Tekst objašnjava obaveze iz novog Zakona o zaštiti podataka o ličnosti (Službeni list CG 133/2026), čija primjena počinje 19. marta 2027. godine. Period do primjene treba iskoristiti za pregled postojećeg rada i pripremu potrebnih postupaka.
Škola angažuje firmu za održavanje elektronske evidencije. Zdravstvena ustanova koristi aplikaciju za pacijente, a hotel sistem rezervacija. Dobavljač može imati pristup podacima, ali ko odlučuje kako se oni koriste i ko odgovara za njihovu zaštitu?
Najprije utvrdite uloge za konkretnu uslugu
Organizacija koja određuje svrhe i način obrade ličnih podataka jeste rukovalac. Dobavljač koji podatke obrađuje u njeno ime i prema njenim uputstvima djeluje kao obrađivač. To može biti firma koja hostuje bazu, održava aplikaciju ili pruža podršku uz pristup podacima.
Nije svaka IT firma automatski obrađivač za svaku uslugu. Prodaja računara bez obrade podataka nije isto što i održavanje baze pacijenata. Isti dobavljač može biti obrađivač za uslugu klijentu, a rukovalac za podatke svojih zaposlenih. Ulogu treba utvrditi prema stvarnom poslu, ne samo nazivu ugovora.
Šta ugovor o obradi treba da sadrži?
Član 29 novog Zakona zahtijeva da odnos bude uređen ugovorom ili drugim odgovarajućim pravnim aktom. Ugovor može biti zaseban dokument ili sastavni dio ugovora o usluzi. Treba odrediti predmet i trajanje obrade, njenu prirodu i svrhu, vrste podataka, kategorije lica i obaveze i prava rukovaoca.
- Dokumentovana uputstva: šta dobavljač smije raditi sa podacima, uključujući uslove za eventualni prenos u drugu državu.
- Povjerljivost i bezbjednost: obaveze ovlašćenih osoba i odgovarajuće mjere zaštite.
- Podobrađivači: prethodno posebno ili opšte pisano odobrenje i postupak obavještavanja o promjenama.
- Pomoć organizaciji: postupanje po zahtjevima lica, procjenama uticaja i povredama podataka.
- Prestanak usluge: vraćanje ili brisanje podataka i kopija, prema izboru rukovaoca, osim kada zakon nalaže čuvanje.
- Provjera obaveza: informacije potrebne za dokazivanje usklađenosti i omogućavanje odgovarajućih provjera.
Opšta izjava da dobavljač „poštuje GDPR“ ne daje odgovore na ova pitanja. Odredbe treba prilagoditi usluzi, sistemima i podacima koji su zaista obuhvaćeni.
Pristup podacima treba da bude ograničen i provjerljiv
Primjer je zdravstvena ustanova čiji dobavljač koristi jedan zajednički administratorski nalog. Ako dođe do izmjene kartona, može biti teško utvrditi ko je postupao. Prema riziku usluge treba urediti pojedinačne naloge, obim ovlašćenja, evidenciju pristupa i postupanje po završetku intervencije.
Organizacija treba da zna ko odobrava pristup, kada je potreban, kako se mijenja i kada se ukida. Dobavljaču ne treba davati trajna široka ovlašćenja samo zato što je to jednostavnije za podršku.
Gdje se podaci čuvaju i ko još učestvuje?
Provjerite lokacije obrade i rezervnih kopija, angažovane hosting i cloud pružaoce i mogućnost pristupa iz drugih država. Kada postoji prenos u treću državu ili međunarodnu organizaciju, treba zasebno provjeriti uslove iz Zakona. Činjenica da je dobavljač domaća firma ne isključuje dalje angažovanje stranog pružaoca.
Dogovorite postupanje u slučaju povrede
Obrađivač obavještava rukovaoca bez nepotrebnog odlaganja nakon saznanja za povredu. Ugovorom treba urediti kontakt osobe, način prijave, dostupne informacije i saradnju tokom istrage. Rukovaocu su potrebne činjenice da procijeni rizik i ispuni sopstvene obaveze obavještavanja. Rok rukovaoca prema Agenciji ne treba pogrešno koristiti kao dozvolu dobavljaču da čeka 72 časa.
Pet pitanja prije potpisivanja ili obnove ugovora
- Koji podaci su dobavljaču potrebni i ko im može pristupati?
- Gdje se obrađuju i koji podobrađivači učestvuju?
- Kako dobavljač dokazuje primjenu ugovorenih mjera?
- Kako prijavljuje povredu i pomaže pri zahtjevima lica?
- Kako organizacija preuzima podatke i dobija potvrdu o brisanju po završetku usluge?
Sertifikat dobavljača može biti koristan dokaz, uz provjeru njegovog obuhvata i važenja. Organizacija i dalje treba da provjeri konkretnu uslugu i uredi ugovorne odnose.
Podrška pri pregledu dobavljača i ugovora
GDPR Crna Gora pomaže organizacijama da utvrde uloge, pregledaju odnose sa obrađivačima i pripreme potrebne postupke. Kroz uslugu eksternog DPO-a pružamo kontinuirano savjetovanje i praćenje usklađenosti. Za razgovor o vašim dobavljačima obratite nam se putem kontakt stranice.
Pravni okvir: Zakon o zaštiti podataka o ličnosti (Službeni list CG 133/2026), naročito čl. 5, 29, 33–34 i 46–50. Tekst Zakona (PDF). Primjeri su ilustrativni. Konkretno postupanje zahtijeva provjeru okolnosti i posebnih propisa.
