Zakon o zaštiti podataka o ličnosti

Radi zaštite ljudskih prava i sloboda, a naročito prava na zaštitu podataka o ličnosti (u daljem tekstu: lični podaci), ovim zakonom utvrđuju se pravila koja se odnose na zaštitu fizičkih lica u vezi sa obradom ličnih podataka i pravila koja se odnose na slobodan protok ličnih podataka.

Ovaj zakon primjenjuje se na obradu ličnih podataka koja se u cjelini ili djelimično vrši automatizovanim sredstvima, kao i na obradu ličnih podataka koja se ne vrši automatizovanim sredstvima, ako su lični podaci dio sistema evidencije ili su namijenjeni da budu dio sistema evidencije.

Ovaj zakon ne primjenjuje se na obradu ličnih podataka koju:

1) vrši fizičko lice u okviru isključivo lične aktivnosti ili aktivnosti u domaćinstvu;

2) vrše nadležni organi u svrhu sprečavanja, istrage, otkrivanja ili gonjenja krivičnih djela ili izvršenja krivičnih sankcija, uključujući zaštitu od prijetnji javnoj bezbjednosti i njihovo sprečavanje.

Ovaj zakon primjenjuje se na obradu ličnih podataka u okviru aktivnosti poslovnog sjedišta rukovaoca ili obrađivača u Crnoj Gori, bez obzira na to da li se obrada vrši u Crnoj Gori ili van nje.

Ovaj zakon primjenjuje se na obradu ličnih podataka lica čiji se podaci obrađuju koja se nalaze u Crnoj Gori, od strane rukovaoca ili obrađivača koji nema poslovno sjedište u Crnoj Gori, kada su aktivnosti obrade povezane sa:

1) ponudom robe ili usluga tim licima u Crnoj Gori, bez obzira na to da li se od lica čiji se podaci obrađuju zahtijeva plaćanje; ili

2) praćenjem njihovog ponašanja, u mjeri u kojoj se to ponašanje odvija na teritoriji Crne Gore.

Ovaj zakon primjenjuje se na obradu ličnih podataka koju vrši rukovalac koji nema poslovno sjedište u Crnoj Gori, ali na mjestu na kojem se pravo Crne Gore primjenjuje na osnovu međunarodnog javnog prava.

Izrazi koji se u ovom zakonu koriste za fizička lica u muškom rodu podrazumijevaju iste izraze u ženskom rodu.

Izrazi upotrijebljeni u ovom zakonu imaju sljedeća značenja:

1) lični podaci su svi podaci koji se odnose na fizičko lice čiji je identitet utvrđen ili se može utvrditi („lice čiji se podaci obrađuju“), a fizičko lice čiji se identitet može utvrditi je lice koje se može identifikovati neposredno ili posredno, naročito na osnovu identifikatora kao što su ime, identifikacioni broj, podaci o lokaciji, mrežni identifikator ili jednog ili više obilježja koja su svojstvena njegovom fizičkom, fiziološkom, genetskom, mentalnom, ekonomskom, kulturnom ili društvenom identitetu;

2) obrada je svaka radnja ili skup radnji koje se vrše nad ličnim podacima ili skupovima ličnih podataka, bilo automatizovanim ili neautomatizovanim sredstvima, kao što su prikupljanje, evidentiranje, organizovanje, strukturiranje, čuvanje, prilagođavanje ili izmjena, pronalaženje, uvid, korišćenje, otkrivanje prenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombinovanje, ograničavanje, brisanje ili uništavanje;

3) ograničavanje obrade je označavanje sačuvanih ličnih podataka radi ograničavanja njihove obrade u budućnosti;

4) profilisanje je svaki oblik automatizovane obrade ličnih podataka koji se sastoji od korišćenja ličnih podataka radi ocjene određenih ličnih aspekata fizičkog lica, a naročito radi analize ili predviđanja aspekata koji se odnose na radni učinak tog fizičkog lica, njegovu ekonomsku situaciju, zdravstveno stanje, lične sklonosti, interesovanja, pouzdanost, ponašanje, lokaciju ili kretanje;

5) pseudonimizacija je obrada ličnih podataka na način da se lični podaci više ne mogu pripisati određenom licu čiji se podaci obrađuju bez korišćenja dodatnih informacija, pod uslovom da se te dodatne informacije čuvaju odvojeno i da podliježu tehničkim i organizacionim mjerama kojima se obezbjeđuje da se lični podaci ne mogu pripisati fizičkom licu čiji je identitet utvrđen ili se može utvrditi;

