vodic kroz zakon

1. Nataša Pirc Musar
VODIČ KROZ ZAKON O ZAŠTITI PODATAKA O LIČNOSTI

2. Nataša Pirc Musar
VODIČ KROZ ZAKON O ZAŠTITI PODATAKA O LIČNOSTI
Izdavač
Poverenik za informacije od javnog značaja i
zaštitu podataka o ličnosti
Svetozara Markovića 42
11000 Beograd
T +381 11 2681 137
+381 11 2681-255
F +381 11 2685 023
E office@poverenik.org.rs
www.poverenik.org.rs
Za izdavača
Rodoljub Šabić
Urednik
Ivana Krpina
Autor
Nataša Pirc Musar
Priprema i štampa
Dosije studio, Beograd
ISBN 978-86-912589-0-0
Tiraž
2000 primeraka
Ova publikacija izrađena je uz podršku Evropske unije. Sadržaj ove publikacije je
isključiva odgovornost PLAC projekta i ne predstavlja stavove Evropske unije.

3. VODIČ KROZ ZAKON
O ZAŠTITI PODATAKA
O LIČNOSTI
Nataša Pirc Musar
Beograd, maj 2009.

5. 5
SADRŽAJ
PREDGOVOR
(Rodoljub Šabić, poverenik za informacije od javnog značaja
zaštitu podataka o ličnosti) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
PREDGOVOR (Primož Vehar, vođa tima PLAC projekta) . . . . . . . . . . . . . . . . 11
UVOD . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
PREDMET I CILJ ZAKONA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
Šta su to podaci o ličnosti . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
Šta je zbirka podataka?. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
Kada se odredbe Zakona o zaštiti podataka o ličnosti ne primenjuju? . . . . 18
OBRADA PODATAKA O LIČNOSTI . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
Uopšteno o obradi podataka o ličnosti. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
Obrađivač podataka . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
Opšta načela . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
Zabrana diskriminacije . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
Načelo srazmernosti. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
Načelo tačnosti i ažurnosti . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
Uslovi za obradu podataka o ličnosti . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
Pravni osnov za obradu podataka o ličnosti . . . . . . . . . . . . . . . . . . . . . . . . 25
Zakonski osnov . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
Obrada sa pristankom . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
Obrada podataka o ličnosti bez pristanka . . . . . . . . . . . . . . . . . . . . . . . . 27
Obrada podataka o ličnosti od strane organa vlasti . . . . . . . . . . . . . . . . 29
Svrha i način obrade podataka o ličnosti . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
Odluka pomoću automatizovane obrade . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
Obrada u istorijske, statističke ili naučnoistraživačke svrhe . . . . . . . . . . 32
PRIKUPLJANJE PODATAKA O LIČNOSTI . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
Obaveštavanje o obradi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
Posebna zaštita zakonitosti obrade naročito osetljivih podataka . . . . . . 39
Prava lica u pogledu obrade podataka . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
Pravo na obaveštenje, uvid i kopiju i njihovo ostvarivanje . . . . . . . . . . 43

6. 6
Ograničenje prava na obaveštenje, uvid i kopiju. . . . . . . . . . . . . . . . . . . 46
Pravo na ispravku i brisanje, prekid
i privremeno zaustavljanje obrade . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49
Žalba u slučaju nepoštovanja prava na obaveštenje,
uvid, kopiju, ispravku i brisanje . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52
Obaveze medija u pogledu obrade podataka o ličnosti. . . . . . . . . . . . . . . 55
Punomoćnik (član 34. ZZPL) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57
Čuvanje i korišćenje podataka u slučaju smrti (član 35. ZZPL) . . . . . . . 57
Obaveza rukovaoca u slučaju povlačenja pristanka (član 36. ZZPL). . . . . 58
ZAKONSKE OBAVEZE RUKOVAOCA U POGLEDU
OBEZBEĐENJA PODATAKA O LIČNOSTI . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
Obezbeđenje podataka o ličnosti . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
1. Zakonske obaveze . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
2. Osnove informacionog obezbeđenja . . . . . . . . . . . . . . . . . . . . . . . . . . 61
2.1 Autentičnost. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63
10 preporuka za obezbeđenje lozinke . . . . . . . . . . . . . . . . . . . . . . 64
2.2 Autorizacija . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65
2.3 Obezbeđenje praćenja obrade podataka o ličnosti . . . . . . . . . . . 66
3. Uporedna rešenja u slovenačkom Zakonu o zaštiti podataka
o ličnosti (Zakonu o varstvu osebnih podatkov ZVOP–1) . . . . . . . 69
4. Kadrovske i organizacione mere za obezbeđenje
podataka o ličnosti . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 70
4.1 Interni akti. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71
4.2 Kultura obezbeđenja. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 74
5. Odgovarajući nivo obezbeđenja. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 74
5.1 Obezbeđenje osetljivih podataka o ličnosti . . . . . . . . . . . . . . . . . 75
5.2 Obezbeđenje podataka o ličnosti pri ugovornoj obradi. . . . . . . 77
5.3 Spisak ključnih elemenata obezbeđenja podataka o ličnosti. . . 78
EVIDENCIJA ZBIRKI PODATAKA O LIČNOSTI . . . . . . . . . . . . . . . . . . . . . . 81
Značaj. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81
Mogući problemi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81
Jedna zbirka – jedna evidencija . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81
Rok za uspostavljanje evidencija . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 82
(Pogrešna) tumačenja vrsta podataka, koje evidencija mora da sadrži . . . . 82
Okvirni obrazac za unos u registar zbirki podataka
i evidencije zbirke podataka . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 88

7. 7
CENTRALNI REGISTAR ZBIRKI PODATAKA O LIČNOSTI. . . . . . . . . . . . 91
Značaj. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
Uvodna preporuka . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
Mogući očekivani problemi. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92
POVERENIK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 95
Značaj i praksa. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 95
Nadležnosti Poverenika . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 95
Nadzor nad sprovođenjem zaštite i obezbeđenja podataka o ličnosti . 95
Odlučivanje po žalbi u slučajevima navedenim u ZZPL . . . . . . . . . . . . 96
Mišljenja o propisima i drugačija mišljenja . . . . . . . . . . . . . . . . . . . . . . . 97
Prava Poverenika. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 98
NADZOR. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99
Nadležnosti Poverenika . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99
KAZNENA POLITIKA. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101
OBLASTI ZAŠTITE PODATAKA O LIČNOSTI, KOJA ĆE ZAHTEVATI
NAJVIŠE REGULACIJE I RADA POVERENIKA . . . . . . . . . . . . . . . . . . . . . . . 103
Povrede prava iz radnog odnosa . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103
Uvod. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103
Presude ESLJP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103
Osnovna pravila prava na privatnost na radnom mestu. . . . . . . . . . . . . . 105
KRAĐA IDENTITETA. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109
Šta je krađa identiteta? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109
Načini na koje kradljivci identiteta iz internet mreže
pribavljaju podatke o ličnosti . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 110
Pecanje (phishing) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 110
Pharming napadi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111
Socijalni inženjering. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111
Virusi i crvi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111
Špijunska programska oprema, adware i trojanski konji . . . . . . . . . . . . 112
KOPIRANJE LIČNIH DOKUMENATA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 113
Zakon o zaštiti podataka o ličnosti
(„Službeni glasnik Republike Srbije“, br. 97/2008) . . . . . . . . . . . . . . . . . . . . . . . 115

9. 9
PREDGOVOR
Relativno nedavno, 27. oktobra 2008. godine u Službenom glasniku Re-
publike Srbije, objavljen je Ukaz o proglašenju Zakona o zaštiti podataka o
ličnosti. Zakon je kako je to uobičajeno stupio na snagu osmog dana od dana
objavljivanja, a primenjuje se od 1. januara 2009. godine.
Srbija je tako, konačno dobila Zakon o zaštiti podataka o ličnosti koji joj
je hronično nedostajao, zakon koji je neophodan svakoj demokratskoj, uređenoj
zemlji. Mada, istini za volju, ona je i do sada imala zakon pod tim imenom.
Naime, još 1998. godine u vreme postojanja Savezne Republike Jugoslavije,
donet je Zakon o zaštiti podataka o ličnosti („Sl. list SRJ“ br. 24/98), koji je kas-
nije, prestankom postojanja SRJ bio deo pravnog poretka državne zajednice Sr-
bija i Crna Gora, da bi se njenim prestankom „primenjivao“ kao propis Repub-
like Srbije. Pomenuti savezni zakon donet je radi realizacije obaveza utvrđenih
odredbama Konvencije Saveta Evrope br. 108 o zaštiti lica u odnosu na automat-
sku obradu podataka o ličnosti iz 1981. godine, i zato je, na načelnom nivou, u
tom trenutku svakako predstavljao korak napred u kontekstu unapređenja zaštite
ljudskih prava.
Nažalost, ovaj zakon bio je pravno „mrtvorođenče“. Zvuči neverovatno, ali
sva je prilika da on bukvalno nikad nije primenjivan, da nikada niko nije tražio
zaštitu koju je on „garantovao“. Kao objašnjenje za ovaj fenomen postoje dva
podjednako prihvatljiva razloga. Prvi je veoma nizak nivo svesti građana o sop-
stvenim pravima i stepenu njihove ugroženosti kao i spremnosti da se ta prava
efektivno štite. Drugi razlog je to što je u turbulentnim godinama kada je prvo
nestala SRJ, a potom i DZ SCG, „zaboravljeno“ da se utvrdi koji bi organ Repub-
like Srbije bio nadležan da vrši nadzor nad primenom ovog zakona.
Naravno, iako bi ovo i samo po sebi bio dovoljan razlog za zakonodavnu
intervenciju u ovu oblast, bilo je i dosta drugih razloga. Da bi se na te razloge
moglo odgovoriti na pravi način nije bilo celishodno intervenisati samo vršeći
izmene i dopune postojećeg zakona, već je bilo potrebno doneti potpuno nov
zakon. Dinamična kretanja i promene u oblasti ljudskih prava uopšte imala su
svoj izraz i u sferi zaštite podataka o ličnosti. U međunarodnim, pre svega u ev-
ropskim relacijama, sve evidentnije je postojalo nastojanje da se utvrdi, izgradi i
garantuje neki zajednički standard.
U tom kontekstu nezaobilazan dokument je Direktiva evropskog Parla-
menta i Saveta Evrope 95/46 o zaštiti pojedinaca u vezi sa obradom podataka o
ličnosti i slobodnom protoku podataka, oslonjena pre svega na pomenutu Kon-
venciju iz 1981. ali i na rešenja iz nekih naprednijih nacionalnih zakonodavsta-

10. 10
va. Donošenjem Direktive 95/46 uspostavljeno je nešto što je temelj savremenih
standarda u zaštiti podataka o ličnosti.
Mada je Direktiva 95/46 doneta pre našeg Zakona o zaštiti podataka o
ličnosti iz 1998. godine, zakon se nije, ili bar u najvećoj meri, nije na nju oslan-
jao. Ta činjenica, zapravo potreba da se odgovori na zahteve koje je Direktiva
nametnula nacionalnim zakonodavstvima, zahtevala je mnogo ozbiljnije inter-
vencije nego što su izmene i dopune postojećeg zakona. Zato je dakle, trebalo
doneti potpuno nov Zakon o zaštiti podataka o ličnosti.
Novi zakon je sad tu. Njegove kvalitete i nedostatke tek treba da potvrdi
najbolji sudija, praksa. Ali ono što je izvesno, je činjenica da se radi o jednom,
po prirodi stvari vrlo apstraktnom tekstu. Ta činjenica, sama po sebi a posebno u
kombinaciji sa nedovoljnim znanjem, odsustvom u praksi definisanih demokrat-
skih standarda i snažnom inercijom konzervativnog, mora imati za posledicu
probleme u razumevanju i prihvatanju normi ovog zakona i standarda koji se na
tim normama zasnivaju.
Zbog toga je jedan od prvih zadataka Poverenika za informacije od jav-
nog značaja, koji je od 1. januara postao Poverenik za informacije od javnog
značaja i zaštitu podataka o ličnosti, bio izrada i objavljivanje vodiča kroz Zakon
o zaštiti podataka o ličnosti, koji bi sadržinu zakona učinio bližom i jasnijom
što je moguće širem krugu korisnika. Izvršavanje tog, i inače ne baš lakog za-
datka, bitno je otežavala činjenica da Poverenik radi, u još uvek, neadekvatnim
uslovima i sa veoma skromnim resursima.
Prijateljska pomoć je anulirala i taj hendikep. Zahvaljujući materijalnoj
pomoći EU, preko PLAC projekta i kolegijalnosti i kreativnosti i dragocenom
iskustvu Nataše Pirc Musar, informacijskog poverenika Republike Slovenije i
njenih saradnika, evo relativno brzo po stupanju na snagu zakona imamo Vodič
kroz Zakon o zaštiti podataka o ličnosti, koji je pred Vama. Gotovo je suvišno da
naglašavam da verujem da će on značajno doprineti kvalitetnijoj implementaciji
zakona zbog čega se, na prijateljskoj pomoći, i ovom prilikom zahvaljujem.
U Beogradu, maj 2009. godine Rodoljub Šabić
Poverenik za informacije od javnog značaja
i zaštitu podataka o ličnosti

