Skoro svaki sajt prikuplja podatke o ličnosti kroz kontakt formu, narudžbinu, prijavu na newsletter ili čak analitiku. Čim to radite, Zakon o zaštiti podataka o ličnosti („Sl. glasnik RS“, br. 87/2018, dalje: ZZPL) traži da posetioca jasno obavestite ko ste, šta radite sa njegovim podacima i koja prava ima. Mesto na kom to objavljujete jeste politika privatnosti.
U ovom tekstu razlažemo šta politika privatnosti za sajt mora da sadrži prema ZZPL, tačku po tačku, onako kako Zakon propisuje.
Šta je politika privatnosti i zašto je obavezna
Politika privatnosti je dokument kojim ispunjavate zakonsku obavezu informisanja posetilaca o obradi njihovih podataka.
ZZPL definiše ko su akteri u toj obradi:
- Rukovalac je lice koje određuje svrhu i način obrade u praksi, to ste vi kao vlasnik sajta ili firme iza njega.
- Lice na koje se podaci odnose je fizičko lice čiji se podaci obrađuju, vaš posetilac, kupac ili pretplatnik.
- Obrada je svaka radnja sa podacima: prikupljanje, čuvanje, korišćenje, otkrivanje i slično.
Zakon traži da informacije pružite na sažet, transparentan, razumljiv i lako dostupan način, jasnim i jednostavnim rečima. Tumačenje: to znači da politika privatnosti zatrpana pravničkim frazama, koju prosečan posetilac ne razume, formalno ne ispunjava svrhu. Tekst mora biti pisan tako da ga čovek zaista razume.
Obavezne informacije koje politika privatnosti mora da sadrži
Kada podatke prikupljate direktno od posetioca (što je najčešći slučaj na sajtu, forme, registracija, kupovina), ZZPL propisuje da mu u trenutku prikupljanja morate pružiti sledeće informacije:
- Identitet i kontakt rukovaoca: ko ste, sa kontakt podacima (i podacima predstavnika, ako je određen).
- Kontakt lica za zaštitu podataka (DPO) ako ste ga odredili.
- Svrhu obrade i pravni osnov: zašto prikupljate podatke i na osnovu čega.
- Legitimni interes: ako se obrada zasniva na legitimnom interesu rukovaoca ili treće strane, morate ga navesti.
- Primaoce podataka: kome se podaci otkrivaju, ako primalaca ima (npr. pružaoci usluga, partneri).
- Iznošenje podataka u inostranstvo: ako planirate da podatke prenosite u drugu državu ili međunarodnu organizaciju, uz informaciju o merama zaštite.
Uz to, Zakon traži i dodatne informacije koje obezbeđuju poštenu i transparentnu obradu:
- Rok čuvanja podataka ili, ako ga nije moguće odrediti, kriterijume po kojima ga određujete.
- Prava lica: pravo na pristup, ispravku, brisanje, ograničenje obrade, prigovor i prenosivost podataka.
- Pravo na opoziv pristanka u svakom trenutku, uz napomenu da opoziv ne utiče na obradu vršenu pre opoziva (kada se obrada zasniva na pristanku).
- Pravo na pritužbu Povereniku.
- Da li je davanje podataka obaveza– zakonska ili ugovorna, ili uslov za zaključenje ugovora, i kakve su posledice ako se podaci ne daju.
- Automatizovano odlučivanje i profilisanje– ako postoji, uz objašnjenje logike i očekivanih posledica.
To je zakonsko jezgro. Politika privatnosti koja ne pokriva ove tačke nije usklađena bez obzira na to koliko dugačka je.
Pravni osnov: zašto ga morate navesti
Jedna od tačaka gore, pravni osnov obrade, najčešće se preskače ili pogrešno popunjava, pa je izdvajamo.
Po ZZPL, obrada je zakonita samo ako počiva na jednom od propisanih osnova. Najčešći za sajtove su:
- Pristanak lica za jednu ili više određenih svrha (npr. prijava na newsletter).
- Izvršenje ugovora sa licem ili radnje pre zaključenja ugovora (npr. obrada narudžbine u online prodavnici).
- Poštovanje pravnih obaveza rukovaoca (npr. obaveze iz drugih propisa).
- Legitimni interes rukovaoca ili treće strane, osim ako pretežu prava i slobode lica.
Tumačenje: za svaku svrhu obrade na sajtu treba da znate tačan pravni osnov i da ga navedete. Nije dovoljno reći „prikupljamo podatke“, politika treba da poveže koju svrhu sa kojim osnovom.
Pristanak: posebna pravila kada je on osnov
Ako se obrada zasniva na pristanku, ZZPL postavlja dodatne uslove koje politika privatnosti (i sam sajt) moraju da poštuju:
- Rukovalac mora biti u stanju da dokaže da je lice pristalo.
- Kada se pristanak daje uz izjavu koja pokriva i druga pitanja, zahtev za pristanak mora biti jasno izdvojen, razumljiv i napisan jednostavnim rečima.
