Pravilnik o zaštiti podataka o ličnosti
Poslednja izmena: 10.10.2019.
Na osnovu člana 41. Zakona o zaštiti podataka o ličnosti („Službeni glasnik RS”, broj 87/18), direktor Nenad Popović donosi:
PRAVILNIK O ZAŠTITI PODATAKA O LIČNOSTI U NAO MEDIA SYSTEMS Beograd
OSNOVNE ODREDBE
Član 1.
Pravilnik o zaštiti podataka o ličnosti u NAO MEDIA SYSTEMS (u daljem tekstu: Pravilnik), bliže se uređuje: prikupljanje i obrada podataka o ličnosti koje NAO MEDIA SYSTEMS (u daljem tekstu: firma ) prikuplja prilikom obavljanja poslova iz svog delokruga; lica čiji se podaci obrađuju; obezbeđenje podataka; evidencija i iznošenje navedenih podataka iz firme, radi obezbeđenja obrade podataka u skladu sa Zakonom o zaštiti podataka o ličnosti (u daljem tekstu: Zakon).
Predmet ovog Pravilnika su tehničke, kadrovske i organizacione mere zaštite podataka o ličnosti, u skladu sa utvrđenim standardima i postupcima koji su neophodni da bi se podaci zaštitili od slučajnog ili nezakonitog uništenja, gubitka, izmene, otkrivanja ili neovlašćenog pristupa, objavljivanja i svake druge zloupotrebe, kao i obaveze rukovaoca i svih zaposlenih u vezi sa zaštitom podataka o ličnosti.
Član 2.
Značenje pojedinih pojmova u smislu ovog Pravilnika:
- Podatak o ličnosti (u daljem tekstu: podatak) je svaki podatak koji firma prikuplja, a koji se odnosi na fizičko lice čiji je identitet određen ili odrediv, neposredno ili posredno, a posebno na osnovu oznake identiteta, kao što je ime i identifikacioni broj, podatak o lokaciji, identifikator u elektronskim komunikacionim mrežama ili jednog, odnosno više obeležja njegovog fizičkog, fiziološkog, genetskog, mentalnog, ekonomskog, kulturnog i društvenog identiteta;
- Posebna vrsta podataka su podaci koji se odnose na rasno ili etničko poreklo, političko mišljenje, versko ili filozofsko uverenje ili članstvo u sindikatu, kao i genetski podaci, biometrijski podaci, podaci o zdravstvenom stanju, podaci o seksualnom životu ili seksualnoj orijentaciji fizičkog lica, kao i podaci o ličnosti koji se odnose na krivične presude, kažnjiva dela i mere bezbednosti;
- Zbirka podataka je svaki strukturisani skup podataka o ličnosti čija se obrada vrši u firmi i koji je dostupan u skladu sa posebnim kriterijumima;
- Obrada podataka o ličnosti (u daljem tekstu: obrada) je svaka radnja ili skup radnji u firmi koje se vrše automatizovano ili neautomatizovano sa podacima o ličnosti ili njihovim skupovima, kao što su: prikupljanje, beleženje, razvrstavanje, grupisanje, odnosno strukturisanje, pohranjivanje, upodobljavanje ili menjanje, otkrivanje, uvid, upotreba, otkrivanje prenosom, odnosno dostavljanjem, umnožavanje, širenje ili na drugi način činjenje dostupnim, upoređivanje, ograničavanje, brisanje ili uništavanje;
- Lice čiji se podaci obrađuju (u daljem tekstu: lice) je svako fizičko lice na koje se odnosi podatak, čiji je identitet određen ili odrediv, neposredno ili posredno, na osnovu ličnog imena, jedinstvenog matičnog broja građana ili drugog odgovarajućeg broja iz ličnog dokumenta fizičkog lica, adresnog koda ili drugog obeležja njegovog fizičkog, fiziološkog, genetskog, mentalnog, ekonomskog, kulturnog i društvenog identiteta;
- Zaposleni je svako lice koje obavlja poslove i zadatke saglasno delokrugu rada, koji neposredno prikuplja i/ili ima uvid u podatke o ličnosti, koje obrađuje firma.
- Rukovalac podacima jeste NAO MEDIA SYSTEMS Beograd;
- Obrađivač podataka je fizičko ili pravno lice, koje obrađuje podatke u ime NAO MEDIA SYSTEMS Beograd , a na osnovu zakona ili ugovora.
