PRIRUČNIK O ZAŠTITI LIČNIH PODATAKA U BIH

Prirucnik o zastiti licnih podataka u bih

Zašto je ovaj zakon bitan?

Zakon o zaštiti ličnih podataka BiH (Zakon, „Službeni glasnik BiH“, br. 49/06, 76/11, 89/11) štiti fizička lica od nezakonite obrade njihovih podataka. Svaki pravni subjekt koji prikuplja, koristi, pohranjuje ili prenosi lične podatke – mora biti usklađen.

Zakon o zaštiti ličnih podataka (GDPR u okviru pravne bāze BiH) ima ključnu ulogu iz više razloga:

Povjerljivost – štiti privatnost svakog građanina, sprečava neovlašteni pristup i zloupotrebu podataka.

Pravna sigurnost – jasno definiše prava i obaveze kontrolera i obrađivača, te daje čvrst osnov za odluke i ugovore.

Povjerenje – klijenti i partneri vam vjeruju više kad vide da ozbiljno shvatate zaštitu njihovih podataka.

Izbjegavanje kazni – neusklađenim kompanijama prijete novčane sankcije od 5.000 do 50.000 KM (za pravna lica).

Usklađenost s EU standardima – osigurava slobodan protok podataka unutar EU i otvara vrata međunarodnoj saradnji

Osim ovih osnovnih benefita, Zakon o zaštiti ličnih podataka u FBiH (implementira GDPR principe) ima i nekoliko posebnih karakteristika koje ga izdvajaju od drugih zakona u BiH:

1. “Privacy by design” i “Privacy by default”
   – Zakon nalaže da se zaštita podataka ugrađuje već u fazi dizajna svakog poslovnog procesa i da je zadana postavka uvijek najstroža zaštita.
   – Za razliku od drugih propisa koji se bave jednom segmentu poslovanja, ovdje je privatnost temelj svakog koraka.
2. Obaveza prijave povreda („Data breach“) u roku od 72 sata
   – Svaka ozbiljnija povreda sigurnosti mora se Agenciji brzo prijaviti, inače prijeti dodatna odgovornost.
   – Tradicionalni zakoni nemaju ovako eksplicitnu i vremenski ograničenu obavezu.
3. Ime­novanje službenika za zaštitu podataka (DPO)
   – Javne institucije i veliki poslodavci moraju imenovati DPO-a sa stručnim kvalifikacijama.
   – Time se stvara stalna veza između organizacije i Agencije, dok drugi zakoni kod nas rijetko zahtijevaju specijalizovanu osobu.
4. Ekstrateritorijalna primjena
   – Zakon važi i za strane firme koje obrađuju podatke građana FBiH, čak i ako nemaju bazu u BiH.
   – Većina domaćih propisa važi samo za subjekte unutar granica BiH.
5. Prava ispitanika proširena na višestruke nivoe
   – Pravo na prigovor, brisanje (“right to be forgotten”), prenosivost podataka i dr.
   – Tradicionalni zakoni u BiH rijetko dozvoljavaju brisanje ili prenos podataka na drugi subjekt

2. 2. Pet obaveznih dokumenata – bez kojih nema usklađenosti

1. Pravilnik o zaštiti ličnih podataka Interni akt koji definiše kako vaša firma/institucija postupa sa podacima – ko, kada, kako i s kojim pravnim osnovom.

Obavezno uključuje:

– Odgovornog za zaštitu podataka (DPO)

– Tehničke i organizacione mjere zaštite

– Postupanje u slučaju povrede podataka

1. Pravilnik o zaštiti ličnih podataka je interni akt kojim vaša organizacija detaljno definiše kako i po kojim koracima obrađuje, štiti i nadzire lične podatke.

Šta sadrži?

• Odgovorno lice (DPO)
  
  • Ime i kontakt osobe zadužene za nadzor usklađenosti
  • Nadležnosti: vođenje evidencije, savjetovanje, utvrđivanje rizika

Odgovorno lice (DPO)

• Kvalifikacije – poznavanje GDPR principa i domaćih propisa
• Nezavisnost – direktno izvještava najviše rukovodstvo
• Evidencije – vodi registar obrada i prijema zahtjeva ispitanika
• Edukacija – redovno organizuje treninge za osoblje

Tehničke mjere

• • Enkripcija podataka u mirovanju i u prijenosu
  • Kontrola pristupa (lozinke, 2FA, logovi)
  • Backup i obnova podataka

Tehničke mjere

• Pseudonimizacija/Anonimizacija – smanjuje mogućnost identifikacije
• Redovni pen-testovi i skeniranje ranjivosti
• Sigurno brisanje i trajno uništavanje zastarjelih podataka
• Šifriranje backup-a i vanmrežnih kopija

Organizacione mjere

• • Interna obuka osoblja o pravilnoj obradi i čuvanju podataka
  • Politika „Least privilege“ (svako samo ono što mu treba)
  • Redovni interní auditi i revizije

