Na osnovu Odluke o registraciji privrednog društva “mari-mar doo”,BEOGRAD- ŽARKOVO, ul.Jablanička br.184A, MB: 06701922 (u daljem tekstu: Preduzetnik), a u skladu sa Zakonom o zaštiti podataka ličnosti (“Sl. Glasnik Republike Srbije” br. 87/2018), vlasnik preduzetničke radnje dana 20.08.2019. godine, donosi sledeći akt:
1. Uvod
Politika o zaštiti podataka o ličnosti (u daljem tekstu: Politika) je opšti akt MARI- MAR DOO, BEOGRAD-ŽARKOVO (u daljem tekstu: Preduzetnik) koji za svrhu ima uspostavljanje okvira zaštite podataka o ličnosti, a sve u skladu sa Zakonom o zaštiti podataka o ličnosti (u daljem tekstu: Zakon) i drugim podzakonskim aktima koji regulišu ovu oblast.
Politika utvrđuje pravila koja uređuju zaštitu prava pojedinaca u pogledu prikupljanja i obrade podataka o ličnosti, kao i dalje upravljanje i kretanje tih podataka.
Odredbe ove Politike i drugih internih akata Preduzetnika, koji regulišu ovu oblast se moraju pridržavati svi zaposleni Preduzetnika i sve organizacione jedinice Preduzetnika , u svom delokrugu rada.
2. Definicije i značenje pojedinih izraza
„Podatak o ličnosti“ je svaki podatak koji se odnosi na fizičko lice čiji je identitet određen ili odrediv, neposredno ili posredno, posebno na osnovu oznake identiteta, kao što je ime i identifikacioni broj, podataka o lokaciji, identifikatora u elektronskim komunikacionim mrežama ili jednog, odnosno više obeležja njegovog fizičkog, fiziološkog, genetskog, mentalnog, ekonomskog, kulturnog i društvenog identiteta.
„Obrada podataka o ličnosti“ je svaka radnja ili skup radnji koje se vrše automatizovano ili neautomatizovano sa podacima o ličnosti ili njihovim skupovima, kao što su prikuplјanje, beleženje, razvrstavanje, grupisanje, odnosno strukturisanje, pohranjivanje, upodoblјavanje ili menjanje, otkrivanje, uvid, upotreba, otkrivanje prenosom, odnosno dostavlјanjem, umnožavanje, širenje ili na drugi način činjenje dostupnim, upoređivanje, ograničavanje, brisanje ili uništavanje (u dalјem tekstu: obrada).
„Lice na koje se podaci odnose“ je fizičko lice čiji se podaci o ličnosti obrađuju.
„Rukovalac“ je fizičko ili pravno lice, odnosno organ vlasti koji samostalno ili zajedno sa drugima određuje svrhu i način obrade – za potrebe ove Politike i drugih internih akata Preduzetnik, rukovalac je Preduzetnik.
„Obrađivač“ je fizičko ili pravno lice, odnosno organ vlasti koji obrađuje podatke o ličnosti u ime rukovaoca.
„Primalac” je fizičko ili pravno lice kome su podaci o ličnosti otkriveni, bez obzira da li se radi o trećoj strani ili ne, osim ako se radi o organima vlasti koji u skladu sa zakonom primaju podatke o ličnosti u okviru istraživanja određenog slučaja i obrađuju ove podatke u skladu sa pravilima o zaštiti podataka o ličnosti koja se odnose na svrhu obrade.
„Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti“ (u daljem tekstu: Poverenik)” je nezavisan i samostalni organ vlasti ustanovljen na osnovu zakona, koji je nadležan za nadzor nad sprovođenjem Zakona i obavljanje drugih poslova propisanih zakonom.
„Povreda podataka o ličnosti” je povreda bezbednosti podataka o ličnosti koja dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmene, neovlašćenog otkrivanja ili pristupa podacima o ličnosti koji su preneseni, pohranjeni ili na drugi način obrađivani.
„Profilisanje” je svaki oblik automatizovane obrade koji se koristi da bi se ocenilo određeno svojstvo ličnosti, posebno u cilju analize ili predviđanja radnog učinka fizičkog lica, njegovog ekonomskog položaja, zdravstvenog stanja, ličnih sklonosti, interesa, pouzdanosti, ponašanja, lokacije ili kretanja.
„Pseudonimizacija” je obrada na način koji onemogućava pripisivanje podataka o ličnosti određenom licu bez korišćenja dodatnih podataka, pod uslovom da se ovi dodatni podaci čuvaju posebno i da su preduzete tehničke, organizacione i kadrovske mere koje obezbeđuju da se podatak o ličnosti ne može pripisati određenom ili odredivom licu.
„Pristanak” lica na koje se podaci odnose je svako dobrovoljno, određeno, informisano i nedvosmisleno izražavanje volje tog lica, kojim to lice, izjavom ili jasnom potvrdnom radnjom, daje pristanak za obradu podataka o ličnosti koji se na njega odnose.
3. Cilj, svrha i područje primene
Preduzetnik, kroz ovu Politiku ima za cilj zaštitu osnovnih prava i sloboda fizičkih lica, a posebno njihovog prava na zaštitu podataka o ličnosti.
