NACRT ZAKONA O ZAŠTITI PODATAKA O LIČNOSTI: Kompanije će morati da revidiraju sve postojeće obrasce pristanka i obaveštenja o privatnosti. Baneri za kolačiće, obrasci na sajtovima i mobilne aplikacije moraće da budu usklađeni sa novim zahtevima

Gotovo da ne postoji preduzeće u Srbiji koje danas ne obrađuje podatke o ličnosti - od zaposlenih i klijenata do posetilaca sajta. Zato novi zakon nije tema za sutra: nakon osam godina od donošenja važećeg Zakona o zaštiti podataka o ličnosti ("Sl. glasnik RS", br. 87/2018), odnosno gotovo sedam godina njegove primene, bližimo se novoj, redefinisanoj i značajno dopunjenoj verziji Zakona o zaštiti podataka o ličnosti.

Sa 175 članova naspram 102 člana iz prethodne verzije, radna grupa je pokušala da konačno obezbedi zaštitu podataka o ličnosti u svim oblastima, sistematizuje sve odredbe, ispravi “dečije bolesti” prvobitnog zakona, a istovremeno doprinese direktnoj primeni prava EU.

Nedostaci trenutnog Zakona o zaštiti podataka o ličnosti

Nedostaci važećeg zakona su višestrani i ispoljili su se u praksi tokom prethodnih sedam godina njegove primene:

Neodređene obaveze rukovaoca

Rukovalac, kao lice koje određuje samu svrhu i način obrade, i najčešće ostvaruje neposredan kontakt sa podacima svakog pojedinca koji je pristao da podeli svoje lične podatke, ima širok obim neodređenih obaveza.

Naime, rukovalac je dužan da preduzme “odgovarajuće tehničke, organizacione i kadrovske mere” kako bi obezbedio da se obrada podataka vrši u skladu sa odredbama predmetnog zakona. Međutim, imajući u vidu da zakonom nisu bile detaljno propisane konkretne mere koje je rukovalac bio dužan da preduzme, u praksi je bilo otežano utvrditi da li su stvarno preduzete mere bile odgovarajuće i dovoljne, odnosno da li je rukovalac svoje zakonske obaveze ispunio na propisan način.

U praksi, ova pravna praznina često je vodila kompanije ka minimalističkom tumačenju obaveza - dovoljno da se formalno prođe provera, ali nedovoljno da se podaci zaista zaštite. Nacrt zakona o zaštiti podataka o ličnosti pokušava da taj prostor suzi uvođenjem konkretnijih standarda, što će od kompanija zahtevati da usklađenost pretvore u merljive procedure, a ne samo u formalnu dokumentaciju.

Digitalizacija javnih usluga i ekspanzija obrade podataka o ličnosti

Od 2018. godine nadalje, došlo je do kvalitativnog i kvantitativnog povećanja obima elektronske obrade podataka ličnosti u Srbiji. Javni sektor, sa jedne strane, predstavio je i/ili dodatno razvio javne e-platforme:

• eAPR;
• ePorezi;
• eInspektor;
• ePP/eTrezor;
• eFakture;
• eUprava;
• eKatastar;
• eŠatler.

Privatni sektor, sa druge strane, suočio se sa novim izazovima usled ubrzanog razvoja generativne veštačke inteligencije. Sa masovnom dostupnošću generativne veštačke inteligencije od kraja 2022. godine, obrada podataka o ličnosti u vezi sa razvojem, testiranjem i korišćenjem AI sistema postala je jedno od novih regulatornih pitanja.

U praksi, mnoge kompanije u Srbiji već koriste alate veštačke inteligencije za selekciju kandidata, korisničku podršku i analitiku, često bez jasno definisane politike zaštite podataka za te konkretne namene. Novi okvir zato neće biti važan samo timovima za usklađenost, već i timovima za informacionu tehnologiju i ljudske resurse, kao i poslovnim rukovodiocima koji biraju i uvode ove alate.

U tom segmentu, Republika Srbija se nalazi na putu donošenja propisa koji bi bliže uredili i regulisali upotrebu sredstava za video i audio nadzor, veštačku inteligenciju, kao i obradu genetičkih i biometrijskih podataka.

Učestalost kršenja važećeg zakona

Brojni rukovaoci i obrađivači nažalost i dalje ne ispunjavaju u potpunosti sve svoje obaveze koje proizlaze iz važećeg zakona usled čega dolazi do masovnog kršenja prava na zaštitu podataka o ličnosti, te potencijalne “lekaže” poverljivih podataka.