Organizacione mjere

Evidencija pristupa – ko, kada i zašto koristi podatke

Periodične revizije i testiranje procedura

Ugovori s obrađivačima – obavezna zaštita podataka u svakoj saradnji

Jasne interne politike – mobilni uređaji, rad od kuće, BYOD

Postupanje u slučaju povrede

1. 1. Brza detekcija i procjena incidenta
   2. Obavještenje DPO-a i rukovodstva u roku od 24h
   3. Prijava Agenciji za zaštitu ličnih podataka u roku od 72h
   4. Obavještavanje ispitanika ako je rizik visok
   5. Korektivne mjere i izvještaj o naučenim lekcijama

Postupanje kod povrede (“Breach”)

1. Incident Response Plan – opis koraka prije incidenta
2. Rokovi – obavještavanje DPO-a (24h), Agencije (72h)
3. Komunikacija ispitanicima – informisanje o rizicima i pravima
4. Root-cause analiza – prevencija ponavljanja
5. Dokumentovanje – detaljan izvještaj za internu arhivu

Zašto je važan?

• Obavezan je za svaku firmu/instituciju prema Zakonu FBiH
• Dokaz vaše sistemske brige o privatnosti
• Temelj za sve ostale interne procedure i dokumente

Zašto je Pravilnik obavezan za svaku firmu?

• Zakonska obaveza – osnovni dokaz usklađenosti
• Povjerenje klijenata – transparentnost jača reputaciju
• Konkuretnska prednost – pokazuje profesionalizam
• Smanjenje rizika – pravovremene mjere ublažavaju štetu

2. Ugovor o obradi podataka (Data Processing Agreement) Sa svakim vanjskim obrađivačem (IT firma, knjigovođa, cloud provajder). Ugovor s vanjskim obrađivačem je ključni dokument koji vam garantuje kontrolu i sigurnost nad dodijeljenim ličnim podacima. Razdijelimo ga po tačkama:

Mora sadržavati:

2.1 Jasne instrukcije o obradi

• Šta to znači?
  – Precizno definirate svrhu obrade (npr. vođenje evidencije klijenata)
  – Određujete vrstu podataka (ime, adresa, email…)
  – Navodite aktivnosti koje obrađivač smije raditi (prikupljanje, čuvanje, analitika…)
  – Utvrđujete vremenski okvir i lokaciju obrade,koliko dugo i gdje će se podaci držati

• Zašto je važno?
  – Sprečava bilo kakvu „slobodu tumačenja“ – obrađivač radi samo ono što ste mu dozvolili. – Sprečava “široke interpretacije” i situacije da vam neko, recimo, šalje newsletter klijentima bez vašeg znanja. –
  – Osigurava da ne dođe do nenamjerne zloupotrebe ili prekomjerne obrade.

Jasne instrukcije

Šta tačno piše u ugovoru?

• Svrha obrade – zašto obrađujemo podatke (npr. vođenje klijentske evidencije)
• Vrsta podataka – koje kategorije (ime, adresa, broj telefona…)
• Dozvoljene aktivnosti – šta smije obrađivač raditi (unos, izmjena, čuvanje, analiza…)
• Trajanje i lokacija – koliko dugo i gdje će se podaci držati

2.2 Zabrana zloupotrebe podataka

• Šta to znači?
  – Obrađivač se obavezuje da ne koristi podatke ni za kakvu sopstvenu svrhu (marketing, prodaja trećim licima…)
  – Zabranjeno je prosljeđivanje ili posredovanje podataka bez vaše pisane saglasnosti
• Profiliranje – niti stvaranje profila za druge svrhe osim one koju ste dogovorili

• Zašto je važno?
  – Vaši podaci ostaju isključivo na usluzi poslovnom odnosu koji ste definisali.
• To štiti reputaciju vaše firme: niko ne želi da “ružne vijesti” o curenju podataka završavaju na naslovnicama.
• – Sankcije su ozbiljne – i za vas i za obrađivača.
  – Svaka zloupotreba može rezultirati pravnim i finansijskim sankcijama za obje strane.

2.3 Obaveza čuvanja tajnosti i mjere zaštite

• Konfiden­cijalnost
  – Obrađivač i njegovo osoblje potpisuju izjavu o tajnosti (NDA)
• Tehničke mjere
  – Enkripcija podataka u prijenosu i mirovanju
  – Kontrola pristupa (lozinke, 2FA, logovanje)
  – Redovni i sigurni backup i sigurno brisanje
• Organizacione mjere
  – Obuka osoblja o pravilnoj obradi podataka
  – Interni auditi, procedura za prijavu incidenata
• Jasne politike za rad na daljinu i upotrebu mobilnih uređaja (BYOD)
• Postupanje kod povrede
  – Obaveza prijave DPO-u i Agenciji unutar 72h
  – Informisanje vas i, po potrebi, ispitanika
• Detekcija i prijava DPO-u < 24h
• Prijava Agenciji < 72h
• Obavještenje ispitanika ako ugrožava prava
• Analiza uzroka i korektivne mjere

Zašto bez ovog ugovora nema „usajdžmenta“?

