija iz stava (6) ovog člana mora omogućiti Povereniku da utvrdi da li je rukovalac postupio u skladu sa odredbama ovog člana. (8) Poverenik propisuje obrazac obaveštenja iz stava (1) ovog člana i bliže uređuje način obaveštavanja. Obaveštavanje lica o povredi podataka o ličnosti Član 83. (1) Ako konkretne okolnosti povrede podataka o ličnosti ukazuju na postojanje visokog stepena verovatnoće nastupanja ozbiljnih posledica po prava i slobode fizičkih lica, rukovalac je dužan da bez nepotrebnog odlaganja o povredi obavesti lice na koje se podaci odnose. (2) U obaveštenju iz stava (1) ovog člana rukovalac je dužan da na jasan i razumljiv način opiše prirodu povrede podataka i navede najmanje informacije iz člana 82. stav (4) tač. 2) do 4) ovog zakona. (3) Rukovalac nije dužan da obavesti lice iz stava (1) ovog člana ako: 1) je preduzeo odgovarajuće tehničke, organizacione i kadrovske mere zaštite u odnosu na podatke o ličnosti čija je bezbednost povređena, a posebno ako je kriptozaštitom ili drugim merama onemogućio razumljivost podataka svim licima koja nisu ovlašćena za pristup ovim podacima; 2) je naknadno preduzeo mere kojima je obezbedio da povreda podataka o ličnosti više ne može da proizvede posledice za prava i slobode lica na koje se podaci odnose; 3) bi obaveštavanje lica na koje se podaci odnose predstavljalo nesrazmeran utrošak vremena i sredstava, u kom slučaju je rukovalac dužan da putem javnog obaveštavanja ili na drugi delotvoran način obezbedi pružanje obaveštenja licu na koje se podaci odnose. (4) Ako rukovalac nije obavestio lice na koje se podaci odnose o povredi podataka o ličnosti, Poverenik može, uzimajući u obzir stepen verovatnoće od nastupanja ozbiljnih posledica za prava i slobode lica, da naloži rukovaocu da to učini ili može da utvrdi da su ispunjeni uslovi iz stava (3) ovog člana, kada rukovalac nije dužan da dostavi obaveštenje. Procena uticaja obrade na zaštitu podataka o ličnosti Član 84. (1) Ako je verovatno da će neka vrsta obrade podataka o ličnosti, posebno upotrebom novih tehnologija i uzimajući u obzir prirodu, obim, okolnosti i svrhu obrade, prouzrokovati visok rizik po prava i slobode fizičkih lica, rukovalac je dužan da pre nego što započne sa obradom izvrši procenu uticaja predviđenih radnji obrade na zaštitu podataka o ličnosti. (2) Ako više sličnih radnji obrade mogu prouzrokovati slične visoke rizike za zaštitu podataka o ličnosti, može se izvršiti zajednička procena. (3) Prilikom procene uticaja iz stava (1) ovog člana rukovalac je dužan da zatraži mišljenje lica za zaštitu podataka o ličnosti, ako je ono određeno. (4) Prema potrebi, u postupku izrade procene uticaja, rukovalac od lica na koje se podaci odnose ili njihovih predstavnika traži mišljenje o radnjama obrade koje namerava da vrši, ne dovodeći u pitanje zaštitu poslovnih ili javnih interesa ili bezbednost radnji obrade. (5) Procena uticaja iz stava (1) ovog člana obavezno se vrši u slučaju: 1) sistematske i sveobuhvatne procene stanja i osobina fizičkog lica koja se vrši pomoću automatizovane obrade podataka o ličnosti, uključujući i profilisanje, na osnovu koje se donose odluke od značaja za pravni položaj pojedinca ili na sličan način značajno utiču na njega; 2) obrade posebno osetljivih podataka o ličnosti iz člana 32. stav (1) ovog zakona ili obrade podataka o ličnosti u vezi sa kažnjivim delima iz člana 33. ovog zakona, u velikom obimu; 3) sistematskog nadzora nad javnim prostorom, u velikom obimu. (6) Kada je osnov za obradu podataka o ličnosti poštovanje zakonskih obaveza rukovaoca ili obavljanje poslova u javnom interesu ili izvršenje zakonom propisanih ovlašćenja iz člana 15. stav (1) tač. 2) i 3) ovog zakona, pri čemu je procena uticaja na zaštitu podataka o ličnosti već izvršena u okviru opšte procene uticaja prilikom donošenja posebnog zakona čijim odredbama se propisuju pojedine radnje obrade, odnosno grupe radnji obrade, ne izrađje se procena uticaja na zaštitu podataka o ličnosti, osim ako se utvrdi da je neophodno izvršiti novu procenu. (7) Rukovalac je dužan da preispita da li se radnje obrade vrše u skladu sa izvršenom procenom uticaja na zaštitu podataka o ličnosti, prema potrebi, a najmanje u slučaju kad je došlo do promene nivoa rizika u vezi sa radnjama obrade. (8) Poverenik je dužan da sačini i javno objavi na svojoj internet stranici listu vrsta radnji obrade za koje se mora izvršiti procena uticaja iz stava (1) ovog člana, a može da sačini i objavi i listu vrsta radnji obrade za koje procena nije potrebna. Sadržina procene uticaja Član 85. (1) Procena uticaja radnji obrade na zaštitu podataka o ličnosti, najmanje mora da sadrži: 1) sveobuhvatan opis predviđenih radnji obrade i svrhu obrade, uključujući i opis legitimnog interesa rukovaoca, ako on postoji; 2) procenu potrebnosti, neophodnosti i srazmernosti vršenja radnji obrade u odnosu na svrhe obrade; 3) identifikaciju i procenu rizika za prava i slobode lica na koje se podaci odnose; 4) opis mera koje se nameravaju preduzeti u odnosu na postojanje rizika, uključujući mehanizme zaštite, kao i tehničke, organizacione i kadrovske mere u cilju zaštite podatka o ličnosti i obezbeđivanja dokaza o poštovanju odredbi ovog zakona, uzimajući u obzir prava i legitimne interese lica na koje se podaci odnose i drugih lica. (2) Primena odobrenog kodeksa postupanja u skladu sa odredbama ovog zakona, od strane rukovaoca ili obrađivača, mora se uzeti u obzir prilikom procene uticaja radnji obrade na zaštitu podataka o ličnosti. Zahtev za mišljenje Poverenika Član 86. (1) Ako procena uticaja radnji obrade na zaštitu podataka o ličnosti, koja je izvršena u skladu sa čl. 84. i 85. ovog zakona, ukazuje da će nameravane radnje obrade proizvesti visok rizik i nakon preduzimanja mera za smanjenje rizika, odnosno preostali rizik je i dalje visok, rukovalac je dužan da zatraži mišljenje Poverenika pre započinjanja radnji obrade. (2) Uz zahtev za mišljenje, rukovalac je dužan da Povereniku dostavi procenu uticaja iz stava (1) ovog člana, kao i podatke o: 1) dužnostima rukovaoca, uključujući dužnosti zajedničkih rukovalaca i obrađivača koji učestvuju u obradi, ako postoje, posebno ako se radi o obradi koja se vrši unutar grupe privrednih subjekata; 2) svrhama i načinima nameravane obrade; 3) tehničkim, organizacionim i kadrovskim merama zaštite, kao i mehanizmima zaštite prava i sloboda lica na koje se podaci odnose u skladu sa ovim zakonom; 4) kontakt podacima lica za zaštitu podataka, ako je ono određeno; 5) svim drugim informacijama koje zatraži Poverenik. Prethodno mišljenje Poverenika Član 87. (1) Ako Poverenik smatra da bi nameravane radnje obrade iz člana 84. stav (1) ovog zakona mogle da povrede odredbe ovog zakona, a posebno ako rukovalac nije na odgovarajući način procenio ili umanjio rizik, Poverenik je dužan da u roku od 60 dana od dana prijema zahteva dostavi pismeno mišljenje rukovaocu ili obrađivaču koji je podneo zahtev, kao i da po potrebi iskoristi inspekcijska i druga ovlašćenja propisana ovim zakonom. (2) Rok iz stava (1) ovog člana može se produžiti za 45 dana uzimajući u obzir složenost nameravanih radnji obrade, a Poverenik je dužan da o odlaganju i razlozima za odlaganje davanja mišljenja upozna rukovaoca ili obrađivača, koji je podneo zahtev, u roku od 30 dana od prijema zahteva za mišljenje. (3) Rokovi iz st. (2) i (3) ovog člana ne teku dok Poverenik ne dobije sve tražene informacije koje su neophodne za davanje mišljenja. (4) Poverenik može da sastavi i javno objavi na svojoj internet prezentaciji listu vrsti radnji obrade u vezi sa kojima se mora tražiti njegovo mišljenje. (5) Organi vlasti koji pripremaju nacrte zakona i predloge drugih propisa zasnovanih na zakonima, a koji sadrže odredbe o obradi podataka o ličnosti, dužni su da u toku njihove pripreme zatraže mišljenje Poverenika. 5. Lice za zaštitu podataka o ličnosti Određivanje lica za zaštitu podataka o ličnosti Član 88. (1) Rukovalac i obrađivač mogu da odrede lice za zaštitu podataka o ličnosti. (2) Rukovalac i obrađivač dužni su da odrede lice za zaštitu podataka o ličnosti ako se: 1) obrada vrši od strane organa vlasti, osim ako se radi o obradi koju vrši sud u svrhu obavljanja njegovih sudskih ovlašćenja; 2) osnovne aktivnosti rukovaoca ili obrađivača sastoje u radnjama obrade koje po svojoj prirodi, obimu, odnosno svrhama zahtevaju redovan i sistematski nadzor velikog broja lica na koje se podaci odnose; 3) osnovne aktivnosti rukovaoca ili obrađivača sastoje u obradi posebno osetljivih podataka o ličnosti iz člana 32. stav (1) ili podataka o ličnosti u vezi sa kažnjivim delima iz člana 33. ovog zakona, u velikom obimu. (3) Grupa privrednih subjekata može odrediti zajedničko lice za zaštitu podataka o ličnosti, pod uslovom da je ovo lice jednako dostupno svakom članu grupe. (4) Ako su rukovaoci ili obrađivači organi vlasti, može se odrediti zajedničko lice za zaštitu podataka o ličnosti, uzimajući u obzir organizacionu strukturu i veličinu tih organa vlasti. (5) Posebnim zakonom može se propisati da rukovaoci, odnosno obrađivači ili njihova udruženja koja ih predstavljaju, moraju odrediti lice za zaštitu podataka o ličnosti. (6) Lice za zaštitu podataka o ličnosti određuje se na osnovu njegovih stručnih kvalifikacija, a naročito stručnog znanja i iskustva u oblasti zaštite podataka o ličnosti, kao i sposobnosti za izvršavanje obaveza propisanih ovim zakonom. (7) Lice za zaštitu podataka o ličnosti može biti zaposleno kod rukovaoca ili obrađivača ili može obavljati poslove na osnovu ugovora. (8) Rukovalac ili obrađivač dužan je da objavi kontakt podatke lica za zaštitu podataka o ličnosti i dostavi ih Povereniku, kao i da ih u slučaju promene ažurira u najkraćem roku dostavi ih Povereniku. (9) Poverenik vodi evidenciju lica za zaštitu podataka o ličnosti koja sadrži: imena i prezimena lica za zaštitu podataka o ličnosti, njihove kontakt podatke, kao i imena i kontakt podatke rukovaoca, odnosno obrađivača. (10) Poverenik propisuje obrazac evidencije iz stava (9) ovog člana i uređuje način njenog vođenja. Položaj lica za zaštitu podataka o ličnosti Član 89. (1) Rukovalac i obrađivač dužni su da blagovremeno i na odgovarajući način uključe lice za zaštitu podataka o ličnosti u sve poslove koji su u nadležnosti ili koje u okviru svoje delatnosti obavlja rukovalac, odnosno obrađivač, a koji se odnose na zaštitu podataka o ličnosti. (2) Rukovalac i obrađivač dužni su da omoguće licu za zaštitu podataka o ličnosti izvršavanje njegovih obaveza iz ovog zakona na taj način što mu obezbeđuju neophodna sredstva za izvršavanje ovih obaveza, pristup podacima o ličnosti i radnjama obrade, kao i njegovo stručno usavršavanje. (3) Rukovalac i obrađivač dužni su da obezbede nezavisnost lica za zaštitu podataka o ličnosti u izvršavanju njegovih obaveza. (4) Rukovalac ili obrađivač ne mogu kazniti lice za zaštitu podataka o ličnosti, niti raskinuti radni odnos, odnosno ugovor sa njim zbog izvršavanja njegovih obaveza iz ovog zakona. (5) Za izvršavanje obaveza iz ovog zakona lice za zaštitu podataka o ličnosti neposredno je odgovorno rukovodiocu rukovaoca, odnosno obrađivača. (6) Lica na koje se podaci odnose mogu se obratiti licu za zaštitu podataka o ličnosti u vezi sa svim pitanjima koja se odnose na obradu njegovih podatka o ličnosti, kao i u vezi sa ostvarivanjem svojih prava propisanih ovim zakonom. (7) Lice za zaštitu podataka o ličnosti dužno je da čuva tajnost, odnosno poverljivost podataka do kojih je došlo u izvršavanju obaveza iz ovog zakona, u skladu sa zakonom. (8) Lice za zaštitu podataka o ličnosti može da obavlja druge poslove i izvršava druge obaveze, a rukovalac ili obrađivač dužni su da obezbede da izvršavanje drugih poslova i obaveza ne dovede lice za zaštitu podataka o ličnosti u sukob interesa. Obaveze lica za zaštitu podataka o ličnosti Član 90. (1) Lice za zaštitu podataka o ličnosti ima najmanje obavezu da: 1) informiše i daje mišljenje rukovaocu, odnsno obrađivaču, kao i zaposlenima koji vrše radnje obrade o njihovim zakonskim obavezama u vezi sa zaštitom podataka o ličnosti; 2) prati primenu odredbi ovog zakona, drugih zakona i internih propisa od strane rukovaoca ili obrađivača koji se odnose na zaštitu podataka o ličnosti, uključujući i pitanja podele odgovornosti, podizanja svesti i obuke zaposlenih koji učestvuju u radnjama obrade, kao i kontrole; 3) daje mišljenje, kada se to zatraži, o proceni uticaja obrade na zaštitu podataka o ličnosti i prati postupanje po toj proceni, u skladu sa odredbama ovog zakona; 4) sarađuje sa Poverenikom, predstavlja kontakt tačku za saradnju sa Poverenikom i savetuje se sa njim u vezi sa pitanjima koja se odnose na obradu podataka o ličnosti, uključujući i obaveštavanje i pribavljanje prethodnog mišljenja Poverenika iz člana 84. ovog zakona. (5) U izvršavanju svojih obaveza lice za zaštitu podataka o ličnosti dužno je da posebno vodi računa o prisustvu i stepenu rizika u vezi sa radnjama obrade podataka o ličnosti, uzimajući u obzir prirodu, obim, okolnosti i svrhe obrade. 6. Sertifikat o zaštiti podataka o ličnosti Osnovne odredbe Član 91. (1) U cilju dokazivanja poštovanja odredbi ovog zakona od strane rukovaoca i obrađivača, a posebno uzimajući u obzir potrebe malih i srednjih preduzeća, može se koristiti sertifikat o zaštiti podataka o ličnosti, sa odgovarajućim žigovima i oznakama za zaštitu podataka. (2) Rukovaocu, odnosno obrađivaču na koje se ovaj zakon ne primenjuje, u cilju dokazivanja preduzimanja mera zaštite od strane rukovaoca i obrađivača, a u okviru prenosa njihovih podataka o ličnosti u druge države ili međunarodne organizacije za koje nije utvrđeno postojanje primerenog nivoa zaštite, može se izdati sertifikat, sa odgovarajućim žigovima i oznakama, u skladu sa odredbama ovog zakona, pod uslovom da oni putem ugovora ili drugog pravno obavezujućeg akta prihvate primenu ovih mera zaštite, uključujući i zaštitu prava lica na koje se podaci odnose od strane rukovaoca ili obrađivača u drugoj državi ili međunarodnoj organizaciji. (3) Postojanje izdatog sertifikata iz stava (1) ovog člana ne može uticati na zakonske obaveze rukovaoca i obrađivača, niti na inspekcijska i druga ovlašćenja Poverenika propisana odredbama ovog zakona. Sertifikaciono telo Član 92. (1) Sertifikat o zaštiti podataka o ličnosti iz člana 91. stav (1) ovog člana izdaje akreditovano sertifikaciono telo, koje je pravno lice ili deo pravnog lica. (2) Sertifikaciono telo iz stava (1) ovog člana ocenjuje usaglašenost procesa, odnosno sistema zaštite podataka o ličnosti od strane rukovaoca i obrađivača sa relevantnim nacionalnim standardima kojima su preuzeti harmonizovani standardi za ocenjivanje usaglašenosti proizvoda, procesa i usluga, što uključujue izdavanje, obnavljanje i ukidanje sertifikata o zaštiti podataka o ličnosti, zajedno sa žigom i oznakom. (3) Pre izdavanja sertifikata iz stava (1) ovog člana, sertifikaciono telo o tome obaveštava Poverenika, što ne utiče na inspekcijska i druga ovlašćenja Poverenika propisana odredbama ovog zakona. (4) Sertifikaciono telo je odgovorno za pravilnu ocenu ispunjenosti kriterijuma za izdavanje, obnavljanje i ukidanje sertifikata o zaštiti podataka o ličnosti i dužno je da Poverenika upozna sa razlozima za izdavanje, obnavljanje ili ukidanje sertifikata. (5) Sertifikat o zaštiti podataka o ličnosti koji je izdalo sertifikovano telo druge države ili međunarodne organizacije važi u Republici Srbiji, ako je izdat u skladu sa potvrđenim međunarodnim sporazumom čiji je potpisnik Republika Srbija. Akreditacija sertifikacionog tela Član 93. (1) Postupak akreditacije sertifikacionog tela za izdavanje sertifikata o zaštiti podataka o ličnosti sprovodi Akreditaciono telo Srbije, primenom odredbi zakona kojim se uređuje akreditacija i podzakonskim aktima donetim za izvršenje ovog zakona. (2) Postupak iz stava (1) ovog člana pokreće se prijavom za akreditaciju usaglašenosti koju pravno lice ili deo pravnog lica podnosi Akreditacionom telu Srbije. (3) Akreditaciono telo Srbije može da uputi pravno lice ili deo pravnog lica iz stava (2) ovog člana, koje je registrovano u Republici Srbiji da prijavu za akreditaciju usaglašenosti podnese akreditacionom telu druge države, ako Akreditaciono telo Srbije ne vrši poslove akreditacije za određena ocenjivanja usaglašenosti iz podnete prijave, ili da zatraži od akreditacionog tela druge države da izvrši jedan deo aktivnosti iz postupka akreditacije. (4) U slučajevima iz stava (3) ovog člana, sertifikat o akreditaciji koji je izdalo akreditaciono telo druge države upisuje se u registar akreditovanih tela za ocenjivanje usaglašenosti koji vodi Akreditaciono telo Srbije, odnosno izdaje sertifikat o akreditaciji u slučaju kada akreditaciono telo druge države izvrši jedan deo aktivnosti iz postupka akreditacije. (5) Sertifikaciono telo iz stava (1) ovog člana mora da poseduje odgovarajući nivo stručnosti u oblasti zaštite podataka o ličnosti i da ispunjava zahteve odgovarajućih srpskih standarda kojima su preuzeti harmonizovani standardi, kao i dodatne zahteve iz oblasti zaštite podataka o ličnosti, propisane odredbama ovog zakona. (6) Akreditacija iz stava (1) ovog člana izdaje se sertifikacionom telu na period do pet godina, sa mogućnošću obnove ako sertifikaciono telo i dalje ispunjava propisane zahteve za akreditaciju. (7) Akreditacija se ukida ako se utvrdi da sertifikaciono telo više ne ispunjava zahteve za akreditaciju ili ako se utvrdi da krši odredbe ovog zakona. (8) Kada je sertifikaciono telo koje je sprovelo sertifikaciju akreditovano od strane nacionalnog tela druge države, koje je sa Akreditacionim telom Srbije potpisalo sporazum kojim se međusobno priznaje ekvivalentnost sistema akreditacije u obimu koji je određen potpisanim sporazumom, u Republici Srbiji se mogu prihvatiti sertifikati o zaštiti podataka o ličnosti tog sertifikacionog tela, bez ponovnog sprovođenja postupka sertifikacije. Dodatni zahtevi za akreditaciju sertifikacionog tela Član 94. (1) Sertifikaciono telo za izdavanje sertifikata o zaštiti podataka o ličnosti može biti akreditovano ako, pored ispunjavanja zahteva odgovarajućih srpskih standarda kojima su preuzeti harmonizovani standardi, ispunjava i dodatne zahteve iz oblasti zaštite podataka o ličnosti, i to: 1) predoči dokaze u pogledu svoje stručnosti, u odnosu na predmet sertifikacije; 2) predoči dokaze u pogledu svoje nezavisnosti; 3) se obavezalo na poštovanje kriterijuma za sertifikaciju, propisanih ovim zakonom; 4) ima izrađenu šemu sertifikacije, odobrenu od strane Poverenika; 5) propiše postupak za izdavanje, periodičnu proveru i ukidanje sertifikata, žiga i oznake; 6) propiše postupak i odredi organe za postupanje po pritužbama protiv rukovaoca i obrađivača zbog vršenja radnji obrade na način suprotan izdatom sertifikatu; 7) akte kojim se propisuje postupak i određuju organi iz tač. 5) i 6) ovog stava učini dostupnim javnosti i licu na koje se podaci odnose; 9) predoči dokaze da u izvršavanju njegovih poslova nema sukoba interesa. (2) Poverenik donosi akt kojim se bliže razrađuju zahtevi iz stava (1) ovog člana, uključujući način dokazivanja njihove ispunjenosti i javno ga objavljuje. Kriterijumi za sertifikaciju rukovaoca Član 95. (1) Sertifikaciono telo za izdavanje sertifikata o zaštiti podataka o ličnosti prilikom ocenjivanja usaglašenosti procesa, odnosno sistema zaštite podataka o ličnosti od strane rukovaoca, razmatra ispunjenost sledećih kriterijuma: 1) da je identifikovani, odnosno određeni pravni osnov za obradu podataka o ličnosti u skladu sa odredbama ovog zakona; 2) da su podaci o ličnosti obrađuju u svrhe koje su konkretno određene, izričite, opravdane i zakonite i da se dalje ne obrađuju na način koji nije u skladu sa tim svrhama; 3) da su podaci o ličnosti primereni, bitni i ograničeni na ono što je neophodno u odnosu na svrhu obrade; 4) da su podaci o ličnosti koji se obrađuju tačni i ažurirani; 5) da se podaci o ličnosti čuvaju u obliku koji omogućava identifikaciju lica samo u roku koji je neophodan za ostvarivanje svrhe obrade; 6) da su primenjene odgovarajuće tehničke, organizacione i kadrovske mere koje obezbeđuju odgovarajuću zaštitu podataka o ličnosti, uključujući zaštitu od neovlašćene ili nezakonite obrade, kao i od slučajnog gubitka, uništenja ili oštećenja; 7) da je obezbeđena transparentnost obrade; 8) da rukovalac može da dokaže komulativnu ispunjenost kriterijuma iz tač. 1) do 7) ovog stava; 9) da su ispunjeni dodatni uslovi za obradu posebnih kategorija podataka o ličnosti, uključujući primenu dodatnih mera zaštite; 10) da su obezbeđena prava u vezi sa obradom podataka licima na koje se podaci odnose, propisana ovim zakonom; 11) da je rukovalac u mogućnosti da ispuni svoje obaveze iz ovog zakona, kada se radi o primaocima podataka; 12) da je rukovalac definisao procedure ili politike u vezi sa postupanjem po zahtevima lica čiji se podaci obrađuju i da je u mogućnosti da ih dokumentuje; 13) da su procenjeni rizici po bezbednost podataka o ličnosti; 14) da je rukovalac primenio adekvatne mere zaštite u odnosu na procenjeni rizik; 15) da je postupak obrade usklađen sa zahtevima u pogledu tehničke i integrisane zaštite; 16) da rukovalac ima uređen postupak u slučaju povrede podataka o ličnosti; 17) da u slučaju obrade podataka o ličnosti od strane zajedničkih rukovaoca, uloge, obaveze i odgovornosti svakog od njih budu uređene sporazumom ili propisane zakonom koji se primenjuje na rukovaoce; 18) da poveravanje pojedinih radnji obrade obrađivaču bude zasnovano na ugovoru ili drugom pravno obavezujućem aktu; 19) da rukovalac vodi evidencije o radnjama obrade koje su predmet sertifikacije; 20) da je rukovalac odredio lice za zaštitu podataka o ličnosti, u skladu sa ovim zakonom; 21) da je rukovalac sproveo procenu uticaja na zaštitu sloboda i prava lica čiji se podaci obrađuju, gde je to neophodno u skladu sa odredbama ovog zakona; 22) da rukovalac ispunjava obaveze u slučaju prenosa podataka u drugu državu ili u međunarodnu organizaciju i da je u mogućnosti da to dokaže, uključujući i dodatne obaveze u slučaju prenosa podataka u drugu državu ili u međunarodnu organizaciju za koje nije utvrđeno da obezbeđuju primereni nivo zaštite podataka o ličnosti. (2) Poverenik donosi akt kojim se bliže razrađuju kriterijumi iz stava (1) ovog člana, uključujući način dokazivanja njihove ispunjenosti i javno ga objavljuje. Kriterijumi za sertifikaciju obrađivača Član 96. (1) Sertifikaciono telo za izdavanje sertifikata o zaštiti podataka o ličnosti prilikom ocenjivanja usaglašenosti procesa, odnosno sistema zaštite podataka o ličnosti od strane obrađivača, razmatra ispunjenost sledećih kriterijuma: 1) da je obrađivač zaključio ugovor o poveravanju pojedinih radnji obrade sa rukovaocem; 2) da je preduzeo odgovarajuće mere zaštite podataka o ličnosti, u skladu sa odredbama ovog zakona; 3) da pomaže rukovaocu u ispunjavanju njegovih obaveza propisanih zakonom; 4) da poštuje uslove koji se tiču poveravanja dalje obrade drugom obrađivaču - podobrađivaču; 5) da je odredio lice za zaštitu podataka o ličnosti, u skladu sa odredbama ovog zakona; 6) da vodi evidencije o radnjama obrade; 7) da ispunjava svoje obaveze nakon prestanka važenja ugovora sa rukovaocem; 8) da ispunjava obaveze u pogledu prenosa podataka o ličnosti u drugu državu ili u međunarodnu organizaciju. (2) Poverenik donosi akt kojim se bliže razrađuju kriterijumi iz stava (1) ovog člana, uključujući način dokazivanja njihove ispunjenosti i javno ga objavljuje. Postupak izdavanja sertifikata Član 97. (1) Postupak izdavanja sertifikata o zaštiti podataka o ličnosti je dobrovoljan i transparentan. (2) Rukovalac i obrađivač koji zahtevaju izdavanje sertifikata iz stava (1) ovog člana dužni su da akreditovanom sertifikacionom telu omoguće pristup radnjama obrade i pruže sve informacije o obradi koje su neophodne za sprovođenje postupka izdavanja sertifikata. (3) Sertifikat se izdaje rukovaocu i obrađivaču na period koji ne može biti duži od tri godine, a može se obnoviti ako oni i dalje ispunjavaju kriterijume za izdavanje sertifikata, propisane ovim zakonom. (4) Sertifikat se ukida u slučaju kad sertifikaciono telo utvrdi da rukovalac, odnosno obrađivač više ne ispunjava propisane kriterijume za izdavanje sertifikata. (5) Poverenik vodi i javno objavljuje na svojoj internet stranici spisak akreditovanih sertifikacionih tela i izdatih sertifikata o zaštiti podataka o ličnosti, sa odgovarajućim žigovima i oznakama. (6) Poverenik donosi akt kojim se bliže uređuje postupak izdavanja sertifikata o zaštiti podataka o ličnosti, uključujući prijavu za sertifikaciju, zaključenje ugovora o sertifikaciji, kao i standardizovane metode vrednovanja, spisak sertifikacionih procesa i postupke provere poštovanja kriterijuma za sertifikaciju u sladu sa relevantnim standardima iz ove oblasti. 