Закон о защите персональных данных

Radi zaštite ljudskih prava i sloboda, a naročito prava na zaštitu podataka o ličnosti (u daljem tekstu: lični podaci), ovim zakonom utvrđuju se pravila koja se odnose na zaštitu fizičkih lica u vezi sa obradom ličnih podataka i pravila koja se odnose na slobodan protok ličnih podataka.

Ovaj zakon primjenjuje se na obradu ličnih podataka koja se u cjelini ili djelimično vrši automatizovanim sredstvima, kao i na obradu ličnih podataka koja se ne vrši automatizovanim sredstvima, ako su lični podaci dio sistema evidencije ili su namijenjeni da budu dio sistema evidencije.

Ovaj zakon ne primjenjuje se na obradu ličnih podataka koju: 1) vrši fizičko lice u okviru isključivo lične aktivnosti ili aktivnosti u domaćinstvu; 2) vrše nadležni organi u svrhu sprečavanja, istrage, otkrivanja ili gonjenja krivičnih djela ili izvršenja krivičnih sankcija, uključujući zaštitu od prijetnji javnoj bezbjednosti i njihovo sprečavanje.

Ovaj zakon primjenjuje se na obradu ličnih podataka u okviru aktivnosti poslovnog sjedišta rukovaoca ili obrađivača u Crnoj Gori, bez obzira na to da li se obrada vrši u Crnoj Gori ili van nje.

Ovaj zakon primjenjuje se na obradu ličnih podataka lica čiji se podaci obrađuju koja se nalaze u Crnoj Gori, od strane rukovaoca ili obrađivača koji nema poslovno sjedište u Crnoj Gori, kada su aktivnosti obrade povezane sa: 1) ponudom robe ili usluga tim licima u Crnoj Gori, bez obzira na to da li se od lica čiji se podaci obrađuju zahtijeva plaćanje; ili 2) praćenjem njihovog ponašanja, u mjeri u kojoj se to ponašanje odvija na teritoriji Crne Gore.

Ovaj zakon primjenjuje se na obradu ličnih podataka koju vrši rukovalac koji nema poslovno sjedište u Crnoj Gori, ali na mjestu na kojem se pravo Crne Gore primjenjuje na osnovu međunarodnog javnog prava.

Izrazi koji se u ovom zakonu koriste za fizička lica u muškom rodu podrazumijevaju iste izraze u ženskom rodu.

Izrazi upotrijebljeni u ovom zakonu imaju sljedeća značenja: 1) lični podaci su svi podaci koji se odnose na fizičko lice čiji je identitet utvrđen ili se može utvrditi („lice čiji se podaci obrađuju”), a fizičko lice čiji se identitet može utvrditi je lice koje se može identifikovati neposredno ili posredno, naročito na osnovu identifikatora kao što su ime, identifikacioni broj, podaci o lokaciji, mrežni identifikator ili jednog ili više obilježja koja su svojstvena njegovom fizičkom, fiziološkom, genetskom, mentalnom, ekonomskom, kulturnom ili društvenom identitetu; 2) obrada je svaka radnja ili skup radnji koje se vrše nad ličnim podacima ili skupovima ličnih podataka, bilo automatizovanim ili neautomatizovanim sredstvima, kao što su prikupljanje, evidentiranje, organizovanje, strukturiranje, čuvanje, prilagođavanje ili izmjena, pronalaženje, uvid, korišćenje, otkrivanje prenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombinovanje, ograničavanje, brisanje ili uništavanje; 3) ograničavanje obrade je označavanje sačuvanih ličnih podataka radi ograničavanja njihove obrade u budućnosti; 4) profilisanje je svaki oblik automatizovane obrade ličnih podataka koji se sastoji od korišćenja ličnih podataka radi ocjene određenih ličnih aspekata fizičkog lica, a naročito radi analize ili predviđanja aspekata koji se odnose na radni učinak tog fizičkog lica, njegovu ekonomsku situaciju, zdravstveno stanje, lične sklonosti, interesovanja, pouzdanost, ponašanje, lokaciju ili kretanje; 5) pseudonimizacija je obrada ličnih podataka na način da se lični podaci više ne mogu pripisati određenom licu čiji se podaci obrađuju bez korišćenja dodatnih informacija, pod uslovom da se te dodatne informacije čuvaju odvojeno i da podliježu tehničkim i organizacionim mjerama kojima se obezbjeđuje da se lični podaci ne mogu pripisati fizičkom licu čiji je identitet utvrđen ili se može utvrditi; 6) sistem evidencije je svaki strukturirani skup ličnih podataka koji je dostupan prema posebnim kriterijumima, bez obzira na to da li je centralizovan, decentralizovan ili raspoređen na funkcionalnoj ili geografskoj osnovi; 7) rukovalac je fizičko ili pravno lice, državni organ, organ državne uprave, organ lokalne samouprave, agencija ili drugo tijelo koje samostalno ili zajedno sa drugima određuje svrhe i sredstva obrade ličnih podataka; kada su svrhe i sredstva takve obrade utvrđeni zakonom, rukovalac ili posebni kriterijumi za njegovo određivanje mogu biti propisani tim zakonom; 8) obrađivač je fizičko ili pravno lice, državni organ, organ državne uprave, organ lokalne samouprave, agencija ili drugo tijelo koje obrađuje lične podatke u ime rukovaoca; 9) primalac je fizičko ili pravno lice, državni organ, organ državne uprave, organ lokalne samouprave, agencija ili drugo tijelo kojem se otkrivaju lični podaci, bez obzira na to da li je riječ o trećoj strani. Međutim, državni organi i drugi organi javne vlasti koji mogu primiti lične podatke u okviru određene istrage u skladu sa zakonom ne smatraju se primaocima; obrada tih podataka od strane tih organa mora biti u skladu sa pravilima o zaštiti ličnih podataka koja se primjenjuju u skladu sa svrhom obrade; 10) treća strana je fizičko ili pravno lice, državni organ, organ državne uprave, organ lokalne samouprave, agencija ili drugo tijelo, osim lica čiji se podaci obrađuju, rukovaoca, obrađivača i lica koja su pod neposrednim ovlašćenjem rukovaoca ili obrađivača ovlašćena za obradu ličnih podataka; 11) pristanak lica čiji se podaci obrađuju je svako dobrovoljno, konkretno, informisano i nedvosmisleno izražavanje volje tog lica kojim ono izjavom ili jasnom potvrdnom radnjom daje saglasnost za obradu ličnih podataka koji se na njega odnose; 12) povreda ličnih podataka je povreda bezbjednosti koja dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlašćenog otkrivanja ili pristupa ličnim podacima koji su preneseni, sačuvani ili na drugi način obrađivani; 13) genetski podaci su lični podaci koji se odnose na naslijeđena ili stečena genetska obilježja fizičkog lica koja pružaju jedinstvene informacije o fiziologiji ili zdravstvenom stanju tog fizičkog lica i koji su dobijeni naročito analizom biološkog uzorka tog fizičkog lica; 14) biometrijski podaci su lični podaci dobijeni posebnom tehničkom obradom koji se odnose na fizička, fiziološka ili bihevioralna obilježja fizičkog lica, a koji omogućavaju ili potvrđuju jedinstvenu identifikaciju tog fizičkog lica, kao što su prikazi lica ili daktiloskopski podaci; 15) podaci o zdravlju su lični podaci koji se odnose na fizičko ili mentalno zdravlje fizičkog lica, uključujući pružanje zdravstvenih usluga, a koji otkrivaju informacije o njegovom zdravstvenom stanju; 16) predstavnik je fizičko ili pravno lice sa poslovnim sjedištem u Crnoj Gori koje, na osnovu pisanog ovlašćenja rukovaoca ili obrađivača u skladu sa članom 28 ovog zakona, predstavlja rukovaoca ili obrađivača u pogledu njihovih obaveza iz ovog zakona; 17) privredni subjekt je fizičko ili pravno lice koje obavlja privrednu djelatnost, bez obzira na njegov pravni oblik, uključujući partnerstva ili udruženja koja redovno obavljaju privrednu djelatnost; 18) grupa privrednih društava je matično privredno društvo i njegova zavisna privredna društva; 19) obavezujuća korporativna pravila su pravila o zaštiti ličnih podataka kojih se pridržava rukovalac ili obrađivač sa poslovnim sjedištem u Crnoj Gori u vezi sa prenosom ili skupom prenosa ličnih podataka rukovaocu ili obrađivaču u jednoj ili više trećih država u okviru grupe privrednih društava ili grupe privrednih subjekata koji obavljaju zajedničku privrednu djelatnost; 20) nadzorni organ je nezavisni organ javne vlasti koji je osnovala Crna Gora u skladu sa članom 52 ovog zakona; 21) usluga informacionog društva je usluga koja se pruža na daljinu, elektronskim putem i na pojedinačni zahtjev primaoca usluge, u skladu sa propisima kojima se uređuju usluge informacionog društva. 22) međunarodna organizacija je organizacija i njena podređena tijela uređena međunarodnim javnim pravom ili bilo koje drugo tijelo koje je osnovano na osnovu sporazuma između dvije ili više država ili u skladu sa takvim sporazumom.

Lični podaci moraju biti: 1) obrađivani zakonito, pravično i transparentno u odnosu na lice čiji se podaci obrađuju („zakonitost, pravičnost i transparentnost“); 2) prikupljeni u određene, izričite i legitimne svrhe i ne smiju se dalje obrađivati na način koji nije u skladu sa tim svrhama; dalja obrada u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe, u skladu sa članom 95 ovog zakona, ne smatra se obradom koja nije u skladu sa prvobitnim svrhama („ograničenje svrhe“); 3) primjereni, relevantni i ograničeni na ono što je neophodno u odnosu na svrhe u koje se obrađuju („smanjenje obima podataka“); 4) tačni i, kada je to potrebno, ažurirani; moraju se preduzeti sve razumne mjere kako bi se obezbijedilo da se lični podaci koji nijesu tačni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave („tačnost“); 5) čuvani u obliku koji omogućava identifikaciju lica čiji se podaci obrađuju ne duže nego što je neophodno za svrhe u koje se lični podaci obrađuju; lični podaci mogu se čuvati duži period ukoliko se obrađuju isključivo u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe, u skladu sa članom 95 ovog zakona, uz primjenu odgovarajućih tehničkih i organizacionih mjera propisanih ovim zakonom radi zaštite prava i sloboda lica čiji se podaci obrađuju („ograničenje čuvanja”); 6) obrađivani na način kojim se obezbjeđuje odgovarajuća bezbjednost ličnih podataka, uključujući zaštitu od neovlašćene ili nezakonite obrade i od slučajnog gubitka, uništenja ili oštećenja, primjenom odgovarajućih tehničkih ili organizacionih mjera („integritet i povjerljivost”).

Rukovalac je odgovoran za usklađenost sa stavom 1 ovog člana i mora biti u mogućnosti da dokaže tu usklađenost („odgovornost”).

Obrada je zakonita samo ako je ispunjen najmanje jedan od sljedećih uslova: 1) lice čiji se podaci obrađuju dalo je saglasnost za obradu svojih ličnih podataka u jednu ili više određenih svrha; 2) obrada je neophodna za izvršenje ugovora u kojem je lice čiji se podaci obrađuju ugovorna strana ili radi preduzimanja radnji na zahtjev tog lica prije zaključenja ugovora; 3) obrada je neophodna radi ispunjenja zakonske obaveze koja se primjenjuje na rukovaoca; 4) obrada je neophodna radi zaštite životno važnih interesa lica čiji se podaci obrađuju ili drugog fizičkog lica; 5) obrada je neophodna za izvršavanje zadatka od javnog interesa ili u okviru vršenja službenih ovlašćenja povjerenih rukovaocu; 6) obrada je neophodna radi ostvarivanja legitimnih interesa rukovaoca ili treće strane, osim kada su od tih interesa jači interesi ili osnovna prava i slobode lica čiji se podaci obrađuju koji zahtijevaju zaštitu ličnih podataka, naročito kada je lice čiji se podaci obrađuju dijete.

Stav 1 tačka 6 ovog člana ne primjenjuje se na obradu koju vrše organi javne vlasti u okviru izvršavanja svojih zadataka.

Svrha obrade određuje se tim pravnim osnovom ili, kada je riječ o obradi iz stava 1 tačka 5 ovog člana, mora biti neophodna za izvršavanje zadatka od javnog interesa ili u okviru vršenja službenih ovlašćenja povjerenih rukovaocu. Tim pravnim osnovom mogu se utvrditi posebne odredbe kojima se prilagođava primjena pravila ovog zakona, naročito: opšti uslovi koji uređuju zakonitost obrade od strane rukovaoca; vrste podataka koji su predmet obrade; lica čiji se podaci obrađuju; subjekti kojima se lični podaci mogu otkriti i svrhe u koje se mogu otkriti; ograničenje svrhe; rokovi čuvanja; kao i radnje obrade i postupci obrade, uključujući mjere kojima se obezbjeđuje zakonita i pravična obrada, kao što su mjere za druge posebne situacije obrade predviđene Poglavljem IX ovog zakona.

Pravni osnov mora odgovarati cilju od javnog interesa i biti srazmjeran legitimnom cilju koji se nastoji ostvariti.

Kada se obrada u svrhu koja se razlikuje od svrhe za koju su lični podaci prikupljeni ne zasniva na saglasnosti lica čiji se podaci obrađuju ili na zakonu koji predstavlja neophodnu i srazmjernu mjeru u demokratskom društvu radi zaštite ciljeva iz člana 24 stav 1 ovog zakona, rukovalac, radi utvrđivanja da li je obrada u drugu svrhu u skladu sa svrhom za koju su lični podaci prvobitno prikupljeni, uzima u obzir naročito: 1) svaku vezu između svrha u koje su lični podaci prikupljeni i svrha namjeravane dalje obrade; 2) okolnosti u kojima su lični podaci prikupljeni, naročito odnos između lica čiji se podaci obrađuju i rukovaoca; 3) prirodu ličnih podataka, naročito da li se obrađuju posebne kategorije ličnih podataka u skladu sa članom 10 ovog zakona ili se obrađuju lični podaci koji se odnose na krivične osude i krivična djela u skladu sa članom 11 ovog zakona; 4) moguće posljedice namjeravane dalje obrade za lica čiji se podaci obrađuju; 5) postojanje odgovarajućih zaštitnih mjera, koje mogu uključivati enkripciju ili pseudonimizaciju.

Kada se obrada zasniva na saglasnosti, rukovalac mora biti u mogućnosti da dokaže da je lice čiji se podaci obrađuju dalo saglasnost za obradu svojih ličnih podataka.

Ako je saglasnost lica čiji se podaci obrađuju data u okviru pisane izjave koja se odnosi i na druga pitanja, zahtjev za davanje saglasnosti mora biti predstavljen na način koji se jasno razlikuje od drugih pitanja, u razumljivom i lako dostupnom obliku, uz upotrebu jasnog i jednostavnog jezika. Svaki dio takve izjave koji predstavlja povredu ovog zakona nije obavezujući.

Lice čiji se podaci obrađuju ima pravo da u svakom trenutku povuče svoju saglasnost. Povlačenje saglasnosti ne utiče na zakonitost obrade zasnovane na saglasnosti prije njenog povlačenja. Prije davanja saglasnosti, lice čiji se podaci obrađuju mora biti obaviješteno o tom pravu. Povlačenje saglasnosti mora biti jednako jednostavno kao i njeno davanje.

Prilikom procjene da li je saglasnost slobodno data, naročito se uzima u obzir da li je, između ostalog, izvršenje ugovora, uključujući pružanje usluge, uslovljeno davanjem saglasnosti za obradu ličnih podataka koja nije neophodna za izvršenje tog ugovora.

Kada se primjenjuje član 7 stav 1 tačka 1 ovog zakona, u vezi sa neposrednim pružanjem usluga informacionog društva djetetu, obrada ličnih podataka djeteta zakonita je ako dijete ima najmanje 16 godina. Ako je dijete mlađe od 16 godina, takva obrada zakonita je samo ako je, i u mjeri u kojoj je, saglasnost dao ili odobrio nosilac roditeljskog prava nad djetetom, u skladu sa zakonom.

Rukovalac je dužan da uloži razumne napore da, u takvim slučajevima, provjeri da je saglasnost dao ili odobrio nosilac roditeljskog prava nad djetetom, uzimajući u obzir dostupnu tehnologiju.

Stav 1 ovog člana ne utiče na primjenu opštih pravila ugovornog prava, kao što su pravila o punovažnosti, zaključenju ili dejstvu ugovora u odnosu na dijete.

Zabranjena je obrada ličnih podataka kojima se otkriva rasno ili etničko porijeklo, političko mišljenje, vjerska ili filozofska uvjerenja ili članstvo u sindikatu, kao i obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije fizičkog lica, podataka o zdravlju ili podataka koji se odnose na seksualni život ili seksualnu orijentaciju fizičkog lica.

Stav 1 ovog člana ne primjenjuje se ako je ispunjen jedan od sljedećih uslova: 1) lice čiji se podaci obrađuju dalo je izričitu saglasnost za obradu tih ličnih podataka u jednu ili više određenih svrha, osim ako je zakonom propisano da se zabrana iz stava 1 ovog člana ne može ukinuti saglasnošću lica čiji se podaci obrađuju; 2) obrada je neophodna radi izvršavanja obaveza i ostvarivanja posebnih prava rukovaoca ili lica čiji se podaci obrađuju u oblasti radnog prava, prava socijalne sigurnosti i socijalne zaštite, kada je takva obrada dozvoljena zakonom ili kolektivnim ugovorom kojim se predviđaju odgovarajuće zaštitne mjere za osnovna prava i interese lica čiji se podaci obrađuju; 3) obrada je neophodna radi zaštite životno važnih interesa lica čiji se podaci obrađuju ili drugog fizičkog lica, kada lice čiji se podaci obrađuju fizički ili pravno nije sposobno da da saglasnost; 4) obrada se vrši, uz odgovarajuće zaštitne mjere, u okviru zakonitih aktivnosti fondacije, udruženja ili drugog neprofitnog tijela koje ima politički, filozofski, vjerski ili sindikalni cilj, pod uslovom da se obrada odnosi isključivo na članove, bivše članove tog tijela ili lica koja imaju redovan kontakt sa tim tijelom u vezi sa njegovim ciljevima i da se lični podaci ne otkrivaju izvan tog tijela bez saglasnosti lica čiji se podaci obrađuju; 5) obrada se odnosi na lične podatke koje je lice čiji se podaci obrađuju očigledno učinilo javnim; 6) obrada je neophodna radi uspostavljanja, ostvarivanja ili odbrane pravnih zahtjeva ili kada sudovi postupaju u okviru svoje sudske nadležnosti; 7) obrada je neophodna iz razloga od suštinskog javnog interesa, na osnovu zakona koji mora biti srazmjeran cilju koji se nastoji ostvariti, poštovati suštinu prava na zaštitu podataka i predvidjeti odgovarajuće i posebne mjere za zaštitu osnovnih prava i interesa lica čiji se podaci obrađuju; 8) obrada je neophodna u svrhe preventivne medicine ili medicine rada, za procjenu radne sposobnosti zaposlenog, medicinsku dijagnozu, pružanje zdravstvene ili socijalne zaštite ili liječenja ili upravljanje sistemima i uslugama zdravstvene ili socijalne zaštite, na osnovu zakona ili u skladu sa ugovorom sa zdravstvenim radnikom, uz primjenu uslova i zaštitnih mjera iz stava 3 ovog člana; 9) obrada je neophodna iz razloga javnog interesa u oblasti javnog zdravlja, kao što su zaštita od ozbiljnih prekograničnih prijetnji zdravlju ili obezbjeđivanje visokih standarda kvaliteta i bezbjednosti zdravstvene zaštite, ljekova ili medicinskih sredstava, na osnovu zakona kojim se predviđaju odgovarajuće i posebne mjere za zaštitu prava i sloboda lica čiji se podaci obrađuju, naročito obaveza čuvanja profesionalne tajne; 10) obrada je neophodna u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe, u skladu sa članom 95 stav 1 ovog zakona, na osnovu zakona koji mora biti srazmjeran cilju koji se nastoji ostvariti, poštovati suštinu prava na zaštitu podataka i predvidjeti odgovarajuće i posebne mjere za zaštitu osnovnih prava i interesa lica čiji se podaci obrađuju.