1. Zakonski je obavezan prema GDPR-u i Zakonu FBiH
2. Smanjuje rizik od nenamjernih curenja i zloupotreba
3. Dokazuje klijentima i inspekciji da ozbiljno shvatate zaštitu podataka

Vrsta podataka	Svrha obrade	Ko ima pristup	Gdje se čuvaju	Koliko dugo
Identifikacioni (ime, prezime, JMBG)	Ugovorni odnosi i fakturisanje	Računovodstvo, DPO	Lokalni server, šifrirani disk	5 godina od završetka ugovora
Kontakt (email, telefon)	Slanje obavještenja i komunikacija	Marketing, DPO	Cloud provajder (AWS EU region)	Dok se ne odjavi ili min. 3 godine
Podaci o zdravlju (evidencija bolovanja)	Usklađivanje s propisima o zdravstvenom osiguranju	HR služba, DPO	Interni HR sistem (SQL server)	10 godina od prestanka radnog odnosa
Finansijski (broj računa, iznosi plaćanja)	Izmirenje i evidencija finansijskih obaveza	Računovodstvo, DPO	ERP sistem + šifrirani backup u oblaku	10 godina prema računovodstvenim propisima

Evidencije aktivnosti obrade – ključnog dokaza transparentnosti prema Agenciji za zaštitu ličnih podataka.

Slikovit prikaz Evidencije aktivnosti obrade u formi informativne infografike:

Objašnjenje elemenata na slici

• Svaki kvadrat predstavlja jedan tip podataka: Identifikacioni, Kontakt, Zdravlje, Finansijski.
• Unutar svakog:
  
  • Svrha obrade (kratko objašnjenje)
  • Ko ima pristup (konkretni timovi ili osobe)
  • Gdje se čuvaju (fizičko ili digitalno okruženje)
  • Koliko dugo (rok čuvanja prema internim ili zakonskim pravilima)

Infografika koristi prepoznatljive ikone i boje za brzi pregled, a istovremeno sadrži sve ključne podatke potrebne Agenciji za dokaz transparentnosti.

Evidencije aktivnosti obrade – ključnog dokaza transparentnosti prema Agenciji za zaštitu ličnih podataka.

1. Vrsta podataka
   Navodi se svaka kategorija podataka koju prikupljate, npr. lični identifikacioni podaci, kontakt, zdravstveni ili finansijski podaci. Bitno je biti što konkretniji kako biste pokazali Agenciji precizan obim obrade.
2. Svrha obrade
   Objašnjava za koju poslovnu ili zakonsku potrebu obrađujete te podatke – fakturisanje, komunikacija, usklađivanje s zdravstvenim propisima, obračun plaćanja itd. Cilj je da Agencija razumije zašto vam ta kategorija podataka uopće treba.
3. Ko ima pristup
   Definiše ko unutar vaše organizacije (ili vanjski partneri) smije vidjeti i/ili obrađivati te podatke, npr. računovodstvo, marketing, HR tim, DPO. Ovo dokazuje kontrolu pristupa i princip „least privilege“.
4. Gdje se čuvaju
   Precizirate fizičku ili virtualnu lokaciju – lokalni server, šifriran disk, konkretan cloud provajder ili baza podataka. Ključno je pokazati Agenciji da su podaci zaštićeni tehnički i organizaciono.
5. Koliko dugo
   Navodi se period čuvanja, u skladu sa zakonskim ili internim pravilima (npr. 5 godina od završetka ugovora, 10 godina po računovodstvenim propisima, do odjave ispitanika…). Time dokazujete da ne čuvate podatke „beskrajno“.

Ova tabela nije samo formalan dokument – to je živi dokaz da vaša organizacija:

• Transparentno vodi evidenciju svih obrada
• Kontroliše pristup i sprječava zloupotrebu
• Pridržava se rokova za čuvanje i brisanje podataka

Tako ste spremni za svaki inspekcijski nadzor i izbjegavate sankcije!

infografike s primjerom Saglasnosti za obradu podataka gdje su uključeni:

• Prijava na newsletter
• Video nadzor
• Korištenje fotografija

i ključne karakteristike consent forme:

• dobrovoljna
• informisana
• opoziva

Detajlno po tačkama:

Kada je potrebna?

• • Kad ne postoji drugi pravni osnov: ugovor, zakon, vitalni interes ili javni zadatak.
  • Primjeri: prijava na newsletter, instalacija video nadzora, objavljivanje fotografija s event

1. Dobrovoljna

Saglasnost mora biti data potpuno slobodno, bez ikakvog pritiska, ucjena ili skrivene pogodbe. Ispitanik uvijek treba imati realnu mogućnost da kaže “ne” ili da jednostavno odbije, bez straha od posljedica po svoje usluge ili položaj.

• • Ispitanik mora aktivno potvrditi saglasnost, bez pre-kliktanih polja ili prisile.
  • Ako osjeća da “mora”, saglasnost nije valjana.