- Upravljanje zbirkama (bazama) podataka – određeni zaposleni upravljaju bazama podataka i podacima koji čine sadržaj baza, odnosno zbirki podataka u skladu sa Zakonom, ovom Pravilnikom i uputstvima i procedurama koje proizilaze iz istog, kojima se definišu određeni procesi i aktivnosti na uređivanju zaštite podataka o ličnosti.
Član 3.
Odredbe ovog Pravilnika primenjuju se na svaku automatizovanu, odnosno neautomatizovanu obradu podataka, a u cilju ostvarivanja zakonske obaveze da obezbedi zaštitu podataka o ličnosti svakom fizičkom licu čije podatke o ličnosti prikuplja, obrađuje i čuva.
Dužnost je svih zaposlenih da poštuju i primenjuju zakonske odredbe, ovaj Pravilnik i druge akte izdate na osnovu pravnih izvora koji uređuju zaštitu podataka o ličnosti.
MERE OBEZBEĐENJA PODATAKA O LIČNOSTI
Član 4.
Zaposleni koji su odgovorni za upravljanje zbirkama podataka i nosačima podataka o ličnosti, dužni su da se staraju o tome da neovlašćena lica nemaju pristup istima kroz primenu sledećih mera: zaključavanje kancelarije, zaključavanje računara, u toku radnog vremena u vreme odsustva sa radnog mesta, isključivanje računara i odlaganje dokumentacije po završetku radnog vremena, zaključavanje ormana, kao i da preduzmu i druge organizacione, tehničke i kadrovske mere kojima se onemogućava neovlašćen pristup podacima o ličnosti.
Član 5.
Zbirka podataka koja se nalazi u računarskom sistemu vodi se u skladu sa Zakonom, ovim Pravilnikom, drugim zakonima kojima se propisuje oblast informacione bezbednosti i drugim aktima kojima je uređeno upravljanje informacionim resursima i informaciona bezbednost.
Zaposleni obrađuju podatke u skladu sa Zakonom, ovim Pravilnikom i drugim aktima kojima je propisana obrada.
Član 6.
NAO MEDIA SYSTEMS Beograd; obezbeđuje upoznavanje zaposlenih sa njihovim odgovornostima u oblasti zaštite podataka o ličnosti, na taj način što čini dostupnim akte kojima se uređuje oblast zaštite podataka o ličnosti i akte iz oblasti informacione bezbednosti.
Pristup informacionom sistemu imaju samo ovlašćena lica, upotrebom korisničkog naloga i lozinke, u skladu sa aktima kojima je uređeno upravljanje pristupima informacionim resursima.
Prava u aplikacijama dodeljuju se u skladu sa poslovnim zahtevima (po principu najmanjih potrebnih privilegija). Prava direktnog pristupa produkcionim bazama podataka imaju samo administratori u skladu sa procedurama.
Član 7.
NAO MEDIA SYSTEMS Beograd obezbeđuje i druge mere zaštite podataka i to:
- Primena zakona, drugih propisa i internih akata kojima je uređena oblast informacione bezbednosti;
- Zaštita podataka o ličnosti, uključujući i zaštitu posebnih vrsta podataka o ličnosti (anonimizacija i pseudonimizacija podataka);
- Podaci u papirnom obliku koji služe za unos podataka u računarski vođenu zbirku podataka, listinzi sa podacima iz računarske zbirke podataka i sl. nalaze se u zaključanim ormanima i zaključanim prostorijama (arhiva);
- Praćenje isteka rokova čuvanja podataka o ličnosti na nosačima podataka (medijima) radi uništavanja;
- Diskete, CD, magnetne trake, optički diskovi i drugi mediji na kojima su pohranjeni lični podaci, čuvaju se u zaključanim ormanima i zaključanim prostorijama (arhiva), u skladu sa Zakonom i ovom Pravilnikom,
- Primena „Politike čistog stola i praznog ekranaˮ;
- Fizičko i/ili tehničko obezbeđenje zgrade u kojima su poslovne prostorije koje koristi firma, većim delom postoji i ograničava ulaz nezaposlenima, a tamo gde to nije obezbeđeno strogo se vodi računa o ulasku nezaposlenih lica u poslovne prostorije.
Član 8.
