Nacrt novog Zakona o zaštiti podataka o ličnosti donosi ozbiljna unapređenja: prvi put sistemski uređuje video nadzor i veštačku inteligenciju, znatno snažnije povezuje privatnost sa upravljanjem rizicima i informacionom bezbednošću i precizira veliki broj obaveza rukovalaca. Ali najveći izazov zaštite podataka u Srbiji više nije samo kvalitet propisa. Ključno pitanje je da li će novi zakon dobiti autoritet koji će se u praksi zaista osećati.
Generalno, Republici Srbiji nije potreban još jedan moderan zakon koji će dobro izgledati na papiru i isuniti neke zadate obaveze već joj je potreban Zakon koji će menjati ponašanje Rukovalaca na tržištu i kvalitetnije štititi privatnost.
Nacrt novog ZZPL-a ima čak 175 članova i predstavlja daleko više od tehničkog popravljanja Zakona iz 2018. godine. Posebna pravila za CCTV, AI sisteme, biometriju, upravljanje rizicima, bezbednost podataka, sertifikaciju i ostvarivanje prava fizičkih lica pokazuju jasnu nameru zakonodavca da postojeći regulatorni model učini konkretnijim i primenljivijim.
Ali upravo tu počinje važnija rasprava.
Najbolji zakon nema veliku vrednost ako rukovalac zna da je njegovo sprovođenje u stvarnosti fakultativno.
Zaštita podataka ne sme više biti „izborni predmet“ kompanija
Poslednjih godina u delu poslovne prakse formirala se veoma opasna percepcija: da je usklađenost sa propisima o zaštiti podataka poželjna, ali ne i poslovno neophodna.
Ozbiljne kompanije razvijale su privacy programe, imenovale DPO, uređivale registre obrada, sprovodile DPIA, zaključivale DPA ugovore i razvijale procedure za incidente.
Druge su se zadovoljavale dokumentom skinutim sa interneta, formalnim obaveštenjem na sajtu ili politikom privatnosti koju praktično niko u organizaciji ne primenjuje.
A neke nisu uradile gotovo ništa.
Upravo tu nastaje najveći sistemski problem.
Kada kompanija koja ulaže vreme, novac i resurse u usklađenost ne oseća regulatornu razliku između svog ponašanja i ponašanja rukovaoca koji godinama ignoriše zakon, compliance počinje da gubi kredibilitet.
Zaštita podataka tada postaje svojevrstan **„tigar od papira“**: pravno snažan koncept bez dovoljnog odvraćajućeg efekta.
Zato novi ZZPL neće biti uspešan samo zato što ima bolju definiciju legitimnog interesa ili detaljnija pravila za video nadzor.
Uspeh će se meriti time da li će rukovalac koji zakon ignoriše imati realan razlog da promeni ponašanje.
Poverenik mora biti i edukator i snažan regulator
Uloga Poverenika u narednoj fazi zato će biti presudna.
Savetodavna funkcija regulatora jeste važna. Kompanijama treba objasniti novi sistem. Biće potrebne smernice, modeli dobre prakse, kontrolne liste, tumačenja novih instituta i edukacija tržišta.
Ali edukacija sama nije dovoljna.
Poverenik već raspolaže značajnim nadzornim ovlašćenjima: može sprovoditi inspekcijski nadzor, nalagati usklađivanje obrade, ograničiti ili zabraniti obradu, zahtevati brisanje podataka, izdavati prekršajne naloge u propisanim slučajevima i pokretati odgovarajuće postupke.
Sa novim zakonom ta ovlašćenja moraju dobiti još veću praktičnu težinu.
Regulator mora biti predvidljiv, stručan i proporcionalan — ali kada utvrdi ozbiljnu ili ponovljenu nezakonitu obradu, mora biti i odlučan.
Ne bi trebalo da postoji regulatorni popust za rukovaoca koji godinama nije uradio ništa, dok se kompanije koje ozbiljno investiraju u usklađenost tretiraju praktično na isti način.
Naravno, cilj zaštite podataka nije kažnjavanje radi kažnjavanja.
Cilj je promena ponašanja.
