Zakon o zaštiti podataka o ličnosti ukratko: prava, obaveze, rokovi
Zakon o zaštiti podataka o ličnosti (ZZPL): šta uređuje, broj Sl. glasnika, pravni osnov obrade, prava građana, rok od 30 dana, prijava povrede za 72 časa.
Šta uređuje Zakon o zaštiti podataka o ličnosti i na koga se primenjuje
Zakon o zaštiti podataka o ličnosti, skraćeno ZZPL, uređuje pravo na zaštitu fizičkih lica u vezi sa obradom njihovih podataka i slobodan protok tih podataka. Podatak o ličnosti je svaki podatak koji se odnosi na fizičko lice čiji je identitet određen ili odrediv: ime, JMBG, adresa, lokacija, IP adresa, snimak kamere, zdravstveni podatak (čl. 4).
Zakon se primenjuje na svaku automatizovanu obradu i na neautomatizovanu obradu podataka koji čine deo zbirke (čl. 3). Obavezuje rukovaoce, to jest one koji određuju svrhu i način obrade, i obrađivače, koji podatke obrađuju u njihovo ime. To su u praksi gotovo sve firme, preduzetnici, udruženja, škole, zdravstvene ustanove i državni organi. Zakon se ne primenjuje na obradu koju fizičko lice vrši za lične ili porodične potrebe. Primenjuje se i na rukovaoce van Srbije kada nude robu ili usluge licima u Srbiji ili prate njihovo ponašanje; oni po čl. 44 određuju predstavnika u Srbiji.
Zvanični citat: Zakon o zaštiti podataka o ličnosti („Sl. glasnik RS“, br. 87/2018). Zakon do danas nije menjan. Objavljen je u novembru 2018, a primenjuje se od 21. avgusta 2019. godine.
Kako je zakon strukturisan
Zakon ima 102 člana u deset poglavlja:
- I Osnovne odredbe (predmet, primena, pojmovi)
- II Načela (zakonitost, ograničenje svrhe, minimizacija, tačnost, ograničenje čuvanja, bezbednost, pravni osnov, pristanak, posebne vrste podataka)
- III Prava lica na koje se podaci odnose
- IV Rukovalac i obrađivač (obaveze, evidencije, bezbednost, povrede podataka, procena uticaja, lice za zaštitu podataka)
- V Prenos podataka u druge države i međunarodne organizacije
- VI Poverenik
- VII Pravna sredstva, odgovornost i kazne
- VIII Posebni slučajevi obrade
- IX Kaznene odredbe
- X Prelazne i završne odredbe
Deo odredaba odnosi se samo na obradu koju nadležni organi vrše radi sprečavanja i gonjenja krivičnih dela. Za firme i građane ti delovi nisu od neposrednog značaja.
Odredbe koje se najčešće traže
Načela obrade (čl. 5). Podaci se obrađuju zakonito, pošteno i transparentno, samo u konkretno određene svrhe, u meri koja je neophodna, tačni su i čuvaju se samo koliko je potrebno, uz odgovarajuće mere zaštite. Rukovalac mora biti u stanju da dokaže da ta načela poštuje.
Pravni osnov obrade (čl. 12). Bez jednog od šest osnova obrada nije zakonita.
Pristanak (čl. 15 i 16). Rukovalac mora moći da dokaže da je pristanak dat. Pristanak sakriven u opštim uslovima ili uslovljen zaključenjem ugovora za koji nije neophodan ne smatra se slobodno datim.
Posebne vrste podataka (čl. 17). Zabranjena je obrada koja otkriva rasno ili etničko poreklo, političko mišljenje, versko uverenje, članstvo u sindikatu, kao i obrada genetskih i biometrijskih podataka, podataka o zdravlju i seksualnom životu, osim u izuzecima koje zakon navodi.
Obaveštavanje pri prikupljanju (čl. 23). U trenutku prikupljanja lice mora dobiti informacije o rukovaocu, svrsi i pravnom osnovu, primaocima, roku čuvanja i svojim pravima. To je pravni osnov za politiku privatnosti na sajtu.
Prava lica (čl. 26-38). Pravo na pristup (čl. 26), ispravku (čl. 29), brisanje (čl. 30), ograničenje obrade (čl. 31), prenosivost (čl. 36), prigovor (čl. 37) i pravo da se na lice ne primenjuje odluka doneta isključivo automatizovano (čl. 38).
Obrađivač (čl. 45). Odnos sa obrađivačem, na primer knjigovodstvenom agencijom ili hosting kompanijom, uređuje se ugovorom propisane sadržine.
Evidencija radnji obrade (čl. 47). Rukovaoci vode evidenciju o obradama, uz izuzetke za manje organizacije.
Povreda podataka (čl. 52 i 53). Prijava Povereniku u roku od 72 časa i, kod visokog rizika, obaveštavanje pogođenih lica.
Prenos podataka u inostranstvo (čl. 63-65). Bez posebnog odobrenja prenos je dozvoljen u države sa primerenim nivoom zaštite. U ostalim slučajevima potrebne su odgovarajuće mere zaštite, na primer standardne ugovorne klauzule.