Lice za zaštitu podataka o ličnosti je u obavezi da informiše zaposlene i lica čiji se podaci obrađuju u vezi sa zaštitom podataka o ličnosti daje mišljenja zaposlenima koji vode zbirke isprava, odnosno vrše radnje obrade podataka, o zakonskim obavezama u vezi sa zaštitom podataka o ličnosti, putem obaveštenja, informacija, konsultacija o spornim pitanjima, uključujući i pitanja podele odgovornosti, podizanja svesti i predlaganja obuke zaposlenih koji učestvuju u radnjama obrade i vodi evidenciju o radnjama obrade.
UPRAVLJANJE ZBIRKAMA PODATAKA FIRME
Član 9.
Zaposleni (radno angažovani) u skladu sa odredbama Zakona i ovog Pravilnika, u obavezi su da:
- obezbede zaštitu podataka o ličnosti od slučajnog ili nezakonitog uništenja, gubitka, izmene, neovlašćenog otkrivanja ili pristupa, te da, pozivajući se na utvrđene standarde i postupke preduzme tehničke, kadrovske i organizacione mere u cilju zaštite podataka od prethodno navedenih radnji;
- obezbede čuvanje tajnosti podatka, te da utvrde obavezu lica koja su zaposlena na prikupljanju i obradi podatka, da čuvaju tajnost podataka. Ova obaveza se odnosi na svako lice koje, tokom obavljanja svog posla, dolazi u bilo kakav kontakt sa ličnim podacima;
- unapred informišu lica o načinu i drugim aspektima obrade podataka;
- dobiju saglasnosti lica, u slučaju obrade posebnih vrsta podataka kao i u drugim slučajevima regulisanim pozitivnim propisima iz oblasti zaštite podataka o ličnosti;
- se uzdrže od obrade podataka, za lica koji nisu dala saglasnost (osim u delu obrade koja je nužna za izvršenje zakonom ili ugovorom propisanih obaveza);
- stave na uvid fizičkom licu podatke koji se vodi o tom licu i postupaju po zahtevu tog lica;
- vode i ažuriraju evidenciju zbirki podataka o ličnosti, na način određen Zakonom, ovim Pravilnikom i drugim internim aktima.
Član 10.
Pod upravljanjem zbirkama podataka o ličnosti i podacima koji su uneti u zbirke, podrazumeva se:
- izrada opisa sadržine postojeće zbirke podataka, na propisan način;
- utvrđivanje predloga za formiranje novih zbirki (baza) podataka, odnosno njihovih izmena koji se dostavljaju, licu za zaštitu podataka o ličnosti na mišljenje;
- uspostavljanje zbirki podataka, unos izmena postojećih podataka u zbirke;
- određivanje zaposlenog koji će se starati o zbirci podataka;
- obelodanjivanje podataka koji se vode u zbirkama: korišćenjem, stavljanjem na uvid, otkrivanjem, objavljivanjem, snimanjem ili na drugi način činjenjem dostupnih ovih podataka, u okviru firme;
Pod rukovanjem zbirkama podataka podrazumeva se preduzimanje svih operativnih radnji u vezi sa određenom zbirkom podataka, a naročito:
- iniciranje predloga za formiranje nove ili izmenu postojeće zbirke podataka;
- operativni unos podataka u bazu;
- izmena i dopuna unetih podataka;
- dostavljanje podataka i
- druge radnje, u skladu sa Zakonom i ovim Pravilnikom.
Član 11.
NAO MEDIA SYSTEMS Beograd da vodi evidenciju o radnjama obrade za koje je odgovorno na način propisan članom 47. Zakona.
NAČIN PRIKUPLJANJA, OBRADA I ČUVANJE PODATAKA O LIČNOSTI
Član 12.
Sadržaj zbirki (baza) podataka o ličnosti čine podaci koje firma u okviru svog poslovanja vodi u svojoj evidenciji i čuva na osnovu drugih zakona koji propisuju obavezu vođenja evidencija koje sadrže podatke o ličnosti.
Član 13.
Podaci se mogu prikupljati od fizičkog lica čiji se lični podaci obrađuju, od drugih državnih organa, pravnih lica sa kojima firma ima zaključene ugovore, kao i od drugih lica na način i pod uslovima propisanim zakonom.
Član 14.