7. Kodeks postupanja Sadržina kodeksa Član 98. (1) Udruženja i drugi subjekti koji predstavljaju grupe rukovalaca ili obrađivača mogu izraditi kodeks postupanja u cilju efikasnije primene ovog zakona, a naročito u pogledu: 1) poštene i transparentne obrade; 2) legitimnih interesa rukovalaca, uzimajući u obzir okolnosti konkretnih slučajeva; 3) prikupljanja podataka o ličnosti; 4) pseudonimizacije podataka o ličnosti; 5) informacija koje se pružaju javnosti i licima na koje se podaci odnose; 6) ostvarivanja prava lica na koje se podaci odnose; 7) informacija koje se pružaju maloletnim licima, njihovoj zaštiti, kao i načina na koji se pribavlja pristanak roditelja koji vrši roditeljsko pravo, odnosno drugog staraoca; 8) mera i postupaka iz čl. 67. i 78. ovog zakona, koje imaju za cilj da se obrada podataka o ličnosti vrši u skladu sa ovim zakonom, uključujući bezbednost obrade; 9) obaveštavanja Poverenika o povredi podataka o ličnosti, kao i informisanja lica na koje se podaci odnose o takvim povredama; 10) prenosa podataka o ličnosti u druge države ili međunarodne organizacije; 11) načina rešavanja sporova između rukovaoca i lica na koje se podaci odnose mirnim putem, što ne utiče na ostvarivanja prava lica na podnošenje pravnog sredstva, uključujući sudsku zaštitu u skladu sa odredbama ovog zakona. (2) Rukovaoci, odnosno obrađivači na koje se ovaj zakon ne primenjuje, u cilju obezbeđivanja odgovarajućih mera zaštite lica na koje se podaci odnose u okviru prenosa njihovih podataka o ličnosti u druge države ili međunarodne organizacije u kojima nije utvrđeno postojanje primerenog nivoa zaštite, mogu prihvatiti ili se obavezati na primenu kodeksa postupanja koji je odobren u skladu sa odredbama ovog zakona, putem ugovornih ili drugih pravno obavezujućih akata kojima se obavezuju na primenu tih mera zaštite, a posebno u odnosu na prava lica na koje se podaci odnose. (3) Kodeks postupanja iz stava (1) ovog člana obavezno sadrži odredbe koje omogućavaju pravnom licu ili delu pravnog lica koje može, uz ispunjavanje zahteva odgovarajućih srpskih standarda kojima su preuzeti harmonizovani standardi i dodatnih zahteva propisanih odredbama ovog zakona, da vrši kontrolu nad primenom kodeksa od strane rukovalaca ili obrađivača koji su se obavezali na primenu kodeksa. Mišljenje Poverenika na predlog kodeksa Član 99. (1) Udruženja i drugi subjekti iz člana 98. stava (1) ovog zakona koji nameravaju da izrade kodeks postupanja ili da izmene postojeći kodeks, dužni su da predlog kodeksa ili njegovih izmena dostave Povereniku na mišljenje. (2) Mišljenje Poverenika iz stava (1) ovog člana sadrži ocenu usklađenosti predloga kodeksa postupanja ili njegovih izmena sa odredbama ovog zakona. (3) Kada u postupku davanja mišljenja utvrdi da predlog kodeksa sadrži dovoljne garancije za zaštitu podataka o ličnosti, Poverenik kodeks postupanja ili njegove izmene registruje i javno objavljuje na svojoj internet stranici. Kontrola primene kodeksa postupanja Član 100. (1) Kontrolu primene kodeksa postupanja može da vrši pravno lice ili deo pravnog lica, akreditovanog za vršenje kontrole u skladu sa zakonom koji uređuje akreditaciju. (2) Postupak akreditacije pravnog lica ili dela pravnog lica iz stava (1) ovog člana sprovodi Akraditaciono telo Srbije primenom odredbi zakona kojim se uređuje akreditacija i podzakonskim aktima donetim za izvršenje ovog zakon. (3) Na pokretanje postupka akreditacije pravnog lica ili dela pravnog lica za vršenje kontrole primene kodeksa postupanja, kao i na mogućnost upućivanja podnosioca prijave sa sedištem u Republici Srbiji da prijavu podnese akreditacionom telu druge države, odnosno da Akreditaciono telo Srbije zatraži od akreditacionog tela druge države da izvrši jedan deo aktivnosti iz postupka akreditacije, primenjuju se odredbe člana 93. st. (2) do (4) ovog zakona. (4) Pravno lice ili deo pravnog lica iz stava (1) ovog člana može biti akreditovano ako, pored ispunjavanja zahteva odgovarajućih srpskih standarda kojima su preuzeti harmonizovani standardi za obavljanje poslova kontrolisanja, ispunjava i sledeće dodatne zahteve iz oblasti zaštite podataka o ličnosti, i to: 1) predoči dokaze u pogledu svoje stručnosti, u odnosu na sadržinu kodeksa; 2) predoči dokaze u pogledu svoje nezavisnosti; 3) uspostavi postupak procene osposobljenosti rukovaoca i obrađivača za primenu kodeksa postupanja, praćenja primene kodeksa od strane rukovaoca ili obrađivača, kao i periodičnog preispitivanja njegove delotvornosti; 4) uspostavi postupak i organ za odlučivanje o pritužbama zbog povrede kodeksa postupanja ili načina njegove primene od strane rukovaoca ili obrađivača, kao i ako obezbedi transparentnost tog postupka i organa prema javnosti i licima na koja se podaci odnose; 5) predočilo dokaze da u vršenju njegovih ovlašćenja nema sukoba interesa. (5) Akreditacija iz stava (1) ovog člana izdaje se na period do pet godina, sa mogućnošću obnove ako pravno lice ili deo pravnog lica koje je akreditovano za kontrolu primene kodeksa postupanja i dalje ispunjava propisane zahteve za akreditaciju. (6) Vršenje kontrole iz stava (1) ovog člana ne utiče na inspekcijska i druga ovlašćenja Poverenika propisana odredbama ovog zakona. (7) Akreditacija se ukida ako se utvrdi da pravno lice ili deo pravnog lica akreditovanog za kontrolu primene kodeksa postupanja više ne ispunjava zahteve za akreditaciju ili ako se utvrdi da krši odredbe ovog zakona. (8) Poverenik donosi akt kojim se bliže razrađuju zahtevi iz stava (3) ovog člana, uključujući način dokazivanja njihove ispunjenosti i javno ga objavljuje. Mere u slučaju povrede kodeksa postupanja Član 101. (1) U slučaju povrede kodeksa postupanja od strane rukovaoca ili obrađivača, pravno lice ili deo pravnog lica akreditovanog za kontrolu primene kodeksa postupanja preduzima odgovarajuće mere u propisanom postupku, uključujući i privremeno ili trajno isključenje rukovaoca, odnosno obrađivača iz primene kodeksa. (2) O preduzetim merama iz stava (1) ovog člana, pravno lice ili deo pravnog lica akreditovanog za kontrolu primene kodeksa postupanja je dužno da obavesti Poverenika, kao i razlozima za njihovo određivanje. (3) Preduzimanje mera iz stava (1) ovog člana ne utiče na ovlašćenja Poverenika propisana odredbama ovog zakona, kao i na pravo lica čija su prava povređena na podnošenje pritužbe Povereniku. Glava V. PRENOS PODATAKA O LIČNOSTI U DRUGE DRŽAVE I MEĐUNARODNE ORGANIZACIJE I OBAVEZUJUĆA POSLOVNA PRAVILA 1. Prenos podataka u druge države i međunarodne organizacije Opšta odredba o prenosu Član 102. U cilju obezbeđivanja primerenog nivoa zaštite prava fizičkih lica koji je jednak nivou koji garantuje ovaj zakon, svaki prenos podataka o ličnosti, čija je obrada u toku ili su namenjeni daljoj obradi posle njihovog prenošenja u drugu državu ili međunarodnu organizaciju, može se izvršiti samo ako rukovalac i obrađivač postupaju u skladu sa uslovima propisanim ovom glavom zakona i shodnom primenom drugih odredaba ovog zakona, što obuhvata i dalji prenos podataka o ličnosti iz druge države ili međunarodne organizacije u treću državu ili međunarodnu organizaciju. Prenos na osnovu primerenog nivoa zaštite Član 103. (1) Prenos podataka o ličnosti u drugu državu, na deo njene teritorije, ili u jedan ili više sektora određenih delatnosti u toj državi ili u međunarodnu organizaciju, bez prethodnog odobrenja, može se izvršiti ako je utvrđeno da ta druga država, deo njene teritorije ili jedan ili više sektora određenih delatnosti u toj državi ili ta međunarodna organizacija obezbeđuje primereni nivo zaštite podataka o ličnosti. (2) Smatra se da je primereni nivo zaštite iz stava (1) ovog člana obezbeđen u državama i međunarodnim organizacijama koje su članice Konvencije Saveta Evrope o zaštiti lica u odnosu na automatsku obradu ličnih podataka, odnosno u državama, na delovima njihovih teritorija ili u jednom ili više sektora određenih delatnosti u tim državama ili međunarodnim organizacijama za koje je od strane Evropske unije utvrđeno da obezbeđuju primereni nivo zaštite. (3) Smatra se da je obezbeđen primereni nivo zaštite i ako je sa drugom državom ili međunarodnom organizacijom zaključen međunarodni sporazum o prenosu podataka o ličnosti. (4) U postupku zaključivanja međunarodnog sporazuma iz stava (3) ovog člana, posebno se utvrđuje ispunjenost uslova propisanih odredbama ovog zakona za postupak donošenja odluke kojom se utvrđuje da neka država, deo njene teritorije, oblast delatnosti, odnosno pravnog regulisanja ili neka međunarodna organizacija obezbeđuje, odnosno ne obezbeđuje primeren nivo zaštite podataka o ličnosti. Odluka kojom se utvrđuje da nije obezbeđen primereni nivo zaštite Član 104. (1) Vlada može da utvrdi da država, deo njene teritorije, oblast delatnosti, odnosno pravnog regulisanja ili međunarodna organizacija ne obezbeđuje primereni nivo zaštite podataka o ličnosti, osim ako se radi o članicama Konvencije Saveta Evrope o zaštiti lica u odnosu na automatsku obradu ličnih podataka. (2) U postupku donošenja odluke iz stav (1) ovog člana, Vlada uzima u obzir, naročito: 1) princip vladavine prava i poštovanja ljudskih prava i osnovnih sloboda u drugoj državi, tom prilikom ceneći, posebno: a) važeće zakonodavstvo, posebno u oblasti nacionalne bezbednosti, uključujući javnu bezbednost i odbranu, krivičnog prava i pristupa organa vlasti podacima o ličnosti; b) primenu ovih propisa, uključujući pravila o zaštiti podataka o ličnosti i profesionalnih pravila u ovoj oblasti; v) preduzimanje mera zaštite podataka o ličnosti, uključujući pravila o daljem prenošenju podataka o ličnosti u treće države ili međunarodne organizacije, koja se primenjuju u praksi sudova i drugih organa vlasti u drugoj državi ili međunarodnoj organizaciji, kao i delotvornost ostvarivanja prava lica na koje se podaci odnose, a posebno delotvornost upravnih i sudskih postupaka zaštite prava lica čiji se podaci prenose; 2) postojanje i delotvornost rada nadzornog tela za zaštitu podataka o ličnosti u drugoj državi ili nadzornog tela koje je nadležno za nadzor nad međunarodnom organizacijom u ovoj oblasti, tom prilikom ceneći posebno njegovo ovlašćenje da: a) obezbedi primenu pravila o zaštiti podataka o ličnosti; b) pokrene postupke zaštite podataka o ličnosti u slučaju njihovog nepoštovanja; v) pruži pomoć i savetuje lica na koja se podaci odnose u ostvarivanju njihovih prava i sarađuje sa nadzornim telima drugih država; 3) međunarodne obaveze koje je druga država ili međunarodna organizacija preuzela, uzimajući u obzir i druge obaveze koje proizilaze iz pravno obavezujućih međunarodnih ugovora ili drugih pravnih instrumenata, kao i iz članstva u multilateralnim ili regionalnim organizacijama, a posebno u pogledu zaštite podatka o ličnosti. (3) Vlada prati stanje u oblasti zaštite podataka o ličnosti u drugim državama, na delovima njihovih teritorija ili u jednom ili više sektora određenih delatnosti u tim državama ili u međunarodnim organizacijama, na osnovu dostupnih informacija i na osnovu informacija prikupljenih od strane međunarodnih organizacija, koje su od značaja za preispitivanje postojanja primerenog nivoa zaštite. (4) Lista država, delova njihovih teritorija ili jednog ili više sektora određenih delatnosti u tim državama i međunarodnih organizacija u kojima se smatra da je obezbeđen primereni nivo zaštite, odnosno za koje je Vlada utvrdila da ne obezbeđuje primereni nivo zaštite objavljuje se u “Službenom glasniku Republike Srbije”. Prenos uz primenu odgovarajućih mera zaštite Član 105. (1) Rukovalac ili obrađivač mogu da prenesu podatke o ličnosti u drugu državu, na deo njene teritorije ili u jedan ili više sektora određenih delatnosti u toj državi ili u međunarodnu organizaciju za koju listom iz člana 104. stav (4) ovog zakona nije utvrđeno postojanje primerenog nivoa zaštite, samo ako je rukovalac, odnosno obrađivač obezbedio odgovarajuće mere zaštite ovih podataka i ako je licu na koje se podaci odnose obezbeđena ostvarivost njegovih prava i delotvorna pravna zaštita. (2) Odgovarajuće mere zaštite iz stava (1) ovog člana mogu se bez posebnog odobrenja Poverenika obezbediti: 1) pravno obavezujućim aktom sačinjenim između organa vlasti; 2) standardnim ugovornim klauzulama izrađenim od strane Poverenika kojima se u celini uređuje pravni odnos između rukovaoca, odnosno obrađivača iz Republike Srbije koji prenosi podatke o ličnosti sa rukovaocem, odnosno obrađivačem u drugoj državi ili međunarodnoj organizaciji kojem se podaci prenose, što uključuje odnos između rukovalaca, između rukovaoca i obrađivača, između dva obrađivača i između obrađivača i rukovaoca. 3) obavezujućim poslovnim pravilima, odobrenim od strane Poverenika u skladu sa odredbama ovog zakona; 4) izdatim sertifikatima iz člana 91. ovog zakona, zajedno sa preuzetim obavezama primene odgovarajućih mera zaštite, uključujući i zaštitu prava lica na koje se podaci odnose, od strane rukovaoca ili obrađivača u drugoj državi ili međunarodnoj organizaciji. 5) odobrenim kodeksom postupanja u skladu sa članom 98. ovog zakona, zajedno sa obavezujućom i sprovodivom primenom odgovarajućih mera zaštite, uključujući i zaštitu prava lica na koje se podaci odnose, od strane rukovaoca ili obrađivača u drugoj državi ili međunarodnoj organizaciji; (3) Poverenik izrađuje i javno objavljuje standardne ugovorne klauzule iz stava (2) tačka 2) ovog člana posebno uzimajući u obzir evropsku praksu u izradi standardnih ugovornih klauzula. (4) Odgovarajuće mere zaštite iz stava (1) ovog člana mogu se obezbediti i na osnovu posebnog odobrenja Poverenika: 1) ugovornim odredbama između rukovalaca ili obrađivača i rukovaoca, obrađivača ili primaoca u drugoj državi ili međunarodnoj organizaciji; 2) odredbama koje se unose u sporazum između organa vlasti, a kojima se obezbeđuje delotvorna i sprovodiva zaštita prava lica na koja se podaci odnose. (5) Poverenik daje odobrenje iz stava (3) ovog člana u roku od 60 dana od dana podnošenja zahteva za odobrenje. Prenos ili otkrivanje podataka na osnovu odluke organa druge države Član 106. Odluke suda ili upravnog organa druge države, kojima se od rukovaoca ili obrađivača u Republici Srbiji zahteva prenos ili otkrivanje podataka o ličnosti, mogu biti priznate ili izvršene u Republici Srbiji samo ako se zasnivaju na međunarodnom sporazumu, kao što je sporazum o međunarodnoj pravnoj pomoći zaključen između Republike Srbije i te druge države, što ne utiče na primenu drugih osnova za prenos u skladu sa odredbama ove glave zakona. Prenos podataka u posebnim situacijama Član 107. (1) Kada se prenos podatka o ličnosti ne vrši u skladu sa odredbama čl. 103. i 105. ovog zakona, kao i kada prenos nije zasnovan na obavezujućim poslovnim pravilima koja su usvojena i primenjuju se u skladu sa odredbama ovog zakona, podaci mogu se preneti u drugu državu ili međunarodnu organizaciju samo ako se radi o jednom od sledećih slučajeva: 1) lice na koje se podaci odnose je izričito pristalo na predloženi prenos, pošto je, zbog nepostojanja odluke o primerenom nivou zaštite i odgovarajućih mera zaštite, informisano o mogućim rizicima vezanim za taj prenos; 2) prenos je neophodan za izvršenje ugovora između lica na koje se podaci odnose i rukovaoca ili za primenu predugovornih mera preduzetih na zahtev lica na koje se podaci odnose; 3) prenos je neophodan za zaključenje ili izvršenje ugovora zaključenog u interesu lica na koje se podaci odnose između rukovaoca i drugog fizičkog ili pravnog lica; 4) prenos je neophodan za ostvarivanje važnog javnog interesa propisanog zakonom Republike Srbije, pod uslovom da prenos pojedinih vrsta podataka o ličnosti ovim zakonom nije ograničen; 5) prenos je neophodan za podnošenje, ostvarivanje ili odbranu pravnog zahteva; 6) prenos je neophodan za zaštitu životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica, ako lice na koje se podaci odnose fizički ili pravno nije u mogućnosti da daje pristanak; 7) vrši se prenos pojedinih podataka o ličnosti sadržanih u javnom registru, koji su dostupni javnosti ili bilo kom licu koje može da dokaže da ima opravdani interes, ali samo u meri u kojoj su ispunjeni zakonom propisani uslovi za uvid u tom posebnom slučaju. (2) Prenos podataka iz stava (1) tačka 7) ovog člana ne može da se odnosi na sve podatke o ličnosti ili na cele vrste podataka o ličnosti iz registra. (3) Ako se prenose podaci iz registra koji su dostupni samo licu koje ima opravdani interes, u skladu sa stavom (1) tačka 7) ovog člana, prenos se može izvršiti samo na zahtev tog lica ili ako je to lice primalac podataka. (4) Odredbe stava (1) tač. 1) do 3) ne primenjuju se na aktivnosti organa vlasti u vršenju njihovih nadležnosti. Prenos podataka u izuzetnim slučajevima Član 108. (1) Ako se prenos podataka o ličnosti ne može izvršiti u skladu sa čl. 103, 105. i 107. ovog zakona, podaci o ličnosti se mogu preneti u drugu državu ili međunarodnu organizaciju samo ako su zajedno ispunjeni sledeći uslovi: 1) prenos podataka se ne ponavlja; 2) prenose se podaci ograničenog broja fizičkih lica; 3) prenos je neophodan u cilju ostvarivanja legitimnog interesa rukovaoca koji preteže nad interesima, odnosno pravima ili slobodama lica na koje se podaci odnose; 4) rukovalac je obezbedio primenu odgovarajućih mera zaštite podataka o ličnosti na osnovu prethodne procene svih okolnosti u vezi sa prenosom ovih podataka. (2) Rukovalac, odnosno obrađivač dužni su da u evidenciji o radnjama obrade iz čl. 74. i 75. ovog zakona obezbede dokaz o izvršenoj proceni i primeni odgovarajućih mera zaštite iz stava (1) tačka 4) ovog člana. (3) Rukovalac je dužan da obavesti Poverenika o prenosu podataka izvršenom u skladu sa stavom (1) ovog člana. (4) Rukovalac je dužan da licu na koje se podaci odnose, uz informacije iz čl. 22. do 25. ovog zakona, pruži i informaciju o prenosu podataka iz stava (1) ovog člana, uključujući i informaciju o tome koji se legitimni interes rukovaoca ostvaruje takvim prenosom. (5) Odredbe stava (1) ovog člana ne primenjuju se na aktivnosti organa vlasti u vršenju njihovih nadležnosti. Međunarodna saradnja u vezi sa zaštitom podataka o ličnosti Član 109. Poverenik preduzima odgovarajuće mere u odnosima sa organima nadležnim za zaštitu podataka o ličnosti u drugim državama i međunarodnim organizacijama u cilju: 1) razvoja mehanizama međunarodne saradnje za olakšavanje delotvorne primene zakona koji se odnose na zaštitu podataka o ličnosti; 2) obezbeđivanja međunarodne uzajamne pomoći u primeni zakona koji se odnose na zaštitu podataka o ličnosti, uključujući i obaveštavanje, upućivanje na postupke zaštite i pravne pomoći u vršenju nadzora, kao i razmenu informacija, pod uslovom da su preduzete odgovarajuće mere zaštite podataka o ličnosti i osnovnih prava i sloboda; 3) angažovanja zainteresovanih strana u raspravama i aktivnostima koje su usmerene na razvoj međunarodne saradnje u primeni zakona koji se odnose na zaštitu podataka o ličnosti; 4) podsticanja i unapređivanja razmene informacija o zakonodavstvu koje se odnosi na zaštitu podataka o ličnosti i njegovoj primeni, uključujući i pitanja sukoba nadležnosti sa drugim državama u ovoj oblasti. 2. Obavezujuća poslovna pravila Uslovi za obavezujuća poslovna pravila Član 110. (1) Multinacionalno privredno društvo ili grupe privrednih subjekata mogu usvojiti i primenjivati obavezujuća poslovna pravila u cilju efikasnije primene ovog zakona kod prenosa podataka o ličnosti rukovaocu ili obrađivaču u jednoj ili više država unutar multinacionalnog privrednog društva ili grupe privrednih subjekata. (2) Obavezujuća poslovna pravila iz stava (1) ovog člana odobrava Poverenik, ako zajedno ispunjavaju sledeće uslove: 1) pravno su obavezujuća i sprovode se od strane svakog člana multinacionalnog privrednog društva ili grupe privrednih subjekata, uključujući i njihove zaposlene; 2) izričito obezbeđuju ostvarivanje prava lica na koja se podaci odnose u vezi sa obradom njihovih podataka; 3) ispunjavaju odgovarajuće zahteve u pogledu predmeta regulisanja. (3) Ako su ispunjeni uslovi iz stava (2) ovog člana, Poverenik odobrava obavezujuća poslovna pravila u roku od 60 dana od dana podnošenja zahteva za njihovo odobrenje. Predmet regulisanja obavezujućim poslovnim pravilima Član 111. (1) Obavezujućim poslovnim pravilima iz člana 110. stava (1) ovog zakona najmanje se mora odrediti: 1) struktura i kontakt podaci multinacionalnog privrednog društva ili grupe privrednih subjekata, kao i svakog od njihovih članova; 2) podatke o ličnosti ili grupe podataka o ličnosti koji se prenose, što uključuje vrste podataka o ličnosti, vrste radnji obrade i njihovu svrhu, vrste lica na koje se podaci odnose i naziv države u koju se podaci prenose; 3) obaveznost primene obavezujućih poslovnih pravila, kako u okviru multinacionalnog privrednog društva ili grupe privrednih subjekata, tako i izvan njih; 4) primena opštih načela zaštite podataka o ličnosti, a naročito ograničenja svrhe obrade, minimizacija podataka, ograničenje čuvanja, integritet podataka, mere stalne zaštite podataka, pravni osnov za obradu, obrade posebnih vrsta podataka o ličnosti, mere bezbednosti i uslovi za dalji prenos podataka o ličnosti drugim licima ili telima koja nisu obavezana obavezujućim poslovnim pravilima; 5) prava lica na koja se podaci odnose u odnosu na obradu i načine ostvarivanja tih prava u skladu sa odredbama ovog zakona, uključujući i prava u vezi sa automatizovanim donošenjem pojedinačnih odluka i profilisanjem, pravo na podnošenje pritužbe Povereniku, odnosno tužbe sudu, kao i pravo na naknadu štete zbog povrede obavezujućih poslovnih pravila; 6) prihvatanje odgovornosti rukovaoca, odnosno obrađivača sa prebivalištem, boravištem, odnosno odobrenim boravkom ili sedištem na teritoriji Republike Srbije za povredu ovih pravila koju je učinio drugi član grupe koji nema prebivalište, boravište, odnosno odobren boravak ili sedište na teritoriji Republike Srbije, osim ako rukovalac ili obrađivač dokaže da taj drugi član grupe nije odgovoran za događaj koji je prouzrokovao štetu; 7) način na koji se licu na koje se podaci odnose pružaju informacije o obavezujućim poslovnim pravilima, a posebno o odredbama tač. 4) do 6) ovog stava, uz pružanje drugih informacija iz čl. 21. do 24. ovog zakona, koje obradu čine transparentnom; 8) ovlašćenja lica za zaštitu podataka o ličnosti, određenog u skladu sa članom 90. ovog zakona, ili bilo kog drugog lica koje je ovlašćeno za nadzor nad primenom obavezujućih poslovnih pravila unutar multinacionalnog privrednog društva ili grupe privrednih subjekata, uključujući i nadzor nad obukom i odlučivanje o pritužbama unutar multinacionalnog privrednog društva ili grupe; 9) postupak koji se sprovodi po pritužbama; 10) mehanizam provere postupanja u skladu sa obavezujućim poslovnim pravilima unutar multinacionalnog privrednog društva ili grupe privrednih subjekata, koji naročito uključuje: a) reviziju zaštite podataka o ličnosti i korektivne mere za zaštitu prava lica na koje se podaci odnose; b) obavezu saopštavanja rezultata provere licu za zaštitu podataka o ličnosti, upravljačkom organu multinacionalnog privrednog društva ili grupe privrednih subjekata, kao i njihovo stavljanje na raspolaganje Povereniku, na njegov zahtev; 11) način izveštavanja i vođenja evidencije o promenama obavezujućih poslovnih pravila i način obaveštavanja Poverenika o tim promenama; 12) način saradnje sa Poverenikom u cilju obezbeđenja primene obavezujućih poslovnih pravila od strane svakog člana multinacionalnog privrednog društva ili grupe privrednih subjekata pojedinačno, a posebno način na koji se Povereniku stavljaju na raspolaganje rezultati provere iz tačke 10) podtačka b) ovog stava; 13) način izveštavanja Poverenika o pravnim obavezama koje se primenjuju prema članu multinacionalnog privrednog društva ili grupe privrednih subjekata u drugoj državi, a koji bi mogli imati značajan štetan uticaj na garancije propisane obavezujućim poslovnim pravilima; 14) odgovarajuća obuka za zaštitu podataka o ličnosti lica koja imaju trajan ili redovan pristup podacima o ličnosti. (2) Poverenik može bliže urediti način razmene informacija između rukovalaca, obrađivača i Poverenika u primeni odredbi stava (1) ovog člana. Deo drugi OBRADA PODATAKA O LIČNOSTI NADLEŽNIH ORGANA U POSEBNE SVRHE Glava VI. OBRADA PODATAKA 1. Opšte odredbe Odredbe zakona koje se primenjuju Član 112. (1) Kod obrade podataka o ličnosti koju vrše nadležni organi u posebne svrhe, primenjuju se odredbe čl. 112. do 149. ovog zakona. (2) Na pitanja obrade podataka o ličnosti od strane nadležnih organa u posebne svrhe, koja nisu uređena odredbama čl. 112. do 149. ovog zakona, shodno se primenjuju odrebe sadržane u glavi I. do V. ovog zakona. (3) Kada organi iz stava (1) ovog člana obrađuju podatke o ličnosti u svrhe koje nisu posebne primenjuju ostale odredbe ovog zakona. Zakonitost obrade Član 113. (1) Obrada koju vrši nadležni organ u posebne svrhe je zakonita samo ako je ta obrada neophodna za obavljanje poslova nadležnog organa i ako je propisana zakonom. (2) Zakonom iz stava (1) ovog člana se određuju najmanje ciljevi obrade, podaci o ličnosti koji se obrađuju i svrha obrade. Čuvanje podataka i rokovi Član 114. (1) Kod obrade podataka o ličnosti od strane nadležnog organa u posebne svrhe, mora se odrediti rok kada će se ti podaci izbrisati, odnosno rok za periodičnu ocenu potrebe njihovog čuvanja. (2) Ako rok iz stava (1) ovog člana nije određen zakonom, određuje ga rukovalac. (3) Poverenik nadzire poštovanje rokova iz st. (1) i (2) ovog člana u skladu sa svojim ovlašćenjima propisanim ovim zakonom. 2. Posebni slučajevi obrade od strane nadležnih organa Obrada posebno osetljivih podataka Član 115. Obrada koju vrši nadležni organ u posebne svrhe, čiji su predmet posebno osetljivi podaci o ličnosti iz člana 32. stav (2) ovog zakona, dopuštena je samo ako je to neophodno, uz primenu odgovarajućih mera zaštite prava lica na koje se podaci odnose, u jednom od sledećih slučajeva: 1) nadležni organ je zakonom ovlašćen da obrađuje posebno osetljive podatake o ličnosti; 2) obrada posebno osetljivih podataka o ličnosti vrši se u cilju zaštite životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica; 3) obrada se odnosi na posebno osetljive podatake o ličnosti koje je lice na koje se oni odnose očigledno učinilo dostupnim javnosti. Obrada genetičkih i biometrijskih podataka Član 116. (1) Obrada genetičkih i biometrijskih podataka od strane nadležnih organa u posebne svrhe, u cilju jedinstvene identifikacije lica nije dopuštena, osim u slučajevima propisanim zakonom u svrhu zaštite javnog interesa u demokratskom društvu. (2) Zakonom iz stava (1) ovog člana uzimaju se u obzir sledeći kriterijumi: da se ovaj interes ne može zaštititi na drugi način, da interes ostvarivanja svrhe obrade preteže nad interesom zaštite osnovnih prava i sloboda lica na koje se podaci odnose i da je obim podataka koji se obrađuju srazmeran u odnosu na svrhu obrade. (3) Zakonom iz stava (1) ovog člana određuju se rukovaoci, svrhe obrade i propisuju ciljevi obrade, podaci o ličnosti koji se obrađuju i način njihove obrade, primaoci podataka, mere bezbednosti podataka, rokovi čuvanja, brisanje podataka, kao i mere zaštite osnovnih prava i interesa lica na koje se podaci odnose. (4) Zabranjena je daljinska, masovna i neselektivna biometrijska identifikacija lica upotrebom sistema video nadzora. Obrada u druge svrhe Član 117. (1) Podaci o ličnosti koji su prikupljeni od strane nadležnog organa u posebne svrhe ne mogu se obrađivati u svrhu koja je različita od svrhe za koju su podaci prikupljeni, osim ako je ta dalja obrada propisana zakonom. (2) Obrada u posebne svrhe iz stava (1) ovog člana dozvoljena je ako su zajedno ispunjeni sledeći uslovi: 1) rukovalac je ovlašćen da obrađuje te podatke o ličnosti u takve druge svrhe, u skladu sa zakonom; 2) obrada je neophodna i srazmerna toj drugoj svrsi, u skladu sa zakonom. (3) Obrada koju vrši nadležni organ u posebne svrhe može da obuhvati arhiviranje podataka o ličnosti u javnom interesu, odnosno njihovo korišćenje u naučne, statističke ili istorijske svrhe, pod uslovom da se primenjuju odgovarajuće tehničke, organizacione i kadrovske mere u cilju zaštite prava i sloboda lica na koje se podaci odnose. Provera kvaliteta podataka o ličnosti i njihov prenos Član 118. (1) Nadležni organ koji obrađuje podatke o ličnosti u posebne svrhe je dužan da korišćenjem razumnih mera obezbedi da se netačni, nepotpuni i neažurirani podaci o ličnosti ne prenose, odnosno da ne budu dostupni. (2) Tačnost, potpunost i ažuriranost podataka o ličnosti nadležni organ proverava, u meri u kojoj je to moguće, pre započinjanja prenosa, odnosno pre nego što se ti podaci učine dostupnim. (3) Nadležni organ koji drugom nadležnom organu prenosi podatke o ličnosti koji se obrađuju u posebne svrhe dužan je da mu, u meri u kojoj je to moguće, dostavi i informacije koje su neophodne za ocenu stepena tačnosti, potpunosti, proverenosti, odnosno pouzdanosti podataka o ličnosti, kao i da mu dostavi obaveštenje o ažuriranosti tih podataka. (4) Ako su preneti netačni podaci o ličnosti, odnosno ako su podaci o ličnosti preneti nezakonito, nadležni organ koji prenosi podatke o tome bez odlaganja obaveštava primaoca, a preneti podaci moraju biti ispravljeni ili izbrisani, odnosno njihova obrada mora biti ograničena u skladu sa ovim zakonom. (5) Kada se za obradu zakonom zahtevaju posebni uslovi, nadležni organ koji prenosi podatke o ličnosti koji se obrađuju u posebnu svrhu dužan je da upozna primaoca podataka sa tim posebnim uslovima, kao i obavezom njihovog ispunjenja. 