Cilj Politike je da uspostavi nove i uskladi postojeće procese i mere zaštite, i upravljanja podacima o ličnosti kupaca, zaposlenih, poslovnih partnera Preduzetnika i drugih lica, a čije podatke o ličnosti Preduzetnik obrađuje u okviru svojih poslovnih aktivnosti koje se vrše na teritoriji Republike Srbije.
4. Načela obrade podataka o ličnosti
Preduzetnik ima obavezu da svoje poslovanje uskladi sa Zakonom o zaštiti podataka o ličnosti, a to između ostalog podrazumeva obradu podataka o ličnosti u skladu sa načelima obrade koje podrazumeva da podaci o ličnosti moraju obrađivati:
- zakonito, pošteno i transparentno u odnosu na lice na koje se podaci odnose („zakonitost, poštenje i transparentnos”),
- mogu se prikupljati u svrhe koje su konkretno određene, izričite, opravdane i zakonite („ograničenje u odnosu na svrhu obrade”),
- biti primereni, bitni i ograničeni na ono što je neophodno u odnosu na svrhu obrade („minimizacija podataka”),
- biti tačni i, ako je to neophodno, ažurirani („tačnost”),
- da se moraju čuvati u obliku koji omogućava identifikaciju lica samo u roku koji je neophodan za ostvarivanje svrhe obrade („ograničenje čuvanja”),
- da se obrada vrši na način koji obezbeđuje odgovarajuću zaštitu podataka o ličnosti („integritet i poverljivost”).
Sva lica koja obrađuju podatke o ličnosti u svom radu moraju da usvoje i implementiraju pomenuta načela, a koja su navedena i dodatno objašnjena u ovoj Politici.
Sve organizacione jedinice Preduzetnika su dužne da se pridržavaju propisanih načela obrade podataka u svom delokrugu rada kao i svih internih akata Preduzetnika koji regulišu ovu oblast.
4.1 Načelo zakonitosti poštenja i transparentnosti
Preduzetnik u svom poslovanju treba da obrađuje podatke o ličnosti na zakonit način.
Da bi obrada bila zakonita neohodno je da Rukovalac ima valjan pravni osnov za obradu.
Ponašanje Preduzetnika kao rukovaoca mora biti zakonito, pošteno i transparentno prema licu čiji se podaci obrađuju, odnosno potrebno je da mu se na jasan i nedvosmislen način, jednostavnim, njemu razumljivim jezikom, ukaže na sva prava koja ima po osnovu zaštite podataka.
4.2 Načelo ograničenja u odnosu na svrhu obrade
Podaci o ličnosti mogu se prikupljati u svrhe koje su konkretno određene, izričite, opravdane i zakonite i dalje se ne mogu obrađivati na način koji nije u skladu sa tim svrhama.
4.3 Načelo minimizacije podataka
Podaci o ličnosti koji se prikupljaju i obrađuju moraju biti primereni, bitni i ograničeni na ono što je neophodno u odnosu na svrhu obrade, dakle nije dozvoljena obrada podataka koji nisu neophodni za ispunjavanje konkretno određene svrhe.
4.4 Načelo tačnosti
Podaci koje Preduzetnik prikuplja moraju biti tačni i, ako je to neophodno, ažurirani.
Uzimajući u obzir svrhu obrade, moraju se preduzeti sve razumne mere kojima se
obezbeđuje da se netačni podaci o ličnosti bez odlaganja izbrišu ili isprave.
4.5 Načelo ograničenja čuvanja
Podaci koji se prikupljaju i obrađuju mogu se čuvati u obliku koji omogućava identifikaciju lica samo u roku koji je neophodan za ostvarivanje svrhe obrade.
4.6 Načelo integriteta i poverljivosti
Podaci o ličnosti se mogu obrađivati na način koji obezbeđuje odgovarajuću zaštitu podataka o ličnosti, uključujući zaštitu od neovlašćene ili nezakonite obrade, kao i od slučajnog gubitka, uništenja ili oštećenja primenom odgovarajućih tehničkih, organizacionih i kadrovskih mera.
4.7 Načelo odgovornosti za postupanje
Rukovalac je odgovoran za primenu svih načela obrade podataka i mora biti u mogućnosti da predoči njihovu primenu – ovo je načelo koje se odnosi na rukovaoca.
5. Svrha i pravni osnov obrade
Svrhu i načine obrade ličnih podataka može odrediti Preduzetnik ili koji od partnera Preduzetnika sa kojim Preduzetnik ima sklopljen ugovor u vezi sa obradom ličnih podataka.
Kada Preduzetnik samo odredi svrhu i sredstva obrade ličnih podataka tada je Preduzetnik rukovalac.
Kada Preduzetnik obrađuje podatke u ime rukovaoca, tada je Preduzetnik obrađivač ličnih podataka i obrađuje podatke u skladu sa zahtevom rukovaoca. U tom slučaju rukovalac određuje koje lične podatke i u kojem obimu Preduzetnik kao obrađivač treba podatke obrađivati.
Preduzetnik obrađuje podatke o ličnosti fizičkih lica u svrhu pružanja usluga Preduzetnika odnosno po osnovu pružanja računovodstvenih usluga pravnim licima.
