sluzbenikBrza provjera u tri pitanja
Provjera je okvirna i zasnovana je na članu 38. Konačan zaključak zavisi od detalja vaše obrade.
Tri slučaja kada je DPO obavezan
Član 38 stav 1 propisuje da rukovalac i obrađivač moraju imenovati službenika za zaštitu podataka u tri situacije:
1. Javni sektor
Obradu vrši organ javne vlasti ili javno tijelo, bez obzira na veličinu. Izuzetak su samo sudovi kad postupaju u okviru sudske nadležnosti.
2. Sistematsko praćenje
Osnovna djelatnost zahtijeva redovno i sistematsko praćenje lica u velikom obimu - npr. praćenje lokacije, ponašanja ili profilisanje.
3. Osjetljivi podaci
Osnovna djelatnost obuhvata obimnu obradu posebnih kategorija (zdravlje, biometrija, genetika…) iz člana 10 ili podataka o krivičnim djelima iz člana 11.
„Osnovna djelatnost” je ključna riječ. Svaka firma obrađuje podatke zaposlenih i ima obračun plata, ali to su pomoćne aktivnosti. Kamera na ulazu u prodavnicu ili kontakt forma na sajtu same po sebi ne znače obavezu imenovanja DPO-a.
Postoje još tri pravila iz istog člana koja vrijedi znati:
- Grupa privrednih društava može imenovati jednog zajedničkog službenika, ako je lako dostupan iz svakog sjedišta.
- Više javnih tijela može imati jednog službenika, uzimajući u obzir njihovu organizaciju i veličinu.
- Dobrovoljno imenovanje je uvijek moguće, a posebni zakoni ga mogu i propisati. Na dobrovoljno imenovanog DPO-a primjenjuju se ista pravila kao na obaveznog.
Šta znači „veliki obim”
Zakon ne daje broj. U evropskoj praksi (smjernice evropskih nadzornih organa za DPO) procjena se pravi na osnovu četiri faktora:
Broj lica
Koliko ljudi je obuhvaćeno - apsolutno ili kao udio u relevantnoj populaciji.
Količina i vrste podataka
Koliko različitih podataka obrađujete o svakoj osobi.
Trajanje
Da li je obrada trajna ili jednokratna.
Geografski obuhvat
Jedan grad, cijela država ili više država.
Broj zaposlenih u vašoj firmi nije mjerilo. Mala firma koja upravlja podacima stotina hiljada korisnika može imati obavezu, a velika proizvodna firma bez osjetljivih podataka ne mora. Zaključak - bilo da DPO treba ili ne - preporučljivo je zapisati i preispitati kad se poslovanje promijeni.
Primjeri po djelatnostima
| Organizacija | DPO | Zašto |
|---|---|---|
| Ministarstvo, opština, javno preduzeće | Obavezan | Organ javne vlasti / javno tijelo |
| Javna škola, vrtić, dom zdravlja | Obavezan | Javno tijelo |
| Privatna bolnica ili veća poliklinika | Vjerovatno | Obimna obrada zdravstvenih podataka kao osnovna djelatnost |
| Banka, osiguranje, telekom | Vjerovatno | Sistematsko praćenje i profilisanje velikog broja klijenata |
| Firma za GPS praćenje vozila ili zaštitu imovine | Vjerovatno | Redovno praćenje lica je osnovna djelatnost |
| Hotel, maloprodajni lanac | Zavisi | Obim, programi lojalnosti, video-nadzor i profilisanje |
| Samostalna ordinacija, mala advokatska kancelarija | Po pravilu ne | Posebni podaci, ali obim nije veliki |
| Mala firma - knjigovodstvo, trgovina, usluge | Po pravilu ne | Obrada podataka nije osnovna djelatnost |
Čak i kad DPO nije obavezan, sve ostale obaveze zakona važe: evidencije, ugovori sa obrađivačima, procedure za incidente i zahtjeve građana. Mnoge organizacije zato biraju spoljnog DPO-a dobrovoljno, jer je to najjednostavniji način da neko stručan vodi računa o svemu.