3. Razlikovanje kategorija lica i vrsta podataka Kategorije lica na koje se podaci odnose Član 119. Kada se radi o podacima o ličnosti koje obrađuje nadležni organ u posebne svrhe, rukovalac je dužan da prilikom njihove obrade, ako je to moguće, napravi jasnu razliku između podataka koji se odnose na pojedine kategorije lica o kojima se podaci obrađuju, kao što su: 1) lica protiv kojih postoje osnovi sumnje da su izvršila ili nameravaju da izvrše krivično delo; 2) lica protiv kojih postoji osnovana sumnja da su izvršila krivično delo; 3) lica koja su osuđena za krivično delo; 4) lica oštećena krivičnim delom ili lica za koja se pretpostavlja da bi mogla biti oštećena krivičnim delom; 5) druga lica koja su u vezi sa krivičnim delom, kao što su svedoci, lica koja mogu da obezbede informacije o krivičnom delu, povezana lica ili saradnici sa licem iz tač. 1) do 3) ovog člana. Vrsta podataka o ličnosti koji se obrađuju Član 120. Kada se radi o podacima o ličnosti koje obrađuje nadležni organ u posebne svrhe, rukovalac je dužan da, u meri u kojoj je to moguće, podatke o ličnosti koji su zasnovani isključivo na činjeničnom stanju jasno izdvoji od podataka o ličnosti koji su zasnovani na ličnoj oceni. Glava VII. PRAVA LICA 1. Informisanje i načini ostvarivanja prava lica na koje se odnose podaci Osnovna odredba Član 121. (1) Kada obradu vrši nadležni organ u posebne svrhe, rukovalac je dužan da preduzme razumne mere da bi licu na koje se podaci odnose pružio informacije u vezi sa obradom njegovih podataka o ličnosti, odnosno informacije u vezi sa ostvarivanjem prava povodom obrade podataka o ličnosti, propisane odredbama ove glave zakona. (2) Informacije iz stava (1) ovog člana rukovalac pruža na bilo koji primeren način, uključujući i elektronskim putem, korišćenjem jasnih i jednostavnih reči, koje omogućavaju sažeto, razumljivo i lako dostupno informisanje o obradi podataka o ličnosti, odnosno pravima lica čiji se podaci obrađuju. (3) Po pravilu, rukovalac iz stava (1) ovog člana pruža informacije na način na koji je zahtev dostavljen, odnosno u obliku u kojem je sadržan zahtev lica na koje se podaci odnose. (4) Rukovalac iz stava (1) ovog člana dužan je da pruži pomoć licu na koje se podaci odnose u ostvarivanju njegovih prava povodom obrade podataka o ličnosti propisanih odredbama ove glave zakona. Rok za pružanje informacija po zahtevu i troškovi Član 122. (1) Kada obradu vrši nadležni organ u posebne svrhe, rukovalac je dužan da licu na koje se podaci odnose bez odlaganja, u pismenom obliku, pruži informacije o postupanju po njegovom zahtevu iz člana 121. stav (3) ovog zakona. (2) Rukovalac iz stava (1) ovog člana pruža informacije, odnosno postupa po zahtevu za ostvarivanje prava lica čiji se podaci obrađuju u skladu sa odredbama ove glave zakona, bez naknade. (3) Ako je zahtev lica na koje se podaci odnose iz stava (2) ovog člana očigledno neosnovan ili preteran, a posebno ako se isti zahtev učestalo ponavlja, rukovalac može da: 1) naplati nužne administrativne troškove pružanja informacije, odnosno postupanja po zahtevu; 2) odbije da postupi po zahtevu. (4) Teret dokazivanja da je zahtev očigledno neosnovan ili preteran leži na rukovaocu. (5) Ako rukovalac iz stava (1) ovog člana opravdano sumnja u identitet lica koje je podnelo zahtev za pristup podacima, za ispravku, dopunu, ažuriranje ili brisanje podataka, kao i za ograničenje obrade, rukovalac može da zahteva dostavljanje dodatnih informacija neophodnih za potvrdu identiteta tog lica. Informacije koje se stavljaju na raspolaganje licu na koje se podaci odnose Član 123. (1) Kada obradu vrši nadležni organ u posebne svrhe, rukovalac je dužan da licu na koje se podaci o ličnosti odnose stavi na raspolaganje ili pruži najmanje sledeće informacije: 1) o nazivu i kontakt podacima rukovaoca; 2) kontakt podatke lica za zaštitu podataka o ličnosti, ako je ono određeno; 3) o svrsi nameravane obrade; 4) o pravu da se podnese pritužba Povereniku i kontakt podatke Poverenika; 5) o postojanju prava da se od rukovaoca zahteva pristup, ispravka, dopuna, ažuriranje ili brisanje njegovih podataka o ličnosti, odnosno postojanju prava na ograničenje obrade tih podataka. (2) Kada je u određenim slučajevima za ostvarivanje prava lica na koje se podaci odnose to neophodno, rukovalac je dužan da licu, uz informacije iz stava (1) ovog člana, pruži sledeće dodatne informacije: 1) o pravnom osnovu za obradu; 2) o roku čuvanja podataka o ličnosti ili, ako to nije moguće, o kriterijumima za njegovo određivanje; 3) o grupi primalaca podataka o ličnosti, ako oni postoje, uključujući i one u drugim državama ili međunarodnim organizacijama; 4) druge podatke, ako je to neophodno, a posebno ako su podaci o ličnosti prikupljeni bez znanja lica na koje se odnose. Ograničenje pružanja informacija Član 124. (1) Kada obradu vrši nadležni organ u posebne svrhe, rukovalac može uskratiti informacije iz člana 123. ovog zakona koje se odnose na pojedine vrste obrade, odnosno pružiti ih u ograničenom obimu ili naknadno licu na koje se podaci o ličnosti odnose, samo u onoj meri i u onom trajanju dok je to neophodno i srazmerno u demokratskom društvu u odnosu na poštovanje osnovnih prava i legitimnih interesa fizičkih lica, kako bi se: 1) izbeglo ometanje zakonom uređenog prikupljanja informacija; 2) omogućilo sprečavanje, istraga i otkrivanje krivičnih dela i prekršaja, gonjenje njihovih učinilaca, vođenje postupka ili izvršenje izrečenih sankcija; 3) zaštitila nacionalna bezbednost, a naročito odbrana zemlje, obavljanje bezbednosno-obaveštajnih poslova, kao i unutrašnja bezbednost, uključujući javnu bezbednost; 4) zaštitila prava i slobode drugih lica. (2) Zakonom se mogu odrediti vrste obrade koje, u celini ili delimično, mogu biti obuhvaćene nekim od slučajeva iz stava (1) ovog člana. 2. Prava lica na koje se podaci o ličnosti odnose Pravo na pristup podacima Član 125. (1) Kada podatke o ličnosti obrađuje nadležni organ u posebne svrhe, lice na koje se podaci odnose ima pravo da od rukovaoca dobije informaciju o tome da li obrađuje njegove podatke o ličnosti i pristup tim podacima, u slučaju njihove obrade. (2) Ako rukovalac iz stava (1) ovog člana obrađuje podataka o ličnosti, lice na koje se podaci odnose ima, pored prava pristupa tim podacima, pravo da mu se učine dostupnim i informacije iz člana 54. stav (2) tač. 1) do 7) ovog zakona. (3) Pravo na pristup iz stava (1) ovog člana može se ograničiti, u celini ili delimično, samo u onoj meri i u onom trajanju u kome je takvo delimično ili potpuno ograničenje neophodno i predstavlja srazmernu meru u demokratskom društvu, uz poštovanje osnovnih prava i legitimnih interesa lica čiji se podaci obrađuju, kako bi se zaštitio javni interes iz člana 124. stav (1) ovog zakona. (4) Zakonom se mogu odrediti vrste obrade koje, u celini ili delimično, mogu biti obuhvaćene ograničenjem u nekim od slučajeva zaštite javnog interesa iz člana 124. stav (1) ovog zakona. (5) Rukovalac je dužan da pismeno obavesti lice na koje se podaci odnose da je pristup njegovim podacima o ličnosti odbijen ili ograničen, kao i o razlozima za odbijanje ili ograničenje, bez nepotrebnog odlaganja, a najkasnije u roku od 15 dana od dana prijema zahteva za pristup podacima. (6) Rukovalac nije dužan da postupi u skladu sa stavom (5) ovog člana ako bi se time dovelo u pitanje ostvarivanje svrhe zbog koje je pristup odbijen ili ograničen. (7) U slučaju iz stava (6) ovog člana, kao i u slučaju ako se u postupku po zahtevu za pristup podacima utvrdi da se podaci o ličnosti podnosioca zahteva ne obrađuju, rukovalac ima obavezu da bez nepotrebnog odlaganja, a najkasnije u roku od 15 dana od dana prijema zahteva, pismeno obavesti podnosioca zahteva da je proverom utvrđeno da ne obrađuje podatke o ličnosti u vezi kojih se mogu ostvariti prava predviđena zakonom, kao i da se može pritužbom obratiti Povereniku, odnosno tužbom sudu. (8) Rukovalac je dužan da dokumentuje činjenične i pravne razloge za ograničenje prava na pristup podacima, koji moraju biti stavljeni na raspolaganje Povereniku, na njegov zahtev. Pravo na ispravku, brisanje ili ograničenje obrade Član 126. (1) Kada obradu vrši nadležni organ u posebne svrhe, lice na koje se podaci odnose ima pravo da zahteva da se njegovi netačni, nepotpuni ili neažurirani podaci o ličnosti bez nepotrebnog odlaganja isprave, dopune ili ažuriraju, odnosno da se izbrišu ili ograniči njihova obrada od strane rukovaoca. (2) Rukovalac iz stava (1) ovog člana dužan je da bez nepotrebnog odlaganja izbriše podatke ako su obradom povređene odredbe ovog zakona kojima se uređuju načela obrade, zakonitost obrade od strane nadležnih organa u posebne svrhe i obrada posebno osetljivih podataka o ličnosti od strane nadležnih organa u posebne svrhe ili ako podaci o ličnosti moraju biti izbrisani zbog ispunjenja zakonske obaveze rukovaoca. (3) Rukovalac iz stava (1) ovo člana dužan je da ograniči obradu, umesto da izbriše podatke o ličnosti, ako se radi o jednom od sledećih slučajeva: 1) tačnost podataka o ličnosti je osporena od strane lica na koje se podaci odnose, a njihova tačnost, odnosno netačnost se ne može utvrditi; 2) podaci o ličnosti moraju biti sačuvani u cilju prikupljanja i obezbeđivanja dokaza. (4) Ako je obrada ograničena u skladu sa stavom (3) tačka 1) ovog člana, rukovalac je dužan da informiše lice na koje se podaci odnose o prestanku ograničenja, pre nego što ograničenje prestane da važi. Pravo na obaveštenje u vezi sa ispravkom ili brisanjem podataka i ograničenjem obrade Član 127. (1) Kada obradu podataka o ličnosti vrši nadležni organ u posebne svrhe, rukovalac je dužan da pismeno obavesti lice na koje se podaci odnose o odbijanju ispravljanja, dopune, ažuriranja ili brisanja njegovih podataka o ličnosti, odnosno ograničavanju obrade, kao i o razlozima za to odbijanje. (2) Rukovalac je potpuno ili delimično oslobođen obaveze obaveštavanja iz stava (1) ovog člana u onoj meri u kojoj takvo ograničenje predstavlja neophodnu i srazmernu meru u demokratskom društvu, uz dužno poštovanje osnovnih prava i legitimnih interesa lica čiji se podaci obrađuju, kako bi se zaštitio javni interes iz člana 124. stav (1) ovog zakona. (3) U slučaju iz st. (1) i (2) ovog člana, rukovalac je dužan da informiše lice na koje se podaci odnose da se može pritužbom obratiti Povereniku, odnosno tužbom sudu. (4) Rukovalac iz stava (1) ovog člana dužan je da o ispravci netačnih podataka obavesti drugi nadležni organ, ako su ovi podaci dobijeni od tog organa. (5) Kada su podaci o ličnosti ispravljeni, dopunjeni, ažurirani, izbrisani ili je njihova obrada ograničena u skladu sa članom 55. i članom 126. st. (2) i (3) ovog zakona, rukovalac je dužan da primaoce podataka obavesti o tome. (6) Primaoci podataka koji su obavešteni u skladu sa stavom (5) ovog člana dužni su da podatke koji se kod njih nalaze isprave, dopune, ažuriraju, odnosno izbrišu ili ograniče njihovu obradu. Provera Poverenika Član 128. (1) U slučajevima ograničenja prava iz člana 124. stav (1), člana 125. st. (5) i (6) i člana 127. stav (2) ovog zakona, prava lica na koje se podaci odnose mogu se ostvariti i preko Poverenika, u skladu sa njegovim ovlašćenjima propisanim ovim zakonom. (2) Rukovalac je dužan da obavesti lice na koje se podaci odnose da u slučajevima iz stava (1) ovog člana može da ostvari svoja prava preko Poverenika. (3) Ako se, u slučajevima iz stava (1) ovog člana, prava lica na koje se podaci odnose ostvaruju preko Poverenika, Poverenik je dužan da obavesti to lice najmanje o tome da je izvršena provera ili nadzor nad obradom njegovih podataka o ličnosti, kao i o pravu da se za zaštitu svojih prava može obratiti sudu. Automatizovano donošenje pojedinačnih odluka i profilisanje Član 129. (1) Zabranjeno je donošenje odluke isključivo na osnovu automatizovane obrade podataka o ličnosti koju vrši nadležni organ u posebne svrhe, uključujući i profilisanje, ako takva odluka može da proizvede štetne pravne posledice po lice na koje se podaci odnose ili značajno utiče na položaj tog lica. (2) Izuzetno, dozvoljeno je donošenje odluke iz stava (1) ovog člana pod uslovom da je takvo odlučivanje zasnovano na zakonu i ako su tim zakonom propisane odgovarajuće mere zaštite prava i sloboda lica na koje se podaci odnose, a najmanje pravo da se obezbedi učešće fizičkog lica, pod kontrolom rukovaoca, u donošenju odluke. (3) Odluka iz stava (2) ovog člana ne može se zasnivati na posebno osetljivim podacima o ličnosti iz člana 115. ovog zakona, osim ako se primenjuju odgovarajuće mere zaštite prava, sloboda i legitimnih interesa lica na koje se podaci odnose. (4) Zabranjeno je profilisanje koje dovodi do diskriminacije fizičkih lica na osnovu posebno osetljivih podataka o ličnosti iz člana 115. ovog zakona. Glava VIII. NADLEŽNI ORGANI U ULOZI RUKOVAOCA I OBRAĐIVAČA 1. Rukovalac, zajednički rukovaoci i obrađivač Obaveze Član 130. (1) Na obaveze nadležnog organa, kada obrađuje podatke o ličnosti u posebne svrhe, u pogledu dužnosti preduzimanja odgovarajućih tehničkih, organizacionih i kadrovskih mera kako bi obezbedio da se obrada vrši u skladu sa ovim zakonom, uključujući i mogućnost da predoči ispunjenja ovih obaveza, primenjuju se odredbe čl. 67. i 69. ovog zakona, kojima se uređuju obaveze rukovaoca, odnosno obrađivača. (2) Rukovalac, odnosno obrađivač ne mogu se u cilju predočavanja ispunjenosti obaveza iz stava (1) ovog člana pozivati na primenu izdatog sertifikata iz člana 91. ovog zakona ili odobrenog kodeksa postupanja iz člana 98. ovog zakona. Nadležni organi kao zajednički rukovaoci Član 131. (1) Kada dva ili više nadležnih organa, koji obrađuju podatke o ličnosti u posebne svrhe, zajednički određuju svrhu i način obrade, na njih se primenjuju odredbe člana 68. ovog zakona, kojima se uređuju zajednički rukovaoci. (2) Kada odgovornost svakog od zajedničkih rukovalaca iz stava (1) ovog člana za poštovanje obaveza uređenih ovim zakonom nije propisana zakonom koji se primenjuje na rukovaoca, zajednički rukovaoci sporazumom određuju ovu odgovornost. (3) Sporazum zajedničkih rukovalaca iz stava (2) ovog člana ne sadrži odredbe o određivanju lica za kontakt sa licem na koje se podaci odnose,uređenju odnosa svakog od zajedničkih rukovalaca sa tim licem, kao i o dostupnosti suštine ovog sporazuma tom licu. Odnos nadležnog organa kao rukovaoca prema obrađivaču Član 132. (1) Nadležni organ u statusu rukovaoca koji obrađuju podatke o ličnosti u posebne svrhe, može da odredi obrađivača koji vrši obradu u njegovo ime, u kom slučaju se primenjuju odredbe čl. 69. do 71. ovog zakona, kojima se uređuju obaveze obrađivača, pravna uređenost obrade od strane obrađivača i pravna uređenost obrade od strane drugog obrađivača, ako odredbama ovog člana nije drugačije propisano. (2) Rukovalac iz stava (1) ovog člana može za obrađivača odrediti samo ono lice ili organ vlasti koji u potpunosti garantuje primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera, na način koji obezbeđuje da se obrada vrši u skladu sa odredbama ovog zakona i da se obezbeđuje zaštita prava lica na koje se podaci odnose. (3) Obrada od strane obrađivača iz stava (1) ovog člana mora biti uređena ugovorom ili drugim pravno obavezujućim aktom, kojim se propisuje se da je obrađivač dužan da: 1) obrađuje podatke o ličnosti samo na osnovu uputstava rukovaoca; 2) obezbedi da se lice koje je ovlašćeno da obrađuje podatke obavezalo na čuvanje poverljivosti podataka ili da to lice podleže zakonskoj obavezi čuvanja poverljivosti podataka; 3) pomaže na odgovarajući način rukovaocu u ispunjavanju njegove obaveze poštovanja odredbi o pravima lica na koje se podaci odnose iz čl. 125. do 129. ovog zakona; 4) posle okončanja ugovorenih radnji obrade, a na osnovu odluke rukovaoca, izbriše ili mu vrati sve podatke o ličnosti i izbriše sve kopije ovih podataka, osim ako je zakonom propisana obaveza čuvanja podataka; 5) učini dostupnim rukovaocu sve informacije koje su neophodne za predočavanje ispunjenosti obaveza obrađivača propisanih ovim članom; 6) Obezbedi poštovanje uslova iz člana 69. st. (3) i (4) ovog zakona u pogledu ovlašćenja za poveravanja obrade drugom obrađivaču i informisanja rukovaoca o nameri poveravanja obrade drugom obrađivaču, kao i uslova iz člana 70. st. (1) i (2) ovog zakona u pogledu forme i sadržine posebnog ugovora ili drugog pravno obavezujućeg akta, ako poverava obradu drugom obrađivaču. (4) Pravni odnos između rukovaoca i obrađivača koji se uređuje u skladu sa stavom (3) ovog člana, ne može biti zasnovan na standardnim ugovornim klauzulama iz člana 70. stav (4) ovog zakona, uključujući i one koje su vezane za sertifikat koji je izdat rukovaocu ili obrađivaču u skladu sa članom 97. stav (2) ovog zakona. (5) Obrađivač iz stava (1) ovog člana ne može se pozivati na primenu izdatog sertifikata iz člana 91. ovog zakona ili odobrenog kodeksa postupanja iz člana 98. ovog zakona, kako bi predočio da ispunjava obaveze pružanja garancija iz stava (2) ovog člana. 2. Evidencija radnji obrade nadležnih organa Evidencija rukovaoca Član 133. (1) Kada obradu podataka o ličnosti vrši nadležni organ u posebne svrhe, rukovalac je dužan da vodi evidenciju o svim vrstama radnji obrade za koje je odgovoran. (2) Na sadržinu evidencija iz stava (1) ovog člana shodno se primenjuju odredbe člana 74. ovog zakona. (3) Pored podataka iz člana 74. ovog zakona, evidencija radnji obrade nadležnog organa kada obrađuje podatke o ličnosti u posebne svrhe, sadrži i informacije o: 1) korišćenju profilisanja, ako se profilisanje koristi; 2) vrstama prenosa podataka o ličnosti u druge države ili međunarodne organizacije, ako se takav prenos podataka o ličnosti vrši; 3) pravnom osnovu za postupak obrade, uključujući i prenos podataka o ličnosti. Evidencija obrađivača Član 134. (1) Kada obradu vrši nadležni organ u posebne svrhe, svaki obrađivač je dužan da vodi evidenciju o svim vrstama radnji obrade koje se vrše u ime rukovaoca. (2) Na sadržinu evidencija iz stava (1) ovog člana shodno se primenjuju odredbe člana 75. ovog zakona. Beleženje radnji obrade u sistemima za automatizovanu obradu podataka Član 135. (1) Nadležni organ koji obrađuje podatke u posebne svrhe dužan je da obezbedi da se prilikom upotrebe sistema automatizovane obrade podataka o ličnosti u tom sistemu beleže najmanje sledeće radnje obrade: unos, menjanje, uvid, otkrivanje, uključujući i prenos, upoređivanje i brisanje. (2) Beleženje uvida i otkrivanja podataka o ličnosti iz stava (1) ovog člana mora da omogući utvrđivanje razloga za vršenje ovih radnji obrade, datuma i vremena preduzimanja radnji obrade i, ako je to moguće, identiteta lica koje je izvršilo uvid ili otkrilo podatke o ličnosti, kao i identiteta primaoca ovih podataka. (3) Beleženje iz stava (1) ovog člana može biti korišćeno isključivo u svrhu ocene zakonitosti obrade, internog nadzora, obezbeđivanja integriteta i bezbednosti podataka, kao i pokretanja i vođenja krivičnog postupka. Rok čuvanja i dostavljanje podataka Povereniku Član 136. (1) Evidencije iz čl. 133. i 134. ovog zakona, vode se u pismenom obliku, što obuhvata i elektronski oblik i čuvaju se trajno. (2) Zapis nastao beleženjem iz člana 135. ovog zakona čuva se trajno. (3) Rukovalac ili obrađivač dužni su da evidencije iz stava (1) ovog člana, odnosno zapis iz stava (2) ovog člana učine dostupnim Povereniku, na njegov zahtev. 3. Bezbednost obrade Osnovna odredba Član 137. (1) Kada obradu vrši nadležni organ u posebne svrhe, u skladu sa nivoom tehnoloških dostignuća i troškovima njihove primene, prirodom, obimom, okolnostima i svrhom obrade, kao i verovatnoćom nastupanja rizika i nivoom rizika za prava i slobode fizičkih lica, rukovalac i obrađivač sprovode odgovarajuće tehničke, organizacione i kadrovske mere kako bi dostigli odgovarajući nivo bezbednosti u odnosu na rizik, a posebno ako se radi o obradi posebno osetljivih podataka o ličnosti iz člana 115. ovog zakona. (2) Na obavezu rukovaca i obrađivača iz stava (1) ovog člana shodno se primenjuju odredbe čl. 78. do 81. ovog zakona. Mere bezbednosti podataka u slučaju automatizovane obrade Član 138. Na osnovu procene rizika za prava i slobode fizičkih lica, rukovalac ili obrađivač iz člana 137. ovog zakona, koji obrađuje podatke o ličnosti u sistemima za automatizovanu obradu podataka u obavezi je da primeni odgovarajuće tehničke, organizacione i kadrovske mere zaštite, koje obezbeđuju da se: 1) onemogući neovlašćenom licu pristup opremi koja se koristi za obradu (“kontrola pristupa opremi”); 2) spreči neovlašćeno čitanje, umnožavanje, izmena ili uklanjanje nosača podataka (“kontrola nosača podataka”); 3) spreči neovlašćeno unošenje podataka o ličnosti, kao i neovlašćena izmena, brisanje i kontrola pohranjenih podataka o ličnosti (“kontrola skladištenja”); 4) spreči korišćenje sistema za automatizovanu obradu od strane neovlašćenog lica, upotrebom opreme za prenos podataka (“kontrola upotrebe”); 5) osigura da lice koje je ovlašćeno za korišćenje sistema za automatizovanu obradu ima pristup samo onim podacima o ličnosti na koje se odnosi njegovo ovlašćenje za pristup podacima (“kontrola pristupa podacima”); 6) može proveriti, odnosno ustanoviti kome su podaci o ličnosti preneti, mogu biti preneti ili učinjeni dostupnim, upotrebom opreme za prenos podataka (“kontrola prenosa”); 7) može naknadno proveriti, odnosno utvrditi koji su podaci o ličnosti uneti u sistem automatizovane obrade, od strane kog lica i kada su uneti (“kontrola unosa”); 8) spreči neovlašćeno čitanje, umnožavanje, izmena ili brisanje podataka o ličnosti u toku njihovog prenosa ili u toku prevoza nosača podataka (“kontrola prevoza”); 9) ponovo uspostavi instalirani sistem u slučaju prekida njegovog rada (“obnavljanje sistema”); 10) osigura da sistem ispravno radi i da se greške u radu sistema uredno prijavljuju (“pouzdanost”), kao i da se uskladišteni podaci o ličnosti ne mogu ugroziti zbog nedostataka u radu sistema (“integritet”). Obaveštavanje Poverenika o povredi podataka o ličnosti Član 139. (1) Na obavezu obaveštavanja Poverenika o povredi podataka o ličnosti od strane nadležnog organa koji obrađuje podatke o ličnosti u posebne svrhe, shodno se primenjuju odredbe člana 82. ovog zakona. (2) Rukovalac iz stava (1) ovog člana dužan je da obezbedi primenu efektivnih mehanizama poverljivog prijavljivanja slučajeva povrede ovog zakona Povereniku. (3) Ako se radi o povredi podataka o ličnosti koji su preneti rukovaocu u drugoj državi ili međunarodnoj organizaciji, rukovalac iz stava (1) ovog člana dužan je da bez nepotrebnog odlaganja dostavi informacije iz člana 82. stava (4) ovog zakona rukovaocu u toj državi ili međunarodnoj organizaciji, u skladu sa međunarodnim sporazumom. Obaveštavanje lica o povredi podataka o ličnosti Član 140. (1) Nadležni organ koji obrađuje podatke o ličnosti u posebne svrhe u obavezi je da o povredi podataka o ličnosti obavesti lice na koje se podaci odnose u skladu sa odredbama člana 83. ovog zakona. (2) Rukovalac iz stava (1) ovog člana može odložiti ili ograničiti obaveštavanje lica na koje se podaci odnose, u skladu sa uslovima i na osnovu razloga iz člana 124. stav (1) ovog zakona. 4. Procena uticaja obrade i mišljenje Poverenika Procena uticaja na zaštitu podataka o ličnosti Član 141. (1) Na obavezu nadležnog organa koji obrađuje podatke o ličnosti u posebne svrhe da, pre nego što započne sa obradom, izvrši procenu uticaja predviđenih radnji obrade na zaštitu podataka o ličnosti, shodno se primenjuju odredbe čl. 84. i 85. ovog zakona. (2) Procena uticaja radnji obrade iz stava (1) ovog člana najmanje mora da sadrži sveobuhvatan opis predviđenih radnji obrade, procenu rizika po prava i slobode lica na koje se podaci odnose, opis mera koje se nameravaju preduzeti u odnosu na postojanje rizika, uključujući mehanizme zaštite, kao i tehničke, organizacione i kadrovske mere u cilju zaštite podatka o ličnosti i obezbeđivanja dokaza o poštovanju odredbi ovog zakona, uzimajući u obzir prava i legitimne interese lica na koje se podaci odnose i drugih lica. (3) Prilikom procene uticaja radnji obrade na zaštitu podataka o ličnosti rukovalac, odnosno obrađivač iz stava (1) ovog člana ne mogu se u pozivati na primenu odobrenog kodeksa postupanja iz člana 98. ovog zakona. Prethodno mišljenje Poverenika Član 142. (1) Kada obradu podataka o ličnosti vrši nadležni organ u posebne svrhe, rukovalac, odnosno obrađivač je dužan da zatraži mišljenje Poverenika pre započinjanja radnji obrade koje će dovesti do stvaranja nove zbirke podataka u slučaju da: 1) procena uticaja na zaštitu podataka o ličnosti, koja je izvršena u skladu sa članom 141. ovog zakona, ukazuje da će nameravane radnje obrade proizvesti visok rizik i nakon preduzimanja mera za smanjenje rizika, odnosno preostali rizik je i dalje visok; 2) vrsta obrade, a posebno ako se koriste nove tehnologije, mehanizmi zaštite ili postupci, predstavljaju visok rizik za prava i slobode lica na koje se podaci odnose. (2) U postupku pribavljanja mišljenja iz stava (1) ovog člana rukovalac je dužan da Povereniku dostavi podatke o proceni uticaja na zaštitu podataka o ličnosti, a na zahtev Poverenika i druge informacije koje su od značaja za njegovo mišljenje o radnjama obrade, a posebno riziku po zaštitu podataka o ličnosti lica na koje se podaci odnose i mehanizmima zaštite njegovih prava. (3) Na postupanje Poverenika po zahtevu za mišljenje iz stava (1) ovog člana, primenjuju se odredbe člana 87. ovog zakona, kao i odredbe ovog zakona kojima se uređuju ovlašćenja Poverenika. 