Podsetićemo se vesti iz aprila ove godine, kada se i sam Fudbalski savez Srbije, u svojstvu rukovaoca ličnih podataka, našao u velikom problemu usled navodno kompromitovane baze podataka koja sadrži podatke o preko 45.000 sportista koji su pristali da podele svoje lične podatke.

Ovaj slučaj jasno pokazuje da i velike, javno eksponirane organizacije mogu biti ranjive. Za privatni sektor poruka je jednostavna: pitanje nije da li će do incidenta doći, već kada - i da li je kompanija spremna da reaguje brzo, koordinisano i transparentno.

To nas dovodi do daljeg pitanja rezolucije ovakvih problema i dodatnog pitanja da li su sankcije i odgovornost za povredu dovoljno velike. Odgovor glasi - i jesu i nisu. Važeći zakon predviđa novčane kazne u tu svrhu, u rasponu od 50.000 do dva miliona dinara za pravno lice, odnosno od 5.000 do 150.000 dinara za odgovorno lice, po učinjenoj povredi zakona.

Rizik od novčane kazne od 18.000 evra po povredi nesumnjivo može predstavljati značajnu sumu sa pojedinca, mikro ili srednje preduzeće, ali ne ostavlja većeg traga na makro preduzeća, koji bi ovakav rizik svrstali u neznatne operativne troškove poslovanja jednog društva.

Radi poređanja, GDPR predviđa kazne do 20 miliona evra ili 4% godišnjeg globalnog prometa - što je nesrazmerno više i predstavlja referentnu tačku kojoj se Srbija postepeno približava.

Uz to, prekršajna i krivično-pravna sudska praksa u pogledu kršenja važećeg zakona i dalje nije dovoljno razvijena i prisutna.

Značajne promene u postojećoj zaštiti podataka o ličnosti

Pristanak kao osnov za obradu, obaveštenje o obradi i opoziv pristanka

Za razliku od nekadašnjeg opisa pristanka kao “dobrovoljnog, određenog, informisanog i nedvosmislenog izražavanja volje” izjavom ili jasnom potvrdnom radnjom, novi nacrt dodatno opisuje pristanak, pravi distinkciju između jasne potvrdne radnje i druge konkludentne radnje i ostavlja dodatnog prostora za tumačenje koje sve druge konkludentne radnje se mogu podvesti pod pristanak.

Ovo u praksi znači da će kompanije morati da revidiraju sve postojeće obrasce pristanka i obaveštenja o privatnosti. Baneri za kolačiće, obrasci na sajtovima i mobilne aplikacije - sve će morati da bude usklađeno sa novim zahtevima.

Prilikom obaveštavanja svakog pojedinca o nameravanoj obradi, rukovalac će biti dužan da posebno obrati pažnju na niz od sada strukturiranih informacija koje mora da pruži pojedincu, a naročito obaveštenje o vrsti podataka pojedinca koje će biti predmet obrade.

Opoziv pristanka proizvodi dejstvo od trenutka kada ga rukovalac primi, što će zahtevati da rukovalac bez odlaganja obustavi obradu koja se zasniva na pristanku, osim ukoliko za dalju obradu postoji drugi odgovarajući pravni osnov. Ova odredba je u korist pojedinca, ali može stvoriti tehničke izazove za rukovaoce, naročito u slučaju povećanog broja zahteva za opoziv pristanka.

Povećane sankcije u slučaju kršenja zakona

Značajnu promenu predstavlja povećanje minimalnog iznosa novčane kazne po utvrđenoj povredi zakona koja više ne iznosi 50.000 već 200.000 dinara. Iako je maksimum fiksno određene novčane sankcije zadržan na 2.000.000 dinara, povećanje minimuma za četiri puta predstavlja značajnu promenu kaznene politike. U praksi, to će značiti da bi se za prvi prekršaj pravno lice kaznilo zakonskim minimumom ili blizu minimalnog iznosa novčane kazne. Novčana kazna za odgovorno lice ostaje u rasponu od 50.000 do 150.000 dinara, dok su za preduzetnike granice postavljene od 200.000 do 500.000 dinara.

Posebno je zanimljivo da se za sve prekršaje koji su predmet gore pomenute novčane kazne takođe može izreći novčana kazna koja odgovara visini pričinjene štete, odnosno propuštene obaveze najviše do dvadesetostrukog iznosa tih vrednosti, ali ne preko petostrukog iznosa najviše novčane kazne, odnosno ne iznad 10.000.000 dinara.