6) sistem evidencije je svaki strukturirani skup ličnih podataka koji je dostupan prema posebnim kriterijumima, bez obzira na to da li je centralizovan, decentralizovan ili raspoređen na funkcionalnoj ili geografskoj osnovi;

7) rukovalac je fizičko ili pravno lice, državni organ, organ državne uprave, organ lokalne samouprave, agencija ili drugo tijelo koje samostalno ili zajedno sa drugima određuje svrhe i sredstva obrade ličnih podataka; kada su svrhe i sredstva takve obrade utvrđeni zakonom, rukovalac ili posebni kriterijumi za njegovo određivanje mogu biti propisani tim zakonom;

8) obrađivač je fizičko ili pravno lice, državni organ, organ državne uprave, organ lokalne samouprave, agencija ili drugo tijelo koje obrađuje lične podatke u ime rukovaoca;

9) primalac je fizičko ili pravno lice, državni organ, organ državne uprave, organ lokalne samouprave, agencija ili drugo tijelo kojem se otkrivaju lični podaci, bez obzira na to da li je riječ o trećoj strani. Međutim, državni organi i drugi organi javne vlasti koji mogu primiti lične podatke u okviru određene istrage u skladu sa zakonom ne smatraju se primaocima; obrada tih podataka od strane tih organa mora biti u skladu sa pravilima o zaštiti ličnih podataka koja se primjenjuju u skladu sa svrhom obrade;

10) treća strana je fizičko ili pravno lice, državni organ, organ državne uprave, organ lokalne samouprave, agencija ili drugo tijelo, osim lica čiji se podaci obrađuju, rukovaoca, obrađivača i lica koja su pod neposrednim ovlašćenjem rukovaoca ili obrađivača ovlašćena za obradu ličnih podataka;

11) pristanak lica čiji se podaci obrađuju je svako dobrovoljno, konkretno, informisano i nedvosmisleno izražavanje volje tog lica kojim ono izjavom ili jasnom potvrdnom radnjom daje saglasnost za obradu ličnih podataka koji se na njega odnose;

12) povreda ličnih podataka je povreda bezbjednosti koja dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlašćenog otkrivanja ili pristupa ličnim podacima koji su preneseni, sačuvani ili na drugi način obrađivani;

13) genetski podaci su lični podaci koji se odnose na naslijeđena ili stečena genetska obilježja fizičkog lica koja pružaju jedinstvene informacije o fiziologiji ili zdravstvenom stanju tog fizičkog lica i koji su dobijeni naročito analizom biološkog uzorka tog fizičkog lica;

14) biometrijski podaci su lični podaci dobijeni posebnom tehničkom obradom koji se odnose na fizička, fiziološka ili bihevioralna obilježja fizičkog lica, a koji omogućavaju ili potvrđuju jedinstvenu identifikaciju tog fizičkog lica, kao što su prikazi lica ili daktiloskopski podaci;

15) podaci o zdravlju su lični podaci koji se odnose na fizičko ili mentalno zdravlje fizičkog lica, uključujući pružanje zdravstvenih usluga, a koji otkrivaju informacije o njegovom zdravstvenom stanju;

16) predstavnik je fizičko ili pravno lice sa poslovnim sjedištem u Crnoj Gori koje, na osnovu pisanog ovlašćenja rukovaoca ili obrađivača u skladu sa članom 28 ovog zakona, predstavlja rukovaoca ili obrađivača u pogledu njihovih obaveza iz ovog zakona;

17) privredni subjekt je fizičko ili pravno lice koje obavlja privrednu djelatnost, bez obzira na njegov pravni oblik, uključujući partnerstva ili udruženja koja redovno obavljaju privrednu djelatnost;

18) grupa privrednih društava je matično privredno društvo i njegova zavisna privredna društva;

19) obavezujuća korporativna pravila su pravila o zaštiti ličnih podataka kojih se pridržava rukovalac ili obrađivač sa poslovnim sjedištem u Crnoj Gori u vezi sa prenosom ili skupom prenosa ličnih podataka rukovaocu ili obrađivaču u jednoj ili više trećih država u okviru grupe privrednih društava ili grupe privrednih subjekata koji obavljaju zajedničku privrednu djelatnost;

20) nadzorni organ je nezavisni organ javne vlasti koji je osnovala Crna Gora u skladu sa članom 52 ovog zakona;

21) usluga informacionog društva je usluga koja se pruža na daljinu, elektronskim putem i na pojedinačni zahtjev primaoca usluge, u skladu sa propisima kojima se uređuju usluge informacionog društva.