Pri prikupljanju podataka, zaposleni koji prikuplja i vrši druge radnje obrade podataka, obaveštava lice na koje se podaci odnose, o sledećem:
- identitetu i kontakt podacima firme;
- kontakt podacima lica za zaštitu podataka o ličnosti;
- svrsi nameravane obrade i pravnom osnovu za obradu;
- primaocu, odnosno grupi primalaca podataka o ličnosti, ako oni postoje;
- podaci o identitetu obrađivača, odnosno ako firma u skladu sa zaključenim ugovorom o obradi podataka sa obrađivačem, namerava da iznese podatke o ličnosti u drugu državu ili međunarodnu organizaciju.
Pored navedenog zaposleni koji prikuplja i vrši druge radnje obrade podataka, ima obavezu da, u trenutku prikupljanja informacija, licu pruži i dodatne informacije koje mogu da budu neophodne da bi se obezbedila transparentna obrada u odnosu na to lice, i to sledeće informacije:
- rok čuvanja podataka o ličnosti ili, ako to nije moguće, o kriterijumima za njegovo određivanje;
- o postojanju prava da se od firme zahteva pristup, ispravka ili brisanje njegovih podataka o ličnosti, odnosno postojanju prava na ograničenje obrade, prava na prigovor, kao i prava na prenosivost podataka;
- o postojanju prava na opoziv pristanka u bilo koje vreme, kao i o tome da opoziv pristanka ne utiče na dopuštenost obrade koja je vršena na osnovu pristanka pre opoziva;
- o pravu da se podnese pritužba Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti;
- o tome da li je davanje podataka o ličnosti zakonska ili ugovorna obaveza ili je davanje podataka neophodan uslov za zaključenje ugovora, kao i o tome da li lice na koje se podaci odnose ima obavezu da da podatke o svojoj ličnosti i o mogućim posledicama ako se podaci ne daju;
- o postojanju automatizovanog donošenja odluke, ako se primenjuje, uključujući i profilisanje, i najmanje u tim slučajevima, svrsishodne informacije o logici koja se pri tome koristi, kao i o značaju i očekivanim posledicama te obrade po lice na koje se podaci odnose.
Ako je lice na koje se podaci odnose već upoznato sa nekom od prethodno navedenih informacija, firma nema obavezu pružanja tih informacija.
Član 15.
NAO MEDIA SYSTEMS Beograd vrši obradu neophodnih podataka fizičkih lica i to za jasno određenu svrhu, na zakonom dozvoljen način, tako da lice, na koje se podaci odnose nakon što se ostvari svrha obrade ne bude određeno ili odredivo.
Podaci koji se obrađuju moraju biti istiniti i potpuni, zasnovani na verodostojnom izvoru, odnosno izvoru koji nije zastareo.
Pod verodostojnim izvorom podataka podrazumeva se:
- Isprava izdata od strane državnog organa;
- Opšti i/ili pojedinačni akt državnog organa;
- Zvanična internet prezentacija državnih organa;
- Javni registar, uključujući i onaj koji je dostupan preko interneta;
- Punovažni dokument, potpisan od strane lica na koga se podatak odnosi, kao i obaveštenje dobijeno od strane lica (pisano ili usmeno obaveštenje dato na zapisnik).
Istinitost i potpunost podatka se podrazumeva kada je podatak dobijen iz verodostojnog izvora.
„Zastarelost podatakaˮ nastaje, samo u slučaju, kada je važenje izvora iz koga je podatak pribavljen vremenski ograničeno (u skladu sa pravilima kojima se uređuje važenje javne isprave).
U slučaju razlikovanja podataka, koji se odnose na isti predmet, pribavljenih iz istog izvora, tačnim se smatra podatak koji je kasnije pribavljen (poslednje obaveštenje dobijeno od lica i sl.).
Lice koje vrši obradu podataka, vrši je na način i u meri potrebnoj isključivo za obavljanje svojih radnih naloga (načelo proporcije).
Član 16.
Fizičko lice može dati punovažan pristanak na obradu svojih ličnih podataka i to nakon prethodnog obaveštavanja u skladu sa uslovima propisanim članom 14. ovog Pravilnika, na sledeći način:
- u formi usmene izjave na zapisnik;
- u formi pisane izjave;
- potpisivanjem ugovora i/ili drugog dokumenta koji sadrži jasno definisanu klauzulu o pristanku na obradu podataka o ličnosti, koja je predstavljena na način kojim se izdvaja od drugih pitanja, u razumljivom i lako dostupnom obliku, uz upotrebu jasnih i jednostavnih reči;
- konkludentnom radnjom koja na jasan i nedvosmislen način izražava volju lica da da dobrovoljni punovažan pristanak (npr. čekiranjem polja na web stranici firme) i
- na drugi pogodan način u skladu sa Zakonom.