Dok će prvobitna izmena odredbi ostaviti traga na veliku većinu rukovalaca i obrađivača koji vrše povredu zakonskih normi, najveće kompanije takvu promenu neće finansijski osetiti. Ipak, povećanje finansijskog rizika može imati preventivni efekat i podstaći kompanije da dodatno unaprede svoje sisteme usklađenosti sa propisima. Sa druge strane, određivanjem novčane kazne koja odgovara dvadesetostrukom iznosu učinjene štete, odnosno limitu od 85.000 evra, može značajno uticati na poslovanje i finansijski rizik većih kompanija.

Drugim rečima, za kompaniju koja obradi 10.000 zahteva godišnje i načini grešku u samo 1% slučajeva - rizik se brzo umnožava.

Novi instituti zaštite

Video nadzor u poslovnom prostoru

Novi nacrt po prvi put uređuje pitanje video nadzora kojim obavezuje poslodavca, uvodeći niz specifičnih pravila i obaveza za rukovaoce koji koriste sisteme video nadzora. Cilj ovakvog uređenja jeste da se jasnije odrede uslovi pod kojima je upotreba video nadzora dozvoljena i opravdana.

Naime, obrada podataka o ličnosti upotrebom video nadzora dozvoljena je samo u svrhu koja je neophodna i opravdana radi zaštite lica, imovine, tajnih podataka sve dok se interes pojedinca, odnosno zaposlenog ne ispreči kao pretežniji u odnosu na interes same obrade podataka. To će u praksi značiti da, uz opravdanu zaštitu elementarnih prava zaposlenog i pojedinca, obrada podataka putem video nadzora može biti isključena.

Dodatno, poslodavac nema pravo da video nadzor koristi u prostorijama za odmor, ličnu higijenu, presvlačenje i drugim prostorijama koje iziskuju veći nivo privatnosti. Postavlja se pitanje da li, i u kojoj meri, se može opravdati samo postavljanje video nadzora u predmetnim prostorijama bez eksplicitne upotrebe i obrade podataka. Uz to, poslodavac neće smeti da koristi sistem video nadzora radi praćenja rada zaposlenih osim u slučaju izuzetnih pretežnijih interesa poslodavca.

Rukovalac, odnosno poslodavac, biće dužan da jasno obeleži svaki objekat, prostor i prostoriju i spoljnu površinu koja je obuhvaćena video nadzorom, pri čemu će isti morati da bude adekvatno zaštićen od neovlašćenog pristupa, čiji će sadržaj biti dostupan samo iz opravdanih zakonom predviđenih razloga.

Jasno obeležavanje

Pored uobičajenog obaveštenja svakog pojedinca čiji će lični podaci biti predmet video nadzora, poslodavac će takođe morati da vidno istakne obaveštenje o: (i) tome da je prostor pod video nadzorom, (ii) nazivu rukovaoca, i (iii) kontakt podacima rukovaoca. U praksi se može videti da mnogi poslodavci ne obeležavaju prostor koji je pod video nadzorom, a izuzetno to učine bez ostavljanja bilo kakvih informacija o tome ko obrađuje iste podatke.

Svaka kompanija koja trenutno ima kamere u poslovnom prostoru trebalo bi da izvrši reviziju: da li postoje vidna obaveštenja, da li postoji dokumentovana odluka o opravdanosti nadzora i da li je sindikat bio obavešten? Neusklađenost sa ovim zahtevima mogla bi postati jedna od prvih meta inspekcijskog nadzora.

Kako bi opravdao upotrebu video nadzora u poslovnom prostoru, poslodavac će biti dužan da donese odluku kojom prepoznaje da druge “manje invazivne” mere jesu razmatrane, ali nisu dovoljne da obezbede zaštitu interesa poslodavca. Pre donošenja ovakve odluke, svaki poslodavac biće u obavezi da obavesti reprezentativni sindikat, što će dobrim delom uticati na makro kompanije u kojima je aktivnost i uticaj sindikata značajniji.

Obrada podataka upotrebom veštačke inteligencije

Kao odgovor na prekomernu upotrebu AI tehnologije, pored pripreme samog zakona o veštačkoj inteligenciji, postavljanje pravnog okvira prilikom obrade podataka posredstvom AI alata je postalo neophodno.

