Pravilnik o načinu prethodne provere radnji obrade podataka o ličnosti

Član 1 SADRŽINA PRAVILNIKA

Ovim pravilnikom se bliže uređuje način na koji Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti (u daljem tekstu: Poverenik) vrši prethodnu proveru radnji obrade podataka o ličnosti koje rukovalac podataka namerava da preduzme, u skladu sa Zakonom o zaštiti podataka o ličnosti (u daljem tekstu: Zakon).

Član 2 Pokretanje postupka

Postupak prethodne provere Poverenik pokreće po službenoj dužnosti, a na osnovu obaveštenja rukovaoca podataka da namerava da započne obradu podataka o ličnosti, odnosno da uspostavi zbirku podataka.

Član 3

Obaveštenje o nameri obrade podataka sa podacima iz člana 48. Zakona, rukovalac podataka dostavlja Povereniku najkasnije 15 dana pre započinjanja obrade, na obrascu pod nazivom: „Prijava obrade podataka”, koji je odštampan uz ovaj pravilnik i čini njegov sastavni deo.

Član 4 Tok postupka

(1) Po prijemu obaveštenja, Poverenik će najpre, na osnovu dostavljenih podataka, oceniti da li bi nameravana obrada podataka u značajnoj meri mogla dovesti do povrede prava lica na koja se podaci odnose.

(2) Ocenu iz stava 1. ovog člana, Poverenik donosi u zavisnosti od toga da li se nameravana obrada podataka vrši u skladu sa Zakonom i da li je rukovalac podataka preduzeo propisane mere obezbeđenja i zaštite podataka.

Član 5

(1) U slučaju kada na osnovu dostavljenih podataka Poverenik oceni da ne postoji opasnost da će se obradom podataka u značajnoj meri povrediti prava lica na koja se podaci odnose, on će o tome blagovremeno obavestiti rukovaoca podataka.

(2) U slučaju da nameravana obrada podataka u značajnoj meri može da dovede do povrede prava lica na koja se podaci odnose, Poverenik će izvršiti proveru radnji obrade na licu mesta, kod rukovaoca podataka, odnosno obrađivača.

Član 6 Radnje provere

(1) Prethodnu proveru radnji obrade podataka Poverenik vrši preko ovlašćenih lica, na osnovu uvida u opšte akte rukovaoca, prostorije i opremu kojom se obrada podataka namerava vršiti kao i na osnovu odgovarajuće dokumentacije rukovaoca, odnosno obrađivača podataka.

(2) Proverom na licu mesta utvrđuje se:

1. 1) da li je obrada podataka zasnovana na zakonu i da li se vrši u skladu sa Zakonom i
2. 2) da li je rukovalac podataka, odnosno obrađivač, preduzeo sve potrebne mere radi obezbeđenja i zaštite podataka.

Član 7 Provera zakonitosti obrade

Prethodna provera zakonitosti obrade podataka, u smislu člana 6. stav 1. tačka 1) ovog pravilnika, podrazumeva proveru:

1. 1) zakonskog osnova po kome se obrada vrši,
2. 2) svrhe nameravane obrade,
3. 3) vrste podataka o ličnosti koji će se obrađivati,
4. 4) izvora podataka, od koga su prikupljeni,
5. 5) vrste radnji obrade,
6. 6) naziva i vrste zbirki u kojima se podaci nalaze,
7. 7) korišćenja podataka: ko će biti korisnici podataka, kojih podataka, u koje svrhe i po kom pravnom osnovu,
8. 8) prenosa podataka: kome će se podaci prenositi, koji podaci, u koje svrhe i po kom pravnom osnovu,
9. 9) dužine trajanja obrade podataka, odnosno vremena za koje će podaci biti arhivirani uz prethodnu anonimizaciju, odnosno uništeni.

Član 8 Provera primene mera obezbeđenja i zaštite podataka

Prethodnom proverom primene mera obezbeđenja i zaštite podataka, u smislu člana 6. stav 1. tačka 2) ovog pravilnika, utvrđuje se da li su rukovalac i obrađivač podataka preduzeli odgovarajuće organizacione, kadrovske i tehničke mere radi zaštite podataka od mogućih zloupotreba, uništenja, gubitka, nedopuštenog pristupa, neovlašćenih promena, objavljivanja i svake druge zloupotrebe podataka, kao i mere u pogledu utvrđivanja obaveza čuvanja tajnosti podataka od strane lica koja su zaposlena na obradi.