22) međunarodna organizacija je organizacija i njena podređena tijela uređena međunarodnim javnim pravom ili bilo koje drugo tijelo koje je osnovano na osnovu sporazuma između dvije ili više država ili u skladu sa takvim sporazumom.

Lični podaci moraju biti:

1) obrađivani zakonito, pravično i transparentno u odnosu na lice čiji se podaci obrađuju („zakonitost, pravičnost i transparentnost“);

2) prikupljeni u određene, izričite i legitimne svrhe i ne smiju se dalje obrađivati na način koji nije u skladu sa tim svrhama; dalja obrada u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe, u skladu sa članom 95 ovog zakona, ne smatra se obradom koja nije u skladu sa prvobitnim svrhama („ograničenje svrhe“);

3) primjereni, relevantni i ograničeni na ono što je neophodno u odnosu na svrhe u koje se obrađuju („smanjenje obima podataka“);

4) tačni i, kada je to potrebno, ažurirani; moraju se preduzeti sve razumne mjere kako bi se obezbijedilo da se lični podaci koji nijesu tačni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave („tačnost“);

5) čuvani u obliku koji omogućava identifikaciju lica čiji se podaci obrađuju ne duže nego što je neophodno za svrhe u koje se lični podaci obrađuju; lični podaci mogu se čuvati duži period ukoliko se obrađuju isključivo u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe, u skladu sa članom 95 ovog zakona, uz primjenu odgovarajućih tehničkih i organizacionih mjera propisanih ovim zakonom radi zaštite prava i sloboda lica čiji se podaci obrađuju („ograničenje čuvanja“);

6) obrađivani na način kojim se obezbjeđuje odgovarajuća bezbjednost ličnih podataka, uključujući zaštitu od neovlašćene ili nezakonite obrade i od slučajnog gubitka, uništenja ili oštećenja, primjenom odgovarajućih tehničkih ili organizacionih mjera („integritet i povjerljivost“).

Rukovalac je odgovoran za usklađenost sa stavom 1 ovog člana i mora biti u mogućnosti da dokaže tu usklađenost („odgovornost“).

Obrada je zakonita samo ako je ispunjen najmanje jedan od sljedećih uslova:

1) lice čiji se podaci obrađuju dalo je saglasnost za obradu svojih ličnih podataka u jednu ili više određenih svrha;

2) obrada je neophodna za izvršenje ugovora u kojem je lice čiji se podaci obrađuju ugovorna strana ili radi preduzimanja radnji na zahtjev tog lica prije zaključenja ugovora;

3) obrada je neophodna radi ispunjenja zakonske obaveze koja se primjenjuje na rukovaoca;

4) obrada je neophodna radi zaštite životno važnih interesa lica čiji se podaci obrađuju ili drugog fizičkog lica;

5) obrada je neophodna za izvršavanje zadatka od javnog interesa ili u okviru vršenja službenih ovlašćenja povjerenih rukovaocu;

6) obrada je neophodna radi ostvarivanja legitimnih interesa rukovaoca ili treće strane, osim kada su od tih interesa jači interesi ili osnovna prava i slobode lica čiji se podaci obrađuju koji zahtijevaju zaštitu ličnih podataka, naročito kada je lice čiji se podaci obrađuju dijete.

Stav 1 tačka 6 ovog člana ne primjenjuje se na obradu koju vrše organi javne vlasti u okviru izvršavanja svojih zadataka.