11. 11
PREDGOVOR
Vodič kroz Zakon o zaštiti podataka o ličnosti predstavlja rezultat saradnje
PLAC projekta (Policy and Legal Advice Centre – koji finansira Evropska unija) i
Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti Repub-
like Srbije. Ovaj Vodič je autorsko delo gospođe Nataše Pirc Musar, slovenačkog
Poverenika za informacije, koja je kao stručnjak PLAC projekta prenela neka od
najznačajnijih iskustava i rešenja iz slovenačke prakse u vezi sa zaštitom poda-
taka o ličnosti, uz istovremenu analizu ovog novog srpskog zakona, usvojenog
23. oktobra 2008. godine, koji je započeo sa primenom 1. januara 2009. godine i
time doneo nove nadležnosti Povereniku za informacije od javnog značaja, koji
uporedo postaje i poverenik za zaštitu podataka o ličnosti.
Zaštita podatka o ličnosti je veliki i složen problem sa čijim se rešavanjem
u Srbiji veoma kasnilo, ali prvi korak, koji predstavlja donošenje Zakona o zaštiti
podataka o ličnosti učinjen je, a sledi ga i uspostavljanje jednog efikasnog meha-
nizma za ostvarivanje ovog prava. Skrenuo bih ukratko pažnju na činjenicu da
je još Savezna Republika Jugoslavija, 1992. godine usvojila Zakon o potvrđivanju
Konvencije u odnosu na automatsku obradu ličnih podataka (Službeni list SRJ
– Međunarodni ugovori, br. 1/92), a 1998. godine usvojila je i Zakon o zaštiti
podataka o ličnosti (Službeni list SRJ, br. 24/98 i 26/98). Međutim, i ako je sa
stanovišta osnovnih principa zakon bio blizak tada aktuelnim evropskim stan-
dardima u primeni je ostao bez realnih efekata. Putem ove kratke napomene
želeo bih posebno da istaknem značaj adekvatnog sprovođenja novog srpskog
zakona, te potpunog uspostavljanja nadzornog organa kao preduslova zaštite po-
dataka o ličnosti.
PLAC projekat, neposrednu pomoć i podršku pruža Kancelariji za evrop-
ske integracije, ali i pojedinim ministarstvima, i naravno Povereniku za infor-
macije od javnog značaja i zaštitu podataka o ličnosti angažovanjem domaćih
i stranih stručnjaka, sa ciljem harmonizacije zakonodavstva Republike Srbije sa
zakonodavstvom i standardima Evropske unije, takođe i u oblasti zaštite poda-
taka o ličnosti.
Iskreno verujem da će ovaj vodič, nastao saradnjom kabineta poverenika
i stručnjaka jednog EU projekta, biti od velike pomoći, ali ne samo povereniku,
već i celom javnom i privatnom sektoru Srbije, te i široj javnosti kako bi se na
što primereniji način upoznali sa jednim dosta složenim područjem, koje do
sada u Republici Srbiji nije bilo pokriveno na adekvatan način. Nadam se da
će Vodič koristiti, kako rukovaocima podataka, fizičkim ili pravnim licima ili
organima vlasti koji obrađuju podatke, tako i licima na koje se podaci o ličnosti

12. 12
odnose, i naravno povereniku koji vrši nadzor nad sprovođenjem i izvršavanjem
Zakona o zaštiti podataka o ličnosti. Takođe verujem, da će predstavljati osnov
pronalaženja nekih novih i boljih rešenja u ovoj oblasti, kako bi se na što bolji
način svakom licu obezbedilo ostvarivanje i zaštita prava na privatnost, jer zaštita
podataka o ličnosti predstavlja logičnu posledicu zaštite prava na privatnost.
Kod traženja najboljih institucionalnih rešenja, kao i kod harmonizacije
zakonodavstva u oblasti zaštite podataka o ličnosti, potrebna su međunarodna i
regionalna iskustva kako bi se mogući problemi prevazišli. Ništa manje bitan je i
doprinos nacionalnih stručnjaka, koje sam imao priliku da upoznam sarađujući
sa kabinetom srpskog poverenika, te iskreno verujem da je značajan korak
napred već učinjen i da će poverenik putem svojih ovlašćenja, odnosno predloga
i preporuka za unapređenje zaštite podataka o ličnosti bitno doprineti razvoju
ove oblasti.
Primoz Vehar,
vođa projektnog tima PLAC projekta

13. 13
UVOD
Srbija postaje sve bliža pristupanju evropskim tokovima i procesu inte-
gracije. Bez sumnje će u jednom momentu, u bliskoj budućnosti, postati članica
Evropske unije. Kako bi mogla učiniti taj važan i veliki korak, moraće da prome-
ni znatan broj svojih zakona i drugih propisa, između ostalih i Zakon o zaštiti
podataka o ličnosti. Prvi korak je već učinjen, ali zasigurno ne i poslednji, jer
sadašnji Zakon nije u celosti usklađen sa Direktivom 95/46/EC. Od izuzetnog
značaja je uspostavljanje nezavisnog nadzora nad upravljanjem zbirkom podata-
ka, koji će u Srbiji obavljati Poverenik za informacije od javnog značaja i zaštitu
podataka o ličnosti. Postojanje nezavisnog nadzornog organa zapravo garantuje,
da zakon neće biti samo mrtvo slovo na papiru (kao što je bio prethodni iz 1998.
godine). Biće potrebno nekoliko godina da se svi „naviknu“ na novi zakon, a
treba biti svestan činjenice, da zapravo svi (korisnici zbirke podataka, zakono-
davac i Poverenik) moraju težiti istom cilju – što većem nivou zaštite podataka
o ličnosti, kao najvažnijeg osnovnog ljudskog prava, koje proizlazi iz šireg po-
jma prava na privatnost svakog pojedinca (političara, pevača, igrača, radnika,
državnog službenika, seljaka, deteta..). U vreme modernih informacionih teh-
nologija, mogućnosti sakupljanje i zloupotreba podataka o ličnosti su znatno
uvećane, te smo u ovom Vodiču veliku pažnju posvetili zaštiti zbirki podataka
u informacionim sistemima. Takođe, ovde skrećemo pažnju na sve prisutniju
pojavu krađe identiteta, koja u zapadnim demokratijama prouzrokuje veoma
visoke troškove državi i pojedincima. U sistemu uređenih država, čemu teži i
Srbija, dodatno je potrebno čuvati takozvane jednoznačne identifikatore, kojima
pripada jedinstveni matični broj građana (JMBG). Taj broj je osnova za izradu
ličnih dokumenata (pasoša i lične karte) i prema njemu svi moraju biti dodatno
obazrivi.
U nadi da će ovaj vodič biti svima od koristi, u njemu smo izneli mnoga
slovenačka iskustva, koja su nas od 1995. godine, kada smo usvojili prvi zakon,
pa do 2005. godine, kada je brigu o zaštiti podataka o ličnosti preuzeo tadašnji
Poverenik za informacije od javnog značaja i postao Poverenik za informacije,
dovela do znanja koje danas imamo.
Kada zakon zaživi u praksi, tada ćete u celosti moći da implementirate i
uspostavite osnovno ljudsko pravo – pravo na zaštitu podataka o ličnosti.
Koristim ovu priliku da se posebno zahvalim svojim kolegama, i to Alenki
Jerše, Mojci Komac, Klemen Mišiču, diplomiranim pravnicima zaposlenim u

14. 14
Kabinetu Poverenika za informacije Republike Slovenije, kao i Andreju Tomšiču,
magistru informatičkog menadžmenta, koji su mi pružili neizmernu pomoć pri
izradi ovog Vodiča, i bez čije podrške i stručne pomoći ne bih uspela da se iz-
borim sa ovako zahtevnim zadatkom.
Nataša Pirc Musar,
poverenik za informacije Republike Slovenije

15. 15
PREDMET I CILJ ZAKONA
Ustavni osnov Zakonu o zaštiti podataka o ličnosti (u daljem tekstu ZZPL)
daje član 42. Ustava Republike Srbije koji određuje, da je zagarantovana zaštita
podataka o ličnosti i da se prikupljanje, držanje, obrada i korišćenje podataka o
ličnosti uređuju zakonom. Takođe, ovaj član određuje da je zabranjena i kažnjiva
upotreba podataka o ličnosti izvan svrhe za koju su prikupljeni, u skladu sa za-
konom, osim za potrebe vođenja krivičnog postupka ili zaštite bezbednosti Re-
publike Srbije, na način predviđen zakonom. Svako ima pravo da bude obavešten
o prikupljenim podacima o svojoj ličnosti, u skladu sa zakonom, i pravo na sud-
sku zaštitu zbog njihove zloupotrebe.
Zakon o zaštiti podataka o ličnosti u članu 1, stav 1. određuje, da se ovim
zakonom uređuju uslovi za prikupljanje i obradu podataka o ličnosti, prava lica
i zaštita prava lica čiji se podaci prikupljaju i obrađuju, ograničenja zaštite poda-
taka o ličnosti, postupak pred nadležnim organom za zaštitu podataka o ličnosti,
obezbeđenje podataka, evidencija, iznošenje podataka iz Republike Srbije i nad-
zor nad izvršavanjem ovog zakona. U članu 2. ZZPL uređuje, da je cilj ovog za-
kona da, u vezi sa obradom podataka o ličnosti, svakom fizičkom licu obezbedi
ostvarivanje i zaštitu prava na privatnost i ostalih prava i sloboda.
Cilj zakona, međutim, nije sama zaštita podataka o ličnosti, već zaštita
pojedinca na koga se ti podaci odnose, a time i dela njegove takozvane infor-
macijske privatnosti. ZZPL ne pokriva čitav spektar prava na privatnost poje-
dinca, već samo onaj deo prava na privatnost koji se odnosi na njegove podatke
o ličnosti.
Tako na primer, vređanje nekog pojedinca u medijima i navođenje neisti-
na u vezi sa njim, zadire u njegovu privatnost, ali to nije kršenje odredbi o zaštiti
podataka o ličnosti. Ako bi pak neko o pojedincu preuzeo i objavio njegove po-
datke o ličnosti, koje je dobio iz različitih izvora podataka (npr. pojedinosti o
njegovom zdravstvenom stanju), to bi značilo kršenje odredbi ZZLP.
ŠTA SU TO PODACI O LIČNOSTI
Podatak o ličnosti je, prema članu 3, tačka 1, svaka informacija koja se od-
nosi na fizičko lice, bez obzira na oblik u kojem je izražen i na nosač informacije
(papir, traka, film, elektronski medijum i sl.), bez obzira na okolnosti čuvanja
informacija, bez obzira na način pribavljanja informacije (slušanjem, gledanjem,
putem uvida u dokument i sl.) i bez obzira na druga svojstva te informacije.
Fizičko lice je čovek na koga se odnosi podatak, čiji je identitet određen
ili odrediv na osnovu ličnog imena, jedinstvenog matičnog broja građana,

16. 16
adresnog koda ili drugog obeležja njegovog fizičkog, psihološkog, duhovnog,
ekonomskog, kulturnog ili društvenog identiteta. Fizičko lice je ovim putem
određeno, odnosno odredivo uz pomoć njegovih identifikacionih brojeva kao
što su već pomenuti jedinstveni matični broj građana, takođe i poreski broj, broj
zdravstvenog osiguranja, broj telefona, broj lične karte ili pasoša ili pak broj stu-
dentskog indeksa. Drugi faktori pomoću kojih fizičko lice može biti određeno ili
odredivo, između ostalog, su: starost, zaposlenje, druge funkcije koje lice obav-
lja, položaj i status u određenom subjektu i sl. Takođe, podatke predstavljaju i
slika, glas, otisci prstiju, te sve druge biometrijske karakteristike fizičkog lica.
Biometrijske karakteristike su telesne, fiziološke, i karakteristike ponašanja, koje
poseduju svi pojedinci, koje su jedinstvene i stalne za svakog pojedinca posebno
i uz čiju pomoć ga je moguće identifikovati, naročito u slučaju upotrebe otisaka
prstiju, dužica oka, mrežnjače oka, obraza, ušiju, dezoksiribonukleinske kiseline
(DNK), kao i različitosti položaja.
Podatak o ličnosti je zato svaki podatak koji se odnosi na fizičko lice ako
je ono određeno ili odredivo. Podaci, koji su neprepoznatljivi, izmanipulisani ili
na neki drugi način izmenjeni, nisu podaci o ličnosti ukoliko, na osnovu njih,
nije moguće odrediti osobu na koju se odnose.
Podaci o stvarima nisu podaci o ličnosti. Tako na primer, podaci o vozilu
nisu i ne mogu biti podaci o ličnosti, jer se odnose na stvar, a stvari po svojoj
prirodi ne mogu biti nosači podataka o ličnosti. Podaci o broju šasije motornog
vozila, vrsti, tipu ili boji vozila, ne mogu predstavljati podatak o ličnosti iz razloga
što se odnose na vozilo. Navedeni podaci mogu postati podaci o ličnosti samo
u slučaju kada ih je moguće povezati sa vlasnikom, odnosno kada je, na osnovu
njih, moguće identifikovati vlasnika vozila. Zajednički znak za povezivanje, na
osnovu koga je u slučaju korišćenja podataka o vozilu, moguće identifikovati
vlasnika, je na primer saobraćajna dozvola u kojoj su, pored podataka o vozilu,
upisani i podaci o vlasniku. Bitan uslov da podaci o vozilu postanu podaci o
ličnosti je, da je pomoću njih moguće precizno identifikovati pojedinca. Takođe,
informacije o servisiranju, popravkama, kvarovima i drugi podaci o prethodnom
stanju vozila, ne mogu biti podaci o ličnosti, ukoliko pri tome nisu navedeni po-
daci pomoću kojih je moguće identifikovati sve (sadašnje i prethodne) vlasnike
vozila, na primer njihova imena, odnosno druge podatke, na osnovu kojih bi oni
bili identifikovani.
Takođe, podaci o životinjama nisu podaci o ličnosti, npr, podaci o da-
tumu rođenja životinje, opis životinje, identifikacioni broj životinje, nisu podaci
o ličnosti, ukoliko se ne odnose i na vlasnika, odnosno na lice koje se stara o
životinji. Kada lice, uz pomoć tih podataka, postane odrediv ti se podaci mogu
kvalifikovati kao podaci o ličnosti.
Potpuno je jasno da ni podaci o pravnim licima nisu podaci o ličnosti.
Malo je složenija situacija u slučaju samostalnih preduzetnika i treba skrenuti
pažnju da u slučaju kada pojedinac nastupa kao samostalni preduzetnik (privatni