Ko može biti DPO
Službenik se bira na osnovu stručnih kvalifikacija, prije svega znanja o pravu i praksi zaštite podataka i sposobnosti da obavlja zadatke iz člana 40. U praksi to znači poznavanje propisa, ali i razumijevanje informacionih sistema, bezbjednosti i upravljanja rizikom.
Može biti zaposleni ili spoljni saradnik na osnovu ugovora o pružanju usluga čl. 38. Nakon imenovanja, organizacija mora objaviti kontakt podatke službenika i dostaviti ih Agenciji.
Položaj i nezavisnost
Član 39 štiti službenika kako bi mogao da radi svoj posao bez pritiska:
- mora biti uključen na vrijeme u sva pitanja zaštite podataka;
- organizacija mu obezbjeđuje sredstva, pristup podacima i održavanje stručnog znanja;
- ne prima uputstva o tome kako da obavlja svoje zadatke;
- ne može biti razriješen niti kažnjen zbog obavljanja svog posla;
- odgovara direktno najvišem rukovodstvu;
- obavezan je na čuvanje tajne;
- može imati i druge poslove, ali oni ne smiju stvarati sukob interesa.
Sukob interesa: osoba koja odlučuje zašto i kako se podaci obrađuju - direktor, šef IT-a, šef marketinga ili kadrovske - ne bi trebalo da sama sebe nadzire kao DPO. To je jedan od najčešćih razloga zašto se bira spoljni službenik.
Zadaci DPO-a
Prema članu 40, službenik najmanje:
- Informiše i savjetujerukovodstvo i zaposlene o njihovim obavezama.
- Prati usklađenostsa zakonom i internim pravilima - raspodjelu odgovornosti, obuke i provjere.
- Savjetuje kod procjene uticajai prati njeno sprovođenje.
- Sarađuje sa Agencijomi kontakt je tačka za nju, uključujući prethodne konsultacije.
Ljudi čije podatke obrađujete mogu se obratiti službeniku direktno, u vezi sa svim pitanjima o svojim podacima čl. 39. Važno: odgovornost za usklađenost i dalje snosi organizacija, a ne službenik.
Česta pitanja
Ko mora imenovati službenika za zaštitu podataka u Crnoj Gori?
Prema članu 38 Zakona o zaštiti podataka o ličnosti, službenika moraju imenovati: organi javne vlasti i javna tijela (osim sudova kad sude), zatim organizacije čije osnovne aktivnosti obuhvataju redovno i sistematsko praćenje lica u velikom obimu, kao i organizacije čije osnovne aktivnosti obuhvataju obradu posebnih kategorija podataka ili podataka o krivičnim djelima u velikom obimu.
Može li DPO biti spoljni saradnik?
Može. Zakon izričito predviđa da službenik može biti zaposleni ili da posao obavlja na osnovu ugovora o pružanju usluga (član 38).
Da li privatna škola ili ordinacija mora imati DPO?
Javne škole i javne zdravstvene ustanove moraju jer su javna tijela. Za privatne ustanove odlučuje obim: velika privatna klinika sa mnogo pacijenata vjerovatno mora, a jedna ordinacija sa jednim ljekarom po pravilu ne. Procjenu treba dokumentovati.
Šta prijeti ako ne imenujem DPO, a morao sam?
Obaveze iz člana 38 spadaju u grupu za koju Agencija može izreći administrativnu kaznu do 1.000.000 € ili do 2% ukupnog svjetskog godišnjeg prometa, zavisno od toga koji je iznos veći (član 88).
Izvor: Zakon o zaštiti podataka o ličnosti, „Službeni list Crne Gore”, br. 133/2026. Tekst je informativnog karaktera i ne predstavlja pravno mišljenje za konkretan slučaj.