Tekst objašnjava obaveze iz novog Zakona o zaštiti podataka o ličnosti (Službeni list CG 133/2026), čija primjena počinje 19. marta 2027. godine. Period do primjene treba iskoristiti za pregled postojećeg rada i pripremu potrebnih postupaka.
Medicinski nalaz poslat je drugom pacijentu. Obračun zarada završio je kod eksternog saradnika. Spisak učenika proslijeđen je na pogrešnu adresu. Organizacija treba brzo da utvrdi činjenice, ograniči posljedice i procijeni obaveze koje događaj pokreće.
Zašto pogrešan mejl može biti povreda podataka?
Neovlašćeno otkrivanje ili pristup ličnim podacima može predstavljati povredu njihove bezbjednosti i kada je posljedica nenamjerne greške zaposlenog. Za nastanak povrede nije potreban hakerski napad. Procjena zavisi od sadržaja, primaoca i okolnosti, a ne od toga da li je pošiljalac imao lošu namjeru.
Prvo provjerite da li prilog ili poruka sadrže lične podatke i da li je primalac bio ovlašćen da ih dobije. Slanje javno dostupnog poslovnog kontakta i slanje medicinske dokumentacije ne nose iste posljedice.
Prvi korak: interna prijava bez odlaganja
Zaposleni treba odmah da prijavi događaj određenoj kontakt osobi ili timu, prema internom postupku. Uključuju se odgovorne službe i DPO, ako je imenovan. Ne treba čekati da zaposleni sam procijeni da li će nastati šteta ili da primalac odgovori na poruku.
Zabilježite vrijeme slanja, vrijeme saznanja i kome je događaj prijavljen. Sačuvajte podatke o poruci i primaocu, bez nepotrebnog pravljenja novih kopija osjetljivog priloga.
Ograničite dostupnost podataka
Ako je poslat link ka dokumentu, odmah ograničite ili ukinite neovlašćeni pristup. Ako je poslat prilog, kontaktirajte pogrešnog primaoca i zatražite da ga ne koristi i ne prosljeđuje, da ga izbriše i potvrdi postupanje. Opoziv mejla može biti dodatna mjera, ali nije pouzdan dokaz da sadržaj nije otvoren ili sačuvan.
Preduzete radnje i odgovor primaoca treba dokumentovati. Potvrda o brisanju može biti važna za procjenu posljedica, ali sama po sebi ne znači da povreda nije nastala.
Koje činjenice su potrebne za procjenu rizika?
- Koje kategorije podataka su otkrivene i na koliko osoba se odnose?
- Da li su obuhvaćeni zdravstveni podaci, finansijske informacije, podaci djece ili drugi osjetljivi detalji?
- Ko je primalac i može li se razumno provjeriti njegovo postupanje?
- Da li je dokument zaštićen i da li je primalac mogao da pročita sadržaj?
- Postoje li dokazi otvaranja, preuzimanja ili daljeg dijeljenja?
- Koje su moguće posljedice po lica i koliko su vjerovatne?
Nemogućnost da se potvrdi čitanje poruke nije isto što i dokaz da je niko nije pročitao. Procjenu treba zasnovati na dostupnim činjenicama i ažurirati ako se pojave nove informacije.
Da li se svaka povreda prijavljuje Agenciji?
Član 34 novog Zakona predviđa obavještavanje Agencije bez nepotrebnog odlaganja i, kada je moguće, najkasnije u roku od 72 časa od saznanja rukovaoca za povredu. Izuzetak postoji ako nije vjerovatno da će povreda prouzrokovati rizik po prava i slobode fizičkih lica.
Ne treba čekati završetak istrage da bi se razmotrila prijava. Ako sve informacije nisu dostupne istovremeno, Zakon omogućava njihovo fazno dostavljanje bez nepotrebnog daljeg odlaganja. Kašnjenje preko 72 časa zahtijeva obrazloženje. Ako se povreda dogodi kod obrađivača, on obavještava rukovaoca bez nepotrebnog odlaganja.
Kada se obavještavaju pogođena lica?
Član 35 predviđa obavještavanje lica bez nepotrebnog odlaganja kada je vjerovatno da će povreda prouzrokovati visok rizik po njihova prava i slobode. To je druga procjena u odnosu na prijavu Agenciji. Zakon propisuje i izuzetke, uključujući djelotvornu zaštitu koja podatke čini nerazumljivim neovlašćenim licima i naknadne mjere kojima se otklanja vjerovatnoća visokog rizika. Kod nesrazmjernog napora predviđeno je javno ili jednako djelotvorno obavještavanje.
Evidencija je potrebna i kada nema spoljne prijave
Rukovalac dokumentuje svaku povredu: činjenice, posljedice i preduzete mjere. Treba zabilježiti procjenu rizika, odluku o prijavi ili neprijavljivanju i njene razloge. Potom se utvrđuje uzrok i bira odgovarajuća mjera: provjera primaoca, sigurniji način dijeljenja, ograničenje pristupa ili dodatna obuka.
Pripremite postupak prije nego što se greška dogodi
GDPR Crna Gora pomaže pri izradi postupka za povrede podataka, obuci zaposlenih i procjeni konkretnih događaja kroz uslugu eksternog službenika za zaštitu podataka. Odnose sa dobavljačima koji obrađuju podatke treba urediti i odgovarajućim ugovorom. Za podršku se obratite na kontakt stranici.
Pravni okvir: Zakon o zaštiti podataka o ličnosti (Službeni list CG 133/2026), naročito čl. 33–35. Tekst Zakona (PDF). Primjeri su ilustrativni. Konkretno postupanje zahtijeva provjeru okolnosti i posebnih propisa.