Na određenim mestima unutar interneth stranica Preduzetnika („kontakt“, „upit“, „upitnik“ ili slično) prikupljamo vaše lične podatke (ime, prezime, adresu, telefonski broj, e-mail adresu, …) koje nam dajete tako što ispunite predmetni upitnik na internet stranici. Navedeni podaci će se koristiti u svrhu kontakata, odgovaranja na vaše upite, pružanje informacija na vaš zahtev i evidencije korisnika internet stranice, a nužni su da bismo vam odgovorili na vaš upit i pružili uslugu. U tom slučaju, kada upisujete svoje lične podatke u za to predviđeno mesto na internet stranicama Preduzetnika , potvrđujete i dajete svoj pristanak da se s vaše strane dati lični podaci dobrovoljno stavljaju na raspolaganje Preduzetniku, te da dozvoljavate da se isti koriste za svrhu kako je to navedeno.
Osim navedenog u stavu 1, Preduzetnik može obrađivati podatke o ličnosti po sledećim osnovima:
- obrada na osnovu pristanka - lice na koje se podaci o ličnosti odnose je pristalo na obradu svojih podataka o ličnosti za jednu ili više posebno određenih svrha;
- neophodnost za izvršenje ugovora zaključenog sa licem na koje se podaci odnose ili za preduzimanje radnji, na zahtev lica na koje se podaci odnose, pre zaključenja ugovora;
- obrada na osnovu zakona i drugih obavezujućih propisa - poštovanje pravnih obaveza rukovaoca;
- obrada u cilju zaštite životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica;
- obrada u cilju obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja rukovaoca;
- obrada je neophodna u cilju ostvarivanja legitimnih interesa rukovaoca ili treće strane, osim ako su nad tim interesima pretežniji interesi ili osnovna prava i slobode lica na koje se podaci odnose koji zahtevaju zaštitu podataka o ličnosti, a posebno ako je lice na koje se podaci odnose maloletno lice.
5.1 Obrada na osnovu pristanka
Ukoliko se obrada podataka bazira na ovom osnovu Preduzetnik mora biti u mogućnosti da dokaže da je lice na koje se podaci odnose pristalo na obradu.
Pre davanja pristanka lice na koje se podaci odnose mora biti obavešteno o pravu na opoziv, kao i dejstvu opoziva.
Opoziv pristanka ne utiče na dopuštenost obrade koja je vršena na osnovu pristanka pre opoziva. Lice na koje se podaci odnose ima pravo da opozove pristanak u svakom trenutku.
Prikupljanje i čuvanje podataka o ličnosti
Preduzetnik može da prikuplja podatke o ličnosti fizičkih lica na različite načine.
Najčešće podatke o ličnosti dostavljaju direktno lica na koja se ti podaci odnose, a
Preduzetnik može da koristi i druge informacije o fizičkim licima koje su dostupne
u javnim registrima, bazama podataka, internet aplikacijama, socijalnim mrežama i
drugim javnim izvorima podataka. Sve navedene podatke i informacije mogu da
obrađuju lica zaposlena u Preduzetniku u okviru svojih radnih aktivnosti, a sve u
skladu sa Zakonom i internim aktima Preduzetnika.
U procesu prikupljanja i obrade podataka o ličnosti jedna od obaveza Preduzetnika
kao rukovaoca je da licu na koje se podaci odnose saopšti informaciju o roku
čuvanja (i obrade) podataka o ličnosti, ili ako to nije moguće onda bar kriterijume
za njegovo određivanje.
Period u kojem se podaci prikupljaju i obrađuju zavisi od pravnog osnova i svrhe
obrade određene kategorije podataka o ličnosti.
Podaci o ličnosti koji se obrađuju isključivo po osnovu saglasnosti lica na koje se
odnose, obrađuju se u skladu sa svrhom zbog koje su prikupljeni (tj. do ispunjenja
svrhe), odnosno do povlačenja saglasnosti od strane lica na koje se podaci odnose.
Nakon ispunjenja svrhe obrade, (osim ako ne postoji neki drugi osnov za obradu,
npr. zakon) podaci o ličnosti se brišu, uništavaju, blokiraju ili anonimizuju.
Kada Preduzetnik ima obavezu da podatke čuva i nakon okončanja poslovne
saradnje sa licem na koje se podaci odnose, npr. na osnovu zakona ili legitimnog
interesa, podaci o ličnosti se obrađuju dok ne istekne rok predviđen zakonom za
zakonske obaveze Preduzetnika , a kod legitimnog interesa (npr. u slučaju
eventualnog spora lica na koje se podaci odnose i Preduzetnika ) obrada se vrši
dok traje legitimni interes.
7. Prava lica na koja se podaci odnose
Lica na koja se podaci odnose imaju određena prava garantovana Zakonom, a Preduzetnik kao rukovalac u obradi podataka je dužno da omogući pomenutim licima uživanje tih prava u potpunosti.
Rukovalac je dužan da licu na koje se podaci odnose pruži informacije o postupanju na osnovu zahteva iz člana 26, člana 29. do 31, člana 33. i člana 36. do 38. ovog Zakona bez odlaganja, a najkasnije u roku od 30 dana od dana prijema zahteva. Taj rok može biti produžen za još 60 dana ako je to neophodno, uzimajući u obzir složenost i broj zahteva. O produženju roka i razlozima za to produženje rukovalac je dužan da obavesti lice na koje se podaci odnose u roku od 30 dana od dana prijema zahteva. Ako je lice na koje se podaci odnose podnelo zahtev elektronskim putem, informacija se mora pružiti elektronskim putem ako je to moguće, osim ako je to lice zahtevalo da se informacija pruži na drugi način.