1. Informisana

Prije davanja saglasnosti, ispitanik mora dobiti jasne i razumljive informacije o svrhama obrade, vrsti podataka, rokovima čuvanja i pravima koja može ostvariti. Sve informacije trebaju biti napisane jednostavnim jezikom i izdvojene od drugih uslova, tako da ne ostavljaju prostora za dvosmislene tumačenja.

• • Mora sadržavati jasne informacije o svrhama obrade, ko je kontroler, kako i gdje se podaci čuvaju, te o pravu opoziva.
  • Pri objedinjavanju više svrha svaka svrha mora imati svoju odvojenu opciju.

3.Opoziva

Ispitanik može u svakom trenutku povući saglasnost jednako lako kao što ju je dao, npr. putem linka za odjavu ili pisanom zahtjevu. Povlačenje ne smije utjecati na zakonitost obrade podataka prije tog trenutka, a organizacija mora odmah prekinuti svaku dalju obradu na osnovu te saglasnosti.Procedura opoziva mora biti jednostavna (jedan klik ili email).

Obavještenje o obradi podataka (Politika privatnosti) je javna izjava kojom korisnike/klijente temeljito informišete o svemu što se tiče njihovih podataka, bez da moramo ponovo o njemu diskutovati kasnije.

1. Svrha obrade
Definišete tačno zašto prikupljate podatke: npr. vođenje korisničkog računa, marketing ili statistička analiza. Svaki cilj mora biti jasno opisan, kako niko ne bi pomislio da podatke koristite za nešto drugo.

2. Pravni osnov
Navodite na kojoj zakonskoj bazi radite: ugovor (npr. pružanje usluge), saglasnost, zakonska obaveza (PDV, arhiva), zaštita vitalnog interesa ili javni zadatak. Time pokazujete da je svaka obrada utemeljena i da se ne oslanja na „skrivene klauzule“.

3. Prava ispitanika
Objašnjavate prava: pristup, ispravku, brisanje (“pravo na zaborav”), ograničenje obrade, prenosivost i prigovor. Navedite kako mogu podnijeti zahtjev (e-mail, formular) i u kojem roku očekivati odgovor (najčešće 30 dana).

4. Kontakti za zaštitu podataka
Dajete ime i kontakt DPO-a (e-mail, telefon) ili odjel koji rješava upite o privatnosti. Tako korisnici znaju tačno kome da se obrate – nema lutanja po sajtu ili dugog čekanja.

5. Gdje se prikazuje
Politiku objavite jasno na web-stranici (footer ili poseban link), istaknite je na prijemnom pultu i u svim ugovorima. Transparentnost znači da je vidljiva svima, bez skrivenih fine-print odredbi.

Obavještenja o obradi podataka: 5 ključnih elemenata

Infografika koja sa pet ikona i natpisa opisuje ključne elemente Obavještenja o obradi podataka:

• Svrha obrade: ikona dokumenta
• Pravni osnov: vaga
• Prava ispitanika: štit
• Kontakti za zaštitu podataka: koverta
• Gdje se prikazuje: monitor

Detaljan opis sprovođenja usklađivanja sa Zakonom o zaštiti ličnih podataka (GDPR u FBiH)

Da bismo izgradili sistem potpune usklađenosti, proces možemo podijeliti na pet međusobno povezanih faza. Svaka faza ima svoju svrhu i rezultate koje mora da ispuni prije nego prijeđemo na sljedeću:

Priprema i inicijalna analiza

Cilj: Steći potpun uvid u postojeće poslovne procese, tokove podataka i tehnološke sisteme.

• Prikupljanje svih politika, procedura i postojećih “papirnih” ili elektronskih dokumenata.
• Intervjui sa ključnim odjelima (računovodstvo, kadrovska, IT) da razumijemo kako se podaci prikupljaju, čuvaju i dijele.
• Identifikacija svih vanjskih partnera i obrađivača (knjigovođa, cloud provajder, marketing agencija).

Gap analiza (utvrđivanje nedostataka)

Cilj: Uporediti stanje “kako radimo” sa zahtjevima Zakona.

• Provjeriti kojih dokumenata (pravilnik, DPIA, saglasnosti, ugovori o obradi) nema ili su neadekvatni.
• Procijeniti tehničke i organizacione mjere: enkripcija, kontrole pristupa, backup, obuke.
• Izraditi „mapu rizika“ – gdje su najveće praznine u zaštiti.

Kreiranje i ažuriranje interne dokumentacije

Cilj: Popuniti sve praznine i formalizovati pravila.

• Pravilnik o zaštiti ličnih podataka (interni akt)
• DPIA (Procjena uticaja na zaštitu podataka) za visoke rizike
• Ugovori o obradi podataka sa eksternim obrađivačima
• Saglasnosti za obrade koje nemaju drugi osnov
• Obavještenje (Politika privatnosti) za krajnje korisnike
• Evidencije aktivnosti obrade i plan postupanja kod incidenata

Implementacija tehničkih i organizacionih mjera

Cilj: Primijeniti konkretne mjere za zaštitu prijavljenih rizika.

