Brzi razvoj novih tehnologija i savremeni oblici poslovanja otvaraju pitanje zaštite ličnih podataka.
Zaštita ličnih podataka se obezbjeđuje i ostvaruje u skladu sa Zakonom o zaštiti podataka o ličnosti (“Službeni list Crne Gore”, br. 79/2008, 70/2009, 44/2012 i 22/2017.) (u daljem tekstu: zakon).
Lični podaci i posebne kategorije ličnih podataka
Lični podaci su sve informacije koje se odnose na fizičko lice čiji je identitet utvrđen ili se može utvrditi.
Posebne kategorije ličnih podataka su lični podaci koji se odnose na rasno ili etničko porijeklo, političko mišljenje, vjersko ili filozofsko uvjerenje, članstvo u sindikalnim organizacijama, kao i podaci koji se odnose na zdravstveno stanje ili seksualni život.
Ko može da vodi zbirke i obrađuje lične podatke
Zbirke ličnih podataka mogu da vode i obrađuju državni organi, organi lokalne samouprave, privredna društva i druga pravna lica u skladu sa zakonom.
Šta se podrazumijeva pod obradom ličnih podataka
Obrada ličnih podataka podrazumijeva sve radnje kojima se automatski ili na drugi način lični podaci prikupljaju, evidentiraju, snimaju, organizuju, čuvaju, mijenjaju, povlače, koriste, vrši uvid u njih, otkrivaju putem prenosa, objavljuju ili na drugi način čine dostupnim, svrstavaju, kombinuju, blokiraju, brišu, uništavaju, kao i bilo koja druga radnja koja se vrši na ličnim podacima.
Lični podaci se ne mogu obrađivati u većem obimu nego što je potrebno da bi se postigla svrha obrade niti na način koji nije u skladu sa njihovom namjenom.
Zakonodavac je propisao ograničenje da se zakon ne odnosi na obradu ličnih podataka za potrebe odbrane i nacionalne bezbjednosti, kao i na fizička lica koja obradu ličnih podataka vrše za sopstvene potrebe.
Koji su uslovi za obradu ličnih podataka
Obrada ličnih podataka može se vršiti po prethodno dobijenoj saglasnosti lica čiji se lični podaci obrađuju. Saglasnost se može opozvati u svakom trenutku.
Obrada ličnih podataka može se vršiti i bez saglasnosti lica ako je to neophodno radi:
- izvršavanja zakonom propisanih obaveza;
- zaštite života i drugih vitalnih interesa lica koje nije u mogućnosti da saglasnost;
- izvršenja ugovora, ako je lice ugovorna strana ili radi preduzimanja radnji na zahtjev lica prije zaključivanja ugovora;
- obavljanja poslova od javnog interesa ili u vršenju javnih ovlašćenja;
- ostvarivanja na zakonu zasnovanog interesa.
Saglasnost za lice lišeno poslovne sposobnosti daje staratelj, a za maloljetno lice roditelji, ali samo ako saglasnost nije u suprotnosti sa interesima maloljetnog lica.
Saglasnost za obradu ličnih podataka za umrlo lice daju njegovi zakonski nasljednici, ukoliko umrlo lice nije zabranilo obradu ličnih podataka.
Sudska praksa je stava da se uvid u lične podatke ne može ostvariti na osnovu Zakona o slobodnom pristupu informacijama (“Službeni list Crne Gore”, br. 44/2012 i 30/2017.)
Koji su uslovi za obradu posebne kategorije ličnih podataka
Posebne kategorije ličnih podataka mogu se obrađivati samo:
- uz izričitu saglasnost lica;
- kad je obrada ličnih podataka neophodna radi zapošljavanja;
- kad je obrada ličnih podataka neophodna radi otkrivanja, prevencije, dijagnostikovanja bolesti i liječenja lica, kao i radi upravljanja zdravstvenim službama;
- kad je to neophodno radi zaštite života ili drugih vitalnih interesa lica na koje se odnose lični podaci ili drugog lica, a to lice nije u mogućnosti da saglasnost, kao i u drugim slučajevima propisanim zakonom;
- ako je lice na očigledan način lične podatke učinilo dostupnim javnosti ili je obrada neophodna za ostvarivanje ili zaštitu pravnih interesa tog lica pred sudom ili drugim organima;
- kad se obrada ličnih podataka vrši u okviru zakonite djelatnosti nevladine organizacije, odnosno udruženja ili druge neprofitne organizacije sa političkim, filozofskim, vjerskim ili sindikalnim ciljevima, ako se ti podaci odnose samo na članove te organizacije ili lica koja imaju stalan kontakt sa njom u vezi sa svrhom njene djelatnosti i ako se ti podaci ne objavljuju bez saglasnosti tih lica.