7.1 Pravo na informisanje
Preduzetnik, u svojstvu rukovaoca podacima o ličnosti, ima obavezu da licima čiji se podaci obrađuju obezbedi sve raspoložive informacije koje se tiču njihovih prava.
Pravo na informisanje predstavlja direktnu primenu načela transparentnosti od strane Preduzetnika u njegovim poslovanju.
Kada govorimo o informisanju u trenutku davanja pristanka na obradu podataka o ličnosti, pre davanja pristanka, neophodno je da Preduzetnik pruži informaciju licu koje daje pristanak, o pravu na opoziv, kao i o dejstvu opoziva na dalju obradu podataka.
Preduzetnik će u trenutku prikuplјanja podataka o ličnosti, tom licu pružiti sledeće informacije:
- identitet i kontakt podatke rukovaoca;
- kontakt podatke lica za zaštitu podataka o ličnosti;
- svrha nameravane obrade i pravni osnov za obradu;
- o primaocu ili grupi primaoca ukoliko postoje;
- o nameri prenosa podataka o ličnosti u drugu državu ili međunarodnu organizaciju;
- o roku čuvanja podataka o ličnosti ili, ako to nije moguće, o kriterijumima za njegovo određivanje;
- o postojanju prava da se od rukovaoca zahteva pristup, ispravka ili brisanje njegovih podataka o ličnosti, odnosno postojanju prava na ograničenje obrade, prava na prigovor, kao i prava na prenosivost podataka;
- o postojanju automatizovanog donošenja odluke, uklјučujući i profilisanje;
- o pravu da se podnese pritužba Povereniku;
- o tome da li je davanje podataka o ličnosti zakonska ili ugovorna obaveza ili je davanje podataka neophodan uslov za zaklјučenje ugovora;
- o postojanju prava na opoziv pristanka u bilo koje vreme, kao i o tome da opoziv pristanka ne utiče na dopuštenost obrade na osnovu pristanka pre opoziva.
Ukoliko se podaci o ličnosti ne prikupljaju od lica na koje se odnose, pored svih navedenih informacija iz prethodnog stava potrebno je dostaviti i informaciju o izvoru iz kojeg potiču podaci o ličnosti i, prema potrebi, da li podaci potiču iz javno dostupnih izvora.
7.2 Pravo na pristup, ispravku, ažuriranje i brisanje podataka
Lice na koje se podaci odnose ima pravo da od rukovaoca zahteva informaciju o tome da li obrađuje njegove podatke o ličnosti, pristup tim podacima, odnosno ima pravo da mu po zahtevu Preduzetnik dostavi sve informacije u vezi podataka koje obrađuje.
Rukovalac je dužan da licu na koje se podaci odnose, na njegov zahtev dostavi kopiju podataka koje obrađuje.
Rukovalac može da zahteva naknadu nužnih troškova za izradu dodatnih kopija koje zahteva lice na koje se podaci odnose.
Prava iz ove tačke takođe predstavljaju direktnu primenu načela transparentnosti u praksi.
U zavisnosti od svrhe obrade, lice na koje se podaci odnose ima pravo da svoje nepotpune podatke o ličnosti dopuni, što uključuje i davanje dodatne izjave.
Lice na koje se podaci odnose ima pravo da se njegovi podaci o ličnosti izbrišu od strane rukovaoca u sledećim slučajevima:
- podaci više nisu neophodni za ostvarivanje svrhe za koju su prikupljani,
- lice je opozvalo pristanak na osnovu kojeg se vršila obrada,
- podaci o ličnosti su nezakonito obrađivani,
- podaci moraju biti obrisani u cilju izvršavanja zakonskih obaveza rukovaoca,
- lice na koje se podaci odnose je podnelo prigovor na obradu - važi samo u određenim slučajevima.
Rukovalac je dužan da obavesti sve primaoce kojima su podaci o ličnosti otkriveni o svakoj ispravci ili brisanju podataka o ličnosti ili ograničenju njihove obrade, osim ako je to nemoguće ili zahteva prekomeran utrošak vremena i sredstava.
Prava iz ove tačke takođe predstavljaju direktnu primenu načela transparentnosti i načela tačnosti u praksi.
7.3 Pravo na ograničenje obrade
Lice na koje se podaci odnose ima pravo da se obrada njegovih podataka o ličnosti ograniči od strane rukovaoca ako je ispunjen jedan od sledećih slučajeva:
1. lice na koje se podaci odnose osporava tačnost podataka o ličnosti, u roku koji omogućava rukovaocu proveru tačnosti podataka o ličnosti;
2. obrada je nezakonita, a lice na koje se podaci odnose se protivi brisanju podataka o ličnosti i umesto brisanja zahteva ograničenje upotrebe podataka;
3. rukovaocu više nisu potrebni podaci o ličnosti za ostvarivanje svrhe obrade, ali ih je lice na koje se podaci odnose zatražilo u cilju podnošenja, ostvarivanja ili odbrane pravnog zahteva;
4. lice na koje se podaci odnose je podnelo prigovor na obradu, a u toku je procenjivanje da li pravni osnov za obradu od strane rukovaoca preteže nad interesima tog lica;
5. ako je obrada ograničena u skladu sa gore navedenim, ti podaci mogu se dalje obrađivati samo na osnovu pristanka lica na koje se podaci odnose.
