DPO (engl. Data Protection Officer), u Zakonu nazvano lice za zaštitu podataka o ličnosti, jeste osoba koja u organizaciji brine o usklađenosti sa propisima o zaštiti podataka. Mnoge firme misle da je to obaveza za svakoga ko obrađuje podatke ali nije tako.
Zakon o zaštiti podataka o ličnosti („Sl. glasnik RS“, br. 87/2018, dalje: ZZPL) tačno propisuje kada određivanje DPO-a postaje obavezno. U nastavku razlažemo te slučajeve, kao i šta DPO radi i šta sledi ako ga ne odredite kad morate.
Pravilo: određivanje DPO-a je mogućnost, izuzetak je obaveza
Polazna tačka je jednostavna: svaki rukovalac i obrađivač može da odredi DPO-a. To je pravo, ne nužno obaveza.
Obaveza nastaje samo u tačno određenim slučajevima. Za firme u privatnom sektoru (van organa vlasti) ZZPL predviđa dva ključna osnova obaveze.
Slučaj 1: redovan i sistematski nadzor velikog broja lica
DPO je obavezan ako se osnovne aktivnosti rukovaoca ili obrađivača sastoje u radnjama obrade koje po svojoj prirodi, obimu ili svrhama zahtevaju redovan i sistematski nadzor velikog broja lica na koje se podaci odnose.
Razložimo pojmove jednostavno:
- Osnovne aktivnosti – ono što je suština vašeg posla, a ne sporedna administracija. Obrada podataka mora biti deo onoga čime se bavite, ne uzgredna.
- Redovan i sistematski nadzor – kontinuirano praćenje ponašanja korisnika (npr. praćenje aktivnosti na platformi, profilisanje, ciljano oglašavanje zasnovano na ponašanju).
- Veliki broj lica – obrada koja zahvata mnogo ljudi, ne pojedinačne slučajeve.
Tumačenje (naše, ne izričita odredba): ovaj osnov najčešće pogađa platforme, veće online servise i firme čiji model počiva na praćenju korisnika u kontinuitetu. ZZPL ne daje tačan broj koji znači „veliki broj“, pa se procena radi za svaki slučaj prema prirodi, obimu i svrsi obrade.
Slučaj 2: obrada posebnih vrsta podataka u velikom obimu
DPO je obavezan i ako se osnovne aktivnosti sastoje u obradi posebnih vrsta podataka o ličnosti u velikom obimu (ili podataka u vezi sa krivičnim presudama i kažnjivim delima u velikom obimu).
„Posebne vrste podataka“ su, prema ZZPL, podaci koji otkrivaju rasno ili etničko poreklo, političko mišljenje, versko ili filozofsko uverenje, članstvo u sindikatu, zatim genetski i biometrijski podaci (radi jedinstvene identifikacije), podaci o zdravstvenom stanju te podaci o seksualnom životu ili orijentaciji.
Tumačenje: praktično, ovo cilja na delatnosti kao što su zdravstvene platforme, aplikacije za praćenje zdravlja ili servisi koji u velikom obimu obrađuju ovako osetljive kategorije. Ako tek povremeno i u malom obimu dotaknete ove podatke, ne mora automatski značiti da vam DPO postaje obavezan. Bitan je element „velikog obima“ i to da je takva obrada vaša osnovna aktivnost.
Slučaj 3: organi vlasti
DPO je obavezan i kada obradu vrši organ vlasti (uz izuzetak suda u obavljanju sudskih ovlašćenja). Ovaj osnov se po pravilu ne tiče digitalnih preduzetnika i privatnih firmi, pa ga ovde samo pominjemo radi potpunosti.
Dodatno, poseban zakon može propisati obavezu određivanja DPO-a za određene rukovaoce ili obrađivače. Zato uvek treba proveriti i propise specifične za vašu delatnost.
Šta ako nijedan uslov ne važi za vas?
Ako vaša firma ne potpada ni pod jedan od navedenih slučajeva niste zakonski obavezni da odredite DPO-a. I dalje možete to da uradite dobrovoljno; mnoge firme to čine jer im pomaže u usklađenosti. Ali to je tada vaš izbor, ne zakonska prinuda.
Tumačenje: za većinu malih digitalnih biznisa u Srbiji onih koji ne prate korisnike sistematski u velikom obimu i ne obrađuju osetljive podatke kao osnovnu delatnost obaveza DPO-a najčešće ne nastaje. Ipak, granicu treba proceniti konkretno, jer zavisi od toga čime se tačno bavite.
Ako vam je DPO obavezan: koga možete odrediti
ZZPL postavlja nekoliko pravila o tome ko i kako može biti DPO:
- Kvalifikacije – DPO se određuje na osnovu stručnih kvalifikacija, naročito stručnog znanja i iskustva u oblasti zaštite podataka i sposobnosti da izvršava svoje poslove.
- Zaposleni ili spoljni – DPO može biti zaposlen kod vas ili obavljati poslove na osnovu ugovora (eksterni DPO).
- Zajednički DPO – grupa privrednih subjekata može odrediti jedno zajedničko lice, pod uslovom da je jednako dostupno svakom članu grupe.
- Prijava Povereniku – kontakt podatke DPO-a morate objaviti i dostaviti Povereniku, koji o tome vodi evidenciju.
Šta DPO radi (poslovi i položaj)
Da biste razumeli zašto kvalifikacije nisu formalnost, evo šta DPO po Zakonu najmanje radi:
- Informiše i savetuje rukovaoca, obrađivača i zaposlene o njihovim zakonskim obavezama u zaštiti podataka.
- Prati primenu ZZPL i drugih propisa i internih akata, uključujući podelu odgovornosti, podizanje svesti i obuku zaposlenih.
- Daje mišljenje o proceni uticaja obrade na zaštitu podataka i prati postupanje po njoj, kada se to zatraži.
- Sarađuje sa Poverenikom i predstavlja kontakt tačku za tu saradnju.
Da bi to mogao, Zakon štiti njegov položaj. Rukovalac i obrađivač dužni su da:
- DPO-a blagovremeno uključe u sva pitanja zaštite podataka,
- mu obezbede sredstva, pristup podacima i stručno usavršavanje,
- obezbede njegovu nezavisnost i da ga ne kazne niti raskinu ugovor/radni odnos zbog izvršavanja njegovih obaveza.
DPO uz to čuva poverljivost podataka do kojih dođe i ne sme biti u sukobu interesa ako obavlja i druge poslove.
Kazna ako ne odredite DPO-a kad ste obavezni
Ako ste po Zakonu obavezni da odredite DPO-a, a to ne učinite, ZZPL to tretira kao prekršaj. Za pravno lice propisana je novčana kazna od 50.000 do 2.000.000 dinara.
To istu obavezu čini nečim što vredi proveriti unapred pre nego što vas na nju podseti nadzor.
Zaključak
DPO nije obaveza za svaku firmu u Srbiji. Zakon ga traži samo kada vam je obrada podataka osnovna aktivnost i podrazumeva sistematski nadzor velikog broja ljudi, ili obradu osetljivih podataka u velikom obimu (te kod organa vlasti). Ako ne potpadate pod te slučajeve, DPO je vaša opcija, ne dužnost ali procenu treba uraditi konkretno, jer pogrešna pretpostavka nosi rizik od kazne.
Niste sigurni da li vaša firma mora da ima DPO-a i da li vam se isplati eksterni DPO?
U Digitalno Legalno procenjujemo da li za vašu delatnost postoji zakonska obaveza i pružamo DPO usluge prilagođene vašem poslovanju.