Lični podaci iz stava 1 ovog člana mogu se obrađivati u svrhe iz stava 2 tačka 8 ovog člana kada te podatke obrađuje ili za čiju je obradu odgovoran stručnjak koji je, u skladu sa zakonom ili pravilima koja su utvrdili nadležni organi, obavezan da čuva profesionalnu tajnu, ili drugo lice koje je takođe obavezno da čuva tajnost u skladu sa zakonom ili pravilima koja su utvrdili nadležni organi.

Obrada ličnih podataka koji se odnose na krivične osude i krivična djela ili povezane bezbjednosne mjere, na osnovu člana 7 stav 1 ovog zakona, vrši se samo pod nadzorom službenog organa ili kada je obrada dozvoljena zakonom kojim se predviđaju odgovarajuće zaštitne mjere za prava i slobode lica čiji se podaci obrađuju. Svaki sveobuhvatni registar krivičnih osuda vodi se isključivo pod nadzorom službenog organa.

Ako svrhe u koje rukovalac obrađuje lične podatke ne zahtijevaju ili više ne zahtijevaju identifikaciju lica čiji se podaci obrađuju od strane rukovaoca, rukovalac nije dužan da čuva, pribavlja ili obrađuje dodatne informacije radi identifikacije lica čiji se podaci obrađuju isključivo u svrhu usklađivanja sa ovim zakonom.

Kada, u slučajevima iz stava 1 ovog člana, rukovalac može dokazati da nije u mogućnosti da identifikuje lice čiji se podaci obrađuju, rukovalac će o tome obavijestiti lice čiji se podaci obrađuju, ako je to moguće. U takvim slučajevima čl. 16 do 21 ovog zakona ne primjenjuju se, osim kada lice čiji se podaci obrađuju, radi ostvarivanja svojih prava iz tih članova, dostavi dodatne informacije koje omogućavaju njegovu identifikaciju.

Rukovalac preduzima odgovarajuće mjere kako bi licu čiji se podaci obrađuju pružio sve informacije iz čl. 14 i 15 ovog zakona, kao i svaku komunikaciju u vezi sa obradom iz čl. 16 do 23 i člana 35 ovog zakona, u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz upotrebu jasnog i jednostavnog jezika, naročito kada su informacije posebno namijenjene djetetu. Informacije se pružaju u pisanom obliku ili drugim sredstvima, uključujući, kada je to odgovarajuće, elektronskim putem. Na zahtjev lica čiji se podaci obrađuju, informacije se mogu pružiti usmeno, pod uslovom da je identitet tog lica dokazan na drugi način.

Rukovalac olakšava ostvarivanje prava lica čiji se podaci obrađuju iz čl. 16 do 23 ovog zakona. U slučajevima iz člana 12 stav 2 ovog zakona, rukovalac ne smije odbiti postupanje po zahtjevu lica čiji se podaci obrađuju za ostvarivanje njegovih prava iz čl. 16 do 23 ovog zakona, osim ako rukovalac dokaže da nije u mogućnosti da identifikuje to lice.

Rukovalac bez nepotrebnog odlaganja, a najkasnije u roku od mjesec dana od dana prijema zahtjeva, pruža licu čiji se podaci obrađuju informacije o postupanju po zahtjevu iz čl. 16 do 23 ovog zakona. Taj rok može biti produžen za još najviše dva mjeseca kada je to potrebno, uzimajući u obzir složenost i broj zahtjeva. Rukovalac obavještava lice čiji se podaci obrađuju o svakom takvom produženju u roku od mjesec dana od dana prijema zahtjeva, zajedno sa razlozima za kašnjenje. Kada lice čiji se podaci obrađuju podnese zahtjev elektronskim putem, informacije se pružaju elektronskim putem kada je to moguće, osim ako lice čiji se podaci obrađuju ne zahtijeva drugačije.

Ako rukovalac ne postupi po zahtjevu lica čiji se podaci obrađuju, dužan je da bez odlaganja, a najkasnije u roku od mjesec dana od dana prijema zahtjeva, obavijesti to lice o razlozima zbog kojih nije postupio po zahtjevu i o mogućnosti podnošenja pritužbe nadzornom organu i ostvarivanja sudske zaštite.

Informacije koje se pružaju u skladu sa čl. 14 i 15 ovog zakona, kao i svaka komunikacija i sve radnje preduzete u skladu sa čl. 16 do 23 i članom 35 ovog zakona, pružaju se bez naknade. Kada su zahtjevi lica čiji se podaci obrađuju očigledno neosnovani ili pretjerani, naročito zbog njihove ponavljajuće prirode, rukovalac može: 1) naplatiti razumnu naknadu uzimajući u obzir administrativne troškove pružanja informacija ili komunikacije ili preduzimanja tražene radnje; ili 2) odbiti postupanje po zahtjevu.

Teret dokazivanja da je zahtjev očigledno neosnovan ili pretjeran snosi rukovalac.

Ne isključujući primjenu člana 12 ovog zakona, kada rukovalac ima opravdane sumnje u vezi sa identitetom fizičkog lica koje podnosi zahtjev iz čl. 16 do 22 ovog zakona, rukovalac može zahtijevati dostavljanje dodatnih informacija neophodnih za potvrdu identiteta lica čiji se podaci obrađuju.

Informacije koje se pružaju licima čiji se podaci obrađuju u skladu sa čl. 14 i 15 ovog zakona mogu se pružiti zajedno sa standardizovanim ikonama kako bi se na lako uočljiv, razumljiv i jasno čitljiv način dao smislen pregled namjeravane obrade. Kada se ikone prikazuju elektronskim putem, moraju biti mašinski čitljive.

Kada se lični podaci koji se odnose na lice čiji se podaci obrađuju prikupljaju od tog lica, rukovalac je dužan da, u trenutku prikupljanja ličnih podataka, tom licu pruži sljedeće informacije: 1) identitet i kontakt podatke rukovaoca i, kada je primjenjivo, predstavnika rukovaoca; 2) kontakt podatke službenika za zaštitu podataka, kada je primjenjivo; 3) svrhe obrade za koje su lični podaci namijenjeni, kao i pravni osnov za obradu; 4) kada se obrada zasniva na članu 7 stav 1 tačka 6 ovog zakona, legitimne interese koje ostvaruje rukovalac ili treća strana; 5) primaoce ili kategorije primalaca ličnih podataka, ako postoje; 6) kada je primjenjivo, informaciju da rukovalac namjerava da prenese lične podatke u treću državu ili međunarodnu organizaciju, kao i informaciju o postojanju ili nepostojanju odluke o adekvatnosti koju je donio nadzorni organ, odnosno, u slučaju prenosa iz čl. 47 ili 48 ili člana 50 stav 1 ovog zakona, upućivanje na odgovarajuće ili primjerene zaštitne mjere i način na koji se može dobiti kopija tih mjera ili mjesto gdje su dostupne.

Pored informacija iz stava 1 ovog člana, rukovalac je dužan da, u trenutku prikupljanja ličnih podataka, licu čiji se podaci obrađuju pruži i sljedeće dodatne informacije neophodne za obezbjeđivanje pravične i transparentne obrade: 1) rok u kojem će se lični podaci čuvati ili, ako to nije moguće, kriterijume koji se koriste za određivanje tog roka; 2) postojanje prava da se od rukovaoca zahtijeva pristup ličnim podacima, njihova ispravka ili brisanje, kao i ograničavanje obrade koja se odnosi na lice čiji se podaci obrađuju, ili prava na prigovor na obradu, kao i pravo na prenosivost podataka; 3) kada se obrada zasniva na članu 7 stav 1 tačka 1 ili članu 10 stav 2 tačka 1 ovog zakona, postojanje prava na povlačenje saglasnosti u bilo kom trenutku, bez uticaja na zakonitost obrade zasnovane na saglasnosti prije njenog povlačenja; 4) pravo na podnošenje pritužbe nadzornom organu; 5) da li je davanje ličnih podataka zakonska ili ugovorna obaveza ili uslov neophodan za zaključenje ugovora, kao i informaciju da li je lice čiji se podaci obrađuju obavezno da dostavi lične podatke i o mogućim posljedicama nedostavljanja tih podataka; 6) postojanje automatizovanog donošenja odluka, uključujući profilisanje, iz člana 23 st. 1 i 4 ovog zakona, i, najmanje u tim slučajevima, značajne informacije o korišćenoj logici, kao i značaju i predviđenim posljedicama takve obrade za lice čiji se podaci obrađuju.

Kada rukovalac namjerava da dalje obrađuje lične podatke u svrhu koja se razlikuje od svrhe za koju su lični podaci prikupljeni, dužan je da prije takve dalje obrade licu čiji se podaci obrađuju pruži informacije o toj drugoj svrsi i sve relevantne dodatne informacije iz stava 2 ovog člana.

St. 1, 2 i 3 ovog člana ne primjenjuju se kada i u mjeri u kojoj lice čiji se podaci obrađuju već posjeduje te informacije.

Kada lični podaci nijesu prikupljeni od lica čiji se podaci obrađuju, rukovalac je dužan da tom licu pruži sljedeće informacije: 1) identitet i kontakt podatke rukovaoca i, kada je primjenjivo, predstavnika rukovaoca; 2) kontakt podatke službenika za zaštitu podataka, kada je primjenjivo; 3) svrhe obrade za koje su lični podaci namijenjeni, kao i pravni osnov za obradu; 4) kategorije ličnih podataka na koje se obrada odnosi; 5) primaoce ili kategorije primalaca ličnih podataka, ako postoje; 6) kada je primjenjivo, informaciju da rukovalac namjerava da prenese lične podatke primaocu u trećoj državi ili međunarodnoj organizaciji, kao i informaciju o postojanju ili nepostojanju odluke o adekvatnosti koju je donio nadzorni organ, odnosno, u slučaju prenosa iz čl. 47 ili 48 ili člana 50 stav 1 ovog zakona, upućivanje na odgovarajuće ili primjerene zaštitne mjere i način na koji se može dobiti njihova kopija ili mjesto gdje su dostupne.

Pored informacija iz stava 1 ovog člana, rukovalac je dužan da licu čiji se podaci obrađuju pruži sljedeće informacije neophodne za obezbjeđivanje pravične i transparentne obrade u odnosu na to lice: 1) rok u kojem će se lični podaci čuvati ili, ako to nije moguće, kriterijume koji se koriste za određivanje tog roka; 2) kada se obrada zasniva na članu 7 stav 1 tačka 6 ovog zakona, legitimne interese koje ostvaruje rukovalac ili treća strana; 3) postojanje prava da se od rukovaoca zahtijeva pristup ličnim podacima, njihova ispravka ili brisanje, kao i ograničavanje obrade koja se odnosi na lice čiji se podaci obrađuju, kao i pravo na prigovor na obradu i pravo na prenosivost podataka; 4) kada se obrada zasniva na članu 7 stav 1 tačka 1 ili članu 10 stav 2 tačka 1 ovog zakona, postojanje prava na povlačenje saglasnosti u bilo kom trenutku, bez uticaja na zakonitost obrade zasnovane na saglasnosti prije njenog povlačenja; 5) pravo na podnošenje pritužbe nadzornom organu; 6) izvor iz kojeg potiču lični podaci i, kada je primjenjivo, informaciju da li potiču iz javno dostupnih izvora; 7) postojanje automatizovanog donošenja odluka, uključujući profilisanje, iz člana 23 st. 1 i 4 ovog zakona, i, najmanje u tim slučajevima, značajne informacije o korišćenoj logici, kao i značaju i predviđenim posljedicama takve obrade za lice čiji se podaci obrađuju.

Rukovalac pruža informacije iz st. 1 i 2 ovog člana: 1) u razumnom roku nakon dobijanja ličnih podataka, a najkasnije u roku od mjesec dana, uzimajući u obzir posebne okolnosti u kojima se lični podaci obrađuju; 2) ako se lični podaci koriste za komunikaciju sa licem čiji se podaci obrađuju, najkasnije prilikom prve komunikacije sa tim licem; ili 3) ako se predviđa otkrivanje drugom primaocu, najkasnije kada se lični podaci prvi put otkrivaju.

Kada rukovalac namjerava da dalje obrađuje lične podatke u svrhu koja se razlikuje od svrhe za koju su lični podaci pribavljeni, dužan je da prije takve dalje obrade pruži licu čiji se podaci obrađuju informacije o toj drugoj svrsi i sve relevantne dodatne informacije iz stava 2 ovog člana.

St. 1 do 4 ovog člana ne primjenjuju se kada i u mjeri u kojoj: 1) lice čiji se podaci obrađuju već posjeduje te informacije; 2) pružanje takvih informacija nije moguće ili bi zahtijevalo nesrazmjeran napor, naročito kada je riječ o obradi u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe, uz primjenu uslova i zaštitnih mjera iz člana 95 ovog zakona, ili u mjeri u kojoj bi obaveza iz stava 1 ovog člana onemogućila ili ozbiljno ugrozila ostvarivanje ciljeva takve obrade. U tim slučajevima rukovalac preduzima odgovarajuće mjere radi zaštite prava, sloboda i legitimnih interesa lica čiji se podaci obrađuju, uključujući javno objavljivanje informacija; 3) pribavljanje ili otkrivanje podataka izričito je propisano zakonom kojim se uređuju obaveze rukovaoca i kojim se predviđaju odgovarajuće mjere za zaštitu legitimnih interesa lica čiji se podaci obrađuju; ili 4) kada lični podaci moraju ostati povjerljivi zbog obaveze čuvanja profesionalne tajne uređene zakonom, uključujući zakonsku obavezu čuvanja tajne.

Lice čiji se podaci obrađuju ima pravo da od rukovaoca dobije potvrdu o tome da li se lični podaci koji se na njega odnose obrađuju ili ne, a ako se obrađuju, ima pravo na pristup tim ličnim podacima i sljedećim informacijama: 1) svrsi obrade; 2) kategorijama ličnih podataka na koje se obrada odnosi; 3) primaocima ili kategorijama primalaca kojima su lični podaci otkriveni ili će biti otkriveni, naročito primaocima u trećim državama ili međunarodnim organizacijama; 4) kada je moguće, predviđenom roku u kojem će se lični podaci čuvati ili, ako to nije moguće, kriterijumima koji se koriste za određivanje tog roka; 5) postojanju prava da se od rukovaoca zahtijeva ispravka ili brisanje ličnih podataka ili ograničavanje obrade ličnih podataka koji se odnose na lice čiji se podaci obrađuju, kao i prava na prigovor na takvu obradu; 6) pravu na podnošenje pritužbe nadzornom organu; 7) kada lični podaci nijesu prikupljeni od lica čiji se podaci obrađuju, svim dostupnim informacijama o njihovom izvoru; 8) postojanju automatizovanog donošenja odluka, uključujući profilisanje, iz člana 23 st. 1 i 4 ovog zakona, i, najmanje u tim slučajevima, značajnim informacijama o korišćenoj logici, kao i značaju i predviđenim posljedicama takve obrade za lice čiji se podaci obrađuju.

Kada se lični podaci prenose u treću državu ili međunarodnu organizaciju, lice čiji se podaci obrađuju ima pravo da bude obaviješteno o odgovarajućim zaštitnim mjerama iz člana 47 ovog zakona koje se odnose na prenos.

Rukovalac je dužan da obezbijedi kopiju ličnih podataka koji se obrađuju. Za sve dodatne kopije koje zahtijeva lice čiji se podaci obrađuju, rukovalac može naplatiti razumnu naknadu zasnovanu na administrativnim troškovima. Kada lice čiji se podaci obrađuju podnese zahtjev elektronskim putem, i ako to lice nije zahtijevalo drugačije, informacije se pružaju u uobičajenom elektronskom obliku.

Pravo na dobijanje kopije iz stava 3 ovog člana ne smije negativno uticati na prava i slobode drugih lica.

Lice čiji se podaci obrađuju ima pravo da od rukovaoca bez nepotrebnog odlaganja zahtijeva ispravku netačnih ličnih podataka koji se na njega odnose. Uzimajući u obzir svrhe obrade, lice čiji se podaci obrađuju ima pravo da zahtijeva dopunu nepotpunih ličnih podataka, uključujući i putem dostavljanja dopunske izjave.

Pravo na brisanje („pravo na zaborav”)

Lice čiji se podaci obrađuju ima pravo da od rukovaoca zahtijeva brisanje ličnih podataka koji se na njega odnose bez nepotrebnog odlaganja, a rukovalac ima obavezu da bez nepotrebnog odlaganja izbriše lične podatke kada postoji jedan od sljedećih razloga: 1) lični podaci više nijesu neophodni u odnosu na svrhe za koje su prikupljeni ili na drugi način obrađeni; 2) lice čiji se podaci obrađuju povuče saglasnost na kojoj se obrada zasniva u skladu sa članom 7 stav 1 tačka 1 ili članom 10 stav 2 tačka 1 ovog zakona, i kada ne postoji drugi pravni osnov za obradu; 3) lice čiji se podaci obrađuju uloži prigovor na obradu u skladu sa članom 22 stav 1 ovog zakona, a ne postoje pretežniji legitimni razlozi za obradu, ili lice čiji se podaci obrađuju uloži prigovor na obradu u skladu sa članom 22 stav 2 ovog zakona; 4) lični podaci su nezakonito obrađeni; 5) lični podaci moraju biti izbrisani radi ispunjenja zakonske obaveze kojoj podliježe rukovalac; 6) lični podaci su prikupljeni u vezi sa ponudom usluga informacionog društva iz člana 9 stav 1 ovog zakona.

Kada je rukovalac učinio lične podatke javno dostupnim i dužan je, u skladu sa stavom 1 ovog člana, da ih izbriše, rukovalac, uzimajući u obzir dostupnu tehnologiju i troškove sprovođenja, preduzima razumne mjere, uključujući tehničke mjere, kako bi obavijestio rukovaoce koji obrađuju te lične podatke da je lice čiji se podaci obrađuju zahtijevalo od tih rukovalaca brisanje svih veza ka tim podacima, kopija ili reprodukcija tih podataka.

St. 1 i 2 ovog člana ne primjenjuju se u mjeri u kojoj je obrada neophodna: 1) radi ostvarivanja prava na slobodu izražavanja i informisanja; 2) radi ispunjenja zakonske obaveze kojom se zahtijeva obrada u skladu sa zakonom koji se primjenjuje na rukovaoca ili radi izvršavanja zadatka od javnog interesa ili vršenja službenih ovlašćenja povjerenih rukovaocu; 3) iz razloga javnog interesa u oblasti javnog zdravlja, u skladu sa članom 10 stav 2 tač. 8 i 9, kao i članom 10 stav 3 ovog zakona; 4) u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe, u skladu sa članom 95 stav 1 ovog zakona, u mjeri u kojoj bi pravo iz stava 1 ovog člana onemogućilo ili ozbiljno ugrozilo ostvarivanje ciljeva takve obrade; ili 5) radi uspostavljanja, ostvarivanja ili odbrane pravnih zahtjeva.