5. Lice za zaštitu podataka o ličnosti Obaveza određivanja Član 143. (1) Nadležni organ koji obrađuju podatke o ličnosti u posebne svrhe, dužan je da odrede lice za zaštitu podataka o ličnosti, osim ako se radi o obradi od strane sudova u vršenju poslova iz sudske nadležnosti. (2) Rukovaoci ili obrađivači iz stava (1) ovog člana mogu odrediti zajedničko lice za zaštitu podataka o ličnosti, uzimajući u obzir organizacionu strukturu i njihovu veličinu. Položaj i obaveze Član 144. Na druga pitanja u vezi sa određivanjem lica za zaštitu podataka o ličnosti od strane nadležnog organa koji obrađuje podatke o ličnosti u posebne svrhe, uključujući njegove stručne kvalifikacije i sposobnosti za izvršavanje obaveza, radno-pravni status, položaj i obaveze, primenjuju se odredbe čl. 88. do 90. ovog zakona, izuzev odredbi člana 89. st. (1) do (5) i (8) i člana 90. stava 1. tač. 1) i 2), koje se ne primenjuju na obrađivača. Glava IX. PRENOS PODATAKA OD STRANE NADLEŽNIH ORGANA U DRUGE DRŽAVE I MEĐUNARODNE ORGANIZACIJE 1. Osnovne odredbe Uslovi prenosa Član 145. Prenos podataka o ličnosti koje obrađuje nadležni organ u posebne svrhe, čija je obrada u toku ili su namenjeni daljoj obradi posle njihovog prenosa u drugu državu ili međunarodnu organizaciju, može se izvršiti samo ako su zajedno ispunjeni sledeći uslovi: 1) prenos je neophodno izvršiti u posebne svrhe; 2) podaci o ličnosti se prenose rukovaocu u drugoj državi ili međunarodnoj organizaciji koji je nadležan organ za obradu podataka u posebne svrhe; 3) Vlada je utvrdila listu država, delova njihovih teritorija ili jednog ili više sektora određenih delatnosti u tim državama i međunarodnih organizacija koje obezbeđuju primereni nivo zaštite podataka o ličnosti u skladu sa članom 104. ovog zakona, a prenos podataka se vrši u jednu od tih država, na deo njene teritorije ili u jedan ili više sektora određene delatnosti u toj državi ili u međunarodnu organizaciju, ili je, ako to nije slučaj, primena odgovarajućih mera zaštite obezbeđena u skladu sa članom 105. ovog zakona, ili se, ako njihova primena nije obezbeđena, primenjuju odredbe o prenosu podataka u posebnim situacijama iz člana 107. ovog zakona. Dalji prenos podataka o ličnosti Član 146. Kada se ukaže potreba daljeg prenosa podataka o ličnosti iz druge države ili međunarodne organizacije u treću državu ili međunarodnu organizaciju, nadležni organ koji je izvršio prvi prenos ili drugi nadležni organ u Republici Srbiji koji odobrava dalji prenos, donosi odluku o prenosu nakon što je uzeo u obzir sve okolnosti od značaja za dalji prenos, uključujući težinu krivičnog dela, svrhu prvog prenosa i nivo zaštite podataka o ličnosti u trećoj državi ili međunarodnoj organizaciji u koju se podaci dalje prenose. 2. Slučajevi prenosa podataka od strane nadležnih organa Prenos uz primenu odgovarajućih mera zaštite Član 147. (1) Prenos podataka o ličnosti koje obrađuje nadležni organ u posebne svrhe u drugu državu, na deo njene teritorije ili u jedan ili više sektora određenih delatnosti u toj državi ili u međunarodnu organizaciju za koju listom iz člana 104. stav (4) ovog zakona nije utvrđeno postojanje primerenog nivoa zaštite, dopušten je u jednom od sledećih slučajeva: 1) ako su odgovarajuće mere zaštite podataka o ličnosti propisane u pravno obavezujućem aktu; 2) ako je rukovalac ocenio sve okolnosti koje se odnose na prenos podataka o ličnosti i utvrdio da odgovarajuće mere zaštite podataka o ličnosti postoje. (2) Rukovalac je dužan da obavesti Poverenika o prenosu koji je izvršen na osnovu stava (1) tačka 2) ovog člana. (3) Rukovalac je dužan da dokumentuje prenos koji je izvršen na osnovu stava (1) tačka 2) ovog člana, kao i da dokumentaciju o prenosu stavi na raspolaganje Povereniku, na njegov zahtev. (4) Dokumentacija o prenosu iz stava (3) ovog člana sadrži informacije o datumu i vremenu prenosa, nadležnom organu koji prima podatke, razlozima za prenos i podacima koji su preneti. Posebne situacije prenosa podataka nadležnih organa Član 148. (1) Kada se prenos podatka o ličnosti koje obrađuju nadležni organi u posebne svrhe ne vrši u skladu sa odredbama čl. 145. i 147. ovog zakona, ovi podaci mogu se preneti u drugu državu ili međunarodnu organizaciju samo ako je takav prenos neophodan u jednom od sledećih slučajeva: 1) u cilju zaštite životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica; 2) u cilju zaštite legitimnih interesa lica na koje se podaci odnose, ako je to predviđeno zakonom; 3) u cilju sprečavanja neposredne i ozbiljne opasnosti za bezbednost Republike Srbije ili druge države; 4) u pojedinačnom slučaju, ako je u pitanju obrada u posebne svrhe; 5) u pojedinačnom slučaju, u cilju podnošenja, ostvarivanja ili odbrane pravnog zahteva, ako je taj cilj neposredno u vezi sa posebnim svrhama. (2) Prenos podataka o ličnosti ne može se izvršiti ako nadležan organ koji vrši prenos utvrdi da interes zaštite osnovnih prava i sloboda lica na koje se podaci odnose preteže u odnosu na javni interes iz stava (1) tač. 4) i 5) ovog člana. (3) Nadležni organ je dužan da dokumentuje prenos koji je izvršen na osnovu stava (1) ovog člana, kao i da ovu dokumentaciju stavi na raspolaganje Povereniku, na njegov zahtev. (4) Dokumentacija o prenosu iz stava (3) ovog člana sadrži informacije o datumu i vremenu prenosa, nadležnom organu koji prima podatke, razlozima za prenos i podacima koji su preneti. Prenos podataka nadležnih organa neposredno primaocu u drugoj državi Član 149. (1) Nadležni organ koji obrađuje podatke o ličnosti u posebne svrhe može, izuzetno od odredbe člana 145. stav (1) tačka 2) ovog zakona i bez obzira na primenu međunarodnog sporazuma koji je zaključen između Republike Srbije i jedne ili više drugih država, a kojim se uređuje saradnja u krivičnim stvarima, policijska saradnja ili saradnja između službi bezbednosti, neposredno preneti podatke o ličnosti primaocu u drugoj državi samo uz poštovanje drugih odredaba ovog zakona i ako su zajedno ispunjeni sledeći uslovi: 1) prenos je neophodan za izvršenje zakonskog ovlašćenja nadležnog organa koji vrši prenos u posebne svrhe; 2) nadležni organ koji vrši prenos je utvrdio da interes zaštite osnovnih prava ili sloboda lica na koje se podaci odnose ne preteže u odnosu na javni interes radi čije zaštite je neophodno izvršiti prenos podataka; 3) nadležni organ koji vrši prenos smatra da je prenos nadležnom organu u drugoj državi u posebne svrhe uz poštovanje uslova iz člana 145. ovog zakona, odnosno na način predviđen sporazumom iz stava (1) ovog člana nedelotvoran ili da ne odgovara postizanju tih svrha, a posebno ako se prenos ne može izvršiti na vreme; 4) nadležni organ u drugoj državi je bez nepotrebnog odlaganja obavešten o prenosu, osim ako je takvo obaveštavanje nedelotvorno ili ne odgovara postizanju svrhe; 5) nadležni organ koji vrši prenos je obavestio primaoca u drugoj državi o svrhama obrade podataka, kao i o tome da se obrada može vršiti samo u te svrhe, samo od strane primaoca i samo ako je takva obrada neophodna. (2) Nadležni organ koji vrši prenos dužan je da obavesti Poverenika o prenosu koji je izvršen na osnovu stava (1) ovog člana. (3) Nadležni organ je dužan da dokumentuje prenos koji je izvršen na osnovu stava (1) ovog člana, kao i da ovu dokumentaciju stavi na raspolaganje Povereniku, na njegov zahtev. (4) Dokumentacija o prenosu iz stava (3) ovog člana sadrži informacije o datumu i vremenu prenosa, primaocu podataka, razlozima za prenos i podacima o ličnosti koji su preneti. Deo treći POVERENIK, PRAVNA SREDSTVA, ODGOVORNOST I KAZNE Glava X. POVERENIK 1. Nezavisan status Nadzorno telo Član 150. (1) U cilju zaštite osnovnih prava i sloboda fizičkih lica u vezi sa obradom podataka o ličnosti, poslove praćenja primene ovog zakona, u skladu sa propisanim ovlašćenjima, vrši Poverenik, kao samostalan državni organ, nezavisan u vršenju svoje nadležnosti. (2) Poverenik ima zamenika za zaštitu podataka o ličnosti. (3) Na sedište Poverenika, izbor Poverenika i zamenika Poverenika za zaštitu podataka o ličnosti, prestanak njihovog mandata, postupak njihovog razrešenja, njihov položaj, Stručnu službu Poverenika, kao i na finansiranje i podnošenje izveštaja, primenjuju se odredbe zakona kojim se uređuje slobodan pristup informacijama od javnog značaja, ako ovim zakonom nije drugačije određeno. (4) Pored uslova za izbor Poverenika, propisanih zakonom kojim se uređuje slobodan pristup informacijama od javnog značaja, Poverenik i zamenik Poverenika za zaštitu podataka o ličnosti moraju da imaju potrebno stručno znanje i iskustvo u oblasti zaštite podataka o ličnosti. Nezavisnost Član 151. (1) U vršenju svojih ovlašćenja i poslova, u skladu sa ovim zakonom, Poverenik je nezavisan, slobodan od svakog neposrednog ili posrednog spoljnog uticaja i ne može da traži niti prima naloge od bilo koga. (2) Poverenik se ne može baviti drugom delatnošću ni drugim poslom, uz naknadu ili bez naknade, niti može obavljati drugu javnu funkciju ili vršiti drugo javno ovlašćenje, niti politički delovati. (3) U cilju obezbeđivanja delotvornog vršenja zakonom propisanih ovlašćenja, neophodna finansijska sredstva za rad, prostorije za rad, kao i neophodne tehničke, organizacione i kadrovske uslove za rad Poverenika obezbeđuju se u skladu sa zakonom kojim se uređuje budžet i zakonima kojima se uređuje državna uprava i položaj državnih službenika. (4) Poverenik samostalno vrši izbor zaposlenih između kandidata koji ispunjavaju zakonom propisane uslove za rad u državnim organima i njima potpuno samostalno rukovodi. Nadležnosti Poverenika Član 152. (1) Poverenik vrši svoja ovlašćenja, u skladu sa ovim zakonom, na teritoriji Republike Srbije. (2) U vršenju svojih ovlašćenja Poverenik postupa u skladu sa zakonom kojim se uređuje opšti upravni postupak, kao i shodnom primenom zakona kojim se uređuje inspekcijski nadzor, ako ovim zakonom nije drugačije određeno. (3) Poverenik nije nadležan da vrši nadzor nad obradom podataka o ličnosti od strane sudova u vršenju poslova iz sudske nadležnosti. Obaveza čuvanja profesionalne tajne Član 153. (1) Poverenik, zamenik Poverenika i zaposleni u Stručnoj službi Poverenika dužni su da kao profesionalnu tajnu čuvaju sve podatke do kojih su došli u obavljanju svoje funkcije, odnosno poslova, uključujući i podatke u vezi sa povredom ovog zakona sa kojima ih je upoznalo lice koje nije zaposleno kod Poverenika. (2) Obaveza iz stava (1) ovog člana traje i posle prestanka obavljanja funkcije Poverenika ili zamenika Poverenika, odnosno prestanka rada u službi Poverenika. 2. Poslovi i ovlašćenja Poverenika Poslovi Poverenika Član 154. (1) Poverenik: 1) vrši nadzor i obezbeđuje primenu ovog zakona u skladu sa svojim ovlašćenjima; 2) stara se o podizanju javne svesti o rizicima, pravilima, merama zaštite i pravima u vezi sa obradom, a posebno ako se radi o obradi podataka o maloletnom licu; 3) daje mišljenje Narodnoj skupštini, Vladi, drugim organima vlasti i organizacijama, u skladu sa propisima, o zakonskim i drugim merama koje se odnose na zaštitu prava i sloboda fizičkih lica u vezi sa obradom; 4) daje mišljenje Narodnoj skupštini, Vladi, drugim organima vlasti i organizacijama, po sopstvenoj inicijativi ili na njihov zahtev, kao i javnosti, o svim pitanjima u vezi sa zaštitom podataka o ličnosti; 5) stara se o podizanju svesti rukovalaca i obrađivača u vezi sa njihovim obavezama propisanim ovim zakonom; 6) na zahtev lica na koja se podaci odnose, pruža informacije o njihovim pravima propisanim ovim zakonom; 7) odlučuje po pritužbama lica na koja se podaci odnose, o povredi prava u vezi sa obradom podataka o ličnosti iz Glave III. ovog zakona; 8) postupa po predstavkama lica kojima se ukazuje na povrede ovog zakona, utvrđuje da li je došlo do povrede i obaveštava podnosioca o toku i rezultatima postupka koji vodi, u skladu sa odredbama ovog zakona; 9) sarađuje sa nadzornim organima drugih država u vezi sa zaštitom podataka o ličnosti, a posebno u razmeni informacija i pružanju uzajamne pravne pomoći; 10) vrši inspekcijski nadzor nad primenom ovog zakona; 11) podnosi zahtev za pokretanje prekršajnog postupka ako utvrdi da je došlo do povrede ovog zakona, u skladu sa zakonom kojim se uređuju prekršaji; 12) prati razvoj informacionih i komunikacionih tehnologija, kao i poslovne i druge prakse od značaja za zaštitu podataka o ličnosti; 13) izrađuje standardne ugovorne klauzule iz čl. 70. stav (4) i 105. stav (3) ovog zakona; 14) sačinjava i javno objavljuje liste vrsta radnji obrade za koje se mora izvršiti procena uticaja iz člana 84. stav (8) ovog zakona; 15) daje pismeno mišljenje u vezi sa procenom uticaja radnji obrade na zaštitu podataka o ličnosti iz člana 87. stav (1) ovog zakona; 16) vodi evidenciju lica za zaštitu podataka o ličnosti iz člana 88. stav (9) ovog zakona; 17) podstiče izdavanje sertifikata za zaštitu podataka o ličnosti i odgovarajućih žigova i oznaka iz člana 91. stav (1); 18) odobrava šemu sertifikacije, u skladu sa članom 94. stav (1) tačka 4) ovog zakona; 19) vodi i javno objavljuje spisak akreditovanih sertifikacionih tela i izdatih sertifikata sa odgovarajućim žigovima i oznakama, u skladu sa članom 97. stav (6) ovog zakona; 20) podstiče izradu kodeksa postupanja iz člana 98. stav (1) ovog zakona i registruje i objavljuje kodeks postupanja, na koji je prethodno dao saglasnost, u skladu sa članom 99. stav 3. ovog zakona; 21) odobrava ugovorne odredbe, odnosno odredbe koje se unose u sporazum, u skladu sa članom 102. stav (4) ovog zakona; 22) odobrava obavezujuća poslovna pravila, u skladu sa članom 110. ovog zakona; 23) vodi internu evidenciju o povredama ovog zakona i merama koje se u vršenju inspekcijskog nadzora preduzimaju u skladu sa odredbama ovog zakona; 24) obavlja i druge poslove određene ovim zakonom. (2) Poslove nadzora iz stava (1) tač. 1) ovog člana Poverenik vrši preko ovlašćenih lica iz stručne službe Poverenika. (3) Evidencija iz stava (1) tačka 20) ovog člana sadrži: podatke o rukovaocima ili obrađivačima koji su povredili ovaj zakon (njihovo ime i prezime ili naziv, prebivalište, boravište, sedište ili odobren boravak), podatke o povredama ovog zakona (opis povrede i član zakona koji je povređen), podatke o merama koje su preduzete i podatke o postupanju rukovaoca ili obrađivača po izrečenim merama. (4) Obrazac evidencije iz stava (3) ovog člana i način njenog vođenja propisuje Poverenik. (5) Poverenik obavlja svoje poslove besplatno za lica na koje se podaci odnose i lica za zaštitu podataka o ličnosti. Inspekcijska i druga ovlašćenja Poverenika Član 155. (1) Poverenik vrši inspekcijski nadzor nad primenom ovog zakona, u skladu sa ovim zakonom i shodnom primenom zakona kojim se uređuje inspekcijski nadzor. (2) Poverenik je ovlašćen da: 1) naloži rukovaocu i obrađivaču, a prema potrebi i njihovim predstavnicima, da mu pruže sve informacije koje zatraži u vršenju svojih ovlašćenja; 2) proverava i ocenjuje primenu odredbi zakona i na drugi način vrši nadzor nad zaštitom podataka o ličnosti korišćenjem inspekcijskih ovlašćenja; 3) obaveštava rukovaoca, odnosno obrađivača o mogućim povredama ovog zakona; 4) izvrši inspekcijski nadzor, uz obavezu rukovaoca, odnosno obrađivača koji je uredno obavešten o predstojećem inspekcijskom nadzoru, da njegov predstavnik bude prisutan na mestu vršenja nadzora, odnosno nadzor izvrši u prisustvu službenog ili drugog lica rukovaoca, odnosno obrađivača koje se zatekne na mestu vršenja inspekcijskog nadzora; 5) zatraži i dobije od rukovaoca i obrađivača pristup svim podacima o ličnosti, kao i informacijama neophodnim za vršenje njegovih ovlašćenja; 6) zatraži i dobije pristup svim prostorijama rukovaoca i obrađivača, uključujući i pristup svim sredstvima i opremi. (3) Poslove inspekcijskog nadzora iz stava (1) ovog člana Poverenik vrši preko ovlašćenih lica iz Stručne službe Poverenika. (4) Ovlašćena lica Poverenika imaju službene legitimacije čiji izgled i sadržinu propisuje Poverenik. Korektivne mere Član 156. U obavljanju poslova propisanih ovim zakonom, Poverenik je ovlašćen da preduzme sledeće korektivne mere: 1) da upozori rukovaoca i obrađivača, dostavljanjem pismenog mišljenja, da se nameravanim radnjama obrade mogu povrediti odredbe ovog zakona, u skladu sa članom 87. stav (1) i članom 142. stav (3) ovog zakona; 2) da izrekne opomenu rukovaocu, odnosno obrađivaču ako se obradom povređuju odredbe ovog zakona; 3) da naloži rukovaocu i obrađivaču da postupe po zahtevu lica na koje se podaci odnose u vezi sa ostvarivanjem njegovih prava, u skladu sa ovim zakonom; 4) da naloži rukovaocu i obrađivaču da usklade radnje obrade sa odredbama ovog zakona, na tačno određeni način i u tačno određenom roku; 5) da naloži rukovaocu da obavesti lice na koje se podaci o ličnosti odnose o povredi podataka o ličnosti; 6) da izrekne privremeno ili trajno ograničenje vršenja radnje obrade, uključujući i zabranu obrade; 7) da naloži ispravljanje, dopunu ili ažuriranje podataka, odnosno brisanje podataka o ličnosti ili ograniči vršenje radnje obrade u skladu sa čl. 55, 56. i 126. ovog zakona, kao i da naloži rukovaocu da obavesti o tome drugog rukovaoca, lice na koje se podaci odnose i primaoce kojima su podaci o ličnosti otkriveni ili preneti, u skladu sa članom 56. stav (3), kao i čl. 58. i 127. ovog zakona; 8) da izrekne novčanu kaznu na osnovu prekršajnog naloga ako je prilikom inspekcijskog nadzora utvrđeno da je došlo do prekršaja za koji je ovim zakonom propisana novčana kazna u fiksnom iznosu, umesto drugih mera propisanih ovim stavom ili uz njih, a u zavisnosti od okolnosti konkretnog slučaja; 9) da obustavi prenos podataka o ličnosti primaocu u drugoj državi ili međunarodnoj organizaciji. Kontrola akata Poverenika i pokretanje postupka pred sudom Član 157. (1) Kontrolu akata Poverenika donetih na osnovu odredbi čl. 155. i 156. ovog zakona vrši sud, u skladu sa zakonom. (2) U vršenju ovlašćenja čl. 155. i 156. ovog zakona Poverenik može da pokrene postupak pred sudom ili drugim organom, u skladu sa zakonom. Izveštavanje Član 158. (1) Poverenik je dužan da sačini godišnji izveštaj o svojim aktivnostima, koji sadrži podatke o vrstama povreda ovog zakona i merama koje su preduzete u vezi sa tim povredama, kao i da ga podnese Narodnoj skupštini. (2) Izveštaj iz stava (1) ovog člana dostavlja se Vladi i stavlja se na uvid javnosti, na odgovarajući način. (3) Izveštaj iz stava (1) ovog člana ne sadrži podatke o ličnosti. Glava XI. PRAVNA SREDSTVA, ODGOVORNOST I KAZNE 1. Pravna sredstva Pravo na pritužbu Povereniku Član 159. (1) Lice na koje se podaci odnose može da podnese pritužbu Povereniku ako smatra da rukovalac, po njegovom zahtevu iz čl. 65. i 121. ovog zakona za ostvarivanje prava u vezi sa obradom podataka o ličnosti, nije postupio u skladu sa odredbama ovog zakona. (2) Uz pritužbu iz stava (1) ovog člana pritužilac dostavlja kopiju zahteva podnetog rukovaocu za ostvarivanje prava u vezi sa obradom podataka o ličnosti, kao i raspoložive podatke koje ukazuju na povredu prava. (3) Na postupak po pritužbi shodno se primenjuju odredbe zakona kojim se uređuje opšti upravni postupak pred prvostepenim organom, ako ovim zakonom nije drugačije propisano. (4) Poverenik je dužan da odluči o zahtevu pritužioca u roku od 60 dana od dana prijema pritužbe. (5) U postupku po pritužbi Poverenik može da sprovede inspekcijski nadzor, u kom slučaju se, u ovom delu postupka, shodno primenjuju odredbe zakona koji uređuje inspekcijski nadzor iniciran podnošenjem predstavke. (6) Podnošenje pritužbe Povereniku ne utiče na pravo lica na koje se podaci odnose da pokrene druge postupke upravne ili sudske zaštite. (7) Poverenik propisuje obrazac pritužbe i omogućava njeno podnošenje elektronskim putem, ne isključujući ni druge načine podnošenja propisane zakonom, u cilju pojednostavljenja podnošenja. Pravo na sudsku zaštitu protiv odluke Poverenika Član 160. (1) Ako Poverenik u roku od 60 dana od dana podnošenja pritužbe iz člana 159. stav (1) ovog zakona ne postupi po pritužbi, lice na koje se podaci odnose ima pravo da tužbom pokrene upravni spor. (2) Lice na koje se podaci odnose, rukovalac, obrađivač, odnosno drugo fizičko ili pravno lice na koje se odnosi odluka Poverenika doneta po pritužbi, ima pravo da protiv ove odluke tužbom pokrene upravni spor u roku od 30 dana, od dana prijema odluke. (3) Podnošenje tužbe iz st. (1) i (2) ovog člana ne utiče na pravo da se pokrenu drugi postupci sudske zaštite. Postupanje Poverenika po predstavci Član 161. (1) Poverenik postupa po drugim podnescima lica kojima se ukazuje na povrede ovog zakona, kao što su predstavka, obaveštenje, informacija, prijava, peticija, predlog ili akt drugog naziva, uključujući i pritužbe koje se ne odnose na zaštitu prava iz glave III. ovog zakona (u daljem tekstu: predstavka). (2) U postupku po predstavci iz stava (1) ovog člana Poverenik utvrđuje da li je došlo do povrede ovog zakona i obaveštava podnosioca o toku i rezultatima postupka koji vodi, u skladu sa odredbama ovog zakona. (3) Ako je predstavku podnelo lice čiji se podaci o ličnosti obrađuju, Poverenik u obaveštenju iz stava (2) ovog člana obaveštava podnosioca o pravu na sudsku zaštitu. (4) Na postupak Poverenika iz stava (2) ovog člana shodno se primenjuju odredbe zakona kojim se uređuje inspekcijski nadzor, u delu koji se odnosi na postupanje po predstavkama. (5) Poverenik može propisati obrazac predstavke i omogućiti njeno podnošenje elektronskim putem, ne isključujući druga sredstva komunikacije, u cilju pojednostavljenja podnošenja. Troškovi postupka Član 162. (1) Postupci pred Poverenikom iz čl. 159. i 161. su besplatani. (2) Ako je pritužba iz člana 159. ovog zakona, odnosno predstavka iz člana 161. ovog zakona očigledno neosnovana, preobimna ili se preterano ponavlja, Poverenik može da traži naknadu nužnih administrativnih troškova (ponovno kopiranje dokumenata, štampanje, dostavljanje i dr.) ili da odbije da postupi po pritužbi, odnosno predstavci. (3) U slučaju primene odredbe iz stava (2) ovog člana, Poverenik navodi razloge kojima se dokazuje da se radi o neosnovanom, preobimnom ili preterano ponovljenom zahtevu. Sudska zaštita prava lica Član 163. (1) Lice na koje se podaci odnose ima pravo na sudsku zaštitu ako smatra da mu je, suprotno ovom zakonu, od strane rukovaoca ili obrađivača radnjom obrade njegovih podataka o ličnosti povređeno pravo propisano ovim zakonom. (2) Podnošenje tužbe sudu, sa zahtevom da sud utvrdi povredu prava na zaštitu podataka o ličnosti, ne utiče na pravo ovog lica da pokrene druge postupke upravne ili sudske zaštite. (3) Tužbom iz stava (2) ovog člana može se zahtevati od suda da obaveže tuženog na: 1) davanje informacije iz čl. 22. do 25. i čl. 54. i 121. ovog zakona; 2) ispravku, ažuriranje i dopunu, odnosno brisanje podataka o tužiocu iz čl. 55, 56. i 126. ovog zakona; 3) ograničenje obrade iz čl. 58. i 126. ovog zakona; 4) davanje podataka u strukturisanom, uobičajeno korišćenom i elektronski čitljivom obliku; 5) prenošenje podataka drugom rukovaocu iz člana 60. ovog zakona; 6) prekid obrade podataka, u slučaju postojanja podnetog prigovora na obradu podataka o ličnosti iz člana 61. ovog zakona. (5) Tužbom za zaštitu prava iz stava (1) ovog člana može se zahtevati od suda i da utvrdi da je odluka doneta isključivo na osnovu automatizovane obrade podataka o ličnosti, koja se odnosi na tužioca, doneta suprotno čl. 62. i 129. ovog zakona. (6) Tužba iz stava (2) ovog člana podnosi se višem sudu na čijoj teritoriji rukovalac, odnosno obrađivač ili njihov predstavnik ima prebivalište, boravište ili odobren boravak, odnosno sedište ili na čijoj teritoriji lice na koje se odnose podaci ima prebivalište, boravište ili odobren boravak, osim ako je rukovalac, odnosno obrađivač organ vlasti. (7) Revizija po pravnosnažnoj odluci suda doneta po tužbi iz stava (2) ovog člana je uvek dopuštena. (8) U postupku sudske zaštite prava na zaštitu podataka o ličnosti primenjuju se odredbe zakona kojim se uređuje parnični postupak, ako ovim zakonom nije drugačije određeno. Zastupanje lica na koje se podaci odnose Član 164. Lice na koje se podaci odnose, u vezi sa ostvarivanjem prava na zaštitu podataka o ličnosti, ima pravo da ovlasti neprofitno telo, organizaciju ili udruženje koje se bavi zaštitom prava i sloboda lica na koje se podaci odnose da ga u skladu sa zakonom, bez naknade, zastupa u postupcima iz čl. 159, 160. i 163. ovog zakona, kao i u postupku za naknadu štete zbog povrede odredaba ovog zakona. 2. Odgovornost Pravo na naknadu štete Član 165. (1) Lice koje je pretrpelo materijalnu ili nematerijalnu štetu zbog povrede odredaba ovog zakona ima pravo na novčanu naknadu ove štete od rukovaoca, odnosno obrađivača koji je štetu prouzrokovao. (2) Za štetu iz stava (1) ovog člana odgovara rukovalac, a obrađivač odgovara samo ako nije postupao u skladu sa obavezama propisanim ovim zakonom koje se odnose neposredno na njega ili kad je postupao izvan uputstava ili suprotno uputstvima rukovaoca, izdatim u skladu sa ovim zakonom. (3) Rukovalac, odnosno obrađivač oslobađa se odgovornosti za štetu ako dokaže da ni na koji način nije odgovoran za nastanak štete. (4) Ako obradu vrši više rukovalaca, odnosno obrađivača ili zajedno rukovalac i obrađivač, i ako su oni odgovorni za štetu, svaki rukovalac, odnosno obrađivač odgovoran je za celokupan iznos naknade štete. (5) Ako je rukovalac, odnosno obrađivač iz stava (4) ovog člana isplatio celokupan iznos naknade štete, on ima pravo da zahteva od drugih rukovaoca, odnosno obrađivača povraćaj dela iznosa koji odgovara njihovoj odgovornosti za nastanak štete, u skladu sa stavom (2) ovog člana. Uslovi za izricanje novčane kazne Član 166. (1) Novčana kazna zbog povrede odredbi ovog zakona u svakom pojedinačnom slučaju izriče se i primenjuje na delotvoran, srazmeran i preventivan način. (2) Novčana kazna iz stava (1) ovog člana, u zavisnosti od okolnosti pojedinačnog slučaja, može se izreći uz mere ili nezavisno od toga da li su izrečene mere propisane članom 156. stav (1) tač. 1) do 7) i tačka 9) ovog zakona. (3) Prilikom odlučivanja o izricanju novčanih kazni i njihovom iznosu mora se u svakom pojedinačnom slučaju voditi računa o: 1) prirodi, težini i trajanju povrede odredbi zakona, uzimajući u obzir vrstu, obim i svrhu obrade, kao i broj lica na koja se podaci odnose i nivo štete koju su ona pretrpela; 2) postojanju namere ili nepažnje prekršioca; 3) svakoj radnji rukovaoca i obrađivača usmerenoj na otklanjanje ili ublažavanje štete koju su pretrpela lica na koja se podaci odnose; 4) stepenu odgovornosti rukovaoca i obrađivača, uzimajući u obzir mere koje su primenili u skladu sa čl. 78. do 81. i čl. 137. i 138. ovog zakona; 5) prethodnim slučajevima kršenja odredbi ovog zakona od strane rukovaoca i obrađivača koji su od značaja za izricanje kazne; 6) stepenu saradnje rukovaoca i obrađivača sa Poverenikom u cilju otklanjanja posledica povrede zakona i otklanjanja ili ublažavanja štetnih posledica povrede; 7) vrstama podataka o ličnosti na koje se odnose povrede; 8) načinu na koji je Poverenik saznao za povredu, a posebno o tome da li je i u kojoj meri rukovalac, odnosno obrađivač obavestio Poverenika o povredi; 9) postupanju u skladu sa korektivnim merama Poverenika koje su ranije izrečene rukovaocu, odnosno obrađivaču u vezi sa istim slučajem povrede, u skladu sa članom 156. stav (1) ovog zakona; 10) postojanju sertifikata iz člana 91. ovog zakona, odnosno primeni odobrenih kodeksa postupanja u skladu sa članom 98. ovog zakona; 11) svim drugim otežavajućim i olakšavajućim okolnostima u konkretnom slučaju, kao što su izbegavanje finansijskog gubitka ili finansijska korist koja je ostvarena na neposredan ili posredan način povredom odredbi ovog zakona. 