Правилник о заштити података о личности

Последња измена: 10.10.2019.

На основу члана 41. Закона о заштити података о личности („Службени гласник РС”, број 87/18), директор Ненад Поповић доноси:

ПРАВИЛНИК О ЗАШТИТИ ПОДАТАКА О ЛИЧНОСТИ У NAO MEDIA SYSTEMS Београд

ОСНОВНЕ ОДРЕДБЕ

Члан 1.

Правилник о заштити података о личности у NAO MEDIA SYSTEMS (у даљем тексту: Правилник), ближе се уређује: прикупљање и обрада података о личности које NAO MEDIA SYSTEMS (у даљем тексту: фирма ) прикупља приликом обављања послова из свог делокруга; лица чији се подаци обрађују; обезбеђење података; евиденција и изношење наведених података из фирме, ради обезбеђења обраде података у складу са Законом о заштити података о личности (у даљем тексту: Закон).

Предмет овог Правилника су техничке, кадровске и организационе мере заштите података о личности, у складу са утврђеним стандардима и поступцима који су неопходни да би се подаци заштитили од случајног или незаконитог уништења, губитка, измене, откривања или неовлашћеног приступа, објављивања и сваке друге злоупотребе, као и обавезе руковаоца и свих запослених у вези са заштитом података о личности.

Члан 2.

Значење појединих појмова у смислу овог Правилника:

1. Податак о личности (у даљем тексту: податак) је сваки податак који фирма прикупља, а који се односи на физичко лице чији је идентитет одређен или одредив, непосредно или посредно, а посебно на основу ознаке идентитета, као што је име и идентификациони број, податак о локацији, идентификатор у електронским комуникационим мрежама или једног, односно више обележја његовог физичког, физиолошког, генетског, менталног, економског, културног и друштвеног идентитета;
2. Посебна врста података су подаци који се односе на расно или етничко порекло, политичко мишљење, верско или филозофско уверење или чланство у синдикату, као и генетски подаци, биометријски подаци, подаци о здравственом стању, подаци о сексуалном животу или сексуалној оријентацији физичког лица, као и подаци о личности који се односе на кривичне пресуде, кажњива дела и мере безбедности;
3. Збирка података је сваки структурисани скуп података о личности чија се обрада врши у фирми и који је доступан у складу са посебним критеријумима;
4. Обрада података о личности (у даљем тексту: обрада) је свака радња или скуп радњи у фирми које се врше аутоматизовано или неаутоматизовано са подацима о личности или њиховим скуповима, као што су: прикупљање, бележење, разврставање, груписање, односно структурисање, похрањивање, уподобљавање или мењање, откривање, увид, употреба, откривање преносом, односно достављањем, умножавање, ширење или на други начин чињење доступним, упоређивање, ограничавање, брисање или уништавање;
5. Лице чији се подаци обрађују (у даљем тексту: лице) је свако физичко лице на које се односи податак, чији је идентитет одређен или одредив, непосредно или посредно, на основу личног имена, јединственог матичног броја грађана или другог одговарајућег броја из личног документа физичког лица, адресног кода или другог обележја његовог физичког, физиолошког, генетског, менталног, економског, културног и друштвеног идентитета;
6. Запослени је свако лице које обавља послове и задатке сагласно делокругу рада, који непосредно прикупља и/или има увид у податке о личности, које обрађује фирма.
7. Руковалац подацима јесте NAO MEDIA SYSTEMS Београд;
8. Обрађивач података је физичко или правно лице, које обрађује податке у име NAO MEDIA SYSTEMS Београд , а на основу закона или уговора.
9. Управљање збиркама (базама) података – одређени запослени управљају базама података и подацима који чине садржај база, односно збирки података у складу са Законом, овом Правилником и упутствима и процедурама које произилазе из истог, којима се дефинишу одређени процеси и активности на уређивању заштите података о личности.

Члан 3.

Одредбе овог Правилника примењују се на сваку аутоматизовану, односно неаутоматизовану обраду података, а у циљу остваривања законске обавезе да обезбеди заштиту података о личности сваком физичком лицу чије податке о личности прикупља, обрађује и чува.

Дужност је свих запослених да поштују и примењују законске одредбе, овај Правилник и друге акте издате на основу правних извора који уређују заштиту података о личности.