Lice čiji se podaci obrađuju ima pravo da od rukovaoca zahtijeva ograničenje obrade kada je ispunjen jedan od sljedećih uslova: 1) lice čiji se podaci obrađuju osporava tačnost ličnih podataka, i to u periodu koji omogućava rukovaocu da provjeri tačnost tih podataka; 2) obrada je nezakonita, a lice čiji se podaci obrađuju protivi se brisanju ličnih podataka i umjesto toga zahtijeva ograničenje njihove upotrebe; 3) rukovaocu više nijesu potrebni lični podaci za svrhe obrade, ali su ti podaci potrebni licu čiji se podaci obrađuju radi uspostavljanja, ostvarivanja ili odbrane pravnih zahtjeva; 4) lice čiji se podaci obrađuju uložilo je prigovor na obradu u skladu sa članom 22 stav 1 ovog zakona, dok se ne utvrdi da li legitimni razlozi rukovaoca imaju prednost u odnosu na razloge tog lica.

Kada je obrada ograničena u skladu sa stavom 1 ovog člana, takvi lični podaci, osim njihovog čuvanja, mogu se obrađivati samo uz saglasnost lica čiji se podaci obrađuju ili radi uspostavljanja, ostvarivanja ili odbrane pravnih zahtjeva, ili radi zaštite prava drugog fizičkog ili pravnog lica, ili iz razloga važnog javnog interesa utvrđenog zakonom.

Lice čiji se podaci obrađuju koje je ostvarilo ograničenje obrade u skladu sa stavom 1 ovog člana mora biti obaviješteno od strane rukovaoca prije ukidanja ograničenja obrade.

Rukovalac je dužan da svaku ispravku ili brisanje ličnih podataka, kao i ograničenje obrade izvršeno u skladu sa članom 17, članom 18 stav 1 i članom 19 ovog zakona, saopšti svakom primaocu kojem su lični podaci otkriveni, osim ako se to pokaže nemogućim ili zahtijeva nesrazmjeran napor.

Rukovalac je dužan da obavijesti lice čiji se podaci obrađuju o tim primaocima, ako to lice to zahtijeva.

Lice čiji se podaci obrađuju ima pravo da primi lične podatke koji se na njega odnose, a koje je dostavilo rukovaocu, u strukturiranom, uobičajeno korišćenom i mašinski čitljivom formatu, kao i pravo da te podatke prenese drugom rukovaocu bez ometanja od strane rukovaoca kojem su lični podaci dostavljeni, kada su ispunjeni sljedeći uslovi: 1) obrada se zasniva na saglasnosti u skladu sa članom 7 stav 1 tačka 1 ili članom 10 stav 2 tačka 1 ovog zakona, ili na ugovoru u skladu sa članom 7 stav 1 tačka 2 ovog zakona; i 2) obrada se vrši automatizovanim sredstvima.

Prilikom ostvarivanja prava na prenosivost podataka u skladu sa stavom 1 ovog člana, lice čiji se podaci obrađuju ima pravo da se lični podaci direktno prenesu sa jednog rukovaoca na drugog, kada je to tehnički izvodljivo.

Ostvarivanje prava iz stava 1 ovog člana ne isključuje primjenu člana 18 ovog zakona. To pravo se ne primjenjuje na obradu koja je neophodna za izvršavanje zadatka od javnog interesa ili za vršenje službenih ovlašćenja povjerenih rukovaocu.

Pravo iz stava 1 ovog člana ne smije negativno uticati na prava i slobode drugih lica.

Lice čiji se podaci obrađuju ima pravo da, na osnovu razloga koji se odnose na njegovu posebnu situaciju, u bilo kom trenutku uloži prigovor na obradu ličnih podataka koji se na njega odnose, a koja se zasniva na članu 7 stav 1 tač. 5 i 6 ovog zakona, uključujući profilisanje zasnovano na tim odredbama. Rukovalac više ne smije obrađivati lične podatke, osim ako dokaže postojanje uvjerljivih legitimnih razloga za obradu koji imaju prednost u odnosu na interese, prava i slobode lica čiji se podaci obrađuju ili ako je obrada neophodna radi uspostavljanja, ostvarivanja ili odbrane pravnih zahtjeva.

Kada se lični podaci obrađuju u svrhe direktnog marketinga, lice čiji se podaci obrađuju ima pravo da u bilo kom trenutku uloži prigovor na obradu ličnih podataka koji se na njega odnose u svrhe takvog marketinga, uključujući profilisanje u mjeri u kojoj je povezano sa takvim direktnim marketingom.

Kada lice čiji se podaci obrađuju uloži prigovor na obradu u svrhe direktnog marketinga, lični podaci se više ne smiju obrađivati u te svrhe.

Najkasnije prilikom prve komunikacije sa licem čiji se podaci obrađuju, pravo iz st. 1 i 2 ovog člana mora biti izričito skrenuto pažnji tom licu i mora biti predstavljeno jasno i odvojeno od svih drugih informacija.

U okviru korišćenja usluga informacionog društva, i ne isključujući primjenu propisa kojima se uređuju elektronske komunikacije, lice čiji se podaci obrađuju može ostvariti svoje pravo na prigovor automatizovanim putem korišćenjem tehničkih specifikacija.

Kada se lični podaci obrađuju u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe u skladu sa članom 95 stav 1 ovog zakona, lice čiji se podaci obrađuju ima pravo da, zbog razloga koji se odnose na njegovu posebnu situaciju, uloži prigovor na obradu ličnih podataka koji se na njega odnose, osim ako je obrada neophodna za izvršavanje zadatka koji se obavlja iz razloga javnog interesa.

Lice čiji se podaci obrađuju ima pravo da ne bude predmet odluke zasnovane isključivo na automatizovanoj obradi, uključujući profilisanje, koja proizvodi pravne posljedice u odnosu na njega ili na sličan način značajno utiče na njega.

Stav 1 ovog člana ne primjenjuje se ako je odluka: 1) neophodna za zaključenje ili izvršenje ugovora između lica čiji se podaci obrađuju i rukovaoca; 2) dozvoljena zakonom koji se primjenjuje na rukovaoca, kojim se takođe propisuju odgovarajuće mjere zaštite prava, sloboda i legitimnih interesa lica čiji se podaci obrađuju; ili 3) zasnovana na izričitoj saglasnosti lica čiji se podaci obrađuju.

U slučajevima iz stava 2 tač. 1 i 3 ovog člana, rukovalac je dužan da sprovede odgovarajuće mjere radi zaštite prava, sloboda i legitimnih interesa lica čiji se podaci obrađuju, najmanje pravo da od rukovaoca zahtijeva ljudsku intervenciju, da izrazi svoje mišljenje i da ospori odluku.

Odluke iz stava 2 ovog člana ne smiju se zasnivati na posebnim kategorijama ličnih podataka iz člana 10 stav 1 ovog zakona, osim ako se primjenjuje član 10 stav 2 tač. 1 ili 7 ovog zakona i ako postoje odgovarajuće mjere za zaštitu prava, sloboda i legitimnih interesa lica čiji se podaci obrađuju.

Zakonom kojem podliježe rukovalac ili obrađivač može se, putem zakonodavne mjere, ograničiti obim obaveza i prava predviđenih čl. 13 do 23 i članom 35 ovog zakona, kao i članom 6 ovog zakona, u mjeri u kojoj njegove odredbe odgovaraju pravima i obavezama iz čl. 13 do 23 ovog zakona, kada takvo ograničenje poštuje suštinu osnovnih prava i sloboda i predstavlja neophodnu i srazmjernu mjeru u demokratskom društvu radi zaštite: 1) nacionalne bezbjednosti; 2) odbrane; 3) javne bezbjednosti; 4) sprečavanja, istrage, otkrivanja ili gonjenja krivičnih djela ili izvršenja krivičnih sankcija, uključujući zaštitu od prijetnji javnoj bezbjednosti i njihovo sprečavanje; 5) drugih važnih ciljeva od opšteg javnog interesa, naročito važnog ekonomskog ili finansijskog interesa, uključujući monetarna, budžetska i poreska pitanja, javno zdravlje i socijalnu sigurnost; 6) nezavisnosti pravosuđa i sudskih postupaka; 7) sprečavanja, istrage, otkrivanja i gonjenja povreda etičkih pravila za regulisane profesije; 8) funkcije nadzora, inspekcijskog ili regulatornog karaktera povezane, čak i povremeno, sa vršenjem službenih ovlašćenja u slučajevima iz tač. 1 do 5 i 7 ovog stava; 9) zaštite lica čiji se podaci obrađuju ili prava i sloboda drugih lica; 10) izvršenja građanskopravnih zahtjeva.

Posebno, svaka zakonodavna mjera iz stava 1 ovog člana mora, kada je to relevantno, sadržati posebne odredbe najmanje o: 1) svrhama obrade ili kategorijama obrade; 2) kategorijama ličnih podataka; 3) obimu uvedenih ograničenja; 4) zaštitnim mjerama radi sprečavanja zloupotrebe ili nezakonitog pristupa ili prenosa; 5) određivanju rukovaoca ili kategorija rukovalaca; 6) rokovima čuvanja i primjenjivim zaštitnim mjerama, uzimajući u obzir prirodu, obim i svrhe obrade ili kategorije obrade; 7) rizicima po prava i slobode lica čiji se podaci obrađuju; i 8) pravu lica čiji se podaci obrađuju da budu obaviještena o ograničenju, osim ako bi to moglo ugroziti svrhu ograničenja.

Uzimajući u obzir prirodu, obim, okolnosti i svrhe obrade, kao i rizike različite vjerovatnoće i ozbiljnosti za prava i slobode fizičkih lica koji proizlaze iz obrade, rukovalac je dužan da primijeni odgovarajuće tehničke i organizacione mjere kako bi obezbijedio i mogao da dokaže da se obrada vrši u skladu sa ovim zakonom. Te mjere se, po potrebi, preispituju i ažuriraju.

Kada je to srazmjerno aktivnostima obrade, mjere iz stava 1 ovog člana uključuju primjenu odgovarajućih politika zaštite podataka od strane rukovaoca.

Pridržavanje odobrenih kodeksa ponašanja iz člana 41 ovog zakona ili odobrenih mehanizama sertifikacije iz člana 43 ovog zakona može se koristiti kao element za dokazivanje usklađenosti sa obavezama rukovaoca.

Uzimajući u obzir stanje tehnike, troškove primjene, prirodu, obim, okolnosti i svrhe obrade, kao i rizike različite vjerovatnoće i ozbiljnosti po prava i slobode fizičkih lica koje obrada može prouzrokovati, rukovalac je dužan da, kako u trenutku određivanja sredstava za obradu tako i u trenutku same obrade, primijeni odgovarajuće tehničke i organizacione mjere, kao što je pseudonimizacija, koje su osmišljene radi djelotvorne primjene načela zaštite podataka, kao što je smanjenje količine podataka, i uključivanja neophodnih zaštitnih mjera u obradu kako bi se ispunili zahtjevi ovog zakona i zaštitila prava lica čiji se podaci obrađuju.

Rukovalac je dužan da primijeni odgovarajuće tehničke i organizacione mjere kojima se obezbjeđuje da se, po podrazumijevanim postavkama, obrađuju samo lični podaci koji su neophodni za svaku posebnu svrhu obrade. Ta obaveza odnosi se na količinu prikupljenih ličnih podataka, obim njihove obrade, period njihovog čuvanja i njihovu dostupnost. Posebno, takvim mjerama mora se obezbijediti da lični podaci po podrazumijevanim postavkama ne budu dostupni bez intervencije pojedinca neograničenom broju fizičkih lica.

Odobreni mehanizam sertifikacije u skladu sa članom 43 ovog zakona može se koristiti kao element za dokazivanje usklađenosti sa zahtjevima iz st. 1 i 2 ovog člana.

Ako dva ili više rukovalaca zajednički određuju svrhe i sredstva obrade, oni se smatraju zajedničkim rukovaocima. Oni na transparentan način određuju svoje odgovornosti za usklađenost sa obavezama iz ovog zakona, naročito u pogledu ostvarivanja prava lica čiji se podaci obrađuju i svojih obaveza pružanja informacija iz čl. 14 i 15 ovog zakona, putem međusobnog sporazuma, osim ako su, i u mjeri u kojoj su, odgovornosti rukovalaca određene zakonom koji se na njih primjenjuje.

Sporazumom se može odrediti kontakt tačka za lica čiji se podaci obrađuju.

Sporazum iz stava 1 ovog člana mora na odgovarajući način odražavati uloge i odnose zajedničkih rukovalaca u odnosu na lica čiji se podaci obrađuju. Suština sporazuma mora biti dostupna licu čiji se podaci obrađuju.

Nezavisno od uslova sporazuma iz stava 1 ovog člana, lice čiji se podaci obrađuju može ostvarivati svoja prava iz ovog zakona u odnosu na svakog od rukovalaca i protiv svakog od njih.

Kada se primjenjuje član 3 stav 2 ovog zakona, rukovalac ili obrađivač je dužan da u pisanom obliku odredi predstavnika u Crnoj Gori.

Obaveza iz stava 1 ovog člana ne primjenjuje se na: 1) obradu koja je povremena, koja ne uključuje obradu posebnih kategorija podataka iz člana 10 stav 1 ovog zakona u velikom obimu, niti obradu ličnih podataka koji se odnose na krivične osude i krivična djela iz člana 11 ovog zakona, i za koju nije vjerovatno da će dovesti do rizika po prava i slobode fizičkih lica, uzimajući u obzir prirodu, okolnosti, obim i svrhe obrade; ili 2) javni organ ili tijelo.

Predstavnik iz stava 1 ovog člana mora biti ovlašćen od strane rukovaoca ili obrađivača da mu se, pored rukovaoca ili obrađivača ili umjesto njih, obraćaju naročito nadzorni organ i lica čiji se podaci obrađuju, u svim pitanjima koja se odnose na obradu, radi obezbjeđivanja usklađenosti sa ovim zakonom.

Određivanje predstavnika od strane rukovaoca ili obrađivača ne isključuje primjenu pravnih postupaka koji bi mogli biti pokrenuti protiv samog rukovaoca ili obrađivača.

Kada se obrada vrši u ime rukovaoca, rukovalac je dužan da koristi samo one obrađivače koji pružaju dovoljne garancije za primjenu odgovarajućih tehničkih i organizacionih mjera na način kojim se obezbjeđuje da obrada ispunjava zahtjeve ovog zakona i osigurava zaštitu prava lica čiji se podaci obrađuju.

Obrađivač ne smije angažovati drugog obrađivača bez prethodnog posebnog ili opšteg pisanog ovlašćenja rukovaoca. U slučaju opšteg pisanog ovlašćenja, obrađivač je dužan da obavijesti rukovaoca o svim namjeravanim izmjenama koje se odnose na dodavanje ili zamjenu drugih obrađivača, čime se rukovaocu daje mogućnost da uloži prigovor na takve izmjene.

Obrada koju vrši obrađivač uređuje se ugovorom ili drugim pravnim aktom, u skladu sa zakonom koji obavezuje obrađivača u odnosu na rukovaoca, kojim se određuju predmet i trajanje obrade, priroda i svrha obrade, vrsta ličnih podataka i kategorije lica čiji se podaci obrađuju, kao i obaveze i prava rukovaoca. Tim ugovorom ili drugim pravnim aktom naročito se utvrđuje da obrađivač: 1) obrađuje lične podatke samo na osnovu dokumentovanih uputstava rukovaoca, uključujući u vezi sa prenosom ličnih podataka u treću zemlju ili međunarodnu organizaciju, osim ako je obavezan da to učini na osnovu zakona koji se primjenjuje na obrađivača; u tom slučaju obrađivač je dužan da obavijesti rukovaoca o toj zakonskoj obavezi prije obrade, osim ako taj zakon zabranjuje takvo obavještavanje zbog važnih razloga javnog interesa; 2) obezbjeđuje da su se lica ovlašćena za obradu ličnih podataka obavezala na povjerljivost ili da podliježu odgovarajućoj zakonskoj obavezi čuvanja povjerljivosti; 3) preduzima sve mjere zahtijevane u skladu sa članom 33 ovog zakona; 4) poštuje uslove iz st. 2 i 4 ovog člana u vezi sa angažovanjem drugog obrađivača; 5) uzimajući u obzir prirodu obrade, pomaže rukovaocu odgovarajućim tehničkim i organizacionim mjerama, u mjeri u kojoj je to moguće, radi ispunjavanja obaveze rukovaoca da odgovori na zahtjeve za ostvarivanje prava lica čiji se podaci obrađuju iz Poglavlja III ovog zakona; 6) pomaže rukovaocu u obezbjeđivanju usklađenosti sa obavezama iz čl. 33 do 37 ovog zakona, uzimajući u obzir prirodu obrade i informacije dostupne obrađivaču; 7) prema izboru rukovaoca, briše ili vraća sve lične podatke rukovaocu nakon završetka pružanja usluga koje se odnose na obradu, i briše postojeće kopije, osim ako zakon zahtijeva čuvanje ličnih podataka; 8) stavlja na raspolaganje rukovaocu sve informacije neophodne za dokazivanje ispunjenosti obaveza utvrđenih ovim članom i omogućava i doprinosi sprovođenju revizija, uključujući inspekcije, koje obavlja rukovalac ili drugi revizor ovlašćen od strane rukovaoca.

U vezi sa stavom 3 tačka 8 ovog člana, obrađivač je dužan da odmah obavijesti rukovaoca ako, prema njegovom mišljenju, neko uputstvo predstavlja povredu ovog zakona ili drugih propisa o zaštiti podataka.

Kada obrađivač angažuje drugog obrađivača za sprovođenje posebnih aktivnosti obrade u ime rukovaoca, tom drugom obrađivaču se ugovorom ili drugim pravnim aktom, u skladu sa zakonom, nameću iste obaveze zaštite podataka koje su utvrđene ugovorom ili drugim pravnim aktom između rukovaoca i obrađivača iz stava 3 ovog člana, a naročito obaveza pružanja dovoljnih garancija za primjenu odgovarajućih tehničkih i organizacionih mjera na način kojim se obezbjeđuje da obrada ispunjava zahtjeve ovog zakona. Ako taj drugi obrađivač ne ispuni svoje obaveze zaštite podataka, prvi obrađivač ostaje u potpunosti odgovoran prema rukovaocu za izvršenje obaveza tog drugog obrađivača.

Pridržavanje od strane obrađivača odobrenog kodeksa ponašanja iz člana 41 ovog zakona ili odobrenog mehanizma sertifikacije iz člana 43 ovog zakona može se koristiti kao element za dokazivanje dovoljnih garancija iz st. 1 i 4 ovog člana.

Ne isključujući primjenu pojedinačnih ugovora između rukovaoca i obrađivača, ugovor ili drugi pravni akt iz st. 3 i 4 ovog člana može se u potpunosti ili djelimično zasnivati na standardnim ugovornim klauzulama iz st. 7 i 8 ovog člana, uključujući kada su one dio sertifikacije dodijeljene rukovaocu ili obrađivaču u skladu sa čl. 43 i 44 ovog zakona.

Nadzorni organ može usvojiti standardne ugovorne klauzule za pitanja iz st. 3 i 4 ovog člana.

Ugovor ili drugi pravni akt iz st. 3 i 4 ovog člana mora biti sačinjen u pisanom obliku, uključujući i elektronsku formu.

Ne isključujući primjenu čl. 79, 83 i 88 ovog zakona, ako obrađivač povrijedi ovaj zakon određivanjem svrha i sredstava obrade, obrađivač se smatra rukovaocem u pogledu te obrade.

Obrađivač i svako lice koje postupa pod nadležnošću rukovaoca ili obrađivača, a koje ima pristup ličnim podacima, ne smije obrađivati te podatke osim na osnovu uputstava rukovaoca, osim ako je to obavezno prema zakonima Crne Gore.