17. 17
preduzetnik), radi zaštite pravnog prometa, pravo na zaštitu podataka o ličnosti
je suženo i pojedinac u svojstvu preduzetnika ne može uživati toliko prava kao
pojedinac u svojstvu fizičkog lica. Dakle, u situacijama gde se podaci odnose na
samostalnog preduzetnika, ne može se govoriti o zaštićenim podacima o ličnosti
kada se radi o podacima pojedinca povezanim sa obavljanjem funkcije samostal-
nog preduzetnika. Poreski broj ili na primer broj tekućeg računa samostalnog
preduzetnika su u neposrednoj vezi sa obavljanjem njegove delatnosti, te stoga u
tom slučaju ne predstavljaju zaštićene podatke, dok bi za isti poreski broj odnos-
no isti tekući račun to bili zaštićeni podaci u slučaju kada ih koristi pojedinac
kao fizičko lice.
ŠTA JE ZBIRKA PODATAKA?
Zbirka podataka, prema članu 3, tačka 6. ZZPL, predstavlja skup podataka
koji se automatizovano (korišćenjem informacione tehnologije) ili neautomati-
zovano vode i dostupni su po ličnom, predmetnom ili drugom osnovu, neza-
visno od načina na koji su pohranjeni i mesta gde se čuvaju. U zbirku poda-
taka moguće je ubrojati razne baze, evidencije, registre, upisnike, spiskove, kao i
druge oblike informacija koje odgovaraju definiciji niza podataka o ličnosti, kao
na primer razni ugovori, zapisnici, zdravstveni kartoni, video snimci i sl. S obzi-
rom na definiciju zbirke koju predviđa ZZPL, možemo u zbirku podataka ubro-
jati, takođe i upravne, sudske, disciplinske i druge odgovarajuće spise. Za većinu
takvih spisa značajno je, da se u njima nalaze podaci o ličnosti, prikupljeni iz
drugih zbirki podataka o ličnosti, ili su prikupljeni neposredno od stranaka i
svedoka u postupku. Često iz ovih zbirki nastaju nove zbirke podataka (npr. na-
kon okončanja krivičnog postupka, podaci iz sudskih spisa se upisuju u kaznenu
evidenciju i sl.).
Niz podataka mora biti dostupan na osnovu određenih merila (koja se
baziraju na ličnim, opštim ili drugim osnovama), takođe, mora biti organizovan
na takav način da odredi ili omogući određivanje pojedinca (recimo mogućnost
pretrage po zbirci na osnovu imena, datuma, sadržaja podataka, i sl.) Ako sis-
tem upravljanja zbirkama omogućava pristup podacima o ličnosti pojedinca na
osnovu njegovog imena, ili njegovih drugih identifikacionih znakova (npr. jedi-
nstveni matični broj građana, datum rođenja, adresa itd.) onda se radi o zbirci
podataka o ličnosti. Isto tako računarske datoteke u kojima se nalaze podaci o
ličnosti, načelno, takođe, predstavljaju zbirke podataka, a pri tom, odgovarajući
računarski programi omogućuju pristup podacima pojedinca na osnovu njego-
vih identifikacionih znakova ili drugih merila, i ako se oni nalaze u različitim
datotekama. Ručno vođene zbirke predstavljaju zbirku podataka ukoliko je
moguće na osnovu, odnosno uz pomoć određenih merila, pristupiti podacima
o ličnosti i nekog pojedinca na taj način identifikovati. Sa druge strane, ukoliko
neposredna dostupnost, odnosno pretraga podataka pojedinaca, koji se nalaze u

18. 18
nekoj zbirci, nije moguća i ukoliko se njihovi podaci samo slučajno, nesistemski
pojavljuju u zbirci (npr. zbirci tehničkih podataka), takva zbirka ne predstavlja
zbirku podataka u smislu ZZPL.
Zbirka podataka u smislu ovog zakona je nezavisna i od načina i mes-
ta čuvanja podataka. Činjenica da se isti podaci pojedinca nalaze u različitim
zbirkama podataka, dok se istovremeno različiti podaci pojedinca nalaze razba-
cani u različitim zbirkama podataka, nema uticaja na valjanost zbirke podataka.
ZZPL se primenjuje kada je u pitanju bilo kakva automatska obrada po-
dataka o ličnosti, a ukoliko se radi o ručnoj (neautomatskoj) obradi podataka o
ličnosti, zakon se primenjuje samo u slučaju kada podaci koji se obrađuju pred-
stavljaju zbirku podataka (član 4. ZZPL).
KADA SE ODREDBE ZAKONA O ZAŠTITI PODATAKA
O LIČNOSTI NE PRIMENJUJU?
Namera zakonodavca nije bila nadziranje i regulisanje apsolutno svake
obrade podataka o ličnosti, iz razloga što bi to bilo sasvim besmisleno i ira-
cionalno, te su u članu 5. ZZPL precizirani izuzeci od primene zakona. Podaci,
koji podležu definicijama predviđenih članom 5, još uvek predstavljaju podatke
fizičkih lica, ali u navedenim primerima ti podaci o ličnosti nisu zaštićeni svim
odredbama ZZLP. Pojedine odredbe ZZPL o uslovima korišćenja i o pravima i
obavezama u vezi sa korišćenjem se ne primenjuju za nabrojane kategorije poda-
taka o ličnosti, izuzev ukoliko očigledno dolazi do suprotnih interesa pojedinca.
Pojam „suprotni interesi lica“ je prilično uopšten i s obzirom na to da se radi o
izuzecima od primene zakona, potrebno ga je potpuno precizirati, pre svega u
skladu sa načelom srazmernosti iz 6. i 7. tačke, člana 8. ZZLP. Zakon određuje
četiri kategorije podataka o ličnosti za koje se primena ZZLP može ograničiti:
1. Prvi izuzetak predstavljaju podaci, koji su svima dostupni i objavljeni
u javnim glasilima i publikacijama ili dostupni u arhivama, muzejima i drugim
sličnim organizacijama. Iz navedene odredbe proizlazi da je cilj zaštite zakona
privatnost i dostojanstvo pojedinca pri obradi podataka o ličnosti. S obzirom
na navedeno, obrada podataka koji su već dostupni javnosti (npr. putem ob-
javljivanja u medijima, knjigama, drugim javnim publikacijama, drugim javno
dostupnim izvorima, ili dostupni javnosti u muzejima, arhivama i sl.) u osnovi
ne može značiti zadiranje u privatnost i dostojanstvo pojedinca. Ono što je javno
i što je na zakonit način postalo javno, po prirodi stvari ne može se svrstati u
načelo privatnosti pojedinca. To znači da obrada takvih, već javnih podataka o
ličnosti, iz zakonskog ugla, nije sporna, odnosno dozvoljena je.
2. Drugi izuzetak od primene ZZLP, se odnosi na podatke koji se obrađuju
za porodične i druge lične potrebe i nisu dostupni trećim licima. O obradi
ove vrste podataka o ličnosti govorimo u slučaju kada pojedinac u svojoj kući
poseduje spiskove sa ličnim imenima, adresama, datumima rođenja, brojevima

19. 19
telefona i sl., određenih lica (rođaka, prijatelja, poznanika...) i te spiskove koristi
u komunikaciji sa tim licima. Podaci, koji se koriste za porodične i druge slične
potrebe, su oni koji nastaju u okviru domaćinstva pojedinca. Obim korišćenja u
ovakvim primerima načelno nije definisan (pojedinac može za svoje, odnosno
porodične potrebe, izraditi veoma opsežnu zbirku podataka, npr. za više stoti-
na pojedinaca), ali bi se moglo iz nesrazmernog obima korišćenja zaključiti da
korišćenje prevazilazi samo porodične potrebe. Međutim, kada je korišćenje po-
dataka o ličnosti prošireno na treća lica, na primer, na sve pojedince koji žive u
nekom stambenom bloku, na poslodavca ili pak na druga lica, više ne govorimo
o korišćenju podataka za porodične i druge odgovarajuće potrebe.
U slučajevima korišćenja podataka koje odgovara definiciji „za porodične i
druge lične potrebe“ podaci o ličnosti ne smeju biti dostupni trećim licima. U po-
jam korišćenja podataka za porodične potrebe se ne može svrstati objavljivanje
i korišćenje podataka o ličnosti na internetu. Ovakvim primerom korišćenja po-
dataka već se bavio Evropski sud pravde, sa sedištem u Luksemburgu, u slučaju
Bodil Lindqvist1
kada je odlučio da se u korišćenje podataka za porodične potrebe
ne mogu se svrstati objavljeni podaci o ličnosti na internetu. Objavljivanje po-
dataka o ličnosti na internetu je zaštićeno odredbama ZZLP, ali to ne znači da
objavljivanje podataka o ličnosti na internetu nije dozvoljeno – naprotiv, doz-
voljeno je ali isključivo uz poštovanje svih odredbi ovog zakona (ukoliko tako
određuje zakon i ukoliko objavljivanju na internetu pojedinac pristupi svojom
voljom).
3. Treći izuzetak od primene ZZLP odnosi se na podatke, koji se o
članovima političkih stranaka, udruženja, sindikata, kao i drugih oblika
udruživanja obrađuju od strane tih organizacija, pod uslovom da član da pis-
menu izjavu da određene odredbe ovog zakona ne važe za obradu podataka o
njemu za određeno vreme, ali ne duže od vremena trajanja njegovog članstva.
Pojedinci, članovi političkih stranaka, udruženja, sindikata i drugih organiza-
cija iz člana 5, tačka 3. zakona, daju pismenu izjavu da određene (ali ne sve)
odredbe zakona ne važe kod korišćenja njegovih podataka za određeno vreme,
koje nikako ne sme biti duže od trajanja njegovog članstva. Organizacije nikako
ne smeju iz upotrebe izostaviti sve odredbe ZZLP, a odluka o tome koje odredbe
se neće primenjivati, u celosti je prepuštena pomenutim organizacijama. Takođe,
preporuka je da pomenute organizacije poštuju odredbe ZZLP i da njihovo
neprimenjivanje svedu na što manju meru. Ukoliko bi pomenute organizacije
iz upotrebe isključile skoro ceo zakon i koristile samo određene manje važne
odredbe, moglo bi se postaviti pitanje njihovog kredibiliteta kao i korektnog
odnosa prema njihovom članstvu.
Kao dodatni argument za restriktivnu odluku u vezi sa neprimenjivanjem
pojedinih odredbi ZZLP, u slučajevima kada se radi o članovima političkih
stranaka ili sindikata, potrebno je upozoriti da podatak o članstvu u političkoj
1 Primer C–101/01, 6. 11. 2003.

20. 20
stranci ili sindikatu predstavlja osetljiv podatak o ličnosti u skladu sa članom 16.
ZZLP, te kada se ne radi o izuzecima iz člana 5. (podaci koje o svojim članovima
koriste političke stranke ili sindikati) za obradu takvih podataka primenjuju se
strožija pravila.
4. Četvrti izuzetak predstavljaju podaci koje je neko lice, sposobno da se
samo stara o svojim interesima, objavilo o sebi. U takvim slučajevima zakono-
davac je predvideo da bi zaštita pojedinca bila besmislena, pošto je pojedinac
očigledno ne želi. Svakom licu, kao što je slučaj sa pravom na zaštitu njegovih
podataka, mora u određenim situacijama da bude zagarantovana mogućnost da
sam odluči kada mu takva zaštita nije potrebna. Izuzetak iz ove tačke je u slučaju
kada pojedinac sam objavi svoje podatke na internetu, u medijima, oglasnoj tabli
ili na neki drugi način. Međutim, takav pojedinac mora biti pravno sposoban
da odlučuje o svojim vlastitim interesima. U tom slučaju je navedeno korišćenje
podataka o ličnosti u celosti zaštićeno odredbama ZZLP.
Puno je primera kada pojedinac sam objavljuje svoje podatke, a najbolji
su različiti društveni internet sajtovi, kao što su Facebook ili MySpace. Međutim
treba imati na umu da pojedinac može, mimo odredbi ovog zakona, objavljivati
svoje vlastite podatke, ali pri korišćenju podataka o ličnost drugih (čak iako su
to njegovi prijatelji, rođaci, poznanici) mora se u celosti pridržavati odredbi ovog
zakona i za takvo korišćenje mora imati pravi osnov.