• Tehničke: enkripcija baze, segmentacija mreže, pen-testovi, logovanje i 2FA
• Organizacione: obuke za osoblje, procedure „least privilege“, politike BYOD i rada na daljinu
• Imenovanje i upoznavanje DPO-a (Službenika za zaštitu podataka) sa novim aktima

Edukacija, testiranje i kontinuirano održavanje

Cilj: Učiniti usklađenost dijelom svakodnevnog poslovanja i adaptirati se na promjene.

• Redovne edukacije i simulacije incidenta (table-top vježbe)
• Interni auditi i revizije („pre-audit checks“)
• Praćenje promjena u zakonodavstvu i ažuriranje dokumenata
• Godišnja evaluacija i izvještavanje najvišem rukovodstvu

MAPIRANJE PODATAKA

1. Koje podatke prikupljate?

Prikupljamo osnovne identifikacione podatke klijenata – ime, prezime i JMBG – kako bismo pouzdano utvrdili njihov identitet. Takođe se evidentiraju kontakt podaci (email adresa i broj telefona) radi pravovremene komunikacije i slanja obavijesti. Kada je potrebno, prikupljamo i finansijske podatke (broj računa, iznosi uplata) za fakturisanje i vođenje evidencije.

2. Gdje se čuvaju?

Svi elektronski podaci nalaze se na šifriranim diskovima lokalnih servera smještenih u zaključanoj server-sobi s kontrolisanim pristupom. Redovni backup kopije šalju se na sigurnosni cloud provajder u EU regiji, uz enkripciju u mirovanju i tokom prenosa. Papirni dokumenti (ugovori, saglasnosti) arhiviraju se u zaključanim ormarićima s vođenom evidencijom smještaja.

3. Ko ima pristup?

Ovlašteni zaposlenici računovodstva i pravnog odjela, uz stalni nadzor DPO-a, imaju pristup kompletnim bazama podataka. Vanjski partneri (npr. cloud provajderi, revizori) dobijaju ograničene pristupe isključivo onim podacima potrebnim za izvršenje njihovih usluga. Svi pokušaji pristupa beleže se u logovima i redovno revidiraju kako bi se osigurao princip „least privilege“.

Procjena rizika i mjere zaštite

Prije svega, svaka razmjena ili čuvanje ličnih podataka nosi određeni rizik – bilo da se radi o slanju mejla, upotrebi USB ključa ili pohrani u oblaku. Zato je ključno napraviti Procjenu uticaja na zaštitu podataka (DPIA): mapirate sve puteve kretanja informacija, procijenite koliko je vjerovatno da neko neovlašteno pristupi tim podacima i koliko bi štete moglo nastati. Na taj način jasno vidite gdje su “uska grla” – npr. nezaključana serverska soba, nesiguran Wi-Fi ili zastarjeli USB diskovi – i znate šta prvo treba ojačati.

Što se tiče konkretnih mjera, vodite računa o tri stvari:

1. Kontrola pristupa – upotrijebite princip “najmanjih privilegija”: svako u firmi ima samo ona prava koja su mu stvarno neophodna. Redovno mijenjajte lozinke i uključite dvostepenu provjeru identiteta (2FA).
2. Enkripcija – sve što “putuje” i sve što “miruje” zaštitite snažnim šiframa (npr. TLS/SSL za prenos, AES-256 za disk). Nemojte zaboraviti ni backup kopije – one također moraju biti šifrirane.
3. Backup i povrat podataka – pravi backup nije samo kopija: testirajte vraćanje fajlova, čuvajte offsite i offline kopije, i držite ih onoliko dugo koliko zakon ili interna politika zahtijevaju (najčešće 5–10 godina).

Trik za pamćenje “REB”:

• Rizik (procjena)
• Enkripcija
• Backup

Izrada i primjena dokumentacije

Kada smo prikupili sve ulazne podatke i mapirali rizike, vrijeme je da na papir (ili u digitalni zapis) pretočimo pravila igre i osiguramo da se svaki korak zaista i sprovodi.

1. Pravilnik i evidencija se donose interno

U ovoj fazi „zakucavamo“ interne dogovore: tim pravnika, IT stručnjaka i DPO-a sastavlja Pravilnik o zaštiti ličnih podataka – dokument koji definiše ko šta radi, kako i kada. Istovremeno, vodimo i Evidenciju aktivnosti obrade: tabelu ili narativni zapis svih tokova podataka. Nakon što tekst doradimo i usvojimo na sjednici uprave, pravilnik se potpisuje i distribuira unutar firme (intranet, oglasna ploča ili mali „priručnički džep“ uz recepciju). Time svi zaposleni dobijaju jasan „recept“ za rad s podacima, a Agenciji možemo pokazati da je sve uredno zavedeno.

2. Ugovori se sklapaju sa obrađivačima

Svaka saradnja s eksternim partnerom – knjigovođom, IT firmom, cloud provajderom – mora biti pekarski precizno upakovana u Ugovor o obradi podataka (DPA). Pravna služba priprema predložak sa jasno definisanim obavezama (svrha, trajanje, mjere zaštite), a zatim se vodi proces pregovaranja i potpisivanja. Nakon što dobijemo potpisane primjerke, ugovore skeniramo, arhiviramo i upišemo u Registar ugovora: tačno ćemo znati ko, kada i pod kojim uslovima rukuje našim podacima.