3. Kaznene odredbe Odgovornost pravnog lica Član 167. (1) Novčanom kaznom od 200.000 do 2.000.000 dinara kazniće se za prekršaj rukovalac, odnosno obrađivač koji ima svojstvo pravnog lica, ako: 1) obrađuje podatke o ličnosti suprotno načelima obrade iz čl. 5. do 13. ovog zakona; 2) obrađuje podatke o ličnosti u druge svrhe, suprotno čl. 28. do 31. ovog zakona; 3) obrađuje podatke o ličnosti bez saglasnosti lica na koje se podaci odnose, a nije u mogućnosti da predoči da je lice na koje se podaci odnose dalo pristanak za obradu svojih podataka (član 17. stav (1)); 4) licu na koje se podaci odnose ne pruži informacije iz čl. 22. do 24. ovog zakona; 5) obrađuje posebno osetljive podatake o ličnosti suprotno članu 32. ovog zakona; 6) obrađuje podatke o ličnosti u vezi sa kažnjivim delima suprotno članu 33. stav (1) ovog zakona; 7) obrađuje JMBG suprotno članu 37. ovog zakona; 8) obrađuje podatke o ličnosti u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe suprotno čl. 39. do 41. ovog zakona; 9) obrađuje podataka o ličnosti upotrebom sistema video nadzora, suprotno čl. 45. do 51. ovog zakona; 10) obrađuje podatake o ličnosti korišćenjem veštačke inteligencije, suprotno čl. 52. i 53. ovog zakona; 11) ne pruži tražene informacije, ne omogući pristup podacima, odnosno ako ne dostavi kopiju podataka koje obrađuje (član 54); 12) ne ispravi netačne podatke ili ne dopuni nepotpune podatke, suprotno članu 55. ovog zakona; 13) ne izbriše podatke lica na koje se podaci odnose bez odlaganja u slučajevima iz člana 56. stav (2) ovog zakona; 14) ne ograniči obradu podataka o ličnosti u slučajevima iz člana 58. ovog zakona; 15) ne obavesti primaoca u vezi sa ispravkom, brisanjem i ograničenjem obrade (član 59. stav (1)); 16) ne prekine sa obradom podataka nakon što je lice podnelo prigovor (član 61. stav (1)); 17) se donese odluka koja proizvodi pravne posledice po lice na koje se podaci odnose isključivo na osnovu automatizovane obrade, suprotno članu 62. ovog zakona; 18) prilikom određivanja načina obrade, kao i u toku obrade ne preduzme odgovarajuće tehničke, organizacione i kadrovske mere, suprotno članu 67. st. (1) i (2) ovog zakona; 19) se odnos između zajedničkih rukovaoca ne uredi na način propisan članom 68. st. 2) do 4) ovog zakona; 20) poveri obradu podataka o ličnosti obrađivaču, suprotno članu 69. st. (1) do (4) ovog zakona; 21) se podaci obrađuju bez naloga ili suprotno nalogu rukovaoca (član 69. stav (5)); 22) ne odredi svog predstavnika u Republici Srbiji, suprotno članu 72. ovog zakona; 23) ne obavesti Poverenika o povredi bezbednosti podataka, suprotno članu 82. ovog zakona; 24) ne obavesti lice na koje se podaci odnose o povredi bezbednosti podataka, suprotno članu 83. ovog zakona; 25) ne izvrši procenu uticaja na zaštitu bezbednosti podataka na način predviđen članom 84. ovog zakona; 26) ne obavesti Poverenika, odnosno ne zatraži mišljenje Poverenika pre započinjanja radnje obrade (član 86. stav (1)); 27) ne odredi lice za zaštitu podataka o ličnosti u slučajevima iz člana 88. stav (2) ovog zakona; 28) ne izvrši svoje obaveze prema licu za zaštitu podataka o ličnosti iz člana 89. st. (1) do (3) ovog zakona; 29) se prenos podataka o ličnosti u druge zemlje i međunarodne organizacije vrši suprotno čl.102. do 108. ovog zakona; 30) sprečava ili na drugi način ometa ovlašćeno lice Poverenika u vršenju inspekcijskog nadzora, suprotno odredbama člana 155. stav (2) tač. 4) do 6) ovog zakona; (2) za prekršaj iz stava (1) ovog člana može se izreći novčana kazna u srazmeri sa visinom pričinjene štete ili neizvršene obaveze koja je predmet prekršaja, a najviše do dvadesetostrukog iznosa tih vrednosti, s tim da ne prelazi petostruki iznos najvećih novčanih kazni koje se mogu izreći po odredbi stava (1) ovog zakona. (3) novčanom kaznom od 200.000 do 2.000.000 dinara kazniće se za prekršaj odgovorno lice u organu vlasti, odnosno pravnom licu iz člana 4. tačka 34) koji u ulozi rukovaoca, odnosno obrađivača obrađuje podatke o ličnosti u posebne svrhe ako: 1) obrađuje podatke o ličnosti suprotno načelima obrade iz čl. 5. do 13. ovog zakona; 2) obrađuje podataka o ličnosti upotrebom sistema video nadzora, suprotno čl. 45. do 51. ovog zakona; 3) obrađuje posebno osetljive podatake o ličnosti suprotno članu 115. ovog zakona; 4) obrađuje genetičke ili biometrijske podatake u cilju jedinstvene identifikacije lica, suprotno članu 116. ovog zakona; 5) obrađuje podatke o ličnosti u druge svrhe, suprotno članu 117. ovog zakona; 6) ako korišćenjem razumnih mera ne obezbedi da se netačni, nepotpuni i neažurni podaci o ličnosti ne prenose, odnosno da ne budu dostupni (118. stav (1)); 7) jasno ne izdvoji podatke o ličnosti koji su zasnovani na činjeničnom stanju od podataka o ličnosti koji su zasnovani na ličnoj oceni (član 120); 8) licu na koje se podaci odnose ne stavi na raspolaganje ili ne pruži informacije iz člana 123. st. (1) i (2) ovog zakona; 9) ne pruži tražene informacije, odnosno ne omogući pristup podacima (član 125. stav (2) u vezi sa članom 54. stav (2)); 10) ograniči delimično ili u celini pravo na pristup podacima licu na koje se podaci odnose suprotno članu 125. st. (3), (5) i (7) ovog zakona; 11) ne ispravi netačne podatke ili ne dopuni nepotpune podatke, suprotno članu 126. stav (1) ovog zakona; 12) ne izbriše podatke o ličnosti suprotno članu 126. stav (2) ovog zakona; 13) ne ograniči obradu podataka o ličnosti u slučajevima iz člana 126. stav (3) ovog zakona; 14) ne obavesti primaoca u vezi sa ispravkom, dopunom, brisanjem i ograničenjem obrade (član 127. stav (1)); 15) ne informiše lice na koje se podaci odnose o odluci o odbijanju ispravljanja, dopune ili brisanja, odnosno ograničavanja obrade, kao i o razlogu za odbijanje (127. stav (3)); 16) se donese odluka koja proizvodi pravne posledice po lice na koje se podaci odnose isključivo na osnovu automatizovane obrade, suprotno članu 129. ovog zakona; 17) se odnos između zajedničkih rukovalaca ne uredi na način propisan članom 131. ovog zakona; 18) poveri obradu podataka o ličnosti obrađivaču, suprotno članu 132. stav (2) ovog zakona; 19) se podaci obrađuju bez naloga ili suprotno nalogu rukovaoca (član 132. stav (3)); 20) prilikom određivanja načina obrade, kao i u toku obrade ne preduzme odgovarajuće tehničke, organizacione i kadrovske mere, suprotno čl. 137. i 138. ovog zakona; 21) ne obavesti Poverenika o povredi bezbednosti podataka, suprotno članu 139. stav (1) ovog zakona; 22) ne obezbedi primenu efektivnih mehanizama poverljivog prijavljivanja slučajeva povrede ovog zakona (član 139. stav (2)); 23) ne obavesti lice na koje se podaci odnose o povredi bezbednosti podataka, suprotno članu 140. ovog zakona; 24) ne izvrši procenu uticaja na zaštitu bezbednosti podataka na način predviđen članom 141. ovog zakona; 25) ne obavesti Poverenika, odnosno ne zatraži mišljenje Poverenika pre započinjanja radnje obrade (član 142. st. (1) i (2)); 26) ne odredi lice za zaštitu podataka o ličnosti (član 143); 27) ne izvrši svoje obaveze prema licu za zaštitu podataka o ličnosti iz člana 144. u vezi sa članom 89. st. 1) do 3) ovog zakona; 28) se prenos podataka o ličnosti u druge zemlje i međunarodne organizacije vrši suprotno čl. 145. do 149. ovog zakona; 29) sprečava ili na drugi način ometa ovlašćeno lice Poverenika u vršenju inspekcijskog nadzora, suprotno odredbama člana 155. stav 2. tač. 4) do 6) ovog zakona; (4) Za prekršaj iz stava (3). ovog člana može se izreći novčana kazna u srazmeri sa visinom pričinjene štete ili neizvršene obaveze koja je predmet prekršaja, a najviše do dvadesetostrukog iznosa tih vrednosti, s tim da ne prelazi petostruki iznos najvećih novčanih kazni koje se mogu izreći po odredbi stava (3) ovog zakona. (5) Novčanom kaznom u iznosu od 300.000 dinara kazniće se za prekršaj rukovalac, odnosno obrađivač iz stava (1) ovog člana, ako: 1) ne vodi propisane evidencije o obradi (čl. 49, 74. i 75.); 2) nastavi sa obradom u cilju direktnog oglašavanja, a lice na koje se podaci odnose je podnelo prigovor na takvu obradu (član 61. stav (3)); 3) ne objavi kontakt podatke lica za zaštitu podataka o ličnosti i ne dostavi ih Povereniku (član 88. stav (8)). (6) Novčanom kaznom u iznosu od 50.000 dinara kazniće se za prekršaj odgovorno lice u organu vlasti, odnosno pravnom licu iz člana 4. tačka 34) koji u ulozi rukovaoca, odnosno obrađivača obrađuje podatke o ličnosti u posebne svrhe ako: 1) ne upozna primaoca sa posebnim uslovima za obradu podataka o ličnosti propisnim zakonom i njegovom obavezom ispunjenja tih uslova (član 118. stav (5)); 2) ne dostavi licu na koje se podaci odnose obrazloženu odluku, odnosno ne obavesti lice u roku iz člana 125. st. (5) i (7) ovog zakona; 3) ne vodi propisane evidencije o obradi (čl. 133. i 134), ili ne beleži radnje obrade (član 135); 4) ne objavi kontakt podatke lica za zaštitu podataka o ličnosti i ne dostavi ih Povereniku (član 144). (7) Prekršajni postupak za prekršaje propisane ovim članom ne može se pokrenuti niti voditi po isteku roka od pet godina od dana izvršenja prekršaja. Odgovornost fizičkog lica, odgovornog lica u pravnom licu i preduzetnika Član 168. (1) Novčanom kaznom od 50.000 do 150.000 dinara kazniće se za prekršaj fizičko lice koje ne čuva kao profesionalnu tajnu podatke o ličnosti koje je saznalo tokom obavljanja poslova (član 89. stav (7) i član 153). (2) Za prekršaj iz člana 167. stava (1) ovog zakona kazniće se preduzetnik novčanom kaznom od 200.000 do 500.000 dinara. (3) Za prekršaj iz člana 167. stava (1) ovog zakona kazniće se fizičko lice, odnosno odgovorno lice u pravnom licu, državnom organu, odnosno organu teritorijalne autonomije i jedinici lokalne samouprave, kao i odgovorno lice u predstavništvu ili poslovnoj jedinici stranog pravnog lica novčanom kaznom od 50.000 do 150.000 dinara. (4) Za prekršaj iz člana 167. stav (4) ovog zakona kazniće se preduzetnik novčanom kaznom od u iznosu od 150.000 dinara. (5) Za prekršaj iz člana 167. stav (4) ovog zakona kazniće se fizičko lice, odnosno odgovorno lice u pravnom licu, državnom organu, odnosno organu teritorijalne autonomije i jedinici lokalne samouprave, kao i odgovorno lice u predstavništvu ili poslovnoj jedinici stranog pravnog lica novčanom kaznom u iznosu od 50.000 dinara Glava XII. PRELAZNE I ZAVRŠNE ODREDBE 1. Prelazne odredbe Zamenik Poverenika Član 169. Zamenik Poverenika za zaštitu podataka o ličnosti koji je izabran u skladu sa Zakonom o zaštiti podataka o ličnosti (“Službeni glasnik RS”, broj 87/18), nastavlja da vrši tu dužnost do isteka mandata na koji je izabran. Započeti postupci Član 170. Postupci po pritužbama povodom zahteva za ostvarivanje prava u vezi sa obradom podataka o ličnosti, postupci nadzora koji nisu okončani do dana stupanja na snagu ovog zakona,postupci po zahtevima za izdavanje dozvole za iznošenje podataka iz Republike Srbije i postupci davanja prethodnog mišljenja na akt o proceni uticaja, okončaće se po odredbama Zakona o zaštiti podataka o ličnosti (“Službeni glasnik RS”, broj 87/18). Vođenje registra i evidencija Član 171. Evidencije uspostavljene odredbama Zakona o zaštiti podataka o ličnosti (“Službeni glasnik RS”, broj 87/18) i to evidencija: sertifikacionih tela i izdatih sertifikata o zaštiti podataka o ličnosti; lica za zaštitu podataka o ličnosti; povreda zakona; mera koje se u vršenju inspekcijskog nadzora preduzimaju; odobrenih ugovornih odredbi i odobrenih obavezujućih poslovnih pravila, nastavljaju da se vode stupanjem na snagu ovog zakona. Podzakonski akti Član 172. (1) Podzakonski akti predviđeni ovim zakonom biće doneti u roku od devet meseci od dana stupanja na snagu ovog zakona. (2) Podzakonski akti koji su doneti na osnovu Zakona o zaštiti podataka o ličnosti (“Službeni glasnik RS”, broj 87/18) nastavljaju da se primenjuju do donošenja podzakonskih akata iz stava (1) ovog člana, ako nisu u suprotnosti sa ovim zakonom. Usklađivanje drugih zakona Član 173. Odredbe drugih zakona, koje se odnose na obradu podataka o ličnosti, uskladiće se sa odredbama ovog zakona u roku od godinu dana od dana stupanja na snagu ovog zakona. 2. Završne odredbe Prestanak važenja ranijeg zakona Član 174. Danom stupanja na snagu ovog zakona prestaje da važi Zakon o zaštiti podataka o ličnosti (“Službeni glasnik RS”, broj 87/18). Stupanje zakona na snagu Član 175. Ovaj zakon stupa na snagu osmog dana od dana objavljivanja u “Službenom glasniku Republike Srbije”. IZ OBRAZLOŽENJA II. RAZLOZI ZA DONOŠENjE ZAKONA Razlozi za donošenje novog Zakona o zaštiti podataka o ličnosti su brojni i mogu se razmatrati kako zbog potreba Republike Srbije, tako i zbog, kao i zbog daljeg procesa pridruživanja Republike Srbije Evropskoj uniji. Sa stanovišta unutrašnjeg prava, postojeći pravni okvir zaštite podataka o ličnosti još uvek ne može adekvatno da obezbedi nesmetano ostvarivanje prava na zaštitu podataka o ličnosti u svim oblastima, zbog čega je neophodno izvršiti izmene i dopune normativnog okvira u ovoj oblasti. Kada je u pitanju međunarodna saradnja, odnosno proces pridruživanja Republike Srbije Evropskoj uniji, usklađivanje nacionalnog zakonodavstva sa pravom Evropske unije predstavlja međunarodnopravnu obavezu Republike Srbije. Imajući u vidu navedene razloge, neophodno je unaprediti zakonski okvir koji uređuje ovu oblast. Zakon o zaštiti podataka o ličnosti (“Službeni glasnik RS”, broj 87/18) stupio je na snagu 21. novembra 2018. godine, a primenjuje se od 22. avgusta 2019. godine, trenutno predstavlja osnovni propis u oblasti zaštite podataka o ličnosti.. Iako je važeći zakon u velikoj meri usklađen sa pravnim tekovinama Evropske unije, od početka njegove primene, praksa je ukazivala da je neophodno dodatno precdizirati njegove odredbe radi lakšeg sporođenja u praksi. Značaj zaštite podataka o ličnosti za Evropsku uniju (i države članice pojedinačno) izražen je pre svega Poveljom o fundamentalnim pravima Evropske Unije (2000/C 364/01). Pravo na zaštitu podataka zajemčeno je članom 8. navedene Povelje (Zaštita podataka o ličnosti). Najvažniji relevantni propisi Evropske unije koji uređuju oblast zaštite podataka o ličnosti su: Uredba 2016/679 Evropskog parlamenta i Saveta o zaštiti pojedinca u vezi sa obradom podataka o ličnosti i slobodnom kretanju takvih podataka i stavljanju van snage Direktive 98/46/EZ (u daljem tekstu Uredba), kao i Direktivo 2016/680 o zaštiti pojedinca u vezi sa obradom podataka o ličnosti od strane nadležnih tela u svrhe sprečavanja, istrage, otkrivanja ili gonjenja krivičnih dela ili izvršenja krivičnih sankcija i slobodnom kretanju takvih podataka i stavljanju van snage okvirne odluke Saveta 2008/977/PUP (u daljem tekstu: Direktiva) Navedeni relevantni dokumenti Evropske unije ukazuju da zaštita podataka više nije pitanje harmonizacije prava Evropske unije i pojedinačne implementacije u nacionalno zakonodavstvo, već oblast direktne primene prava Evropske unije. Snažan nezavisni organ za zaštitu podataka o ličnosti je preduslov adekvatne zaštite podataka o ličnosti za Evropsku uniju, na šta ukazuje i postojanje posebnog organa za zaštitu podataka o ličnosti u okviru Unije - Evropskog supervizora za zaštitu podataka o ličnosti, posebnih odeljenja i oficira za zaštitu podataka o ličnosti Europola ili Eurodžasta, kao i odluke Suda pravde Evropske unije o položaju organa nadležnih za zaštitu podataka o ličnosti. Kao što je rečeno, pored potrebe daljeg usklađenosti sa pravom Evropske unije i standardima zaštite podataka o ličnosti, na neophodnost novih rešenja ukazuje i višegodišnja primena važećeg zakona. Prema Strategiji zaštite podataka o ličnosti za period od 2023. do 2030. godine (“Službeni glasnik RS”, broj 72/23) najvažniji problemi koji se mogu rešiti izmenama postojećih zakonskih rešenja su sledeći: - odmah nakon početka primene važećeg zakona ispoljili su se nedostaci koji sprečavaju efektivno ostvarivanje prava na zaštitu podataka o ličnosti i prouzrokuju pravnu nesigurnost u oblasti koju uređuje. Ova nesigurnost ogleda se naročito u nemogućnosti da se u svakoj situaciji na nedvosmislen način utvrde obaveze određenog rukovaoca, što se posledično odražava i na mogućnost ostvarivanja prava fizičkih lica na koja se odnose podaci koji se obrađuju. Usled toga je primenljivost pojedinih odredaba zakona je dovedena u pitanje, otežana, ili čak onemogućena, pa je zato neophodno pristupiti njegovim izmenama i dopunama; - sa porastom broja elektronskih usluga, sve većeg broja uspostavljenih elektronskih evidencija - registara, masovnom razmenom podataka između različitih organa i organizacija, pitanje zaštite podataka o ličnosti koji čine najveći udeo obrađivanih informacija, postaje pitanje od posebnog značaja. Kako bi se smanjila mogućnost zloupotrebe podataka o ličnosti, koja može dovesti i do krađe identiteta, potrebno je zakonom urediti slučajeve u kojima je dozvoljeno kopiranje ili zadržavanje ličnih dokumenata građana; - značajan broj rukovalaca i obrađivača još uvek ne ispunjava svoje obaveze koje proizilaze iz važećeg zakona, niti su razvili adekvatne mehanizme postupanja po zahtevima za ostvarivanje prava u vezi sa obradom podataka o ličnosti, usled čega dolazi do učestalog kršenja prava na zaštitu podataka o ličnosti, potrebno je pored preventivnog delovanja i kontinuiranih edukacija rukovalaca i obrađivača, pojačati i odgovornost za povredu osnovnih načela, kao i drugih obaveza utvrđenih važećom zakonom, što bi trebalo da utiče na učesnike u obradi da veću pažnju posvete zaštiti podataka o ličnosti; - u Republici Srbiji ne postoje propisi koji na sistemski način uređuju upotrebu sredstava za video i audio nadzor, čija je pristupačnost na tržištu i mogućnost kontrole koju pružaju dovela do širokog korišćenja ovih sredstava u mnogim sferama života kako u privatnom tako i u javnom prostoru, a time i do obrade podataka o fizičkim licima. Pri tome svrha obrade nije uvek konkretno određena i opravdana, niti je uspostavljen odgovarajući pravni osnov za obradu, a što su osnovne pretpostavke zakonitosti obrade i isključenja, odnosno svođenja na minimum slučajeva zloupotrebe tih sredstava; - Obrada podataka o ličnosti koji se dobijaju analizom biološkog materijala, kao što su genetički i biometrijski podaci, koji pružaju jedinstvene informacije o određenom fizičkom licu, zbog osetljive prirode tih podataka zahteva dodatno zakonsko uređivanje kako bi bio uspostavljen zaokružen sistem u oblasti zaštite fizičkih lica u vezi sa obradom podataka o ličnosti; - razvoj i upotreba veštačke inteligencije predstavlja još jedan izazov u oblasti zaštite podataka o ličnosti, s obzirom na mogućnost automatizovanog prikupljanja i analize velikih količina podataka i, s tim u vezi, praćenja ponašanja fizičkih lica i profilisanja; - propisane prekršajne novčane kazne nesrazmerno su niske za povredu prava na zaštitu podataka o ličnosti kao osnovnog ljudskog prava, naročito imajući u vidu kazne propisane Opštom uredbom o zaštiti podataka koje se kreću do 20.000.000 evra ili, u slučaju pravnog lica, do 4% ukupnog godišnjeg prometa u svetu za prethodnu finansijsku godinu, u zavisnosti od toga koji iznos je veći. Takođe, prekršajna ni krivično-pravna sudska zaštita lica nije još uvek dovoljno razvijena, naročito ako se uzme u obzir učestalost kršenja prava na zaštitu podataka o ličnosti u Republici Srbiji u prethodnom periodu, što se može videti iz godišnjih izveštaja Poverenika. Pored toga: - potrebno je potpunije urediti pitanje mera bezbednost podataka o ličnosti, kao i preciznije urediti postupak u slučaju da do povrede bezbednosti ipak dođe; - potrebno je detaljnije propisati obaveze analize rizika pre započinjanja radnji obrade podataka o ličnosti, posebno ako je u pitanju mogućnost postojanja rizika visokog nivoa; - prilikom pripreme zakonskog teksta ocenjeno je da je neophodno izmeniti i sistematiku zakona, kao i intervenisati u većem broju članova važećeg zakona, zbog čega je obim izmena i dopuna sadašnjeg važećeg zakonskog daleko veći nego što je to predviđeno Jedinstvenim metodološkim pravilima za izradu propisa, pa je, shodno tim pravilima ipripremljen tekst novog zakona. Iz svih navedenih razloga, bilo je neophodno doneti novi Zakon o zaštiti podataka o ličnosti. Sa druge strane, tekst novog zakona ni na koji način ne odstupa od osnovnih načela važećeg zakona, obima dostignutih prava građana u ovoj oblasti, pravnim mehaniznima za zaštitu prava, niti međunarodnim standardima u ovoj oblasti, već ih dodatno garantuje i olakšava njihovo ostvarivanje. Pridavanjem značaja pitanjima zaštite podataka o ličnosti, kao što to čini Evropska unija, Republika Srbija iskazuje svoje opredeljenje da svojim građanima obezbedi nivo prava koji imaju građani Evropske unije, čineći ih ravnopravnim sa njima i obezbeđujući time uslove za ostvarivanje drugih društvenih vrednosti na kojima je zasnovana moderna demokratska država, kao što je dostojanstvo ličnosti, sloboda mišljenja i izražavanja, zabrana diskriminacije, kao i dalje obezbeđivanje usklađenosti sa relevantnim dokumentima Evropske unije, što je istovremeno i od velikog značaja za ispunjavenje obaveza Republike Srbije koje su predviđene Pregovaračkim poglavljima 23 i 24. Prilikom izrade teksta novog zakona korišćeni su inicijative i preporuke za izmenu važećih odredaba (a posebno Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti) koje su upućivane Ministarstvu pravde, zakonodavna rešenja koja je pripremila Posebna radna grupa za pripremu zakonskog teksta, uporedno-pravna zakonska rešenja država u regionu, kao i međunarodna praksa u ovoj oblasti. III. OBJAŠNjENjE OSNOVNIH PRAVNIH INSTITUTA I POJEDINAČNIH REŠENjA to: Zakon o zaštiti podataka o ličnosti sadrži tri dela, odnosno dvanaest glava, i Deo prvi OPŠTI DEO - Osnovne odredbe (Glava I), Obrada podataka o ličnosti (Glava II), Prava lica u vezi sa obradom podataka o ličnosti (Glava III), Rukovalac i obrađivač (Glava IV), Prenos podataka o ličnosti u druge zemlje i međunarodne organizacije (Glava V), Deo drugi OBRADA PODATAKA O LIČNOSTI NADLEŽNIH ORGANA U POSEBNE SVRHE - Obrada podataka o ličnosti nadležni organa u druge svrhe (Glava VI), Prava lica kada obradu vrši nadležni organ u posebne svrhe (Glava VII), Nadležni organi u ulozi rukovaoca i obrađivača (Glava VIII), Prenos podataka od strane nadležnih organa u druge države imeđunarodne organizacije (Glava IH), Deo treći POVERENIK, PRAVNA SREDSTVA, ODGOVORNOST I KAZNE - Poverenik (Glava H), Pravna sredstva, odgovornost i kazne (Glava HI) i Prelazne i završne odredbe (Glava HII). Deo prvi OPŠTI DEO Osnovne odredbe (Glava I. zakona) sadrže četiri člana, i uređuju predmet zakona, cilj zakona, njegovu primenu i značenje osnovnih izraza koji se koriste u zakonu. Obzirom na značaj ove glave za tekst celog zakona (posebno što se predviđa značenje najvažnijih izraza koji se koriste kroz ceo tekst zakona), ova glava je i nazvana “Osnovne odredbe”. Treba napomenuti da je sistematika zakona u odnosu na važeći zakon promenjena. Naime, s obzirom da pravila iz Direktive predstavljaju ograničenja u odnosu na odredbe iz Uredbe, kroz ceo tekst važećeg zakona data su opšta pravila o obradi podataka koja su predviđena Uredbom, a odmah zatim propisani su izuzeci koji se odnese na obradu podataka u svrhe sprečavanja, istrage, otkrivanja ili gonjenja krivičnih dela ili izvršenja krivičnih sankcija, koji su predviđeni Direktivom. Predložena sistematika zakona uređuje ovo pitanje na drugačiji način zbog lakše i jednostavnije primene zakona, tako da su sve posebne odredbe koje se odnose na nadležne organe u jednoj posebnoj celini, a to je drugi deo zakona. Treba napomenuti i da se, kao i do sada, na obradu podataka o ličnosti nadležnih organa (u slučajevima kada ne obrađuju podatke u posebne svrhe), primenjuje opšti režim kao i na ostale organe vlasti. U članu 2. zakona zakona propisan je njegov cilj. Opšti cilj zakona je uređenje prava fizičkog lica na zaštitu podataka o ličnosti na način kojim se obezbeđuje efikasna i delotvorna zaštita ovog prava i drugih, sa njim povezanih, prava i sloboda lica na koje se podaci odnose. Član 3. zakona odnosi se na obim njegove primene, koji je proširen u odnosu na važeće zakonsko rešenje. Stavom 1. je predviđeno da se, pored primene zakona na obradu podataka o ličnosti koju vrši rukovalac, odnosno obrađivač koji ima sedište na teritoriji Republike Srbije, u okviru aktivnosti koje se vrše na teritoriji Republike Srbije, i to bez obzira da li se radnje obrade vrše na teritoriji Republike Srbije, zakon primenjuje i na svaku obradu od od strane rukovaoca, odnosno obrađivača koji nema sedište, odnosno prebivalište, boravište ili odobren boravak na teritoriji Republike Srbije, ako se radnje obrade podataka o ličnosti vrše u okviru aktivnosti na teritoriji Republike Srbije (a ne samo na ponudu robe, odnosno usluga ili praćenje aktivnosti na lica na koje se podaci odnose na teritoriji Republike Srbije, što je sada važeće zakonsko rešenje), čime se dodatno štite prava građana u odnosu na aktivnosti koje se vezane za teritoriju Republike Srbije. Stavom 2. istog člana predviđeno je da se zakon ne primenjuju se na obradu podataka fizičkog lica za lične potrebe, odnosno za potrebe svog porodičnog domaćinstva, uz zakonsku novinu da se ne primenjuje ni na neautomatizovanu obradu podataka o ličnosti koji ne čini deo zbirke podataka ili nisu namenjeni zbirci podataka. Iako se ovaj dodatak zakonskog rešenja podrazumevao, zbog lakšeg tumačenja u praksi bilo je potrebno to jasno odrediti, odnosno precizirati. Stav 4. istog člana ukazuje na značaj ovog zakona kao zakona koji u oblasti zaštite podataka o ličnosti ima opšti i sistemski karakter, kao i potrebu