21. 21
OBRADA PODATAKA O LIČNOSTI
UOPŠTENO O OBRADI PODATAKA
O LIČNOSTI
Obrada podataka je svaka radnja preduzeta u vezi sa podacima kao što
su: prikupljanje, beleženje, prepisivanje, umnožavanje, kopiranje, prenošenje,
pretraživanje, razvrstavanje, čuvanje, razdvajanje, ukrštanje, objedinjavanje,
upodobljavanje (prilagođavanje), menjanje, obezbeđivanje, korišćenje, stavlja-
nje na uvid, otkrivanje, objavljivanje, širenje, snimanje, organizovanje, čuvanje,
prilagođavanje, otkrivanje putem prenosa ili na drugi način činjenje dostupnim,
prikrivanje, izmeštanje i na drugi način činjenje nedostupnim, kao i sprovođenje
drugih radnji u vezi sa navedenim podacima, bez obzira da li se vrši automatski,
poluautomatski ili na drugi način (član 3, tačka 3. ZZPL).
ZZPL uređuje vrlo širok obim rukovanja, odnosno postupanja u vezi sa
podacima o ličnosti. Međutim, oblici obrade su u zakonu pojedinačno nabrojani
i ne obuhvataju sve moguće oblike rukovanja podacima o ličnosti. Praktično,
sva rukovanja koja je moguće izvoditi sa podacima o ličnosti predstavljaju
obradu podataka o ličnosti. Zakon, znači, ne utvrđuje „numerus clausus“ odnos-
no ne nabraja taksativno sve aktivnosti koje predstavljaju obradu podataka o
ličnosti. Ipak, upotrebom reči „kao što su“ zakon ostavlja mogućnost da pored
pojedinačno nabrajanih oblika obrade i bilo kakvo drugo rukovanje podacima o
ličnosti, označava njihovu obradu.
Podatke o ličnosti obrađuje rukovalac podataka, koji može biti organ
vlasti, ali i bilo koje fizičko ili pravno lice (člana 3, tačka 5). Ovom definicijom
određeni su svi rukovaoci podacima, koji ih obrađuju u skladu sa odredbama
ZZLP.
U vezi sa pojmom rukovalac podataka zanimljiv je primer dva privredna
društva – matično (kontrolno) i podređeno (zavisno). Postavlja se pitanje da li
su ta dva društva jedan rukovalac ili dva različita rukovaoca podataka o ličnosti.
ZZPL određuje da je rukovalac podataka o ličnosti bilo koje fizičko ili pravno
lice. ZZLP takođe ne dopušta mogućnost da dve samostalne ali povezane firme
budu jedan rukovalac podataka. Svaka firma zasebno je rukovalac podataka o
ličnosti i mora se, kao takva, brinuti o zakonitom sprovođenju odredbi ZZLP,
između ostalog, i za odgovarajuću zaštitu podataka o ličnosti koje obrađuje. Ako
poseban propis uređuje svrhu i način obrade, rukovalac može da se odredi tim
propisom (član 7. ZZPL).

22. 22
U zakonu je, pored pojma rukovalac podataka, definisan i pojam korisnik
podataka. Korisnik podataka je fizičko ili pravno lice, odnosno organ vlasti, koji
je zakonom ili po pristanku lica ovlašćen da koristi podatke o ličnosti (član 3,
tačka 7. ZZPL).
Neophodno je skrenuti pažnju na činjenicu da je moguće da su rukovalac
podataka i korisnik podataka isti subjekti. Rukovalac neke zbirke podataka može
biti i njen korisnik, takođe i korisnik podataka neke druge zbirke, o kojoj brine
drugi rukovalac. Dakle, nije neophodno da rukovalac i korisnik uvek predstav-
ljaju dva različita subjekta.
OBRAĐIVAČ PODATAKA
ZZPL definiše obrađivača podataka u člana 3, tačka 8, kao fizičko ili
pravno lice, odnosno organ vlasti, kome rukovalac na osnovu zakona ili ugo-
vora poverava određene poslove u vezi sa obradom. Zakon ne ograničava vrstu
obrade podataka o ličnosti, koje po tom članu rukovalac poverava obrađivaču,
niti ograničava vrstu podataka koje rukovalac poverava (putem ugovora ili na
osnovu zakonskog ovlašćenja) obrađivaču u postupak. Ovo znači da je moguće
dostaviti obrađivaču sve vrste podataka o ličnosti, takođe i osetljive, kao što bi
moglo biti npr. u oblasti zdravstva. Zakon ne ograničava ni krug subjekata koji-
ma rukovalac može poveriti pojedine naloge koji su u vezi sa obradom podataka
o ličnosti. Tako, rukovalac pomenute naloge može poveriti svakom pravnom ili
fizičkom licu, kao i organu vlasti. Rukovalac tih podataka može pojedine nalo-
ge poveriti obrađivaču podataka na osnovu odredbi zakona ili se takav prenos
naloga reguliše ugovorom. U ovom slučaju se radi o takozvanoj ugovornoj obra-
di.
ZZPL, takođe omogućava rukovaocu podataka, da pojedine naloge u vezi
sa obradom podataka, putem ugovora poveri drugom pravnom licu, pojedincu
ili organu vlasti. Zakon u takvim slučajevima ne određuje posebne uslove, ali
treba skrenuti pažnju da i za ugovorno određenog obrađivača, takođe izričito
važe odredbe člana 46. i 47. ZZLP (zaštita podataka), kao i da se za obrađivača
podataka koji je pravno lice, primenjuje član 57. (kaznene odredbe), koji određuje
kazne za nepoštovanje raznih odredbi ZZLP.
Potrebno je istaći da rukovalac podataka o ličnosti ne može na obrađivača
preneti više ovlašćenja u vezi sa obradom podataka nego što ih sam ima. Takođe,
obrađivač podataka ne sme obrađivati podatke ni u kakve druge svrhe osim u
one koje su obe strane dogovorile. Obrađivač je, na određeni način, produžena
ruka rukovaoca podataka o ličnosti, te radi toga nije dopuštena bilo kakva obrada
podataka o ličnosti koja prevazilazi ovlašćenja naručioca.
Takođe, preporučljivo je, iako u ZZLP to nije izričito navedeno, da se
prava i obaveze između rukovaoca i obrađivača precizno odrede u međusobnom

23. 23
ugovoru. U trenutku kada obrađivača podataka o ličnosti bude određivao zakon,
odnose između njih treba, koliko je moguće, precizno urediti zakonom.
Najčešći primeri u vezi sa ugovornom obradom na koje nailazimo u
praksi su primeri kada se zbirke podataka vode na informacionom sistemu koji
je u vlasništvu drugog pravnog ili fizičkog lica, kada manji poslodavci obračun
ličnih dohodaka zaposlenih i druge računovodstvene usluge povere spoljnjem
računovodstvenom servisu, kada operateri mobilne telefonije za sklapanje
korisničkih ugovora, ovlaste druga pravna ili fizička lica, kada rukovalac poda-
taka održavanje opreme koja služi za obradu podataka o ličnosti, poveri nekom
drugom, kada organizator konferencije angažuje drugu osobu za sakupljanje
prijava učesnika, kada se ugovorne strane dogovore da će jedna za drugu vršiti
poslove video nadzora, prinudna izvršenja ili možda uništavanje dokumentacije
koja sadrži podatke o ličnosti, i sl. Preporučljivo je da rukovalac ugovorom sa
obrađivačem precizno odredi zaštitu zbirki podataka, rokove čuvanja, vraćanje
zbirke po isteku ugovora, iz razloga što on, kao rukovalac, mora ispunjavati sve
obaveze iz ovog zakona i takođe je odgovoran za obrađivača, koji obrađuje po-
datke o ličnosti u njegovo ime i za njegov račun.
OPŠTA NAČELA
Zabrana diskriminacije
ZZPL u članu 1, stav 2. uređuje da se zaštita podataka o ličnosti
obezbeđuje svakom fizičkom licu, bez obzira na državljanstvo i prebivalište,
rasu, godine života, pol, jezik, veroispovest, političko i drugo uverenje, nacio-
nalnu pripadnost, socijalno poreklo i status, imovinsko stanje, rođenje, obra-
zovanje, društveni položaj ili druga lična svojstva, te je ovim stavom zakonski
regulisana zabrana diskriminacije. Odredba ovog člana zakona predstavlja
konkretizaciju odredbe člana 21. Ustava Republike Srbije u vezi sa zaštitom
podataka o ličnosti.
Poštovanje načela zabrane diskriminacije, takođe znači da svi moraju pri-
hvatiti činjenicu da je samovolja pri izvršavanju odredbi u vezi sa zaštitom po-
dataka o ličnosti zabranjena, te da sve odredbe, u odnosu na svakog pojedinca
treba primenjivati na jednak način.
Načelo srazmernosti
ZZPL u članu 8, tačka 6. i 7. određuju načelo srazmernosti u vezi sa
zaštitom podataka o ličnosti. Obrada podataka o ličnosti nije dozvoljena uko-
liko je podatak koji se obrađuje, nepotreban ili nepodesan za ostvarenje svrhe
obrade, kao i ukoliko su broj ili vrsta podataka koji se obrađuju nesrazmerni
svrsi obrade, što znači da je dozvoljeno obrađivati samo one podatke koji su
očigledno potrebni i primereni za postizanje zakonske namene obrade ličnih po-

24. 24
dataka. Takođe, ograničen je i broj podataka o ličnosti koji se može obrađivati.
Obim podataka koji se obrađuju ne sme biti prekomeran, mogu se sakupljati i
obrađivati samo oni podaci koji su u cilju postizanja svrhe nužno neophodni. Ru-
kovaoci tako mogu obrađivati samo one podatke koji su potrebni za donošenje
neke odluke, izvršenje određenog ugovora ili posla, za organizovanje nagradne
igre, i slično. Ukoliko obim i vrsta podataka o ličnosti nisu zakonom predviđeni,
rukovaoci moraju, u zavisnosti od situacije odlučivati koja obrada ne predstavlja
prekomernu, odnosno nesrazmernu obradu podataka o ličnosti.
Tako na primer, pri organizovanju nagradne igre u kojoj mogu učestvovati
samo punoletna lica, organizator nagradne igre u skladu sa načelom srazmer-
nosti ne sme od učesnika zahtevati podatak o jedinstvenom matičnom broju
građana, već samo datum i godinu rođenja.
Načelo srazmernosti je, takođe bitno kod presuđivanja u situacijama kada
dođe do sukoba, odnosno kolizije dva ljudska prava, od koji je jedno ustavom
zagarantovano pravo na zaštitu podataka o ličnosti. Često je dozvoljen sukob
prava na zaštitu podataka o ličnosti i prava na slobodu izražavanja. Nijedno od
ova dva prava, međutim, nije apsolutno, već su oba ograničena drugim ljud-
skim pravima. U takvim situacijama odgovarajuću granicu potrebno je pronaći
u skladu sa načelom srazmernosti koje je, između ostalog, uređeno članom 8,
tačkama 6. i 7. ZZLP. Granicu je u sličnim primerima utvrdio i Evropski sud za
ljudska prava u poznatom slučaju Von Hannover protiv Nemačke,2
gde je presu-
dio o obimu prava medija u pogledu zadiranja u privatnost različitih kategorija
javnih ličnosti.
Načelo tačnosti i ažurnosti
ZZPL u članu 8, tačka 8. uvodi načelo tačnosti i ažurnosti. Navedeno za-
konsko pravilo teorija postavlja u ravan osnovnog načela kod obrade podataka
o ličnosti, čime ga stavlja u ravan načelu srazmernosti i zabrane diskriminacije.
Uređeno je da obrada podataka o ličnosti nije dozvoljena ako je podatak neis-
tinit ili nepotpun, odnosno kada nije zasnovan na verodostojnom izvoru ili je
zastareo. Ažurnost znači da obrađeni podaci o ličnosti odgovaraju stvarnim, na-
jnovijim podacima i da su tačni nasuprot nepravilnim podacima koji mogu biti
veoma zavaravajući. Pojedinac ima mogućnost da se uveri da li su obrađeni po-
daci tačni i ažurni, te u slučaju da nisu, pokrene odgovarajuće postupke kod ru-
kovaoca podataka i u skladu sa članom 22. ZZLP ima pravo da, pod određenim
uslovima, od rukovaoca zahteva ispravku, dopunu, ažuriranje, brisanje podataka
kao i obustavu i privremeni prekid obrade.
U skladu sa načelom tačnosti i ažurnosti rukovalac podataka može, pre
unosa podataka o ličnosti u zbirku, proveriti tačnost podataka, na primer, uvi-
dom u lični dokument ili drugi odgovarajući javna isprava pojedinca na koga
2 Von Hannover protiv Nemačke, br. 59320/00, 24. juni 2004.

25. 25
se podaci odnose, ili na neki drugi način, ali u skladu sa namenom za koju se ti
podaci obrađuju.
USLOVI ZA OBRADU PODATAKA O LIČNOSTI
ZZPL u članu 8. određuje uslove koji moraju biti ispunjeni, da bi obrada
podataka o ličnosti bila dozvoljena. Pored nepoštovanja već pomenutih načela,
načela srazmernosti i načela tačnosti i ažurnosti, obrada podataka o ličnosti nije
dozvoljena kada:
– fizičko lice nije dalo pristanak za obradu, odnosno ako se obrada
vrši bez zakonskog ovlašćenja;
– se vrši u svrhu različitu od one za koju je određena, bez obzira da li
se vrši na osnovu pristanka lica ili zakonskog ovlašćenja za obradu
bez pristanka;
– svrha obrade nije jasno određena, ako je izmenjena, nedozvoljena
ili već ostvarena;
– je lice na koje se podaci odnose određeno ili odredivo i nakon što
se ostvari svrha obrade;
– je način obrade nedozvoljen.
PRAVNI OSNOV ZA OBRADU PODATAKA O LIČNOSTI
Zakonski osnov
Obrada podataka o ličnosti, takođe nije dozvoljena ako za obradu poda-
taka nema odgovarajućeg pravnog osnova. Odgovarajući pravni osnov za obradu
podataka o ličnosti mogu, u skladu sa članom 8, tačka 1. ZZPL omogućiti za-
kon ili pojedinac, svojom saglasnošću. Rukovalac podataka, koji ima pravni os-
nov (saglasnost ili zakonsko ovlašćenje) može obrađivati samo one podatke za
koje ima ovlašćenje u zakonu, odnosno saglasnost pojedinca na koga se podaci
odnose.
Kada se podaci o ličnosti obrađuju na osnovu zakona, zakon mora de-
taljno odrediti koji se podaci mogu obrađivati, te način i namenu njihove obrade.
Kada osnov za obradu podataka predstavlja drugi zakon, a ne ZZLP, moraju se
poštovati sve odredbe ZZPL.
Obrada sa pristankom
Pristanak pojedinca detaljnije je uređen u članu 10. ZZPL. Punovažan
pristanak pojedinac može dati nakon prethodnog obaveštenja od strane ruko-
vaoca o obradi u smislu člana 15. ZZLP. To znači da, pojedinac na koga se po-