3. Saglasnosti i obavještenja se pripremaju i distribuiraju

Za sve obrade koje nemaju drugi pravni osnov (npr. newsletter, fotografisanje na događaju) kreiramo jasne formulare za saglasnost i ažuriramo Politiku privatnosti. Tekst mora biti jednostavan, bez „pravnog žargona“, kako bi korisnik odmah razumio na šta pristaje. Saglasnice se stavljaju na web (u footer ili prilikom registracije), šalju uz obrasce na recepciji, a ponekad i fizički ostave na šalteru u kancelarijama. Slično, Obavještenje o obradi podataka lijepimo na ulaze u poslovnice i ubacujemo u svaki ugovor – niko nema izgovor da „nije znao“.

Obuka zaposlenih

Zaštita ličnih podataka ne smije ostati samo na papiru – mora postati navika svakog člana tima. Zato je ključno da svako ko dolazi u kontakt s podacima prođe struktuiranu obuku koja obuhvata:

Osnovna pravila – poštovanje „najmanjih privilegija“, prepoznavanje povjerljivih informacija i svijest o posljedicama nepažnje.

Tehničke procedure – kako koristiti lozinke, dvofaktorsku autentifikaciju i sigurno slati fajlove (e-mail, cloud link, USB).

Organizacione mjere – postupak prijave incidenata, vođenje evidencije i pravila čuvanja papirnih dokumenata.

Praktične vježbe – simulacije curenja podataka, rješavanje „table-top“ scenarija i kratki kvizovi za provjeru znanja.

Obuka se provodi pri primanju u radni odnos, a potom redovno – najmanje jednom godišnje ili kad god se uvede nova tehnologija ili procedura. Svaki učesnik potpisuje potvrdu o pohađanju, a rezultati kvizova čuvaju se u dosjeu zaposlenog kao dokaz kontinuirane brige o usklađenosti.

Trik za lakše pamćenje “ŠKOLA”

• Štitimo podatke – upoznavanje sa svrhom i rizicima
• Kontrola pristupa – lozinke, 2FA, evidentiranje
• Osvješćivanje – svijest o obavezama i pravima ispitanika
• Logovanje – bilježenje pristupa i promjena
• Ažuriranje znanja – redovne vježbe i obnova obuke

Sjetite se “ŠKOLA” kad god planirate program obuke – tako nijedan zaposleni neće ostati neupućen!

Postupanje po zahtjevima lica

Kada neko od ispitanika zatraži svoja prava, važno je da reagujemo brzo, precizno i u skladu sa zakonom. Svaki takav zahtjev je znak da poštujemo transparentnost i povjerenje koje su nam ukazali.

1. Uvid u podatke

Kada klijent ili korisnik zatraži uvid, obavezni smo mu dostaviti kompletnu kopiju svih ličnih podataka koje obrađujemo u roku od 30 dana. Odgovorna osoba (DPO) provjerava identitet, prikuplja sve relevantne zapise i šalje ih na jasan, razumljiv način—npr. PDF fajl ili papirna verzija. Time pokazujemo da nemamo šta skrivati i da poštujemo pravo svake osobe da zna šta o njoj čuvamo.

2. Ispravke ili brisanje

Ako ispitanik primijeti da su njegovi podaci netačni ili nepotpuni, mora postojati jednostavan postupak za ispravku ili dopunu zapisa. U slučaju brisanja (“pravo na zaborav”), provjeravamo da li postoje objektivni razlozi (npr. zakonska obaveza čuvanja) i potom trajno uklanjamo podatke iz svih sistema i backupa. Cijeli proces treba biti transparentan: informišemo osobu o koracima koje smo preduzeli i potvrđujemo izvršenje njenog zahtjeva.

3. Povlačenje saglasnosti

Ispitanik ima pravo da u bilo kojem trenutku povuče svoju saglasnost, podjednako lako kao što ju je dao — najčešće jednim klikom na link ili pismenim zahtjevom. Čim primimo obavijest o povlačenju, odmah prestajemo sa obradom podataka na osnovu te saglasnosti, ali zadržavamo pravo na poštovanje ranijih zakonitih transakcija (npr. fakture koje su već izdate). Sve to dokumentujemo u evidenciji, kako bismo imali trag o datumu i vremenu povlačenja.

Ako dođe nadzor Agencije za zaštitu ličnih podataka,sta ce tražiti?

Kada inspektori Agencije zakorače u vaš prostor ili zatraže dokumente na uvid, biće usmjereni da prođu kroz pet ključnih dokumenata i dokaza:

Evidencija aktivnosti obrade
– Agencija želi vidjeti tabelu ili registar koji jasno pokazuje koje vrste podataka obrađujete, svrhu, rok čuvanja i pristupne privilegije.
– To je dokaz da pratite svaki tok podataka, a ne “radite ad hoc” bez kontrole.

