Na osnovu odredbi Statuta društva “FOX MI” d.o.o. Podgorica (dalje u tekstu: Društvo), a u skladu sa Zakonom o zaštiti podataka ličnosti (“Službeni list Crne Gore”, br. 079/08 od 23.12.2008, 070/09 od 21.10.2009, 044/12 od 09.08.2012, 022/17 od 03.04.2017), direktor Društva dana 01.07.2020. godine, donosi sledeći akt:
P o l i t i k a
zaštite podataka o ličnosti
- Uvod
Politika o zaštiti podataka o ličnosti (u daljem tekstu: Politika) je opšti akt “FOX MI” d.o.o. Podgorica (dalje u tekstu: Društvo) koji za svrhu ima uspostavljanje okvira zaštite podataka o ličnosti, a sve u skladu sa Zakonom o zaštiti podataka o ličnosti (u daljem tekstu: Zakon) i drugim podzakonskim aktima koji regulišu ovu oblast.
Politika utvrđuje pravila koja uređuju zaštitu prava pojedinaca u pogledu prikupljanja i obrade podataka o ličnosti kao i dalje upravljanje i kretanje tih podataka.
Odredbi ove Politike i drugih internih akata Društva koji regulišu ovu oblast se moraju pridržavati svi zaposleni Društva i sve organizacione jedinice Društva, u svom djelokrugu rada.
- Definicije i značenje pojedinih izraza
„Podatak o ličnosti“je svaki podatak koji se odnosi na fizičko lice čiji je identitet određen ili odrediv, neposredno ili posredno, posebno na osnovu oznake identiteta, kao što je ime i identifikacioni broj, podataka o lokaciji, identifikatora u elektronskim komunikacionim mrežama ili jednog, odnosno više obilježja njegovog fizičkog, fiziološkog, genetskog, mentalnog, ekonomskog, kulturnog i društvenog identiteta.
„Obrada podataka o ličnosti“ je svaka radnja ili skup radnji koje se vrše automatizovano ili neautomatizovano sa podacima o ličnosti ili njihovim skupovima, kao što su prikupljanje, bilježenje, razvrstavanje, grupisanje, odnosno strukturisanje, pohranjivanje, upodobljavanje ili mijenjanje, otkrivanje, uvid, upotreba, otkrivanje prenosom, odnosno dostavljanjem, umnožavanje, širenje ili na drugi način činjenje dostupnim, upoređivanje, ograničavanje, brisanje ili uništavanje (u daljem tekstu: obrada).
„Lice na koje se podaci odnose“ je fizičko lice čiji se podaci o ličnosti obrađuju.
„Rukovalac“ je fizičko ili pravno lice, odnosno organ vlasti koji samostalno ili zajedno sa drugima određuje svrhu i način obrade – za potrebe ove Politike i drugih internih akata Društva, rukovalac je Društvo.
„Obrađivač” je fizičko ili pravno lice, odnosno organ vlasti koji obrađuje podatke o ličnosti u ime rukovaoca.
„Primalac” je fizičko ili pravno lice kome su podaci o ličnosti otkriveni, bez obzira da li se radi o trećoj strani ili ne, osim ako se radi o organima vlasti koji u skladu sa zakonom primaju podatke o ličnosti u okviru istraživanja određenog slučaja i obrađuju ove podatke u skladu sa pravilima o zaštiti podataka o ličnosti koja se odnose na svrhu obrade.
„Povjerenik za informacije od javnog značaja i zaštitu podataka o ličnosti (u daljem tekstu: Povjerenik)” je nezavisan i samostalni organ vlasti ustanovljen na osnovu zakona, koji je nadležan za nadzor nad sprovođenjem Zakona i obavljanje drugih poslova propisanih zakonom.
„Povreda podataka o ličnosti” je povreda bezbjednosti podataka o ličnosti koja dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmene, neovlašćenog otkrivanja ili pristupa podacima o ličnosti koji su preneseni, pohranjeni ili na drugi način obrađivani.
„Profilisanje” je svaki oblik automatizovane obrade koji se koristi da bi se ocijenilo određeno svojstvo ličnosti, posebno u cilju analize ili predviđanja radnog učinka fizičkog lica, njegovog ekonomskog položaja, zdravstvenog stanja, ličnih sklonosti, interesa, pouzdanosti, ponašanja, lokacije ili kretanja.
„Pseudonimizacija” je obrada na način koji onemogućava pripisivanje podataka o ličnosti određenom licu bez korišćenja dodatnih podataka, pod uslovom da se ovi dodatni podaci čuvaju posebno i da su preduzete tehničke, organizacione i kadrovske mere koje obezbeđuju da se podatak o ličnosti ne može pripisati određenom ili odredivom licu;
- Cilj, svrha i područje primene
Društvo, kroz ovu Politiku i druga usklađena interna akta, ima za cilj zaštitu osnovnih prava i sloboda fizičkih lica, a posebno njihovog prava na zaštitu podataka o ličnosti.
