Zaštita podataka o ličnosti

Svaka firma koja vodi evidenciju zaposlenih, kupaca ili korisnika aplikacije obrađuje podatke o ličnosti i ima obaveze prema Zakonu o zaštiti podataka o ličnosti. Privrednim društvima iz Niša, Beograda i ostatka Srbije pripremamo politike privatnosti, interne akte i ugovore o obradi, kako bi poslovanje bilo usklađeno i spremno za nadzor Poverenika.

Zakažite konsultacije

Šta je zaštita podataka o ličnosti?

Zaštita podataka o ličnosti je grana prava koja uređuje uslove pod kojima se podaci koji se odnose na identifikovano ili odredivo fizičko lice mogu prikupljati, čuvati, koristiti i prenositi. U Srbiji je ova materija uređena Zakonom o zaštiti podataka o ličnosti, koji je u velikoj meri usklađen sa Opštom uredbom Evropske unije o zaštiti podataka, poznatom kao GDPR. Nadzor nad primenom zakona vrši Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti.

Zakon razlikuje rukovaoca, lice koje određuje svrhu i način obrade podataka, od obrađivača, lica koje podatke obrađuje u ime rukovaoca. Za SaaS kompanije ova razlika je često suštinska za samu poslovnu strukturu, jer platforma po pravilu istovremeno ima ulogu rukovaoca u odnosu na podatke sopstvenih zaposlenih i marketinške baze, i ulogu obrađivača u odnosu na podatke koje njeni korisnici unose i obrađuju kroz platformu. Ova dvostruka uloga direktno određuje koje ugovore je platforma dužna da ima, i sa korisnicima i sa svojim podizvođačima poput provajdera internet infrastrukture. Zakon o zaštiti podataka o ličnosti ima i eksteritorijalnu primenu, što znači da važi i za rukovaoce i obrađivače van Srbije, pod određenim uslovima, ako obrađuju podatke lica koja se nalaze na teritoriji Srbije. Istovremeno, srpske SaaS kompanije koje nude usluge korisnicima u Evropskoj uniji ili prate njihovo ponašanje mogu direktno potpasti pod GDPR, bez obzira na to što nemaju sedište u Uniji. Zbog ovog preklapanja, SaaS kompanije retko mogu da sebi obezbede potpuno pravnu sigurnost, kroz usklađivanje samo sa jednim od ova dva propisa.

usluge

Usluge koje pružamo u oblasti zaštite podataka o ličnosti

Ugovori o obradi podataka za korisnike SaaS platforme

Sastavljamo ugovore o obradi podataka, poznate i pod skraćenicom DPA, koje SaaS platforma zaključuje sa svojim korisnicima kada u njihovo ime obrađuje lične podatke. Ugovor sadrži sve elemente propisane članom 45. Zakona o zaštiti podataka o ličnosti, uključujući predmet i trajanje obrade, vrstu i svrhu obrade, kategorije podataka i lica na koja se podaci odnose, obaveze i prava rukovaoca, kao i obavezu obrađivača da podatke obrađuje isključivo po dokumentovanim uputstvima rukovaoca. Poseban deo ugovora posvećujemo pitanju podobrađivača, jer angažovanje podizvođača, poput provajdera infrastrukture ili usluga slanja mejlova, zahteva prethodno opšte ili posebno pisano odobrenje rukovaoca.

Usklađivanje uslova korišćenja i politike privatnosti

Pripremamo i usklađujemo uslove korišćenja i politiku privatnosti SaaS platforme sa Zakonom o zaštiti podataka o ličnosti, a po potrebi i sa GDPR, kada platforma ima ili planira korisnike iz Evropske unije. Ovi dokumenti moraju jasno da opišu koji se podaci prikupljaju, po kom pravnom osnovu, u koje svrhe se koriste i koliko dugo se čuvaju, tako da korisnik može stvarno da razume na šta pristaje, a platforma da dokaže usklađenost u slučaju kontrole.

Procena uticaja na zaštitu podataka

Za SaaS proizvode koji uvode novu tehnologiju, obrađuju podatke u velikom obimu ili prate ponašanje korisnika, pripremamo procenu uticaja na zaštitu podataka, koja identifikuje rizike po prava lica na koja se podaci odnose i predlaže mere za njihovo smanjenje pre nego što obrada uopšte počne.