Ali bez realnog rizika od nadzora, korektivnih mera i sankcija tamo gde su opravdane, teško je očekivati da će svi rukovaoci dobrovoljno investirati u compliance.
Novi zakon mora prvo biti objašnjen — a zatim dosledno kontrolisan
Ako zakon bude usvojen, Kancelarija Poverenika bi pre početka pune primene trebalo da sprovede ozbiljnu komunikacionu kampanju prema privredi i javnom sektoru.
Ne samo kroz nekoliko stručnih skupova.
Potrebne su praktične smernice koje prosečnom rukovaocu jasno odgovaraju na pitanja:
Šta moram da uradim sa postojećim CCTV sistemom?
Kada mi je potrebna DPIA?
Kako dokazujem legitimni interes?
Šta moram da evidentiram kada neko pregleda ili izvozi CCTV snimak?
Kako koristim AI alat nad podacima zaposlenih?
Kada je dozvoljena biometrija?
Kako dokazujem da sam procenio rizik?
Šta inspektor očekuje da vidi kada dođe u nadzor?
To je nivo na kojem zakon postaje operativan.
Nakon razumnog perioda upoznavanja tržišta sa novim pravilima, međutim, mora da počne i njihova dosledna primena.
Compliance bez enforcementa veoma brzo postaje preporuka.
A zaštita osnovnog prava ne može biti preporuka.
CCTV: možda najveća promena za korporativnu bezbednost
Za security industriju najvažniji deo Nacrta verovatno su članovi 45–51.
Video nadzor prvi put dobija sopstveni sistem pravila.
Nacrt određuje legitimne bezbednosne svrhe, ograničava prostore u kojima se nadzor može koristiti, uređuje obaveštenja, rokove čuvanja, video nadzor zaposlenih, poslovnih prostora, stambenih zgrada i javnih površina i uvodi veoma ozbiljne obaveze evidentiranja pristupa snimcima.
Ovo može biti jedna od najvažnijih pozitivnih promena novog zakona.
Jer video nadzor je godinama bio zona u kojoj su se ukrštali privatno obezbeđenje, zaštita podataka, radno pravo, informaciona bezbednost i tehnička praksa — često bez dovoljno jasnog regulatornog okvira.
Sada bi kompanija morala mnogo preciznije da odgovori na jednostavno pitanje:
Zašto ova kamera postoji?
Odgovor „radi bezbednosti“ više ne bi trebalo da bude dovoljan.
Procena rizika postaje ključna karika između security-ja i privacy-ja
Upravo ovde novi ZZPL može značajno povećati praktični značaj **Akta o proceni rizika u zaštiti lica, imovine i poslovanja**.
Prema Zakonu o privatnom obezbeđenju, kada je procena rizika obavezna, nivo ugovorenih usluga privatnog obezbeđenja ne može biti niži od nivoa predviđenog tom procenom, dok se plan obezbeđenja, odnosno plan postupanja sa rizicima, izrađuje na osnovu Akta o proceni rizika. Sama procena izrađuje se prema zahtevima važećeg srpskog standarda.
Aktuelni SRPS A.L2.003:2025 upravo definiše metodologiju identifikovanja i procenjivanja rizika i implementacije rezultata procene radi unapređenja bezbednosti i otpornosti organizacije.
Tu dolazimo do veoma važne tačke.
Akt o proceni rizika sam po sebi **ne stvara automatski legitimni interes prema Zakonu o zaštiti podataka o ličnosti**.
Pravni osnov obrade i dalje mora biti utvrđen prema ZZPL-u.
Ali kvalitetno izrađena procena rizika može predstavljati jedan od najsnažnijih dokaza da određena bezbednosna potreba nije izmišljena naknadno radi opravdavanja kamere, već da je konkretan rizik prethodno stručno identifikovan i procenjen.
To je velika razlika.
Ako procena pokaže povećan rizik od krađe, nasilja, neovlašćenog pristupa, sabotaže, ugrožavanja zaposlenih ili drugih bezbednosnih događaja, takav nalaz može biti veoma važan ulazni element prilikom dokazivanja **svrhe, neophodnosti i proporcionalnosti** konkretne mere tehničke zaštite.