Cilj Politike je da uspostavi nove i uskladi postojeće procese i mjere zaštite i upravljanja podacima o ličnosti kupaca, zaposlenih, poslovnih partnera Društva i drugih lica, a čije podatke o ličnosti Društva obrađuje u okviru svojih poslovnih aktivnosti koje se vrše na teritoriji Crne Gore, bez obzira da li se radnja obrade vrši na teritoriji Crne Gore.
- Načela obrade podataka o ličnosti
Društvo ima obavezu da svoje poslovanje uskladi sa Zakonom o zaštiti podataka o ličnosti, a to između ostalog podrazumjeva obradu podataka o ličnosti u skladu sa načelima obrade koje podrazumjeva da podaci o ličnosti moraju obrađivati zakonito, pošteno i transparentno u odnosu na lice na koje se podaci odnose (“zakonitost, poštenje i transparentnost”), mogu se prikupljati u svrhe koje su konkretno određene, izričite, opravdane i zakonite (“ograničenje u odnosu na svrhu obrade”), biti primjereni, bitni i ograničeni na ono što je neophodno u odnosu na svrhu obrade (“minimizacija podataka”), biti tačni i, ako je to neophodno, ažurirani (“tačnost”), se moraju čuvati u obliku koji omogućava identifikaciju lica samo u roku koji je neophodan za ostvarivanje svrhe obrade (“ograničenje čuvanja”), se obrađivati na način koji obezbeđuje odgovarajuću zaštitu podataka o ličnosti (“integritet i poverljivost”).
Sva lica koja obrađuju podatke o ličnosti u svome radu moraju da usvoje i implementiraju pomenuta načela, a koja su navedena i dodatno objašnjena u ovoj Politici.
Sve organizacione jedinice Društva su dužne da se pridržavaju propisanih načela obrade podataka u svom delokrugu rada kao i svih internih akata Društva koji regulišu ovu oblast.
4.1 Načelo zakonitosti poštenja i transparentnosti
Društvo u svom poslovanju treba da obrađuje podatke o ličnosti na zakonit način.
Da bi obrada bila zakonita neohodno je da Rukovalac ima valjan pravni osnov za obradu.
Ponašanje Društva kao rukovaoca mora biti zakonito, pošteno i transparentno prema licu čiji se podaci obrađuju, odnosno potrebno je da mu se na jasan i nedvosmislen način, jednostavnim, njemu razumljivim jezikom, ukaže na sva prava koja ima po osnovu zaštite podataka.
4.2 Načelo ograničenja u odnosu na svrhu obrade
Podaci o ličnosti mogu se prikupljati u svrhe koje su konkretno određene, izričite, opravdane i zakonite i dalje se ne mogu obrađivati na način koji nije u skladu sa tim svrhama.
4.3 Načelo minimizacije podataka
Podaci o ličnosti koji se prikupljaju i obrađuju moraju biti primjereni, bitni i ograničeni na ono što je neophodno u odnosu na svrhu obrade, dakle nije dozvoljena obrada podataka koji nisu neophodni za ispunjavanje konkretno određene svrhe.
4.4 Načelo tačnosti
Podaci koje Društvo prikuplja moraju biti tačni i ako je to neophodno, ažurirani.
Uzimajući u obzir svrhu obrade, moraju se preduzeti sve razumne mjere kojima se obezbeđuje da se netačni podaci o ličnosti bez odlaganja izbrišu ili isprave.
4.5 Načelo ograničenja čuvanja
Podaci koji se prikupljaju i obrađuju mogu se čuvati u obliku koji omogućava identifikaciju lica samo u roku koji je neophodan za ostvarivanje svrhe obrade.
4.6 Načelo integriteta i poverljivosti
Podaci o ličnosti se mogu obrađivati na način koji obezbeđuje odgovarajuću zaštitu podataka o ličnosti, uključujući zaštitu od neovlašćene ili nezakonite obrade, kao i od slučajnog gubitka, uništenja ili oštećenja primenom odgovarajućih tehničkih, organizacionih i kadrovskih mjera.
4.7 Načelo odgovornosti za postupanje
Rukovalac je odgovoran za primjenu svih načela obrade podataka i mora biti u mogućnosti da predoči njihovu primkenu – ovo je načelo koje se odnosi na rukovaoca.
- Svrha i pravni osnov obrade
Društvo obrađuje podatke o ličnosti fizičkih lica na osnovu njihove izričite saglasnosti u svrhu pružanja pogodnosti produžene garancije, održavanja kontakta sa kupcima putem različitih kanala, praćenja zadovoljstva kupaca, dostavljanja i distribucije reklamnih materijala i informacija kojima će obavještavati o pogodnostima i novinama u svojoj ponudi, učešća u nagradnim igrama i slično.
