Ako vaša firma ima zaposlene, klijente ili sajt — a praktično svaka ima — u igri je i obrada podataka o ličnosti. Baš tu oblast Srbija sprema da iznova uredi: posle skoro sedam godina primene sadašnjeg zakona, Ministarstvo pravde je pripremilo nacrt novog Zakona o zaštiti podataka o ličnosti, znatno širi i striktniji od sadašnjeg. Nacrt je u javnoj raspravi do 10. septembra, pa još ima vremena da se tekst izmeni pre nego što stigne u Skupštinu.
Šta se uopšte menja
Novi zakon ima 175 članova, naspram 102 koliko ih ima važeći iz 2018. godine. Radna grupa je pokušala da sistematizuje sva pravila, ispravi slabosti sadašnjeg zakona i približi Srbiju evropskim standardima zaštite podataka. Za firme je ključna razlika u tome što nacrt uvodi konkretnije standarde umesto neodređenih obaveza — usklađenost više neće moći da bude samo formalna dokumentacija, nego merljiva procedura.
Zakonodavac je očigledno imao u vidu i stvarnost u kojoj firme već godinama rade: državne e-platforme poput ePoreza i eFaktura, ali i alati veštačke inteligencije koje kompanije koriste za selekciju kandidata, korisničku podršku i analitiku — često bez ikakve politike zaštite podataka. Novi okvir zato neće biti važan samo pravnicima, već i IT timovima, kadrovima i svakom vlasniku firme koji je uveo takav alat.
Kazne: minimalna raste četiri puta
Najuočljivija novina za džep firme su kazne. Minimalna novčana kazna za pravno lice po povredi zakona diže se sa 50.000 na 200.000 dinara, dok maksimalna ostaje 2.000.000 dinara. Za odgovorno lice u firmi kazne idu od 50.000 do 150.000 dinara, a za preduzetnike od 200.000 do 500.000 dinara.
Pored fiksne kazne, može se izreći i kazna srazmerna pričinjenoj šteti — najviše do dvadesetostrukog iznosa štete, ali ne preko 10.000.000 dinara. Radi poređenja: evropski GDPR predviđa kazne do 20 miliona evra ili 4 odsto godišnjeg prometa, pa je jasno da Srbija još ne ide do te granice, ali pravac je očigledan.
Kamere na radnom mestu dobijaju jasna pravila
Prvi put zakonom biće uređen video nadzor u poslovnom prostoru. Osnovno pravilo: kamere su dozvoljene samo da zaštite ljude, imovinu ili tajne podatke — i to dokle god interes zaposlenog ne preteže. Poslodavac neće smeti da koristi kamere za praćenje rada zaposlenih, osim u izuzetnim slučajevima pretežnijeg interesa.
Zabranjen je nadzor u svlačionicama, prostorijama za odmor i ličnu higijenu. Svaki prostor pod nadzorom mora biti vidno obeležen, sa nazivom rukovaoca i kontaktom. Poslodavac koji opravdava kamere mora da donese pisanu odluku da su manje invazivne mere razmatrane i nedovoljne — i da o tome obavesti sindikat, ako postoji.
Veštačka inteligencija pod nadzorom
Nacrt po prvi put uređuje i obradu podataka pomoću veštačke inteligencije. Razlikuju se visokorizični sistemi, koji povlače obaveznu procenu uticaja i mišljenje Poverenika za informacije od javnog značaja, od sistema nižeg rizika. Ako sistem sam donosi odluke koje štete pojedincu ili značajno menjaju njegov položaj — potpuno autonomna obrada neće biti dozvoljena, mora postojati čovek u petlji.
Za firme koje već koriste alate veštačke inteligencije za zapošljavanje ili podršku klijentima, poruka je jednostavna: sve više neće ići bez jasnih pravila. Pojedincu pripada pravo na pristup podacima i prigovor, o kojem se rukovalac mora oglasiti u roku od 60 dana.
Pristanak, rokovi i pravo na zaborav
Svi obrasci pristanka i obaveštenja o privatnosti na sajtovima i u aplikacijama biće potrebno revidirati: nacrt jasnije definiše šta je pristanak, a njegov opoziv dejstvuje od trenutka prijema — rukovalac mora odmah da obustavi obradu. Uvedeni su i jasni rokovi za zahteve građana: rukovalac mora da postupi u roku od 30 dana, uz 15 dana za otklanjanje nedostataka zahteva.
Pravo na zaborav dobija zube: ko mora da obriše podatke, mora obavestiti i sve druge rukovaoce kojima je te podatke prosledio, da i oni obrišu. Za firme koje dele podatke sa mnogo partnera i podizvođača, ovo je logistički ozbiljna obaveza.
Šta firme treba da urade već sada
- Pregledajte obrasce pristanka i obaveštenja o privatnosti na sajtu i u aplikacijama
- Ako imate kamere: proverite vidna obaveštenja, dokumentovanu odluku o opravdanosti nadzora i obavešten sindikat
- Sastavite spisak alata veštačke inteligencije koje firma koristi i za koje namene
- Mapirajte s kim delite podatke klijenata i zaposlenih — olakšaće brisanje po zahtevu
- Uvedite interni rok od 30 dana za odgovor na zahteve građana o njihovim podacima
Nacrt je u javnoj raspravi do 10. septembra i još može biti menjan. Ali smer je jasan: zaštita podataka postaje poslovni standard, a ne papirna formalnost. Firme koje počnu na vreme će ovu obavezu pretvoriti u prednost — poverenje klijenata se, na kraju krajeva, teško stiče, a lako gubi.
Izvori: Ministarstvo pravde Republike Srbije; Forbes Srbija
Foto: Richard Nowell
Izvor slike: commons.wikimedia.org