МЕРЕ ОБЕЗБЕЂЕЊА ПОДАТАКА О ЛИЧНОСТИ

Члан 4.

Запослени који су одговорни за управљање збиркама података и носачима података о личности, дужни су да се старају о томе да неовлашћена лица немају приступ истима кроз примену следећих мера: закључавање канцеларије, закључавање рачунара, у току радног времена у време одсуства са радног места, искључивање рачунара и одлагање документације по завршетку радног времена, закључавање ормана, као и да предузму и друге организационе, техничке и кадровске мере којима се онемогућава неовлашћен приступ подацима о личности.

Члан 5.

Збирка података која се налази у рачунарском систему води се у складу са Законом, овим Правилником, другим законима којима се прописује област информационе безбедности и другим актима којима је уређено управљање информационим ресурсима и информациона безбедност.

Запослени обрађују податке у складу са Законом, овим Правилником и другим актима којима је прописана обрада.

Члан 6.

NAO MEDIA SYSTEMS Београд; обезбеђује упознавање запослених са њиховим одговорностима у области заштите података о личности, на тај начин што чини доступним акте којима се уређује област заштите података о личности и акте из области информационе безбедности.

Приступ информационом систему имају само овлашћена лица, употребом корисничког налога и лозинке, у складу са актима којима је уређено управљање приступима информационим ресурсима.

Права у апликацијама додељују се у складу са пословним захтевима (по принципу најмањих потребних привилегија). Права директног приступа продукционим базама података имају само администратори у складу са процедурама.

Члан 7.

NAO MEDIA SYSTEMS Београд обезбеђује и друге мере заштите података и то:

1. Примена закона, других прописа и интерних аката којима је уређена област информационе безбедности;
2. Заштита података о личности, укључујући и заштиту посебних врста података о личности (анонимизација и псеудонимизација података);
3. Подаци у папирном облику који служе за унос података у рачунарски вођену збирку података, листинзи са подацима из рачунарске збирке података и сл. налазе се у закључаним орманима и закључаним просторијама (архива);
4. Праћење истека рокова чувања података о личности на носачима података (медијима) ради уништавања;
5. Дискете, ЦД, магнетне траке, оптички дискови и други медији на којима су похрањени лични подаци, чувају се у закључаним орманима и закључаним просторијама (архива), у складу са Законом и овом Правилником,
6. Примена „Политике чистог стола и празног екранаˮ;
7. Физичко и/или техничко обезбеђење зграде у којима су пословне просторије које користи фирма, већим делом постоји и ограничава улаз незапосленима, а тамо где то није обезбеђено строго се води рачуна о уласку незапослених лица у пословне просторије.

Члан 8.

Лице за заштиту података о личности је у обавези да информише запослене и лица чији се подаци обрађују у вези са заштитом података о личности даје мишљења запосленима који воде збирке исправа, односно врше радње обраде података, о законским обавезама у вези са заштитом података о личности, путем обавештења, информација, консултација о спорним питањима, укључујући и питања поделе одговорности, подизања свести и предлагања обуке запослених који учествују у радњама обраде и води евиденцију о радњама обраде.

УПРАВЉАЊЕ ЗБИРКАМА ПОДАТАКА ФИРМЕ

Члан 9.

Запослени (радно ангажовани) у складу са одредбама Закона и овог Правилника, у обавези су да:

1. обезбеде заштиту података о личности од случајног или незаконитог уништења, губитка, измене, неовлашћеног откривања или приступа, те да, позивајући се на утврђене стандарде и поступке предузме техничке, кадровске и организационе мере у циљу заштите података од претходно наведених радњи;
2. обезбеде чување тајности податка, те да утврде обавезу лица која су запослена на прикупљању и обради податка, да чувају тајност података. Ова обавеза се односи на свако лице које, током обављања свог посла, долази у било какав контакт са личним подацима;
3. унапред информишу лица о начину и другим аспектима обраде података;
4. добију сагласности лица, у случају обраде посебних врста података као и у другим случајевима регулисаним позитивним прописима из области заштите података о личности;
5. се уздрже од обраде података, за лица који нису дала сагласност (осим у делу обраде која је нужна за извршење законом или уговором прописаних обавеза);
6. ставе на увид физичком лицу податке који се води о том лицу и поступају по захтеву тог лица;
7. воде и ажурирају евиденцију збирки података о личности, на начин одређен Законом, овим Правилником и другим интерним актима.