Član 9

(1) Provera mera obezbeđenja i zaštite podataka odnosi se na proveru primene važećih normi, standarda i tehničkih uputstava u pogledu:

(2) – priključenja i smeštaja računara sa bazama podataka i druge računarske opreme,

(3) – obezbeđenja uređaja za neprekidno napajanje električnom energijom,

(4) – zaštite modemskih priključaka (i brojeva) od neovlašćenog lokalnog i daljinskog pristupa,

(5) – obezbeđenja računarskih programa i opreme za sigurnosno prijavljivanje i evidentiranje pristupa za rad na računaru, za sprečavanje neovlašćenog iznosa i unosa podataka upotrebom prenosnih informatičkih medija, komunikacionih priključaka i priključaka za ispis podataka, za zaštitu od računarskih virusa i drugih štetnih programa, kao i obezbeđenja opreme kriptološkog osiguranja posebnih kategorija ličnih podataka na prenosnim informatičkim medijima za čuvanje i u toku prenosa tih podataka informatičkim i telekomunikacionim sredstvima,

(6) – primene mera obaveznog obaveštavanja rukovaoca podataka od strane obrađivača podataka, administratora mrežnog sistema, administratora zbirke podataka o svakom pokušaju neovlašćenog pristupa podacima,

(7) – obezbeđenja prostorija u kojima je smeštena računarska i telekomunikaciona oprema, u pogledu kontrole ulaza, odnosno zabrane pristupa neovlašćenim licima,

(8) – primene mera zaštite od: požara, električnog i magnetnog polja, jonizućeg zračenja i elektriciteta, vlage, hladnoće i toplote, opasnih materija eksplozivnih i lako zapaljujućih sredstava, prašine, potresa i drugih elementarnih nepogoda, u pogledu prostorija, uređaja i opreme,

(9) – obezbeđenja pristupa zbirkama podataka, upotrebe korisničkih imena, i odgovarajućih propusnica,

(10) – obezbeđenja dnevnog, nedeljnog, mesečnog i godišnjeg pohranjivanja podataka na druge prenosive informatičke medije (sigurnosne kopije zbirki) uz primenu mera sigurnosti i tajnosti podataka, za slučaj uništenja aktivnih baza podataka, i obezbeđenja evidencije tih prenosivih medija, kao i zanavljanje zapisa na kopijama usled proteka roka.

Član 10 Naročito osetljivi podaci

U pogledu naročito osetljivih podataka, proverom će se utvrditi da li su preduzete i posebne mere zaštite podataka koje je Vlada, u skladu sa Zakonom, propisala za ovu vrstu podataka.

Član 11 Mere Poverenika

(1) U slučaju da ovlašćeno lice utvrdi da ne postoji pravni osnov za obradu podataka ili da zakonom nisu uređena najvažnija pitanja za njihovu obradu, kao što su: svrha obrade, vrsta podataka koji se obrađuju, korisnici podataka i dužina trajanja obrade, Poverenik će doneti rešenje kojim će privremeno zabraniti takvu obradu podataka dok se ne otklone razlozi koji su prouzrokovali zabranu.

(2) Poverenik će privremeno zabraniti obradu podataka i u slučaju da nisu primenjene odgovarajuće organizacione, kadrovske i tehničke mere radi zaštite podataka od mogućih zloupotreba, uništenja, gubitka, nedopuštenog pristupa, neovlašćenih promena, objavljivanja i svake druge zloupotrebe podataka, kao i mere u pogledu utvrđivanja obaveza čuvanja tajnosti podataka od strane lica koja su zaposlena na obradi, sve dok rukovalac zbirke podataka ne dostavi dokaz da je preduzeo odgovarajuće mere obezbeđenja i zaštite podataka.

(3) U slučaju da se u vezi sa obradom podataka utvrdi da postoje manji propusti koji neće bitno ugroziti njihovu bezbednost, Poverenik će naložiti preduzimanje odgovarajućih mera uz ostavljanje primerenog roka da se nedostaci otklone.

(4) U slučaju da rukovalac podataka ne otkloni utvrđene nedostatke u ostavljenom roku, Poverenik će zabraniti obradu podataka.

Član 12 Upis u Centralni registar

Obaveštenje rukovaoca podataka iz člana 3. ovog pravilnika, Poverenik upisuje u Centralni registar.

Član 13 Stupanje na snagu Pravilnika

(1) Ovaj pravilnik stupa na snagu osmog dana od dana objavljivanja u „Službenom glasniku Republike Srbije”.

(2) Broj 110-00-6/2009-01

(3) U Beogradu, 14. aprila 2009. godine

(4) Poverenik,

(5) Rodoljub Šabić, s.r.