Osim navedenog u stavu 1, Društvo može obrađivati podatke o ličnosti po sledećim osnovima:
- obrada na osnovu pristanka – lice na koje se podaci o ličnosti odnose je pristalo na obradu svojih podataka o ličnosti za jednu ili više posebno određenih svrha.
- neophodnost za izvršenje ugovora zaključenog sa licem na koje se podaci odnose ili za preduzimanje radnji, na zahtjev lica na koje se podaci odnose, pre zaključenja ugovora;
- obrada na osnovu zakona i drugih obavezujućih propisa – poštovanje pravnih obaveza rukovaoca;
- obrada u cilju zaštite životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica;
- obrada u cilju obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja rukovaoca;
- obrada je neophodna u cilju ostvarivanja legitimnih interesa rukovaoca ili treće strane, osim ako su nad tim interesima pretežniji interesi ili osnovna prava i slobode lica na koje se podaci odnose koji zahtevaju zaštitu podataka o ličnosti, a posebno ako je lice na koje se podaci odnose maloletno lice.
5.1 Obrada na osnovu pristanka
Ukoliko se obrada podataka bazira na ovom osnovu Društvo mora biti u mogućnosti da dokaže da je lice na koje se podaci odnose pristalo na obradu.
Prije davanja pristanka lice na koje se podaci odnose mora biti obavješteno o pravu na opoziv, kao i dejstvu opoziva.
Opoziv pristanka ne utiče na dopuštenost obrade koja je vršena na osnovu pristanka pre opoziva. Lice na koje se podaci odnose ima pravo da opozove pristanak u svakom trenutku.
- Prikupljanje i čuvanje podataka o ličnosti
Društvo može da prikuplja podatke o ličnosti fizičkih lica na različite načine.
Najčešće podatke o ličnosti dostavljaju direktno lica na koja se ti podaci odnose, a Društvo može da koristi i druge informacije o fizičkim licima koje su dostupne u javnim registrima, bazama podataka, internet aplikacijama, socijalnim mrežama i drugim javnim izvorima podataka. Sve navedene podatke i informacije obrađuju lica zaposlena u Društvu) u okviru svojih radnih aktivnosti a sve u skladu sa Zakonom i internim aktima Društva.
U procesu prikupljanja i obrade podataka o ličnosti jedna od obaveza Društva kao rukovaoca je da licu na koje se podaci odnose saopšti informaciju o roku čuvanja (i obrade) podataka o ličnosti, ili ako to nije moguće onda bar kriterijume za njegovo određivanje.
Period u kojem se podaci prikupljaju i obrađuju zavisi od pravnog osnova i svrhe obrade određenje kategorije podataka o ličnosti.
Podaci o ličnosti koji se obrađuju isključivo po osnovu saglasnosti lica na koje se odnose, obrađuju se u skladu sa svrhom zbog koje su prikupljeni (tj. do ispunjenja svrhe), odnosno do povlačenja saglasnosti od strane lica na koje se podaci odnose.
Nakon ispunjenja svrhe obrade, (osim ako ne postoji neki drugi osnov za obradu, npr. zakon) podaci o ličnosti se brišu, uništavaju, blokiraju ili anonimizuju.
Kada Društvo ima obavezu da podatke čuva i nakon okončanja poslovne saradnje sa licem na koje se podaci odnose, npr. na osnovu zakona ili legitimnog interesa, podaci o ličnosti se obrađuju dok ne istekne rok predviđen zakonom za zakonske obaveze Društva, a kod legitimnog interesa (npr. u slučaju eventualnog spora lica na koje se podaci odnose i Društva) obrada se vrši dok traje legitimni interes.
- Prava lica na koja se podaci odnose
Lica na koja se podaci odnose imaju određena prava garantovana Zakonom, a Društvo kao rukovalac u obradi podataka je dužno da omogući pomenutim licima uživanje tih prava u potpunosti.
7.1 Pravo na informisanje
Društvo, u svojstvu rukovaoca podacima o ličnosti, ima obavezu da licima čiji se podaci obrađuju obezbedi sve raspoložive informacije koje se tiču njihovih prava.
Pravo na informisanje predstavlja direktnu primenu načela transparentnosti od strane Društva u njegovim poslovanju.
Kada govorimo o informisanju u trenutku davanja pristanka na obradu podataka o ličnosti, prije davanja pristanka, neophodno je da Društvo pruži informaciju licu koje daje pristanak, o pravu na opoziv, kao i o dejstvu opoziva na dalju obradu podataka.