Drugim rečima:
security risk assessment i privacy impact assessment više ne mogu biti dva dokumenta koja međusobno ne znaju da postoje.
Kamera mora biti posledica rizika, a ne navike ili želje za nadzorom
To bi trebalo da promeni i način projektovanja sistema tehničke zaštite.
Danas se CCTV veoma često projektuje logikom:
„Ovde možemo postaviti kameru.“
Mnogo zreliji pristup je:
„Ovde postoji identifikovani rizik koji opravdava određenu bezbednosnu meru, a nakon procene manje invazivnih alternativa zaključeno je da je video nadzor neophodan i proporcionalan.“
Razlika između te dve rečenice predstavlja suštinu risk-based pristupa.
Nacrt upravo u tom pravcu ide kada od rukovaoca zahteva da pre uvođenja video nadzora u poslovnom prostoru razmotri druge mehanizme kojima se ista svrha može ostvariti uz manje zadiranje u prava zaposlenih i drugih lica.
Još važnije, rukovalac treba da dokumentuje koje je alternative razmatrao i zbog čega nisu bile dovoljne.
To znači da bi buduća dokumentacija ozbiljnog CCTV sistema trebalo da povezuje najmanje četiri elementa:
identifikovani bezbednosni rizik → izbor mere zaštite → analiza uticaja na privatnost → tehničke i organizacione kontrole.
To je ozbiljan korak napred.
VMS više nije samo „sistem kamera“
Ovo postaje još važnije sa modernim Video Management System – VMS platformama.
Današnji CCTV odavno nije samo kamera koja snima sliku na hard-disk.
Savremeni sistemi mogu uključivati:
* automatsku klasifikaciju objekata;
* prepoznavanje ljudi i obrazaca ponašanja;
* video analytics;
* pretragu snimaka prema karakteristikama osobe;
* povezivanje CCTV-a sa kontrolom pristupa;
* analizu kretanja;
* detekciju anomalija;
* registarske oznake;
* biometrijske funkcionalnosti;
* cloud obradu;
* AI asistente za pretraživanje i interpretaciju video sadržaja.
Sa svakom novom funkcijom raste bezbednosna vrednost sistema.
Ali raste i njegova invazivnost.
Zato novi ZZPL mora promeniti jednu pogrešnu pretpostavku koja još postoji u delu tržišta:
činjenica da VMS poseduje neku funkciju ne znači da rukovalac automatski ima pravo da je koristi.
„Feature available“ nije isto što i „processing lawful“.
Ako proizvođač omogući facial recognition, emotion recognition, people tracking ili naprednu AI analitiku, kompanija pre aktiviranja funkcije mora da utvrdi svrhu, pravni osnov, proporcionalnost, rizike, potrebu za DPIA i odgovarajuće mere zaštite.
To je tačka na kojoj security manager i DPO više ne mogu raditi odvojeno.
Audit trail: novi standard odgovornosti
Jedna od najboljih odredbi Nacrta nalazi se upravo kod pristupa CCTV snimcima.
Nacrt predviđa evidenciju koja treba da omogući naknadno utvrđivanje koji je snimak korišćen, kada, na koji način, kome je prosleđen, ko je izvršio radnju, sa kojom svrhom i po kom pravnom osnovu.
Za određene poslovne sisteme zahteva se i sistemski journal pristupa koji uključuje korisnički nalog, vreme pristupa, IP adresu, kriterijum pretrage i druge podatke o izvršenoj radnji.
To je upravo smer u kojem regulation mora da ide.
Ne samo:
„Ko ima pravo pristupa?“
nego:
„Dokažite ko je stvarno pristupio.“
Ne:
„Snimke dajemo samo policiji.“
nego:
„Pokažite ko je snimak izvezao, kada, na osnovu kog zahteva, kome ga je predao i ko je tu odluku odobrio.“
To je razlika između deklarativne i stvarne usklađenosti.
AI dodatno podiže ulog
Ako je CCTV najveća praktična promena za security sektor, AI je verovatno regulatorno najosetljivija.
Članovi 52. i 53. Nacrta prvi put posebno uređuju obradu podataka korišćenjem veštačke inteligencije, uključujući razvoj i testiranje AI sistema i modela opšte namene.