26. 26
daci odnose, mora biti detaljno upoznat sa svim pojedinostima obrade njego-
vih podataka (ko je rukovalac, svrha pribavljanja i dalje obrade, ko je korisnik
njegovih podataka, pravo na opoziv saglasnosti i pravne posledice opoziva...),
kao i mogućnost da može dati takozvani informisani pristanak. Takav pristanak je
pravno važeći. Pojedinac može dati pristanak pismeno ili usmeno na zapisnik.
Ako pojedinac svoj pristanak da pismeno, može ga dati u „klasičnom obliku“, za
pisani oblik se, u skladu sa članom 3, tačka 9. smatra, takođe, pristanak u ele-
ktronskom obliku, ali u tom slučaju potrebno je poštovati odgovarajuće odredbe
zakona koji uređuje pojam elektronskog potpisa. Pismeni oblik ima prednost i
sa aspekta budućeg dokazivanja postojanja, adekvatnosti, kao i dobrovoljnosti
davanja pristanka pojedinca. Pristanak za obradu podataka o ličnosti može u
ime pojedinca dati njegov zastupnik, koji u tom slučaju mora priložiti overeno
ovlašćenje, osim ukoliko drugim zakonom nije određeno drugačije.
Takođe, pojedinac može svoj pristanak za obradu podataka o ličnosti iska-
zati konkludentnom radnjom, na primer, ulaskom u prostoriju označenu kao
prostor pod video nadzorom, zna da će se njegovi podaci obrađivati u zbirkama
video snimaka, te samim ulaskom u takav prostor daje svoj pristanak. Takođe
jedan od primera je i snimanje telefonskih razgovora, u situaciji kada je pojedi-
nac, pre početka razgovora, bio upozoren da se razgovor snima, a nastavi razgo-
vor, on konkludentnom radnjom iskazuje pristanak za obradu svojih podataka.
Punovažan pristanak za obradu podataka ne može dati pojedinac koji za
to nije sposoban (npr. deca, osobe kojima je oduzeta poslovna sposobnost...).
Za takve osobe pristanak može dati zakonski zastupnik ili staratelj. Problem se
može pojaviti u vezi sa pristankom maloletnih lica. ZZPL ne određuje starosnu
granicu za punovažna pristanak za obradu podataka o ličnosti, te bi u takvim
slučajevima, bilo potrebno starosnu granicu potražiti u drugim zakonima koji
uređuju pitanje poslovne sposobnosti maloletnih osoba.
Kada se radi o obradi podataka umrlih lica i kada je dovoljan pravni os-
nov za takvu obradu pristanak pojedinca, ZZPL određuje da punovažan pris-
tanak mogu dati supružnici, deca sa navršenih 15 godina starosti, roditelji, braća
i sestre, pravni naslednik ili osoba koju je umrli za to odredio. Potrebno je upo-
zoriti, da osobe navedene u ovom stavu, moraju u prvom redu poštovati volju
umrlog i na osnovu njegove iskazane (navedene) volje odlučiti da li će dozvoliti
obradu podataka.
Pristanak se može, u skladu sa odredbom člana 11. ZZPL opozvati. Za
opoziv pristanka važe jednaka pravila kao i za sam pristanak. Kao što je uređeno
članom 11. obrada podataka o ličnosti nakon opoziva nije dozvoljena, međutim
ovde treba upozoriti, da ukoliko za obradu postoji zakonski osnov (ovlašćenje),
može se nastaviti sa obradom podataka.
Problematičan je član 11, stav 3. ZZPL koji određuje da je u slučaju opozi-
va pristanka pojedinac dužan rukovaocu nadoknaditi opravdane troškove i štetu,
u skladu sa propisima koji uređuju odgovornost za štetu, te ovu odredbu treba

27. 27
koristiti izuzetno restriktivno jer bi njena primena u praksi mogla dovesti do
obezvređivanja namene odredbe koja pojedincu daje pravo na opoziv pristanka.
Mnogi se, upravo zbog naglašenosti ove odredbe, možda neće odlučiti
na opoziv pristanka iako su protiv obrade tih podataka o ličnosti. Time bi bila
obezvređena čitava namena zakona, koja se zasniva na tome da je obrada poda-
taka dozvoljena samo u slučaju kada lice dostavi tzv. informisani i svojom vol-
jom dat pristanak (ukoliko se, naravno, ne radi o obradi podataka na osnovu
zakona).
Obrada podataka o ličnosti bez pristanka,
(kada rukovaoc nije organ vlasti)
Podaci se, u određenim slučajevima, mogu obrađivati i bez pristanka po-
jedinca, tako da ZZPL u članu 12. određuje nekoliko takvih primera. Potrebno je
naglasiti da se u tim primerima radi o izuzecima od obrade podataka o ličnosti
na osnovu pristanka pojedinca, te se prema tim izuzecima treba odnositi re-
striktivno. Takođe, potrebno je dodatno objasniti da taj član govori o obradi po-
dataka od strane rukovaoca koji ne predstavlja organ vlasti. Osnova za obradu
podataka od strane organa vlasti, a bez pristanka pojedinca, određena je u članu
13. ZZPL.
1. Obrada bez pristanka je dozvoljena da bi se ostvarili ili zaštitili životno
važni interesi lica ili drugog lica, a posebno život, zdravlje i fizički integritet. Ova
odredba predstavlja neposredni pravni osnov za obradu podataka u primerima
kada je ugrožen život, zdravlje i fizički integritet. Ovi interesi uvek prevladaju
nad pravom na zaštitu privatnosti pojedinca, te nije potreban pristanak za obradu
podataka, što se u takvim situacijama navodi. Ova odredba se koristi samo u
izuzetnim situacijama, pre svega je treba procenjivati i iz ugla načela srazmer-
nosti. Naime, u slučajevima kada se radi o najvažnijim životnim interesima lica,
kao što su život, zdravlje i fizički integritet, mogu se obrađivati samo oni podaci
koji su potrebni i primereni u odnosu na namenu obrade, te da je njihov broj ili
vrsta srazmerna nameni obrade.
Odredbe toga stava je moguće koristiti u slučajevima hitnih medicinskih
zahvata, kada lice koje je danima u nesvesnom stanju, usled saobraćajne nesreće,
nije u mogućnosti da dâ svoj pristanak za obradu podataka, koji je lekarima
neophodan radi hitnog medicinskog zahvata (podaci o bolestima, alergijama,
lekovima koje lice koristi...). Lekar bi, na osnovu te odredbe, imao mogućnost
upoznavanja sa zdravstvenom evidencijom lica, a u svrhu spasavanja njegovoga
života ili sprečavanja drugih štetnih posledica za njegovo zdravlje i fizički integ-
ritet. Ova odredba se može upotrebiti, takođe u slučaju traženja nestalih osoba
uz pomoć lokacijskog podatka kod operatera mobilne telefonije, ako to lice ima
uz sebe mobilni telefon (recimo u slučajevima zatrpanih u lavini, ili kod dru-

28. 28
gih prirodnih nesreća, kao i kod nestanka starijih osoba koje pate od različitih
psihičkih poremećaja, itd).
2. Obrada bez pristanka, dozvoljena je i u svrhu izvršavanja obave-
za određenih zakonom, aktom donetim u skladu sa zakonom ili ugovorom
zaključenim između lica i rukovaoca, kao i radi pripreme zaključenja ugovora.
Nesporno je da bilo koji drugi zakon pruža pravni osnov za obradu po-
dataka o ličnosti. Po pravilu, mora biti u zakonu opisana bar svrha obrade, kao
i podaci koji se obrađuju. Iz ZZPL je uočljivo da osnov za obradu podataka o
ličnosti može dati i podzakonski akt. Potrebno je skrenuti pažnju da ovakvo
rešenje nije dobro, te da nije u saglasnosti ni sa Ustavom Republike Srbije, koji
u članu 42. određuje, da se prikupljanje, čuvanje, obrada i korišćenje podataka
o ličnosti uređuju zakonom. Zato je preporučljivo, da se podzakonskim aktom
regulišu samo tehnički aspekti obrade podataka, dok osnov za obradu i vrsta
podataka o ličnosti treba obavezno da budu određeni u zakonu.
Podaci o ličnosti se bez pristanka lica mogu obrađivati, i kada se radi o
ispunjavanju obaveza određenih ugovorom između lica i rukovaoca, odnosno
kada su još u fazi dogovaranja za sklapanje ugovora. Mogu se obrađivati samo
oni podaci koji su potrebni i primereni za ispunjavanje obaveza iz ugovornog
odnosa. Pored toga, što je ugovorni odnos sam po sebi pravni osnov za obradu
podataka o ličnosti, obrada ne sme biti prekomerna. Preporučljivo je, da već sam
ugovor sadrži klauzulu o obradi podataka o ličnosti, iz koje se jasno vidi na-
mena i način obrade, vreme čuvanja podataka, te podaci koji se obrađuju. Uko-
liko ugovor ne sadrži takvu klauzulu, podrazumeva se da je podatke o ličnosti
u takvim slučajevima dozvoljeno obrađivati i nakon toga čuvati samo onoliko
vremena, koliko traje ugovorni odnos, odnosno, dokle se ispunjavaju obaveze
iz ugovornog odnosa, osim ako u određenim slučajevima zakon ne određuje
drugačije. Primer za takvu obradu podataka o ličnosti je sklapanje ugovora
između turističke agencije i lica zainteresovanog za organizaciju određenog
putovanja, koje će u fazi sklapanja ugovora turističkoj agenciji dati određene
podatke o sebi i članovima svoje porodice (npr. ime, adresu stanovanja, broj
telefona, broj pasoša...), a agencija će ih obrađivati u skladu sa namenom koja
proizlazi iz ugovora (npr. rezervacija hotela, prevoza, za potrebe pribavljanja viza
ukoliko se radi o putovanju u inostranstvo i slično).
3. Obrada podataka o ličnosti bez pristanka dozvoljena je i u drugim
slučajevima određenim ovim zakonom ili drugim propisom donetim u skladu
sa ovim zakonom, radi ostvarenja pretežnog opravdanog interesa lica, rukovao-
ca ili korisnika. Radi se o još jednom izuzetku od obrade podataka o ličnosti
na osnovu pristanka. Zakonska odredba je veoma opšta, pa zato treba pojam
„ostvarenje pretežnog opravdanog interesa lica“ ceniti kroz praksu Poverenika i su-
dova. Navedeni izuzetak je potrebno tumačiti vrlo strogo i u skladu sa načelom
srazmernosti jer se radi o obradi podataka bez pristanka lica i bez naglašenog
zakonskog osnova. Radi se o slučajevima, kada rukovalac, korisnik ili drugi po-

29. 29
jedinac, ima osnovan interes za obradu podataka o ličnosti određenog lica i da
je taj interes toliko bitan da prevazilazi interese lica čiji će se podaci obrađivati.
Kako je već pomenuto, takav interes treba procenjivati izrazito restriktivno i
ovom odredbom se nikako ne sme opravdavati obrada podataka o ličnosti, koja
bi sa aspekta rukovaoca bila samo tehnički jednostavno izvodljiva ili zanimljiva
sa aspekta izvođenja njegove delatnosti.
Obrada podataka o ličnosti od strane organa vlasti
Organ vlasti je u skladu sa članom 3, tačka 4. ZZPL državni organ, organ
teritorijalne autonomije i jedinice lokalne samouprave, odnosno drugi organ ili
organizacija kojoj je povereno vršenje javnih ovlašćenja.
ZZPL u članu 13. uređuje obradu podataka o ličnosti od strane organa
vlasti, te definiše da organ vlasti obrađuje podatke bez pristanka lica, ako je
obrada neophodna radi obavljanja poslova iz svoje nadležnosti određenih za-
konom ili drugim propisom u cilju ostvarivanja interesa nacionalne ili javne bez-
bednosti, odbrane zemlje, sprečavanja, otkrivanja, istrage i gonjenja za krivična
dela, ekonomskih, odnosno finansijskih interesa države, zaštite zdravlja i mo-
rala, zaštite prava i sloboda i drugog javnog interesa, a u drugim slučajevima
na osnovu pismenog pristanka lica. Iz ovoga člana vidljivo je da organ vlasti
za obradu podataka o ličnosti u načelu mora dobiti saglasnost pojedinca, dok
bez saglasnosti može podatke obrađivati samo u ranije navedenim slučajevima,
međutim ti slučajevi su previše širokog značenja. Odredba tog člana je veoma
problematična iz razloga što osnov za obradu podataka o ličnosti od strane or-
gana vlasti i bez pristanka pojedinca, postavlja previše široko. Ta odredba daje
prevelika diskreciona ovlašćenja organu vlasti koji je u odnosu na pojedinca
mnogo moćnija stranka, i koja, za razliku od pojedinca, vrši funkciju vlasti. Up-
ravo zato je prilično neprirodno, da organi vlasti mogu obrađivati podatke o
ličnosti bez pristanka pojedinca i bez bilo kakve zakonske osnove.
SVRHA I NAČIN OBRADE PODATAKA O LIČNOSTI
U pogledu svrhe obrade podataka o ličnosti ZZPL u članu 8, tačke 2. I 3,
određuje da obrada nije dozvoljena kada se vrši u svrhu različitu od one za koju
je obrada određena, bez obzira da li se vrši na osnovu pristanka lica ili zakon-
skog ovlašćenja za obradu bez pristanka. Obrada podataka o ličnosti, takođe nije
dozvoljena ukoliko svrha obrade nije jasno određena, ako je izmenjena, nedoz-
voljena ili je već ostvarena.
Načelo prethodnog određivanja svrhe možemo svrstati u jedno od os-
novnih načela zaštite podataka o ličnosti, te je u ZZPL određeno, da se podaci
mogu obrađivati samo u svrhu koja je određene zakonom ili koja je uočljiva
iz pristanka pojedinca. Jedini izuzetak iz te odredbe, koji nalazimo u ZZPL, je