Svaki rukovalac i, kada je primjenjivo, predstavnik rukovaoca, dužan je da vodi evidenciju aktivnosti obrade za koje je odgovoran. Ta evidencija mora sadržati sljedeće informacije: 1) ime i kontakt podatke rukovaoca i, kada je primjenjivo, zajedničkog rukovaoca, predstavnika rukovaoca i službenika za zaštitu podataka; 2) svrhe obrade; 3) opis kategorija lica čiji se podaci obrađuju i kategorija ličnih podataka; 4) kategorije primalaca kojima su lični podaci otkriveni ili će biti otkriveni, uključujući primaoce u trećim zemljama ili međunarodnim organizacijama; 5) kada je primjenjivo, prenose ličnih podataka u treću zemlju ili međunarodnu organizaciju, uključujući identifikaciju te treće zemlje ili međunarodne organizacije i, u slučaju prenosa iz člana 50 stav 1 ovog zakona, dokumentaciju odgovarajućih zaštitnih mjera; 6) kada je moguće, predviđene rokove za brisanje različitih kategorija podataka; 7) kada je moguće, opšti opis tehničkih i organizacionih bezbjednosnih mjera iz člana 33 stav 1 ovog zakona.

Svaki obrađivač i, kada je primjenjivo, predstavnik obrađivača, dužan je da vodi evidenciju svih kategorija aktivnosti obrade koje se obavljaju u ime rukovaoca, koja sadrži: 1) ime i kontakt podatke jednog ili više obrađivača, kao i svakog rukovaoca u čije ime obrađivač postupa, i, kada je primjenjivo, predstavnika rukovaoca ili obrađivača i službenika za zaštitu podataka; 2) kategorije obrada koje se obavljaju u ime svakog rukovaoca; 3) kada je primjenjivo, prenose ličnih podataka u treću zemlju ili međunarodnu organizaciju, uključujući identifikaciju te treće zemlje ili međunarodne organizacije i, u slučaju prenosa iz člana 50 stav 1 ovog zakona, dokumentaciju odgovarajućih zaštitnih mjera; 4) kada je moguće, opšti opis tehničkih i organizacionih bezbjednosnih mjera iz člana 33 stav 1 ovog zakona.

Evidencije iz st. 1 i 2 ovog člana moraju biti sačinjene u pisanom obliku, uključujući elektronsku formu.

Rukovalac ili obrađivač i, kada je primjenjivo, predstavnik rukovaoca ili obrađivača, dužan je da na zahtjev stavi evidenciju na raspolaganje nadzornom organu.

Obaveze iz st. 1 i 2 ovog člana ne primjenjuju se na privredno društvo ili organizaciju koja zapošljava manje od 250 lica, osim ako obrada koju obavlja može prouzrokovati rizik po prava i slobode lica čiji se podaci obrađuju, ako obrada nije povremena ili ako obrada uključuje posebne kategorije podataka iz člana 10 stav 1 ovog zakona ili lične podatke koji se odnose na krivične osude i krivična djela iz člana 11 ovog zakona.

Rukovalac i obrađivač, kao i njihovi predstavnici kada je to primjenjivo, dužni su da, na zahtjev, sarađuju sa nadzornim organom u obavljanju njegovih zadataka.

Uzimajući u obzir stanje tehnike, troškove primjene, prirodu, obim, okolnosti i svrhe obrade, kao i rizike različite vjerovatnoće i ozbiljnosti po prava i slobode fizičkih lica koji proizlaze iz obrade, rukovalac i obrađivač dužni su da primijene odgovarajuće tehničke i organizacione mjere kako bi obezbijedili nivo bezbjednosti koji odgovara riziku, uključujući, između ostalog, kada je to primjereno: 1) pseudonimizaciju i enkripciju ličnih podataka; 2) sposobnost obezbjeđivanja trajne povjerljivosti, integriteta, dostupnosti i otpornosti sistema i usluga obrade; 3) sposobnost pravovremenog vraćanja dostupnosti i pristupa ličnim podacima u slučaju fizičkog ili tehničkog incidenta; 4) postupak za redovno testiranje, procjenu i ocjenjivanje djelotvornosti tehničkih i organizacionih mjera za obezbjeđivanje bezbjednosti obrade.

Prilikom procjene odgovarajućeg nivoa bezbjednosti posebno se uzimaju u obzir rizici koji proizlaze iz obrade, naročito rizici od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlašćenog otkrivanja ili pristupa ličnim podacima koji se prenose, čuvaju ili na drugi način obrađuju.

Pridržavanje odobrenog kodeksa ponašanja iz člana 41 ovog zakona ili odobrenog mehanizma sertifikacije iz člana 43 ovog zakona može se koristiti kao element za dokazivanje usklađenosti sa zahtjevima iz stava 1 ovog člana.

Rukovalac i obrađivač dužni su da preduzmu mjere kojima se obezbjeđuje da svako fizičko lice koje postupa pod nadležnošću rukovaoca ili obrađivača, a koje ima pristup ličnim podacima, ne obrađuje te podatke osim na osnovu uputstava rukovaoca, osim ako je na to obavezano zakonom.

U slučaju povrede bezbjednosti ličnih podataka, rukovalac je dužan da bez nepotrebnog odlaganja, a kada je moguće najkasnije u roku od 72 časa od trenutka kada je saznao za povredu, obavijesti nadzorni organ o povredi bezbjednosti ličnih podataka, osim ako nije vjerovatno da će povreda bezbjednosti ličnih podataka prouzrokovati rizik po prava i slobode fizičkih lica. Ako obavještavanje nadzornog organa nije izvršeno u roku od 72 časa, uz obavještenje se moraju dostaviti i razlozi za kašnjenje.

Obrađivač je dužan da obavijesti rukovaoca bez nepotrebnog odlaganja nakon što sazna za povredu bezbjednosti ličnih podataka.

Obavještenje iz stava 1 ovog člana mora najmanje: 1) opisati prirodu povrede bezbjednosti ličnih podataka, uključujući, kada je moguće, kategorije i približan broj lica čiji su podaci obuhvaćeni povredom, kao i kategorije i približan broj evidencija ličnih podataka koje su obuhvaćene; 2) navesti ime i kontakt podatke službenika za zaštitu podataka ili drugog kontakta gdje se mogu dobiti dodatne informacije; 3) opisati vjerovatne posljedice povrede bezbjednosti ličnih podataka; 4) opisati mjere koje je rukovalac preduzeo ili predlaže da preduzme radi rješavanja povrede bezbjednosti ličnih podataka, uključujući, kada je primjereno, mjere za ublažavanje njenih mogućih štetnih posljedica.

Kada i u mjeri u kojoj nije moguće dostaviti informacije istovremeno, informacije se mogu dostavljati u fazama bez nepotrebnog daljeg odlaganja.

Rukovalac je dužan da dokumentuje svaku povredu bezbjednosti ličnih podataka, uključujući činjenice koje se odnose na povredu, njene posljedice i preduzete mjere za otklanjanje posljedica. Ta dokumentacija mora omogućiti nadzornom organu da provjeri usklađenost sa ovim članom.

Kada je vjerovatno da će povreda bezbjednosti ličnih podataka prouzrokovati visok rizik po prava i slobode fizičkih lica, rukovalac je dužan da bez nepotrebnog odlaganja obavijesti lice čiji se podaci obrađuju o povredi bezbjednosti ličnih podataka.

Obavještenje licu čiji se podaci obrađuju iz stava 1 ovog člana mora jasno i razumljivo opisati prirodu povrede bezbjednosti ličnih podataka i sadržati najmanje informacije i mjere iz člana 34 stav 3 tač. 2, 3 i 4 ovog zakona.

Obavještavanje lica čiji se podaci obrađuju iz stava 1 ovog člana nije potrebno ako je ispunjen neki od sljedećih uslova: 1) rukovalac je primijenio odgovarajuće tehničke i organizacione mjere zaštite, a te mjere su primijenjene na lične podatke obuhvaćene povredom bezbjednosti ličnih podataka, naročito mjere kojima se lični podaci čine nerazumljivim svakom licu koje nije ovlašćeno za pristup tim podacima, kao što je enkripcija; 2) rukovalac je preduzeo naknadne mjere kojima se obezbjeđuje da se visok rizik po prava i slobode lica čiji se podaci obrađuju iz stava 1 ovog člana više vjerovatno neće ostvariti; 3) obavještavanje bi zahtijevalo nesrazmjeran napor. U tom slučaju umjesto pojedinačnog obavještavanja vrši se javno obavještavanje ili se primjenjuje slična mjera kojom se lica čiji se podaci obrađuju obavještavaju na jednako djelotvoran način.

Ako rukovalac prethodno nije obavijestio lice čiji se podaci obrađuju o povredi bezbjednosti ličnih podataka, nadzorni organ, nakon što procijeni vjerovatnoću da će povreda prouzrokovati visok rizik, može zahtijevati od rukovaoca da to učini ili može odlučiti da je ispunjen neki od uslova iz stava 3 ovog člana.

Kada je određena vrsta obrade, posebno upotrebom novih tehnologija, uzimajući u obzir prirodu, obim, kontekst i svrhe obrade, vjerovatno da će prouzrokovati visok rizik po prava i slobode fizičkih lica, rukovalac je dužan da, prije početka obrade, izvrši procjenu uticaja predviđenih postupaka obrade na zaštitu ličnih podataka. Jedna procjena može obuhvatiti skup sličnih postupaka obrade koji predstavljaju slične visoke rizike.

Rukovalac je dužan da prilikom sprovođenja procjene uticaja na zaštitu podataka zatraži savjet službenika za zaštitu podataka, ukoliko je on određen.

Procjena uticaja na zaštitu podataka iz stava 1 ovog člana naročito se zahtijeva u slučajevima: 1) sistematske i sveobuhvatne procjene ličnih aspekata fizičkih lica koja se zasniva na automatizovanoj obradi, uključujući profilisanje, i na osnovu koje se donose odluke koje proizvode pravne posljedice po fizičko lice ili na sličan način značajno utiču na njega; 2) obrade posebnih kategorija podataka iz člana 10 stav 1 ovog zakona ili ličnih podataka koji se odnose na krivične osude i krivična djela iz člana 11 ovog zakona u velikom obimu; ili 3) sistematskog praćenja javno dostupnog prostora u velikom obimu.

Nadzorni organ utvrđuje i objavljuje listu vrsta postupaka obrade za koje postoji obaveza sprovođenja procjene uticaja na zaštitu podataka u skladu sa stavom 1 ovog člana.

Nadzorni organ može takođe utvrditi i objaviti listu vrsta postupaka obrade za koje nije potrebna procjena uticaja na zaštitu podataka.

Procjena mora sadržati najmanje: 1) sistematski opis predviđenih postupaka obrade i svrha obrade, uključujući, gdje je primjenjivo, opravdani interes koji rukovalac nastoji ostvariti; 2) procjenu nužnosti i proporcionalnosti postupaka obrade u odnosu na svrhe; 3) procjenu rizika po prava i slobode lica na koja se podaci odnose iz stava 1 ovog člana; i 4) mjere predviđene za rješavanje rizika, uključujući zaštitne mjere, mjere bezbjednosti i mehanizme za obezbjeđivanje zaštite ličnih podataka i dokazivanje usklađenosti sa ovim zakonom, uzimajući u obzir prava i legitimne interese lica na koja se podaci odnose i drugih zainteresovanih lica.

Pridržavanje odobrenih kodeksa ponašanja iz člana 41 ovog zakona od strane relevantnih rukovalaca ili obrađivača uzima se u obzir prilikom procjene uticaja postupaka obrade koje ti rukovaoci ili obrađivači sprovode, naročito u svrhu procjene uticaja na zaštitu podataka.

Kada je to potrebno, rukovalac traži mišljenje lica na koja se podaci odnose ili njihovih predstavnika o namjeravanoj obradi, ne isključujući primjenu zaštite komercijalnih ili javnih interesa ili bezbjednost postupaka obrade.

Kada obrada na osnovu člana 7 stav 1 tač. 3 ili 5 ovog zakona ima pravni osnov u zakonu koji se primjenjuje na rukovaoca, kada taj zakon uređuje konkretan postupak obrade ili skup postupaka obrade, i kada je procjena uticaja na zaštitu podataka već izvršena u okviru opšte procjene uticaja tokom donošenja tog pravnog osnova, st. 1 do 7 ovog člana se ne primjenjuju, osim ako se smatra neophodnim sprovesti takvu procjenu prije aktivnosti obrade.

Kada je potrebno, rukovalac vrši preispitivanje kako bi procijenio da li se obrada sprovodi u skladu sa procjenom uticaja na zaštitu podataka, najmanje kada dođe do promjene rizika koji predstavljaju postupci obrade.

Rukovalac se konsultuje sa nadzornim organom prije početka obrade kada procjena uticaja na zaštitu podataka iz člana 36 ovog zakona pokaže da bi obrada dovela do visokog rizika u odsustvu mjera koje rukovalac preduzima radi ublažavanja tog rizika.

Kada nadzorni organ smatra da bi namjeravana obrada iz stava 1 ovog člana bila protivna ovom zakonu, naročito kada rukovalac nije u dovoljnoj mjeri utvrdio ili ublažio rizik, nadzorni organ u roku do osam sedmica od dana prijema zahtjeva za konsultacije dostavlja pisano mišljenje rukovaocu i, kada je primjenjivo, obrađivaču, i može koristiti ovlašćenja iz člana 65 ovog zakona. Taj rok može biti produžen za šest sedmica, uzimajući u obzir složenost namjeravane obrade. Nadzorni organ obavještava rukovaoca i, kada je primjenjivo, obrađivača o takvom produženju u roku od mjesec dana od dana prijema zahtjeva za konsultacije, zajedno sa razlozima kašnjenja. Rokovi mogu biti obustavljeni dok nadzorni organ ne dobije informacije koje je zatražio u svrhu konsultacija.

Prilikom konsultovanja nadzornog organa u skladu sa stavom 1 ovog člana, rukovalac dostavlja nadzornom organu: 1) kada je primjenjivo, odgovornosti rukovaoca, zajedničkih rukovalaca i obrađivača uključenih u obradu, naročito kod obrade u okviru grupe privrednih subjekata; 2) svrhe i sredstva namjeravane obrade; 3) mjere i zaštitne mehanizme predviđene radi zaštite prava i sloboda lica na koja se podaci odnose u skladu sa ovim zakonom; 4) kada je primjenjivo, kontakt podatke službenika za zaštitu podataka; 5) procjenu uticaja na zaštitu podataka iz člana 36 ovog zakona; i 6) sve druge informacije koje zatraži nadzorni organ.

Nadležni organ konsultuje nadzorni organ tokom pripreme nacrta zakona koji treba da usvoji Skupština Crne Gore (u daljem tekstu: Skupština) ili propisa donesenog na osnovu takvog zakona, kada se taj zakon ili propis odnosi na obradu ličnih podataka.

Rukovalac i obrađivač dužni su da imenuju službenika za zaštitu podataka u svakom slučaju kada: 1) obradu vrši organ javne vlasti ili javno tijelo, osim sudova koji postupaju u okviru svojih sudskih ovlašćenja; 2) osnovne aktivnosti rukovaoca ili obrađivača obuhvataju postupke obrade koji, zbog svoje prirode, obima i/ili svrhe, zahtijevaju redovno i sistematsko praćenje lica na koja se podaci odnose u velikom obimu; ili 3) osnovne aktivnosti rukovaoca ili obrađivača obuhvataju obradu posebnih kategorija podataka u velikom obimu u skladu sa članom 10 ovog zakona i ličnih podataka koji se odnose na krivične osude i krivična djela iz člana 11 ovog zakona.

Grupa privrednih subjekata može imenovati jednog službenika za zaštitu podataka, pod uslovom da je službenik za zaštitu podataka lako dostupan iz svakog sjedišta.

Kada je rukovalac ili obrađivač organ javne vlasti ili javno tijelo, jedan službenik za zaštitu podataka može biti određen za više takvih organa ili tijela, uzimajući u obzir njihovu organizacionu strukturu i veličinu.

U slučajevima koji nijesu obuhvaćeni stavom 1 ovog člana, rukovalac ili obrađivač, odnosno udruženja i druga tijela koja predstavljaju kategorije rukovalaca ili obrađivača, mogu ili, kada je to propisano zakonom, moraju imenovati službenika za zaštitu podataka. Službenik za zaštitu podataka može obavljati poslove za takva udruženja i druga tijela koja predstavljaju rukovaoce ili obrađivače.

Službenik za zaštitu podataka imenuje se na osnovu stručnih kvalifikacija, a naročito stručnog znanja o pravu i praksi zaštite podataka, kao i sposobnosti za izvršavanje zadataka iz člana 40 ovog zakona.

Službenik za zaštitu podataka može biti zaposleni kod rukovaoca ili obrađivača ili može obavljati poslove na osnovu ugovora o pružanju usluga.

Rukovalac ili obrađivač dužan je da objavi kontakt podatke službenika za zaštitu podataka i dostavi ih nadzornom organu.

Rukovalac i obrađivač dužni su da obezbijede da službenik za zaštitu podataka bude na odgovarajući način i pravovremeno uključen u sva pitanja koja se odnose na zaštitu ličnih podataka.

Rukovalac i obrađivač podržavaju službenika za zaštitu podataka u obavljanju zadataka iz člana 40 ovog zakona, obezbjeđujući sredstva potrebna za izvršavanje tih zadataka, pristup ličnim podacima i postupcima obrade, kao i održavanje njegovog stručnog znanja.

Rukovalac i obrađivač dužni su da obezbijede da službenik za zaštitu podataka ne prima uputstva u vezi sa obavljanjem svojih zadataka. On ne može biti razriješen niti kažnjen od strane rukovaoca ili obrađivača zbog obavljanja svojih poslova. Službenik za zaštitu podataka neposredno odgovara najvišem nivou upravljanja rukovaoca ili obrađivača.

Lica na koja se podaci odnose mogu se obratiti službeniku za zaštitu podataka u vezi sa svim pitanjima koja se odnose na obradu njihovih ličnih podataka i ostvarivanje njihovih prava u skladu sa ovim zakonom.

Službenik za zaštitu podataka obavezan je na čuvanje tajnosti ili povjerljivosti u vezi sa obavljanjem svojih poslova, u skladu sa zakonom.

Službenik za zaštitu podataka može obavljati i druge poslove i dužnosti. Rukovalac ili obrađivač dužan je da obezbijedi da takvi poslovi i dužnosti ne dovedu do sukoba interesa.

Službenik za zaštitu podataka najmanje obavlja sljedeće zadatke: 1) obavještava i savjetuje rukovaoca ili obrađivača i zaposlene koji vrše obradu o njihovim obavezama u skladu sa ovim zakonom i drugim propisima o zaštiti podataka; 2) prati usklađenost sa ovim zakonom, drugim propisima o zaštiti podataka i politikama rukovaoca ili obrađivača u vezi sa zaštitom ličnih podataka, uključujući raspodjelu odgovornosti, podizanje svijesti i obuku zaposlenih uključenih u postupke obrade, kao i povezane provjere; 3) pruža savjete, kada su zatraženi, u vezi sa procjenom uticaja na zaštitu podataka i prati njeno sprovođenje u skladu sa članom 36 ovog zakona; 4) sarađuje sa nadzornim organom; 5) djeluje kao kontakt tačka za nadzorni organ u pitanjima koja se odnose na obradu, uključujući prethodne konsultacije iz člana 37 ovog zakona, i po potrebi se konsultuje u vezi sa drugim pitanjima.

Službenik za zaštitu podataka pri obavljanju svojih zadataka vodi računa o riziku povezanom sa postupcima obrade, uzimajući u obzir prirodu, obim, kontekst i svrhe obrade.

Nadležni organi i nadzorni organ podstiču izradu kodeksa ponašanja čija je svrha doprinos pravilnoj primjeni ovog zakona, uzimajući u obzir posebnosti različitih sektora obrade i posebne potrebe mikro, malih i srednjih preduzeća.