Obrada ličnih podataka koji se odnose na krivična djela, izrečene krivične i prekršajne kazne ili mjere bezbjednosti može se vršiti samo od strane ili pod nadzorom nadležnog državnog organa i ako su obezbijeđene mjere zaštite ličnih podataka u skladu sa zakonom.
Obaveza obavještavanja lica o obradi, ažuriranju i brisanju ličnih podataka
Subjekat koji vodi zbirke ličnih podataka mora lice od kojeg neposredno radi obrade prikuplja podatke obavijestiti o:
- svom ličnom imenu, odnosno nazivu i adresi;
- svrsi i pravnom osnovu za obradu ličnih podataka;
- trećoj strani, odnosno korisniku ličnih podataka i pravnom osnovu za davanje podataka na korišćenje;
- tome da li je davanje ličnih podataka obavezno ili dobrovoljno i o mogućim posljedicama odbijanja davanja tih podataka;
- pravu pristupa ličnim podacima i pravu na ispravljanje ličnih podataka koji se odnose na to lice.
Obavještenje za prikupljanje ličnih podataka daje se u trenutku kada se lični podaci prikupljaju, a obavještenje da se prikupljeni podaci daju trećim licima na dalju upotrebu, daje se najkasnije u trenutku davanja ličnih podataka na korišćenje.
Izuzetno subjekat koji vodi zbirke ličnih podataka nije obavezan da obavijesti lice na koje se podaci odnose kad se lični podaci daju na korišćenje za statističke ili naučno-istraživačke svrhe ili je obrada ličnih podataka propisana zakonom.
Subjekat koji vodi zbirke ličnih podataka obavezan je da, na zahtjev lica, izbriše lične podatke ako njihova obrada nije u skladu sa zakonom. Dok traje postupak po zahtjevu za brisanje ličnih podataka pristup obrađenim podacima se obustavlja.
Koje su mjere za zaštitu ličnih podataka prilikom obrade
Subjekat koji vodi zbirke ličnih podataka i obrađivač ličnih podataka obavezni su da obezbijede tehničke, kadrovske i organizacione mjere zaštite ličnih podataka, radi zaštite od gubitka, uništenja, nedopuštenog pristupa, promjene, objavljivanja, kao i od zloupotrebe.
Službena i druga lica koja u državnom organu, lokalnom organu, privrednom društvu i drugom pravnom licu vrše obradu ličnih podataka postupaju isključivo po uputstvima starješine organa, odnosno odgovornog lica u pravnom licu i obavezni su da čuvaju tajnost ličnih podataka za koje su saznali prilikom obavljanja svojih poslova.
Zbirke podataka o ličnosti
Subjekat koji vodi zbirke ličnih podataka obavezan je da prije uspostavljanja ili značajne izmjene automatske zbirke ličnih podataka dostavi obavještenje nadzornom organu odnosno Agenciji za zaštitu ličnih podataka i slobodan pristup informacijama.
Ukoliko subjekat koji vodi zbirke ličnih podataka planira automatsku obradu ličnih podataka koji predstavljaju poseban rizik za prava i slobode lica, obavezan je da prije svake automatske obrade ličnih podataka dobije saglasnost nadzornog organa odnosno Agenciji za zaštitu ličnih podataka i slobodan pristup informacijama, a naročito ako se:
- predviđa obrada posebnih kategorija ličnih podataka;
- predviđa obrada ličnih podataka koji se odnose na procjenu ličnosti, sposobnosti ili ponašanje;
- uvodi video nadzor javne površine;
- obrađuju biometrijski podaci.
Subjekat koji vodi zbirke ličnih podataka nije u obavezi da obavijesti nadzorni organ odnosno Agenciji za zaštitu ličnih podataka i slobodan pristup informacijama ako se obrada ličnih podataka vrši na osnovu zakona, ako je lice dalo saglasnost za obradu ličnih podataka ili je obrada neophodna za ispunjavanje ugovora između subjekta koji vodi zbirke ličnih podataka i lica.
Nadzorni organ odnosno Agenciji za zaštitu ličnih podataka i slobodan pristup informacijama vodi registar evidencija o zbirkama ličnih podataka.
Posebni vidovi obrade ličnih podataka
1.Biometrijske mjere
Državni organ i organ lokalne samouprave (u daljem tekstu: javni sektor), privredno društvo, drugo prvno lice i preduzetnik mogu primjenjivati biometrijske mjere u vezi sa ulaskom u poslovni prostor i prisustvom zaposlenih na poslu.
2.Evidencija o ulasku i izlasku iz poslovnog
Radi zaštite lične i imovine iz poslovnog prostora javni sektor, privredno društvo, drugo pravno lice i preduzetnik mogu zahtijevati od lica koje ulazi u poslovni prostor da:
- saopšti razlog ulaska u poslovni prostor;
- da lične podatke;
- stavi na uvid identifikacioni dokument.