da posebni zakoni (obzirom da se zakonom mora urediti prikupljanje, držanje, obrada i korišćenje podataka o ličnosti), kada uređuju obradu podataka moraju biti usklađeni sa ovim zakonom, jer on ovu oblast celovito i najdetaljnije uređuje. Jedan od najvažnijih članova zakona je svakako član 4. u kome su data objašnjenja najznačajnih pojmova koji se u zakonu koriste. U odnosu na važeći zakon (koji sadrži 26 osnovnih pojmova), sada su u zakonu kao novi pojmovi određeni: “anonimizacija”, “kriptozaštita”, “rizik”, “upravljanje rizicima bezbednosti podataka o ličnosti” “video nadzor”, “Akredaciono telo Srbije”, “akreditacija, sertifikat o akreditaciji i ocenjivanje usaglašenosti”, “sertifikaciono telo”, “obavljanje poslova u javnom interesu” i “legitimni interes”. U odnosu na dosadašnja zakonska rešenja značajno su precizirani i pojmovi: “multinacionalno privredno društvo” i “organ vlasti”. Praksa u primeni sadašnjeg zakona je pokazala da bi bilo korisno propisati pojmove “anonimizacija” i “kriptozaštita”, s obzirom je je reč o pojmovima koji su poznati organima vlasti i da je reč o postupcima koji podatke o ličnosti štite od pristupa neovlašćenim licima. Kao što je rečeno novinu predstavlja određivanje pojmova “rizik”, “upravljanje rizicima bezbednosti podataka o ličnosti”. Imajući u vidu da je reč o obavezama vezanim za rukovaoce i obrađivače (propisanim u pododeljku “Upravljanje rizicima bezbednosti podataka o ličnosti”), svakako da je nužno i odrediti značenje ovih osnovnih pojmova. Isto tako, određni su i pojmovi “Akredaciono telo Srbije”, “akreditacija, sertifikat o akreditaciji i ocenjivanje usaglašenosti” i “sertifikaciono telo”, koji su veoma značani za proces sertifikacije i istovremeno izvršeno potrebno usklađivanje sa Zakonom o akreditaciji (“Službeni glasnik RS”, br. 73/10 i 47/21). Kao što je rečeno, jedan od ciljeva zakona je propisivanje obrade podataka o ličnosti u vezi sa video nadzorom. Iz navedenog razloga, nužno je i odrediti značenje tog pojma. U praksi, postojale su značajne nejasnoće šta se smatra pod pojmovima “obavljanje poslova u javnom interesu” i “legitimni interes”. S obzirom da je reč o osnovima za zakonitu obradu podataka o ličnosti, neophodno ih je bilo odrediti u opštem značenju pojmova. Zbog toga, precizirano je da se pod “obavljanjem poslova u javnom interesu” podrazumeva delovanje organa vlasti na zaštiti interesa koji predstavljaju dobrobit za sve građane ili veliku većinu građana Republike Srbije, a naročito: nacionalne bezbednosti, uključujući odbranu, unutrašnju bezbednost, obavljanje bezbednosno-obaveštajnih poslova i međunarodni položaj zemlje; ekonomske i fanansijske stabilnosti; javnog zdravlja; prirodnih resursa i životne sredine; sprečavanje ili otkrivanje krivičnog dela, optuženja za krivično delo, vođenje sudskog ili drugog pravno uređenog postupka, kao i života, zdravlja, bezbednosti ili kojeg drugog važnog dobra nekog lica. Još veći problem u praksi je bio oko toga šta predstavlja pojam “legitimni interes”, kao jedan od osnova za zakonitu obradu podataka. Iz tog razloga, propisano je da se pod ovim pojmom podrazumeva stvaran, konkretan i pravno dopušten interes rukovaoca ili treće strane, koji je poslovnog ili šireg društvenog karaktera, da u okviru uspostavljenog odnosa sa fizičkim licem obrađuje podatke o ličnosti tog lica, uključujući njihov prenos trećoj strani, bez pribavljene saglasnosti tog lica, uz poštovanje principa neophodnosti, podobnosti i srazmernosti u odnosu na ostvarivanje svrhe obrade (sprečavanje prevara, zaštita informacione bezbednosti i dr.), pod uslovom da nad tim interesom ne pretežu interesi ili osnovna prava i slobode lica na koje se podaci odnose, uzimajući u obzir razumna očekivanja tih lica zasnovana na njihovom odnosu sa rukovaocem. Treba istaći i da je pojam “Poverenik” usklađen sa istim pojmom u Zakonu o slobodnom pristupu informacijama od javnog značaja (“Službeni glasnik RS” br. 120/04, 54/07, 104/09, 36/10 i 105/21), s obzirom da su tim zakonom uređni sedište Poverenika, izbor Poverenika i zamenika Poverenika, prestanak njihovog mandata, postupak njihovog razrešenja, njihov položaj, Stručna služba Poverenika, kao i finansiranje i podnošenje izveštaja, što propisuje i ovaj zakon (član 150). Glava druga zakona (Obrada podataka o ličnosti čl. 5. do 53) uređuje načela koja se odnose na obradu podataka, zakonitost obrade, transparentnost obrade, obradu podataka u druge svrhe, obradu posebnih kategorija podataka o ličnosti, posebne slučajeve obrade podataka o ličnosti, obradu genetičkih i biometrijskih podataka, obradu podataka o ličnosti upotrebom video nadzora i obradu podataka o ličnosti korišćenjem veštačke inteligencije. Odeljak 1. ove glave zakona uređuje osnovna načela obrade podataka o ličnosti. Član 5. Predloga zakona propisuje načela obrade podataka o ličnosti. Ta načela su sledeća: zakonitost, poštenje, transparentnost, ograničenje u odnosu na svrhu obrade, minimizacija podataka, tačnost, ograničenje čuvanja, integritet i poverljivost i odgovornost za postupanje. Osnovna načela izražavaju osnovne vrednosti u oblasti obrade podataka o ličnosti i zaštiti prava lica u vezi sa obradom podataka. Načelo zakonitosti (član 5) podrazumeva da se podaci o ličnosti moraju obrađivati zakonito, na način kojim se obezbeđuje predvidljivost u postupanju rukovaoca, jednakost pred zakonom i zaštita prava fizičkog lica u vezi sa obradom njegovih podataka o ličnosti. Načelo poštenja (član 6) određuje da brada podataka o ličnosti mora biti poštena, odnosno zasnovana na pravičnim osnovama, pri čemu je rukovalac dužan da prilikom obrade vodi računa o opravdanim interesima i razumnim očekivanjima lica na koje se podaci odnose. Načelo transparentonosti (član 7) predviđa da je transparentna obrada ona obrada podataka o ličnosti pri kojoj rukovalac omogućava licu na koje se podaci odnose da bude obavešteno o obradi na jasan, razumljiv i lako dostupan način. Načelo ograničenje u odnosu na svrhe obrade (član 8) podrazumeva da se podaci o ličnosti moraju prikupljati samo u svrhe koje su konkretno određene, izričite, opravdane i zakonite i dalje se ne mogu obrađivati na način koji nije u skladu sa tim svrhama. Načelo minimizacije podataka (član 9) podrazumeva da podaci koji se obrađuju moraju biti neophodni i bitni i ograničeni samo na ono što je neophodno u odnosu na svrhu obrade. Načelo tačnosti podataka (član 10) podrazumeva ne samo da podaci o ličnosti moraju biti tačni, nego i da se moraju preduzeti sve potrebne mere da se netačni podaci o ličnosti bez odlaganja izbrišu ili isprave. Načelo ograničenje čuvanja (član 11) podrazumeva da se podaci moraju čuvati u obliku koji omogućava idektifikaciju lica samo u vremenskom periodu neophodnom za ostvarivanje svrhe obrade. Načelo integriteta i poverljivosti (član 12) podrazumevaju da se podaci moraju obrađivati na način koji obezbeđuje odgovarajuću zaštitu podataka o ličnosti, što uključuje zaštitu podataka od neovlašćene ili nezakonite obrade, od slučajnog gubitka, od uništenja ili oštećenja, kao i primenu odgovarajućih mera zaštite. Načelo odgovornosti za postupanje (član 13) određuje da je rukovalac odgovoran za poštovanje i primenu osnovnih načela obrade podataka o ličnosti i da je dužan da predoči njihovu primenu. Član 14. zakona propisuje pravne osnove za obradu podataka o ličnosti. Uslov za zakonitost obrade ako se zasniva na jednom od osnova za obradu podataka, kao i ako su ispunjeni propisani uslovi u pogledu svakog od tih osnova. Ti osnovi su sledeći: poštovanje zakonskih obaveza rukovaoca; obavljanje poslova u javnom interesu ili izvršenje zakonom propisanih ovlašćenja rukovaoca; zaštita životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica; pristanak lica na obradu podataka o ličnosti, za jednu ili više posebno određenih svrha; izvršenje ugovora zaključenog sa licem na koje se podaci odnose i ostvarivanje legitimnih interesa rukovaoca ili treće strane. Kada je osnov za obradu podataka o ličnosti poštovanje zakonskih obaveza rukovaoca, odnosno obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja rukovaoca, obrada je zakonita ako je neophodna u cilju ostvarivanja svrhe obrade i pod uslovom da je, kao takva, određena zakonom (član 15). U slučaju obrade u cilju poštovanja zakonskih obaveza rukovaoca, posebnim zakonom se određuje i svrha obrade. U slučaju obrade u cilju obavljanja poslova u javnom interesu ili izvršenje zakonom propisanih ovlašćenja rukovaoca, zakonom se određuje javni interes koji se namerava ostvariti obavljanjem konkretnog posla, odnosno ovlašćenje koje se primenjuje, kao i obaveza poštovanja principa srazmernosti obrade u odnosu na cilj ostvarivanja svrhe. Kada je u pitanju zaštita životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica, posebnim zakonom se mogu propisati i uslovi za dozvoljenost obrade od strane rukovaoca, vrsta podataka koji su predmet obrade, lica na koje se podaci o ličnosti odnose, lica kojima se podaci mogu otkriti i svrha njihovog otkrivanja, ograničenja koja se odnose na svrhu obrade, rok skladištenja i čuvanja podataka, kao i druge posebne radnje i postupak obrade, uključujući i mere za obezbeđivanje zakonite, poštene i transparentne obrade. Obrada podataka o ličnosti je zakonita ako je rukovalac u mogućnosti da predoči da je obrada neophodna u cilju ostvarivanja svrhe obrade, kada se radi o zaštiti životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica kaoosnovu za obradu (član 16). Članom 17. zakona je uređeno pitanje pristanka kao osnova za obradu podataka. Pristanak lica na obradu podataka o ličnosti mora biti dobrovoljan, određen i nedvosmislen, u vidu izjave, jasne potvrdne, odnosno druge konkludentne radnje, donete na osnovu svih potrebnih informacija. Kada pristanak daje maloletno lice u vezi sa korišćenjem usluga informacionog društva (član 18), predviđeno je da takav pristanak može samostalno da daje maloletno lice koje je navršilo 15 godina života. Ako to nije slučaj, pristanak mora dati roditelj koji vrši roditeljsko pravo, odnosno drugi zakonski zastupnik maloletnog lica. Prilikom određivanja ove starosne granice imalo se u vidu da maloletnik od 15 godina može da zasnuje radni odnos, kao i da se radi o davanju saglasnosti za obradu podataka o ličnosti u korišćenju usluga informacionog društva, koje maloletnici i inače veoma često koriste, zbog čega je uzrast od 15 godina primeren za samostalno davanje ovakve saglasnosti. Kada je osnov za obradu podataka o ličnosti izvršenje ugovora, obrada je zakonita ako je neophodna za izvršenje ugovora zaključenog sa licem na koje se podaci odnose ili se radi o neophodnosti obrade podataka o ličnosti u vezi sa preduzimanjem radnji, a na zahtev lica na koje se podaci odnose,i to pre zaključenja ugovora (član 19). Ako je osnov za obradu podataka o ličnosti ostvarivanje legitimnih interesa rukovaoca ili treće strane (član 20), obrada je zakonita ako je neophodna u cilju ostvarivanja tih interesa, osim ako su nad tim interesima pretežniji interesi ili osnovna prava i slobode lica na koje se podaci odnose, koji zahtevaju zaštitu podataka o ličnosti, a posebno ako je lice na koje se podaci odnose maloletno lice. Ovaj osnov za obradu podataka se ne može primeniti na obradu koju vrši organ vlasti u okviru svoje nadležnosti. Transparentnost obrade bliže je uređena čl. 21. do 27. zakona (Odeljak 3. iste glave zakona). Obrada podataka o ličnosti je transparentna ako je rukovalac preduzeo odgovarajuće mere da informiše lice na koje se podaci odnose o nameravnoj obradi podataka o ličnosti, u slučaju kada se podaci prikupljaju od njega lično, odnosno o započetoj obradi, kada se podaci ne prikupljaju od lica na koje se odnose, kao i ostvarivanju drugih prava propisanih ovim zakonom, u vezi sa obradom podataka o ličnosti. Informacije se pružaju na jasan, transparentan, razumljiv i lako dostupan način, korišćenjem jasnih i jednostavnih reči, a posebno ako se radi o informaciji koja je namenjena maloletnom licu (član 21). Kada se podaci o ličnosti prikupljaju od lica na koje se odnose, rukovalac je dužan da tom licu pruži informacije o identitetu i kontakt podacima rukovaoca, kao i njegovog predstavnika, ako je on određen; kontakt podatke lica za zaštitu podataka o ličnosti, ako je ono određeno; o svrsi nameravane obrade i pravnom osnovu za obradu; o vrsti podataka koji se obrađuju; o legitimnom interesu rukovaoca ili treće strane o primaocu, odnosno grupi primalaca podataka o ličnosti, ako oni postoje, kao i o činjenici da rukovalac namerava da iznese podatke o ličnosti u drugu državu ili međunarodnu organizaciju (član 22). Pored toga, licu na koje se podaci odnose je dužan da pruži i druge dodatne informacije navedene u članu 23. zakona. Kada je u pitanju slučaj kada se podaci podaci o ličnosti ne prikupljaju od lica na koje se podaci odnose, ostaje ista obaveza rukovaoca pružanja osnovnih informacija o obradu, kao i pružanja dodatnih informacija, ako su iste neophodne da bi se obezbedila poštena i transparentna obrada, kao i informaciju o izvoru iz kog potiču podaci o ličnosti (član 24). Kada rukovalac namerava da dalje obrađuje podatke o ličnosti u svrhu koja je različita od one za koju su podaci prikupljeni, rukovalac je dužan da pre započinjanja dalje obrade, licu na koje se podaci odnose, bez obzira da li se podaci prikupljaju od tog lica ili lica na koje se podaci ne odnose, pruži informacije o toj drugoj svrsi, kao i sve druge bitne dodatne informacije (član 25). Članom 26. zakona propisani su slučajevi oslobođenja rukovaoca obaveze pružanja informacija. Kada je u pitanju lice na koje se podaci odnose, obaveza ne postoji ako lice već raspolaže tim informacijama. Kada nije u pitanju prikupljanje podataka od lica na koje se podaci odnose, oslobođenje od obaveze pružanja informacija postoji ako je pružanje takvih informacija nemoguće ili bi zahtevalo nesrazmeran utrošak vremena i sredstava; ako je verovatno da bi izvršenje obaveza pružanja informacija onemogućilo ili bitno otežalo ostvarivanje svrhe obrade; ako je prikupljanje ili otkrivanje podataka o ličnosti izričito propisano zakonom i ako se podaci o ličnosti moraju zaštititi u skladu sa obavezom čuvanja profesionalne tajne. Rokovi za pružanje informacija su propisani u članu 27. zakona, pri čemu se takođe pravi razlika između pružanja informacija licu na koje se podaci odnose, odnosno u slučaju kada se podaci o ličnosti ne prikupljaju od lica na koje se podaci odnose. Četvrti odeljak iste glave zakona uređuje obradu u druge svrhe (čl. 28. do 31). Obrada podataka o ličnosti u druge svrhe je ona obrada kod koje se svrha obrade razlikuje od svrhe za koju su podaci prvobitno prikupljeni, ako su ispunjeni sledeći uslovi: da se podaci obrađuju od strane istog rukovaoca; da postoji međusobna usklađenost između svrhe za koju su podaci prvobitno prikupljeni. Smatra se da se podaci o ličnosti ne obrađuju na način koji nije u skladu sa prvobitnom svrhom, ako se dalja obrada vrši u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja, kao i u statističke svrhe. Obrada podataka u druge svrhe može biti zasnovana i na posebnom zakonu, odnosno pristanku lica na koje se podaci o ličnosti odnose. Kada obrada podataka o ličnosti u svrhu koja je različita od svrhe za koju su podaci prikupljeni nije zasnovana na zakonu ili na pristanku lica na koje se podaci odnose, rukovalac je dužan da oceni da li je ta druga svrha obrade međusobno usklađena sa svrhom obrade za koju su podaci prikupljeni. Tom prilikom se posebno uzima u obzir: da li postoji veza između svrhe za koju su podaci prikupljeni i druge svrhe nameravane obrade; okolnosti u kojima su podaci prikupljeni, uključujući i odnos između rukovaoca i lica na koje se podaci odnose; priroda podataka, a posebno da li se obrađuju posebno osetljivi podaci o ličnosti, odnosno podaci o ličnosti u vezi sa kažnjivim delima i sudskim odlukama u krivičnom i prekršajnom postupku; moguće posledice dalje obrade za lice na koje se podaci odnose i primena odgovarajućih mera zaštite, kao što su kriptozaštita i pseudonimizacija. Peti odeljak iste glave zakona uređuje obradu posebnih kategorija podataka o ličnosti (čl. 32. do 34). Reč je obradi posebno osetljivih podataka o ličnosti, obradi podataka u vezi sa kažnjivim delima i obradi podataka koja ne zahteva identifikaciju. Posebno osetljivi podaci o ličnosti su podaci kojima se otkriva rasno ili etničko poreklo, političko mišljenje, uključujući i članstvo u političkom subjektu, versko ili filozofsko uverenje ili članstvo u sindikatu, kao i obrada genetičkih podataka, biometrijskih podataka u cilju jedinstvene identifikacije lica, podataka koji se odnose na zdravlje ili podataka o seksualnom životu ili seksualnoj orijentaciji fizičkog lica. Načelno, zbog njihove osetljivosti, zabranjena je obrada ovakvih podataka, međutim zakon izričito propisuje deset izuzetaka kada je obrada ovakvih podataka dopuštena. Reč je o slučajevima kada je lice na koje se podaci odnose dalo izričit pristanak za obradu, ako je obrada neophodna u cilju izvršenja obaveza propisanim zakonom, u cilju zaštite životnih interesa lica na koje se podaci odnose i drugo, odnosno o onim situacijama kada je ovakvo odstupanje opravdano. Obrada podataka o ličnosti koji se odnose na kažnjiva dela i odluke donete u krivičnom i prekršajnom postupku, može se vršiti ako je zasnovana na jednom od osnova za obradu, i to samo pod nadzorom nadležnog organa, uz punu primenu odgovarajućih posebnih mera zaštite prava i sloboda lica na koje se podaci odnose. Sa druge strane, evidencije o odlukama donetim u krivičnom i prekršajnom postupku mogu se voditi isključivo od strane i pod nadzorom nadležnog organa. Obrada koja ne zahteva identifikaciju je ona obrada kada za ostvarivanje svrhe obrade nije potrebno, odnosno više nije potrebno da rukovalac identifikuje lice na koje se podaci odnose. U tom slučaju, rukovalac nije dužan da zadrži, pribavi ili obradi dodatne informacije radi identifikacije tog lica, pri čemu se ne primenjuju odredbe zakona kojima se uređju prava lica na pristup, ispravku ili dopunu i brisanje podataka o ličnosti, kao i prava na ograničenje obrade, obavezu obaveštavanja u vezi sa ispravkom ili brisanjem podataka i pravo na prenosivost podataka, osim ako lice na koje se podaci odnose ne dostavi dodatne informacije o svojoj identifikaciji. Šestim odeljkom iste glava zakona uređeni su posebni slučajevi obrade podataka o ličnosti (čl. 35. do 44). Posebni slučajevi obrade podataka imaju svoje specifičnosti u odnosu na ostale odredbe zakona, pa su zbog toga predviđene u posebnom odeljku. Reč je o obradi podataka o ličnosti koja se vrši u svrhe novinarskog istraživanja i objavljivanja informacija u medijima, kao i svrhe naučnog, umetničkog ili književnog izražavanja, odnosu obrade podataka o ličnosti i slobodnog pristupa informacijama od javnog značaja, obradi jedinstvenog matičnog broja građana, obradi podataka u oblasti rada i zapošljavanja, zaštiti i ograničenju primene odredbi zakona na obradu podataka u svrhe arhiviranja u javnom interesu, naučnog ili istorijskog istraživanja i u statističke svrhe, obradi podataka o ličnosti od strane crkava i verskih zajednica, kao i obradi podataka o ličnosti u humanitarne svrhe od strane organa vlasti. Na obradu podataka o ličnosti koja se vrši u svrhe novinarskog istraživanja i objavljivanja informacija u medijima, kao i u svrhe naučnog, umetničkog ili književnog izražavanja, ne primenjuju se značajan deo odredbi ovog zakona kojima,pod uslovom da su, u konkretnom slučaju, izuzeci od primene zakonskih odredbi neophodni u cilju zaštite slobode izražavanja i informisanja. Dakle, odmeravanje pretežnijeg interesa između dva zaštićena dobra mora se ceniti u svakom konkrtnom slučaju. Sa druge strane, to svakako ne oslobađa rukovaoca, odnosno obrađivača na primenu pojedinih mera zaštite podataka o ličnosti, kao što su pseudonimizacija i anonimizacija, na način kojim se obezbeđuje da se sloboda izražavanja i informisanja i pravo na zaštitu podataka o ličnosti mogu ostvariti zajedno (član 35). Slična situacije je kod odnosa između podataka o ličnosti i slobodnog pristupa informacijama od javnog značaja. U članu 36. zakon predviđa da informacije od javnog značaja koje sadrže podatke o ličnosti mogu biti učinjene dostupnim tražiocu informacije od strane organa vlasti na način kojim se obezbeđuje da se pravo javnosti da zna i pravo na zaštitu podataka o ličnosti mogu ostvariti zajedno, u meri propisanoj zakonom kojim se uređuje slobodan pristup informacijama od javnog značaja i ovim zakonom, uključujući primenu mera zaštite podataka o ličnosti, a posebno anonimizaciju. Kada je u pitanju obrada jedinstvenog matičnog broja građana, primenjuju se odredbe zakona kojim se uređuje jedinstveni matični broj građana, odnosno drugog zakona, uz primenu odredbi ovog zakona koje se odnose na zaštitu prava i sloboda lica na koje se podaci odnose (član 37. stav 1). Zakonsku novinu predstavlja propisivanje izričite zabrane radnji obrade jedinstvenog matičnog broja građana (stav 2. istog člana), kojom se ovaj broj čini javno dostupnim neograničenom broju lica. Imajući u vidu da je u praksi bilo zloupotreba oko obrade jedinstvenog matičnog broja građana, a posebno objavljivanjem na društvenim mrežama, neophodno je propisati ovakvu izričitu zabranu. Nepoštovanje ove zakonske odredbe predstavlja i osnov za prekršajnu odgovornost, s obzirom da je takva radnja propisana kao poseban prekršaj u kaznenim odredbama zakona. U odnosu na važeće zakonsko rešenje, precizirana je obrada podataka o ličnosti u oblasti rada i zapošljavanja (član 38). Propisano je da se na ovu oblast primenjuju se odredbe zakona kojima se uređuje rad i zapošljavanje i kolektivni ugovori, uz primenu odredbi ovog zakona. Dodatno preciziranje se odnosi da poseban zakon, u odredbama koje se odnose na zaštiti podataka o ličnosti, mora propisati i posebne mere zaštite dostojanstva ličnosti, legitimnih interesa i osnovnih prava lica na koje se podaci odnose, posebno u odnosu na transparentnost obrade, razmenu podataka o ličnosti unutar multinacionalnog privrednog društva, odnosno grupe privrednih društava, kao i sistem nadzora nad obradom podataka o ličnosti u radnoj sredini. Član 39. zakona posebno uređuje obradu podataka u svrhe arhiviranja u javnom interesu i precizira takvu vrstu obrade, dok član 40. zakona obradu podataka u svrhe naučnog ili istorijskog istraživanja, a član 41. zakona obradu u statističke svrhe. Važećim zakonom (član 92) sve navedene obrade u posebne svrhe bile su uređene jednim članom, međutim zbog jasnoće zakonskog teksta i potrebe dodatnog zakonskog preciziranja radi lakše primene u praksi, bilo je neophodno obradu podataka u svakom od tih slučajeva pojedinačno urediti. U čl. 42. i 43. zakona uređena je obrada podataka od strane crkve i verske zajednice, odnosno obrada u humanitarne svrhe od strane organa vlasti. U tim odredbama nema značajnijih odstupanja od odredaba važećeg zakona. Zakonsku novinu predstavljaju odredbe člana 44. Reč je obradi podataka u svrhe podnošenja pravnog zahteva, kao posebnom slučaju obrade podataka o ličnosti. S obzirom da je obrada podataka u svrhe podnošenja pravnog zahteva u pravno uređenom postupku vezan za ostvarivanje pojedinih zakonskih prava, potrebno je i bliže urediti međusoban odnos različitih zakona u tim slučajevima. Video nadzor i njegova upotreba nije sistemski uređena krovnim celovitim zakonom u Republici Srbiji, zbog čega je neophodno korišćenje sistema video nadzora i obradu podataka o ličnosti urediti u ovom zakonu (Sedmi odeljak iste glave zakona - čl. 45 do 51). Dodatni razlog predstavlja i činjenica široke upotrebe video nadzora u današnje vreme, kao i nepostojanje jasnih pravila ovakve obrade podataka i zaštite podataka o ličnosti. Uporedno-pravni zakoni većeg broja drugih država (pa i država u regionu) već sadrži određni broj pravila u okviru zakona koji uređuje zaštitu podataka o ličnosti. U značenju osnovnih izraza (član 4. tačka 20) zakona)) video nadzor je određen kao sistem koji se koristi za monitoring, odnosno nadziranje određenog prostora, zatvorenog ili otvorenog, putem kamera kojima se vrši prikupljanje i dalja obrada podataka o ličnosti. Najvažnije odredbe člana 45. zakona su da se: - obrada podataka o ličnosti upotrebom sistema video nadzora, može vršiti samo u svrhu koja je neophodna i opravdana za zaštitu lica, imovine, podataka koji su određeni za tajne i podataka koji su određeni kao poslovna tajna, pod uslovom da u konkretnom slučaju interesi lica na koja se podaci odnose ne pretežu nad interesom obrade podataka u navedene svrhe; - da je zabranjeno korišćenje sistema video nadzora u prostorijama za odmor, ličnu higijenu, presvlačenje i drugim prostorijama odnosno prostoru gde lice opravdano očekuje veći nivo privatnosti; - da je rukovalac dužan da vidno obeleži objekat, prostor, prostoriju u njemu i spoljnu površinu objekta koji je pod video nadzorom; - da se snimci dobijeni putem video nadzora čuvaju se najduže do šest meseci; - da sistem video nadzora mora biti zaštićen od pristupa neovlašćenih lica. - da je pristup, korišćenje ili prenos snimaka sistema video nadzora dozvoljen je samo u svrhe koje su postojale u vreme nastanka snimka, kao i da je zabranjena upotreba sistema video nadzora za daljinsku, masovnu i neselektivnu biometrijsku identifikaciju lica. Obaveštenje o video nadzoru mora biti vidno istaknuto, predstavljeno grafičkim simbolima i praćeno odgovarajućim tekstom, koji obavezno sadrži naznaku da je prostor pod video nadzorom, naziv rukovaoca, kao i kontakt podatke rukovaoca, putem kojih lice može dobiti informacije u vezi sa obradom podataka i ostvariti svoja prava (član 46). Rukovalac može upotrebom sistema video nadzora da vrši obradu podataka o ličnosti u vezi sa pristupom u službene, odnosno poslovne prostorije i prostore, ukoliko je to neophodno u svrhu zaštite bezbednosti lica i imovine, kontrole ulaska ili izlaska iz poslovnog prostora ili ako zbog prirode posla postoji povećani rizik za zaposlene i druge korisnike tog prostora (član 47). O uvođenju video nadzora rukovalac mora doneti odluku u pismenoj formi, koja sadrži razloge za njegovo uvođenje. Značajno je i to da je zabranjen pristup snimcima sistema video nadzora preko interne kablovske televizije, javne kablovske televizije ili drugih sredstava za elektronsku komunikaciju kojima se takvi snimci mogu preneti, bilo u trenutku njihovog nastanka ili nakon toga, ali i to da rukovalac može sistemom video nadzora da obuhvati i javni prostor koji je u neposrednoj blizini tog poslovnog prostora (naravno pod uslovom da je to neophodno zbog zaštite bezbednosti lica i