Pristanak lice može opozvati u svakom trenutku, na isti način na koji je pristanak dalo.
Član 17.
Obrada podataka od strane firme dozvoljena je bez pristanka lica i to:
- u cilju poštovanja zakonskih obaveza firme;
- u cilju zaštite životno važnih interesa lica ili drugog lica, posebno zaštite života, zdravlja i fizičkog integriteta;
- u cilju ostvarivanja legitimnih interesa firme ili treće strane, osim ako su nad tim interesima pretežniji interesi ili osnovna prava i slobode lica na koje se podaci odnose;
- kao i u drugim slučajevima određenim Zakonom ili drugim pravnim aktom donetim na osnovu Zakona.
Član 18.
NAO MEDIA SYSTEMS Beograd obrađuje podatke o ličnosti i koristi ih u sledeće svrhe:
- vođenja evidencija o potencijalnim kandidatima za prijem u radni odnos;
- prijema u radni odnos i zaključivanje ugovora o privremenim i povremenim poslovima
- izvršavanja obaveza koje ima kao poslodavac, saglasno propisima koji uređuju oblast rada ;
- zaštite lica i imovine firme;
- za vođenje Zbirki propisanih drugim zakonima;
- kao i u druge svrhe u skladu sa Zakonom.
Član 19.
Firma prikupljene podatke o ličnosti čuva kao poslovnu tajnu, te je zaštita podataka o ličnosti zagarantovana.
Podaci o ličnosti se ne smeju koristiti van svrhe za koju su prikupljeni, već za potrebe koje su precizno definisane i u skladu sa Zakonom.
Strogo je zabranjeno svako kopiranje i iznošenje podataka koji su predmet ovog Pravilnika van prostorija firme.
Član 20.
Zaposleni (radno angažovani) prikupljaju lične podatke, odnosno imaju uvid u podatke koji se prikupljaju, kroz obavljanje poslova svog radnog mesta i zaduženja, odnosno ovlašćenja.
Zaposleni (radno angažovani), kao i lica koja u ime i za račun firme prikupljaju podatke o ličnosti u obavezi su da nakon upoznavanja sa odredbama ovog Pravilnika potpišu Izjavu kojom potvrđuje da su upoznati u svemu sa pravima i obavezama u vezi sa zaštitom podataka o ličnosti.
Svako nepoštovanje pravila definisanih odredbama ovog Pravilnika povlači za sobom sankcionisanje, u skladu sa pravilima o poslovnoj tajni.
Član 21.
Firma preduzima sve potrebne mere zaštite podataka, u skladu sa utvrđenim standardima i postupcima, a koje su neophodne da bi se podaci zaštitili od neovlašćene ili nezakonite obrade, kao i od slučajnog gubitka, uništenja ili oštećenja, objavljivanja i svake druge zloupotrebe.
U zavisnosti od vrste predmeta, dosijea ili akta koji generiše određene podatke o ličnosti, podaci o ličnosti se čuvaju u bazama u okviru definisanih rokova, u skladu sa propisima.
ODGOVORNOSTI LICA ZA ZAŠTITU PODATAKA O LIČNOSTI, ZAPOSLENIH I DRUGIH LICA
Član 22.
Svi zaposleni (radno angažovani) su dužni da obrađuju podatke o ličnosti u skladu sa Zakonom i drugim važećim propisima.
Zaposleni su dužni da prijave sve nepravilnosti u vezi sa obradom podataka o ličnosti licu zaduženom za zaštitu podataka o ličnosti, pisanim putem na mail ili putem pošte na adresu objavljenu na sajtu firme.
Sva lica koja nisu zaposlena u firmi, a obavljaju poslove u ime i za račun firme, imaju obavezu da se upoznaju sa sadržinom ovog Pravilnika i pridržavaju se istog.
PROCENA UTICAJA OBRADE NA ZAŠTITU PODATAKA O LIČNOSTI
Član 23.
