Crna Gora ulazi u novu fazu uređenja zaštite podataka o ličnosti. Predlog novog zakona, zasnovan na logici evropskog GDPR okvira, donosi stroža i jasnija pravila za organizacije koje prikupljaju, čuvaju, koriste ili dostavljaju lične podatke građana, klijenata, gostiju, zaposlenih i poslovnih partnera.
Važno je naglasiti: GDPR kao uredba Evropske unije ne postaje automatski domaći propis samo zato što se o njemu govori u Crnoj Gori. Međutim, novi zakon ide u pravcu usklađivanja crnogorskog sistema sa evropskim standardima zaštite podataka. Za privredu to znači manje prostora za formalno, „papirno“ usklađivanje i mnogo veći naglasak na dokazivom upravljanju podacima.
1. Od formalne zaštite ka dokazivoj odgovornosti
Jedna od najvažnijih promjena je princip odgovornosti. Organizacija više ne treba samo da tvrdi da podatke obrađuje zakonito. Mora biti u stanju da pokaže zašto ih prikuplja, po kom pravnom osnovu, koliko dugo ih čuva, kome ih dostavlja i koje mjere zaštite primjenjuje.
U praksi to znači da politike privatnosti, evidencije obrade, ugovori sa obrađivačima, interne procedure, obuke zaposlenih i tehničke mjere zaštite postaju dio istog sistema. Nije dovoljno imati jedan dokument na sajtu; potrebno je da stvarni procesi prate ono što je u dokumentima napisano.
2. Jasniji pravni osnovi za obradu podataka
Nacrt zakona prepoznaje pravne osnove obrade koji su poznati iz GDPR-a: saglasnost, izvršenje ugovora, zakonsku obavezu, zaštitu vitalnih interesa, javni interes i legitimni interes. To je posebno važno za organizacije koje podatke obrađuju u više različitih svrha.
Na primjer, hotel može podatke gosta koristiti za rezervaciju na osnovu ugovora, određene podatke čuvati zbog zakonskih obaveza, a za newsletter ili ciljano oglašavanje često će biti potrebna posebna i jasna saglasnost. Jedan podatak može se pojaviti u više procesa, ali svaki proces mora imati svoju svrhu i pravni osnov.
3. Saglasnost mora biti jasna, dokaziva i povlačiva
Saglasnost više ne smije biti sakrivena u opštim uslovima niti predstavljena kao uslov za uslugu ako za tu obradu nije neophodna. Organizacija mora moći da dokaže da je saglasnost data, za koju svrhu je data i kada je data.
Jednako je važno da povlačenje saglasnosti bude jednostavno. Ako se osoba može prijaviti za komunikaciju jednim klikom, odjava ne bi smjela biti komplikovanija. Ovo je posebno osjetljivo kod newslettera, programa lojalnosti, marketinških kampanja i korišćenja podataka na digitalnim platformama.
4. Šira i konkretnija prava građana
Novi okvir jača prava lica čiji se podaci obrađuju. Osoba može tražiti pristup svojim podacima, ispravku netačnih podataka, brisanje, ograničenje obrade, prenosivost podataka i prigovor na određene vrste obrade, uključujući direktni marketing i profilisanje.
Za organizacije to znači da moraju imati internu proceduru: ko prima zahtjev, ko provjerava identitet podnosioca, gdje se podaci nalaze, u kom roku se odgovara i kako se odluka dokumentuje. Zahtjevi građana nijesu samo pravno pitanje; oni su test koliko organizacija zaista poznaje tokove svojih podataka.
5. Posebna pažnja za osjetljive podatke
Posebne kategorije podataka, kao što su podaci o zdravlju, biometrijski podaci, podaci koji otkrivaju politička ili vjerska uvjerenja i slične informacije, imaju jaču zaštitu. Njihova obrada je pravilo izuzetak, a ne rutinska aktivnost.
Ovo je važno za sektore koji obrađuju podatke zaposlenih, podatke o zdravstvenom stanju, biometrijsku identifikaciju, pristupne sisteme, posebne zahtjeve gostiju ili druge informacije koje mogu otkriti osjetljive okolnosti o pojedincu.
6. Video-nadzor dobija jasnija pravila
Nacrt posebno uređuje video-nadzor, evidencije ulaska i izlaska, obavještenja, ograničenja pristupa snimcima i rokove čuvanja. Posebno je važno da video-nadzor ne smije biti uveden samo zato što je tehnički moguć, već mora imati jasnu svrhu, razloge i mjere zaštite.
Za hotele je ovo naročito značajno: recepcije, hodnici, parking, ulazi, radni prostori i prostori u kojima gost očekuje viši stepen privatnosti ne mogu se tretirati na isti način. Video-nadzor mora biti ograničen na legitimnu svrhu, uz jasna obavještenja i kontrolisan pristup snimcima.
7. Rukovalac i obrađivač moraju urediti odnos ugovorom
Veliki broj organizacija koristi spoljne dobavljače: IT firme, računovodstvo, marketinške agencije, booking platforme, cloud servise, softver za rezervacije, sisteme za video-nadzor ili podršku korisnicima. Novi zakon traži jasnije uređenje odnosa između rukovaoca i obrađivača.
To podrazumijeva ugovor, pisana uputstva, obavezu povjerljivosti, mjere zaštite, pomoć pri zahtjevima građana i incidentima, kao i kontrolu nad tim da li obrađivač koristi podobrađivače. Usklađivanje se zato ne završava unutar organizacije; ono obuhvata i lanac dobavljača.
