Podaci o ličnosti se moraju obrađivati zakonito, pošteno i transparentno. Zakonita obrada je obrada koja se vrši u skladu sa Zakonom o zaštiti podataka o ličnosti („Sl. glasnik RS“, br. 87/2018), odnosno drugim zakonom kojim se uređuje obrada.
Podaci se moraju prikupljati u svrhe koje su konkretno određene, izričite, opravdane i zakonite i dalje se ne mogu obrađivati na način koji nije u skladu sa tim svrhama („ograničenje u odnosu na svrhu obrade“). Podaci moraju biti primereni, bitni i ograničeni na ono što je neophodno u odnosu na svrhu obrade („minimizacija podataka“). Moraju biti tačni i, ako je to neophodno, ažurirani.
Uzimajući u obzir svrhu obrade, moraju se preduzeti sve razumne mere kojima se obezbeđuje da se netačni podaci o ličnosti bez odlaganja izbrišu ili isprave („tačnost“). Podaci se moraju čuvati u obliku koji omogućava identifikaciju lica samo u roku koji je neophodan za ostvarivanje svrhe obrade („ograničenje čuvanja“) i obrađivati na način koji obezbeđuje odgovarajuću zaštitu podataka o ličnosti, uključujući zaštitu od neovlašćene ili nezakonite obrade, kao i od slučajnog gubitka, uništenja ili oštećenja primenom odgovarajućih tehničkih, organizacionih i kadrovskih mera („integritet i poverljivost“).
Rukovalac je odgovoran za primenu ovih odredaba i mora biti u mogućnosti da predoči njihovu primenu („odgovornost za postupanje“).
Postoji 6 zakonskih osnova za obradu podataka. Koji osnov je najprikladniji za primenu, zavisi od svrhe obrade i odnosa između rukovaoca i fizičkog lica na koje se odnose podaci o ličnosti. Osnov za obradu podataka zahteva neophodnost obrade; ukoliko se ista svrha može ostvariti i bez obrade, u tom slučaju obrada nije zakonita.
Pre obrade podataka Rukovalac je dužan da odredi svrhu obrade i dokumentuje je u odgovarajućoj formi. Promena svrhe obrade u kasnijim fazama nije preporučljiva bez valjanog i opravdanog razloga. Politika privatnosti Vaše kompanije mora da sadrži opis zakonskog osnova obrade, kao i opis svrhe obrade podataka o ličnosti.
Ukoliko obrađujete posebne kategorije podataka o ličnosti pored zakonskog osnova morate ispuniti i druge uslove za obradu ove vrste podataka. Na primer, ukoliko obrađujete podatke o krivičnim i prekršajnim presudama pored generalnog osnova za obradu ove vrste podataka morate odrediti i dodatne kriterijume za obradu.
Pravni osnov za obradu podataka o ličnosti opisan je u članu 12. Zakona o zaštiti podataka o ličnosti. Najmanje jedan od navedenih uslova mora biti ispunjen da bi se obrada smatrala zakonitom:
1) Saglasnost – lice na koje se podaci o ličnosti odnose je pristalo na obradu svojih podataka o ličnosti za jednu ili više posebno određenih svrha. Saglasnost podrazumeva jasan pristanak za obradu podataka u precizno određene svrhe. Saglasnost mora biti predstavljena na način kojim se izdvaja od drugih pitanja, u razumljivom i lako dostupnom obliku, kao i uz upotrebu jasnih i jednostavnih reči. Saglasnost mora bit data slobodnom voljom lica na koje se odnose podaci o ličnosti.
2) Ugovor – obrada je neophodna za izvršenje ugovora zaključenog sa licem na koje se podaci odnose ili za preduzimanje radnji, na zahtev lica na koje se podaci odnose, pre zaključenja ugovora;
3) Zakonska obaveza – obrada je neophodna u cilju poštovanja pravnih obaveza rukovaoca; kao na primer Zakon o radu.
4) Životno važni interes – obrada je neophodna u cilju zaštite životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica; u cilju zaštite života lica na koje se odnose podaci o ličnosti, na primer, lice može biti van svesti, a obrada njegovih podataka je neophodna u cilju pružanja medicinske pomoći.
5) Javni interes – obrada je neophodna u cilju obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja rukovaoca;
6) Legitimni interes – obrada je neophodna u cilju ostvarivanja legitimnih interesa rukovaoca ili treće strane, osim ako su nad tim interesima pretežniji interesi ili osnovna prava i slobode lica na koje se podaci odnose koji zahtevaju zaštitu podataka o ličnosti, a posebno ako je lice na koje se podaci odnose maloletno lice.
Profilisanje i direktni marketing mogu da se oslone na legitimni interes, ali u tom slučaju lice na koje odnose podaci o ličnosti ima apsolutno pravo na prigovor na obradu podataka. Obrada u cilju legitimnog interesa mora biti transparentna i lica čiji se podaci o ličnosti obrađuju moraju o tome biti informisana.