U slučaju vršenja vrste obrade podataka za koju je propisana obavezna procena uticaja obrade na zaštitu podataka, firma će doneti poseban akt kojim će bliže urediti procenu uticaja obrade na zaštitu podataka i pri vršenju te obrade postupiti u skladu sa Zakonom.
PRAVA LICA OD KOJIH SE PODACI PRIKUPLJANJU I OBRAĐUJU
Član 24.
Firma je dužna da, na zahtev lica, omogući istinito i potpuno obaveštavanje, na sažet, transparentan, razumljiv i lako dostupan način, korišćenjem jasnih i jednostavnih reči, u svemu u skladu sa Zakonom i ovim Pravilnikom pismenim putem, uključujući i elektronski oblik, odnosno usmeno, ukoliko je identitet lica nesumnjivo utvrđen, a posebno o:
- Identitetu firme:
- poslovno ime i sedište;
- kontakt podaci;
- kontakt podaci lica ovlašćenog za zaštitu podataka o ličnosti.
- Obradi podataka o ličnosti od strane firme:
- da li vrši obradu podataka o njemu i koju radnju obrade vrši;
- vrsti podataka koji se obrađuju o njemu;
- od koga su prikupljeni podaci o njemu, odnosno ko je izvor podataka;
- u koje svrhe obrađuje podatke o njemu;
- po kom pravnom osnovu obrađuje podatke o njemu;
- u kom vremenskom periodu se podaci obrađuju.
- Primaocima podataka o ličnosti:
- ko su primaoci podataka o ličnosti;
- koje vrste podataka o njemu koriste;
- u koje svrhe se koriste podaci o njemu;
- po kom pravnom osnovu koristi podatke o njemu.
- Prenosu podataka o ličnosti:
- ko je obrađivač podataka, odnosno kome se podaci prenose;
- koji podaci se prenose;
- u koje svrhe se podaci prenose;
- po kom pravnom osnovu se podaci prenose.
- Pravima lica na koje se podaci odnose:
- pravo na informisanje;
- pravo na pristup i ograničenje prava pristupa podacima;
- pravo na ispravku;
- pravo na dopunu;
- pravo na brisanje;
- pravo na ograničenje obrade;
- pravo na prenosivost;
- pravo na prigovor;
- pravo pritužbe Povereniku za informacije od javnog značaj i zaštitu
podataka o ličnosti.
Rok u kome je firma dužna da pruži informacije u skladu sa zahtevom lica iznosi 30 dana od dana prijema zahteva. Taj rok može biti produžen za još 60 dana ako je to neophodno, uzimajući u obzir složenost i broj zahteva, ali je firma u tom slučaju dužna da o produženju roka i razlozima za to produženje obavesti lice na koje se podaci odnose u roku od 30 dana od dana prijema zahteva.
Firma postupa po zahtevu, odnosno pruža napred navedene informacije licu, bez naknade.
Član 25.
Firma nije dužna da licu na koje se odnose podaci o ličnosti pruži prethodno nabrojane informacije ako:
- lice na koje se podaci o ličnosti odnose već ima te informacije;
- je pružanje takvih informacija nemoguće ili bi zahtevalo nesrazmeran utrošak vremena i sredstava;
- je prikupljanje ili otkrivanje podataka o ličnosti izričito propisano zakonom kojim se obezbeđuju odgovarajuće mere zaštite legitimnih interesa lica na koje se podaci odnose;
- se poverljivost podataka o ličnosti mora čuvati u skladu sa obavezom čuvanja profesionalne tajne koja je propisana zakonom.
Član 26.
Ovlašćeni zaposleni u firmi je u obavezi je da licu, na njegov zahtev:
- Omogući uvid u podatke koji se odnose na njega, a koji obuhvata:
- pregled podataka iz dosijea lica;
- čitanje podataka i slušanje podataka;
- pravljenje zabeležaka.
- Izda kopiju podataka koji se obrađuju, u obliku u kojem se informacija nalazi, odnosno u drugom obliku ako bi u obliku u kome se informacija nalazi licu bila nerazumljiva ili ukoliko je lice zahtevalo drugačije dostavljanje.
Ovlašćeni zaposleni u firmi ima obavezu i da na zahtev lica, izvrši ispravku, dopunu, ažuriranje, odnosno brisanje podataka, kao i prekid i privremenu obustavu obrade podataka u skladu sa Zakonom.
POSTUPANJE U SLUČAJU INCIDENTNE SITUACIJE
Član 27.