Značaj je utoliko veći zbog samo činjenice da mnoge AI platforme načelno upotrebljavaju sve ili neke od podeljenih ličnih podataka radi unapređenja samih modela. Podeljene informacije se dalje mogu ukrštati, rangirati i razvrstavati usled čega rezultat obrade može biti raznovrstan.

Nacrt predviđa mogućnost obrade podataka radi primene, razvoja i testiranja sistema veštačke inteligencije kada je takva obrada u skladu sa prvobitnom svrhom prikupljanja, dok se izuzetno omogućava i obrada zasnovana na legitimnom interesu rukovaoca ili trećeg lica koji preteže nad pravima i slobodama pojedinca. Svaki pojedinac istovremeno ostvaruje pravo na pristup i prigovor, o kojem se rukovalac mora oglasiti u roku od 60 dana.

Najznačajnije ograničenje prilikom obrade podataka upotrebom veštačke inteligencije jeste da predmetni sistem mora biti upotrebljen uz učešće fizičkog lica, odnosno da potpuno autonomna obrada neće biti dozvoljena ako proizvodi štetne posledice ili značajno utiče na položaj pojedinca. Autonomna obrada ovakve vrste dozvoljena je samo u istorijske, naučne i statističke svrhe.

Brisanje podataka o ličnosti

Svaki rukovalac će imati obavezu da, u slučaju ispunjenosti uslova za brisanje podataka o ličnosti, dodatno obaveste sve druge rukovaoce koji te podatke obrađuju radi celokupnog brisanja predmetnih podataka (pravo na zaborav). Ovo će predstavljati dodatnu obavezu za kompanije koje će preuzeti na sebe dužnost kontaktiranja i zahtevanja od drugih rukovaoca da postupe na isti način.

U praksi, ovo će biti posebno izazovno za kompanije koje dele podatke sa velikim brojem partnera i podizvođača. Bez centralizovanog registra prenosa podataka, ispunjavanje ove obaveze može biti logistički veoma zahtevno.

Dodatno, svako lice koje je sa navršenih 15 godina života dalo pristanak na obradu sopstvenih podataka imaće pravo da zahteva brisanje podataka iz dodatnog razloga - ukoliko nije bilo svesno rizika obrade i podataka objavljenih na internetu. Na ovaj način je obezbeđena veća zaštita maloletnika koji bi olako pristajali na obelodanjivanje ličnih podataka putem onlajn servisa.

Postupak podnošenja zahteva za ostvarivanje prava

Novi nacrt predviđa jasne zakonske rokove u vezi sa zahtevom koje svaki pojedinac može podneti rukovaocu u cilju ostvarivanja svojih prava propisanih Zakonom o zaštiti podataka o ličnosti.

Naime, rukovalac će biti dužan da u roku od 15 dana obavesti podnosioca o nedostacima zahteva, dok će podnosilac imati 15 dana da iste nedostatke otkloni. Uz to, rukovalac će morati da u striktnom roku od 30 dana (isključujući izuzetke) postupi po zahtevu bez odlaganja. Ovim se povećava pravna sigurnost podnosioca zahteva, kao i samog rukovaoca koji mora da se kreće u okviru datih rokova.

Predstavnik stranog rukovaoca/obrađivača bez sedišta u Srbiji

Za razliku od važećeg zakona koji je nametao obavezu imenovanja, novi nacrt predviđa mogućnost da se zakonski zastupnik ogranka, odnosno predstavništva multinacionalne kompanije smatra predstavnikom multinacionalne kompanije bez sedišta u Srbiji, kao rukovaoca ili obrađivača. Ova novina pruža pojednostavljeno rešenje i oslobađa strane kompanije nerezidente obaveze imenovanja posebnog predstavnika.

Završni komentar

Za poslovanje u Srbiji, pitanje više nije da li će se podaci obrađivati digitalno, već da li je kompanija spremna da tu obradu učini odgovornom, proverljivom i bezbednom. Novi zakon dolazi u trenutku kada zaštita podataka više nije samo pravno pitanje - već pitanje poverenja, reputacije i konkurentnosti.

U ekonomiji u kojoj podaci postaju jedan od najvrednijih poslovnih resursa, njihova zaštita mora biti poslovni standard, a ne samo regulatorna obaveza. Pitanje poverenja u način na koji se koriste podaci postaće jednako važno kao i sami podaci.

Izvor: Vebsajt Forbes, Željko Loci, advokat u kancelariji Galić Law, 04.09.2026
Naslov: Redakcija