Društvo će u trenutku prikupljanja podataka o ličnosti, tom licu pružiti sledeće informacije:
- identitet i kontakt podatke rukovaoca;
- kontakt podatke lica za zaštitu podataka o ličnosti;
- svrha namjeravane obrade i pravni osnov za obradu;
- o primaocu ili grupi primaoca ukoliko postoje;
- o nameri prenosa podataka o ličnosti u drugu državu ili međunarodnu organizaciju;
- o roku čuvanja podataka o ličnosti ili, ako to nije moguće, o kriterijumima za njegovo određivanje;
- o postojanju prava da se od rukovaoca zahtjeva pristup, ispravka ili brisanje njegovih podataka o ličnosti, odnosno postojanju prava na ograničenje obrade, prava na prigovor, kao i prava na prenosivost podataka;
- o postojanju automatizovanog donošenja odluke, uključujući i profilisanje;
- o pravu da se podnese pritužba Povereniku;
- o tome da li je davanje podataka o ličnosti zakonska ili ugovorna obaveza ili je davanje podataka neophodan uslov za zaključenje ugovora;
- o postojanju prava na opoziv pristanka u bilo koje vrijeme, kao i o tome da opoziv pristanka ne utiče na dopuštenost obrade na osnovu pristanka prije opoziva.
Ukoliko se podaci o ličnosti ne prikupljaju od lica na koje se odnose, pored svih navedenih informacija iz pretrhodnog stava potrebno je dostaviti i informaciju o izvoru iz kojeg potiču podaci o ličnosti i, prema potrebi, da li podaci potiču iz javno dostupnih izvora.
7.2 Pravo na pristup, ispravku, ažuriranje i brisanje podataka
Lice na koje se podaci odnose ima pravo da od rukovaoca zahtjeva informaciju o tome da li obrađuje njegove podatke o ličnosti, pristup tim podacima, odnosno ima pravo da mu po zahtjevu Društvo dostavi sve informacije u vezi podataka koje obrađuje.
Rukovalac je dužan da licu na koje se podaci odnose, na njegov zahtjev dostavi kopiju podataka koje obrađuje.
Rukovalac može da zahtjeva naknadu nužnih troškova za izradu dodatnih kopija koje zahtjeva lice na koje se podaci odnose.
Prava iz ove tačke takođe predstavljaju direktnu primjenu načela transparentnosti u praksi.
Lice na koje se podaci odnose ima pravo da se njegovi netačni podaci o ličnosti bez nepotrebnog odlaganja isprave.
U zavisnosti od svrhe obrade, lice na koje se podaci odnose ima pravo da svoje nepotpune podatke o ličnosti dopuni, što uključuje i davanje dodatne izjave.
Lice na koje se podaci odnose ima pravo da se njegovi podaci o ličnosti izbrišu od strane rukovaoca u sledećim slučajevima:
- podaci više nijesu neophodni za ostvarivanje svrhe za koju su prikupljani,
- lice je opozvalo pristanak na osnovu kojeg se vršila obrada,
- podaci o ličnosti su nezakonito obrađivani,
- podaci moraju biti obrisani u cilju izvršavanja zakonskih obaveza rukovaoca,
- lice na koje se podaci odnose je podnijelo prigovor na obradu – važi samo u određenim slučajevima.
Rukovalac je dužan da obavesti sve primaoce kojima su podaci o ličnosti otkriveni o svakoj ispravci ili brisanju podataka o ličnosti ili ograničenju njihove obrade, osim ako je to nemoguće ili zahtjeva prekomjeran utrošak vremena i sredstava.
Prava iz ove tačke takođe predstavljaju direktnu primjenu načela transparentnosti i načela tačnosti u praksi.
7.3 Pravo na ograničenje obrade
Lice na koje se podaci odnose ima pravo da se obrada njegovih podataka o ličnosti ograniči od strane rukovaoca ako je ispunjen jedan od sledećih slučajeva:
- lice na koje se podaci odnose osporava tačnost podataka o ličnosti, u roku koji omogućava rukovaocu provjeru tačnosti podataka o ličnosti;
- obrada je nezakonita, a lice na koje se podaci odnose se protivi brisanju podataka o ličnosti i umesto brisanja zahteva ograničenje upotrebe podataka;
- rukovaocu više nijesu potrebni podaci o ličnosti za ostvarivanje svrhe obrade, ali ih je lice na koje se podaci odnose zatražilo u cilju podnošenja, ostvarivanja ili odbrane pravnog zahteva;
- lice na koje se podaci odnose je podnelo prigovor na obradu, a u toku je procenjivanje da li pravni osnov za obradu od strane rukovaoca preteže nad interesima tog lica;
- ako je obrada ograničena u skladu sa gore navedenim, ti podaci mogu se dalje obrađivati samo na osnovu pristanka lica na koje se podaci odnose.
Ukoliko prestanu razlozi za ograničenje rukovalac je dužan da informiše lice na koje se podaci odnose o prestanku ograničenja, pre nego što ograničenje prestane da važi.