U slučaju bilo kakvog incidenta koji može da ugrozi podatke postupiće se u skladu sa Zakonom i preduzeće se mere definisane Zakonom, ovim Pravilnikom i drugim propisima kojima je uređeno upravljanje informacionim resursima i informaciona bezbednost.
Član 28.
Firma je dužna da o povredi podataka o ličnosti koja može da proizvede rizik po prava i slobode fizičkih lica obavesti Poverenika bez nepotrebnog odlaganja, ili, ako je to moguće, u roku od 72 časa od saznanja za povredu.
Obaveštenje mora da sadrži najmanje sledeće informacije:
- opis prirode povrede podataka o ličnosti, uključujući vrste podataka i približan broj lica na koja se podaci te vrste odnose, kao i približan broj podataka o ličnosti čija je bezbednost povređena;
- ime i kontakt podatke lica za zaštitu podataka o ličnosti;
- opis mogućih posledica povrede;
- opis mera koje je firma preduzela ili čije je preduzimanje predložila u vezi sa povredom, uključujući i mere koje su preduzete u cilju umanjenja štetnih posledica.
Firma je dužna da dokumentuje svaku povredu podataka o ličnosti, uključujući i činjenice o povredi, njenim posledicama i preduzetim merama za njihovo otklanjanje.
Član 29.
Ako povreda podataka o ličnosti može da proizvede visok rizik po prava i slobode fizičkih lica, firma je dužna da bez nepotrebnog odlaganja o povredi obavesti lice na koje se podaci odnose.
U obaveštenju firma je dužna da na jasan i razumljiv način opiše prirodu povrede podataka i navede najmanje sledeće informacije:
- ime i kontakt podatke lica za zaštitu podataka o ličnosti;
- opis mogućih posledica povrede;
- opis mera koje je firma preduzelo ili čije je preduzimanje predložilo u vezi sa povredom, uključujući i mere koje su preduzete u cilju umanjenja štetnih posledica.
Firma nije dužno da obavesti lice ako:
- je preduzelo odgovarajuće tehničke, organizacione i kadrovske mere zaštite u odnosu na podatke o ličnosti čija je bezbednost povređena, a posebno ako je kriptozaštitom ili drugim merama onemogućio razumljivost podataka svim licima koja nisu ovlašćena za pristup ovim podacima;
- je naknadno preduzeo mere kojima je obezbedilo da povreda podataka o ličnosti sa visokim rizikom za prava i slobode lica na koje se podaci odnose više ne može da proizvede posledice za to lice;
- bi obaveštavanje lica na koje se podaci odnose predstavljalo nesrazmeran utrošak vremena i sredstava. U tom slučaju,firma je dužna da putem sredstava javnog obaveštavanja ili na drugi delotvoran način obezbedi pružanje obaveštenja licu na koje se podaci odnose.
PRENOS PODATAKA O LIČNOSTI IZ REPUBLIKE SRBIJE I EVIDENCIJA
Član 30.
Firma podatke o ličnosti može iznositi iz Republike Srbije, samo u slučajevima propisanim Zakonom.
Odluku o iznošenju ličnih podataka iz Republike Srbije, donosi direktor, ili lice koga on za to ovlasti.
Firma vodi evidenciju o prenosu podataka.
Član 31.
Svaki zaposleni i radno angažovani imaju obavezu da se upoznaju sa sadržinom ovog Pravilnika i u okviru poslova koje obavlja odgovoran je za doslednu i potpunu primenu odredbi iste.
Zaposleni, kao i lica koja u ime i za račun firme prikupljaju podatke o ličnosti dužni su da potpišu Izjavu kojom potvrđuje da su upoznati u svemu sa pravima i obavezama u vezi sa zaštitom podataka o ličnosti propisanih Zakonom i odredbama ovog Pravilnika, u roku od 30 dana od dana dostavljanja na potpis.
Potpisane Izjave iz stava 2. ovog člana čuvaju se u personalnom dosijeu.
Član 32.
Ukoliko neki interna akta firme nije u skladu sa ovim Pravilnikom u pogledu zaštite podataka o ličnosti, primeniće se odredbe ovog Pravilnika.
Član 33.
Ova Direktiva stupa na snagu i primenjuje se od dana stupanja na donošenja.
Direktor,
Nenad Popović, s.r.