Ukoliko prestanu razlozi za ograničenje rukovalac je dužan da informiše lice na koje se podaci odnose o prestanku ograničenja, pre nego što ograničenje prestane da važi.
7.4 Pravo na prenosivost podataka
Lice na koje se podaci odnose ima pravo da dobije od rukovaoca njegove podatke o ličnosti koje mu je prethodno dostavio u uobičajeno korišćenom obliku (elektronskom, čitljivom, strukturisanom), i ima pravo da ove podatke prenese drugom rukovaocu bez ometanja od strane rukovaoca kojem su ti podaci dostavljeni.
Ovo pravo obuhvata i pravo da njegovi podaci o ličnosti budu neposredno preneti drugom rukovaocu od strane rukovaoca kojem su ovi podaci prethodno dostavljeni, ukoliko je to tehnički izvodljivo.
7.5 Pravo na prigovor
Rukovalac je dužan da najkasnije prilikom uspostavljanja prve komunikacije sa licem na koje se podaci odnose, upozori to lice na postojanje prava na prigovor i da ga upozna sa tim pravima na izričit i jasan način, odvojeno od svih drugih informacija koje mu pruža.
Lice na koje se podaci odnose u svakom trenutku ima pravo da rukovaocu podnese prigovor na obradu njegovih podataka o ličnosti ukoliko smatra da ima opravdanih razloga za to.
Rukovalac je dužan da prekine sa obradom podataka o licu koje je podnelo prigovor, osim ukoliko postoje zakonski razlozi za obradu koji pretežu nad interesima, pravima i slobodama lica na koje se podaci odnose.
Lice na koje se podaci odnose ima pravo da u svakom trenutku podnese prigovor na obradu svojih podataka o ličnosti koji se obrađuju za potrebe direktnog oglašavanja, uključujući i profilisanje, u tom slučaju podaci o ličnosti ne mogu se dalje obrađivati u takve svrhe.
Lice na koje se podaci odnose ima pravo da podnese prigovor automatizovanim putem, u skladu sa tehničkim specifikacijama korišćenja usluga.
7.6 Prava vezana za automatizovano donošenje odluka i profilisanje
Preduzetnik u obradi podataka koristi i metode automatizovane obrade (uključujući tu profilisanje), i na osnovu tako obrađenih podataka donosi odluke.
Lica čiji se podaci obrađuju imaju pravo da traže da se tako donešena odluka ne primenjuju na njih ukoliko navedena odluka značajno utiču na njihov položaj ili proizvodi pravne posledice.
Navedeno pravo isključuje se ukoliko je odluka neophodna za zaključenje ili izvršenje ugovora između lica na koje se podaci odnose i rukovaoca, ili ako se odluka zasniva na izričitom pristanku lica, ali u tim slučajevima neophodno je da rukovalac obezbedi učešće fizičkog lica pod kontrolom rukovaoca u donošenju odluke, pravo lica na koje se podaci odnose da izrazi svoj stav u vezi sa odlukom, kao i da ospori odluku pred ovlašćenim licem rukovaoca.
8. Rukovalac, zajednički rukovalac i obrađivač
Rukovalac je dužan da prilikom određivanja načina obrade, i u samom postupku
obrade primeni mere koje imaju za cilj obezbeđivanje primene načela zaštite
podataka o ličnosti, kao što su:
- smanjenje broja podataka,
- obrada na način koji onemogućava pripisivanje podataka o ličnosti
određenom licu bez korišćenja dodatnih podataka – pseudonimizacija, kao i
- druge mere, a sve u skladu sa tehničkim mogućnostima.
Rukovalac je dužan da stalnom primenom odgovarajućih tehničkih, organizacionih i kadrovskih mera obezbedi da se uvek obrađuju samo oni podaci o ličnosti koji su neophodni za ostvarivanje svake pojedinačne svrhe obrade.
Ta se obaveza primenjuje u odnosu na broj prikupljenih podataka, obim njihove obrade, rok njihovog pohranjivanja i njihovu dostupnost (ovo je direktna primena načela minimizacije podataka i ograničenja u odnosu na svrhu obrade).
Ukoliko dva ili više rukovaoca zajednički određuju svrhu i način obrade, oni se smatraju zajedničkim rukovaocima. U slučajevima kada postoje zajednički rukovaoci na transparentan način se određuje odgovornost svakog od njih za poštovanje obaveza propisanih ovim zakonom, a posebno obaveza u pogledu ostvarivanja prava lica na koje se podaci odnose i ispunjavanja obaveza rukovaoca.
Ukoliko obradu podataka vrši obrađivač u ime rukovaoca, rukovalac može da odredi kao obrađivača samo ono lice ili organ vlasti koji u potpunosti garantuje primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera, na način koji obezbeđuje da se obrada vrši u skladu sa odredbama Zakona i da se obezbeđuje zaštita prava lica na koje se podaci odnose.
Obrađivač može poveriti obradu drugom obrađivaču samo ako ga rukovalac za to ovlasti na osnovu opšteg ili posebnog pismenog ovlašćenja.
Obrada od strane obrađivača mora biti uređena ugovorom ili drugim pravno
obavezujućim aktom, koji je zaključen, odnosno usvojen u pismenom obliku, što
obuhvata i elektronski oblik, koji obavezuje obrađivača prema rukovaocu i koji
uređuje :
- predmet i trajanje obrade,
- prirodu i svrhu obrade,
- vrstu podataka o ličnosti i vrstu lica o kojima se podaci obrađuju, kao i
- prava i obaveze rukovaoca.