imovine). Slične su i odredbe člana 48. zakona koje uređuju video nadzor u poslovnom prostoru, uz specifičnost da je rukovalac dužan da pre donošenja odluke o uvođenju sistema video nadzora u poslovnom prostoru obavesti reprezentativni sindikat kod rukovaoca, kao i da je zabranjeno korišćenje sistema video nadzora u svrhu praćenja rada zaposlenih. Kada se vrši obrada podataka o ličnosti primenom sistema video nadzora, bez obzira na to da li je ta obrada propisana zakonom ili se sprovodi na osnovu odluke, rukovalac je dužan da vodi evidenciju koja omogućava naknadno utvrđivanje koji su snimci obrađeni, kada i kako su korišćeni ili kome su prosleđeni, ko je izvršio ove radnje obrade, kada i u koju svrhu i po kom pravnom osnovu. Podaci iz evidencije čuvju se godinu dana (član 49). Kod uspostavljanja sistema video nadzora u stambenim, odnosno poslovno-stambenim zgradama, potrebna je pismena odluka stambene zajednice (član 50). Odluka je doneta je ako se za nju izjasne članovi skupštine stambene zajednice. Zabranjen je pristup sistemu video nadzora preko interne kablovske televizije, javne kablovske televizije ili drugih sredstava za elektronsku komunikaciju, kojima se takvi snimci mogu preneti, bilo u trenutku njihovog nastanka ili nakon toga. Zabranjeno je vlasnicima privatnog stana ili kuće da za lične potrebe, odnosno za potrebe svog domaćinstva, uspostavljaju i koriste sistem video nadzora na način kojim ugrožava prava drugih uključujući snimanje javnog prostora, kao i prostora koje koriste drugi. Upotreba video nadzora na javnim površinama dozvoljena je samo organima javne vlasti, pravnim licima s javnim ovlašćenjima i pravnim licima koja obavljaju poslove u javnom interesu, ako je propisana zakonom i neophodna za izvršenje poslova i ovlašćenja organa javne vlasti ili radi zaštite života i zdravlja ljudi i imovine (član 51). Osmi pododeljak zakona uređuje obradu podataka o ličnosti korišćenjem veštačke inteligencije. Kao što je rečeno u razlozima za donošenje zakona, korišćenje veštačke inteligencije i njen odnos prema obradi podataka o ličnosti je nužno urediti u ovom zakonu. Posebno zbog značaja koji korišćenje veštačke inteligencije sve više ima u savremenom društvu. Član 52. zakona daje osnovna pravila u vezi korišćenja veštačke inteligencije, a to su: obrada podataka o ličnosti u svrhu primene, može se vršiti ako je u skladu sa prvobitnom svrhom za koju su podaci prikupljeni, a u izuzetnim slučajevima na osnovu legitimnog interesa rukovaoca ili trećeg lica koji preteže nad pravima i slobodama lica čiji se podaci obrađuju. Pri takvoj obradi rukovalac je u obavezi da primenjuje odgovarajuće tehničke, organizacione i kadrovske mere zaštite podataka, naročito kako bi se obezbedilo poštovanje načela minimizacije, što uključuje pseudonimizaciju ili anonimizaciju. Lice čiji se podaci obrađuju može ostvariti pravo na pristup i prigovor, osim ako to ne bi značajno otežalo ostvarivanje svrhe ili ako rukovalac ne može da identifikuje to lice. Odredbe ovog zakona kojim se uređuje pravo na ispravku ili dopunu podataka, ograničenje obrade, prava u vezi sa automatizovanim donošenjem pojedinačnih odluka, pravo na brisanje, kao i pravo na prenosivost podataka, ne primenjuju se. Podaci o ličnosti se brišu, nakon ispunjenja svrhe obrade podataka o ličnosti korišćenjem sistema veštačke inteligencije. Stavom 1. člana 53. zakona propisani su uslovi po kojim je dozvoljena obrada podataka korišćenjem veštačke inteligencije u zavisnosti od sistema veštatke inteligencije u kojima se podaci obrađuju. Lice čiji se podaci obrađuju mora biti obavešteno o korišćenju sistema veštačke inteligencije na jasan i pristupačan način, najkasnije u trenutku prve interakcije ili prvog izlaganja sadržaja. Pored toga, istim članom zakona propisano je i da obrada podatka o ličnosti isključivo upotrebom sistema veštačke inteligencije nije dozvoljena ako može da proizvede štetne posledice po lice na koje se podaci odnose ili značajno utiče na položaj tog lica, odnosno ako je posebnim zakonom zabranjeno korišćenje takvih sistema. Tu postoji i izuzetak da je obrada podataka upotrebom isključivo sistema veštačke inteligencije dozvoljena kada se obrada vrši u statističke, naučne ili istorijske svrhe. Propisana je i obaveza rukovaoca da je dužan da označi da je u pitanju generisani, odnosno modifikovan sadržaj, osim ako je u pitanju sistem veštačke inteligencije namenjen otkrivanju i gonjenju učinioca krivičnog dela. Glava treća zakona (Prava lica u vezi sa obradom podataka o ličnosti čl. 54. do 66) uređuje prava lica na koje se podaci odnose, ograničenja prava i obaveza, kao i postupak po zahtevu za ostvarivanje prava. Prava lica na koji se podaci odnose su uređena čl. 54. do 62. Članom 54. zakona uređuje se pravo lica na pristup podacima o ličnosti, uključujući pravo da dobije informaciju o obradi, kao i kopiju podataka koji se obrađuju. Propisuje se i obim informacija koje je rukovalac dužan da pruži, način dostavljanja, kao i ograničenja radi zaštite prava drugih lica. Pravo lica na ispravku netačnih i dopunu nepotpunih podataka o ličnosti, bez nepotrebnog odlaganja, u skladu sa svrhom obrade uređeno je članom 55. zakona dok je članom 56. zakona propisano pravo na brisanje podataka o ličnosti, kao i uslovi pod kojima je rukovalac dužan da izvrši brisanje. Uređuje se i obaveza rukovaoca u slučaju javne objave podataka (“pravo na zaborav”). Članom 57. zakona propisuju se izuzeci od prava na brisanje podataka, u slučajevima kada je obrada neophodna radi ostvarivanja zakonom utvrđenih ciljeva, uključujući javni interes i zaštitu pravnih zahteva, dok se članom 58. zakona uređuje pravo na ograničenje obrade podataka o ličnosti, kao i uslovi pod kojima se ovo pravo može ostvariti, uključujući obaveze rukovaoca u slučaju prestanka ograničenja. Obaveza rukovaoca da obavesti primaoce podataka o izvršenim ispravkama, brisanju ili ograničenju obrade, kao i pravo lica da bude informisano o tim primaocima propisana je članom 59. zakona, dok je članom 60. zakona propisano pravo na prenosivost podataka, odnosno pravo lica da svoje podatke primi u odgovarajućem formatu i prenese drugom rukovaocu, pod propisanim uslovima. Članom 61. zakona uređuje se pravo lica na prigovor na obradu podataka o ličnosti, kao i obaveza rukovaoca da obustavi obradu, osim u slučaju postojanja pretežnih zakonskih razloga, dok se članom 62. zakona uređuje pravo lica na zaštitu u vezi sa automatizovanim donošenjem odluka, uključujući profilisanje, kao i izuzeci i mere zaštite u tim slučajevima. Drugim odeljkom iste glave zakona uređena su ograničenja prava i obaveza. Pre svega članom 63. zakona propisuju se uslovi pod kojima je moguće ograničiti prava lica na koje se podaci odnose i obaveze rukovaoca u vezi sa obradom podataka o ličnosti. Propisuje se da se takva ograničenja mogu uvesti isključivo zakonom, uz obavezu poštovanja suštine osnovnih prava i sloboda, kao i načela neophodnosti i srazmernosti u demokratskom društvu. Na ovaj način se taksativno utvrđuju legitimni ciljevi radi čije zaštite je moguće propisati ograničenja, kao što su nacionalna bezbednost, sprečavanje i gonjenje krivičnih dela, zaštita važnih ekonomskih i finansijskih interesa države, javno zdravlje, nezavisnost pravosuđa i druga zakonom utvrđena dobra. Istovremeno, propisuje se pravo lica da bude informisano o ograničenju, osim u slučajevima kada bi takvo informisanje ugrozilo svrhu ograničenja. Na ovaj način se obezbeđuje balans između zaštite javnog interesa i očuvanja osnovnih prava lica. Članom 64. zakona bliže se uređujuu kriterijumi koje je zakonodavac dužan da uzme u obzir prilikom propisivanja ograničenja prava i obaveza iz oblasti zaštite podataka o ličnosti. Cilj ove odredbe je da se obezbedi da svako ograničenje bude jasno definisano, predvidivo i proporcionalno konkretnoj svrsi. Propisivanjem elemenata kao što su svrha i vrsta obrade, vrsta podataka, obim ograničenja, mere zaštite, rokovi čuvanja i rizici po prava i slobode lica, obezbeđuje se da ograničenja ne budu proizvoljna, već zasnovana na objektivnim i proverljivim kriterijumima. Ovakvim pristupom jača se pravna sigurnost i obezbeđuje usklađenost sa međunarodnim standardima u oblasti zaštite podataka o ličnosti. Treći odeljak iste glave zakona predstavlja zakonsku novinu, budući da je ocenjeno da je neophodno bliže urediti postupak po zahtevu za ostvarivanje prava, kao i preciziranje rokova za postupanje po zahtevu za ostvarivanje prava. Postupak podnošenja zahteva za ostvarivanje prava, sadržina zahteva, kao i postupanje rukovaoca u slučaju neurednog ili nepotpunog zahteva uređuje se članom 65. zakona, dok se članom 66. ovog zakona uređuju rokovi za postupanje rukovaoca po zahtevu lica, kao i obaveza obaveštavanja u slučaju produženja roka ili nepostupanja po zahtevu. Glava IV. zakona (obaveze rukovaoca, obaveze obrađivača, evidencije, upravljanje rizicima bezbednosti podataka o ličnosti, lice za zaštitu podataka o ličnosti, sertifikat o zaštiti podataka o ličnosti kao i kodeks postupanja čl 67. do 101). Obaveze rukovaoca uređene su u prvom poglavlju ove glave (čl. 67. i 68). Članom 67. zakona uspostavljaju se osnovni princip odgovornosti rukovaoca u sistemu zaštite podataka o ličnosti koji predstavlja jednu od ključnih odredaba zakona. Rukovalac je dužan da, prilikom određivanja načina obrade, kao i tokom celokupnog trajanja obrade, primenjuje odgovarajuće tehničke, organizacione i kadrovske mere. Ove mere moraju biti srazmerne prirodi, obimu, kontekstu i svrsi obrade, kao i procenjenom riziku po prava i slobode fizičkih lica. Cilj ovako definisane odredbe je na preventivnom delovanju, a to je da rukovalac nije dužan samo da reaguje nakon nastanka rizika, već da unapred uredi sistem obrade tako da rizik svede na minimum. Istovremeno, zakon uvodi obavezu da rukovalac mora biti u stanju da u svakom trenutku pokaže da je obrada usklađena sa zakonom. Član 68. zakona uređuje situacije u kojima više rukovaoca zajednički određuje svrhu i način obrade podataka, čime oni stiču status zajedničkih rukovaoca. Zakon u takvim slučajevima zahteva da se na transparentan način uredi odgovornost svakog od zajedničkih rukovaoca, posebno u pogledu ostvarivanja prava lica čiji se podaci obrađuju. Drugim odeljkom iste glave zakona uređuje se obrađivač i njegove obaveze (čl 69. do 72). Članom 69. zakona definisan je pravni položaj obrađivača kao lica koje obrađuje podatke u ime i po nalogu rukovaoca. Obrađivač ne deluje samostalno, već isključivo u okviru instrukcija koje dobija od rukovaoca. On je dužan da obezbedi odgovarajući nivo bezbednosti podataka i da garantuje da će obrada biti u skladu sa zakonom. Posebno se uređuje pitanje poveravanja obrade drugom obrađivaču, koje je dozvoljeno samo uz izričito ovlašćenje rukovaoca. Takođe, ako obrađivač prekorači ovlašćenja i sam odredi svrhu ili način obrade, on gubi status obrađivača i postaje rukovalac u odnosu na tu obradu, čime preuzima punu odgovornost. Član 70. zakona uvodi obavezu uređenja odnosa između rukovaoca i obrađivača putem ugovora ili drugog pravno obavezujućeg akta. Ovaj ugovor predstavlja ključni instrument kontrole nad obradom podataka i mora sadržati sve bitne elemente obrade: predmet, trajanje, svrhu, vrste podataka, kategorije lica i prava i obaveze ugovornih strana. Poseban značaj imaju odredbe koje se odnose na obaveze obrađivača, pre svega da postupa isključivo po uputstvima rukovaoca, da primenjuje mere bezbednosti, da reguliše angažovanje podobrađivača, kao i da po prestanku odnosa podatke vrati ili izbriše. Ovim se obezbeđuje pravna sigurnost i kontrola nad celokupnim procesom obrade. Član 71. zakona propisuje pravnu uređenost obrade od strane drugog obrađivača, odnosno situaciju u kojoj obrađivač angažuje drugog obrađivača. Takvo angažovanje je dozvoljeno samo uz prethodno ovlašćenje rukovaoca i uz obavezu da se na drugog obrađivača prenesu iste obaveze zaštite podataka koje važe za prvobitnog obrađivača. Zakon posebno naglašava da primarni obrađivač ostaje odgovoran rukovaocu za postupanje svih podobrađivača, čime se sprečava izbegavanje odgovornosti čime se obezbeđuje jedinstvo odgovornosti i kontrola u svim fazama obrade. Članom 72. zakona uvodi se obaveza imenovanja predstavnika u Republici Srbiji za rukovaoce i obrađivače koji nemaju sedište u Srbiji, ali obrađuju podatke lica koja se nalaze na teritoriji Republike Srbije. Predstavnik ima ulogu kontakt tačke između nadzornog organa, lica čiji se podaci obrađuju i stranog rukovaoca ili obrađivača. Njegova uloga je da omogući primenu zakona i u prekograničnim situacijama. Imenovanje predstavnika ne utiče na direktnu pravnu odgovornost rukovaoca ili obrađivača, koji i dalje ostaju u potpunosti odgovorni za obradu podataka. Trećim odeljkom iste glave zakona uređuju se Evidencije (čl 73. do 77). Članom 73. zakona se uvodi opšta obaveza vođenja evidencije o radnjama obrade podataka o ličnosti. Ova evidencija predstavlja jedno od osnovnih sredstava za ostvarivanje transparentnosti i omogućava nadzor nad zakonitošću obrade. Rukovalac, obrađivač i njihovi predstavnici dužni su da vode evidenciju u pisanoj ili elektronskoj formi i da je učine dostupnom Povereniku na njegov zahtev. Obaveza vođenja evidencije ima sistemski karakter i omogućava kontrolu svih radnji obrade. Član 74. zakona precizira sadržinu evidencije koju vodi rukovalac. Pre svega, evidencija mora da sadrži podatke o rukovaocu, svrsi i pravnom osnovu obrade, kategorijama lica i podataka, primaocima podataka, uključujući i međunarodne transfere, rokovima čuvanja i opštem opisu mera zaštite. Ova odredba predstavlja osnov za procenu zakonitosti obrade od strane nadzornog organa. Član 75. zakona uređuje obavezu obrađivača da vodi evidenciju o svim radnjama obrade koje vrši u ime rukovaoca. Za razliku od evidencije rukovaoca, ova evidencija obuhvata podatke o vrstama obrada, rukovaocima za koje se obrada vrši, prenosima podataka i merama bezbednosti. Cilj ove odredbe je da se obezbedi kontrola i nad obrađivačima kao ključnim učesnicima u procesu obrade. Izuzetak od obaveze vođenja evidencije propisan je članom 76. zakona i predviđa izuzetak od obaveze vođenja evidencije za mala i srednja pravna lica koja zapošljavaju manje od 250 lica. Međutim, ovaj izuzetak nije apsolutan. On se ne primenjuje u slučajevima kada obrada može predstavljati visok rizik po prava i slobode lica, kada nije povremena ili kada obuhvata osetljive kategorije podataka. Članom 77. zakona propisana je saradnja sa Poverenikom, na način da se utvrđuje opšta obaveza saradnje rukovaoca, obrađivača i njihovih predstavnika sa Poverenikom. Ova obaveza ima veliki značaj za funkcionisanje sistema nadzora, jer omogućava Povereniku da efikasno vrši svoja ovlašćenja, sprovodi kontrolu i obezbeđuje poštovanje zakona. Četvrtim odeljkom iste glave zakona uređuju se upravljanje rizicima bezbednosti podataka o ličnosti (čl 78. do 87). Član 78. zakona propisuje da se uspostavlja opšti princip bezbednosti obrade podataka zasnovan na proceni rizika. Rukovalac i obrađivač su dužni da primenjuju tehničke, organizacione i kadrovske mere koje odgovaraju nivou rizika po prava lica. Prilikom procene rizika uzimaju se u obzir priroda podataka, svrha obrade i potencijalne posledice povrede. Ova odredba predstavlja osnovu celokupnog sistema, pre svega informacine bezbednosti u oblasti zaštite podataka. Član 79. zakona propisuje osnovne mere zaštite koje se primenjuju u zavisnosti od prirode poslova i obima obrade. One uključuju organizacionu strukturu i definisanje odgovornosti, obuku zaposlenih, fizičku zaštitu prostora i redovno testiranje efikasnosti mera zaštite. Cilj ovih mera je da se obezbedi sistemski i organizovan pristup zaštiti podataka, dok se članom 80. zakona uređuju mere zaštite u slučaju elektronske obrade podataka. One obuhvataju kontrolu pristupa, autentifikaciju korisnika, zaštitu sistema i podataka, kriptografske mere, kao i mehanizme za reagovanje na bezbednosne incidente. Poseban značaj ima obezbeđivanje kontinuiteta rada i zaštite integriteta podataka. Član 81. zakona se odnosi na zaštitu podataka koji se obrađuju u papirnom obliku. Mere obuhvataju fizičku zaštitu prostora, kontrolu pristupa, vođenje evidencije pristupa i obezbeđivanje kopija podataka. Cilj je sprečavanje neovlašćenog pristupa i gubitka podataka koji nisu u elektronskom obliku. Član 82. zakona uvodi obavezu rukovaoca da prijavi povredu podataka Povereniku bez nepotrebnog odlaganja, najkasnije u roku od 72 sata. Obaveštenje mora sadržati detaljne informacije o prirodi povrede, broju lica, posledicama i preduzetim merama. Obrađivač ima obavezu da bez odlaganja obavesti rukovaoca. Takođe se uvodi obaveza dokumentovanja svih povreda, čime se obezbeđuje transparentnost i mogućnost naknadne kontrole. Član 83. zakona propisuje obavezu direktnog obaveštavanja lica čiji su podaci povređeni, kada postoji visok rizik po njihova prava i slobode. Obaveštavanje nije potrebno ako su primenjene adekvatne zaštitne mere, ako je rizik naknadno otklonjen ili ako bi obaveštavanje bilo nesrazmerno. Obaveza izrade procene uticaja obrade na zaštitu podataka u slučajevima visokog rizika uvodi se članom 84. zakona. Naime, procena se vrši pre početka obrade i obuhvata analizu rizika, neophodnosti i srazmernosti obrade, kao i preduzete mere zaštite. Ova odredba ima preventivni karakter i služi sprečavanju povreda prava lica. Sadržina procene uticaja se precizira članom 85. zakona, koja mora da obuhvati opis obrade, procenu neophodnosti, identifikaciju rizika i mere za njihovo umanjenje. Posebno se naglašava obaveza dokumentovanja i dokazivanja usaglašenosti, kao i uzimanje u obzir prava lica na koja se podaci odnose. Član 86. zakona uvodi obavezu pribavljanja mišljenja Poverenika kada procena uticaja ukazuje na visok rizik. Poverenik ima savetodavnu i kontrolnu ulogu i može tražiti dodatne informacije ili predložiti mere za umanjenje rizika pre početka obrade, dok se članom 87. zakona uređuje postupak davanja prethodnog mišljenja Poverenika, koji ima rokove za postupanje i mogućnost produžetka u složenim slučajevima. Poverenik može koristiti i druga ovlašćenja u cilju zaštite prava lica, čime ova odredba ima preventivni karakter. Petim odeljkom iste glave zakona uređuju se lice za zaštitu podataka o ličnosti (čl 88. do 90). Članom 88. ovog zakona uvodi se institut lica za zaštitu podataka o ličnosti, koje je obavezno u određenim slučajevima, a koje se imenuje na osnovu stručnosti i ima ulogu u nadzoru usklađenosti, savetovanju i komunikaciji sa Poverenikom. Može biti zaposleno kod rukovaoca ili obrađivača, a može obavljati te poslove na osnovu ugovora. Član 89. zakona garantuje nezavisnost lica za zaštitu podataka o ličnosti. Rukovalac mora obezbediti neophodne resurse, pristup podacima i zaštitu od sankcija zbog obavljanja poslova u vezi sa zaštitom podataka o ličnosti. Direktno je odgovoran rukovodiocu rukovaoca ili obrađivača. Sa druge strane lice za zaštitu podataka o ličnosti ima propisane obaveze, uključujući informisanje, praćenje usklađenosti, davanje mišljenja o proceni uticaja i saradnju sa Poverenikom. Njegova uloga je savetodavna i kontrolna, uz poseban akcenat na proceni rizika (član 90). Šestim odeljkom iste glave zakona uređuje se sertifikacija (čl. 91. do 97). Institut setrifikata je uređen i važećim zakonom ali za sada nije našao svoju primenu u praksi kada je reč o zaštiti podataka o ličnosti. Iz tog razloga predložen je tekst koji predstavlja zakonsko preciziranje u cilju jačanja svesti o ovom institutu i mogućnosti da se u budućnosti mnogo više upotrebljava. Uvodi se dobrovoljni sistem sertifikacije kao dokaz usklađenosti sa zakonom. Sertifikacija omogućava rukovaocima i obrađivačima da dokažu visok nivo zaštite podataka, a može se koristiti i u međunarodnim prenosima podataka (član 91). Član 92. zakona uređuje status i ulogu sertifikacionih tela, koja moraju biti akreditovana i stručna. Ona sprovode procenu usklađenosti i izdaju sertifikate, uz obavezu obaveštavanja Poverenika. Postupak akreditacije sertifikacionih tela od strane Akreditacionog tela Srbije uređen je članom 93. zakona. Akreditacija se dodeljuje na određeni period, uz mogućnost oduzimanja u slučaju nepoštovanja standarda, dok član 94. zakona propisuje dodatne uslove za akreditaciju, uključujući stručnost, nezavisnost, transparentnost i odsustvo sukoba interesa. Član 95. zakona definiše kriterijume koje rukovaoci moraju ispuniti da bi bili sertifikovani, uključujući zakonitost obrade, minimizaciju podataka, bezbednost i transparentnost. Kriterijume za obrađivače propisuje član 96. zakona, a sam postupak izdavanja sertifikata propisan je članom 97. zakona koji reguliše dobrovoljnost i transparentnost postupka sertifikacije, kao i njeno trajanje do tri godine. Poverenik vodi registre i nadzire proces, čime se obezbeđuje integritet sistema. Sedmim odeljkom iste glave zakona uređuje se kodeks postupanja (čl. 98. do 101). I ove odredbe predstavljaju preciziranje važećih zakonskih rešenja i cilj im je takođe veća primena u praksi. Član 98. zakona uvodi mogućnost izrade kodeksa postupanja radi konkretizacije primene zakona u pojedinim sektorima. Kodeksi uređuju transparentnost, bezbednost, prava lica i prenos podataka, i imaju važnu ulogu u ujednačavanju prakse. Član 99. zakona propisuje obavezu pribavljanja mišljenja Poverenika na predlog kodeksa. Poverenik ocenjuje usklađenost i, ako je kodeks ispunio uslove, registruje ga i objavljuje. Kontrola primene kodeksa propisana je članom 100. zakona na način kojim se uređuje sistem kontrole primene kodeksa od strane akreditovanih tela. Ova tela moraju biti nezavisna i stručna, a njihova akreditacija se vrši po strogim kriterijumima, dok član 101. zakona propisuje mere u slučaju povrede kodeksa uključujući isključenje iz primene kodeksa. Ove mere ne utiču na nadležnosti Poverenika niti na pravo lica na pravnu zaštitu. Glava peta zakona uređuje prenos podataka o ličnosti u druge države i međunarodne organizacije i obavezujuća poslovna pravila (čl. 102 do 111). Odredbama o prenosu podataka o ličnosti u druge države i međunarodne organizacije uređuje se jedno od najosetljivijih pitanja savremenog prava zaštite podataka, iznošenje podataka izvan teritorije Republike Srbije. Intencija zakonodavca, sadržana u članu 102. zakona, jeste da se nivo zaštite koji se obezbeđuje ovim zakonom mora očuvati i u slučaju kada podaci prenose van nacionalnog zakonodavstva. Shodno tome, svaki prenos je dozvoljen samo pod uslovom da su ispunjeni zakonom propisani uslovi, pri čemu se ova pravila primenjuju i na svaki dalji prenos podataka. U članu 103. zakona uvodi se osnovni i najslobodniji režim prenosa, a to je prenos na osnovu postojanja primerenog nivoa zaštite. Zakon polazi od pretpostavke da određene države i međunarodne organizacije već obezbeđuju dovoljan stepen zaštite, te se u tim slučajevima podaci mogu prenositi bez posebnog odobrenja. Posebno se naglašava značaj standarda koje uspostavljaju Savet Evrope i Evropska unija, kao referentni okvir za procenu adekvatnosti, kao i mogućnost da se ovaj nivo obezbedi međunarodnim sporazumom. Suprotno tome, član 104. zakona uređuje situacije u kojima se utvrđuje da primereni nivo zaštite ne postoji. Ovlašćenje za donošenje takve odluke dato je Vladi, koja prilikom procene uzima u obzir niz pravnih i faktičkih kriterijuma, uključujući stanje vladavine prava, delotvornost zaštite prava lica i postojanje nezavisnog nadzornog organa. Ova odredba ima preventivnu funkciju, jer omogućava državi da unapred identifikuje rizične pravne sisteme i time ograniči nebezbedne transfere. Kada primereni nivo zaštite nije obezbeđen, zakon u članu 105. predviđa mogućnost prenosa uz primenu odgovarajućih mera zaštite. Ove mere predstavljaju pravne i organizacione mehanizme kojima se obezbeđuje da prava lica na koje se podaci odnose ostanu zaštićena i nakon prenosa. Među najznačajnijim instrumentima su standardne ugovorne klauzule, obavezujuća poslovna pravila i različiti oblici sertifikata i kodeksa postupanja. Za pojedine mere nije potrebno posebno odobrenje, dok se u drugim slučajevima zahteva saglasnost nadzornog organa. Posebna garancija uvodi se članom 106. zakona kojim se ograničava dejstvo odluka stranih sudova i organa vlasti. Naime, takve odluke mogu biti priznate ili izvršene u Republici Srbiji samo ako se zasnivaju na odgovarajućem međunarodnom sporazumu. Ovim se sprečava direktan uticaj stranih organa na podatke koji se nalaze pod domaćom jurisdikcijom. Član 107. zakona predviđa izuzetne situacije u kojima je prenos dozvoljen i bez postojanja primerenog nivoa zaštite ili odgovarajućih mera. Reč je o strogo ograničenim slučajevima, kao što su izričit pristanak lica, potreba za izvršenje ugovora, zaštita životnih interesa ili ostvarivanje pravnih zahteva. Ove odredbe imaju karakter izuzetaka i tumače se restriktivno. Dalje, pooštravanje uslova predviđeno je članom 108. zakona koji se odnosi na izuzetne situacije. U ovim slučajevima prenos je moguć samo ako se ne ponavlja, ako obuhvata ograničen broj lica i ako je neophodan radi ostvarivanja legitimnog interesa rukovaoca koji preovlađuje nad pravima lica. Istovremeno, propisuju se dodatne obaveze transparentnosti i kontrole, uključujući obaveštavanje nadzornog organa i lica na koje se podaci odnose. U članu 109. zakona naglašava se značaj međunarodne saradnje u oblasti zaštite podataka o ličnosti. Uloga Poverenika ogleda se u razvoju saradnje sa stranim nadzornim organima, razmeni informacija i unapređivanju primene standarda zaštite podataka na međunarodnom nivou. Posebnu celinu čine odredbe o obavezujućim poslovnim pravilima, uređene čl. 110. i 111. zakona. Ova pravila predstavljaju interni mehanizam multinacionalnih kompanija za regulisanje prenosa podataka unutar korporativnih grupa. Njihova primena uslovljena je odobrenjem nadzornog organa i ispunjavanjem strogih uslova, uključujući pravnu obaveznost, obezbeđivanje prava lica i uređivanje svih relevantnih aspekata obrade podataka. Zakon detaljno propisuje njihovu sadržinu, koja obuhvata, između ostalog, principe obrade, mehanizme kontrole, postupke po pritužbama i odgovornost za povredu pravila. Odredbe drugog dela zakona uređuju poseban režim obrade podataka o ličnosti koji se odnosi na obradu koju vrše nadležni organi u svrhe krivičnog gonjenja, sprečavanja prekršaja i zaštite javne i nacionalne bezbednosti. Ovaj režim predstavlja lex specialis u odnosu na opšta pravila zaštite podataka, imajući u vidu specifičnost poslova koje ovi organi obavljaju. Kada nadležni organi obrađuju podatke o ličnosti u svrhe koje nisu posebne, primenjuju se