8. Procjena uticaja i upravljanje visokim rizicima
Kada obrada može dovesti do visokog rizika za prava i slobode pojedinaca, potrebno je prethodno uraditi procjenu uticaja na zaštitu podataka. To je poznati GDPR mehanizam koji organizaciju tjera da prije pokretanja rizične obrade razmisli šta može poći pogrešno i kako se rizik smanjuje.
Procjena uticaja može biti relevantna kod obimnog video-nadzora, profilisanja, novih digitalnih sistema, programa lojalnosti, povezivanja baza podataka, automatizovanih odluka ili obrade većeg obima osjetljivih podataka.
9. Povrede podataka i rok od 72 časa
Jedna od najpraktičnijih promjena odnosi se na incidente. Ako dođe do povrede ličnih podataka, organizacija mora znati kako se incident prepoznaje, kome se interno prijavljuje, kako se procjenjuje rizik i kada se obavještava Agencija.
Nacrt predviđa obavještavanje Agencije u roku od 72 časa od saznanja za povredu, osim u slučajevima kada nije vjerovatno da povreda može dovesti do rizika po prava i slobode lica. Kada postoji visok rizik, potrebno je obavijestiti i lice na koje se podaci odnose. Zbog toga organizacije treba da imaju plan reagovanja prije nego što se incident dogodi.
10. DPO kao funkcija, a ne samo titula
Nacrt uvodi ovlašćeno lice za zaštitu ličnih podataka, funkciju uporedivu sa DPO u GDPR sistemu. To lice treba da savjetuje, prati usklađenost, daje mišljenje na procjene uticaja i sarađuje sa Agencijom.
Važno je razumjeti da DPO nije osoba koja sama „riješi GDPR“. Njegova uloga je da pomogne organizaciji da uspostavi sistem, da upozorava na rizike i da bude kontakt tačka za zaštitu podataka. Kod složenijih obrada, eksterni DPO može biti racionalno rješenje, posebno kada organizacija nema dovoljno unutrašnjih kapaciteta ili želi nezavisniji pogled na rizike.
11. Prenos podataka van Crne Gore
Podaci se danas često nalaze u cloud servisima, međunarodnim platformama i sistemima dobavljača koji nijesu nužno u Crnoj Gori. Novi zakon detaljnije uređuje prenos ličnih podataka u drugu državu ili međunarodnu organizaciju, uključujući odgovarajuće zaštitne mjere i ulogu Agencije.
Za firme to znači da treba znati gdje se podaci zaista nalaze: kod kog pružaoca usluge, u kojoj državi, po kom osnovu se prenose i kojim ugovorima ili mjerama se štite.
12. Kazne nijesu jedini rizik
Nacrt predviđa prekršajne kazne, ali finansijska sankcija nije jedini rizik. Za organizaciju su često jednako važni reputacija, povjerenje klijenata, reakcija gostiju, sporovi sa zaposlenima, prekid poslovnih procesa i obaveza da se naknadno dokazuje zakonitost obrade.
Upravo zato usklađivanje ne treba posmatrati kao administrativni trošak, već kao uređenje procesa koji već postoje: prodaja, rezervacije, marketing, HR, video-nadzor, IT podrška, ugovaranje dobavljača i komunikacija sa klijentima.
Šta organizacije treba da urade na vrijeme?
- mapirati koje lične podatke prikupljaju i u kojim procesima;
- odrediti svrhu i pravni osnov za svaku obradu;
- provjeriti politike privatnosti, obrasce saglasnosti i rokove čuvanja;
- urediti ugovore sa obrađivačima i dobavljačima;
- provjeriti video-nadzor, pristupne evidencije i obavještenja;
- uspostaviti proceduru za zahtjeve građana i incidente;
- procijeniti da li je potreban DPO ili eksterni stručni savjetnik;
- obučiti zaposlene koji svakodnevno rade sa ličnim podacima.
Posebna poruka za hotele i turistički sektor
Hoteli obrađuju podatke gostiju, zaposlenih, agencija, dobavljača i posjetilaca. U istom poslovnom sistemu često se nalaze rezervacije, kopije ili uvidi u identifikacione dokumente, video-nadzor, programi lojalnosti, kartično plaćanje, online platforme, newsletteri i zahtjevi gostiju.
Zato usklađivanje sa novim pravilima ne može biti samo pravni dokument. Ono mora obuhvatiti recepciju, prodaju, marketing, IT, ljudske resurse, bezbjednost objekta i odnose sa platformama kao što su booking sistemi i marketinški alati.
Zaključak
Novi zakon o zaštiti podataka o ličnosti treba da približi Crnu Goru evropskom GDPR standardu. Za organizacije to znači više transparentnosti, više dokumentovanja, jasnije odgovornosti i veći fokus na rizike u realnim poslovnim procesima.
Najbolji trenutak za pripremu nije dan kada zakon počne da se primjenjuje, već sada, dok organizacija može mirno da pregleda procese, ispravi dokumentaciju i uvede dokaziv sistem zaštite podataka.
Izvori: Ministarstvo unutrašnjih poslova – Nacrt zakona o zaštiti podataka o ličnosti; Vlada Crne Gore – saopštenje o usklađivanju zakonskih rješenja sa GDPR zahtjevima.