Svrha obrade određuje se tim pravnim osnovom ili, kada je riječ o obradi iz stava 1 tačka 5 ovog člana, mora biti neophodna za izvršavanje zadatka od javnog interesa ili u okviru vršenja službenih ovlašćenja povjerenih rukovaocu. Tim pravnim osnovom mogu se utvrditi posebne odredbe kojima se prilagođava primjena pravila ovog zakona, naročito: opšti uslovi koji uređuju zakonitost obrade od strane rukovaoca; vrste podataka koji su predmet obrade; lica čiji se podaci obrađuju; subjekti kojima se lični podaci mogu otkriti i svrhe u koje se mogu otkriti; ograničenje svrhe; rokovi čuvanja; kao i radnje obrade i postupci obrade, uključujući mjere kojima se obezbjeđuje zakonita i pravična obrada, kao što su mjere za druge posebne situacije obrade predviđene Poglavljem IX ovog zakona.

Pravni osnov mora odgovarati cilju od javnog interesa i biti srazmjeran legitimnom cilju koji se nastoji ostvariti.

Kada se obrada u svrhu koja se razlikuje od svrhe za koju su lični podaci prikupljeni ne zasniva na saglasnosti lica čiji se podaci obrađuju ili na zakonu koji predstavlja neophodnu i srazmjernu mjeru u demokratskom društvu radi zaštite ciljeva iz člana 24 stav 1 ovog zakona, rukovalac, radi utvrđivanja da li je obrada u drugu svrhu u skladu sa svrhom za koju su lični podaci prvobitno prikupljeni, uzima u obzir naročito:

1) svaku vezu između svrha u koje su lični podaci prikupljeni i svrha namjeravane dalje obrade;

2) okolnosti u kojima su lični podaci prikupljeni, naročito odnos između lica čiji se podaci obrađuju i rukovaoca;

3) prirodu ličnih podataka, naročito da li se obrađuju posebne kategorije ličnih podataka u skladu sa članom 10 ovog zakona ili se obrađuju lični podaci koji se odnose na krivične osude i krivična djela u skladu sa članom 11 ovog zakona;

4) moguće posljedice namjeravane dalje obrade za lica čiji se podaci obrađuju;

5) postojanje odgovarajućih zaštitnih mjera, koje mogu uključivati enkripciju ili pseudonimizaciju.

Kada se obrada zasniva na saglasnosti, rukovalac mora biti u mogućnosti da dokaže da je lice čiji se podaci obrađuju dalo saglasnost za obradu svojih ličnih podataka.

Ako je saglasnost lica čiji se podaci obrađuju data u okviru pisane izjave koja se odnosi i na druga pitanja, zahtjev za davanje saglasnosti mora biti predstavljen na način koji se jasno razlikuje od drugih pitanja, u razumljivom i lako dostupnom obliku, uz upotrebu jasnog i jednostavnog jezika. Svaki dio takve izjave koji predstavlja povredu ovog zakona nije obavezujući.

Lice čiji se podaci obrađuju ima pravo da u svakom trenutku povuče svoju saglasnost. Povlačenje saglasnosti ne utiče na zakonitost obrade zasnovane na saglasnosti prije njenog povlačenja. Prije davanja saglasnosti, lice čiji se podaci obrađuju mora biti obaviješteno o tom pravu. Povlačenje saglasnosti mora biti jednako jednostavno kao i njeno davanje.

Prilikom procjene da li je saglasnost slobodno data, naročito se uzima u obzir da li je, između ostalog, izvršenje ugovora, uključujući pružanje usluge, uslovljeno davanjem saglasnosti za obradu ličnih podataka koja nije neophodna za izvršenje tog ugovora.

Kada se primjenjuje član 7 stav 1 tačka 1 ovog zakona, u vezi sa neposrednim pružanjem usluga informacionog društva djetetu, obrada ličnih podataka djeteta zakonita je ako dijete ima najmanje 16 godina. Ako je dijete mlađe od 16 godina, takva obrada zakonita je samo ako je, i u mjeri u kojoj je, saglasnost dao ili odobrio nosilac roditeljskog prava nad djetetom, u skladu sa zakonom.

Rukovalac je dužan da uloži razumne napore da, u takvim slučajevima, provjeri da je saglasnost dao ili odobrio nosilac roditeljskog prava nad djetetom, uzimajući u obzir dostupnu tehnologiju.

Stav 1 ovog člana ne utiče na primjenu opštih pravila ugovornog prava, kao što su pravila o punovažnosti, zaključenju ili dejstvu ugovora u odnosu na dijete.

Zabranjena je obrada ličnih podataka kojima se otkriva rasno ili etničko porijeklo, političko mišljenje, vjerska ili filozofska uvjerenja ili članstvo u sindikatu, kao i obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije fizičkog lica, podataka o zdravlju ili podataka koji se odnose na seksualni život ili seksualnu orijentaciju fizičkog lica.