7.4 Pravo na prenosivost podataka
Lice na koje se podaci odnose ima pravo da dobije od rukovaoca njegove podatke o ličnosti koje mu je prethodno dostavio u uobičajeno korišćenom obliku (elektronskom, čitljivom, strukturisanom), i ima pravo da ove podatke prenese drugom rukovaocu bez ometanja od strane rukovaoca kojem su ti podaci dostavljeni.
Ovo pravo obuhvata i pravo da njegovi podaci o ličnosti budu neposredno prenijeti drugom rukovaocu od strane rukovaoca kojem su ovi podaci prethodno dostavljeni, ukoliko je to tehnički izvodljivo.
7.5 Pravo na prigovor
Rukovalac je dužan da najkasnije prilikom uspostavljanja prve komunikacije sa licem na koje se podaci odnose, upozori to lice na postojanje prava na prigovor i da ga upozna sa tim pravima na izričit i jasan način, odvojeno od svih drugih informacija koje mu pruža.
Lice na koje se podaci odnose u svakom trenutku ima pravo da rukovaocu podnese prigovor na obradu njegovih podataka o ličnosti ukoliko smatra da ima opravdanih razloga za to.
Rukovalac je dužan da prekine sa obradom podataka o licu koje je podnelo prigovor, osim ukoliko postoje zakonski razlozi za obradu koji pretežu nad interesima, pravima i slobodama lica na koje se podaci odnose.
Lice na koje se podaci odnose ima pravo da u svakom trenutku podnese prigovor na obradu svojih podataka o ličnosti koji se obrađuju za potrebe direktnog oglašavanja, uključujući i profilisanje, u tom slučaju podaci o ličnosti ne mogu se dalje obrađivati u takve svrhe.
Lice na koje se podaci odnose ima pravo da podnese prigovor automatizovanim putem, u skladu sa tehničkim specifikacijama korišćenja usluga.
7.6 Prava vezana za automatizovano donošenje odluka i profilisanje
Društvo u obradi podataka koristi i metode automatizovane obrade (uključujući tu profilisanje), i na osnovu tako obrađenih podataka donosi odluke.
Lica čiji se podaci obradjuju imaju pravo da traže da se tako donešena odluka ne primenjuju na njih ukoliko navedena odluka značajno utiču na njihov položaj ili proizvodi pravne posledice.
Navedeno pravo isključuje se ukoliko je odluka neophodna za zaključenje ili izvršenje ugovora između lica na koje se podaci odnose i rukovaoca, ili ako se odluka zasniva na izričitom pristanku lica, ali u tim slučajevima neophodno je da rukovalac obezbedi učešće fizičkog lica pod kontrolom rukovaoca u donošenju odluke, pravo lica na koje se podaci odnose da izrazi svoj stav u vezi sa odlukom, kao i da ospori odluku pred ovlašćenim licem rukovaoca.
- Rukovalac, zajednički rukovalac i obrađivač
Rukovalac je dužan da prilikom određivanja načina obrade, i u samom postupku obrade primjeni mjere koje imaju za cilj obezbeđivanje primjene načela zaštite podataka o ličnosti, kao što su: smanjenje broja podataka, obrada na način koji onemogućava pripisivanje podataka o ličnosti određenom licu bez korišćenja dodatnih podataka – pseudonimizacija, kao i druge mere a sve u skladu sa tehničkim mogućnostima.
Rukovalac je dužan da stalnom primjenom odgovarajućih tehničkih, organizacionih i kadrovskih mera obezbedi da se uvek obrađuju samo oni podaci o ličnosti koji su neophodni za ostvarivanje svake pojedinačne svrhe obrade. Ta se obaveza primenjuje u odnosu na broj prikupljenih podataka, obim njihove obrade, rok njihovog pohranjivanja i njihovu dostupnost (ovo je direktna primjena načela minimizacije podataka i ograničenja u odnosu na svrhu obrade).
Ukoliko dva ili više rukovaoca zajednički određuju svrhu i način obrade, oni se smatraju zajedničkim rukovaocima. U slučajevima kada postoje zajednički rukovaoci na transparentan način se određuje odgovornost svakog od njih za poštovanje obaveza propisanih ovim zakonom, a posebno obaveza u pogledu ostvarivanja prava lica na koje se podaci odnose i ispunjavanja obaveza rukovaoca.
Ukoliko obradu podataka vrši obrađivač u ime rukovaoca, rukovalac može da odredi kao obrađivača samo ono lice ili organ vlasti koji u potpunosti garantuje primjenu odgovarajućih tehničkih, organizacionih i kadrovskih mjera, na način koji obezbeđuje da se obrada vrši u skladu sa odredbama Zakona i da se obezbeđuje zaštita prava lica na koje se podaci odnose. Obrađivač može povjeriti obradu drugom obrađivaču samo ako ga rukovalac za to ovlasti na osnovu opšteg ili posebnog pismenog ovlašćenja.