O ulascima i izlascima iz poslovnog prostora može se voditi evidencija.
Evidencija ima snagu javne isprave.
Lični podaci iz evidencija čuvaju se najduže jednu godinu od dana prikupljanja, nakon čega se brišu.
3.Video nadzor
Javni sektor, privredno društvo, drugo pravno lice i preduzetnik mogu da vrše video nadzor ulaska u njihov poslovni prostor.
Odluku o uvođenju video nadzora donose starješina u državnom i lokalnom organu ili odgovorno lice u privrednom društvu i drugom pravnom licu odnosno preduzetnik.
Video nadzor vrši se na način kojim se ne prikazuju snimci unutrašnjosti stambenih zgrada koji nijesu povezani sa ulazom u poslovne prostorije, niti snimci ulaza u stanove.
Zaposleni koji rade u prostoru pod video nadzorom moraju biti u pismeno obaviješteni o vršenju video nadzora.
Video nadzor nije dozvoljen u poslovnom prostoru van radnog mjesta, liftu, sanitarnim prostorijama i u prostoru predviđenom za stranke i posjetioce.
Starješina u javnom sektoru ili odgovorno lice u privrednom društvu i drugom pravnom licu odnosno preduzetnik dužni su da, prije donošenja odluke o uvođenju video nadzora, pribave mišljenje reprezentativnog sindikata, odnosno predstavnika zaposlenih.
Lični podaci iz evidencije video nadzora čuvaju se najduže šest mjeseci od dana nastanka.
U stambenim zgradama može da se vrši video nadzor ulaza i izlaza u zgradu, kao i zajedničkih prostorija.
Za uvođenje video nadzora u stambenoj zgradi potrebna je saglasnost skupštine etažnih vlasnika, u pisanoj formi. Saglasnost postoji ako se za nju izjasne članovi skupštine vlasnika stambene zgrade, lamele ili ulaza kojima pripada više od 70% vlasništva.
Ne može se vršiti video nadzor ulaza u stanove.
Javni sektor, privredno društvo, drugo pravno lice i preduzetnik koji vrše video nadzor obavezni su da istaknu javno obavještenje da se vrši video nadzor.
Isto važi i za vršenje video nadzora javnim površinama.
Pravo na zaštitu ličnih podataka
Na pisani zahtjev lica, subjekat koji vodi zbirke ličnih podataka obavezan je da u roku do 15 dana od dana podnošenja zahtjeva, dostavi obavještenje o tome da li se lični podaci koji se odnose na njega obrađuju.
Ukoliko se podaci o licu obrađuju, subjekat koji vodi zbirke ličnih podataka je dužan u obavještenju da dodatne informacije o:
- ličnom imenu, odnosno nazivu i adresi subjekta koji vodi zbirke ličnih podataka;
- imenu, odnosno nazivu i adresi obrađivača ličnih podataka u slučaju kad se to izričito zahtjeva;
- sadržaju podataka koji se obrađuju;
- svrsi i pravnom osnovu za obradu ličnih podataka;
- o izvoru podataka prema raspoloživim informacijama;
- trećoj strani, odnosno korisniku;
- načinu automatske obrade ličnih podataka.
Subjekat koji vodi zbirke ličnih podataka obavezan je da u roku od 15 dana od dana utvrđivanja da su podaci netačni ili nepotpni iste izmijeni odnosno izbriše. Ukoliko se utvrdi da obrada podataka nije u skladu sa zakonom subjekat koji vodi zbirke ličnih podataka je dužan da izbriše sve lične podatke.
O izvršenoj dopuni ili izmjeni i brisanju ličnih podataka subjekat koji vodi zbirke podataka obavezan je da, u roku od osam dana, obavijesti lice čiji su podaci izbrisani.
Lice koje smatra da su mu povrijeđena prava propisana zakonom može podnijeti zahtjev za zaštitu prava nadzornom organu odnosno Agenciji za zaštitu ličnih podataka i slobodan pristup informacijama.
Nadzorni organ je dužan da po zahtjevu odluči rješenjem, u roku od 60 dana od dana podnošenja zahtjeva.
Naknada štete
Za štetu koju je lice pretrpjelo zbog povrede prava propisanih zakonom odgovara subjekat koji vodi zbirke ličnih podataka u skladu sa opštim pravilima o naknadi štete.
Nadzorni organ
Za vršenje poslova nadzora nad primjenom Zakona o zaštiti podataka o ličnosti nadležna je Agencija za zaštitu ličnih podataka i slobodan pristup informacijama.
Kaznene odredbe
Propisana novčana kazna za prekršaj iznosi od 500 do 20.000 eura sve zavisno od vrste prekršaja.