Stav 1 ovog člana ne primjenjuje se ako je ispunjen jedan od sljedećih uslova:

1) lice čiji se podaci obrađuju dalo je izričitu saglasnost za obradu tih ličnih podataka u jednu ili više određenih svrha, osim ako je zakonom propisano da se zabrana iz stava 1 ovog člana ne može ukinuti saglasnošću lica čiji se podaci obrađuju;

2) obrada je neophodna radi izvršavanja obaveza i ostvarivanja posebnih prava rukovaoca ili lica čiji se podaci obrađuju u oblasti radnog prava, prava socijalne sigurnosti i socijalne zaštite, kada je takva obrada dozvoljena zakonom ili kolektivnim ugovorom kojim se predviđaju odgovarajuće zaštitne mjere za osnovna prava i interese lica čiji se podaci obrađuju;

3) obrada je neophodna radi zaštite životno važnih interesa lica čiji se podaci obrađuju ili drugog fizičkog lica, kada lice čiji se podaci obrađuju fizički ili pravno nije sposobno da da saglasnost;

4) obrada se vrši, uz odgovarajuće zaštitne mjere, u okviru zakonitih aktivnosti fondacije, udruženja ili drugog neprofitnog tijela koje ima politički, filozofski, vjerski ili sindikalni cilj, pod uslovom da se obrada odnosi isključivo na članove, bivše članove tog tijela ili lica koja imaju redovan kontakt sa tim tijelom u vezi sa njegovim ciljevima i da se lični podaci ne otkrivaju izvan tog tijela bez saglasnosti lica čiji se podaci obrađuju;

5) obrada se odnosi na lične podatke koje je lice čiji se podaci obrađuju očigledno učinilo javnim;

6) obrada je neophodna radi uspostavljanja, ostvarivanja ili odbrane pravnih zahtjeva ili kada sudovi postupaju u okviru svoje sudske nadležnosti;

7) obrada je neophodna iz razloga od suštinskog javnog interesa, na osnovu zakona koji mora biti srazmjeran cilju koji se nastoji ostvariti, poštovati suštinu prava na zaštitu podataka i predvidjeti odgovarajuće i posebne mjere za zaštitu osnovnih prava i interesa lica čiji se podaci obrađuju;

8) obrada je neophodna u svrhe preventivne medicine ili medicine rada, za procjenu radne sposobnosti zaposlenog, medicinsku dijagnozu, pružanje zdravstvene ili socijalne zaštite ili liječenja ili upravljanje sistemima i uslugama zdravstvene ili socijalne zaštite, na osnovu zakona ili u skladu sa ugovorom sa zdravstvenim radnikom, uz primjenu uslova i zaštitnih mjera iz stava 3 ovog člana;

9) obrada je neophodna iz razloga javnog interesa u oblasti javnog zdravlja, kao što su zaštita od ozbiljnih prekograničnih prijetnji zdravlju ili obezbjeđivanje visokih standarda kvaliteta i bezbjednosti zdravstvene zaštite, ljekova ili medicinskih sredstava, na osnovu zakona kojim se predviđaju odgovarajuće i posebne mjere za zaštitu prava i sloboda lica čiji se podaci obrađuju, naročito obaveza čuvanja profesionalne tajne;

10) obrada je neophodna u svrhe arhiviranja u javnom interesu, u svrhe naučnog ili istorijskog istraživanja ili u statističke svrhe, u skladu sa članom 95 stav 1 ovog zakona, na osnovu zakona koji mora biti srazmjeran cilju koji se nastoji ostvariti, poštovati suštinu prava na zaštitu podataka i predvidjeti odgovarajuće i posebne mjere za zaštitu osnovnih prava i interesa lica čiji se podaci obrađuju.

Lični podaci iz stava 1 ovog člana mogu se obrađivati u svrhe iz stava 2 tačka 8 ovog člana kada te podatke obrađuje ili za čiju je obradu odgovoran stručnjak koji je, u skladu sa zakonom ili pravilima koja su utvrdili nadležni organi, obavezan da čuva profesionalnu tajnu, ili drugo lice koje je takođe obavezno da čuva tajnost u skladu sa zakonom ili pravilima koja su utvrdili nadležni organi.