Posebno se uređuju visokorizični sistemi, direktna interakcija čoveka sa AI sistemom, sintetički sadržaj i obrada koja može značajno uticati na položaj pojedinca.
To je posebno važno za security industriju.
Kombinacija:
CCTV + biometrija + video analytics + AI predstavlja potpuno drugačiji rizik od klasične analogne kamere postavljene iznad ulaznih vrata.
Zato neće biti dovoljno posedovati dozvolu, projekat tehničke zaštite ili opšte obaveštenje o video nadzoru.
Biće neophodno sagledati čitav processing chain:
koji podatak nastaje, koja ga tehnologija analizira, šta AI zaključuje, koliko dugo se rezultat čuva, sa čim se povezuje, ko mu pristupa i kakve posledice analiza može proizvesti po fizičko lice.
To je potpuno nova dimenzija korporativne bezbednosti.
Risk management postaje zajednički jezik zaštite privatnosti i security-ja
Nacrt uvodi definicije rizika i upravljanja rizicima bezbednosti podataka i mnogo konkretnije uređuje tehničke, organizacione i kadrovske mere.
Pominju se organizaciona struktura, odgovornosti, obuka, fizička zaštita prostora, autentifikacija, autorizacija, zaštita sistema, kriptozaštita, pseudonimizacija, backup, reagovanje na incidente i periodično testiranje efikasnosti kontrola.
To je možda i najvažnija konceptualna promena čitavog Nacrta.
Privacy više ne može biti izolovana pravna funkcija.
Kao što cyber security bez upravljanja rizikom nema ozbiljan smisao, tako ni zaštita podataka više ne može da se svodi na politiku privatnosti i nekoliko saglasnosti.
U ozbiljnom korporativnom modelu moraće da sarađuju:
DPO, Security Manager, Risk Manager, CISO/IT Security, IT, HR, Legal/Compliance, Facility Management i vlasnici poslovnih procesa.
To je pravi pravac.
DPO ne sme biti dekoracija
Novi zakon ponovo zadržava DPO kao ključnu funkciju sistema.
Ali i ovde je potrebno promeniti praksu.
DPO ne sme biti ime i e-mail adresa unesena u evidenciju Poverenika samo zato što zakon tako zahteva.
Ako organizacija DPO-u ne dostavlja informacije o novom CCTV projektu, novom HR softveru, AI aplikaciji, marketinškoj kampanji ili data breach incidentu, onda DPO postoji formalno, ali ne i funkcionalno.
Nacrt upravo zato naglašava blagovremeno uključivanje DPO-a, njegov pristup podacima i procesima, nezavisnost, resurse i obavezu rukovaoca da mu omogući stvarno izvršavanje funkcije.
I ovo je oblast u kojoj bi budući inspekcijski nadzor trebalo da bude mnogo sadržajniji.
Nije dovoljno pitanje:
Da li ste imenovali DPO? Mnogo važnije pitanje je: “Pokažite gde je DPO učestvovao u ovoj odluci.”
Kazne nisu evropske, ali moraju imati odvraćajući efekat
Nacrt ne preuzima GDPR model kazni do 20 miliona evra ili četiri procenta globalnog godišnjeg prometa.
To je važno jasno reći.
Ali pitanje efikasnosti kaznene politike ne završava se na maksimalnom iznosu kazne.
Odvraćajući efekat nastaje kombinacijom:
verovatnoće kontrole + brzine postupka + izvesnosti posledice + visine sankcije + reputacionog rizika.
Visoka kazna koja se gotovo nikada ne primenjuje može imati manji compliance efekat od umerenije kazne koja se primenjuje dosledno.
Zato je mnogo važnije da odgovorni rukovaoci znaju da će dobra praksa biti prepoznata, a neodgovorni da će višegodišnje ignorisanje zakona imati posledicu.
Najveći rizik novog zakona je da ponovi sudbinu starog
Nacrt ima potencijal da značajno unapredi sistem zaštite podataka u Srbiji.
Video nadzor konačno dobija jasnije granice.
AI ulazi u regulatorni okvir.