Obrada od strane obrađivača mora biti uređena ugovorom ili drugim pravno obavezujućim aktom, koji je zaključen, odnosno usvojen u pisanom obliku, što obuhvata i elektronski oblik, koji obavezuje obrađivača prema rukovaocu i koji uređuje predmet i trajanje obrade, prirodu i svrhu obrade, vrstu podataka o ličnosti i vrstu lica o kojima se podaci obrađuju, kao i prava i obaveze rukovaoca.
Obrađivač prilikom obrade podataka ima sledeće dužnosti:
- da obrađuje podatke o ličnosti samo na osnovu pisanih uputstava;
- da obezbjedi da se fizičko lice koje je ovlašćeno da obrađuje podatke o ličnosti obavezalo na čuvanje poverljivosti podataka;
- da posle okončanja ugovorenih radnji obrade, a na osnovu odluke rukovaoca, izbriše ili vrati rukovaocu sve podatke o ličnosti i izbriše sve kopije ovih podataka, osim ako je zakonom propisana obaveza čuvanja podataka;
- da pomaže rukovaocu primjenom odgovarajućih tehničkih, organizacionih i kadrovskih mjera, koliko je to moguće, u ispunjavanju obaveza rukovaoca u odnosu na zahtjeve za ostvarivanje prava lica na koje se podaci odnose;
- da poštuje uslove za poveravanje obrade drugom obrađivaču;
- da učini dostupnim rukovaocu sve informacije koje su neophodne za predočavanje ispunjenosti obaveza obrađivača propisanih ovim članom, kao i informacije koje omogućavaju i doprinose kontroli rada obrađivača.
Ukoliko obrađivač povrijedi odredbe Zakona određujući svrhu i način obrade podatka o ličnosti, obrađivač se smatra rukovaocem u odnosu na tu obradu.
Obrađivač, ili drugo lice koje je od strane rukovaoca ili obrađivača ovlašćeno za pristup podacima o ličnosti, ne može da obrađuje te podatke bez naloga rukovaoca.
- Evidencije radnji obrade
Društvo kao rukovalac i njen predstavnik ukoliko je određen, ima obavezu da vodi evidenciju o radnjama obrade a koja sadrži sledeće informacije:
- informacije o imenu i kontakt podacima rukovaoca, zajedničkih rukovaoca, predstavnika rukovaoca i lica za zaštitu podataka o ličnosti ukoliko su određeni;
- informacije o svrsi obrade;
- informacije o vrsti lica na koje se podaci odnose kao i o vrsti podataka koji se obrađuju;
- vrsti primalaca kojima će podaci o ličnosti biti otkriveni;
- informacije o prenosu podataka u druge države ili međunarodne organizacije, ime tih država i organizacija kao i dokumente o primeni mera zaštite tih podataka, a sve ovo ukoliko se takav prenos vrši;
- informacije o roku čuvanja podataka ukoliko je takav rok određen;
- opšti opis mera zaštite podataka ukoliko je to moguće.
Prethodno opisane evidencije se vode u pisanom obliku, što obuhvata i elektronski oblik, i čuvaju se trajno.
Društvo kao rukovalac, kao i njeni predstavnici, ako su određeni, dužni su da opisane evidencije učine dostupnim Povereniku, na njegov zahtjev, kao i da sarađuju sa Poverenikom u vršenju njegovih ovlašćenja.
- Bezbjednost podataka o ličnosti
Društvo sve podatke čuva i obrađuje uz primjenu svih raspoloživih tehničkih i organizacionih mjera zaštite podataka u skladu sa Zakonom i internim aktima Društva. Društvo je dužno da primjenom tehnoloških dostignuća, kao i tehničkih, kadrovskih i organizacionih mera koje ima na raspolaganju osigura bezbjednost podataka.
10.1 Bezbjednost obrade
Društvo kao rukovalac u obradi podataka koristi mere kako bi obezbjedila bezbjednost obrade a te mjere obuhvataju naročito:
- pseudonimizaciju i kriptozaštitu podataka o ličnosti;
- sposobnost obezbjeđivanja trajne poverljivosti, integriteta, raspoloživosti i otpornosti sistema i usluga obrade;
- obezbeđivanje uspostavljanja ponovne raspoloživosti i pristupa podacima o ličnosti u slučaju fizičkih ili tehničkih incidenata u najkraćem roku;
- postupak redovnog testiranja, ocenjivanja i procjenjivanja djelotvornosti tehničkih, organizacionih i kadrovskih mjera bezbjednosti obrade.
Društvo internim aktima uređuje pristup zaposlenih podacima o ličnosti, u okviru svojih radnih zadataka.
