Da li svaka organizacija mora da ima službenika za zaštitu podataka? Ne. Međutim, za određene organizacije imenovanje je zakonska obaveza, dok drugima ova funkcija može pomoći da zaštitu podataka urede i održavaju u svakodnevnom poslovanju. Odgovor zavisi od statusa organizacije, njenih osnovnih aktivnosti i obima obrade ličnih podataka.
Novi Zakon o zaštiti podataka o ličnosti, čija primjena počinje 19. marta 2027. godine, uređuje imenovanje, položaj i zadatke službenika za zaštitu podataka u članovima 38–40. U praksi se za ovu funkciju koristi skraćenica DPO, od engleskog naziva Data Protection Officer.
DPO savjetuje organizaciju, prati usklađenost i predstavlja kontakt tačku za pitanja zaštite podataka. To nije samo ime navedeno u odluci ili politici privatnosti, već stručna funkcija kojoj treba obezbijediti nezavisnost, pristup informacijama i stvarno učešće u relevantnim poslovnim odlukama.
Kada je imenovanje DPO-a obavezno?
Član 38 propisuje obavezu za rukovaoce i obrađivače podataka u tri osnovne situacije. Rukovalac određuje zašto i kako se podaci obrađuju, dok obrađivač obrađuje podatke u njegovo ime.
1. Obradu vrši organ javne vlasti ili javno tijelo
U ovu grupu spadaju, na primjer, javne škole i javne zdravstvene ustanove. Njihova obaveza proizlazi iz javnog statusa, a ne iz toga da li imaju veliki broj zaposlenih ili koriste složen informacioni sistem. Zakonom je predviđen izuzetak za sudove kada postupaju u okviru svojih sudskih ovlašćenja.
Jedan DPO može biti određen za više javnih organa ili tijela, uz uvažavanje njihove organizacione strukture i veličine. Takvo rješenje mora omogućiti stvarno obavljanje poslova za svaku ustanovu, a ne samo formalno zajedničko imenovanje.
2. Osnovne aktivnosti uključuju redovno i sistematsko praćenje lica u velikom obimu
Ovaj osnov odnosi se na organizacije čije osnovno poslovanje podrazumijeva organizovano i kontinuirano praćenje pojedinaca u velikom obimu. To može uključivati praćenje ponašanja korisnika, njihovo profilisanje ili praćenje lokacije, kada su ispunjeni zakonski uslovi.
Sama upotreba video-nadzora ili prikupljanje podataka preko sajta ne znači automatski da organizacija mora imenovati DPO-a. Potrebno je sagledati svrhu, obim i način obrade, kao i njenu povezanost sa osnovnom djelatnošću.
3. Osnovne aktivnosti obuhvataju obradu posebno osjetljivih podataka u velikom obimu
Treći osnov obuhvata obradu posebnih kategorija podataka u velikom obimu, prema članu 10 Zakona, kao i podataka o krivičnim osudama i krivičnim djelima iz člana 11. Posebne kategorije uključuju, između ostalog, zdravstvene podatke, genetske podatke i biometrijske podatke kada se koriste za jedinstvenu identifikaciju lica.
Zato je ovo pitanje posebno važno za privatne zdravstvene ustanove koje obrađuju podatke velikog broja pacijenata. Ipak, ne treba izjednačavati svaku pojedinačnu ordinaciju sa velikim zdravstvenim sistemom: procjena se zasniva na stvarnom obimu i karakteristikama obrade.
Šta znači „veliki obim“ i da li je presudan broj zaposlenih?
Broj zaposlenih sam po sebi nije dovoljan za odgovor. Mala firma može obrađivati podatke velikog broja korisnika, dok organizacija sa više zaposlenih ne mora nužno ispunjavati uslove za obavezno imenovanje po osnovu svojih aktivnosti.
Pri procjeni obima korisno je razmotriti broj lica čiji se podaci obrađuju, količinu i raznovrsnost podataka, trajanje obrade i njenu geografsku rasprostranjenost. Ove kriterijume objašnjavaju i evropske smjernice o DPO funkciji.
Uobičajene evidencije zaposlenih i obračun zarada nisu sami po sebi razlog za obavezno imenovanje DPO-a u svakoj privatnoj kompaniji. Zaključak treba obrazložiti i dokumentovati, a ponovo ga razmotriti kada se poslovanje ili način obrade značajno promijene. Treba provjeriti i da li posebni propisi uvode dodatne obaveze.
Šta DPO radi u praksi?
Uloga DPO-a je da pomogne organizaciji da razumije svoje obaveze i prati kako ih ispunjava. Njegovi zakonski zadaci obuhvataju:
- Informisanje i savjetovanje uprave i zaposlenih o pravilnom postupanju sa ličnim podacima.