Obrađivač prilikom obrade podataka ima sledeće dužnosti:
- da obrađuje podatke o ličnosti samo na osnovu pismenih uputstava;
- da obezbedi da se fizičko lice koje je ovlašćeno da obrađuje podatke o ličnosti obavezalo na čuvanje poverljivosti podataka;
- da posle okončanja ugovorenih radnji obrade, a na osnovu odluke rukovaoca, izbriše ili vrati rukovaocu sve podatke o ličnosti i izbriše sve kopije ovih podataka, osim ako je zakonom propisana obaveza čuvanja podataka;
- da pomaže rukovaocu primenom odgovarajućih tehničkih, organizacionih i kadrovskih mera, koliko je to moguće, u ispunjavanju obaveza rukovaoca u odnosu na zahteve za ostvarivanje prava lica na koje se podaci odnose;
- da poštuje uslove za poveravanje obrade drugom obrađivaču;
- da učini dostupnim rukovaocu sve informacije koje su neophodne za predočavanje ispunjenosti obaveza obrađivača propisanih ovim članom, kao i informacije koje omogućavaju i doprinose kontroli rada obrađivača.
Ukoliko obrađivač povredi odredbe Zakona određujući svrhu i način obrade podatka o ličnosti, obrađivač se smatra rukovaocem u odnosu na tu obradu.
Obrađivač, ili drugo lice koje je od strane rukovaoca ili obrađivača ovlašćeno za pristup podacima o ličnosti, ne može da obrađuje te podatke bez naloga rukovaoca.
9. Evidencije radnji obrade
Preduzetnik kao rukovalac i njen predstavnik ukoliko je određen, ima obavezu da vodi evidenciju o radnjama obrade, a koja sadrži sledeće informacije:
- informacije o imenu i kontakt podacima rukovaoca, zajedničkih rukovaoca, predstavnika rukovaoca i lica za zaštitu podataka o ličnosti ukoliko su određeni;
- informacije o svrsi obrade;
- informacije o vrsti lica na koje se podaci odnose kao i o vrsti podataka koji se obrađuju;
- vrsti primalaca kojima će podaci o ličnosti biti otkriveni;
- informacije o prenosu podataka u druge države ili međunarodne organizacije, ime tih država i organizacija kao i dokumente o primeni mera zaštite tih podataka, a sve ovo ukoliko se takav prenos vrši;
- informacije o roku čuvanja podataka ukoliko je takav rok određen;
- opšti opis mera zaštite podataka ukoliko je to moguće.
Prethodno opisane evidencije se vode u pisanom obliku, što obuhvata i elektronski oblik, i čuvaju se trajno.
Preduzetnik kao rukovalac, kao i njeni predstavnici, ako su određeni, dužni su da opisane evidencije učine dostupnim Povereniku, na njegov zahtev, kao i da sarađuju sa Poverenikom u vršenju njegovih ovlašćenja.
Obrađivač i njegov predstavnik, ako je određen, dužan je da vodi evidenciju o svim vrstama radnji obrade koje se vrše u ime rukovaoca, a koja sadrži informacije o:
1) imenu i kontakt podacima svakog obrađivača i svakog rukovaoca u čije ime se obrada vrši, odnosno predstavnika rukovaoca ili obrađivača i lica za zaštitu podataka o ličnosti, ako oni postoje, odnosno ako su određeni;
2) vrsti obrada koje se vrše u ime svakog rukovaoca;
3) prenosu podataka o ličnosti u druge države ili međunarodne organizacije, uključujući i naziv druge države ili međunarodne organizacije, kao i dokumente o primeni mera zaštite ako se podaci prenose u skladu sa članom 69. stav 2. zakona, ako se takav prenos podataka o ličnosti vrši;
4) opštem opisu mera zaštite iz člana 50. stav 1. zakona, ako je to moguće.
10. Bezbednost podataka o ličnosti
Preduzetnik sve podatke čuva i obrađuje uz primenu svih raspoloživih tehničkih i organizacionih mera zaštite podataka u skladu sa Zakonom i internim aktima Preduzetnika. Preduzetnik je dužan da primenom tehnoloških dostignuća, kao i tehničkih, kadrovskih i organizacionih mera koje ima na raspolaganju osigura bezbednost podataka.
10.1 Bezbednost obrade
Preduzetnik kao rukovalac u obradi podataka koristi mere kako bi obezbedila bezbednost obrade, a te mere obuhvataju naročito:
- pseudonimizaciju i kriptozaštitu podataka o ličnosti;
- sposobnost obezbeđivanja trajne poverljivosti, integriteta, raspoloživosti i otpornosti sistema i usluga obrade;
- obezbeđivanje uspostavljanja ponovne raspoloživosti i pristupa podacima o ličnosti u slučaju fizičkih ili tehničkih incidenata u najkraćem roku;
- postupak redovnog testiranja, ocenjivanja i procenjivanja delotvornosti tehničkih, organizacionih i kadrovskih mera bezbednosti obrade.
Preduzetnik internim aktima uređuje pristup zaposlenih podacima o ličnosti, u okviru svojih radnih zadataka.