Obrada ličnih podataka koji se odnose na krivične osude i krivična djela ili povezane bezbjednosne mjere, na osnovu člana 7 stav 1 ovog zakona, vrši se samo pod nadzorom službenog organa ili kada je obrada dozvoljena zakonom kojim se predviđaju odgovarajuće zaštitne mjere za prava i slobode lica čiji se podaci obrađuju. Svaki sveobuhvatni registar krivičnih osuda vodi se isključivo pod nadzorom službenog organa.

Ako svrhe u koje rukovalac obrađuje lične podatke ne zahtijevaju ili više ne zahtijevaju identifikaciju lica čiji se podaci obrađuju od strane rukovaoca, rukovalac nije dužan da čuva, pribavlja ili obrađuje dodatne informacije radi identifikacije lica čiji se podaci obrađuju isključivo u svrhu usklađivanja sa ovim zakonom.

Kada, u slučajevima iz stava 1 ovog člana, rukovalac može dokazati da nije u mogućnosti da identifikuje lice čiji se podaci obrađuju, rukovalac će o tome obavijestiti lice čiji se podaci obrađuju, ako je to moguće. U takvim slučajevima čl. 16 do 21 ovog zakona ne primjenjuju se, osim kada lice čiji se podaci obrađuju, radi ostvarivanja svojih prava iz tih članova, dostavi dodatne informacije koje omogućavaju njegovu identifikaciju.

Rukovalac preduzima odgovarajuće mjere kako bi licu čiji se podaci obrađuju pružio sve informacije iz čl. 14 i 15 ovog zakona, kao i svaku komunikaciju u vezi sa obradom iz čl. 16 do 23 i člana 35 ovog zakona, u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz upotrebu jasnog i jednostavnog jezika, naročito kada su informacije posebno namijenjene djetetu. Informacije se pružaju u pisanom obliku ili drugim sredstvima, uključujući, kada je to odgovarajuće, elektronskim putem. Na zahtjev lica čiji se podaci obrađuju, informacije se mogu pružiti usmeno, pod uslovom da je identitet tog lica dokazan na drugi način.

Rukovalac olakšava ostvarivanje prava lica čiji se podaci obrađuju iz čl. 16 do 23 ovog zakona. U slučajevima iz člana 12 stav 2 ovog zakona, rukovalac ne smije odbiti postupanje po zahtjevu lica čiji se podaci obrađuju za ostvarivanje njegovih prava iz čl. 16 do 23 ovog zakona, osim ako rukovalac dokaže da nije u mogućnosti da identifikuje to lice.

Rukovalac bez nepotrebnog odlaganja, a najkasnije u roku od mjesec dana od dana prijema zahtjeva, pruža licu čiji se podaci obrađuju informacije o postupanju po zahtjevu iz čl. 16 do 23 ovog zakona. Taj rok može biti produžen za još najviše dva mjeseca kada je to potrebno, uzimajući u obzir složenost i broj zahtjeva. Rukovalac obavještava lice čiji se podaci obrađuju o svakom takvom produženju u roku od mjesec dana od dana prijema zahtjeva, zajedno sa razlozima za kašnjenje. Kada lice čiji se podaci obrađuju podnese zahtjev elektronskim putem, informacije se pružaju elektronskim putem kada je to moguće, osim ako lice čiji se podaci obrađuju ne zahtijeva drugačije.

Ako rukovalac ne postupi po zahtjevu lica čiji se podaci obrađuju, dužan je da bez odlaganja, a najkasnije u roku od mjesec dana od dana prijema zahtjeva, obavijesti to lice o razlozima zbog kojih nije postupio po zahtjevu i o mogućnosti podnošenja pritužbe nadzornom organu i ostvarivanja sudske zaštite.

Informacije koje se pružaju u skladu sa čl. 14 i 15 ovog zakona, kao i svaka komunikacija i sve radnje preduzete u skladu sa čl. 16 do 23 i članom 35 ovog zakona, pružaju se bez naknade. Kada su zahtjevi lica čiji se podaci obrađuju očigledno neosnovani ili pretjerani, naročito zbog njihove ponavljajuće prirode, rukovalac može:

1) naplatiti razumnu naknadu uzimajući u obzir administrativne troškove pružanja informacija ili komunikacije ili preduzimanja tražene radnje; ili

2) odbiti postupanje po zahtjevu.