Pravilnik o zaštiti ličnih podataka
– Morate imati usvojen i potpisan interni akt koji definiše sve procedure, odgovornosti DPO-a, tehničke i organizacione mjere te plan za slučaj incidenata.
– Ako pravilnik ne postoji ili je neadekvatan, Agencija će to zabilježiti kao ozbiljan nedostatak sistemske usklađenosti.

Primjer saglasnosti
– Pokazujete im obrazac ili elektronski screenshot saglasnice koji ispitaniku daje jasne i razumljive informacije o svrsi, trajanju i pravu na opoziv.
– Nedostatak ili neispravna saglasnica (npr. pretiklirano “opt-out” polje) znači da ste radili bez validnog pravnog osnova.

Ugovori s obrađivačima
– Inspektor će tražiti potpisane ugovore o obradi podataka sa svim eksternim partnerima (knjigovođe, IT firme, cloud provajderi).
– Svaki ugovor mora sadržavati jasne instrukcije, zabranu zloupotrebe i obavezu čuvanja tajnosti; bez njih, vaše „outsourcing“ aktivnosti se smatraju neusklađenim.

Tragovi edukacije zaposlenih
– Agencija očekuje potvrde o redovnoj obuci, potpise na listi učesnika i rezultate kvizova ili simulacija.
– Ako nema dokaza da su svi koji rukuju podacima prošli osnovnu i periodičnu edukaciju, smatra se da ste zanemarili ljudski faktor zaštite.

Posljedice neusklađenosti

• Upozorenje – prvi korak, daje vam rok da otklonite nedostatke.
• Rješenje (administrativni nalog) – detaljno naloži šta tačno morate ispraviti i u kojem roku.
• Novčana kazna – od 5.000 do 50.000 KM za pravna lica, plus dodatne kazne za odgovorna lica ako se ne pridržavaju naloga.

KAKO IZGLEDA NADZOR AGENCIJE

Nadzor Agencije za zaštitu ličnih podataka često izgleda zastrašujuće, ali u srcu je to običan razgovor o tome kako čuvamo ono što nam klijenti povjeravaju. Inspektori mogu nenajavljeno zakoračiti u vaše prostorije, pozdraviti se i zamoliti da im pokažete Pravilnik, evidenciju obrade ili primjer ugovora sa cloud provajderom.

Dok šetaju server sobom i listaju fascikle, zapravo provjeravaju da li se vaši svakodnevni postupci poklapaju s onim što ste napisali – jeste li stvarno enkriptovali backup, jeste li zabilježili svaku promjenu u bazi, jeste li obučili novog kolegu da zna kome prijaviti incident.

Često je dovoljno da im pokažete uredno vođene tabele aktivnosti obrade, potpisane saglasnosti i dokaz o redovnim obukama – to im govori da u vašoj organizaciji ne vlada haos, nego samosvjesno poštovanje zakona.

Ako otkriju manjkavosti, najprije ćete dobiti upozorenje: “Molimo vas da u sljedećih 30 dana otklonite ovaj nedostatak.” Zatim stigne formalno rješenje s rokovima za ispravku, a ako nijedan korak ne preduzmete, čeka vas kazna. Na kraju se novčana sankcija može penjati do desetina hiljada maraka, a uz to možete dobiti i obavezu da javno objavite informaciju o nepravilnosti – što može ozbiljno narušiti reputaciju.

Da bi vam ovo bilo samo puka priča, razmislite unaprijed: organizujte stalne interne “provjere” prije inspektora, simulirajte nadzor po principu “šta ako” i svaku zabilježenu grešku odmah ispravite. Kada inspektori vide spremnost i pripremljenost, nadzor postaje partnerstvo, a ne sudski proces. Tako, umjesto da se bojite neplaniranih kontrola, pretvorite ih u priliku da pokažete dodatnu razinu profesionalnosti i izgradite povjerenje kod klijenata, ali i kod same Agencije.

Ko vrši nadzor

Agencija za zaštitu ličnih podataka BiH ima široka ovlaštenja da provjeri usklađenost vaših procesa:

• Pristup prostorijama i dokumentaciji – u svakom trenutku mogu ući u vaše kancelarije i pregledati spise, mape i fajlove.
• Pregled IT sistema – traže logove, baze podataka, konfiguracije servera i aplikacija.
• Uzima izjave od zaposlenih – razgovaraju s osobljem kako bi potvrdili da svi poznaju procedure.
• Nalažu mjere i zabrane – mogu narediti privremenu obustavu obrade ili uvođenje dodatnih koraka.
• Izriču upozorenja, rješenja i novčane kazne – od prvog upozorenja do desetina hiljada KM kazne.

Kako izgleda nadzor u praksi?

1. Redovan (po planu)
   – Planirani obilasci institucija sa posebnom odgovornošću (škole, bolnice, banke).
2. Izvanredan (po prijavi)
   – Reagiraju na pritužbe građana ili anonimne dojave.
3. Tematski
   – Fokus na jednu oblast (npr. video-nadzor, obrada JMBG-a) – nenajavljeno, traje od nekoliko sati do više dana.