Udruženja i druga tijela koja predstavljaju kategorije rukovalaca ili obrađivača mogu pripremiti kodekse ponašanja, ili izmijeniti odnosno proširiti postojeće kodekse, radi preciziranja primjene ovog zakona, posebno u pogledu: 1) pravične i transparentne obrade; 2) legitimnih interesa koje rukovaoci slijede u određenim okolnostima; 3) prikupljanja ličnih podataka; 4) pseudonimizacije ličnih podataka; 5) informacija koje se pružaju javnosti i licima na koja se podaci odnose; 6) ostvarivanja prava lica na koja se podaci odnose; 7) informacija koje se pružaju djeci i zaštite djece, kao i načina pribavljanja saglasnosti nosilaca roditeljske odgovornosti nad djecom; 8) mjera i postupaka iz čl. 25 i 26 ovog zakona, kao i mjera za obezbjeđivanje bezbjednosti obrade iz člana 33 ovog zakona; 9) obavještavanja nadzornog organa o povredama ličnih podataka i komunikacije takvih povreda licima na koja se podaci odnose; 10) prenosa ličnih podataka u treće zemlje ili međunarodne organizacije; ili 11) vansudskih postupaka i drugih postupaka za rješavanje sporova radi rješavanja nesuglasica između rukovalaca i lica na koja se podaci odnose u vezi sa obradom, bez prejudiciranja prava lica na koja se podaci odnose u skladu sa čl. 76, 77 i 78 ovog zakona.

Pored pridržavanja od strane rukovalaca ili obrađivača na koje se ovaj zakon primjenjuje, kodeksima ponašanja odobrenim u skladu sa stavom 5 ovog člana mogu se pridržavati i rukovaoci ili obrađivači na koje se ovaj zakon ne primjenjuje u skladu sa članom 3 ovog zakona, kako bi se obezbijedile odgovarajuće zaštitne mjere u okviru prenosa ličnih podataka u treće zemlje ili međunarodne organizacije pod uslovima iz člana 47 stav 2 tačka 3 ovog zakona. Takvi rukovaoci ili obrađivači dužni su da preuzmu obavezujuće i izvršive obaveze putem ugovornih ili drugih pravno obavezujućih instrumenata, radi primjene odgovarajućih zaštitnih mjera, uključujući u pogledu prava lica na koja se podaci odnose.

Kodeks ponašanja iz stava 2 ovog člana mora sadržati mehanizme koji omogućavaju tijelu iz člana 42 stav 1 ovog zakona da vrši obavezno praćenje usklađenosti sa njegovim odredbama od strane rukovalaca ili obrađivača koji se obavezuju na njegovu primjenu, bez uticaja na poslove i ovlašćenja nadzornog organa nadležnog u skladu sa čl. 64 i 65 ovog zakona.

Udruženja i druga tijela iz stava 2 ovog člana koja namjeravaju da pripreme kodeks ponašanja ili da izmijene odnosno prošire postojeći kodeks, dostavljaju nacrt kodeksa, izmjenu ili proširenje nadzornom organu koji je nadležan u skladu sa članom 63 ovog zakona. Nadzorni organ daje mišljenje o tome da li je nacrt kodeksa, izmjena ili proširenje u skladu sa ovim zakonom i odobrava taj nacrt, izmjenu ili proširenje ukoliko utvrdi da obezbjeđuje dovoljne odgovarajuće zaštitne mjere.

Bez uticaja na poslove i ovlašćenja nadzornog organa u skladu sa čl. 64 i 65 ovog zakona, praćenje usklađenosti sa kodeksom ponašanja u skladu sa članom 41 ovog zakona može vršiti tijelo koje posjeduje odgovarajući nivo stručnosti u vezi sa predmetom kodeksa i koje je za tu svrhu akreditovano od strane nadležnog nadzornog organa.

Tijelo iz stava 1 ovog člana može biti akreditovano za praćenje usklađenosti sa kodeksom ponašanja ukoliko: 1) dokaže svoju nezavisnost i stručnost u vezi sa predmetom kodeksa na način prihvatljiv nadležnom nadzornom organu; 2) uspostavi postupke koji omogućavaju procjenu podobnosti zainteresovanih rukovalaca i obrađivača za primjenu kodeksa, praćenje njihove usklađenosti sa njegovim odredbama i periodično preispitivanje njegovog funkcionisanja; 3) uspostavi postupke i strukture za postupanje po pritužbama u vezi sa povredama kodeksa ili načinom na koji je kodeks primijenjen ili se primjenjuje od strane rukovaoca ili obrađivača, i učini te postupke i strukture transparentnim za lica na koja se podaci odnose i javnost; 4) dokaže na način prihvatljiv nadležnom nadzornom organu da njegovi zadaci i obaveze ne dovode do sukoba interesa.

Bez uticaja na poslove i ovlašćenja nadzornog organa i odredbe Poglavlja VIII ovog zakona, tijelo iz stava 1 ovog člana, uz odgovarajuće zaštitne mjere, preduzima odgovarajuće mjere u slučaju povrede kodeksa od strane rukovaoca ili obrađivača, uključujući suspenziju ili isključenje rukovaoca ili obrađivača iz kodeksa. O preduzetim mjerama i razlozima za njihovo preduzimanje obavještava nadležni nadzorni organ.

Nadležni nadzorni organ ukida akreditaciju tijela iz stava 1 ovog člana ukoliko uslovi za akreditaciju nijesu ili više nijesu ispunjeni ili ukoliko postupci tog tijela predstavljaju povredu ovog zakona.

Ovaj član se ne primjenjuje na obradu koju vrše javni organi i tijela.

Nadležni organi i nadzorni organ podstiču uspostavljanje mehanizama sertifikacije zaštite podataka i oznaka i pečata zaštite podataka, radi dokazivanja usklađenosti sa ovim zakonom postupaka obrade koje sprovode rukovaoci i obrađivači. Posebne potrebe mikro, malih i srednjih preduzeća uzimaju se u obzir.

Pored pridržavanja od strane rukovalaca ili obrađivača na koje se ovaj zakon primjenjuje, mehanizmi sertifikacije zaštite podataka, oznake ili pečati odobreni u skladu sa stavom 5 ovog člana mogu biti uspostavljeni radi dokazivanja postojanja odgovarajućih zaštitnih mjera koje primjenjuju rukovaoci ili obrađivači na koje se ovaj zakon ne primjenjuje u skladu sa članom 3 ovog zakona, u okviru prenosa ličnih podataka u treće zemlje ili međunarodne organizacije pod uslovima iz člana 47 stav 2 tačka 6 ovog zakona. Ti rukovaoci ili obrađivači dužni su da preuzmu obavezujuće i izvršive obaveze putem ugovornih ili drugih pravno obavezujućih instrumenata radi primjene odgovarajućih zaštitnih mjera, uključujući u pogledu prava lica na koja se podaci odnose.

Sertifikacija je dobrovoljna i dostupna putem transparentnog postupka.

Sertifikacija u skladu sa ovim članom ne umanjuje odgovornost rukovaoca ili obrađivača za usklađenost sa ovim zakonom i ne utiče na poslove i ovlašćenja nadzornog organa nadležnog u skladu sa čl. 64 i 65 ovog zakona.

Sertifikaciju u skladu sa ovim članom izdaju sertifikaciona tijela iz člana 44 ovog zakona ili nadležni nadzorni organ, na osnovu kriterijuma koje je odobrio taj nadzorni organ u skladu sa članom 65 stav 1 tačka 23 ovog zakona.

Rukovalac ili obrađivač koji podnosi zahtjev za sertifikaciju svojih postupaka obrade dužan je da sertifikacionom tijelu iz člana 44 ovog zakona ili, kada je primjenjivo, nadležnom nadzornom organu, dostavi sve informacije i omogući pristup postupcima obrade koji su neophodni za sprovođenje postupka sertifikacije.

Sertifikacija se izdaje rukovaocu ili obrađivaču na period od najviše tri godine i može biti obnovljena pod istim uslovima, pod uslovom da se relevantni zahtjevi i dalje ispunjavaju.

Sertifikaciju, prema potrebi, povlače sertifikaciona tijela iz člana 44 ovog zakona ili nadležni nadzorni organ ukoliko zahtjevi za sertifikaciju nijesu ili više nijesu ispunjeni.

Bez uticaja na poslove i ovlašćenja nadzornog organa u skladu sa čl. 64 i 65 ovog zakona, sertifikaciona tijela koja posjeduju odgovarajući nivo stručnosti u oblasti zaštite podataka, nakon obavještavanja nadzornog organa kako bi mu se omogućilo da, kada je to potrebno, izvrši svoja ovlašćenja u skladu sa članom 65 stav 1 tačka 14 ovog zakona, izdaju i obnavljaju sertifikacije.

Obezbjeđuje se da ta sertifikaciona tijela budu akreditovana od strane jednog ili oba nadležna organa: 1) nadzornog organa koji je nadležan u skladu sa članom 63 ovog zakona; 2) nacionalnog akreditacionog tijela određenog u skladu sa zakonom kojim se uređuje akreditacija.

Sertifikaciona tijela iz stava 1 ovog člana akredituju se u skladu sa tim stavom samo ako: 1) dokažu svoju nezavisnost i stručnost u vezi sa predmetom sertifikacije na način prihvatljiv nadležnom nadzornom organu; 2) obavežu se da će poštovati kriterijume iz člana 43 stav 5 ovog zakona koje je odobrio nadzorni organ; 3) uspostave postupke za izdavanje, periodično preispitivanje i povlačenje sertifikata zaštite podataka, oznaka i pečata; 4) uspostave postupke i strukture za postupanje po pritužbama u vezi sa povredama sertifikacije ili načinom na koji je sertifikacija primijenjena ili se primjenjuje od strane rukovaoca ili obrađivača, i učine te postupke i strukture transparentnim za lica na koja se podaci odnose i javnost; i 5) dokažu, na način prihvatljiv nadležnom nadzornom organu, da njihovi zadaci i obaveze ne dovode do sukoba interesa.

Akreditacija sertifikacionih tijela iz st. 1 i 2 ovog člana vrši se na osnovu kriterijuma koje je odobrio nadzorni organ.

Sertifikaciona tijela iz stava 1 ovog člana odgovorna su za pravilnu procjenu koja dovodi do izdavanja sertifikacije ili povlačenja takve sertifikacije, bez uticaja na odgovornost rukovaoca ili obrađivača za usklađenost sa ovim zakonom. Akreditacija se izdaje na period od najviše pet godina i može biti obnovljena pod istim uslovima, pod uslovom da sertifikaciono tijelo ispunjava zahtjeve utvrđene ovim članom.

Sertifikaciona tijela iz stava 1 ovog člana dostavljaju nadležnom nadzornom organu razloge za izdavanje ili povlačenje zatražene sertifikacije.

Zahtjevi iz stava 3 ovog člana i kriterijumi iz člana 43 stav 5 ovog zakona objavljuju se od strane nadzornog organa u lako dostupnom obliku.

Ne isključujući primjenu Poglavlja VIII ovog zakona, nadležni nadzorni organ ili nacionalno akreditaciono tijelo ukida akreditaciju sertifikacionog tijela iz stava 1 ovog člana ukoliko uslovi za akreditaciju nijesu ili više nijesu ispunjeni, ili ukoliko postupci sertifikacionog tijela nijesu u skladu sa ovim zakonom.

Svaki prenos ličnih podataka koji su predmet obrade ili koji su namijenjeni obradi nakon prenosa u treću zemlju ili međunarodnu organizaciju može se izvršiti samo ako, uz poštovanje ostalih odredbi ovog zakona, rukovalac i obrađivač ispune uslove utvrđene ovim poglavljem, uključujući i za dalje prenose podataka o ličnosti iz treće zemlje ili međunarodne organizacije u još jednu treću zemlju ili drugu međunarodnu organizaciju. Sve odredbe ovog poglavlja primjenjuju se kako bi se obezbijedilo da nivo zaštite fizičkih lica garantovan ovim zakonom ne bude ugrožen.

Prenos ličnih podataka u treću zemlju ili međunarodnu organizaciju može se izvršiti kada Vlada Crne Gore (u daljem tekstu: Vlada), nakon pribavljenog prethodnog mišljenja nadzornog organa, utvrdi da treća zemlja, teritorija ili jedan ili više određenih sektora unutar te treće zemlje, odnosno predmetna međunarodna organizacija, obezbjeđuje odgovarajući nivo zaštite. Takav prenos ne zahtijeva posebno odobrenje.

Prilikom procjene adekvatnosti nivoa zaštite, Vlada naročito uzima u obzir sljedeće elemente: 1) vladavinu prava, poštovanje ljudskih prava i osnovnih sloboda, relevantno zakonodavstvo, opšte i sektorsko, uključujući propise koji se odnose na javnu bezbjednost, odbranu, nacionalnu bezbjednost i krivično pravo, kao i pristup javnih organa ličnim podacima, sprovođenje takvog zakonodavstva, pravila zaštite podataka, profesionalna pravila i bezbjednosne mjere, uključujući pravila za dalje prenose ličnih podataka u još jednu treću zemlju ili međunarodnu organizaciju koja se primjenjuju u toj zemlji ili međunarodnoj organizaciji, sudsku praksu, kao i djelotvorna i izvršiva prava lica na koja se podaci odnose i djelotvornu upravnu i sudsku zaštitu za lica čiji se lični podaci prenose; 2) postojanje i djelotvorno funkcionisanje jednog ili više nezavisnih nadzornih organa u trećoj zemlji ili međunarodnoj organizaciji koja je nadležna za obezbjeđivanje i sprovođenje usklađenosti sa pravilima zaštite podataka, uključujući odgovarajuća izvršna ovlašćenja, pružanje pomoći i savjeta licima na koja se podaci odnose u ostvarivanju njihovih prava i saradnju sa nadzornim organom; i 3) međunarodne obaveze koje je predmetna treća zemlja ili međunarodna organizacija preuzela, ili druge obaveze koje proizlaze iz pravno obavezujućih konvencija ili instrumenata, kao i iz njenog učešća u multilateralnim ili regionalnim sistemima, posebno u vezi sa zaštitom ličnih podataka.

Nakon procjene adekvatnosti nivoa zaštite, Vlada može utvrditi da treća zemlja, određena teritorija ili jedan ili više određenih sektora unutar treće zemlje, ili međunarodna organizacija, obezbjeđuje odgovarajući nivo zaštite u smislu stava 2 ovog člana. Odlukom se uspostavlja mehanizam periodičnog preispitivanja, najmanje jednom u četiri godine, uzimajući u obzir sve relevantne promjene u trećoj zemlji ili međunarodnoj organizaciji. Odlukom se određuje njena teritorijalna i sektorska primjena i, kada je primjenjivo, određuje nadzorni organ ili organe iz stava 2 tačka 2 ovog člana.

Nadzorni organ kontinuirano prati razvoj događaja u trećim zemljama i međunarodnim organizacijama koji mogu uticati na primjenu odluka donesenih u skladu sa stavom 3 ovog člana.

Ukoliko dostupne informacije pokažu, naročito nakon preispitivanja iz stava 3 ovog člana, da treća zemlja, određena teritorija ili jedan ili više određenih sektora unutar treće zemlje, ili međunarodna organizacija više ne obezbjeđuje odgovarajući nivo zaštite u smislu stava 2 ovog člana, odluka iz stava 3 ovog člana može, u mjeri u kojoj je potrebno, biti ukinuta, izmijenjena ili suspendovana, bez povratnog dejstva.

U opravdanim hitnim slučajevima mogu se donijeti odluke sa neposrednim dejstvom.

Vlada započinje konsultacije sa trećom zemljom ili međunarodnom organizacijom radi otklanjanja okolnosti koje su dovele do donošenja odluke iz stava 5 ovog člana.

Odluka iz stava 5 ovog člana ne utiče na prenose ličnih podataka u treću zemlju, određenu teritoriju ili jedan ili više određenih sektora unutar te treće zemlje, ili međunarodnu organizaciju u skladu sa čl. 47 do 50 ovog zakona.

Vlada objavljuje listu trećih zemalja, teritorija i određenih sektora unutar trećih zemalja i međunarodnih organizacija za koje je utvrđeno da obezbjeđuju ili više ne obezbjeđuju odgovarajući nivo zaštite.

Odluke o adekvatnosti nivoa zaštite donijete prije stupanja na snagu ovog zakona ostaju na snazi sve dok ne budu izmijenjene, zamijenjene ili ukinute u skladu sa ovim zakonom.

U nedostatku odluke u skladu sa članom 46 stav 3 ovog zakona, rukovalac ili obrađivač može prenijeti lične podatke u treću zemlju ili međunarodnu organizaciju samo ako je rukovalac ili obrađivač obezbijedio odgovarajuće zaštitne mjere i pod uslovom da su dostupna izvršiva prava lica na koja se podaci odnose i djelotvorna pravna sredstva za ta lica.

Odgovarajuće zaštitne mjere iz stava 1 ovog člana mogu se obezbijediti, bez potrebe za posebnim odobrenjem nadzornog organa, putem: 1) pravno obavezujućeg i izvršivog instrumenta između javnih organa ili tijela; 2) obavezujućih korporativnih pravila u skladu sa članom 48 ovog zakona; 3) standardne klauzule o zaštiti podataka koje je usvojila Evropska komisija; 4) standardne klauzule o zaštiti podataka koje je usvojila Agencija i odobrila Evropska komisija; 5) odobrenog kodeksa ponašanja u skladu sa članom 41 ovog zakona, zajedno sa obavezujućim i izvršivim obavezama rukovaoca ili obrađivača u trećoj zemlji za primjenu odgovarajućih zaštitnih mjera, uključujući i u pogledu prava lica na koja se podaci odnose; ili 6) odobrenog mehanizma sertifikacije u skladu sa članom 43 ovog zakona, zajedno sa obavezujućim i izvršivim obavezama rukovaoca ili obrađivača u trećoj zemlji za primjenu odgovarajućih zaštitnih mjera, uključujući i u pogledu prava lica na koja se podaci odnose.

Uz odobrenje nadležnog nadzornog organa, odgovarajuće zaštitne mjere iz stava 1 ovog člana mogu se obezbijediti naročito putem: 1) ugovornih klauzula između rukovaoca ili obrađivača i rukovaoca, obrađivača ili primaoca ličnih podataka u trećoj zemlji ili međunarodnoj organizaciji; ili 2) odredbi koje se unose u administrativne aranžmane između javnih organa ili tijela, a koje uključuju izvršiva i djelotvorna prava lica na koja se podaci odnose.

Nadležni nadzorni organ odobrava obavezujuća korporativna pravila pod uslovom da ona: 1) imaju pravno obavezujuće dejstvo i primjenjuju se na svakog relevantnog člana grupe preduzeća ili grupe privrednih subjekata koji obavljaju zajedničku ekonomsku djelatnost, uključujući njihove zaposlene, i da ih oni sprovode; 2) izričito daju izvršiva prava licima na koja se podaci odnose u vezi sa obradom njihovih ličnih podataka; i 3) ispunjavaju zahtjeve utvrđene u stavu 2 ovog člana.