Члан 10.

Под управљањем збиркама података о личности и подацима који су унети у збирке, подразумева се:

1. израда описа садржине постојеће збирке података, на прописан начин;
2. утврђивање предлога за формирање нових збирки (база) података, односно њихових измена који се достављају, лицу за заштиту података о личности на мишљење;
3. успостављање збирки података, унос измена постојећих података у збирке;
4. одређивање запосленог који ће се старати о збирци података;
5. обелодањивање података који се воде у збиркама: коришћењем, стављањем на увид, откривањем, објављивањем, снимањем или на други начин чињењем доступних ових података, у оквиру фирме;

Под руковањем збиркама података подразумева се предузимање свих оперативних радњи у вези са одређеном збирком података, а нарочито:

1. иницирање предлога за формирање нове или измену постојеће збирке података;
2. оперативни унос података у базу;
3. измена и допуна унетих података;
4. достављање података и
5. друге радње, у складу са Законом и овим Правилником.

Члан 11.

NAO MEDIA SYSTEMS Београд да води евиденцију о радњама обраде за које је одговорно на начин прописан чланом 47. Закона.

НАЧИН ПРИКУПЉАЊА, ОБРАДА И ЧУВАЊЕ ПОДАТАКА О ЛИЧНОСТИ

Члан 12.

Садржај збирки (база) података о личности чине подаци које фирма у оквиру свог пословања води у својој евиденцији и чува на основу других закона који прописују обавезу вођења евиденција које садрже податке о личности.

Члан 13.

Подаци се могу прикупљати од физичког лица чији се лични подаци обрађују, од других државних органа, правних лица са којима фирма има закључене уговоре, као и од других лица на начин и под условима прописаним законом.

Члан 14.

При прикупљању података, запослени који прикупља и врши друге радње обраде података, обавештава лице на које се подаци односе, о следећем:

• идентитету и контакт подацима фирме;
• контакт подацима лица за заштиту података о личности;
• сврси намераване обраде и правном основу за обраду;
• примаоцу, односно групи прималаца података о личности, ако они постоје;
• подаци о идентитету обрађивача, односно ако фирма у складу са закљученим уговором о обради података са обрађивачем, намерава да изнесе податке о личности у другу државу или међународну организацију.

Поред наведеног запослени који прикупља и врши друге радње обраде података, има обавезу да, у тренутку прикупљања информација, лицу пружи и додатне информације које могу да буду неопходне да би се обезбедила транспарентна обрада у односу на то лице, и то следеће информације:

• рок чувања података о личности или, ако то није могуће, о критеријумима за његово одређивање;
• о постојању права да се од фирме захтева приступ, исправка или брисање његових података о личности, односно постојању права на ограничење обраде, права на приговор, као и права на преносивост података;
• о постојању права на опозив пристанка у било које време, као и о томе да опозив пристанка не утиче на допуштеност обраде која је вршена на основу пристанка пре опозива;
• о праву да се поднесе притужба Поверенику за информације од јавног значаја и заштиту података о личности;
• о томе да ли је давање података о личности законска или уговорна обавеза или је давање података неопходан услов за закључење уговора, као и о томе да ли лице на које се подаци односе има обавезу да да податке о својој личности и о могућим последицама ако се подаци не дају;
• о постојању аутоматизованог доношења одлуке, ако се примењује, укључујући и профилисање, и најмање у тим случајевима, сврсисходне информације о логици која се при томе користи, као и о значају и очекиваним последицама те обраде по лице на које се подаци односе.

Ако је лице на које се подаци односе већ упознато са неком од претходно наведених информација, фирма нема обавезу пружања тих информација.

Члан 15.

NAO MEDIA SYSTEMS Београд врши обраду неопходних података физичких лица и то за јасно одређену сврху, на законом дозвољен начин, тако да лице, на које се подаци односе након што се оствари сврха обраде не буде одређено или одредиво.

Подаци који се обрађују морају бити истинити и потпуни, засновани на веродостојном извору, односно извору који није застарео.

