USPOSTAVLJANJE I VOĐENJE ZBRIKI LIČNIH PODATAKA Zakonska obaveza za poslodavce u Republici Srpskoj

Ukoliko ste poslodavac u Bosni i Hercegovini, a niste uspostavili zbirke ličnih podataka koje ste po zakonu dužni uspostaviti i uredno voditi, ili uspostavljene zbirke ličnih podataka još uvijek niste dostavili na adresu Agencije, preporuka je da to što prije učinite budući da je za takvo (ne)postupanje zakonom predviđena novčana kazna u iznosu od 5.000 KM do 50.000 KM.

Zakonodavni okvir koji uređuje pitanje zaštite ličnih podataka u Bosni i Hercegovini obuhvata Ustav Bosne i Hercegovine, usvojena međunarodna dokumenta i domaće propise, među kojima se posebno izdvajaju Konvencija Vijeća Evrope za zaštitu lica s obzirom na automatsku obradu ličnih podataka (ETS br. 108) i Zakon o zaštiti ličnih podataka („Službeni glasnik BiH“ broj: 49/06, 76/11 i 89/11).

U Republici Srpskoj, Zakonom o evidencijama u oblasti rada i zdravstvenog osiguranja („Sl. glasnik RS“, br. 18/94, 64/06) propisano je koje zbirke ličnih podataka su poslodavci dužni obavezno da uspostave i vode, kao i sadržaj samih zbirki ali i kazne za one koji ne vode ili neuredno vode uspostavljene zbirke ličnih podataka.

1. Šta je lični podatak i koje su posebne kategorije podataka?

Lični podatak je bilo kakav podatak ili informacija koja se odnosi na fizičko lice, a na osnovu kojeg je utvrđen ili se može utvrditi identitet tog lica.

U posebne kategorije ličnih podataka spadaju svi lični podaci koji otkrivaju:

• rasno porijeklo, nacionalno ili etničko porijeklo, političko mišljenje ili stranačku pripadnost, ili članstvo u sindikatima, religijsko, filozofsko ili drugo uvjerenje, zdravstveno stanje, genetski kod, seksualni život;
• krivične presude;
• biometrijske podatke

2. Šta je zbirka ličnih podataka?

Zbirka ličnih podataka je bilo koji sistemski skup ličnih podataka koji su dostupni prema posebnim kriterijumima, bilo da su centralizovani, decentralizovani ili razvrstani na funkcionalnom i geografskom osnovu ili postavljeni u skladu s posebnim kriterijumima koji se odnose na lice i koji omogućavaju nesmetan pristup ličnim podacima u dosjeu.

3. Šta je obrada ličnih podataka i ko vrši obradu podataka?

Obrada ličnih podataka podrazumijeva bilo koju radnju ili skup radnji koje se vrše nad podacima, kao što su prikupljanje, unošenje, organizovanje, čuvanje, prerađivanje ili izmjena, uzimanje, konsultovanje, korištenje, otkrivanje podatka prenosom, širenje ili na drugi način omogućavanje pristupa podacima, svrstavanje ili kombinovanje, blokiranje, brisanje ili uništavanje.

Obradu podataka vrši kontrolor ili obrađivač. Kontrolor je svaki javni organ, fizičko ili pravno lice, agencija ili drugi organ koji samostalno ili zajedno s drugim vodi, obrađuje i utvrđuje svrhu i način obrade ličnih podataka na osnovu zakona ili propisa, a obrađivač je fizičko ili pravno lice, javni organ, agencija ili drugi organ koji obrađuje lične podatke u ime kontrolora.

4. Zašto se uspostavljaju zbirke ličnih podatka i zašto se vrši obrada podataka?

Uspostavljanje zbirki ličnih podataka i obrada ličnih podatka vrši se zato što je to zakonska obaveza za sve poslodavce u Republici Srpskoj (preduzeća, ustanove i druge organizacije koje obavljaju privrednu ili društvenu djelatnost, udruženja, banke, organizacije za osiguranje, zadruge i druga domaća i strana pravna i fizička lica koja zapošljavaju radnike), te je važećim zakonskim propisima predviđena novčana kazna za poslodavce u rasponu od 1.000 KM do 5.000 KM u slučaju da ne vode ili neuredno vode evidencije koje su po zakonu obavezne.

5. Koje zbirke su poslodavci dužni da vode po zakonu?

Poslodavci u Republici Srpskoj su dužni da u skladu sa Zakonom o evidencijama u oblasti rada i zdravstvenog osiguranja, obavezno vode:

• evidencija o zaposlenim radnicima,
• evidencija o platama i
• evidencija o nesrećama na poslu.