Obavezujuća korporativna pravila iz stava 1 ovog člana moraju najmanje sadržati: 1) strukturu i kontakt podatke grupe preduzeća ili grupe privrednih subjekata koji obavljaju zajedničku ekonomsku djelatnost i svakog njenog člana; 2) prenose podataka ili skup prenosa, uključujući kategorije ličnih podataka, vrstu obrade i njene svrhe, vrste lica na koja se podaci odnose i identifikaciju predmetne treće zemlje ili zemalja; 3) njihovu pravno obavezujuću prirodu, kako interno tako i eksterno; 4) primjenu opštih principa zaštite podataka, posebno ograničenja svrhe, smanjenja količine podataka, ograničenih rokova čuvanja, kvaliteta podataka, zaštite podataka po dizajnu i podrazumijevanoj zaštiti, pravnog osnova za obradu, obrade posebnih kategorija ličnih podataka, mjera za obezbjeđivanje bezbjednosti podataka i zahtjeva u pogledu daljih prenosa tijelima koja nijesu obavezana obavezujućim korporativnim pravilima; 5) prava lica na koja se podaci odnose u vezi sa obradom i načine ostvarivanja tih prava, uključujući pravo da ne budu predmet odluka zasnovanih isključivo na automatizovanoj obradi, uključujući profilisanje u skladu sa članom 23 ovog zakona, pravo na podnošenje zahtjeva za zaštitu prava Agenciji u skladu sa članom 76 ovog zakona i pravo na sudsku zaštitu u skladu sa članom 77 ovog zakona, kao i pravo na naknadu štete u skladu sa članom 79 ovog zakona; 6) prihvatanje odgovornosti od strane rukovaoca ili obrađivača sa sjedištem u Crnoj Gori za svaku povredu obavezujućih korporativnih pravila koju učini bilo koji relevantni član koji nema sjedište u Crnoj Gori; rukovalac ili obrađivač oslobađa se te odgovornosti u potpunosti ili djelimično samo ako dokaže da taj član nije odgovoran za događaj koji je prouzrokovao štetu; 7) način na koji se informacije o obavezujućim korporativnim pravilima, naročito o odredbama iz tač. 4, 5 i 6 ovog stava, pružaju licima na koja se podaci odnose, pored informacija iz čl. 14 i 15 ovog zakona; 8) zadatke službenika za zaštitu podataka određenog u skladu sa članom 38 ovog zakona ili drugog lica odnosno subjekta zaduženog za praćenje usklađenosti sa obavezujućim korporativnim pravilima unutar grupe preduzeća ili grupe privrednih subjekata koji obavljaju zajedničku ekonomsku djelatnost, kao i za praćenje obuka i postupanja po pritužbama; 9) postupke za podnošenje pritužbi; 10) mehanizme unutar grupe preduzeća ili grupe privrednih subjekata koji obavljaju zajedničku ekonomsku djelatnost za obezbjeđivanje provjere usklađenosti sa obavezujućim korporativnim pravilima. Ti mehanizmi moraju uključivati revizije zaštite podataka i metode za obezbjeđivanje korektivnih mjera radi zaštite prava lica na koja se podaci odnose. Rezultati tih provjera treba da budu dostavljeni licu ili subjektu iz tačke 8 ovog stava i upravnom odboru kontrolnog preduzeća grupe preduzeća ili grupe privrednih subjekata koji obavljaju zajedničku ekonomsku djelatnost, i treba da budu dostupni na zahtjev nadležnom nadzornom organu; 11) mehanizme za prijavljivanje i evidentiranje izmjena pravila i dostavljanje tih izmjena nadzornom organu; 12) mehanizam saradnje sa nadzornim organom radi obezbjeđivanja usklađenosti svakog člana grupe preduzeća ili grupe privrednih subjekata koji obavljaju zajedničku ekonomsku djelatnost, naročito stavljanjem na raspolaganje nadzornom organu rezultata provjera mjera iz tačke 10 ovog stava; 13) mehanizme za prijavljivanje nadležnom nadzornom organu svih pravnih zahtjeva kojima podliježe član grupe preduzeća ili grupe privrednih subjekata koji obavljaju zajedničku ekonomsku djelatnost u trećoj zemlji, a koji bi mogli imati značajan negativan uticaj na garancije obezbijeđene obavezujućim korporativnim pravilima; i 14) odgovarajuću obuku iz oblasti zaštite podataka za osoblje koje ima stalni ili redovni pristup ličnim podacima.

Svaka presuda suda ili drugog pravosudnog organa, kao i svaka odluka upravnog organa treće zemlje kojom se od rukovaoca ili obrađivača zahtijeva prenos ili otkrivanje ličnih podataka, može biti priznata ili izvršena na bilo koji način samo ako se zasniva na međunarodnom sporazumu, kao što je sporazum o međusobnoj pravnoj pomoći, koji je na snazi između treće zemlje koja podnosi zahtjev i Crne Gore, bez uticaja na druge osnove za prenos u skladu sa ovim poglavljem.

U nedostatku odluke o adekvatnosti u skladu sa članom 46 stav 3 ovog zakona, ili odgovarajućih zaštitnih mjera u skladu sa članom 47 ovog zakona, uključujući obavezujuća korporativna pravila, prenos ili skup prenosa ličnih podataka u treću zemlju ili međunarodnu organizaciju može se izvršiti samo pod jednim od sljedećih uslova: 1) lice na koje se podaci odnose izričito je dalo saglasnost za predloženi prenos, nakon što je obaviješteno o mogućim rizicima takvog prenosa za lice na koje se podaci odnose zbog nepostojanja odluke o adekvatnosti i odgovarajućih zaštitnih mjera; 2) prenos je neophodan za izvršenje ugovora između lica na koje se podaci odnose i rukovaoca obrade, ili za sprovođenje predugovornih mjera preduzetih na zahtjev lica na koje se podaci odnose; 3) prenos je neophodan za zaključivanje ili izvršenje ugovora zaključenog u interesu lica na koje se podaci odnose između rukovaoca obrade i drugog fizičkog ili pravnog lica; 4) prenos je neophodan iz važnih razloga od javnog interesa; 5) prenos je neophodan radi uspostavljanja, ostvarivanja ili odbrane pravnih zahtjeva; 6) prenos je neophodan radi zaštite životno važnih interesa lica na koje se podaci odnose ili drugih lica, kada lice na koje se podaci odnose fizički ili pravno nije sposobno da da saglasnost; 7) prenos se vrši iz registra koji je, u skladu sa zakonom, namijenjen pružanju informacija javnosti i koji je dostupan za uvid javnosti uopšte ili bilo kom licu koje može dokazati opravdani interes, ali samo u mjeri u kojoj su ispunjeni uslovi za uvid utvrđeni zakonom u konkretnom slučaju.

Kada prenos nije mogao biti zasnovan na odredbi čl. 46 ili 47 ovog zakona, uključujući odredbe o obavezujućim korporativnim pravilima, i kada se ne primjenjuje nijedno od odstupanja za posebne situacije iz stava 1 ovog člana, prenos u treću zemlju ili međunarodnu organizaciju može se izvršiti samo ako prenos nije ponavljajući, odnosi se samo na ograničen broj lica na koja se podaci odnose, neophodan je radi ostvarivanja nužnih legitimnih interesa koje ostvaruje rukovalac obrade, a koji nisu potisnuti interesima ili pravima i slobodama lica na koje se podaci odnose, i ako je rukovalac obrade procijenio sve okolnosti koje se odnose na prenos podataka i na osnovu te procjene obezbijedio odgovarajuće zaštitne mjere u vezi sa zaštitom ličnih podataka. Rukovalac obrade dužan je da obavijesti nadzorni organ o prenosu. Rukovalac obrade je, pored pružanja informacija iz čl. 14 i 15 ovog zakona, dužan da obavijesti lice na koje se podaci odnose o prenosu i o nužnim legitimnim interesima koji se ostvaruju.

Prenos u skladu sa stavom 1 tačka 7 ovog člana ne smije obuhvatiti sve lične podatke niti čitave kategorije ličnih podataka sadržanih u registru. Kada je registar namijenjen za uvid licima koja imaju opravdani interes, prenos se vrši samo na zahtjev tih lica ili ukoliko su ona primaoci podataka.

Stav 1 tač. 1, 2 i 3 i stav 2 ovog člana ne primjenjuju se na aktivnosti koje obavljaju organi javne vlasti u okviru vršenja svojih javnih ovlašćenja.

Javni interes iz stava 1 tačka 4 ovog člana mora biti priznat zakonom.

U nedostatku odluke o adekvatnosti, zakon može, iz važnih razloga od javnog interesa, izričito ograničiti prenos određenih kategorija ličnih podataka u treću zemlju ili međunarodnu organizaciju.

Rukovalac obrade ili obrađivač dužan je da dokumentuje procjenu, kao i odgovarajuće zaštitne mjere iz stava 2 ovog člana, u evidencijama iz člana 31 ovog zakona.

U odnosu na treće zemlje i međunarodne organizacije, nadzorni organi preduzimaju odgovarajuće mjere radi: 1) razvoja mehanizama međunarodne saradnje kako bi se olakšala djelotvorna primjena propisa o zaštiti ličnih podataka; 2) pružanja međunarodne uzajamne pomoći u primjeni propisa o zaštiti ličnih podataka, uključujući putem obavještavanja, prosljeđivanja pritužbi, pomoći u sprovođenju istraga i razmjene informacija, uz odgovarajuće zaštitne mjere za zaštitu ličnih podataka i drugih osnovnih prava i sloboda; 3) uključivanja relevantnih zainteresovanih strana u rasprave i aktivnosti usmjerene na unapređenje međunarodne saradnje u sprovođenju propisa o zaštiti ličnih podataka; 4) podsticanja razmjene i dokumentovanja propisa i prakse u oblasti zaštite ličnih podataka, uključujući pitanja sukoba nadležnosti sa trećim zemljama.

Agencija za zaštitu ličnih podataka i slobodan pristup informacijama (u daljem tekstu: Agencija)

je nezavisni nadzorni organ odgovoran za praćenje primjene ovog zakona u cilju zaštite osnovnih prava i sloboda fizičkih lica u vezi sa obradom ličnih podataka.

Agencija će djelovati uz potpunu institucionalnu, funkcionalnu, organizacionu i operativnu nezavisnost u obavljanju svojih zadataka i vršenju svojih ovlašćenja u skladu sa ovim zakonom.

Agencija ima status pravnog lica.

Sjedište Agencije je u Podgorici.

Agencija djeluje nezavisno u vršenju svojih nadležnosti u skladu sa ovim zakonom.

Savjet Agencije i direktor Agencije, u vršenju svojih dužnosti i ovlašćenja utvrđenih ovim zakonom, ne smiju biti podvrgnuti direktnom ili indirektnom uticaju sa strane i ne smiju tražiti niti prihvatati uputstva od bilo koga.

Savjet Agencije i direktor Agencije uzdržavaju se od svake radnje koja nije spojiva sa njihovim dužnostima i, tokom trajanja mandata i radnog odnosa, ne smiju obavljati nespojive aktivnosti, bez obzira na to da li su one plaćene ili ne.

Agencija raspolaže ljudskim, tehničkim i finansijskim resursima, prostorijama i infrastrukturom potrebnim za djelotvorno vršenje svojih nadležnosti, uključujući ovlašćenja koja se odnose na međunarodnu uzajamnu pomoć i saradnju.

Prava, obaveze i odgovornosti zaposlenih u Agenciji uređuju se opštim zakonodavstvom o radu.

Sredstva za rad Agencije obezbjeđuju se u budžetu Crne Gore, u skladu sa zakonom kojim se uređuje budžetski sistem.

Agencija samostalno i nezavisno upravlja odobrenim finansijskim sredstvima u skladu sa zakonom.

Finansijska kontrola rada Agencije sprovodi se na način kojim se ne utiče na njenu nezavisnost i ne može se koristiti za ograničavanje njenih zakonom utvrđenih ovlašćenja.

Organi Agencije su Savjet Agencije i direktor.

Savjet Agencije i direktor Agencije odgovorni su za zakonit rad Agencije.

Savjet Agencije čine predsjednik i dva člana.

Predsjednika i članove Savjeta Agencije imenuje i razrješava Skupština, na predlog nadležnog radnog tijela.

Predsjednik i članovi Savjeta Agencije imenuju se na period od pet godina i ne mogu biti imenovani na ove funkcije više od dva puta.

Javni poziv za predsjednika i članove Savjeta Agencije objavljuje nadležno radno tijelo Skupštine (u daljem tekstu: nadležno radno tijelo).

Za predsjednika ili člana Savjeta Agencije može biti imenovano lice koje, pored opštih uslova za zasnivanje radnog odnosa državnih službenika i namještenika, mora ispunjavati i sljedeće uslove: 1) ima najmanje VII1 nivo kvalifikacije obrazovanja i najmanje sedam godina radnog iskustva u VII1 nivou kvalifikacije obrazovanja; 2) posjeduje znanja i iskustvo od značaja za obavljanje poslova iz nadležnosti Agencije.

Kandidat za predsjednika ili člana Savjeta Agencije dužan je da, uz prijavu na javni poziv, dostavi pisanu izjavu da ne postoje smetnje za njegovo imenovanje iz člana 58 ovog zakona.

Za predsjednika ili člana Savjeta Agencije ne može biti imenovano lice koje: 1) je poslanik; 2) je odbornik; 3) je član Vlade; 4) obavlja funkciju na koju ga je imenovala ili postavila Vlada; 5) je funkcioner političke partije (predsjednik partije, član predsjedništva, njihov zamjenik, član izvršnog ili glavnog odbora, ili drugi partijski funkcioner); 6) je pravosnažno osuđivano za krivično djelo za koje se gonjenje preduzima po službenoj dužnosti, bez obzira na izrečenu sankciju, ili je pravosnažno osuđivano za drugo krivično djelo za koje je izrečena kazna zatvora duža od šest mjeseci, za vrijeme dok traju pravne posljedice osude; 7) je bračni supružnik, vanbračni partner, odnosno partner u životnom partnerstvu lica istog pola iz tač. 1, 2 i 3 ovog stava, ili je sa tim licem u srodstvu po pravoj liniji, u pobočnoj liniji do drugog stepena srodstva ili po tazbini.

Kandidat za predsjednika ili člana Savjeta Agencije dužan je da, uz prijavu na javni poziv, dostavi pisanu izjavu da na dan podnošenja prijave ne postoje smetnje iz stava 1 ovog člana i da će bez odlaganja obavijestiti nadležni organ o svakoj promjeni tih okolnosti do okončanja postupka izbora.

Mandat predsjednika ili člana Savjeta prestaje: 1) istekom perioda na koji je imenovan; 2) smrću; 3) na lični zahtjev; 4) kada se utvrdi da su u vrijeme imenovanja postojale ili su tokom trajanja mandata nastale okolnosti koje predstavljaju smetnje iz člana 58 ovog zakona; 5) gubitkom državljanstva; 6) kada mu je pravosnažnom sudskom odlukom ograničena poslovna sposobnost; 7) zbog trajnog gubitka radne sposobnosti; 8) navršenjem 67 godina života i najmanje 15 godina staža osiguranja, u skladu sa propisima kojima se uređuju radni odnosi; 9) razrješenjem, u slučaju teže povrede službene dužnosti.

Teža povreda službene dužnosti naročito podrazumijeva: 1) ozbiljno ili ponovljeno neizvršavanje zakonskih obaveza koje dovodi do ozbiljnih posljedica po prava i slobode fizičkih lica ili zakonito funkcionisanje Agencije; 2) povredu obaveze čuvanja povjerljivosti podataka; 3) ozbiljnu povredu obaveza nezavisnosti ili nepristrasnosti propisanih ovim zakonom.

Postupak za razrješenje predsjednika ili člana Savjeta Agencije može se pokrenuti na obrazloženi predlog jedne trećine poslanika.

Nadležno radno tijelo utvrđuje da li postoje razlozi za razrješenje; ako utvrdi da postoje razlozi za razrješenje, dostavlja Skupštini obrazloženi predlog odluke o razrješenju.

Predsjednika ili člana Savjeta Skupština razrješava na predlog nadležnog radnog tijela.

Protiv odluke o razrješenju može se pokrenuti upravni spor.

Direktora Agencije imenuje Savjet Agencije, na osnovu javnog konkursa, na period od pet godina.

Za direktora Agencije može biti imenovano lice koje, pored opštih uslova za zasnivanje radnog odnosa državnih službenika i namještenika, mora ispunjavati i sljedeće uslove: 1) ima najmanje VII1 nivo kvalifikacije obrazovanja i najmanje pet godina radnog iskustva u VII1 nivou kvalifikacije obrazovanja, od čega najmanje tri godine iskustva na rukovodećim poslovima; 2) posjeduje znanja i iskustvo od značaja za obavljanje poslova iz nadležnosti Agencije.

Kandidat za direktora Agencije dužan je da, uz prijavu na javni konkurs, dostavi pisanu izjavu da ne postoje smetnje za njegovo imenovanje iz člana 58 ovog zakona.

Mandat direktora prestaje istekom perioda na koji je imenovan.

Prije isteka perioda na koji je imenovan, mandat direktora može prestati pod uslovima utvrđenim za prestanak mandata predsjednika i članova Savjeta u članu 59 st. 1 i 2 ovog zakona.

Direktor Agencije razrješava se na osnovu obrazloženog predloga za razrješenje, na predlog predsjednika ili člana Savjeta, većinom glasova članova Savjeta.

Savjet Agencije može privremeno suspendovati direktora Agencije ako utvrdi postojanje teže povrede službene dužnosti. Privremena suspenzija traje do konačnog utvrđivanja postojanja teže povrede službene dužnosti.

Protiv odluke Savjeta može se pokrenuti upravni spor.

Savjetu Agencije i direktoru zabranjeno je da tokom trajanja mandata ili zaposlenja, kao i godinu dana nakon njegovog prestanka, obavljaju poslove, djelatnosti ili ostvaruju koristi koje su nespojive sa načelima nezavisnosti i nepristrasnosti.

Savjet Agencije, direktor i zaposleni u Agenciji dužni su, tokom trajanja mandata ili zaposlenja, kao i nakon njegovog prestanka, da čuvaju profesionalnu tajnu u vezi sa svim povjerljivim informacijama sa kojima su se upoznali tokom obavljanja svojih poslova ili ovlašćenja, u skladu sa propisima.

Tokom trajanja mandata, obaveza čuvanja profesionalne tajne naročito se odnosi na pritužbe fizičkih lica zbog povrede ovog zakona.

Agencija je nadležna za: 1) obavljanje poslova i vršenje ovlašćenja povjerenih ovim zakonom; 2) nadzor nad obradom ličnih podataka koju vrše rukovaoci i obrađivači.

Agencija nije nadležna za nadzor nad obradom ličnih podataka koju vrše sudovi prilikom obavljanja njihove sudske funkcije.