Под веродостојним извором података подразумева се:

• Исправа издата од стране државног органа;
• Општи и/или појединачни акт државног органа;
• Званична интернет презентација државних органа;
• Јавни регистар, укључујући и онај који је доступан преко интернета;
• Пуноважни документ, потписан од стране лица на кога се податак односи, као и обавештење добијено од стране лица (писано или усмено обавештење дато на записник).

Истинитост и потпуност податка се подразумева када је податак добијен из веродостојног извора.

„Застарелост податакаˮ настаје, само у случају, када је важење извора из кога је податак прибављен временски ограничено (у складу са правилима којима се уређује важење јавне исправе).

У случају разликовања података, који се односе на исти предмет, прибављених из истог извора, тачним се сматра податак који је касније прибављен (последње обавештење добијено од лица и сл.).

Лице које врши обраду података, врши је на начин и у мери потребној искључиво за обављање својих радних налога (начело пропорције).

Члан 16.

Физичко лице може дати пуноважан пристанак на обраду својих личних података и то након претходног обавештавања у складу са условима прописаним чланом 14. овог Правилника, на следећи начин:

• у форми усмене изјаве на записник;
• у форми писане изјаве;
• потписивањем уговора и/или другог документа који садржи јасно дефинисану клаузулу о пристанку на обраду података о личности, која је представљена на начин којим се издваја од других питања, у разумљивом и лако доступном облику, уз употребу јасних и једноставних речи;
• конклудентном радњом која на јасан и недвосмислен начин изражава вољу лица да да добровољни пуноважан пристанак (нпр. чекирањем поља на wеб страници фирме) и
• на други погодан начин у складу са Законом.

Пристанак лице може опозвати у сваком тренутку, на исти начин на који је пристанак дало.

Члан 17.

Обрада података од стране фирме дозвољена је без пристанка лица и то:

• у циљу поштовања законских обавеза фирме;
• у циљу заштите животно важних интереса лица или другог лица, посебно заштите живота, здравља и физичког интегритета;
• у циљу остваривања легитимних интереса фирме или треће стране, осим ако су над тим интересима претежнији интереси или основна права и слободе лица на које се подаци односе;
• као и у другим случајевима одређеним Законом или другим правним актом донетим на основу Закона.

Члан 18.

NAO MEDIA SYSTEMS Београд обрађује податке о личности и користи их у следеће сврхе:

• вођења евиденција о потенцијалним кандидатима за пријем у радни однос;
• пријема у радни однос и закључивање уговора о привременим и повременим пословима
• извршавања обавеза које има као послодавац, сагласно прописима који уређују област рада ;
• заштите лица и имовине фирме;
• за вођење Збирки прописаних другим законима;
• као и у друге сврхе у складу са Законом.

Члан 19.

Фирма прикупљене податке о личности чува као пословну тајну, те је заштита података о личности загарантована.

Подаци о личности се не смеју користити ван сврхе за коју су прикупљени, већ за потребе које су прецизно дефинисане и у складу са Законом.

Строго је забрањено свако копирање и изношење података који су предмет овог Правилника ван просторија фирме.

Члан 20.

Запослени (радно ангажовани) прикупљају личне податке, односно имају увид у податке који се прикупљају, кроз обављање послова свог радног места и задужења, односно овлашћења.

Запослени (радно ангажовани), као и лица која у име и за рачун фирме прикупљају податке о личности у обавези су да након упознавања са одредбама овог Правилника потпишу Изјаву којом потврђује да су упознати у свему са правима и обавезама у вези са заштитом података о личности.

Свако непоштовање правила дефинисаних одредбама овог Правилника повлачи за собом санкционисање, у складу са правилима о пословној тајни.

Члан 21.

Фирма предузима све потребне мере заштите података, у складу са утврђеним стандардима и поступцима, а које су неопходне да би се подаци заштитили од неовлашћене или незаконите обраде, као и од случајног губитка, уништења или оштећења, објављивања и сваке друге злоупотребе.

У зависности од врсте предмета, досијеа или акта који генерише одређене податке о личности, подаци о личности се чувају у базама у оквиру дефинисаних рокова, у складу са прописима.