Gde pročitati zvanični tekst
Zvanični tekst dostupan je u Pravno-informacionom sistemu Republike Srbije: Zakon o zaštiti podataka o ličnosti na pravno-informacioni-sistem.rs. Obrasce pritužbe, mišljenja i odluke o standardnim ugovornim klauzulama objavljuje Poverenik na svojoj internet stranici. Ako vodite firmu, zakon sam po sebi ne daje gotovu dokumentaciju. Koje su evidencije, obaveštenja i ugovori potrebni zavisi od toga koje podatke i zašto obrađujete.
Izvori
Šta da uradite
- Na zahtev lica (pristup, ispravka, brisanje, ograničenje, prenosivost, prigovor) rukovalac odgovara bez odlaganja, a najkasnije u roku od 30 dana od prijema zahteva; rok se može produžiti za još 60 dana zbog složenosti i broja zahteva (čl. 21).
- O povredi podataka koja može da proizvede rizik po prava i slobode građana rukovalac obaveštava Poverenika bez nepotrebnog odlaganja, a ako je moguće u roku od 72 časa od saznanja (čl. 52).
- Ako povreda može da proizvede visok rizik, rukovalac bez nepotrebnog odlaganja obaveštava i lica na koja se podaci odnose (čl. 53).
- Maloletnik sa navršenih 15 godina može samostalno dati pristanak za obradu podataka pri korišćenju usluga informacionog društva; za mlađe pristanak daje roditelj (čl. 16).
- Pristanak se može opozvati u svakom trenutku, a opoziv mora biti jednako jednostavan kao davanje pristanka (čl. 15).
- Prigovor na obradu koja se zasniva na legitimnom interesu ili javnom ovlašćenju može se podneti u svakom trenutku; kod direktnog oglašavanja obrada po prigovoru prestaje (čl. 37).
- Procena uticaja na zaštitu podataka radi se pre početka obrade koja verovatno nosi visok rizik (čl. 54).
- Zakon je stupio na snagu osmog dana od objavljivanja, a primenjuje se po isteku devet meseci od stupanja na snagu (čl. 102).
Pitanja i odgovori
Da li je ZZPL isto što i GDPR?
Nije isti propis, ali je rađen po uzoru na GDPR i koristi iste pojmove: rukovalac, obrađivač, pravni osnov obrade, prava lica, procena uticaja, lice za zaštitu podataka. Razlike postoje u kaznama, koje su u Srbiji prekršajne i znatno niže, i u nadzornom organu, a to je Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti. Firme koje nude robu ili usluge licima u EU mogu istovremeno biti obavezne i po GDPR.
Kada je obrada podataka o ličnosti zakonita?
Samo ako postoji jedan od šest pravnih osnova iz čl. 12: pristanak lica, izvršenje ugovora sa tim licem, zakonska obaveza rukovaoca, zaštita životno važnih interesa, obavljanje poslova u javnom interesu ili legitimni interes rukovaoca koji ne preteže nad pravima lica. Pristanak je samo jedan od osnova i nije uvek potreban.
U kom roku firma mora da odgovori na zahtev za pristup podacima?
Bez odlaganja, a najkasnije u roku od 30 dana od prijema zahteva. Rok se može produžiti za još 60 dana ako je to neophodno zbog složenosti i broja zahteva. O produženju i razlozima za njega rukovalac mora obavestiti lice u roku od 30 dana od prijema zahteva. Postupanje po zahtevu je besplatno, osim kada je zahtev očigledno neosnovan ili preteran, na primer kada se učestalo ponavlja (čl. 21).
Ko mora da ima lice za zaštitu podataka o ličnosti?
Organi vlasti, osim sudova kada vrše sudska ovlašćenja, zatim rukovaoci i obrađivači čije se osnovne aktivnosti sastoje od redovnog i sistematskog nadzora velikog broja lica ili od obrade posebnih vrsta podataka u velikom obimu (čl. 56). Ostali ga mogu odrediti dobrovoljno.
Kolike su kazne po Zakonu o zaštiti podataka o ličnosti?
Za prekršaje iz čl. 95 propisana je novčana kazna od 50.000 do 2.000.000 dinara za rukovaoca ili obrađivača koji je pravno lice, a za pojedine prekršaje kazna u fiksnom iznosu od 100.000 dinara. Za iste prekršaje preduzetnik se kažnjava sa 20.000 do 500.000 dinara (odnosno 50.000 dinara kod fiksne kazne), a fizičko lice i odgovorno lice u pravnom licu ili organu sa 5.000 do 150.000 dinara (odnosno 20.000 dinara).
Kome se žalim ako neko zloupotrebi moje podatke?
Možete podneti pritužbu Povereniku (čl. 82) i nezavisno od toga tužbu sudu za zaštitu prava (čl. 84). Podnošenje pritužbe ne isključuje sudsku zaštitu. Materijalna i nematerijalna šteta zbog povrede zakona naknađuje se po čl. 86.