Agencija obavlja sljedeće poslove: 1) prati i obezbjeđuje primjenu ovog zakona; 2) sprovodi aktivnosti podizanja svijesti javnosti i razumijevanja rizika, pravila, mjera zaštite ličnih podataka i prava pojedinaca u vezi sa obradom ličnih podataka, sa posebnom pažnjom posvećenom aktivnostima namijenjenim isključivo maloljetnim licima; 3) daje savjete, u skladu sa ovim zakonom, državnim organima, organima državne uprave, organima lokalne samouprave ili lokalne uprave, privrednim društvima i drugim subjektima koji vrše javna ovlašćenja u vezi sa zaštitom prava i sloboda fizičkih lica u odnosu na obradu ličnih podataka; 4) daje mišljenja o nacrtima zakona sa aspekta zaštite ličnih podataka, u skladu sa ovim zakonom; 5) sprovodi aktivnosti usmjerene na podizanje svijesti rukovalaca o njihovim obavezama u skladu sa ovim zakonom; 6) na zahtjev lica na koje se podaci odnose, pruža informacije u vezi sa ostvarivanjem njegovih prava iz ovog zakona i, kada je potrebno, sarađuje sa drugim nadzornim organima radi pružanja pravne pomoći; 7) odlučuje o zahtjevima lica na koje se podaci odnose za zaštitu prava, prigovorima i inicijativama za pokretanje postupka nadzora i, kada je potrebno, sarađuje sa nadzornim organima drugih država u tu svrhu; 8) sarađuje sa drugim nadzornim organima kroz razmjenu informacija radi primjene ovog zakona; 9) vrši nadzor na zahtjev drugih nadzornih organa; 10) prati razvoj informacionih i komunikacionih tehnologija i poslovne prakse u mjeri u kojoj utiču na zaštitu ličnih podataka; 11) utvrđuje standardne klauzule o zaštiti podataka iz člana 47 stav 2 tačka 4 ovog zakona i dostavlja ih na odobrenje Evropskoj komisiji; 12) utvrđuje i javno objavljuje listu vrsta obrada ličnih podataka za koje je obavezna procjena uticaja na zaštitu ličnih podataka; 13) daje mišljenja u vezi sa obradom ličnih podataka iz člana 37 ovog zakona; 14) daje odobrenja za prenos ličnih podataka i uspostavljanje zbirki ličnih podataka u skladu sa ovim zakonom; 15) podstiče izradu kodeksa ponašanja i daje mišljenja i odobrava takve kodekse; 16) podstiče uspostavljanje mehanizama sertifikacije zaštite ličnih podataka i odobrava kriterijume sertifikacije; 17) vrši periodičnu provjeru izdatih sertifikata; 18) objavljuje postupak i kriterijume za izdavanje, obnavljanje ili opozivanje sertifikata, kao i izgled pečata i oznake; 19) priprema i objavljuje kriterijume za akreditaciju tijela koja nadziru kodekse ponašanja i vrši akreditaciju tih tijela; 20) odobrava obavezujuća korporativna pravila; 21) vodi interne evidencije o povredama ovog zakona i preduzetim mjerama za otklanjanje nepravilnosti; 22) obavlja druge poslove u skladu sa zakonom kojim se uređuje slobodan pristup informacijama, kao i ovim zakonom.

Agencija je dužna da kriterijume i postupak za izdavanje, obnavljanje i opozivanje sertifikata, kao i izgled pečata i oznake iz stava 1 tačka 18 ovog člana, utvrdi i objavi u roku od šest mjeseci od dana stupanja na snagu ovog zakona.

Agencija ima sljedeća ovlašćenja: 1) da zahtijeva od rukovaoca i obrađivača, a kada je to potrebno i od predstavnika rukovaoca ili obrađivača, sve informacije neophodne za vršenje svojih nadležnosti, u skladu sa ovim zakonom; 2) da vrši nadzor nad primjenom ovog zakona (redovni i vanredni); 3) da nadzire postupak sertifikacije i izdate sertifikate; 4) da obavijesti rukovaoca ili obrađivača o navodnoj povredi ovog zakona; 5) da od rukovaoca ili obrađivača zahtijeva pristup svim ličnim podacima i svim informacijama potrebnim za vršenje nadzora; 6) da ostvari pristup svim prostorijama rukovaoca i obrađivača, uključujući svu opremu i sredstva za obradu ličnih podataka; 7) da izda upozorenje rukovaocu ili obrađivaču da predviđene radnje obrade mogu predstavljati povredu odredaba ovog zakona; 8) da izrekne opomenu rukovaocu ili obrađivaču kada se radnje obrade sprovode suprotno odredbama ovog zakona; 9) da naloži rukovaocu ili obrađivaču da postupi po zahtjevu lica na koje se podaci odnose radi ostvarivanja njegovih prava u skladu sa ovim zakonom; 10) da naloži rukovaocu ili obrađivaču da radnje obrade, kada je potrebno, uskladi sa odredbama ovog zakona, na tačno određen način i u tačno određenom roku; 11) da naloži rukovaocu ili obrađivaču da obavijesti lice na koje se podaci odnose o povredi bezbjednosti ličnih podataka; 12) da privremeno ili trajno ograniči ili zabrani obradu; 13) da naloži ispravku ili brisanje netačnih ličnih podataka ili ograničenje obrade i obavještavanje primalaca tih podataka; 14) da opozove izdati sertifikat ili naloži sertifikacionom tijelu da opozove izdati sertifikat, odnosno da naloži sertifikacionom tijelu da ne izda sertifikat kada uslovi za sertifikaciju nijesu ili više nijesu ispunjeni; 15) da podnese zahtjev za pokretanje prekršajnog postupka; 16) da izrekne upravne novčane kazne u skladu sa ovim zakonom; 17) da naloži obustavu prenosa podataka primaocu u trećoj zemlji ili međunarodnoj organizaciji; 18) da savjetuje rukovaoca u skladu sa postupkom prethodnog savjetovanja; 19) da daje mišljenja o svim pitanjima koja se odnose na zaštitu ličnih podataka, na sopstvenu inicijativu ili na zahtjev državnog organa, organa državne uprave, organa lokalne samouprave, pravnog ili fizičkog lica koje vrši javna ovlašćenja, kao i javnosti; 20) da odobri obradu koju vrši rukovalac ili obrađivač u vezi sa procjenom uticaja na zaštitu podataka, kada je takvo prethodno odobrenje propisano posebnim zakonom; 21) da daje mišljenja i odobrava nacrte kodeksa ponašanja; 22) da akredituje sertifikaciono tijelo; 23) da izdaje sertifikate i odobrava kriterijume sertifikacije; 24) da utvrđuje standardne klauzule o zaštiti podataka iz člana 47 stav 2 tačka 4 ovog zakona i dostavlja ih na odobrenje Evropskoj komisiji; 25) da odobrava odgovarajuće mjere zaštite za prenos ličnih podataka na osnovu ugovornih klauzula između rukovaoca ili obrađivača i rukovaoca, obrađivača ili primaoca ličnih podataka u trećoj zemlji ili međunarodnoj organizaciji; 26) da odobrava odgovarajuće mjere zaštite za prenos ličnih podataka u treću zemlju ili međunarodnu organizaciju, u skladu sa ovim zakonom; 27) da odobrava obavezujuća korporativna pravila.

Agencija će preduzimati odgovarajuće mjere u odnosu na druge države i međunarodne organizacije radi: 1) razvoja mehanizama međunarodne saradnje koji olakšavaju efikasnu primjenu propisa o zaštiti ličnih podataka; 2) obezbjeđivanja uzajamne međunarodne pomoći u primjeni propisa o zaštiti ličnih podataka, koja uključuje obavještavanje, podnošenje pritužbi, pružanje pomoći u istragama i razmjenu informacija, uz primjenu odgovarajućih mjera zaštite ličnih podataka i drugih osnovnih prava i sloboda; 3) uključivanja relevantnih zainteresovanih strana u rasprave i aktivnosti usmjerene na unapređenje međunarodne saradnje u primjeni propisa o zaštiti ličnih podataka; 4) podsticanja razmjene i dokumentovanja propisa i prakse u oblasti zaštite ličnih podataka, uključujući sporove o nadležnosti sa drugim državama.

Savjet Agencije: 1) donosi Statut Agencije; 2) donosi Poslovnik o radu Savjeta Agencije; 3) usvaja godišnji plan rada Agencije; 4) utvrđuje završni račun Agencije; 5) odlučuje o prigovorima na zapisnik o izvršenom nadzoru i, u slučaju usvajanja prigovora, odlučuje o izricanju mjera iz člana 79 ovog zakona; 6) usvaja godišnji izvještaj o radu Agencije i stanju u oblasti zaštite ličnih podataka.

Savjet Agencije odlučuje većinom glasova od ukupnog broja članova Savjeta.

Predsjednik i članovi Savjeta, prilikom glasanja, ne mogu biti uzdržani, osim u slučaju postojanja razloga za izuzeće u skladu sa zakonom o kome će odluku donijeti drugi članovi Savjeta.

Članovi Savjeta mogu dati i izdvojeno mišljenje.

Predsjednik i članovi Savjeta Agencije u izvršavanju svojih zadataka i vršenju svojih ovlašćenja ne smiju biti izloženi neposrednom ili posrednom uticaju i primati instrukcije od drugih.

Direktor Agencije: 1) predstavlja i zastupa Agenciju; 2) izvršava odluke Savjeta Agencije; 3) donosi odluke u postupku nadzora kada na zapisnik o izvršenom nadzoru nije izjavljen prigovor, uključujući odluku o izricanju mjera iz člana 86 ovog zakona; 4) predlaže Savjetu Agencije akte i odluke iz njegove nadležnosti; 5) obavlja i druge poslove utvrđene zakonom.

Statutom Agencije bliže se uređuju: 1) unutrašnja organizacija i rad stručne službe Agencije; 2) način rada organa Agencije, u skladu sa ovim zakonom; 3) druga pitanja od značaja za rad i funkcionisanje Agencije, u skladu sa ovim zakonom.

Agencija ima odjeljenja i službe.

Odjeljenja se organizuju za obavljanje poslova nadzora nad zaštitom ličnih podataka, postupanja po predmetima i prigovorima, slobodnog pristupa informacijama, registra i informacionog sistema, akreditacije i sertifikacije, upravljanja bezbjednosnim incidentima i procjenama uticaja na privatnost, normativnih poslova i međunarodne saradnje u oblasti zaštite ličnih podataka.

Savjet Agencije podnosi Skupštini godišnji izvještaj o radu Agencije i stanju u oblasti zaštite ličnih podataka do 31. marta tekuće godine za prethodnu godinu.

Savjet Agencije podnosi Skupštini poseban izvještaj o stanju zaštite ličnih podataka: 1) na zahtjev Skupštine; 2) kada Agencija smatra da postoje posebni razlozi za njegovo podnošenje.

Izvještaj iz stava 1 ovog člana sadrži podatke o svim aktivnostima Agencije, kao i analizu stanja zaštite ličnih podataka, naročito: 1) vrste povreda prava na zaštitu ličnih podataka i oblasti u kojima se takve povrede najčešće pojavljuju; 2) broj i vrste izrečenih mjera, kao i broj pokrenutih prekršajnih i sudskih postupaka; 3) ključna pitanja u oblasti zaštite ličnih podataka; 4) podatke o prekograničnoj saradnji sa nadzornim organima država članica Evropske unije i Evropskim odborom za zaštitu podataka.

Savjet Agencije i direktor odgovorni su za tačnost podataka sadržanih u izvještaju.

Izvještaji iz st. 1 i 2 ovog člana objavljuju se na internet stranici Agencije i trajno su dostupni javnosti.

Nadzor nad zaštitom ličnih podataka vrši Agencija preko zaposlenih ovlašćenih za obavljanje poslova nadzora, u skladu sa aktom o sistematizaciji (u daljem tekstu: kontrolor).

Nadzor nad zaštitom ličnih podataka obezbjeđuje neposredan uvid u zakonitost rada i postupanja rukovalaca i obrađivača, radi provjere usklađenosti njihovih aktivnosti sa ovim zakonom i drugim propisima koji se odnose na zaštitu ličnih podataka.

Kontrolor može biti lice koje, pored opštih uslova propisanih zakonom, ispunjava sljedeće uslove: 1) ima najmanje VII1 nivo kvalifikacije obrazovanja; 2) ima pet godina radnog iskustva; 3) ima položen stručni ispit za rad u državnim organima; 4) nije osuđivano za krivično djelo koje ga čini nedostojnim za rad u državnom organu; 5) protiv njega se ne vodi krivični postupak.

U vršenju nadzora iz stava 1 ovog člana kontrolori postupaju samostalno.

Kontrolor dokazuje svoj identitet, status i ovlašćenje službenom legitimacijom.

Izgled, sadržaj, oblik, način izdavanja i vođenje evidencije službenih legitimacija propisuje Agencija.

Postupak nadzora nad zaštitom ličnih podataka pokreće se i vodi po službenoj dužnosti i na osnovu zahtjeva za zaštitu prava lica na koje se podaci odnose.

Svako lice može Agenciji podnijeti inicijativu za pokretanje postupka nadzora ako učini vjerovatnim da obrada ličnih podataka predstavlja povredu odredaba ovog zakona.

Agencija je dužna da ispita inicijativu iz stava 2 ovog člana i da obavijesti podnosioca o preduzetim mjerama, kada je to moguće, imajući u vidu prirodu postupka i zaštitu prava drugih lica.

Rukovalac i obrađivač dužni su da omoguće pristup ličnim podacima, spisima i drugoj dokumentaciji, kao i prostorijama i sredstvima za elektronsku obradu ličnih podataka, te da kontroloru, na njegov zahtjev, dostave tražene spise i drugu dokumentaciju.

Lice na koje se podaci odnose ima pravo da Agenciji podnese zahtjev za zaštitu prava ako smatra da se obradom njegovih ličnih podataka krše odredbe ovog zakona, ne isključujući primjenu drugih upravnih, sudskih ili drugih pravnih sredstava koja su mu na raspolaganju. Zahtjev za zaštitu prava može podnijeti i subjekt iz člana 80 ovog zakona koji postupa u ime lica na koje se podaci odnose.

Po prijemu zahtjeva iz stava 1 ovog člana, Agencija će ispitati predmet zahtjeva u obimu koji je odgovarajući za utvrđivanje da li su povrijeđene odredbe ovog zakona.

Agencija će obavijestiti podnosioca zahtjeva o toku postupka i donijetoj odluci, najkasnije u roku od 90 dana od dana podnošenja zahtjeva.

Ako Agencija ne odluči o zahtjevu u roku iz stava 3 ovog člana, ili ako podnosilac nije zadovoljan donesenom odlukom, Agencija će ga obavijestiti o pravnim sredstvima koja mu stoje na raspolaganju u skladu sa ovim zakonom.

Na zahtjev podnosioca, Agencija pruža informacije o ostvarivanju prava iz ovog člana.

Protiv odluka Agencije donesenih u skladu sa ovim zakonom može se pokrenuti upravni spor.

Pravo na djelotvornu sudsku zaštitu postoji i u slučaju kada Agencija ne sprovede postupak u razumnom roku ili ne obavijesti lice na koje se podaci odnose, u roku od 90 dana, o ishodu postupka povodom zahtjeva za zaštitu prava i prigovora.

Lice na koje se podaci odnose ima pravo na sudsku zaštitu protiv rukovaoca ili obrađivača ako smatra da je obradom njegovih ličnih podataka povrijeđeno neko od prava utvrđenih ovim zakonom, ne isključujući pravo korišćenja drugih pravnih sredstava, uključujući pravo na podnošenje zahtjeva za zaštitu prava Agenciji u skladu sa ovim zakonom.

Postupak ostvarivanja sudske zaštite iz stava 1 ovog člana vodi se u skladu sa zakonom kojim se uređuje parnični postupak.

Lice koje je pretrpjelo materijalnu ili nematerijalnu štetu usljed povrede odredaba ovog zakona ima pravo na naknadu štete od rukovaoca ili obrađivača.

Rukovalac odgovara za štetu prouzrokovanu obradom ličnih podataka koja nije izvršena u skladu sa ovim zakonom.

Obrađivač odgovara za štetu prouzrokovanu obradom ličnih podataka samo ako nije postupao u skladu sa obavezama utvrđenim ovim zakonom koje se odnose na obrađivače ili ako je postupao suprotno zakonitim uputstvima rukovaoca ili van njihovog okvira.

Rukovalac ili obrađivač ne odgovara za štetu ako dokaže da ni na koji način nije odgovoran za događaj koji je prouzrokovao štetu.

Ako je u istoj obradi učestvovalo više rukovalaca ili obrađivača, ili i rukovalac i obrađivač, i oni su odgovorni za štetu nastalu obradom, svaki od njih odgovara za cjelokupnu štetu radi obezbjeđivanja potpune naknade licu koje je štetu pretrpjelo.

Rukovalac ili obrađivač koji je nadoknadio cjelokupnu štetu ima pravo da od drugih rukovalaca ili obrađivača uključenih u istu obradu zahtijeva naknadu dijela isplaćenog iznosa koji odgovara njihovom udjelu odgovornosti za nastalu štetu.

Pravo na naknadu štete ostvaruje se pred nadležnim sudom, u skladu sa zakonom.

Lice na koje se podaci odnose može ovlastiti neprofitnu organizaciju, udruženje ili drugo pravno lice osnovano u skladu sa zakonom, čiji su ciljevi od javnog interesa i koje djeluje u oblasti zaštite prava i sloboda pojedinaca u vezi sa obradom ličnih podataka, da u njegovo ime podnese zahtjev za zaštitu prava i ostvaruje prava iz čl. 76, 77 i 78 ovog zakona, kao i da u njegovo ime ostvaruje pravo na naknadu štete iz člana 79 ovog zakona.

U obavljanju poslova nadzora u oblasti zaštite ličnih podataka, kontrolor ima pravo pristupa ličnim podacima sadržanim u zbirkama ličnih podataka, pravo pristupa spisima i drugoj dokumentaciji koja se odnosi na obradu ličnih podataka, kao i sredstvima za elektronsku obradu ličnih podataka.

Pravo pristupa ličnim podacima iz stava 1 ovog člana kontrolor ostvaruje bez obzira na stepen tajnosti podataka, u skladu sa odredbama zakona kojim se uređuje tajnost podataka.

Nadležni organ, rukovalac i obrađivač dužni su da uspostave odgovarajuće mehanizme za povjerljivo prijavljivanje povreda ovog zakona.

Lice koje u dobroj vjeri prijavi povredu ovog zakona Agenciji, nadležnom organu ili drugom ovlašćenom subjektu ne smije zbog takve prijave biti izloženo bilo kakvom obliku odmazde, diskriminacije ili nepovoljnog postupanja.

Identitet lica koje je prijavilo povredu zakona, kao i podaci na osnovu kojih se njegov identitet može utvrditi, štite se u skladu sa zakonom, osim ako je njihovo otkrivanje neophodno za vođenje postupka ili je propisano zakonom.

Agencija preduzima odgovarajuće mjere radi zaštite povjerljivosti identiteta lica iz stava 2 ovog člana.

Ostvarivanje prava i zaštita lica koja prijavljuju povrede zakona ne utiču na prava utvrđena zakonom kojim se uređuje zaštita zviždača.

Za povrede odredaba ovog zakona koje učine rukovaoci ili obrađivači mogu se izreći administrativne novčane kazne u skladu sa odredbama ovog poglavlja.

O izvršenom nadzoru nad zaštitom ličnih podataka, kontrolor sačinjava zapisnik u roku od 30 dana od dana okončanja nadzora, koji se dostavlja rukovaocu zbirke ličnih podataka, obrađivaču ličnih podataka ili korisniku ličnih podataka kod kojeg je nadzor izvršen (u daljem tekstu: subjekt nadzora).

Kada se nadzor vrši po zahtjevu za zaštitu prava, kontrolor je dužan da sprovede postupak i sačini zapisnik odmah, a najkasnije u roku od 15 dana od dana podnošenja zahtjeva.

Kada se nadzor nad zaštitom ličnih podataka vrši po zahtjevu za zaštitu prava lica na koje se podaci odnose ili po inicijativi, kontrolor će zapisnik o izvršenom nadzoru dostaviti podnosiocu zahtjeva.

Prilikom dostavljanja zapisnika inicijatoru, Agencija je dužna da zaštiti identitet i lične podatke lica na koja se podaci odnose, kao i druge podatke čije bi otkrivanje moglo ugroziti prava i slobode pojedinaca, osim podataka koji se odnose na ovlašćena lica subjekta nadzora i lica čiji je identitet utvrđen tokom nadzora, a koja su obrađivala lične podatke u okviru svojih radnih, ugovornih ili drugih profesionalnih obaveza.

Subjekt nadzora, kao i podnosilac zahtjeva za zaštitu prava lica na koje se podaci odnose, može podnijeti prigovor Savjetu Agencije na zapisnik o izvršenom nadzoru u roku od osam dana od dana prijema zapisnika.

Ako se na osnovu zapisnika o izvršenom nadzoru utvrdi da ne postoje nezakonite ili nepravilne radnje u obradi ličnih podataka na koje se odnosi zahtjev za zaštitu prava lica, direktor Agencije će rješenjem odbiti zahtjev za zaštitu prava lica.