Bezbednost podataka dobija ozbiljniju vezu sa upravljanjem rizicima.
Audit trail dobija veću težinu.
Sertifikacija može postati stvarni mehanizam dokazivanja usklađenosti.
Ali nijedna od tih novina sama po sebi neće rešiti glavni problem.
Regulatorni autoritet ne stvara tekst zakona. Stvara ga njegova primena.
Ako novi ZZPL ponovo omogući da se ozbiljno usklađuju uglavnom one kompanije koje su to i ranije želele, dok deo rukovalaca nastavi da zakon ignoriše bez ozbiljnog rizika, onda će 175 članova značiti vrlo malo.
Ako, međutim, Poverenik novi zakon jasno objasni, regulatorna očekivanja učini predvidljivim, objavi kvalitetne smernice i zatim kroz stručne i dosledne nadzore počne da pravi jasnu razliku između odgovornih i neodgovornih rukovalaca, tada možemo govoriti o stvarnoj promeni sistema.
Stručna perspektiva: vreme je za integrisani model bezbednosti i privatnosti
Za kompanije je najvažnija poruka da se više ne pripremaju za „još jednu GDPR reviziju dokumentacije“.
Promena je dublja.
Potrebno je povezati procenu rizika u zaštiti lica, imovine i poslovanja, tehničku zaštitu, DPIA, cyber security, privacy, AI governance i incident management u jedinstven sistem upravljanja rizicima.
Posebno kod CCTV/VMS sistema budući standard dobre prakse trebalo bi da bude vrlo jednostavan:
Prvo utvrdite rizik.
Zatim definišite bezbednosnu svrhu.
Procenite da li se ona može ostvariti manje invazivnom merom.
Ako je CCTV opravdan, odredite najmanji potreban obim nadzora.
Procenite rizike obrade podataka.
Definišite rokove čuvanja i ovlašćenja.
Tehnički ograničite pristup.
Vodite audit log.
Periodično proveravajte da li razlog zbog kojeg je kamera uvedena i dalje postoji.
Tek tada možemo govoriti o sistemu koji je istovremeno i bezbedan i zakonit.
Zaključak: Srbiji ne treba još jedan lep zakon
Nacrt novog Zakona o zaštiti podataka o ličnosti predstavlja ozbiljnu priliku.
Ali možda poslednju stvar koju Srbiji treba jeste da zaštitu podataka ponovo svede na novu rundu pravilnika, obrazaca, konferencija i formalnog usklađivanja.
Potrebna je promena regulatorne kulture.
Kompanije koje odgovorno upravljaju podacima moraju znati zbog čega to rade i imati korist od uređenog sistema.
Kompanije koje prava građana i zaposlenih sistematski ignorišu moraju znati da takvo ponašanje nosi realan regulatorni rizik.
Poverenik mora imati dovoljno stručnosti, kapaciteta i autoriteta da napravi tu razliku.
A security i privacy profesionalci moraju prestati da rade u paralelnim svetovima.
Jer kamera, VMS, facial recognition, kontrola pristupa, AI analiza, baza zaposlenih ili cloud platforma nisu samo tehnološki sistemi.
To su sistemi upravljanja rizikom koji istovremeno štite jednu vrednost i mogu ugroziti drugu.
Upravo sposobnost kompanije da tu ravnotežu identifikuje, obrazloži, dokumentuje i kontroliše trebalo bi da postane pravi standard novog ZZPL-a.
Ako se to dogodi, novi zakon neće biti samo unapređena verzija propisa iz 2018.
Postaće ono što svaki ozbiljan zakon o zaštiti osnovnih prava mora da bude:
pravilo poslovanja koje se poštuje zato što ima smisla, ali i zato što njegovo ignorisanje ima posledice.
—
Napomena urednika: Analiza se odnosi na Nacrt novog Zakona o zaštiti podataka o ličnosti i pojedina rešenja mogu biti izmenjena u nastavku zakonodavnog postupka. Do eventualnog donošenja i početka primene novog propisa primenjuje se važeći Zakon o zaštiti podataka o ličnosti („Sl. glasnik RS“, br. 87/2018).