10.2 Obavještavanje Povjerenika o povredi podataka
Ukoliko dođe do povrede podataka o ličnosti koja može da proizvede rizik po prava i slobode fizičkih lica, Društvo je dužno da obavesti Povjerenika bez nepotrebnog odlaganja, ili, a najkasnije u roku od 72 časa od saznanja za povredu, u suprotnom dužno je da obrazloži razloge zbog kojih nije postupilo u tom roku.
Obavještenje iz prethodnog stava mora da sadrži najmanje sledeće informacije:
- opis prirode povrede podataka o ličnosti, uključujući vrste podataka i približan broj lica na koja se podaci te vrste odnose, kao i približan broj podataka o ličnosti čija je bezbjednost povrijeđena;
- ime i kontakt podatke lica za zaštitu podataka o ličnosti ili informacije o drugom načinu na koji se mogu dobiti podaci o povredi;
- opis mogućih posledica povrede;
- opis mjera koje je rukovalac preduzeo ili čije je preduzimanje predloženo u vezi sa povredom, uključujući i mjere koje su preduzete u cilju umanjenja štetnih posledica.
Društvo kao rukovalac je dužno da dokumentuje svaku povredu podataka o ličnosti, uključujući i činjenice o povredi, njenim posledicama i preduzetim mjerama za njihovo otklanjanje.
Povjerenik propisuje obrazac obavještenja i bliže uređuje način obavještavanja.
10.3 Obavještavanje lica o povredi podataka o ličnosti
Ako povreda podataka o ličnosti može da proizvede visok rizik po prava i slobode fizičkih lica, Društvo ima obavezu da bez nepotrebnog odlaganja o povredi obavjesti lice na koje se podaci odnose.
Ako Društvo nije obavjestilo lice na koje se podaci odnose o povredi podataka o ličnosti, Povjerenik može da naloži Društvu da to učini.
10.4 Procjena uticaja obrade na zaštitu podataka o ličnosti
Ukoliko postoji vjerovatnoća da će neka vrsta obrade, posebno upotrebom novih tehnologija i uzimajući u obzir prirodu, obim, okolnosti i svrhu obrade, prouzrokovati visok rizik za prava i slobode fizičkih lica, Društvo ima obavezu da pre nego što započne sa obradom, izvrši procjenu uticaja predviđenih radnji obrade na zaštitu podataka o ličnosti. Prilikom procjene uticaja Društvo je dužno da zatraži mišljenje lica za zaštitu podataka o ličnosti.
Procjena uticaja radnji obrade obavezno se vrši u slučaju:
- sistematske i sveobuhvatne procjene stanja i osobina fizičkog lica koja se vrši pomoću automatizovane obrade podataka o ličnosti, uključujući i profilisanje, na osnovu koje se donose odluke od značaja za pravni položaj pojedinca ili na sličan način značajno utiču na njega;
- obrade posebnih vrsta podataka o ličnosti ili podataka o ličnosti u vezi sa krivičnim presudama i kažnjivim delima;
- sistematskog nadzora nad javno dostupnim površinama u velikoj mjeri.
10.5 Prethodno mišljenje Povjerenika
Ukoliko projcena uticaja radnji obrade na zaštitu podataka o ličnosti, ukazuje da će namjeravane radnje obrade proizvesti visok rizik ako se ne preduzmu mjere za umanjenje rizika, Društvo je dužno da zatraži mišljenje Povjerenika prije započinjanja radnje obrade.
- Prenos podataka o ličnosti u druge države i međunarodne organizacije
Prenos podataka o ličnosti u druge države i međunarodne organizacije moguće je izvršiti ukoliko Društvo postupa u skladu sa uslovima propisanim ovom Politikom. Navedeni prenos podrazumijeva i dalji prenos podataka iz druge države ili međunarodne organizacije u treću državu ili međunarodnu organizaciju, a sve navedeno će biti uređeno posebnim ugovorom. Cilj ovakvog postupanja je obezbjeđivanje primjerenog nivoa zaštite fizičkih lica koji je jednak nivou koji garantuje Zakon o zaštiti podataka o ličnosti.
11.1 Prenos na osnovu primjerenog nivoa zaštite
Prenos podataka o ličnosti u drugu državu, na dio njene teritorije, ili u jedan ili više sektora određenih delatnosti u toj državi ili u međunarodnu organizaciju, bez prethodnog odobrenja, može se izvršiti ako je utvrđeno da ta druga država, deo njene teritorije ili jedan ili više sektora određenih djelatnosti u toj državi ili ta međunarodna organizacija obezbeđuje primereni nivo zaštite podataka o ličnosti.
Smatra se da je primjereni nivo zaštite obezbjeđen u državama i međunarodnim organizacijama koje su članice Konvencije Savjeta Evrope o zaštiti lica u odnosu na automatsku obradu ličnih podataka, odnosno u državama, na djelovima njihovih teritorija ili u jednom ili više sektora određenih djelatnosti u tim državama ili međunarodnim organizacijama za koje je od strane Evropske unije utvrđeno da obezbjeđuju primjereni nivo zaštite.