10.2 Obaveštavanje Poverenika o povredi podataka
Ukoliko dođe do povrede podataka o ličnosti koja može da proizvede rizik po prava i slobode fizičkih lica, Preduzetnik je dužno da obavesti Poverenika bez nepotrebnog odlaganja, a najkasnije u roku od 72 časa od saznanja za povredu, u suprotnom dužno je da obrazloži razloge zbog kojih nije postupilo u tom roku.
Obaveštenje iz prethodnog stava mora da sadrži najmanje sledeće informacije:
1. opis prirode povrede podataka o ličnosti, uključujući vrste podataka i približan
broj lica na koja se podaci te vrste odnose, kao i približan broj podataka o ličnosti
čija je bezbednost povređena;
2. ime i kontakt podatke lica za zaštitu podataka o ličnosti ili informacije o drugom
načinu na koji se mogu dobiti podaci o povredi;
3. opis mogućih posledica povrede;
4. opis mera koje je rukovalac preduzeo ili čije je preduzimanje predloženo u vezi
sa povredom, uključujući i mere koje su preduzete u cilju umanjenja štetnih
posledica.
Preduzetnik kao rukovalac je dužno da dokumentuje svaku povredu podataka o ličnosti, uključujući i činjenice o povredi, njenim posledicama i preduzetim merama za njihovo otklanjanje.
Poverenik propisuje obrazac obaveštenja i bliže uređuje način obaveštavanja.
10.3 Obaveštavanje lica o povredi podataka o ličnosti
Ako povreda podataka o ličnosti može da proizvede visok rizik po prava i slobode fizičkih lica, Preduzetnik ima obavezu da bez nepotrebnog odlaganja o povredi obavesti lice na koje se podaci odnose.
Ako Preduzetnik nije obavestilo lice na koje se podaci odnose o povredi podataka o ličnosti, Poverenik može da naloži Preduzetniku da to učini.
10.4 Procena uticaja obrade na zaštitu podataka o ličnosti
Ukoliko postoji verovatnoća da će neka vrsta obrade, posebno upotrebom novih tehnologija i uzimajući u obzir prirodu, obim, okolnosti i svrhu obrade, prouzrokovati visok rizik za prava i slobode fizičkih lica, Preduzetnik ima obavezu da pre nego što započne sa obradom, izvrši procenu uticaja predviđenih radnji obrade na zaštitu podataka o ličnosti.
Prilikom procene uticaja Preduzetnik je dužan da zatraži mišljenje lica za zaštitu podataka o ličnosti.
Procena uticaja radnji obrade obavezno se vrši u slučaju:
1. sistematske i sveobuhvatne procene stanja i osobina fizičkog lica koja se vrši
pomoću automatizovane obrade podataka o ličnosti, uključujući i profilisanje, na
osnovu koje se donose odluke od značaja za pravni položaj pojedinca ili na sličan
način značajno utiču na njega;
2. obrade posebnih vrsta podataka o ličnosti ili podataka o ličnosti u vezi sa
krivičnim presudama i kažnjivim delima;
3. sistematskog nadzora nad javno dostupnim površinama u velikoj meri.
10.5 Prethodno mišljenje Poverenika
Ukoliko procena uticaja radnji obrade na zaštitu podataka o ličnosti, ukazuje da će nameravane radnje obrade proizvesti visok rizik ako se ne preduzmu mere za umanjenje rizika, Preduzetnik je dužan da zatraži mišljenje Poverenika pre započinjanja radnje obrade.
11. Prenos podataka o ličnosti u druge države i međunarodne organizacije
Prenos podataka o ličnosti u druge države i međunarodne organizacije moguće je izvršiti ukoliko Preduzetnik postupa u skladu sa uslovima propisanim ovom Politikom. Navedeni prenos podrazumeva i dalji prenos podataka iz druge države ili međunarodne organizacije u treću državu ili međunarodnu organizaciju, a sve navedeno će biti uređeno posebnim ugovorom. Cilj ovakvog postupanja je obezbeđivanje primerenog nivoa zaštite fizičkih lica koji je jednak nivou koji garantuje Zakon o zaštiti podataka o ličnosti.
11.1 Prenos na osnovu primerenog nivoa zaštite
Prenos podataka o ličnosti u drugu državu, na deo njene teritorije, ili u jedan ili više sektora određenih delatnosti u toj državi ili u međunarodnu organizaciju, bez prethodnog odobrenja, može se izvršiti ako je utvrđeno da ta druga država, deo njene teritorije ili jedan ili više sektora određenih delatnosti u toj državi ili ta međunarodna organizacija obezbeđuje primereni nivo zaštite podataka o ličnosti.
Smatra se da je primereni nivo zaštite obezbeđen u državama i međunarodnim organizacijama koje su članice Кonvencije Saveta Evrope o zaštiti lica u odnosu na automatsku obradu ličnih podataka, odnosno u državama, na delovima njihovih teritorija ili u jednom ili više sektora određenih delatnosti u tim državama ili međunarodnim organizacijama za koje je od strane Evropske unije utvrđeno da obezbeđuju primereni nivo zaštite.
Ukoliko je sa drugom državom ili međunarodnom organizacijom zaključen međunarodni sporazum o prenosu podataka o ličnosti, smatra se da je obezbeđen primereni nivo zaštite.