30. 30
izuzetak koji predviđa član 6. i koji govori o obradi za istorijske, statističke i
naučno-istraživačke svrhe. U tim slučajevima se podaci, koji su već prikupljeni
i obrađeni za druge svrhe, mogu obrađivati u istorijske, statističke i naučno-
istraživačke svrhe. U svim drugim slučajevima mora biti prethodno određena
svrha obrade podataka.
Pored toga da je svrha unapred određena mora, takođe biti precizno opre-
deljena, nepromenjena i dozvoljena. S obzirom da svrha obrade mora da bude
unapred određena, jasno je da se u toku obrade podataka ista u pravilu ne smeju
menjati. Naravno, zakon može odrediti promenu svrhe, a rukovalac može za
promenu obezbediti ponovni pristanak lica. Upravo zato je preporučljivo da je
svrha obrade detaljno opredeljena.
Obrada podataka, takođe nije dozvoljena u slučaju kada je svrha obrade
već postignuta, te ovde govorimo o vremenskom ograničenju obrade podataka.
U pogledu te odredbe podaci o ličnosti se po ispunjenju svrhe radi koje su bili
sakupljeni, obrađeni i sačuvani, brišu iz zbirke podataka. Ovu odredbu, naravno
treba razumeti u smislu da neki drugi zakon može odrediti drugačije (npr. kada
se radi o kulturnoj zaostavštini, arhivskoj građi i slično...). Naravno, ne znači da
se određeni podaci ne bi smeli obrađivati vremenski neograničeno, već sve zavisi
od svrhe obrade podataka u pojedinim slučajevima.
Obrada podataka o ličnosti, takođe nije dozvoljena, ako je lice na koje se
podaci odnose, određen ili odrediv i nakon što je svrha obrade postignuta, što
znači da se podaci o ličnosti, nakon ispunjenja svrhe obrade moraju izbrisati ili
uništiti, uz mogućnost i da se samo učine anonimnim. To znači da lice na koje
se podaci odnose, nije više određeno ili odredivo, odnosno da su njegovi podaci
u tolikoj meri promenjeni odnosno okrnjeni, da ih više nije moguće povezati sa
njim.
Potrebno je još skrenuti pažnju, da ispunjenje svrhe obrade podataka o
ličnosti i rok čuvanja podataka ne spadaju uvek u isti vremenski period, te da
bilo koji drugi zakon može odrediti rok čuvanja određenih podataka o ličnosti,
bez obzira na to što je svrha obrade već bila ispunjena.
Poslednje, ali ne najmanje važno, je da obrada podataka o ličnosti nije
dozvoljena ukoliko je način obrade nedozvoljen. Ova odredba ima primenu u
situacijama kada je način obrade podataka detaljno određen (zakonom, ugovo-
rom, ili je pak dat pristanak lica isključivo za određenu svrhu obrade...). Ukoliko
se obrada podataka ne bi izvodila za unapred određenu svrhu, onda bi takva
obrada bila u suprotnosti sa odredbama ZZPL i time u celini bila nedozvoljena.
Pojedinac se, na primer, može saglasiti da rukovalac fotokopira njegovu
ličnu kartu, te da fotokopija čuva u fizičkom obliku. Ako bi rukovalac tu fo-
tokopiju skenirao te je čuvao u elektronskom obliku, to bi značilo da je podatke
o ličnosti pojedinca obrađivao na način koji nije dozvoljen jer za takav način
obrade nije bila data lična saglasnost.

31. 31
ODLUKA POMOĆU AUTOMATIZOVANE OBRADE
ZZPL u članu 9 u prvom stavu uređuje da odluka koja proizvodi pravne
posledice za lice ili pogoršava njegov položaj, ne može biti isključivo zasno-
vana na podacima koji se obrađuju automatizovano i koji služe oceni nekog
njegovog svojstva (radne sposobnosti, pouzdanosti, kreditne sposobnosti i sl.),
dok u sledećem stavu predviđa da se sme doneti odluka iz prethodnog stava,
kada je to zakonom izričito određeno, odnosno kada se usvaja zahtev lica u vezi
sa zaključenjem ili ispunjenjem ugovora, uz sprovođenje odgovarajućih mera
zaštite.
Nedozvoljeno je o pojedincu donositi odluke koje mogu pogoršati njegov
položaj ili proizvesti pravne posledice, samo na osnovu automatizovane obrade
podataka o ličnosti. Prema licu se mora odnositi kao prema konkretnom ljud-
skom biću, a ne kao prema objektu obrade. Pored automatizovane obrade poda-
taka o ličnosti mora postojati i dodatna neautomatizovana, lična obrada podataka
o ličnosti. Zakon, stoga štiti pojedinca koji, u vremenu modernih informacionih
tehnologija sve više postaje objekat obrade, te treba istaći da je nezaštićenost od
zloupotreba informatike pri donošenju odluka jedna od glavnih opasnosti koje
nam prete u budućnosti. Rezultat do koga dolazi, bez obzira na sve napredniju
programsku opremu, ima samo na izgled objektivan i nesporan značaj. Čovek,
kao onaj koji odlučuje, bez valjanog razloga joj pridaje prevelik značaj i u takve
rezultate se previše pouzdaje.3
ZZPL u članu 9. pojedinca štiti od takvog automatizovanog odlučivanja,
time što mu garantuje da se neće donositi odluke koje bi pogoršale njegov položaj
na osnovu rezultata dobijenih automatizovanom obradom podataka. U suprot-
nosti sa tim članom bi bilo, ukoliko poslodavac odbije molbu tražioca zaposlenja
kao posledicu rezultata računarskog psihološkog testa, nezakonita bi bila izrada
spiskova potencijalnih kandidata uz pomoć programske opreme za ocenjivanje
ili ocenjivanje i razvrstavanje kandidata po određenom redosledu na osnovu nji-
hovog ličnog testa, kao i utvrđivanje boniteta pojedinca radi dobijanja kredita,
i slično.
Pored svega navedenog, odlučivanje uz pomoć automatizovane obrade
dozvoljeno je u dva primera, uz pravnu pretpostavku da je pojedinac upoznat
sa postupkom automatizovane obrade podataka o ličnosti i načinom donošenja
odluke na osnovu takve obrade, kao i sa kriterijumima koji će biti osnova za
donošenje odluke.
1. Odlučivanje samo na osnovu automatizovane obrade podataka o
ličnosti prihvatljivo je ukoliko je to zakonom izričito određeno, kod izvođenja
odgovarajućih mera zaštite. Odluka koja proizvodi pravne posledice za određeno
3 N. Pirc Musar, S. Bien, J. Bogataj, M. Prelesnik, A. Žaucer, Zakon o zaštiti ličnih poda-
taka sa komentarom, GV Založba, Ljubljana 2006, str.143.

32. 32
lice ili pak pogorša njegov položaj, može biti doneta ako neki zakon (ne i pod-
zakonski akt) to izričito odredi. Naravno, zakon mora obezbediti određene mere
zaštite. Razume se da zakon, kao jednu od mera zaštite mora da obezbedi pos-
tupak koji uključuje mogućnost pritužbe lica na donetu odluku sa kojom nije
zadovoljan.
2. Odlučivanje samo na osnovu automatizovane obrade podataka o ličnosti
je prihvatljivo, takođe, kada se rešava po zahtevu pojedinca u vezi sa zaključcima
i ispunjavanjem ugovora kod izvršavanja određenih mera zaštite. Ovaj izuzetak
se može koristiti samo kada inicijativa za donošenje neke odluke dođe od strane
pojedinca, a ne od strane njegovog ugovornog partnera. Ako se rešava po zaht-
evu lica, to znači da će odluka najčešće biti pozitivna i za njega zadovoljavajuća.
Ukoliko je odluka i pored svega, negativna bilo bi razumljivo da se pojedincu
prizna pravo na prigovor protiv donete odluke, te je u takvom slučaju automat-
ska odluka dozvoljena.
OBRADA U ISTORIJSKE, STATISTIČKE
ILI NAUČNOISTRAŽIVAČKE SVRHE
ZZPL u članu 6. uređuje da podaci prikupljeni i obrađivani u druge svr-
he mogu da se obrađuju isključivo u istorijske, statističke ili naučnoistraživačke
svrhe, ako ne služe donošenju odluka ili preduzimanju mera prema određenom
licu uz obezbeđivanje odgovarajućih mera zaštite. Mere zaštite podataka koji se
arhiviraju u isključivo istorijske, statističke ili naučnoistraživačke svrhe uređuju
se posebnim propisom.
Obrada podataka o ličnosti u istorijske, statističke i naučnoistraživačke
svrhe predstavlja primer dalje obrade podataka, koja po svrsi nije jednaka pri-
marnoj (prvobitnoj) obradi podataka o ličnosti. U načelu su rukovaoci i koris-
nici podataka o ličnosti upućeni na svrhu obrade koja je određena zakonom,
odnosno pristankom lica. Obrada u istorijske, statističke i naučnoistraživačke
svrhe, takođe znači odstupanje od člana 8. ZZPL, koji zabranjuje dalju obradu
podataka o ličnosti koja nije u skladu sa svrhom za koju su podaci bili saku-
pljeni. ZZPL je, takođe, za svakog rukovaoca zbirki podataka odredio te tri opšte
svrhe koje važe bez obzira na odredbe posebnih zakona.
ZZPL ne određuje šta sve spada u istorijske, statističke i naučnoistraživačke
svrhe, te je potrebno prilikom određivanja značenja tih pojmova, pomoći se
definicijama u drugim propisima, ukoliko takvi postoje, ili njihovo značenje
dopuniti uz pomoć definicija u raznim rečnicima (npr. rečnik srpskog književnog
jezika). Pre svega, značenje tih pojmova bi preciznije trebalo biti opredeljeno uz
pomoć prakse Poverenika i sudova, koji će se baviti slučajevima iz oblasti zaštite
podataka o ličnosti.
U pogledu obrade u istorijske, statističke i naučnoistraživačke svrhe, ZZPL
upozorava da podaci o ličnosti ne smeju služiti donošenju odluka ili preduzi-

33. 33
manju mera prema određenom licu bez obezbeđivanje odgovarajućih mera
zaštite. Pre svega treba voditi računa o tome ko se može pozivati na istorijsku,
statističku i naučnoistraživačku delatnost. Pretpostavka je da neće biti poteškoća
kod organizacija koje su registrovane ili koje obavljaju tu delatnost, kao i kada se
radi o studentima koji pripremaju diplomske, magistarske ili doktorske radove,
već će više poteškoća biti u slučaju kada lice nije zaposleno ili nema ugovorni
odnos sa ustanovama te vrste. Iz tog razloga jedna od primarnih mera zaštite
podataka o ličnosti koju treba uvažavati u slučajevima kada rukovalac podatke
dostavlja za istorijske, statističke i naučnoistraživačke svrhe je da se takvi podaci
o ličnosti učine anonimnim. Zakon, međutim, ne govori izričito o anonimiza-
ciji podataka o ličnosti, ali govori o „odgovarajućim merama zaštite“. Razumljivo
bi bilo da se podaci koji se dostavljaju za navedene svrhe, dostavljaju na način
da lice na koje se odnose podaci više ne bi moglo biti određeno ili odredivo. U
suprotnom slučaju moglo bi da dođe do različitih spornih situacija, te bi različiti
istraživači, npr. studenti, kod izrade diplomskih radova mogli doći do vrlo oset-
ljivih podataka, koji nisu učinjeni anonimnim, a što nije u skladu sa ciljem i
svrhom samoga ZZPL.
Jedan od primera mera zaštite podataka o ličnosti je uništenje onih poda-
taka koji korisniku podataka o ličnosti nisu više potrebni za obradu u istorijske,
statističke i naučnoistraživačke svrhe. Ukoliko se korisnik podataka odluči za nji-
hovo uništenje, o trenutku i načinu uništenja mora bez odlaganja i to odmah po
uništenju, pismenim putem obavestiti rukovaoca podataka, koji mu je dostavio
lične podatke u navedene svrhe.

