Zakon o zaštiti podataka o ličnosti koje obrađuju nadležni organi u svrhu sprečavanja, istraživanja, otkrivanja ili gonjenja krivičnih djela ili izvršenja krivičnih sankcija

Ovim zakonom utvrđuju se pravila i postupci za zaštitu fizičkih lica u vezi sa obradom podataka o ličnosti koju vrše nadležni organi u svrhu sprečavanja, istraživanja, otkrivanja ili gonjenja krivičnih djela ili izvršenja krivičnih sankcija, uključujući zaštitu od prijetnji javnoj bezbjednosti i njihovo sprečavanje, uz obezbjeđivanje zaštite osnovnih prava i sloboda fizičkih lica, a naročito njihovog prava na zaštitu podataka o ličnosti.

Ovaj zakon primjenjuje se na obradu podataka o ličnosti koju vrše nadležni organi za svrhe utvrđene u članu 1 ovog zakona, bez obzira na to da li se obrada vrši automatizovanim ili neautomatizovanim putem, pod uslovom da neautomatizovana obrada čini dio zbirke podataka ili je namijenjena da čini dio zbirke podataka.

Ovaj zakon primjenjuje se na obradu podataka o ličnosti za svrhe utvrđene u članu 1 ovog zakona, koju vrše nadležni organi osnovani u Crnoj Gori i obrađivači koji postupaju u njihovo ime, bez obzira na to da li se obrada vrši na teritoriji Crne Gore.

Izrazi upotrijebljeni u ovom zakonu u muškom rodu za fizička lica obuhvataju iste izraze u ženskom rodu.

Izrazi upotrijebljeni u ovom zakonu imaju sljedeće značenje:

1) podaci o ličnosti su sve informacije koje se odnose na identifikovano ili odredivo fizičko lice („lice na koje se podaci odnose“);

2) izrada profila ličnosti jeste svaki oblik automatizovane obrade podataka o ličnosti koji se sastoji u korišćenju podataka o ličnosti radi ocjene određenih ličnih obilježja lica, naročito radi analize ili predviđanja rezultata koji se odnose na radni učinak, ekonomsko stanje, zdravstveno stanje, lične okolnosti, interesovanja, pouzdanost, ponašanje, kretanje ili lokaciju tog lica;

3) obrada podataka o ličnosti je svaka radnja koja se vrši na podacima o ličnosti, automatskim putem ili na drugi način, kao što su prikupljanje, evidentiranje, organizovanje, strukturiranje, čuvanje, prilagođavanje ili izmjena, preuzimanje, uvid u podatke o ličnosti, korišćenje, otkrivanje, prenos u drugu državu ili međunarodnu organizaciju, objavljivanje ili omogućavanje pristupa na drugi način, razvrstavanje ili povezivanje, ograničavanje, brisanje ili uništavanje podataka o ličnosti.

4) lice jeste fizičko lice čiji je identitet utvrđen ili se može utvrditi, neposredno ili posredno, naročito povezivanjem sa identifikacionom oznakom ili jednim ili više obilježja koja su svojstvena njegovom fizičkom, fiziološkom, genetskom, mentalnom, ekonomskom, kulturnom ili društvenom identitetu;

5) ograničenje obrade je označavanje pohranjenih podataka o ličnosti radi ograničavanja njihove buduće obrade;

6) pseudonimizacija jeste obrada podataka o ličnosti na način da se podaci o ličnosti više ne mogu povezati sa licem na koje se odnose bez korišćenja dodatnih informacija, pod uslovom da se te dodatne informacije čuvaju odvojeno i da su preduzete tehničke i organizacione mjere kojima se obezbjeđuje da se podaci o ličnosti ne mogu povezati sa licem čiji je identitet utvrđen ili se može utvrditi;

7) sistem za pohranu podataka jeste svaki strukturisani skup podataka o ličnosti koji je dostupan prema posebnim kriterijumima, bez obzira na to da li je centralizovan, decentralizovan ili raspoređen na funkcionalnoj ili teritorijalnoj osnovi;

8) nadležni organi su organi nadležni za sprečavanje, istragu, otkrivanje ili krivično gonjenje učinilaca krivičnih djela ili izvršenje krivičnih sankcija, uključujući zaštitu od prijetnji javnoj bezbjednosti i sprečavanje takvih prijetnji, kao i svaki drugi organ ili tijelo kojem je zakonom povjereno vršenje javne vlasti i javnih ovlašćenja u te svrhe.