Postupanje u slučaju povrede podataka

Kada dođe do neovlašćenog pristupa podacima, curenja ili gubitka podataka, pomažemo klijentu da proceni ozbiljnost povrede i, ukoliko postoji verovatnoća rizika po prava fizičkih lica, pripremamo prijavu Povereniku u zakonskom roku od 72 časa od saznanja za povredu. Kada povreda predstavlja visok rizik po prava lica na koja se podaci odnose, savetujemo klijenta i o obavezi obaveštavanja samih tih lica.

Imenovanje i podrška licu za zaštitu podataka o ličnosti

Za klijente kod kojih je imenovanje lica za zaštitu podataka obavezno, zbog obima obrade ili vrste podataka koje platforma obrađuje, pomažemo u definisanju uloge i nadležnosti tog lica, kao i u svakodnevnim pitanjima koja se pred njim pojavljuju, ukoliko klijent nema sopstveni tim dovoljno upoznat sa materijom.

Zastupanje pred Poverenikom za informacije od javnog značaja i zaštitu podataka o ličnosti

Zastupamo klijente u postupcima nadzora i kontrole koje pokreće Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti, kao i u prekršajnim postupcima, sa ciljem da se odgovornost klijenta svede na najmanju meru koju okolnosti svakog konkretnog slučaja dozvoljavaju.

zašto mi?

Zašto advokatska kanclarija Petrović

Zato što poseban fokus stavljamo na SaaS kompanije i Start up kompanije. Ako spadate u ovu grupu, ova materija za vas ne sme biti uzgredno pravno pitanje, već deo samog proizvoda i uslov za saradnju sa ozbiljnijim klijentima i partnerima. Naš cilj je da ugovori i politike vaše platforme budu i pravno usklađeni i praktično razumljivi vašim korisnicima.

najčešća pitanja

Pitanja koja nam klijenti najčešče postavljaju

Da li mi je potreban DPA ugovor ako imam SaaS platformu?

Da, ukoliko vaša platforma u ime korisnika obrađuje lične podatke, na primer podatke njihovih zaposlenih, klijenata ili pretplatnika, po zakonu ste u ulozi obrađivača i dužni ste da sa svakim takvim korisnikom, koji je u toj obradi rukovalac, imate zaključen ugovor o obradi podataka sa sadržinom propisanom članom 45. Zakona o zaštiti podataka o ličnosti.

Zakon o zaštiti podataka o ličnosti je srpski propis i u velikoj meri je usklađen sa GDPR-om po sadržini, ali se formalno primenjuje na obradu podataka u Srbiji, dok se GDPR primenjuje na obradu podataka lica u Evropskoj uniji, bez obzira na to gde rukovalac ili obrađivač imaju sedište. Srpska SaaS platforma koja ima korisnike iz Evropske unije ili prati njihovo ponašanje može istovremeno potpadati pod okvir oba propisa, i tada je potrebno uskladiti se i sa jednim i sa drugim.

Zavisi od toga gde se nalazi cloud provajder. Ukoliko je reč o zemlji ili organizaciji za koju ne postoji odluka o adekvatnosti, potrebno je primeniti dodatni mehanizam zaštite, najčešće standardne ugovorne klauzule, kako bi prenos bio zakonit. Pre izbora bilo kog cloud provajdera, savetujemo da se prethodno proveri koji mehanizam prenosa taj provajder nudi svojim korisnicima.

Nepoštovanje roka od 72 časa za prijavu povrede podataka Povereniku, kada je prijava zakonom obavezna, predstavlja prekršaj za koji je za pravna lica propisana novčana kazna u rasponu od 50.000 do 2.000.000 dinara. Osim novčane kazne, zakasnela ili izostala prijava dodatno otežava odbranu u slučaju da povreda naknadno bude otkrivena na drugi način.

Ne mora svaki rukovalac ili obrađivač da ima lice zaduženo za zaštitu podataka o ličnosti. Postojanje ove obaveze zavisi od prirode i obima obrade podataka koju vršite. Na primer kada je osnovna delatnost sistematsko i redovno praćenje lica na koja se podaci odnose u velikom obimu, ova obaveza svakako postoji. Za mnoge manje SaaS platforme ova obaveza ne postoji formalno, ali angažovanje spoljnog savetnika za ova pitanja ostaje korisno i preporučljivo.

kontakt

Kontaktirajte nas

Ostavite nam svoje podatke i ukratko opišite vašu situaciju i javićemo vam se u najkraćem roku.

Kontakt