Ako se na osnovu zapisnika o izvršenom nadzoru utvrdi da postoje nezakonite ili nepravilne radnje u obradi ličnih podataka na koje se odnosi zahtjev za zaštitu prava lica, a na zapisnik nije izjavljen prigovor, direktor Agencije će rješenjem usvojiti zahtjev za zaštitu prava lica i subjektu nadzora izreći mjere iz člana 86 ovog zakona.

Ako Savjet Agencije, odlučujući po prigovoru podnosioca zahtjeva za zaštitu prava lica na zapisnik o izvršenom nadzoru u kojem nijesu utvrđene nezakonite ili nepravilne radnje u obradi ličnih podataka koje se odnose na njega, utvrdi da je prigovor osnovan, subjektu nadzora izreći će mjere iz člana 79 ovog zakona.

Ako Savjet Agencije, odlučujući po prigovoru subjekta nadzora na zapisnik o izvršenom nadzoru u kojem nijesu utvrđene nezakonite ili nepravilne radnje u obradi ličnih podataka, utvrdi da je prigovor neosnovan, subjektu nadzora izreći će mjere iz člana 86 ovog zakona.

Ako se na osnovu nadzora utvrdi da se lični podaci obrađuju suprotno ovom zakonu, Agencija će: 1) izdati upozorenje rukovaocu ili obrađivaču da namjeravane radnje obrade mogu predstavljati povredu odredaba ovog zakona; 2) izreći opomenu rukovaocu ili obrađivaču ako se radnje obrade vrše suprotno odredbama ovog zakona; 3) naložiti rukovaocu zbirke ličnih podataka ili obrađivaču ličnih podataka da radnje obrade uskladi sa ovim zakonom, na precizno utvrđen način i u određenom roku; 4) naložiti rukovaocu zbirke ličnih podataka ili obrađivaču ličnih podataka da obavijesti lice na koje se podaci odnose o povredi bezbjednosti ličnih podataka; 5) privremeno ili trajno ograničiti ili zabraniti obradu ličnih podataka koja se vrši suprotno ovom zakonu; 6) naložiti ispravku ili brisanje netačnih ličnih podataka ili ograničavanje obrade i obavještavanje korisnika o tome; 7) naložiti obustavu prenosa podataka ako obrađivač ne ispunjava uslove u pogledu zaštite ličnih podataka ili ako je povjeravanje takvih poslova izvršeno suprotno ovom zakonu; 8) naložiti rukovaocu ili obrađivaču da postupi po zahtjevu lica na koje se podaci odnose za ostvarivanje njegovih prava, u skladu sa ovim zakonom; 9) privremeno ili trajno ograničiti ili zabraniti obradu ličnih podataka; 10) ukinuti izdati sertifikat ili naložiti tijelu za sertifikaciju da ukine izdati sertifikat, ili naložiti tijelu za sertifikaciju da ne izda sertifikat ako uslovi za sertifikaciju nijesu ispunjeni ili više nijesu ispunjeni; 11) naložiti obustavu prenosa podataka primaocu u drugoj državi ili međunarodnoj organizaciji.

Agencija može izreći jednu ili više mjera iz stava 1 ovog člana.

Agencija izriče administrativne novčane kazne za povrede ovog zakona, u skladu sa članom 88 st.

1, 2 i 3 ovog zakona, na način kojim se obezbjeđuje da kazne budu djelotvorne, srazmjerne i odvraćajuće.

Prilikom odlučivanja o izricanju administrativne novčane kazne, kao i prilikom određivanja njenog iznosa, naročito se uzima u obzir: 1) priroda, težina i trajanje povrede, uzimajući u obzir prirodu, obim ili svrhu obrade, kao i broj lica na koja se podaci odnose i stepen pretrpljene štete; 2) da li je povreda učinjena namjerno ili iz nehata; 3) mjere koje je rukovalac ili obrađivač preduzeo radi ublažavanja štete koju su pretrpjela lica na koja se podaci odnose; 4) stepen odgovornosti rukovaoca ili obrađivača, uzimajući u obzir tehničke i organizacione mjere sprovedene u skladu sa čl. 25, 29 i 33 ovog zakona; 5) prethodne slične povrede koje je učinio rukovalac ili obrađivač; 6) stepen saradnje sa Agencijom radi otklanjanja povrede i ublažavanja mogućih štetnih posljedica; 7) kategorije ličnih podataka pogođenih povredom; 8) način na koji je Agencija saznala za povredu, naročito da li je rukovalac ili obrađivač prijavio povredu i u kojoj mjeri; 9) da li su prethodno primjenjivane korektivne mjere protiv rukovaoca ili obrađivača u vezi sa istim predmetom; 10) usklađenost sa kodeksima ponašanja donesenim u skladu sa članom 41 ovog zakona ili mehanizmima sertifikacije uspostavljenim u skladu sa članom 43 ovog zakona; 11) druge otežavajuće ili olakšavajuće okolnosti relevantne za konkretan slučaj, uključujući finansijsku korist ostvarenu ili gubitak izbjegnut, neposredno ili posredno, kao posljedicu povrede.

Ako rukovalac ili obrađivač namjerno ili iz nehata povrijedi više odredaba ovog zakona u okviru iste obrade ili povezanih aktivnosti obrade, ukupan iznos administrativne novčane kazne ne može biti veći od maksimalnog iznosa propisanog za najtežu povredu.

Uzimajući u obzir okolnosti iz člana 87 stav 2 ovog zakona, za sljedeće povrede obaveza može se izreći administrativna novčana kazna u iznosu do 1.000.000 eura ili, ako je riječ o privrednom društvu, do 2% ukupnog svjetskog godišnjeg prometa ostvarenog u prethodnoj finansijskoj godini, u zavisnosti od toga koji je iznos veći: 1) povrede obaveza rukovalaca i obrađivača iz čl. 9, 12 i 26 do 40 ovog zakona; 2) povrede obaveza sertifikacionih tijela iz čl. 43 i 44 ovog zakona; 3) povrede obaveza nadzornog organa (nepostupanje po zahtjevu za saradnju sa nadzornim organom tokom nadzora, nedostavljanje traženih informacija, nepostupanje po nalogu ili odluci nadzornog organa, kao i neprimjenjivanje mjera koje je nadzorni organ odredio).

Uzimajući u obzir okolnosti iz člana 87 stav 3 ovog zakona, za sljedeće povrede može se izreći administrativna novčana kazna u iznosu do 2.000.000 eura ili, ako je riječ o privrednom društvu, do 4% ukupnog svjetskog godišnjeg prometa ostvarenog u prethodnoj finansijskoj godini, u zavisnosti od toga koji je iznos veći: 1) neprimjenjivanje osnovnih načela obrade, uključujući uslove za davanje saglasnosti, iz čl. 6, 7 i 8 ovog zakona; 2) povreda prava lica na koja se podaci odnose iz čl. 13 do 23 ovog zakona; 3) prenos ličnih podataka primaocu u trećoj zemlji ili međunarodnoj organizaciji suprotno čl. 46 do 50 ovog zakona.

Povreda obaveze saradnje sa Agencijom ili nepostupanje po aktu Agencije, kao i nepostupanje po nalogu ili privremenom ili trajnom ograničenju obrade ili obustavi razmjene podataka koju je odredila Agencija, kažnjava se administrativnom novčanom kaznom u iznosu do 2.000.000 eura ili, ako je riječ o privrednom društvu, do 4% ukupnog svjetskog godišnjeg prometa ostvarenog u prethodnoj finansijskoj godini, u zavisnosti od toga koji je iznos veći.

Ne isključujući ovlašćenja nadzornog organa, administrativna novčana kazna ne izriče se državnom organu, organu državne uprave, organu lokalne samouprave, javnoj ustanovi ili drugom subjektu javnog prava osnovanom u skladu sa zakonom.

Novčanom kaznom u iznosu od 150 eura do 2.000 eura kazniće se za prekršaj pravno lice ako: 1) u slučaju povrede bezbjednosti ličnih podataka, bez nepotrebnog odlaganja, a kada je moguće najkasnije u roku od 72 časa od trenutka kada je saznao za povredu, ne obavijesti nadzorni organ o povredi bezbjednosti ličnih podataka, osim ako nije vjerovatno da će povreda bezbjednosti ličnih podataka prouzrokovati rizik po prava i slobode fizičkih lica (član 34 stav 1); 2) tokom trajanja mandata ili zaposlenja, kao i nakon njegovog prestanka, ne čuvaju profesionalnu tajnu u vezi sa svim povjerljivim informacijama sa kojima su se upoznali tokom obavljanja svojih poslova ili ovlašćenja, u skladu sa propisima (član 62 stav 2); 3) kontroloru na njegov zahtjev ne omoguće pristup zbirkama ličnih podataka, spisima i drugoj dokumentaciji, kao i prostorijama i sredstvima elektronske obrade ličnih podataka, te mu ne dostave tražene spise i drugu dokumentaciju (član 75); 4) ne uspostave odgovarajuće mehanizme za povjerljivo prijavljivanje povreda ovog zakona (član 82 stav 1).

Za prekršaj iz stava 1 ovog člana kazniće se odgovorno lice u pravnom licu novčanom kaznom u iznosu od 20 eura do 200 eura.

Za prekršaj iz stava 1 ovog člana kazniće se preduzetnik novčanom kaznom u iznosu od 50 eura do 400 eura.

Za prekršaj iz stava 1 ovog člana kazniće se fizičko lice novčanom kaznom u iznosu od 20 eura do 200 eura, ako je ovim zakonom utvrđena njegova odgovornost za ispunjavanje konkretne obaveze.

Agencija može izdati prekršajni nalog i podnijeti zahtjev za pokretanje prekršajnog postupka za prekršaje iz ovog člana.

Administrativna novčana kazna iz člana 88 ovog zakona i prekršajna sankcija ne mogu se izreći za istu povredu odredaba ovog zakona.

Pokretanje i vođenje prekršajnog postupka sprovodi se u skladu sa zakonom kojim se uređuju prekršaji.

Rukovalac ili obrađivač ima pravo da, u skladu sa zakonom, pokrene upravni spor pred nadležnim sudom protiv odluke kojom je izrečena administrativna novčana kazna.

Pravna zaštita protiv prekršajnog naloga koji je izdala Agencija ostvaruje se u skladu sa zakonom kojim se uređuju prekršaji.

Izvršenje administrativnih novčanih kazni izrečenih na osnovu ovog zakona sprovodi se u skladu sa zakonom kojim se uređuju izvršenje i obezbjeđenje.

Prihod ostvaren naplatom administrativnih novčanih kazni predstavlja prihod budžeta Crne Gore.

Ovim zakonom usklađuje se pravo na zaštitu ličnih podataka sa pravom na slobodu izražavanja i informisanja, uključujući obradu u novinarske svrhe i svrhe akademskog, umjetničkog ili književnog izražavanja.

Za obradu koja se vrši isključivo u novinarske svrhe ili u svrhe akademskog, umjetničkog ili književnog izražavanja, izuzeci ili odstupanja od odredaba poglavlja II, III, IV, V, VI i IX ovog zakona mogu se primijeniti samo u mjeri u kojoj su, i dok su, neophodni i srazmjerni radi usklađivanja prava na zaštitu ličnih podataka sa pravom na slobodu izražavanja i informisanja.

Izuzeci i odstupanja iz stava 2 ovog člana tumače se restriktivno i primjenjuju se samo kada bi primjena relevantnih odredaba ovog zakona onemogućila ili ozbiljno ugrozila ostvarivanje prava na slobodu izražavanja i informisanja.

Lični podaci sadržani u službenim dokumentima kojima raspolaže državni organ, organ javne vlasti ili privatni subjekt koji obavlja poslove od javnog interesa mogu biti objavljeni od strane tog organa ili subjekta u skladu sa zakonom koji se na njega primjenjuje, radi usklađivanja javnog pristupa službenim dokumentima sa pravom na zaštitu ličnih podataka u skladu sa ovim zakonom.

Obrada jedinstvenog matičnog broja ili drugog opšteprimjenjivog identifikatora može se vršiti samo pod uslovima i uz zaštitne mjere propisane zakonom, kojima se obezbjeđuje zaštita prava i sloboda lica na koja se podaci odnose.

Jedinstveni matični broj i drugi opšteprimjenjivi identifikatori mogu se koristiti samo kada je takva obrada neophodna za svrhu propisanu zakonom ili kada se zasniva na drugom pravnom osnovu u skladu sa ovim zakonom, uz primjenu odgovarajućih tehničkih i organizacionih mjera zaštite.

Zakoni ili kolektivni ugovori mogu propisati posebna pravila radi obezbjeđivanja zaštite prava i sloboda u vezi sa obradom ličnih podataka zaposlenih u okviru radnog odnosa, naročito u svrhe zapošljavanja, ostvarivanja prava i obaveza iz radnog odnosa, uključujući obaveze utvrđene zakonom ili kolektivnim ugovorima, upravljanja, planiranja i organizacije rada, jednakosti i različitosti na radnom mjestu, zaštite zdravlja i bezbjednosti na radu, zaštite imovine poslodavca ili korisnika, ostvarivanja i uživanja pojedinačnih ili kolektivnih prava i pogodnosti povezanih sa radnim odnosom, kao i prestanka radnog odnosa.

Pravila iz stava 1 ovog člana moraju sadržati odgovarajuće i posebne mjere za zaštitu dostojanstva zaposlenih, njihovih legitimnih interesa i osnovnih prava, naročito u pogledu transparentnosti obrade, prenosa ličnih podataka unutar povezanih privrednih društava ili drugih organizacionih oblika koji obavljaju zajedničku ekonomsku djelatnost, kao i sistema nadzora na radnom mjestu.

Obrada u svrhe arhiviranja u javnom interesu, svrhe naučnog ili istorijskog istraživanja ili statističke svrhe podliježe odgovarajućim zaštitnim mjerama, u skladu sa ovim zakonom, radi zaštite prava i sloboda lica na koja se podaci odnose. Te zaštitne mjere obezbjeđuju primjenu tehničkih i organizacionih mjera, naročito radi poštovanja načela minimizacije podataka. Te mjere mogu uključivati pseudonimizaciju, pod uslovom da se navedene svrhe mogu ostvariti na taj način. Kada se te svrhe mogu ostvariti daljom obradom koja ne omogućava ili više ne omogućava identifikaciju lica na koja se podaci odnose, te svrhe se ostvaruju na takav način.

Kada se lični podaci obrađuju u svrhe naučnog ili istorijskog istraživanja ili statističke svrhe, zakonom se mogu predvidjeti odstupanja od prava iz čl. 16, 17, 19 i 22 ovog zakona, pod uslovima i uz zaštitne mjere iz stava 1 ovog člana, ukoliko bi ostvarivanje tih prava onemogućilo ili ozbiljno ugrozilo ostvarenje posebnih svrha obrade i ako su takva odstupanja neophodna za ostvarivanje tih svrha.

Kada se lični podaci obrađuju u svrhe arhiviranja u javnom interesu, zakonom se mogu predvidjeti odstupanja od prava iz čl. 16 i 17 i čl. 19 do 22 ovog zakona, pod uslovima i uz zaštitne mjere iz stava 1 ovog člana, ukoliko bi ostvarivanje tih prava onemogućilo ili ozbiljno ugrozilo ostvarenje posebnih svrha arhiviranja i ako su takva odstupanja neophodna za ostvarivanje tih svrha.

Ako obrada iz st. 2 i 3 ovog člana služi i drugoj svrsi, odstupanja se primjenjuju samo na obradu koja se vrši za svrhe navedene u tim stavovima.

Zakonom se mogu propisati posebna pravila kojima se uređuju ovlašćenja nadzornog organa u odnosu na rukovaoce i obrađivače koji su, na osnovu zakona ili pravila utvrđenih od strane nadležnih organa, obavezani profesionalnom tajnom ili drugim odgovarajućim obavezama čuvanja tajne, kada je to neophodno i srazmjerno radi usklađivanja prava na zaštitu ličnih podataka sa obavezom čuvanja tajne.

Takva pravila primjenjuju se isključivo na lične podatke koje je rukovalac ili obrađivač primio ili pribavio u okviru aktivnosti koje su obuhvaćene obavezom čuvanja tajne.

Ako crkve i vjerske zajednice u trenutku stupanja na snagu ovog zakona primjenjuju sveobuhvatna pravila koja se odnose na zaštitu fizičkih lica u vezi sa obradom ličnih podataka, takva pravila mogu nastaviti da se primjenjuju, pod uslovom da se usklade sa ovim zakonom.

Crkve i vjerske zajednice koje primjenjuju sveobuhvatna pravila u skladu sa stavom 1 ovog člana podliježu nadzoru nezavisnog nadzornog organa, koji može biti poseban nadzorni organ, pod uslovom da ispunjava uslove utvrđene ovim zakonom.

Postupci koji do dana početka primjene ovog zakona nijesu pravosnažno okončani završiće se prema odredbama Zakona o zaštiti podataka o ličnosti („Službeni list CG“, br. 79/08, 70/09, 44/12, 22/17 i 77/24).

Registar zbirki ličnih podataka uspostavljen na osnovu Zakona o zaštiti podataka o ličnosti („Službeni list CG“, br. 79/08, 70/09, 44/12, 22/17 i 77/24) prestaje da se vodi danom početka primjene ovog zakona.

Registar iz stava 1 ovog člana, kao i podaci sadržani u njemu, obrađivaće se u skladu sa propisima kojima se uređuje postupanje sa arhivskom građom.

Nadzorni organ će preispitati saglasnost u roku od jedne godine od dana stupanja na snagu ovog zakona.

Nakon pristupanja Crne Gore Evropskoj uniji, Agencija će izmijeniti, zamijeniti ili ukinuti svaku saglasnost koja nije u skladu sa neposredno primjenjivim pravom Evropske unije kojim se uređuje zaštita ličnih podataka.

Savjet Agencije i direktor izabran u skladu sa Zakonom o zaštiti podataka o ličnosti („Službeni list CG“, br. 79/08, 70/09, 44/12, 22/17 i 77/24) nastavljaju sa radom do isteka mandata na koji su izabrani.

Odredbe drugih zakona koje se odnose na obradu ličnih podataka uskladiće se sa odredbama ovog zakona do 1. decembra 2026. godine.

Statut Agencije koji je donešen prije stupanja na snagu ovog zakona uskladiće se sa ovim zakonom u roku od 90 dana od dana njegovog stupanja na snagu.

Odredbe člana 47 stav 2 tač. 3 i 4, člana 64 stav 1 tačka 11, člana 65 stav 1 tačka 24, člana 72 stav 3 tačka 4 i člana 99 stav 2, koje se odnose na pravo Evropske unije i pravo države članice, primjenjivaće se od dana pristupanja Crne Gore Evropskoj uniji.

Danom početka primjene ovog zakona prestaje da važi Zakon o zaštiti podataka o ličnosti („Službeni list CG“, br. 79/08, 70/09, 44/12, 22/17 i 77/24), osim odredbi čl. 35 do 40a.

Odredbe čl. 35 do 40a Zakona o zaštiti podataka o ličnosti („Službeni list CG“, br. 79/08, 70/09, 44/12, 22/17 i 77/24) prestaju da važe danom stupanja na snagu zakona kojim se uređuje videonadzor.

Ovaj zakon stupa na snagu osmog dana od dana objavljivanja u „Službenom listu Crne Gore”, a primjenjivaće se nakon šest mjeseci od dana njegovog stupanja na snagu.

Broj: 23-3/26-12/11 EPA 1164 XXVIII Podgorica, 4. septembar 2026. godine Skupština Crne Gore 28. saziva Predsjednik, Andrija Mandić, s.r.