9) rukovalac zbirke podataka o ličnosti je nadležni organ koji samostalno ili zajedno sa drugim organima određuje svrhe i sredstva obrade podataka o ličnosti. Kada su svrhe i sredstva takve obrade određeni zakonom, tim zakonom može biti određen i rukovalac ili posebni kriterijumi za njegovo određivanje.

10) zajednički rukovaoci zbirke podataka o ličnosti jesu rukovaoci dva ili više nadležnih organa koji zajednički određuju svrhu i način obrade podataka o ličnosti;

11) obrađivač podataka o ličnosti jeste fizičko ili pravno lice, organ javne vlasti ili drugo tijelo koje obrađuje podatke o ličnosti po nalogu rukovaoca zbirke podataka o ličnosti;

12) korisnik je fizičko ili pravno lice, organ javne vlasti, nadzorni organ ili drugo tijelo kojem se podaci o ličnosti otkrivaju, bez obzira na to da li je riječ o trećem licu. Organi javne vlasti koji mogu primiti podatke o ličnosti u okviru posebne istrage, u skladu sa zakonom, ne smatraju se korisnicima, a obrada tih podataka od strane tih organa mora biti u skladu sa primjenjivim pravilima o zaštiti podataka o ličnosti.

13) povreda podataka o ličnosti jeste povreda bezbjednosti koja dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlašćenog otkrivanja ili pristupa podacima o ličnosti koji su preneseni, sačuvani ili na drugi način obrađivani;

14) genetski podaci jesu podaci o ličnosti koji se odnose na naslijeđena ili stečena genetska obilježja lica, a koji pružaju jedinstvene informacije o fiziologiji ili zdravstvenom stanju tog lica i dobijeni su analizom biološkog uzorka tog lica;

15) biometrijski podaci jesu podaci o ličnosti dobijeni posebnom tehničkom obradom koji se odnose na fizička, fiziološka ili bihevioralna obilježja lica, a koji omogućavaju ili potvrđuju njegovu jedinstvenu identifikaciju, kao što su fotografije lica ili daktiloskopski podaci;

16) podaci koji se odnose na zdravlje su podaci o ličnosti koji se odnose na fizičko ili mentalno zdravlje lica, uključujući podatke o pružanju zdravstvenih usluga na osnovu kojih se mogu otkriti informacije o zdravstvenom stanju tog lica.

17) nadzorni organ je nezavisni i samostalni organ (u daljem tekstu: Agencija za zaštitu podataka o ličnosti i slobodan pristup informacijama) koji vrši nadzor nad zaštitom podataka o ličnosti.

18) međunarodna organizacija jeste organizacija i njeni organi osnovani u skladu sa međunarodnim javnim pravom ili bilo koje drugo tijelo osnovano sporazumom ili na osnovu sporazuma između dvije ili više država.

Obrada podataka o ličnosti zasniva se na sljedećim načelima:

1) zakonitosti i poštenja, što podrazumijeva da se podaci o ličnosti moraju obrađivati na pošten, zakonit i transparentan način (u daljem tekstu: zakonitost i poštenje);

2) ograničenje svrhe podrazumijeva da se podaci o ličnosti mogu prikupljati u konkretne, izričite i zakonite svrhe i da se ne smiju dalje obrađivati na način koji nije u skladu sa tim svrhama (u daljem tekstu: ograničenje svrhe).

3) srazmjernosti i primjerenosti, što podrazumijeva da podaci o ličnosti moraju biti primjereni, relevantni i ograničeni na ono što je neophodno u odnosu na svrhe u koje se obrađuju (u daljem tekstu: minimizacija podataka);

4) tačnost podataka podrazumijeva da podaci o ličnosti koji se obrađuju moraju biti tačni i, prema potrebi, ažurirani, kao i da se preduzimaju sve potrebne mjere kako bi se obezbijedilo da netačni podaci o ličnosti, uzimajući u obzir svrhe za koje se obrađuju, budu bez odlaganja izbrisani ili ispravljeni (u daljem tekstu: tačnost).

5) ograničenja čuvanja, što podrazumijeva da se podaci o ličnosti čuvaju u obliku koji omogućava identifikaciju lica samo onoliko dugo koliko je neophodno za ostvarivanje svrha zbog kojih se podaci o ličnosti obrađuju (u daljem tekstu: ograničenje čuvanja);

6) cjelovitost i povjerljivost podrazumijeva da se podaci o ličnosti obrađuju na način kojim se obezbjeđuje zaštita od neovlašćene ili nezakonite obrade, gubitka, oštećenja ili uništenja, kao i druga odgovarajuća zaštita podataka o ličnosti, primjenom odgovarajućih tehničkih ili organizacionih mjera (u daljem tekstu: cjelovitost i povjerljivost).