Potrebno je istaknuti da postoji terminološka neusklađenost između pomenutog Zakona o evidencijama u oblasti rada i zdravstvenog osiguranja („Službeni glasnik RS“, br. 18/94, 64/06) ) i Zakona o zaštiti ličnih podataka (Službeni glasnik BiH“ broj: 49/06, 76/11 i 89/11), kada je u pitanju pojam zbirke i pojam evidencije, te se ova dva termina ne smiju poistovijetiti, već ih treba posmatrati odvojeno.

Naime, Zakon o evidencijama u oblasti rada i zdravstvenog osiguranja kao obavezne propisuje pomenute evidencije, ali je ustvari riječ o zbirkama ličnih podatka.

6. Koje podatke sadrži evidencija, a koje zbirka ličnih podataka?

Evidencija sadrži podatke o zbirci ličnih koju vodi poslodavac, i to sljdeće podatke:

a) naziv zbirke;
b) ime, prezime i adresu kontrolora podataka i obrađivača podataka, stvarno mjesto obrade podataka (uključujući i tehničku obradu), kao i ostale aktivnosti obrađivača podataka u vezi s obradom ličnih podataka;
c) svrhu obrade podataka;
d) zakonsku osnovu za obradu;
e) vrstu podataka koji se obrađuju;
f) kategorije nosilaca podataka;
g) izvor podataka i način prikupljanja;
h) vrstu prenesenih podataka, primaoce tih podataka i zakonsku osnovu za prenos;
i) rokove za brisanje određenih vrsta podataka;
j) prenos podataka iz inostranstva, odnosno iznošenje podataka iz Bosne i Hercegovine s naznakom države, odnosno međunarodne organizacije i inostranog korisnika ličnih podataka, te svrhu za to unošenje, odnosno iznošenje propisano međunarodnim ugovorom, zakonom ili drugim propisom, odnosno pisanim pristankom lica na koje se podaci odnose;
k) naznaku preduzetih mjera zaštite ličnih podataka.

*Obrazac evidencije o zbirkama ličnih podataka dostupan je i na sajtu Agencije za zaštitu ličnih podatka u BiH ili na sljedećem linku: http://www.azlp.gov.ba/propisi/Default.aspx?id=5&langTag=bs-BA&template_id=149&pageIndex=1

Sadržaj zbirki koje su poslodavci dužni po zakonu da vode propisan je članom 7., 12., i 14. Zakona o evidencijama u oblasti rada i zdravstvenog osiguranja („Sl. glasnik RS“ br. 18/94, 64/06), i to za svaku zbirku odvojeno, a radi se o konkretnim ličnim podacima radnika koji se upisuju u zbirku kao što su: ime, prezime, jmbg, pol, datum rođenja, radno vrijeme radnika, neto plata i novčane naknade, da li je radnik ranije pretrpio nesreću na poslu i koliko puta itd.

7. Kada se može započeti sa obradom ličnih podataka?

Radnje na obradi podataka mogu početi tek onda kada Agencija odobri obradu ili nakon isteka dva mjeseca od dana kada je Agencija zaprimila zahtjev za obradu podataka.

Dakle, poslodavac tj. kontrolor zbirke ličnih podataka je dužan da prije uspostavljanja zbirki ličnih podataka, koje se vode potpuno ili djelimično automatski, dostavi Agenciji obavještenje o namjeravanom uspostavljanju zbirki ličnih podataka zajedno s evidencijom o toj zbirci ličnih podataka.

Zatim Agencija vrši provjeru radnje obrade podataka kako bi utvrdila da li potpuno ili djelimično automatsko vođenje zbirki sadrži rizik za prava i slobode nosioca podataka.

Takvu prethodnu kontrolu Agencija će izvršiti posebno u slučajevima ako:

a) se radi o obradi posebne kategorije ličnih podataka;
b) se radi o obradi ličnih podataka kojom se namjerava procijeniti ličnost nosioca podataka uključujući donošenje odluka na osnovu te obrade.

Obaveza dostavljanja prethodnog obavještenja ne odnosi se na uspostavljanje zbirke ličnih podataka u slučajevima kada zakon određuje svrhu obrade, podatke ili kategorije podataka koji se obrađuju, kategoriju lica na koje se podaci odnose, treće strane ili kategorije trećih strana kojima će podaci biti otkriveni te vrijeme u kojem će podaci biti čuvani.