ostale odredbe ovog zakona. Polazna norma sadržana u članu 112. zakona utvrđuje da se na obradu podataka u takozvane “posebne svrhe” primenjuju posebne odredbe zakona (čl. 112. do 149). Istovremeno, kada nadležni organi obrađuju podatke van ovih svrha, primenjuje se opšti režim zakona. Na taj način se jasno razdvajaju dva pravna režima obrade. Član 113. zakona postavlja osnovni princip zakonitosti obrade u ovom domenu. Obrada podataka od strane nadležnih organa je dozvoljena isključivo ako je neophodna za vršenje njihovih zakonom propisanih nadležnosti i ako ima izričit pravni osnov u zakonu. Pored toga, zakon mora precizno odrediti ciljeve obrade, vrste podataka i svrhu, čime se obezbeđuje pravna sigurnost i sprečava proizvoljnost u postupanju organa. U članu 114. zakona uređuje se pitanje čuvanja podataka i rokova. Zakon nalaže da se unapred odredi period nakon koga se podaci brišu ili preispituje potreba za njihovim daljim čuvanjem. Ukoliko zakon ne propisuje konkretan rok, tu obavezu preuzima rukovalac. Nadzor nad poštovanjem ovih rokova vrši Poverenik što predstavlja mehanizam kontrole. Posebnu pažnju zakon posvećuje obradi osetljivih podataka. Član 115. zakona propisuje da je obrada takvih podataka dozvoljena samo izuzetno, uz ispunjenje strogih uslova: kada je zakonom izričito predviđena, kada je neophodna radi zaštite vitalnih interesa ili kada su ti podaci već učinjeni javnim od strane samog lica. I u tim slučajevima moraju se primeniti posebne mere zaštite. Kao što je rečeno, jedan od razloga za donošenje novog zakona je i propisivanje obrade podataka o ličnosti u specifičnim oblastima. Jedna od tih oblasti vezan je za genetičke i biometrijske podatke i obradu takvih podataka koji su uređeni članom 116. zakona. Osnovno pravilo je da obrada genetičkih i biometrijskih podataka u cilju jedinstvene identifikacije lica nije dopuštena, osim u slučajevima propisanim zakonom u svrhu zaštite javnog interesa u demokratskom društvu (odbrana zemlje, javna bezbednost i obavljanje bezbednosno-obaveštajnih poslova, ekonomski i finansijski interesi Republike Srbije, sprečavanje, istraga i otkrivanje krivičnih dela, gonjenje učinilaca krivičnih dela ili izvršenje krivičnih sankcija i dr). Kada se obrada genetičkih, odnosno biometrijskih podataka u cilju jedinstvene identifikacije lica propisuje zakonom, u cilju zaštite javnog interesa, moraju se uzimati se u obzir kriterijumi da se li ovaj interes ne može zaštititi na drugi način, da interes ostvarivanja svrhe obrade preteže nad interesom zaštite osnovnih prava i sloboda lica na koje se podaci odnose i da je obim podataka koji se obrađuju srazmeran u odnosu na svrhu obrade. Treba napomenuti i da je zabranjena daljinska, masovna i neselektivna biometrijska identifikacija lica upotrebom sistema video nadzora. Načelo ograničenja svrhe dodatno je razrađeno u članu 117. zakona. Podaci prikupljeni u posebne svrhe ne mogu se koristiti za druge svrhe, osim ako je to zakonom dozvoljeno i ako su ispunjeni uslovi nužnosti i srazmernosti. Istovremeno, zakon omogućava njihovo korišćenje u naučne, statističke i istorijske svrhe, pod uslovom primene odgovarajućih zaštitnih mera, čime se postiže ravnotežu između javnog interesa i zaštite prava pojedinca. Član 118. zakona uvodi obavezu obezbeđivanja kvaliteta podataka. Nadležni organi su dužni da preduzmu razumne mere kako bi se sprečilo korišćenje ili prenos netačnih, nepotpunih ili zastarelih podataka. Pre svakog prenosa mora se, u meri u kojoj je to moguće, proveriti njihova tačnost i ažurnost. Pored toga, organ koji prenosi podatke dužan je da dostavi i relevantne informacije o njihovoj pouzdanosti. U slučaju greške ili nezakonitog prenosa, primalac se mora bez odlaganja obavestiti, a podaci ispraviti ili obrisati. Ova norma ima ključnu ulogu u sprečavanju štetnih posledica po lica na koja se podaci odnose. U okviru trećeg odeljka gleve IV zakona, član 119. zakona uvodi obavezu razlikovanja kategorija lica. Nadležni organi treba da prave jasnu razliku između različitih grupa lica, kao što su osumnjičeni, okrivljeni, osuđeni, oštećeni i svedoci. Ovo razlikovanje je od suštinskog značaja radi sprečavanja nepravilnog tretmana lica i obezbeđivanja srazmernosti u obradi podataka. Član 120. zakona propisuje obavezu razlikovanja vrsta podataka. Podatke zasnovane na činjenicama potrebno je, kad god je to moguće, jasno odvojiti od podataka koji predstavljaju lične procene ili mišljenja. Ovim se povećava transparentnost i pouzdanost obrade, kao i mogućnost kontrole zakonitosti postupanja nadležnih organa. Ova glava zakona reguliše pitanje prava lica kada obradu vrše nadležni organi u posebne svrhe (čl. 121. do 129). Ovom glavom se uređuje jedno od ključnih pitanja savremenog društva, a to je kako se štite prava pojedinca onda kada državni organi obrađuju njegove lične podatke, posebno u osetljivim oblastima kao što su bezbednost, krivični postupci i javni interes. Suština je u uspostavljanju ravnoteže, sa jedne strane stoji potreba države da efikasno deluje, a sa druge pravo svakog lica da zna šta se sa njegovim podacima dešava i da na to utiče. Članom 121. zakona propisane su osnovne odredbe, obaveza nadležnog organa da lice obavesti o obradi njegovih podataka i da mu pomogne u ostvarivanju prava. Naglasak je na razumljivosti i pristupačnosti, a to znači da informacije moraju biti date jasno, jednostavno i u formi koja odgovara načinu na koji je zahtev podnet. Član 122. zakona propisuje rokove i troškove. Ovaj član obezbeđuje efikasnost prava. Organ je dužan da postupa bez odlaganja i besplatno, čime se građanima omogućava da lako koriste svoja prava. Istovremeno, predviđena je zaštita od zloupotrebe ako su zahtevi neosnovani ili preterani, organ može naplatiti troškove ili ih odbiti, ali mora to dokazati. Takođe se uvodi mogućnost provere identiteta, radi zaštite podataka. Članom 123. zakona uređuju se informacije koje se pružaju, pre svega ko obrađuje podatke, zašto, po kom osnovu, koliko dugo i kome se podaci dostavljaju. Na ovaj način se omogućava pojedincu da ima potpunu sliku o obradi svojih podataka i da donese odluku. Ograničenje prava na informisanje na način kojim se pravi ravnoteža između prava pojedinca i javnog interesa propisano je članom 124. zakona. U određenim situacijama (krivični postupci, bezbednost države itd) informacije mogu biti ograničene. Međutim, to ograničenje mora biti nužno, srazmerno i vremenski ograničeno, čime se sprečava zloupotreba ovog izuzetka. Članom 125. zakona uređeno je pravo na pristup podacima. Lice može da sazna da li se njegovi podaci obrađuju i da im pristupi. Ako se pravo ograniči, organ mora to obrazložiti i obavestiti lice, osim ako bi time bila ugrožena svrha ograničenja. Uvodi se i obaveza dokumentovanja razloga, što omogućava kontrolu. Ispravka, brisanje i ograničenje obrade propisani su članom 126. zakona. Ovim članom se obezbeđuje tačnost i zakonitost podataka. Lice može da zahteva ispravku netačnih podataka ili brisanje nezakonito obrađenih podataka. Umesto brisanja, u određenim slučajevima predviđeno je ograničenje obrade, što omogućava da se podaci sačuvaju kada je to potrebno, dok je članom 127. zakona uređeno obaveštenje o postupanju u vezi sa ispravkom ili brisanjem podataka i ograničenjem obrade. Ako organ odbije zahtev ili ograniči pravo, mora to da obrazloži i uputi lice na pravnu zaštitu. Takođe se uvodi obaveza obaveštavanja drugih organa i primalaca podataka, čime se obezbeđuje doslednost i ažurnost podataka u sistemu. Uloga Poverenika propisana je članom 128. zakona na način da se uvodi mehanizam kontrole. Kada su prava ograničena, lice može da se obrati Povereniku koji deluje kao nezavisni nadzorni organ. Na taj način se obezbeđuje dodatna zaštita i kontrola rada državnih organa. Automatizovano odlučivanje i profilisanje propisano je članom 129. zakona. Zakon ovde štiti čoveka od isključivo automatizovane obrade odlučivanja. Zabranjeno je da odluke koje značajno utiču na lice budu donete bez ljudskog učešća, osim ako je to zakonom izričito dozvoljeno i uz garancije. Posebno se štite osetljivi podaci i sprečava diskriminacija putem profilisanja. Glava VIII. zakona uređuje obaveze nadležnih organa u ulozi rukovaoca i obrađivača (čl. 130. do 144). Član 130. zakona propisuje obaveze nadležnih organa. Ova odredba naglašava da nadležni organi, kada obrađuju podatke o ličnosti u posebne svrhe, imaju pojačanu odgovornost da obezbede zakonitost i bezbednost obrade. To podrazumeva primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera, ali i sposobnost da se pokaže da su te mere zaista sprovedene. Istovremeno, zakon isključuje mogućnost da se organi oslone na formalne mehanizme kao što su sertifikati ili kodeksi postupanja. Član 131. zakona uređuje situaciju kada dva ili više nadležnih organa zajednički određuju svrhu i način obrade. Ova odredba uređuje situaciju u kojoj više nadležnih organa istovremeno učestvuje u obradi podataka o ličnosti tako što zajednički određuju njenu svrhu i način. U praksi, to su česte situacije saradnje različitih organa (npr. policije, tužilaštva, inspekcijskih službi), gde nijedan organ ne deluje samostalno, već se odluke o obradi donose zajednički. Član 132. zakona propisuje odnos nadležnog organa kao rukovaoca prema obrađivaču. Ovde se uređuje situacija kada nadležni organ poverava obradu drugom subjektu. Obrađivač mora da garantuje visok nivo zaštite, a njegove obaveze moraju biti precizno uređene ugovorom ili drugim pravno obavezujućim aktom. Zakon detaljno propisuje šta taj odnos mora da sadrži od postupanja po uputstvima rukovaoca do brisanja podataka nakon završetka obrade. I ovim članom je propisano da se pravni odnos između rukovaoca i obrađivača ne može zasnovati na standardnim ugovornim klauzulama, kao i odobrenim sertifikatima. Evidencija rukovaoca propisana je članom 133. zakona. Ova odredba uvodi obavezu vođenja evidencije o svim radnjama obrade. Cilj je transparentnost i mogućnost kontrole. Evidencija mora da sadrži i dodatne elemente, kao što su profilisanje, međunarodni prenos podataka i pravni osnov obrade, što je posebno važno u osetljivim oblastima, dok je članom 134. zakona propisana evidencija obrađivača. Slična obaveza važi i za obrađivače, koji moraju voditi evidenciju o obradi koju vrše u ime rukovaoca. Ovim se obezbeđuje puna odgovornost svih učesnika u obradi podataka. Član 135. zakona propisuje beleženje radnji u automatizovanim sistemima. Svrha propisivanja ovog člana je da se u svakom trenutku može utvrditi ko je, kada i zašto pristupao podacima. Ovi zapisi imaju ključnu ulogu u kontroli zakonitosti, bezbednosti. Članom 136. zakona propisano je čuvanje i dostupnost podataka Povereniku. Ova odredba propisuje da se evidencije o obradi podataka i zapisi iz automatizovanih sistema čuvaju trajno, kako bi se obezbedila stalna mogućnost kontrole zakonitosti obrade. Istovremeno, utvrđuje se obaveza da ti podaci budu dostupni Povereniku, čime se jača spoljni nadzor i odgovornost nadležnih organa. Osnovna bezbednost obrade propisana je članom 137. zakona. Pre svega, mere zaštite moraju biti srazmerne riziku. To znači da što je veći rizik po prava građana, to moraju biti strože mere zaštite. Posebna pažnja se posvećuje osetljivim podacima. Članom 138. zakona uređuju se mere u automatizovanoj obradi. Ova odredba propisuje konkretne tehničke i organizacione mere zaštite podataka u automatizovanim sistemima, sa ciljem sprečavanja neovlašćenog pristupa, izmene ili gubitka podataka. Istovremeno obezbeđuje kontrolu pristupa, mogućnost provere svih radnji i pouzdanost sistema, čime se štite poverljivost, integritet i dostupnost podataka o ličnosti. Članom 139. zakona propisano je obaveštavanje Poverenika o povredi podataka. Kada dođe do povrede podataka, organ ima obavezu da o tome obavesti Poverenika. Ovo je mehanizam za brzu reakciju i ograničavanje posledica. Posebno se uređuje situacija međunarodnog prenosa podataka, gde je potrebna saradnja sa stranim organima, dok je članom 140. zakona propisano da pored Poverenika, i lice čiji su podaci ugroženi mora biti obavešteno. Međutim, i u ovom članu je predviđena mogućnost ograničenja, kada je to neophodno radi zaštite javnog interesa. Pre započinjanja obrade, organ je dužan da proceni rizike po prava građana (procena uticaja). Ova procena nije formalnost, već suštinski instrument prevencije, ona omogućava da se problemi uoče i reše pre nego što do njih dođe (član 141). Mišljenje Poverenika propisano je u članu 142. zakona. U slučajevima visokog rizika, organ mora zatražiti mišljenje Poverenika. Ovo predstavlja dodatni nivo kontrole i osigurava da se složeni ili rizični oblici obrade ne sprovode bez stručnog nadzora. Član 143. zakona uvodi obavezu nadležnih organa da imenuju lice za zaštitu podataka o ličnosti, koje ima ulogu neke vrste unutrašnjeg nadzora i stručne podrške u primeni propisa o zaštiti podataka. Ono prati zakonitost obrade i doprinosi zaštiti prava lica čiji se podaci obrađuju. Moguće je imenovanje zajedničkog lica za više organa, dok su sudovi izuzeti kada postupaju u okviru svoje sudske nadležnosti. Članom 144. zakona propisan je položaj i obaveze lica za zaštitu podataka o ličnosti. Ovim članom se upućuje na opšta pravila koja uređuju status, stručnost i nezavisnost ovog lica. Njegova uloga je da obezbedi kontinuirano poštovanje zakona unutar organa, čime se jača sistem interne kontrole. Glava IX. zakona uređuje prenos podataka od strane nadležnih organa u druge države i međunarodne organizacije (čl. 145. do 149). Ova glava postavlja sistem pravila za međunarodni prenos podataka, čiji je cilj da omogući saradnju nadležnih organa, ali uz zaštitu osnovnih prava lica čiji se podaci prenose. Članom 145. zakona propisani su uslovi prenosa, na način kojim se utvrđuju osnovna pravila za prenos podataka o ličnosti u druge države ili međunarodne organizacije. Prenos je dozvoljen samo ako je neophodan za posebne svrhe, ako se vrši ka nadležnom organu u drugoj državi i ako je obezbeđen odgovarajući nivo zaštite, bilo kroz odluku o adekvatnosti, posebne garancije ili izuzetne mere. Član 146. zakona propisuje dalji prenos podataka. Ova odredba uređuje situaciju kada se podaci koji su već preneti u drugu državu ponovo šalju dalje. Takav dalji prenos nije automatski dozvoljen, već se mora posebno proceniti, uzimajući u obzir svrhu prvobitnog prenosa, težinu slučaja i nivo zaštite u novoj državi. Na taj način se sprečava nekontrolisano prenošenje podataka. Takođe, uređen je prenos uz odgovarajuće mere zaštite. Ako ne postoji odluka da druga država obezbeđuje adekvatan nivo zaštite, prenos je ipak moguć ako postoje posebne garancije (npr. pravno obavezujući akti) ili ako je organ sam procenio da su mere zaštite dovoljne. U tim slučajevima postoji obaveza obaveštavanja i dokumentovanja prenosa, uz mogućnost kontrole Poverenika. Ovo obezbeđuje ravnotežu između operativnih potreba i zaštite podataka (član 147). Posebne situacije prenosa podataka nadležnih organa propisane su članom 148. zakona. Ovim članom se predviđaju vanredne situacije u kojima je prenos dozvoljen i bez uobičajenih uslova, npr. radi zaštite života, bezbednosti države, sprečavanja opasnosti ili vođenja konkretnog pravnog postupka. Međutim, i ovi izuzeci su ograničeni načelom srazmernosti: ako prava lica preovladaju nad javnim interesom, prenos nije dozvoljen. Svaki takav slučaj mora biti dokumentovan i podložan nadzoru. Član 149. zakona propisuje prenos podataka nadležnih organa neposredno primaocu u drugoj državi. Ovom odredbom je predviđen izuzetan direktan prenos podataka stranom organu, bez posrednih procedura ili međunarodnih sporazuma, ali samo ako su zajedno ispunjeni određeni uslovi. Prenos mora biti neophodan, mora postojati procena da ne ugrožava prava lica, i mora se proceniti da drugi oblici saradnje nisu delotvorni ili blagovremeni. Uz to, obavezno je obaveštavanje inostranog organa o ograničenoj svrsi korišćenja podataka, kao i naknadna kontrola od strane Poverenika. Deo treći zakona uređuje status Poverenika, pravna sredstva, odgovornost i kazne (čl. 150. do 175). Članom 150. zakona propisano je Nadzorno telo (Poverenik) čime se uspostavlja kao centralni, nezavisni organ koji nadzire primenu zakona o zaštiti podataka. Njegova osnovna uloga je da štiti osnovna prava građana u oblasti obrade podataka o ličnosti. Zakon posebno naglašava njegovu samostalnost u radu, kao i činjenicu da je organizaciono odvojen od drugih državnih organa. Uvodi se i zamenik Poverenika, kao i uslov da Poverenik mora posedovati stručno znanje iz oblasti zaštite podataka, čime se obezbeđuje stručnost i kvalitet nadzora. Članom 151. zakona uređuje se nezavisnost Poverenika. Ova odredba garantuje potpunu institucionalnu i funkcionalnu nezavisnost Poverenika. On ne sme primati naloge od bilo kog organa i mora delovati samostalno. Takođe mu je zabranjeno obavljanje drugih funkcija ili političko delovanje, kako bi se očuvala nepristrasnost. Zakon obezbeđuje i finansijsku nezavisnost kroz budžetska sredstva, kao i samostalnost u izboru i rukovođenju zaposlenima, dok se članom 152. propisuje nadležnosti Poverenika na način koji definiše teritorijalni i procesni okvir rada Poverenika. On postupa na teritoriji Republike Srbije i primenjuje pravila upravnog i inspekcijskog postupka. Istovremeno, zakon izuzima sudove kada obrađuju podatke u okviru svoje sudske funkcije, čime se štiti princip nezavisnosti sudstva. Poverenik, njegov zamenik i zaposleni u stručnoj službi dužni su da čuvaju sve podatke do kojih dođu u radu kao profesionalnu tajnu. Ova obaveza važi i nakon prestanka funkcije ili radnog odnosa. Cilj je očuvanje poverenja u rad organa i zaštita osetljivih informacija (član 153.). Članom 154. zakona propisani su poslovi Poverenika, pre svega od nadzora nad primenom zakona, preko podizanja svesti javnosti, do davanja mišljenja državnim organima. Poverenik rešava pritužbe građana, vodi inspekcijski nadzor, sarađuje sa drugim državama i razvija standarde i alate za zaštitu podataka. Takođe, podstiče kodekse ponašanja i sertifikaciju, čime utiče na celokupan sistem zaštite podataka. Rad Poverenika je besplatan za građane, što osigurava pristupačnost zaštite prava, dok su članom 155. zakona propisana inspekcijska i druga ovlašćenja. Ova odredba daje Povereniku široka ovlašćenja za sprovođenje nadzora. On može da traži sve informacije, uđe u prostorije organa, pristupi sistemima i proveri sve radnje obrade podataka. Cilj je efikasna kontrola i sprečavanje zloupotreba u praksi. Članom 156. zakona propisane su korektivne mere. Poverenik ima široku lepezu mera koje može primeniti kada utvrdi povredu zakona, od upozorenja i opomena, do naloga za ispravku ili brisanje podataka, ograničenja obrade i izricanja novčanih kazni. U najtežim slučajevima može zabraniti obradu podataka ili obustaviti njihov prenos. Ovim se obezbeđuje efektivno sprovođenje zakona. Kontrola akata Poverenika i pokretanje postupka pred sudom uređeno je članom 157. zakona na način da se obezbeđuje pravna zaštita odluka Poverenika. Njegovi akti podležu sudskoj kontroli, čime se garantuje zakonitost njegovog rada. Istovremeno, Poverenik ima pravo da pokreće postupke pred sudom ili drugim organima kada je to potrebno radi zaštite zakona. Poverenik je obavezan da jednom godišnje podnese izveštaj Narodnoj skupštini o svom radu, uključujući podatke o povredama zakona i preduzetim merama. Izveštaj se dostavlja i Vladi i objavljuje javnosti, čime se obezbeđuje transparentnost i uvid građana u rad ovog organa. Pri tome se štite lični podaci i ne objavljuju se osetljive informacije (član 158). Glava XI. zakona uređuje pravna sredstva, odgovornost i kazne čl. (159. do 168). Pravo na pritužbu Povereniku propisano je članom 159. zakona. Ovim članom uređuje se pravo lica na koje se podaci odnose da podnese pritužbu Povereniku ako rukovalac nije postupio po njegovom zahtevu u skladu sa zakonom. Cilj odredbe je obezbeđivanje delotvorne upravne zaštite prava lica i kontrole zakonitosti obrade podataka o ličnosti. Propisuje se obaveza dostavljanja dokaza o prethodnom obraćanju rukovaocu, primena pravila opšteg upravnog postupka, rok za odlučivanje, mogućnost inspekcijskog nadzora i pravo lica da koristi i druge oblike pravne zaštite. Takođe se omogućava elektronsko podnošenje pritužbe radi lakšeg pristupa zaštiti prava. Članom 160. zakona uređuje se pravo na sudsku zaštitu protiv odluke Poverenika na način kojim se obezbeđuje sudska kontrola rada Poverenika i pravo na pokretanje upravnog spora u slučaju nepostupanja ili nezadovoljstva donetom odlukom. Cilj odredbe je obezbeđivanje delotvorne sudske zaštite i kontrole zakonitosti rada nadzornog organa, uz mogućnost korišćenja i drugih oblika sudske zaštite. Postupanje Poverenika po predstavci propisano je članom 161. zakona. Ovim članom uređuje se postupanje Poverenika po različitim podnescima kojima se ukazuje na moguće povrede zakona. Cilj je omogućavanje širokog pristupa mehanizmima zaštite prava i utvrđivanje nezakonitosti u oblasti obrade podataka o ličnosti. Poverenik je dužan da obavesti podnosioca o toku i rezultatima postupka, a omogućeno je i elektronsko podnošenje predstavke. Član 162. propisao je troškove postupka. Naime, postupci pred Poverenikom su besplatni, radi obezbeđivanja dostupnosti pravne zaštite svim licima. Istovremeno se predviđa mogućnost naplate nužnih administrativnih troškova ili odbijanja postupanja u slučaju očigledno neosnovanih, preobimnih ili preterano ponovljenih zahteva, uz obavezu obrazlaganja takve odluke, dok je članom 163. zakona propisana sudska zaštita prava lica u slučaju nezakonite obrade podataka o ličnosti. Lice može zahtevati ispravku, brisanje, ograničenje obrade, prenosivost podataka i prestanak nezakonite obrade, kao i zaštitu od odluka donetih isključivo automatizovanom obradom podataka. Odredbom se obezbeđuje delotvorna sudska zaštita prava lica. Član 164. zakona uređuje zastupanje lica na koje se podaci odnose, na način da lice ovlasti udruženje koje se bavi zaštitom prava i sloboda u oblasti zaštite podataka o ličnosti da ga zastupa u postupcima pred Poverenikom, sudom i u postupcima za naknadu štete. Cilj je jačanje pristupa pravnoj zaštiti. Pravo na naknadu štete propisano je članom 165. zakona. Ovim članom ustanovljava se pravo na naknadu materijalne i nematerijalne štete nastale povredom zakona. Uređuje se odgovornost rukovaoca i obrađivača, mogućnost oslobođenja od odgovornosti i solidarna odgovornost više lica koja učestvuju u obradi podataka, radi obezbeđivanja pune zaštite oštećenog lica. Član 166. zakona propisuje uslove za izricanje novčane kazne. Propisuju se načela i kriterijumi za izricanje novčanih kazni zbog povrede zakona. Cilj je da kazne budu delotvorne, srazmerne i preventivne. Prilikom odmeravanja kazne uzimaju se u obzir težina povrede, stepen odgovornosti, posledice povrede, saradnja sa Poverenikom i druge otežavajuće i olakšavajuće okolnosti. Poglavlje tri iste glave zakona propisuje kaznene odredbe. Odgovornost pravnog lica propisana je članom 167. zakona. Propisana je prekršajna odgovornost rukovaoca i obrađivača koji imaju svojstvo pravnog lica u slučaju povrede obaveza propisanih zakonom. Cilj odredbe je obezbeđivanje delotvorne, srazmerne i preventivne zaštite prava na zaštitu podataka o ličnosti kroz propisivanje novčanih kazni za najteže povrede zakona. Kaznene odredbe odnose se na nezakonitu obradu podataka, nepoštovanje načela obrade, nezakonitu obradu posebno osetljivih podataka, povredu prava lica na pristup, ispravku i brisanje podataka, nezakonitu primenu videonadzora i sistema veštačke inteligencije, nepreduzimanje mera bezbednosti, povredu obaveza u vezi sa prenosom podataka u druge države, kao i ometanje inspekcijskog nadzora Poverenika. Odredbom se posebno uređuju prekršaji u oblasti obrade podataka u posebne svrhe, imajući u vidu specifičnost i osetljivost takve obrade. Propisuju se i blaže kazne za povrede administrativnih i organizacionih obaveza, kao što su vođenje evidencija o obradi, postupanje po prigovoru lica na direktno oglašavanje i objavljivanje podataka o licu za zaštitu podataka o ličnosti. Član 168. zakona propisuje odgovornost fizičkog lica, odgovornog lica u pravnom licu i preduzetnika. Ovim članom uređuje se prekršajna odgovornost fizičkih lica, odgovornih lica u pravnim licima i preduzetnika za povrede odredaba zakona. Cilj odredbe je obezbeđivanje lične odgovornosti lica koja svojim postupanjem ili propuštanjem doprinose nezakonitoj obradi podataka o ličnosti. Posebno se sankcioniše povreda obaveze čuvanja profesionalne tajne, kao i prekršaji za koje su odgovorni preduzetnici i odgovorna lica u pravnim licima, državnim organima i organima lokalne samouprave. Propisivanjem novčanih kazni obezbeđuje se preventivno delovanje i jačanje svesti o značaju zakonite i bezbedne obrade podataka o ličnosti. Glava XII. zakona uređuje prelazne i završne odredbe (čl. 169. do 175). Član 169. zakona se odnosi na zamenika Poverenika, odnosno nastavak rada zamenika Poverenika na način kojim se obezbeđuje kontinuitet u vršenju funkcije zamenika Poverenika koji je izabran po ranije važećem zakonu. Cilj odredbe je očuvanje pravne sigurnosti i nesmetano funkcionisanje institucije Poverenika do isteka već započetog mandata. Članom 170. zakona uređuje se da će postupci započeti pre stupanja na snagu novog zakona biti okončani po odredbama ranije važećeg zakona. Cilj je obezbeđivanje pravne sigurnosti stranaka i sprečavanje primene različitih pravnih režima na iste postupke, dok se članom 171. zakona propisuje vođenje registra i evidencija. Ovim članom propisuje se nastavak vođenja lista, registara i evidencija uspostavljenih po ranijem zakonu, na način kojim se obezbeđuje kontinuitet u evidentiranju i praćenju podataka od značaja za primenu zakona, bez prekida u radu nadležnih organa. Član 172. zakona propisuje rok za donošenje podzakonskih akata neophodnih za primenu zakona. Istovremeno se propisuje da će se postojeći podzakonski akti primenjivati do donošenja novih, ukoliko nisu u suprotnosti sa ovim zakonom. Član 173. zakona propisuje obavezu usklađivanja drugih zakona koji uređuju obradu podataka o ličnosti sa odredbama ovog zakona u propisanom roku. Cilj odredbe je obezbeđivanje jedinstvenog i usklađenog sistema u oblasti zaštite podataka o ličnosti. Član 174. zakona uređuje prestanak važenja ranijeg zakona Zakona o zaštiti podataka o ličnosti danom početka stupanja na snagu novog zakona. Član 175. zakona propisuje stupanje zakona na snagu, odnosno da zakon počinje da važi osmog dana od dana objavljivanja u “Službenom glasniku Republike Srbije”.