7) obrada koju vrši isti ili drugi rukovalac zbirke podataka o ličnosti može obuhvatiti arhiviranje u javnom interesu, kao i obradu u naučne, statističke ili istorijske svrhe, radi ostvarivanja svrha iz člana 1 ovog zakona, uz primjenu odgovarajućih mjera zaštite.

Rukovalac zbirke podataka o ličnosti odgovoran je za primjenu načela iz stava 1 ovog člana i dužan je da bude u mogućnosti da dokaže njihovu primjenu (u daljem tekstu: odgovornost).

Brisanje podataka o ličnosti, kao i periodično preispitivanje potrebe za čuvanjem podataka o ličnosti, rokovi za brisanje podataka o ličnosti i rokovi za preispitivanje moraju biti propisani zakonom.

Odgovarajuće procesne mjere utvrđuju se, u skladu sa zakonom, radi obezbjeđivanja poštovanja rokova iz stava 1 ovog člana.

Rukovalac zbirke podataka o ličnosti dužan je da, kada je to primjereno i u mjeri u kojoj je to moguće, jasno razlikuje podatke o ličnosti koji se odnose na različite kategorije lica na koja se podaci odnose, kao što su:

1) lica za koja postoje ozbiljni razlozi za vjerovanje da su izvršila ili će izvršiti krivično djelo;

2) lica pravosnažno osuđena za krivično djelo;

3) žrtve krivičnog djela ili lica u odnosu na koja postoje određene činjenice koje ukazuju na to da bi mogla biti žrtve krivičnog djela;

4) druga lica povezana sa krivičnim djelima, kao što su lica koja mogu biti pozvana da svjedoče u krivičnim istragama ili kasnijim krivičnim postupcima, lica koja mogu pružiti informacije o krivičnim djelima, kao i lica koja su u kontaktu ili su povezana sa jednim od lica iz tač. 1 i 2 ovog člana.

Rukovalac zbirke podataka o ličnosti dužan je da, kad god je to moguće, obezbijedi jasno razlikovanje podataka o ličnosti koji se zasnivaju na činjenicama od podataka o ličnosti koji se zasnivaju na subjektivnim procjenama.

Nadležni organi dužni su da preduzmu sve razumne mjere kako bi obezbijedili da se podaci o ličnosti koji su netačni, nepotpuni ili više nijesu ažurni ne prenose niti stavljaju na raspolaganje za korišćenje.

U tu svrhu, svaki nadležni organ dužan je da, kada je to izvodljivo, provjeri kvalitet podataka o ličnosti prije njihovog prenosa ili stavljanja na raspolaganje za korišćenje.

Prilikom prenosa podataka o ličnosti, nadležni organ, u najvećoj mogućoj mjeri, prilažu se potrebne informacije koje omogućavaju nadležnom organu koji prima podatke da procijeni stepen tačnosti, potpunosti i pouzdanosti podataka o ličnosti, kao i mjeru u kojoj su ti podaci ažurirani.

Ako se utvrdi da su preneseni podaci o ličnosti netačni ili da su preneseni nezakonito, primalac se o tome mora obavijestiti bez odlaganja.

U tom slučaju, podaci o ličnosti ispravljaju se, brišu ili se njihova obrada ograničava u skladu sa članom 18 ovog zakona.

Obrada podataka o ličnosti koju vrši nadležni organ za svrhe iz člana 1 ovog zakona zakonita je samo ako je i u mjeri u kojoj je neophodna za izvršavanje zadatka koji obavlja taj nadležni organ i ako je zasnovana na zakonu.

Zakonom kojim se uređuje obrada podataka o ličnosti u okviru primjene ovog zakona utvrđuju se najmanje ciljevi obrade, podaci o ličnosti koji se obrađuju i svrhe obrade.

Podaci o ličnosti koje su nadležni organi prikupili za svrhe utvrđene u članu 1 ovog zakona ne smiju se obrađivati u druge svrhe koje se razlikuju od tih svrha, osim ako je takva obrada izričito propisana posebnim zakonom, u kom slučaju se na takvu obradu primjenjuju odredbe zakona kojim se uređuje zaštita podataka o ličnosti.

Kada su nadležnim organima zakonom kojim se uređuje zaštita podataka o ličnosti povjereni drugi poslovi koji se razlikuju od svrha iz člana 1 ovog zakona, na obradu za te svrhe primjenjuju se odredbe tog zakona, uključujući obradu u svrhe arhiviranja u javnom interesu, naučnog ili istorijskog istraživanja ili u statističke svrhe, osim ako se obrada vrši u okviru aktivnosti koje ne spadaju u područje primjene prava Evropske unije.