- Lice ima pravo da opozove pristanak u svakom trenutku, a opoziv mora biti jednako jednostavan kao i davanje pristanka.
- Pre davanja pristanka lice mora biti obavešteno o pravu na opoziv i njegovom dejstvu.
Tumačenje: praktično, ovo znači da unapred označeni checkbox-ovi ili „pristanak sakriven“ u dugačkom tekstu nisu u skladu sa zahtevom za jasnoćom i izdvojenošću. Detaljnije ćemo o mehanici pristanka, naročito kod kolačića, u posebnom tekstu.
A kada podatke ne dobijate direktno od posetioca?
Ponekad podatke o nekom licu pribavljate iz drugog izvora (npr. od partnera ili iz javno dostupnih izvora), a ne direktno od tog lica. ZZPL i taj slučaj uređuje: tada morate pružiti slične informacije kao gore, uz dve razlike, morate navesti i vrstu podataka koje obrađujete i izvor iz kog podaci potiču (i da li su iz javno dostupnih izvora).
Zakon u tom slučaju određuje i rokove za obaveštavanje (po pravilu razuman rok, najkasnije 30 dana, odnosno najkasnije prilikom prve komunikacije sa licem ili prvog otkrivanja podataka drugom primaocu), kao i izuzetke kada obaveštavanje nije obavezno.
Da li je politika privatnosti isto što i podaci o firmi na sajtu (Impressum)?
Nije, to su dve odvojene obaveze iz dva različita propisa, i lako se mešaju. Politika privatnosti se tiče obrade podataka o ličnosti i izvire iz ZZPL. Pored nje, sajt mora da ima i osnovne podatke o pružaocu usluga, što traži poseban zakon.
Prema članu 6 Zakona o elektronskoj trgovini („Sl. glasnik RS“), pružalac usluga dužan je da na neposredno i stalno dostupan način učini dostupnim korisnicima, između ostalog:
- ime/naziv pružaoca usluga i sedište;
- podatke za brzu komunikaciju, uključujući elektronsku adresu;
- podatke o upisu u Registar privrednih subjekata (ili drugi javni registar);
- podatke o nadležnom organu, ako delatnost podleže službenom nadzoru;
- PIB i broj PDV obveznika, ako je pružalac u sistemu PDV-a.
Ovo se u praksi najčešće objavljuje u sekciji „Impressum“ ili „O nama“ / „Kontakt“.
Važno je razumeti odnos ta dva propisa: Zakon o elektronskoj trgovini se izričito ne primenjuje na zaštitu podataka o ličnosti (član 2). Drugim rečima, on ne uređuje sadržaj vaše politike privatnosti, za to i dalje važi isključivo ZZPL. Ali propisuje susednu obavezu: da posetilac na sajtu lako pronađe ko stoji iza sajta i kako da vas kontaktira.
Tumačenje (naše, ne izričita odredba): za usklađen sajt praktično su vam potrebna oba, politika privatnosti (po ZZPL) i objavljeni podaci o pružaocu (po Zakonu o elektronskoj trgovini). Jedno ne zamenjuje drugo. Čest previd je da firma detaljno uredi politiku privatnosti, a zaboravi da uopšte navede svoje osnovne podatke, ili obrnuto.
Najčešće greške koje vidimo u praksi
Sledeće je naše praktično zapažanje, ne odredba Zakona:
- Generička, prevedena politika sa stranog sajta koja ne odgovara stvarnoj obradi na vašem sajtu i ne poziva se na ZZPL.
- Nedostatak pravnog osnova za pojedinačne svrhe obrade.
- Nepostojeći ili nejasan rok čuvanja podataka.
- Nepotpuna lista prava lica ili izostavljen Poverenik kao adresa za pritužbu.
- Pristanak koji nije izdvojen i nije jednostavno opoziv.
- Nema osnovnih podataka o pružaocu – sajt ima politiku privatnosti, ali nigde jasno ne navodi naziv, sedište, kontakt i podatke o registraciji, kako traži član 6 Zakona o elektronskoj trgovini.
Svaka od ovih tačaka je mesto na kom dokument prestaje da bude usklađen sa Zakonom.
Zaključak
Politika privatnosti nije formalnost koja se „skine i zalepi“. To je dokument kojim ispunjavate konkretnu zakonsku obavezu informisanja iz ZZPL i mora da odražava kako vaš sajt zaista obrađuje podatke: koje, zbog čega, na kom osnovu, koliko dugo i sa kojim pravima za korisnika.
Treba vam politika privatnosti koja je zaista usklađena sa ZZPL a ne šablon? U Digitalno Legalno izrađujemo politike privatnosti prilagođene konkretnoj obradi na vašem sajtu, sa svim obaveznim elementima koje Zakon traži. Zakažite konsultaciju ili zatražite izradu politike privatnosti.