11.2 Prenos uz primenu odgovarajućih mera zaštite
Rukovalac ili obrađivač mogu da prenesu podatke o ličnosti u drugu državu, na deo njene teritorije ili u jedan ili više sektora određenih delatnosti u toj državi ili u međunarodnu organizaciju za koju nije utvrđeno postojanje primerenog nivoa zaštite, samo ako je rukovalac, odnosno obrađivač obezbedio odgovarajuće mere zaštite ovih podataka i ako je licu na koje se podaci odnose obezbeđena ostvarivost njegovih prava i delotvorna pravna zaštita.
Mere za zaštitu podataka pomenute u prethodnom stavu mogu se obezbediti sa ili bez posebnog odobrenja Poverenika.
12. Lice za zaštitu podataka o ličnosti
Preduzetnik kao rukovalac ili obrađivač može svojom odlukom da odredi lice za zaštitu podataka o ličnosti.
Ukoliko Preduzetnik kao rukovalac ili obrađivač imenuje lice za zaštitu podataka ličnosti dužno je da objavi kontakt podatke lica za zaštitu podataka o ličnosti i dostavi ih Povereniku, koji vodi evidenciju lica za zaštitu podataka o ličnosti.
Lica na koje se podaci odnose mogu se obratiti licu za zaštitu podataka o ličnosti u vezi sa svim pitanjima koja se odnose na obradu svojih podatka o ličnosti, kao i u vezi sa ostvarivanjem svojih prava propisanih ovim zakonom.
12.1 Odnos Društva kao rukovaoca ili obrađivača i lica za zaštitu podataka o ličnosti
Organi Preduzetnika određuju Lice za zaštitu podataka o ličnosti iz redova svojih zaposlenih.
Preduzetnik kao rukovalac ili obrađivač ima obavezu da blagovremeno i na odgovarajući način uključi lice za zaštitu podataka o ličnosti u sve poslove koji se odnose na zaštitu podataka o ličnosti. U ispunjavanju ove obaveze Preduzetnik treba da omogući ovom licu izvršavanje svih obaveza tako što će mu obezbediti neophodna sredstva za izvršavanje ovih obaveza, pristup podacima o ličnosti i radnjama obrade, kao i njegovo stručno usavršavanje.
Preduzetnik mora da obezbedi nezavisnost licu za zaštitu podataka o ličnosti u izvršavanju njegovih obaveza, i ne može ga kazniti, niti raskinuti radni odnos, odnosno ugovor sa njim zbog izvršavanja njegovih obaveza.
Lice za zaštitu podataka o ličnosti neposredno je odgovorno Preduzetniku, a ima obavezu da čuva tajnost, odnosno poverljivost podataka do kojih je došlo u izvršavanju svojih obaveza.
Lica na koje se podaci odnose mogu se obratiti licu za zaštitu podataka o ličnosti u vezi sa svim pitanjima koja se odnose na obradu svojih podatka o ličnosti, kao i u vezi sa ostvarivanjem svojih prava propisanih zakonom.
Lice za zaštitu podataka o ličnosti može da obavlja druge poslove i izvršava druge obaveze, a Društvo kao rukovalac ili obrađivač je dužno da obezbedi da izvršavanje drugih poslova i obaveza ne dovede lice za zaštitu podataka o ličnosti u sukob interesa.
12.2 Obaveze lica za zaštitu podataka o ličnosti
Ukoliko je imenovano, lice za zaštitu podataka o ličnosti ima obavezu da:
1. informiše i daje mišljenje Preduzetniku kao rukovaocu ili obrađivaču, kao i
zaposlenima koji vrše radnje obrade o njihovim zakonskim obavezama u vezi sa
zaštitom podataka o ličnosti i internim aktima Društva koji regulišu ovu oblast;
2. prati primenu Zakona, drugih zakona i internih propisa rukovaoca ili obrađivača
koji se odnose na zaštitu podataka o ličnosti, uključujući i pitanja podele
odgovornosti, podizanja svesti i obuke zaposlenih koji učestvuju u radnjama
obrade, kao i kontrole;
3. daje mišljenje, kada se to zatraži, o proceni uticaja obrade na zaštitu podataka o
ličnosti i prati postupanje po toj proceni;
4. sarađuje sa Poverenikom, predstavlja kontakt tačku za saradnju sa Poverenikom
i savetuje se sa njim u vezi sa pitanjima koja se odnose na obradu, uključujući i
obaveštavanje i pribavljanje mišljenja poverenika.
U izvršavanju svojih obaveza lice za zaštitu podataka o ličnosti dužno je da posebno vodi računa o riziku koji se odnosi na radnje obrade, uzimajući u obzir prirodu, obim, okolnosti i svrhe obrade.
12.3. Povrenik, postupanje i ovlašćenja
Poverenik je nezavisni državni organ koji je ustanovljen u cilju zaštite osnovnih prava i sloboda fizičkih lica u vezi sa obradom.
U vršenju svojih ovlašćenja i poslova Poverenik je potpuno nezavisan, slobodan je od svakog neposrednog ili posrednog spoljnog uticaja i ne može da traži niti prima naloge od bilo koga.
Poverenik vrši svoja ovlašćenja na teritoriji Republike Srbije u skladu sa Zakonom o zaštiti podataka o ličnosti, i prati primenu ovog zakona.
Poverenik nije nadležan da vrši nadzor nad obradom od strane sudova u vršenju njihovih sudskih ovlašćenja.