Ukoliko je sa drugom državom ili međunarodnom organizacijom zaključen međunarodni sporazum o prenosu podataka o ličnosti, smatra se da je obezbjeđen primjereni nivo zaštite.
11.2 Prenos uz primjenu odgovarajućih mjera zaštite
Rukovalac ili obrađivač mogu da prenesu podatke o ličnosti u drugu državu, na dio njene teritorije ili u jedan ili više sektora određenih delatnosti u toj državi ili u međunarodnu organizaciju za koju nije utvrđeno postojanje primjerenog nivoa zaštite, samo ako je rukovalac, odnosno obrađivač obezbjedio odgovarajuće mere zaštite ovih podataka i ako je licu na koje se podaci odnose obezbjeđena ostvarivost njegovih prava i djelotvorna pravna zaštita.
Mjere za zaštitu podataka pomenute u prethodnom stavu mogu se obezbjediti sa ili bez posebnog odobrenja Povjerenika.
- Lice za zaštitu podataka o ličnosti
Društvo kao rukovalac može svojom odlukom da odredi lice za zaštitu podataka o ličnosti.
Ukoliko Društvo kao rukovalac imenuje lice za zaštitu podataka ličnosti dužno je da objavi kontakt podatke lica za zaštitu podataka o ličnosti i dostavi ih Povjereniku, koji vodi evidenciju lica za zaštitu podataka o ličnosti.
Lica na koje se podaci odnose mogu se obratiti licu za zaštitu podataka o ličnosti u vezi sa svim pitanjima koja se odnose na obradu svojih podatka o ličnosti, kao i u vezi sa ostvarivanjem svojih prava propisanih ovim zakonom.
12.1 Odnos Društva kao rukovaoca i lica za zaštitu podataka o ličnosti
Organi Društva određuju Lice za zaštitu podataka o ličnosti iz redova svojih zaposlenih.
Društvo kao rukovalac ima obavezu da blagovremeno i na odgovarajući način uključi lice za zaštitu podataka o ličnosti u sve poslove koji se odnose na zaštitu podataka o ličnosti. U ispunjavanju ove obaveze Društvo treba da omogući ovom licu izvršavanje svih obaveza tako što će mu obezbjediti neophodna sredstva za izvršavanje ovih obaveza, pristup podacima o ličnosti i radnjama obrade, kao i njegovo stručno usavršavanje. Društvo mora da obezbjedi nezavisnost licu za zaštitu podataka o ličnosti u izvršavanju njegovih obaveza, i ne može ga kazniti, niti raskinuti radni odnos, odnosno ugovor sa njim zbog izvršavanja njegovih obaveza. Lice za zaštitu podataka o ličnosti neposredno je odgovorno Društvu, a ima obavezu da čuva tajnost, odnosno poverljivost podataka do kojih je došlo u izvršavanju svojih obaveza.
Lica na koje se podaci odnose mogu se obratiti licu za zaštitu podataka o ličnosti u vezi sa svim pitanjima koja se odnose na obradu svojih podatka o ličnosti, kao i u vezi sa ostvarivanjem svojih prava propisanih zakonom.
Lice za zaštitu podataka o ličnosti može da obavlja druge poslove i izvršava druge obaveze, a Društvo kao rukovalac je dužna da obezbjedi da izvršavanje drugih poslova i obaveza ne dovede lice za zaštitu podataka o ličnosti u sukob interesa.
12.2 Obaveze lica za zaštitu podataka o ličnosti
Lice za zaštitu podataka o ličnosti ima obavezu da:
- informiše i daje mišljenje Društvu kao rukovaocu, kao i zaposlenima koji vrše radnje obrade o njihovim zakonskim obavezama u vezi sa zaštitom podataka o ličnosti i internim aktima Društva koji regulišu ovu oblast;
- prati primjenu Zakona, drugih zakona i internih propisa rukovaoca ili obrađivača koji se odnose na zaštitu podataka o ličnosti, uključujući i pitanja podjele odgovornosti, podizanja svijesti i obuke zaposlenih koji učestvuju u radnjama obrade, kao i kontrole;
- daje mišljenje, kada se to zatraži, o procjeni uticaja obrade na zaštitu podataka o ličnosti i prati postupanje po toj procjeni;
- sarađuje sa Povjerenikom, predstavlja kontakt tačku za saradnju sa Povjerenikom i savetuje se sa njim u vezi sa pitanjima koja se odnose na obradu, uključujući i obaveštavanje i pribavljanje mišljenja poverenika.
U izvršavanju svojih obaveza lice za zaštitu podataka o ličnosti dužno je da posebno vodi računa o riziku koji se odnosi na radnje obrade, uzimajući u obzir prirodu, obim, okolnosti i svrhe obrade.