Teret dokazivanja da je zahtjev očigledno neosnovan ili pretjeran snosi rukovalac.

Ne isključujući primjenu člana 12 ovog zakona, kada rukovalac ima opravdane sumnje u vezi sa identitetom fizičkog lica koje podnosi zahtjev iz čl. 16 do 22 ovog zakona, rukovalac može zahtijevati dostavljanje dodatnih informacija neophodnih za potvrdu identiteta lica čiji se podaci obrađuju.

Informacije koje se pružaju licima čiji se podaci obrađuju u skladu sa čl. 14 i 15 ovog zakona mogu se pružiti zajedno sa standardizovanim ikonama kako bi se na lako uočljiv, razumljiv i jasno čitljiv način dao smislen pregled namjeravane obrade. Kada se ikone prikazuju elektronskim putem, moraju biti mašinski čitljive.

Kada se lični podaci koji se odnose na lice čiji se podaci obrađuju prikupljaju od tog lica, rukovalac je dužan da, u trenutku prikupljanja ličnih podataka, tom licu pruži sljedeće informacije:

1) identitet i kontakt podatke rukovaoca i, kada je primjenjivo, predstavnika rukovaoca;

2) kontakt podatke službenika za zaštitu podataka, kada je primjenjivo;

3) svrhe obrade za koje su lični podaci namijenjeni, kao i pravni osnov za obradu;

4) kada se obrada zasniva na članu 7 stav 1 tačka 6 ovog zakona, legitimne interese koje ostvaruje rukovalac ili treća strana;

5) primaoce ili kategorije primalaca ličnih podataka, ako postoje;

6) kada je primjenjivo, informaciju da rukovalac namjerava da prenese lične podatke u treću državu ili međunarodnu organizaciju, kao i informaciju o postojanju ili nepostojanju odluke o adekvatnosti koju je donio nadzorni organ, odnosno, u slučaju prenosa iz čl. 47 ili 48 ili člana 50 stav 1 ovog zakona, upućivanje na odgovarajuće ili primjerene zaštitne mjere i način na koji se može dobiti kopija tih mjera ili mjesto gdje su dostupne.

Pored informacija iz stava 1 ovog člana, rukovalac je dužan da, u trenutku prikupljanja ličnih podataka, licu čiji se podaci obrađuju pruži i sljedeće dodatne informacije neophodne za obezbjeđivanje pravične i transparentne obrade:

1) rok u kojem će se lični podaci čuvati ili, ako to nije moguće, kriterijume koji se koriste za određivanje tog roka;

2) postojanje prava da se od rukovaoca zahtijeva pristup ličnim podacima, njihova ispravka ili brisanje, kao i ograničavanje obrade koja se odnosi na lice čiji se podaci obrađuju, ili prava na prigovor na obradu, kao i pravo na prenosivost podataka;

3) kada se obrada zasniva na članu 7 stav 1 tačka 1 ili članu 10 stav 2 tačka 1 ovog zakona, postojanje prava na povlačenje saglasnosti u bilo kom trenutku, bez uticaja na zakonitost obrade zasnovane na saglasnosti prije njenog povlačenja;

4) pravo na podnošenje pritužbe nadzornom organu;

5) da li je davanje ličnih podataka zakonska ili ugovorna obaveza ili uslov neophodan za zaključenje ugovora, kao i informaciju da li je lice čiji se podaci obrađuju obavezno da dostavi lične podatke i o mogućim posljedicama nedostavljanja tih podataka;

6) postojanje automatizovanog donošenja odluka, uključujući profilisanje, iz člana 23 st. 1 i 4 ovog zakona, i, najmanje u tim slučajevima, značajne informacije o korišćenoj logici, kao i značaju i predviđenim posljedicama takve obrade za lice čiji se podaci obrađuju.

Kada rukovalac namjerava da dalje obrađuje lične podatke u svrhu koja se razlikuje od svrhe za koju su lični podaci prikupljeni, dužan je da prije takve dalje obrade licu čiji se podaci obrađuju pruži informacije o toj drugoj svrsi i sve relevantne dodatne informacije iz stava 2 ovog člana.

St. 1, 2 i 3 ovog člana ne primjenjuju se kada i u mjeri u kojoj lice čiji se podaci obrađuju već posjeduje te informacije.