Privredna komora Crne Gore organizovala je 21. oktobra seminar na temu „Novi zakon o zaštiti podataka o ličnosti: šta se mijenja u poslovanju“.

Riječ je o aktu koji je stupio na snagu 19. septembra, uz rok za za usklađivanje poslovanja sa sa pravilima koja prate evropske standarde, uključujući GDPR, do 19. marta 2027. godine, što zahtijeva pravovremenu pripremu, jasnu raspodjelu odgovornosti i aktivno uključivanje rukovodstva i zaposlenih. Cilj seminara bio je da pruži praktične smjernice za ispunjavanje novih obaveza, prepoznavanje rizika i preduzimanje konkretnih koraka u preostalom roku za usklađivanje.

„Zaštita podataka o ličnosti danas nije samo zakonska obaveza, već i pitanje povjerenja, poslovne reputacije i konkurentnosti. U vremenu ubrzane digitalizacije, odgovorno upravljanje podacima postaje važan preduslov za sigurno i uspješno poslovanje”, rekao je prof. dr Mladen Perazić, direktor Sekora za obrazovanje i kvalitet u Privrednoj komori.

Predavači su bili Emina Kolarević Čaušević, ekspertkinja za međunarodno pravo, zaštitu podataka i regulativu vještačke inteligencije, sa iskustvom u institucijama, civilnom sektoru i visokom obrazovanju i Stefan Martinić, advokat iz Hrvatske specijalizovan za zaštitu podataka, GDPR i regulativu vještačke inteligencije.

Tokom seminara je istaknuta važnost toga da kompanije prepoznaju kako rizici često nastaju u svakodnevnom radu i ukazano da usklađenost nije jednokratan projekat niti samo izrada dokumentacije, već podrazumijeva kontinuirano unapređenje procedura, odgovarajuće mjere bezbjednosti i izgradnju kulture odgovornog postupanja sa podacima. Posebnu pažnju potrebno je posvetiti podacima zaposlenih, vođenju evidencija, reagovanju u slučaju povrede podataka i ulozi službenika za zaštitu podataka. Odgovorna zaštita podataka može doprinijeti jačanju povjerenja klijenata i poslovnih partnera, olakšati saradnju sa kompanijama iz Evropske unije i unaprijediti poziciju naših preduzeća na međunarodnom tržištu. Istovremeno, smanjuje rizik od finansijskih gubitaka, narušavanja reputacije i drugih posljedica povrede podataka. Važno je da se ovaj proces ne posmatra samo kao nova obaveza i trošak, već kao ulaganje u kvalitet i konkurentnost crnogorske privrede.

„Novi zakon o zaštiti podataka o ličnosti traži od kompanija da odgovorno postupaju sa podacima svojih klijenata i zaposlenih i da to mogu da dokažu. Svaka kompanija treba da zna koje podatke prikuplja, zašto joj trebaju, koliko ih čuva, kome ih daje i kada ih briše. Rok je 19. mart 2027. godine, a pet mjeseci je kratko vrijeme. Zato privrednicima poručujemo da počnu odmah i da zaštitu podataka učine dijelom svakodnevnog rada, kao što su to već računovodstvo ili zaštita na radu“, kazala je Kolarević Čaušević.

Naglašava da dio kompanija već ima uspostavljene procedure i iskustvo sa evropskim standardima, dok druge ovu oblast tek treba da urede.

„Novi zakon traži mnogo više od starog, od evidencije o tome šta se radi sa podacima i ugovora sa dobavljačima do plana za slučaj da podaci procure. Zato je prvi korak da svaka kompanija pogleda kako zaista postupa sa podacima, od biografija kandidata u nečijoj elektronskoj pošti do snimaka sa kamera, i vidi gdje su slabe tačke, na osnovu čega može napraviti realan plan usklađivanja. Dobra vijest je da se sve može uraditi na vrijeme ako se krene sada”, dodala je ona.

U primjeni su najdalje otišle banke, kaže predavačica, osiguravajuća društva i telekom operatori, posebno oni koji su dio međunarodnih grupa i primjenjuju njihove standarde zaštite podataka. Slično važi za hotele koji posluju pod međunarodnim brendovima i za IT kompanije koje rade za klijente iz EU.

„Najviše posla čeka mala i srednja preduzeća”, zaključuje ona.

Fokus izlaganja predavača Stefana Martinića bio je na temama: prava lica i postupanje po zahtjevima, evidencija obrada i procjena uticaja, ugovori sa obrađivačima i prenos podataka u inostranstvo. „Registar zbirki ličnih podataka prestaje da se vodi danom početka primjene novog zakona (čl. 99). Nema više prijavljivanja zbirki Agenciji, a umjesto toga, rukovalac i obrađivač sami vode evidenciju aktivnosti obrade (čl. 31). Evidencija se na zahtjev daje Agenciji na uvid, dok su izuzetak kompanije sa manje od 250 zaposlenih, osim ako obrada nosi rizik, nije povremena ili uključuje posebne kategorije podataka”, naveo je Martinić.

Takođe je govorio o tome kako se usklađenost organizuje i dokumentuje.

Ključni koraci do 19. marta 2027 su: imenovati odgovorno lice ili tim za projekat usklađivanja; mapirati sve obrade po odjeljenjima (HR, prodaja, marketing, IT, računovodstvo); uspostaviti evidenciju aktivnosti obrade; utvrditi pravni osnov za svaku obradu; za legitimni interes uraditi i dokumentovati test prije početka obrade; provjeriti saglasnosti, da li su slobodne, posebne i odvojene po svrhama; odrediti rokove čuvanja i postupak brisanja; ažurirati obavještenja o privatnosti, uspostaviti postupak za zahtjeve lica, uz rok od mjesec dana.

Takođe, između ostalog, neophodno je uraditi procjenu uticaja tamo gdje je obavezna, a po potrebi i prethodne konsultacije sa Agencijom, uvesti tehničke i organizacione mjere zaštite (pristupi, lozinke, šifrovanje, rezervne kopije), Ugraditi zaštitu podataka u nove aplikacije i procese od početka, uspostaviti postupak za povrede podataka, uz obavještenje Agenciji u roku od 72 sata i uskladiti video nadzor i praćenje zaposlenih.

Nakon predavanja uslijedila je diskusija tokom koje su učesnici seminara istakli primjere iz svog poslovanja i nedoumice koje se odnose na primjenu novog zakona.