- Praćenje usklađenosti sa propisima i internim pravilima, uključujući raspodjelu odgovornosti, podizanje svijesti, obuku zaposlenih i povezane provjere.
- Davanje savjeta u vezi sa procjenom uticaja na zaštitu podataka, kada se savjet zatraži, i praćenje njenog sprovođenja.
- Saradnju sa Agencijom i postupanje kao kontakt tačka za pitanja obrade podataka.
DPO-u se mogu obratiti i građani, klijenti, pacijenti ili zaposleni u vezi sa obradom njihovih podataka i ostvarivanjem prava. Organizacija zato treba pravovremeno da ga uključi u pitanja kao što su novi informacioni sistem, promjena dobavljača, zahtjev za pristup podacima ili sumnja na povredu podataka.
Odgovornost za usklađenost ostaje na organizaciji. DPO savjetuje i prati, ali ne preuzima odgovornost uprave za poslovne odluke niti obavezu zaposlenih da primjenjuju usvojena pravila.
Da li DPO mora biti zaposlen u organizaciji?
Ne mora. Zakon izričito omogućava da DPO bude zaposleni ili da poslove obavlja na osnovu ugovora o pružanju usluga. Eksterni DPO može biti odgovarajuće rješenje kada organizacija nema potrebna stručna znanja unutar svog tima ili želi kontinuiranu podršku spoljnog eksperta.
Interni i eksterni DPO moraju imati odgovarajuće stručne kvalifikacije, poznavati propise o zaštiti podataka i njihovu praktičnu primjenu. Razumijevanje informacionih sistema, informacione bezbjednosti i upravljanja rizicima posebno je važno za kvalitetno obavljanje ove funkcije. Neophodni su dostupnost, povjerljivost, potrebni resursi i neposredno izvještavanje najvišem nivou upravljanja.
Treba provjeriti i sukob interesa. Osoba koja određuje svrhe i način obrade ne bi trebalo istovremeno da nezavisno nadzire te iste odluke. Ni eksterni angažman sam po sebi ne otklanja taj rizik: obim poslova i razgraničenje odgovornosti moraju biti jasno uređeni.
Da li dobrovoljno imenovanje ima smisla?
Može imati, naročito kada organizacija želi stalnu stručnu podršku zbog složenosti poslovanja, osjetljivosti podataka ili čestih promjena sistema i procesa. Međutim, dobrovoljno imenovanje nije samo počasna titula: na položaj i zadatke tako imenovanog DPO-a primjenjuju se isti zahtjevi kao kod obaveznog imenovanja.
Ako formalno imenovanje nije potrebno, organizacija može ugovoriti savjetodavnu podršku u oblasti zaštite podataka bez uspostavljanja DPO funkcije. Važno je da naziv i ugovoreni poslovi jasno odražavaju stvarnu ulogu.
Da li je imenovanje dovoljno za usklađenost?
Nije. Organizaciji su i dalje potrebni odgovarajući pravni osnovi obrade, obavještenja, evidencije, uređeni odnosi sa obrađivačima, rokovi čuvanja, bezbjednosne mjere i postupci za ostvarivanje prava i upravljanje povredama podataka. Zaposleni treba da razumiju ta pravila i znaju kako da ih primjenjuju.
Uspostavljanje ovog sistema i DPO funkcija povezani su, ali nisu ista usluga. Ako sistem još nije uređen, potrebno je planirati i njegovo uspostavljanje, uz jasno razgraničenje implementacije, odluka uprave i nezavisnog praćenja usklađenosti.
Nakon imenovanja, organizacija je dužna da objavi kontakt podatke DPO-a i dostavi ih nadzornom organu. Interno treba urediti način njegovog uključivanja, izvještavanja i komunikacije sa zaposlenima.
Niste sigurni da li vam je DPO potreban?
GDPR Crna Gora pruža podršku u procjeni obaveze imenovanja, izboru odgovarajućeg modela i organizovanju DPO funkcije. Procjenu zasnivamo na statusu vaše organizacije, stvarnim aktivnostima obrade i rizicima, a ne samo na djelatnosti ili broju zaposlenih.
Za početni razgovor obratite nam se na office@gdprcg.com ili putem kontakt stranice. Više o načinu angažovanja pročitajte na stranici Eksterni DPO.
Pravni okvir: Zakon o zaštiti podataka o ličnosti („Službeni list Crne Gore“, br. 133/2026), naročito čl. 38–40. Tekst Zakona (PDF). Za objašnjenje kriterijuma velikog obima i sukoba interesa korišćene su i smjernice Evropskog odbora za zaštitu podataka. Članak je opšteg informativnog karaktera; konkretna obaveza procjenjuje se prema okolnostima organizacije i primjenjivim propisima.