35. 35
PRIKUPLJANJE PODATAKA O LIČNOSTI
Na samom početku treba skrenuti pažnju da prikupljanje podataka o
ličnosti predstavlja samo jedan od oblika obrade podataka. Zato zakon u članu
14. potpunije i detaljnije određuje način dozvoljenog prikupljanja podataka, kao
prvu fazu obrade. Ova odredba je opšta i sama po sebi ne određuje ko može
prikupljati podatke o ličnosti, te svako ko prikuplja podatke mora za to imati
odgovarajući pravni osnov, utvrđen članovima 8. do 13. ZZPL, koji određuje doz-
voljenost obrade podataka o ličnosti. Na izgled veoma širok raspon mogućih si-
tuacija načina prikupljanja podataka o ličnosti, međutim ne znači da svako može
prikupljati podatke (ne predstavlja pravni osnov samo po sebi), ali ipak uređuje
kako se podaci prikupljaju uz uslov, da postoji odgovarajući pravni osnov (u
načelu je to pristanak lica ili zakon) za njihovu obradu u skladu sa članovima od
8. do 13. zakona.
Podaci se načelno mogu prikupljati samo od lica na koje se odnose ili od
organa uprave, koji je zakonom ovlašćen za njihovo prikupljanje. Izuzetak pred-
stavljaju slučajevi, uređeni članom 14. zakona, koji predviđa da se podaci mogu
prikupljati i od drugog lica ako:
1) je to predviđeno ugovorom zaključenim sa licem na koje se podaci
odnose;
2) je to propisano zakonom ili drugim propisom donetim u skladu sa za-
konom;
3) je to neophodno s obzirom na prirodu posla;
4) prikupljanje podataka od samog lica na koje se odnose zahteva prekomer-
ni utrošak vremena i sredstava;
5) se prikupljaju podaci radi ostvarenja ili zaštite životno važnih interesa lica
na koje se odnose, posebno života, zdravlja i fizičkog integriteta.
U svakom slučaju moguće je prikupljati samo one podatke o ličnosti, za
koje postoji pristanak lica ili obradu određuje zakon, koji su potrebni i prime-
reni, u skladu sa konkretnom svrhom za koje se prikupljaju. Takođe, u skladu sa
članom 14. ZZPL, nije moguće izbeći slučaj kada obrada, kao i prikupljanje nije
dozvoljeno.
U slučaju prikupljanja podataka o ličnosti na osnovu sklopljenog ugovora,
i podaci i svrha prikupljanja moraju biti ugovorom jasno opredeljeni, odnosno
jasno opisani. U tim slučajevima dozvoljeno je prikupljanje samo onih poda-
taka o ličnosti koji su zaista definisani ugovorom, takođe i njihova obrada mora

36. 36
da bude ograničena u odnosu na svrhu prikupljanja i obrade, kao što proizlazi
iz ugovora, odnosno drugog dozvoljenog pravnog osnova za njihovu obradu,
utvrđeno članom 12. zakona.
U slučaju prikupljanja podataka o ličnosti od trećih lica na osnovu za-
kona, zakonom je određeno koji se podaci na taj način mogu prikupljati. Kako
zakon jasno određuje kada se mogu obrađivati podaci o ličnosti samo na osnovu
zakona, te je odluka koja govori o prikupljanju podataka na osnovu zakona pot-
puno suvišna, već ona mora biti, na osnovu članova 12. i 13. utvrđena zakonom.
Takođe, u skladu sa članom 42. Ustava Republike Srbije, prikupljanje, čuvanje,
obrada i korišćenje podataka o ličnosti uređuje se zakonom, te bi se skup poda-
taka o ličnosti koji se prikupljaju i svrha prikupljanja, u svakom slučaju moralo
definisati samim zakonom. Podzakonski propisi, mogu u tom smislu urediti
samo od koga se podaci prikupljaju, kao i druge tehničke detalje prikupljanja
zakonski definisanih podataka od trećih lica, ali ne mogu određivati rukovaoca
koji je ovlašćen da prikuplja podatke, kao ni svrhu i skup podataka koji se mogu
prikupljati.
Tri preostala izuzetka koji dozvoljavaju prikupljanje podataka od trećih
lica: u slučajevima kada je to neophodno s obzirom na prirodu posla; kada bi
prikupljanje podataka od samog lica na koje se odnose zahtevalo prekomerni
utrošak vremena i sredstava; te kada se radi o zaštiti životnih interesa, ovo treba
tumačiti veoma restriktivno i uvažavajući u prvom redu prava i interese lica na
koje se podaci odnose. To proizlazi već iz samog člana 2. ZZPL, koji određuje,
da je osnovni cilj zakona da obezbedi svakom fizičkom licu pravo na privatnost i
druga prava pri obradi podataka o ličnosti. Zato je potrebno u svakom konkret-
nom slučaju razjasniti dozvoljenost prikupljanja podataka od trećih lica u zavis-
nosti od okolnosti konkretnoga slučaja, npr. ugovora, isteklog poslovnog odnosa,
prirode samog posla i utvrđivanja da li u konkretnom slučaju stvarno postoje
razlozi koji govore u prilog dozvoljenosti prikupljanja određenih podataka i time
zadiranja u privatnost pojedinca bez njegovog znanja. Moglo bi, naime doći do
situacije kada bi određeno prikupljanje podataka bilo neizbežno u pogledu pri-
rode posla sa gledišta interesa npr. privatnih firmi, ali to ne bi bilo potrebno niti
neizbežno u pogledu na interese lica na koje se podaci odnose. Od konkretnih
okolnosti pojedinačnog slučaja takođe zavisi i koji podaci su stvarno potrebni,
primereni i neizbežni za izvršavanje određenog posla, pri čemu je potrebno te
okolnosti ceniti u pogledu zakonskog interesa do privatnosti lica na koje se po-
daci odnose. Tako nejasne odredbe ne idu u prilog osnovnom ljudskom pravu
na zaštitu podataka o ličnosti, jer dozvoljavaju previše diskrecije i veoma širokih
tumačenja.
Takođe, iz ugla zakonske zaštite interesa pojedinca u pogledu zaštite sop-
stvenih podataka, potrebno je veoma precizno i usko interpretirati dozvoljenost
prikupljanja podataka od trećih lica iz razloga što bi to zahtevalo previše vre-
mena i sredstava. U pogledu ekonomske vrednosti zbirki podataka, kao i iz

37. 37
ugla ekonomskog interesa privrednih subjekata, zakonito prikupljanje podataka
neposredno od lica na osnovu pristanka, što predstavlja najčešći način priku-
pljanja podataka u posebnom sektoru, stalno je prisutno „previše“ sredstava i
vremena. Preširoka interpretacija tog izuzetka bi mogla u praksi dovesti do anu-
liranja osnovnih načela i odredbi zakona, te kao posledicu imati mnogostruko
posredovanje i prodaju velikih zbirki podataka od strane jedne firme drugoj,
npr. u svrhu direktnog marketinga bez uvažavanja interesa pojedinaca na koje
se podaci odnose. Osiguranje u tom pogledu je činjenica da tako prikupljene
podatke oni koji ih budu prikupljali neće smeti koristiti ukoliko, kao što je već
objašnjeno, ne bi postojao odgovarajući pravni osnov za njihovo korišćenje,
odnosno obradu (u slučaju npr. neposredne trgovine, bez dvoumljenja pre svega
lični pristanak).
Lakše je tumačiti i identifikovati postojanje zakonskog pravnog osnova
za prikupljanje podataka od trećih, ako se radi o izvršavanju ili zaštiti životno
važnih interesa lica na koje se odnose, pre svega života, zdravlja i ličnog in-
tegriteta. U tom smislu je zakon jasno zaštitio slučajeve, kada je interes lica u
pitanju, da se bez obzira na nepostojanje druge zakonske osnove ili eventualne
nemogućnosti lica da dostavi svoje podatke i dalje uvažavaju njegovi životni in-
teresi bez obzira što sam na to nema uticaja. Time se misli na slučajeve, kada
je lice npr. u nesvesnom stanju, teško povređeno, te se radi o prikupljanju po-
dataka bitnih za njegovo lečenje. Obim podataka koje je na takav način doz-
voljeno prikupiti nije neograničen, ali se odnosi na one podatke koji su potreb-
ni i primereni za izvršavanje ili zaštitu životno važnih interesa lica na koje se
odnose, pre svega života, zdravlja i ličnog integriteta. Praksa će pokazati, kakvo
će biti tumačenje pojma „životno važni interesi“ (u slučaju zdravstvenih podataka
prilikom hitne medicinske pomoći, kada je pojedinac u nesvesnom stanju npr.
podaci o alergijama, u određenim okolnostima podatak o posebnim bolestima,
trudnoći). Takođe, u tom slučaju je dalje korišćenje i obrada tako prikupljenih
podataka ograničena odredbama člana 12, odnosno mogućim kasnijim pris-
tankom lica, odnosno drugom zakonskom osnovom za pojedinačne slučajeve i
načine obrade.
Nepoštovanje odredbi člana 14. i obaveza prikupljača podataka o ličnosti
će se sankcionisati novčanom kaznom (član 57. ZZPL).
U budućnosti bi u cilju obezbeđivanja pravne sigurnosti i predvidivosti
zakonskih osnova za prikupljanje podataka o ličnosti, bilo korisno razmisliti o
jasnijoj definiciji zakonskih osnova te vrste (pre svega izuzetaka prema 3. i 4.
tački, stava 2, člana 14. ZZPL) za prikupljanje podataka bez posebne zakonske
osnove, odnosno pristanka lica na koje se podaci odnose. Zato bi bilo korisno
da se prikupljanje podataka o ličnosti uredi jedinstveno u članovima ZZPL
koji uređuju uslove dozvoljene obrade podataka.

38. 38
OBAVEŠTAVANJE O OBRADI
Sa gledišta zaštite prava pojedinca u vezi sa obradom podataka o ličnosti,
primarna obaveza svakog rukovaoca je da prilikom prikupljanja podataka oba-
vesti lice o bitnim informacijama u vezi sa obradom.
Rukovalac koji podatke prikuplja od lica na koje se odnose, odnosno od
drugog lica, pre prikupljanja, upoznaće lice na koje se podaci odnose, odnosno
drugo lice o:
1) svom identitetu, odnosno imenu i adresi ili firmi, odnosno identitetu dru-
gog lica koje je odgovorno za obradu podataka u skladu sa zakonom;
2) svrsi prikupljanja i dalje obrade podataka;
3) načinu korišćenja podataka;
4) identitetu lica ili vrsti lica koja koriste podatke;
5) obaveznosti i pravnom osnovu, odnosno dobrovoljnosti davanja podataka
i obrade;
6) pravu da pristanak za obradu opozove, kao i pravne posledice u slučaju
opoziva;
7) pravima koja pripadaju licu u slučaju nedozvoljene obrade;
8) drugim okolnostima čije bi nesaopštavanje licu na koje se odnose podaci,
odnosno drugom licu bilo suprotno savesnom postupanju.
Upoznavanje sa gore navedenim informacijama vrši se u pismenom ob-
liku u slučaju kada se pristanak za obradu daje u pismenom obliku, osim ako lice
na koje se podaci odnose, odnosno drugo lice, od kojeg se podaci prikupljaju,
pristane na usmeno upoznavanje.
O ovim navedenim informacijama, lice nije potrebno upoznavati ukoliko
to u pogledu okolnosti slučaja, nije moguće ili je očigledno nepotrebno, odnosno
neprimereno, posebno ukoliko je lice na koje se podaci odnose ili drugo lice,
koje prosleđuje podatke od trećeg lica, već upoznato sa tim informacijama ili ako
sa licem, na koje se podaci odnose nije moguće ostvariti kontakt. Slučajeve kada
obaveza upoznavanja ne postoji potrebno je u praksi posmatrati vrlo usko i u
vezi sa osnovnim načelom zaštite pojedinca. Potrebno je poći od pretpostavke da
je u interesu pojedinca i zaštite njegovih podataka o ličnosti, najvažnije da zna
ko njegove podatke prikuplja i obrađuje i u koje svrhe. Nikako ne bi smeo biti
dozvoljen slučaj koji bi rukovaocu dozvoljavao da izbegava svoje obaveze, te da
prema svom mišljenju ne obavesti pojedinca. Prvi i jedini faktor pri odlučivanju
mora biti interes samog lica, a samo izuzetno su dozvoljeni slučajevi kada se
samo privremeno lice ne obaveštava.
U slučajevima kada je rukovalac podatke o licu prikupio od drugog lica,
mora lice na koje se podaci odnose, upoznati sa gore navedenim informacija-
ma, bez odlaganja ili najkasnije prilikom prve obrade, osim u slučajevima, ako

39. 39
takvo upoznavanje u pogledu okolnosti slučaja nije moguće ili zahteva pre-
komernu upotrebu vremena i sredstava ili je očigledno nepotrebno, pre svega,
ako je lice na koje se podaci odnose, već upoznato sa tim informacijama ili ako
sa tim licem nije moguće ostvariti kontakt ili ako je prikupljanje podataka i nji-
hova dalja obrada od drugog lica propisana zakonom. U tim slučajevima ru-
kovalac je u obavezi da obavesti lice na koje se podaci odnose, čim to postane
moguće ili ukoliko lice to zahteva. Slučajeve, kada obaveštavanje nije potrebno,
treba posmatrati restriktivno, pri čemu je bitna uloga Poverenika, koji se stara o
sprovođenju i sankcionisanju nepoštovanja tih prava pojedinca. Takođe, od toga
da li će Poverenik u slučaju nepoštovanja zakona preduzeti sve mere koje ima
na raspolaganju i insistirati na mehanizmima prekršajne odgovornosti (član 57.
ZZPL), zavisiće to koliko će rukovaoci, obrađivači i korisnici, primenu zakona u
praksi shvatati ozbiljno.
Rukovalac mora obavestiti lice na koje se odnose, kao i korisnika o izme-
ni, dopuni ili brisanju podataka, bez odlaganja, a najkasnije u roku od 15 dana
od dana izmene, dopune ili brisanja podataka.
POSEBNA ZAŠTITA ZAKONITOSTI OBRADE
NAROČITO OSETLJIVIH PODATAKA
Određene kategorije podataka o ličnosti su zakonski strožije zaštićene i
njihova obrada je dozvoljena pod strožijim uslovima od onih koji važe za obradu
ostalih podataka. Osetljivi podaci su, prema članu 16. ZZPL, podaci o ličnosti
koji se odnose na nacionalnu pripadnost, rasu, pol, jezik, veroispovest, pripad-
nost političkoj stranci, sindikalno članstvo, zdravstveno stanje, primanje soci-
jalne pomoći, žrtvu nasilja, osudu za krivično delo i seksualni život. Takve po-
datke načelno je dozvoljeno obrađivati samo na osnovu slobodne lične volje lica
na koje se odnose. Kada je njihova obrada zakonom izričito zabranjena, onda
obrada osetljivih podataka nije dozvoljena ni u slučaju pristanka lica. Skup po-
dataka koji se računaju kao osetljivi podaci po ZZPL, je širi nego što to predviđa
Konvencija 108 Saveta Evrope, koja kao osetljive podatke podrazumeva podatke
koji ukazuju na rasno poreklo, politička, verska ili druga uverenja, podatke koji
se odnose na zdravstveni ili seksualni život ili na osude za krivično delo.
U skladu sa članom 16, stav 2. ZZPL, izuzetno podaci koji se odnose na pri-
padnost političkoj stranci, zdravstveno stanje i primanje socijalne pomoći, mogu
se obrađivati bez pristanka lica, ukoliko je to propisano zakonom. Izuzetke od
tog strogog načela delimično određuje tačka 3, stava 1, člana 5 ZZPL, koja se od-
nosi na podatke o članovima političkih stranaka, udruženja i sindikata, te drugih
oblika udruživanja, koje o njima obrađuju te organizacije, međutim ni u jednom
slučaju bez pristanka lica na koje se odnose i ne duže od trajanja članstva.
Pristanak lica za obradu osetljivih podataka mora biti u pismenom ob-
liku, koji sadrži oznaku podatka koji se obrađuje, svrhu obrade i način njegovog