ОДГОВОРНОСТИ ЛИЦА ЗА ЗАШТИТУ ПОДАТАКА О ЛИЧНОСТИ, ЗАПОСЛЕНИХ И ДРУГИХ ЛИЦА

Члан 22.

Сви запослени (радно ангажовани) су дужни да обрађују податке о личности у складу са Законом и другим важећим прописима.

Запослени су дужни да пријаве све неправилности у вези са обрадом података о личности лицу задуженом за заштиту података о личности, писаним путем на маил или путем поште на адресу објављену на сајту фирме.

Сва лица која нису запослена у фирми, а обављају послове у име и за рачун фирме, имају обавезу да се упознају са садржином овог Правилника и придржавају се истог.

ПРОЦЕНА УТИЦАЈА ОБРАДЕ НА ЗАШТИТУ ПОДАТАКА О ЛИЧНОСТИ

Члан 23.

У случају вршења врсте обраде података за коју је прописана обавезна процена утицаја обраде на заштиту података, фирма ће донети посебан акт којим ће ближе уредити процену утицаја обраде на заштиту података и при вршењу те обраде поступити у складу са Законом.

ПРАВА ЛИЦА ОД КОЈИХ СЕ ПОДАЦИ ПРИКУПЉАЊУ И ОБРАЂУЈУ

Члан 24.

Фирма је дужна да, на захтев лица, омогући истинито и потпуно обавештавање, на сажет, транспарентан, разумљив и лако доступан начин, коришћењем јасних и једноставних речи, у свему у складу са Законом и овим Правилником писменим путем, укључујући и електронски облик, односно усмено, уколико је идентитет лица несумњиво утврђен, а посебно о:

1. Идентитету фирме:

• пословно име и седиште;
• контакт подаци;
• контакт подаци лица овлашћеног за заштиту података о личности.

2. Обради података о личности од стране фирме:
   • да ли врши обраду података о њему и коју радњу обраде врши;
   • врсти података који се обрађују о њему;
   • од кога су прикупљени подаци о њему, односно ко је извор података;
   • у које сврхе обрађује податке о њему;
   • по ком правном основу обрађује податке о њему;
   • у ком временском периоду се подаци обрађују.
3. Примаоцима података о личности:
   • ко су примаоци података о личности;
   • које врсте података о њему користе;
   • у које сврхе се користе подаци о њему;
   • по ком правном основу користи податке о њему.
4. Преносу података о личности:
   • ко је обрађивач података, односно коме се подаци преносе;
   • који подаци се преносе;
   • у које сврхе се подаци преносе;
   • по ком правном основу се подаци преносе.
5. Правима лица на које се подаци односе:
   • право на информисање;
   • право на приступ и ограничење права приступа подацима;
   • право на исправку;
   • право на допуну;
   • право на брисање;
   • право на ограничење обраде;
   • право на преносивост;
   • право на приговор;
   • право притужбе Поверенику за информације од јавног значај и заштиту

података о личности.

Рок у коме је фирма дужна да пружи информације у складу са захтевом лица износи 30 дана од дана пријема захтева. Тај рок може бити продужен за још 60 дана ако је то неопходно, узимајући у обзир сложеност и број захтева, али је фирма у том случају дужна да о продужењу рока и разлозима за то продужење обавести лице на које се подаци односе у року од 30 дана од дана пријема захтева.

Фирма поступа по захтеву, односно пружа напред наведене информације лицу, без накнаде.

Члан 25.

Фирма није дужна да лицу на које се односе подаци о личности пружи претходно набројане информације ако:

• лице на које се подаци о личности односе већ има те информације;
• је пружање таквих информација немогуће или би захтевало несразмеран утрошак времена и средстава;
• је прикупљање или откривање података о личности изричито прописано законом којим се обезбеђују одговарајуће мере заштите легитимних интереса лица на које се подаци односе;
• се поверљивост података о личности мора чувати у складу са обавезом чувања професионалне тајне која је прописана законом.

Члан 26.

Овлашћени запослени у фирми је у обавези је да лицу, на његов захтев:

1. Омогући увид у податке који се односе на њега, а који обухвата:
   • преглед података из досијеа лица;
   • читање података и слушање података;
   • прављење забележака.