Lice na koje se podaci odnose ima pravo da se njegovi netačni podaci o ličnosti bez nepotrebnog odlaganja isprave. U zavisnosti od svrhe obrade, lice na koje se podaci odnose ima pravo da svoje nepotpune podatke o ličnosti dopuni, što uključuje i davanje dodatne izjave.
Kada je reč o ostalim pravima lica na koje se odnose podaci o ličnosti, sledeća tabela prikazuje koja su to prava koje ima subjekat podataka o ličnosti i u okviru kod pravnog osnova obrade rukovaoca.
Pored zakonske, obrada mora biti i poštena. Načelo poštenja obrade u direktnoj je vezi sa stavom da lica na koja se odnose podaci o ličnosti moraju biti upoznata sa činjenicom da se njihovi podaci obrađuju ili će se obrađivati, uključujući i saznanje kako se podaci o ličnosti prikupljaju, čuvaju i koriste. Na primer, korišćenje istorije internet pretraživača u cilju povećanja cene usluge ili proizvoda nije pošteno, dok sa druge strane, primer poštene obrade jeste prijava zarada i drugih prihoda u cilju plaćanja poreza i doprinosa nadležnom organu.
Načelo poštenja obrade, direktno se oslanja na načelo transparentnosti obrade koje podrazumeva da lice na koje odnose podaci o ličnosti bude informisano o obradi osim u slučajevima kada postoji pristanak, pa se informisanost sama po sebi podrazumeva kao i u slučaju kada je zakonom određeno da je neophodno sačuvati poverljivost obrade.
Ako se podaci o ličnosti ne prikupljaju od lica na koje se odnose, rukovalac je dužan da licu na koje se podaci odnose pruži informacije o identitetu i kontakt podacima rukovaoca, kao i njegovog predstavnika, ako je on određen; kontakt podatke lica za zaštitu podataka o ličnosti, ako je ono određeno; o svrsi nameravane obrade i pravnom osnovu za obradu; o vrsti podataka koji se obrađuju, o primaocu, odnosno grupi primalaca podataka o ličnosti, ako oni postoje; o činjenici da rukovalac namerava da iznese podatke o ličnosti u drugu državu ili međunarodnu organizaciju; o upućivanju na odgovarajuće mere zaštite, kao i načinu na koji se lice može upoznati sa tim merama.
Uz ove informacije, rukovalac je dužan da licu na koje se podaci odnose pruži i dodatne informacije koje mogu da budu neophodne da bi se obezbedila poštena i transparentna obrada u odnosu na lice na koje se podaci odnose:
1) o roku čuvanja podataka o ličnosti ili, ako to nije moguće, o kriterijumima za njegovo određivanje;
2) o postojanju legitimnog interesa rukovaoca ili treće strane, ako se obrada vrši na osnovu člana 12. stav 1. tačka 6) ZZPL;
3) o postojanju prava da se od rukovaoca zahteva pristup, ispravka ili brisanje podataka o njegovoj ličnosti, odnosno prava na ograničenje obrade, prava na prigovor na obradu, kao i prava na prenosivost podataka;
4) o postojanju prava na opoziv pristanka u bilo koje vreme, kao i o tome da opoziv pristanka ne utiče na dopuštenost obrade na osnovu pristanka pre opoziva, ako se obrada vrši na osnovu člana 12. stav 1. tačka 1) ili člana 17. stav 2. tačka 1) ZZPL;
5) o pravu da se podnese pritužba Povereniku;
6) o izvoru iz kog potiču podaci o ličnosti i, prema potrebi, da li podaci potiču iz javno dostupnih izvora;
7) o postojanju automatizovanog donošenja odluke, uključujući profilisanje i najmanje u tim slučajevima, svrsishodne informacije o logici koja se pri tome koristi, kao i o značaju i očekivanim posledicama te obrade po lice na koje se podaci odnose.
Rukovalac je dužan da informacije pruži u razumnom roku posle prikupljanja podataka o ličnosti, a najkasnije u roku od 30 dana, uzimajući u obzir sve posebne okolnosti obrade, a najkasnije prilikom uspostavljanja prve komunikacije, ako se podaci o ličnosti koriste za komunikaciju sa licem na koje se odnose ili najkasnije prilikom prvog otkrivanja podataka o ličnosti, ako je predviđeno otkrivanje podataka o ličnosti drugom primaocu.
Ako rukovalac namerava da dalje obrađuje podatke o ličnosti u drugu svrhu koja je različita od one za koju su podaci prikupljeni, rukovalac je dužan da pre započinjanja dalje obrade, licu na koje se podaci odnose, pruži informacije o toj drugoj svrsi, kao i sve prethodno navedene informacije.