40. 40
korišćenja. U tom delu zakon, u vezi sa obradom podataka određuje strožije
kriterijume nego za obradu klasičnih podataka o ličnosti. Zakon u tom delu ne
određuje da bi za obradu osetljivih podataka bio dovoljan pristanak dat preko
ovlašćene osobe, takođe ZZPL ne govori o obradi osetljivih podataka samo na
osnovu zakona (osim podataka o pripadnosti političkoj stranci, zdravlju i pri-
manju socijalne pomoći). U vezi sa tim da zakon obradu osetljivih podataka
uređuje posebno, činjenica je da ni okolnosti i slučajevi predviđeni članom 13.
ne mogu biti dozvoljen pravni osnov za obradu osetljivih podataka (osim poda-
taka o pripadnosti političkoj stranci, zdravlju i primanju socijalne pomoći) bez
pristanka lica na koje se podaci odnose. Zakonodavac tu nije uzimao u obzir
brojne već postojeće zbirke, koje su sačinjene na osnovu zakona i koje sadrže
osetljive podatke kao npr. upis u kaznenu evidenciju.
Zakon posebno uređuje slučajeve u kojima lice koje daje pristanak, nije
pismeno ili iz drugog razloga ne može svojeručno potpisati pristanak, te u takvim
slučajevima pristanak je punovažan ako dva svedoka svojim potpisima potvrde
da pismeno sadrži izjavu volje davaoca pristanka.
Lice koje je dalo pristanak za obradu podataka je u slučaju opoziva pris-
tanka za obradu podataka dužno rukovaocu naknaditi opravdane troškove
i štetu, u skladu sa propisima koji uređuju odgovornost za štetu, osim, ako je
to drugačije uređeno u izjavi o pristanku. Za opoziv pristanka za obradu oset-
ljivih podataka se u formalnom smislu primenjuje član 11. ZZPL kao što je već
objašnjeno. Takođe, potrebno je, u slučaju opoziva pristanka za obradu osetljivih
podataka opravdanost naknade troškova i štete tumačiti izrazito restriktivno,
inače se u celosti poništava smisao zakona i licu oduzima mogućnost raspola-
ganja vlastitim podacima i u tom smislu oduzima pravo na privatnost. Ovo je još
značajnije u slučajevima kada se lice nađe u slabijem položaju bilo kao zaposleni
ili ekonomski slabija strana (npr. ako je pristanak za prikupljanje podataka uslov
za određenu bitnu uslugu) i kada je dobrovoljnost pristanka pod znakom pita-
nja. Suština raspolaganja sa vlastitim podacima preko pristanka lica je u tome,
da je moguće takav pristanak u bilo kom trenutku opozvati. Rukovalac ne sme i
ne može prisiliti lice da ne opozove pristanak, jer bi se u takvoj situaciji radilo o
prinudi, te bi se i predstojeći zahtev za naknadu štete u slučaju opoziva pristanka
mogao svrstati u takvu ekonomsku prinudu.
U svim navedenim slučajevima obrada osetljivih podataka mora da bude
posebno označena, i obezbeđene odgovarajuće mere zaštite takve obrade. Svrha
takvog posebnog označavanja je upravo u omogućavanju strožije zaštite nad oset-
ljivim podacima. U tom smislu rukovalac mora za osetljive podatke obezbediti
dodatne zaštitne mere. Tako, pristup osetljivim podacima, radi njihove posebne
prirode, omogućen je što užem krugu ljudi, pri samoj tehničkoj zaštiti, kao i pri
njihovom čuvanju i prenošenju u elektronski oblik, i rukovalac mora primenji-
vati takve oblike zaštite koji, kao što je objašnjeno u poglavlju o zaštiti uključuju
upotrebu strožijih mera zaštite (npr. čuvanje u ormanima otpornim na požar,

41. 41
upotreba alarmnih i protivpožarnih sistema zaštite, te dodatnih mera video nad-
zora prostorija u kojima se čuvaju osetljivi podaci, sigurne načine intervenisanja,
korišćenje kriptografskih metoda zaštite podataka pri prenosu). Način arhivi-
ranja i mere zaštite osetljivih podataka će na osnovu ZZPL odrediti vlada uz
prethodno pribavljeno mišljenje Poverenika.
Takođe članom 16. ZZPL predviđeno je da Poverenik ima pravo uvida u
osetljive podatke i pravo provere zakonitosti obrade po službenoj dužnosti ili po
zahtevu lica, odnosno rukovaoca. Poverenik će u tom smislu imati bitnu ulogu
obezbeđenja stvarnog izvođenja i ostvarivanja zaštite osetljivih podataka, kako
putem davanja mišljenja u donošenju akta kojim će vlada odrediti način arhivi-
ranja i mere zaštite tih podataka, tako i putem izvođenja redovnih inspekcijskih
nadzora po službenoj dužnosti.
Nepoštovanje odredbi o posebnoj zaštiti osetljivih podataka sankcionisano
je u članu 57. ZZPL, koji određuje novčanu kaznu za obradu podataka u supro-
tnosti sa odredbama članova 16, 17. i 18. ZZPL.
Veoma strogo ograničenje ZZPL, koje određuje da je obrada osetljivih
podataka (osim podataka o pripadnosti političkoj stranci, zdravlju i prima-
nju socijalne pomoći) i izuzecima iz člana 5. ZZPL, dozvoljena samo na os-
novu pismenog pristanka, će se u praksi, vrlo verovatno, pokazati kao teško
primenjiva, što znači da će svi državni organi i drugi koji u praksi moraju
obrađivati osetljive podatke lica, morati za to da imaju pismeni pristanak
(npr. lekari, obrada u svrhe prekršajne i kaznene evidencije, sudovi, policija,
takođe slučajevi kada lice samo objavi vlastite podatke sa uskim tumačenjem
ne zadovoljavaju stroge zahteve za pismeni pristanak). Zato bi trebalo razmis-
liti o organizovanju koje bi odredilo mogućnost zakonske osnove za obradu
svih osetljivih podataka.
PRAVA LICA U POGLEDU OBRADE PODATAKA
Zakon u III. Poglavlju uređuje zaštitu prava lica koja su u vezi sa obradom
podataka, te njihovo sprovođenje i postupak po žalbi u slučaju nepoštovanja tih
prava i to:
– pravo lica na koje se podaci odnose na obaveštenje o obradi (pra-
vo na obaveštenje o vrsti obrade, pravo na uvid, pravo na kopiju
obrađenih podataka) uređuju članovi 19, 20 i 21,
– pravo lica na koje se podaci odnose da zahteva ispravku ili brisanje
nezakonitih ili pogrešnih podataka uređuje član 22,
– pravo lica na koje se odnose podaci objavljeni u medijima uređuju
članovi 30 i 31.

42. 42
Prava na obaveštenje, uvid, ispravku i brisanje su bitan institut i zaštita
koji licu pruža mogućnost ostvarivanje njegovih prava u odnosu na rukovaoca
zbirki podataka. Ta prava su deo ustavom opredeljene zaštite podataka o ličnosti,
kao što ih definiše član 42. Ustava Republike Srbije, koji određuje, da svako ima
pravo da bude obavešten o prikupljanju podataka o ličnosti u skladu sa zakonom,
te pravo na sudsku zaštitu u slučaju njihove zloupotrebe. Navedena prava pred-
stavljaju jedan od oblika prava lica na informisano odlučivanje dok istovremeno
obezbeđuju transparentnost obrade podataka. Svrha tih prava je da obezbede
poštenu i zakonitu obradu podataka o ličnosti, tako da lice uvek može imati
uvid u to koji podaci o njemu se obrađuju, te može zahtevati brisanje nezakonito
sakupljenih podataka, odnosno uložiti prigovor zbog nezakonite obrade poda-
taka.
Konvencija Saveta Evrope br. 108 o zaštiti pojedinca u pogledu automatske
obrade podataka o ličnosti, koja je u Republici Srbiji stupila na snagu 1.1.2006.
godine, u članu 8. predviđa pravo na upoznavanje, te ispravku, odnosno brisanje.
Tako Konvencija 108, koja se odnosi samo na automatske zbirke podataka, na
odgovarajući način, kao i zakon Republike Srbije, određuje da svakom licu mora
biti omogućeno: da utvrdi postojanje pojedine automatske zbirke podataka koja
sadrži podatke, njenu glavnu namenu kao i sedište njenog rukovaoca; da dobije,
u razumnom vremenskom roku i bez većih kašnjenja i troškova, potvrdu o tome
koji podaci, koji se odnose na njega, se nalaze u automatskoj zbirci podataka,
kao i uvid i kopija podataka, koji mora biti u razumljivom obliku; da zahteva is-
pravku ili brisanje podataka, ukoliko su bili obrađeni u suprotnosti sa pravilima
sadržanim u nacionalnom zakonodavstvu; da ima pravno sredstvo, ukoliko za-
htevu za potvrdu ili obaveštenje, ispravku ili brisanje, nije udovoljeno. Radi se,
naime o četiri aspekta obaveza rukovaoca:
– upoznavanje sa tim da zbirka postoji,
– upoznavanje lica sa sadržajem informacija koje se o njemu u zbirci
nalaze,
– ispravka ili brisanje pogrešnih informacija,
– zaštita, ako rukovalac ta prava ne poštuje.
Prvi aspekt, odnosno upoznavanje da zbirka postoji, je u Republici Sr-
biji uređen po dva osnova: u ranije predstavljenim obavezama u pogledu
obaveštavanja lica prilikom prikupljanja podataka u skladu sa članom 14. ZZPL,
koji određuje koje informacije je dužan svaki rukovalac preneti licu prilikom
prikupljanja podataka; te sa članovima 48. do 52. ZZPL o javnosti i obaveznom
objavljivanju svih zbirki u centralnom registru zbirki podataka, koji vodi Pove-
renik (o tome više u poglavlju o obavezi formiranja kataloga i centralnog registra
zbirki podataka). Licu će u vezi sa tim od velike pomoći biti centralni registar
zbirki podataka, koje Poverenik mora objaviti na internet stranama. Iz tog regi-
stra lice može prepoznati vrstu zbirki i podataka u tim zbirkama za pojedinog

43. 43
rukovaoca, te, između ostalog, svrhu i pravne osnove za obradu. To je važno, pre
svega u slučajevima, kada su prava lica u pogledu upoznavanja, uvida i kopije
u skladu sa zakonom ograničena. Detaljnije o preostala dva aspekta osnovnih
prava pojedinca u pogledu upoznavanja, uvida i kopije u vezi sa podacima o
ličnosti koje pojedini rukovaoci vode u svojim zbirkama, te prava na ispravke i
brisanje pogrešnih podataka iz tih zbirki, kako ih uređuje ZZPL u III. poglavlju,
objašnjeno je u daljem tekstu.
Pravo na obaveštenje, uvid i kopiju i njihovo ostvarivanje
Lice ima pravo da od rukovaoca zbirke zahteva da ga upozna sa svim, u
članovima 19, 20. i 21., navedenim aspektima obrade podataka koji se odnose na
lice, te da mu se omogući uvid odnosno kopija obrađenih podataka o ličnosti.
Pravo se ostvaruje neposredno putem zahteva, dostavljenog rukovaocu zbirke
podataka i u istoj meri važi za privatni i javni sektor.
Svaki rukovalac zbirkom podataka dužan je da lice na koje se odnose po-
daci, na osnovu njegovog zahteva istinito i u celosti obavesti o sledećem:
1. da li rukovalac obrađuje podatke o njemu i koju radnju obrade vrši – član
19,
2. koje podatke obrađuje o njemu – član 19,
3. od koga su prikupljeni podaci o njemu, odnosno ko je izvor podataka – član
19,
4. u koje svrhe obrađuje podatke o njemu – član 19,
5. po kom pravnom osnovu obrađuje podatke o njemu – član 19,
6. u kojim zbirkama podataka se nalaze podaci o njemu – član 19,
7. ko su korisnici podataka o njemu – član 19,
8. koje podatke, odnosno koje vrste podataka o njemu koriste – član 19,
9. u koje svrhe se koriste podaci o njemu – član 19,
10. po kom pravnom osnovu koristi podatke o njemu – član 19,
11. kome se podaci o njemu prenose – član 19,
12. koji podaci o njemu se prenose – član 19,
13. u koje svrhe se podaci o njemu prenose – član 19,
14. po kom pravnom osnovu se podaci prenose – član 19,
15. u kom vremenskom periodu se podaci obrađuju – član 19.
Pored toga lice ima pravo, da od rukovaoca zahteva:
– uvid u podatke koji se odnose na njega (20. član);
– kopiju podataka koji se odnose na njega (21. član).
Zahtev za obaveštenje, uvid i kopiju lice podnosi rukovaocu u pismenom
obliku, ali rukovalac može iz razloga efikasnosti prihvatiti i usmeni zahtev po-