Svaki od ovih oblika može biti nenajavljen, a trajanje zavisi od složenosti sistema i količine dokumentacije.

Posljedice neusklađenosti

• Upozorenje – prvi korak, rok da otklonite nedostatke.
• Rješenje (administrativni nalog) – detaljno navodi mjere koje morate odmah sprovesti.
• Novčana kazna – od 5.000 do 50.000 KM za pravna lica; dodatne sankcije za odgovorna lica.

1. U jednom osnovnoškolskom centru u Tuzli inspektori su uočili da su postavljene sigurnosne kamere u hodnicima i na ulazu bez prethodne saglasnosti roditelja i bez vidljivih oznaka “Video nadzor u toku”. Škola nije imala nijedan dokument kojim opravdava takvu instalaciju. Agencija je naložila hitno uklanjanje kamera sa centralnih lokacija, postavljanje jasno čitljivih obavijesti na vidnim mjestima i izdala upozorenje direktorici škole – “Ovakvo postupanje krši osnovna prava djece i roditelja.”
2. U privatnoj klinici u Mostaru problem je otkriven kada je pacijent dobio rezultate analiza običnim mejlom, bez ikakve enkripcije ili zaštite. Inspektori su konstatovali da osjetljivi zdravstveni podaci lutaju nezaštićeni internetom, pa je Klinika kažnjena novčanom kaznom od 3.000 KM i dobila rok da imenuje službenika za zaštitu podataka (DPO). Tom prilikom su morali uspostaviti i proceduru šifrovanog slanja, kao i eksterne sertifikate za zaštitu e-pošte.
3. Jedna javna ustanova u Zenici nije imala ni izrađen Pravilnik o zaštiti ličnih podataka, niti vođenu evidenciju aktivnosti obrade. Prilikom nenajavljenog nadzora Agencija je zabilježila potpuni nedostatak internog sistema zaštite. Rješenje je glasilo: “U roku od 15 dana dostaviti usklađeni Pravilnik i evidenciju, a svim zaposlenima održati obaveznu edukaciju o zaštiti podataka.” Naknadno, institucija je organizovala seriju treninga i uvela mjesečne interne provjere.
4. Web shop iz Sarajeva imao je automatski štikliran checkbox za prijavu na newsletter – kupac je, „usput“, pristajao na slanje promotivnih mejlova. Agencija je ovo okarakterisala kao nepoštivanje principa dobrovoljne i informisane saglasnosti. Poslodavac je dobio kaznu od 5.000 KM i obavezu da odmah pređe na “opt-in” sistem: svaki korisnik mora ručno potvrditi želju za primanje novosti, uz jasno objašnjenje svrhe i načina odjave.

Ovi primjeri pokazuju da Agencija u praksi ne toleriše improvizacije: inspekcije su stvarne, neprijateljske greške skupe, a dobro pripremljeni podnosioci sve gledaju kao priliku da dokažu svoju profesionalnost.

Kazne i prekršaji – šta Zakon predviđa?

Tabela sa kaznama, uz vizualni naglasak bojama (🟢 niska, 🟠 srednja, 🔴 visoka).

Povreda	Pravna lica (KM)	Odgovorna lica (KM)
Nema pravilnika ili evidencije	1.000 – 10.000 🟠	500 – 2.000 🟢
Neovlaštena obrada	2.000 – 30.000 🔴	1.000 – 5.000 🟠
Objavljivanje slike bez saglasnosti	1.000 – 5.000 🟢	300 – 1.000 🟢
Bez ugovora o obradi	2.000 – 8.000 🟠	500 – 2.000 🟢
Neprijava povrede podataka	do 15.000 🔴	do 3.000 🟠

Objašnjenje boja na koje prekršaje treba posebno obratiti pažnju

• 🟢 Niska kazna – relativno manji iznos
• 🟠 Srednja kazna – značajan iznos, ali iznad osnovnog
• 🔴 Visoka kazna – veliki financijski teret

Završna riječ autora

Ovaj Priručnik ne služi samo da ispuni polički okvir  on je mapa puta za svakoga ko želi graditi povjerenje klijenata i izbjegavati skupe greške. Dokumentacija nije formalnost – bez nje ste odmah u prekršaju i izloženi ste inspekcijskim sankcijama.

Uzmite ovo k srcu:

Inspekcija NE najavljuje posjetu – budite spremni stalno, ne samo pred kraj kvartala.

Dokumentacija NIJE papir bez vrijednosti ona je vaš dokaz da ste postupili profesionalno i zakonito.

Kazne nisu simbolične – mogu ozbiljno ograničiti poslovanje i ugroziti reputaciju.

Ignorisanje prava pojedinaca je visokorizično – svaki prigovor treba biti šansa za popravku, a ne dodatni razlog za kaznu.

Ako usvojite ove principe kao dio svakodnevnog rada, zaštita ličnih podataka neće biti dodatni teret, nego konkurentska prednost i garancija sigurnosti za vas i vaše klijente