Prilikom prenosa podataka, nadležni organ koji prenosi podatke o ličnosti obavještava primaoca o posebnim uslovima obrade utvrđenim zakonom i obavezi postupanja u skladu sa tim uslovima, pri čemu se ti uslovi ne primjenjuju na prenose u druge države članice Evropske unije ili organe osnovane na osnovu prava Evropske unije, osim ako bi se isti uslovi primjenjivali na slične prenose unutar Crne Gore.

Obrada podataka o ličnosti kojima se otkriva rasno ili etničko porijeklo, političko mišljenje, vjersko ili filozofsko uvjerenje ili članstvo u sindikatu, kao i obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije fizičkog lica, podataka koji se odnose na zdravlje, kao i podataka koji se odnose na seksualni život ili seksualnu orijentaciju lica (u daljem tekstu: posebne kategorije podataka o ličnosti), dozvoljena je samo kada je to strogo neophodno i uz primjenu odgovarajućih zaštitnih mjera za prava i slobode lica čiji se podaci obrađuju, i to samo:

1) kada je to propisano zakonom;

2) radi zaštite životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica; ili

3) kada se obrada odnosi na podatke koje je lice na koje se podaci odnose očigledno učinilo javno dostupnim.

Odluka se ne smije zasnivati isključivo na automatizovanoj obradi, uključujući profilisanje, koja proizvodi nepovoljne pravne posljedice za lice čiji se podaci obrađuju ili na njega značajno utiče, osim ako je to propisano zakonom i ako su uspostavljene odgovarajuće zaštitne mjere za zaštitu prava i sloboda lica čiji se podaci obrađuju, koje najmanje uključuju pravo na ljudsku intervenciju od strane rukovaoca.

Odluke iz stava 1 ovog člana ne mogu se zasnivati na posebnim kategorijama podataka o ličnosti iz člana 12 ovog zakona, osim ako su obezbijeđene odgovarajuće mjere zaštite prava i sloboda i legitimnih interesa lica na koje se podaci odnose.

Zabranjena je izrada profila ličnosti koja dovodi do diskriminacije fizičkih lica na osnovu posebnih kategorija podataka o ličnosti iz člana 12 ovog zakona.

Rukovalac zbirke podataka o ličnosti dužan je da obezbijedi preduzimanje svih razumnih mjera radi pružanja licu čiji se podaci obrađuju svih informacija iz člana 15 ovog zakona i dostavljanja svih obavještenja iz čl. 13, 16, 17, 18, 19, 20 i 33 ovog zakona u vezi sa obradom, u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz upotrebu jasnog i jednostavnog jezika.

Informacije se pružaju na odgovarajući način, uključujući i elektronskim putem. Po pravilu, rukovalac zbirke podataka o ličnosti pruža informacije u istom obliku u kojem je zahtjev podnesen.

Rukovalac je dužan da olakša ostvarivanje prava lica čiji se podaci obrađuju iz čl. 13, 16, 19 i 20 ovog zakona.

Rukovalac zbirke podataka o ličnosti dužan je da, bez nepotrebnog odlaganja, pisanim putem obavijesti lice na koje se podaci odnose o mjerama preduzetim povodom njegovog zahtjeva.

Rukovalac zbirke podataka o ličnosti dužan je da obezbijedi da se informacije pružene u skladu sa članom 15, kao i sva obavještenja ili mjere preduzete u skladu sa čl. 13, 16, 17, 18, 19, 20 i 33 ovog zakona u vezi sa obradom, pružaju odnosno preduzimaju bez naknade.

Ako su zahtjevi lica čiji se podaci obrađuju očigledno neosnovani ili pretjerani, naročito zbog njihove učestale ponovljene prirode, rukovalac zbirke podataka o ličnosti može:

1) naplatiti razumnu naknadu, uzimajući u obzir administrativne troškove pružanja informacija ili obavještenja, odnosno preduzimanja tražene radnje; ili

2) odbiti postupanje po zahtjevu.

Teret dokazivanja da je zahtjev očigledno neosnovan ili pretjeran snosi rukovalac zbirke podataka o ličnosti.

Ako rukovalac zbirke podataka o ličnosti ima opravdane sumnje u vezi sa identitetom fizičkog lica koje podnosi zahtjev iz čl. 16 i 18 ovog zakona, može zatražiti dodatne informacije neophodne za potvrđivanje identiteta lica čiji se podaci obrađuju.