2. Изда копију података који се обрађују, у облику у којем се информација налази, односно у другом облику ако би у облику у коме се информација налази лицу била неразумљива или уколико је лице захтевало другачије достављање.

Овлашћени запослени у фирми има обавезу и да на захтев лица, изврши исправку, допуну, ажурирање, односно брисање података, као и прекид и привремену обуставу обраде података у складу са Законом.

ПОСТУПАЊЕ У СЛУЧАЈУ ИНЦИДЕНТНЕ СИТУАЦИЈЕ

Члан 27.

У случају било каквог инцидента који може да угрози податке поступиће се у складу са Законом и предузеће се мере дефинисане Законом, овим Правилником и другим прописима којима је уређено управљање информационим ресурсима и информациона безбедност.

Члан 28.

Фирма је дужна да о повреди података о личности која може да произведе ризик по права и слободе физичких лица обавести Повереника без непотребног одлагања, или, ако је то могуће, у року од 72 часа од сазнања за повреду.

Обавештење мора да садржи најмање следеће информације:

• опис природе повреде података о личности, укључујући врсте података и приближан број лица на која се подаци те врсте односе, као и приближан број података о личности чија је безбедност повређена;
• име и контакт податке лица за заштиту података о личности;
• опис могућих последица повреде;
• опис мера које је фирма предузела или чије је предузимање предложила у вези са повредом, укључујући и мере које су предузете у циљу умањења штетних последица.

Фирма је дужна да документује сваку повреду података о личности, укључујући и чињенице о повреди, њеним последицама и предузетим мерама за њихово отклањање.

Члан 29.

Ако повреда података о личности може да произведе висок ризик по права и слободе физичких лица, фирма је дужна да без непотребног одлагања о повреди обавести лице на које се подаци односе.

У обавештењу фирма је дужна да на јасан и разумљив начин опише природу повреде података и наведе најмање следеће информације:

• име и контакт податке лица за заштиту података о личности;
• опис могућих последица повреде;
• опис мера које је фирма предузело или чије је предузимање предложило у вези са повредом, укључујући и мере које су предузете у циљу умањења штетних последица.

Фирма није дужно да обавести лице ако:

• је предузело одговарајуће техничке, организационе и кадровске мере заштите у односу на податке о личности чија је безбедност повређена, а посебно ако је криптозаштитом или другим мерама онемогућио разумљивост података свим лицима која нису овлашћена за приступ овим подацима;
• је накнадно предузео мере којима је обезбедило да повреда података о личности са високим ризиком за права и слободе лица на које се подаци односе више не може да произведе последице за то лице;
• би обавештавање лица на које се подаци односе представљало несразмеран утрошак времена и средстава. У том случају,фирма је дужна да путем средстава јавног обавештавања или на други делотворан начин обезбеди пружање обавештења лицу на које се подаци односе.

ПРЕНОС ПОДАТАКА О ЛИЧНОСТИ ИЗ РЕПУБЛИКЕ СРБИЈЕ И ЕВИДЕНЦИЈА

Члан 30.

Фирма податке о личности може износити из Републике Србије, само у случајевима прописаним Законом.

Одлуку о изношењу личних података из Републике Србије, доноси директор, или лице кога он за то овласти.

Фирма води евиденцију о преносу података.

ПРЕЛАЗНЕ И ЗАВРШНЕ ОДРЕДБЕ

Члан 31.

Сваки запослени и радно ангажовани имају обавезу да се упознају са садржином овог Правилника и у оквиру послова које обавља одговоран је за доследну и потпуну примену одредби исте.

Запослени, као и лица која у име и за рачун фирме прикупљају податке о личности дужни су да потпишу Изјаву којом потврђује да су упознати у свему са правима и обавезама у вези са заштитом података о личности прописаних Законом и одредбама овог Правилника, у року од 30 дана од дана достављања на потпис.

Потписане Изјаве из става 2. овог члана чувају се у персоналном досијеу.

Члан 32.

Уколико неки интерна акта фирме није у складу са овим Правилником у погледу заштите података о личности, примениће се одредбе овог Правилника.

Члан 33.

Ова Директива ступа на снагу и примењује се од дана ступања на доношења.

Директор,

Ненад Поповић, с.р.