Zakon o zaštiti ličnih podataka

1 338 Na osnovu člana IV.4.a) Ustava Bosne i Hercegovine, Parlamentarna skupština Bosne i Hercegovine, na 79. sjednici Predstavničkog doma, održanoj 17. maja 2006. godine, i na 58. sjednici Doma naroda, održanoj 23. maja 2005. godine, usvojila je

ZAKON

O ZAŠTITI LIČNIH PODATAKA

POGLAVLJE I. OPĆE ODREDBE

Član 1.

(Predmet Zakona)

(1) Cilj ovog Zakona je da se na teritoriji Bosne i Hercegovine svim licima, bez obzira na njihovo državljanstvo ili prebivalište, osigura zaštita ljudskih prava i osnovnih sloboda, a naročito pravo na tajnost u pogledu obrade ličnih podataka koji se na njih odnose.

(2) Ovim Zakonom osniva se Agencija za zaštitu ličnih podataka u Bosni i Hercegovini (u daljnjem tekstu: Agencija), utvrñuju se: njena nadležnost, organizacija i upravljanje, kao i druga pitanja značajna za njen rad i zakonito funkcioniranje.

Član 2.

(Obim primjene Zakona)

(1) Ovaj Zakon primjenjuje se na lične podatke koje obrañuju svi javni organi, fizička i pravna lica, osim ako drugi zakon ne nalaže drugačije.

(2) Ovaj Zakon neće se primjenjivati na lične podatke koje obrañuju fizička lica isključivo u privatne svrhe.

(3) Ovaj Zakon neće se primjenjivati na slučajno prikupljanje ličnih podataka, osim ako se ovi podaci ne obrañuju dalje.

Član 3.

(Definicije)

Pojedini izrazi upotrijebljeni u ovom Zakonu imaju sljedeća značenja:

• lični podaci znače bilo koju informaciju koja se odnosi na fizičko lice na osnovu koje je utvrñen ili se može utvrditi identitet lica;

• nosilac podataka je fizičko lice čiji se identitet može ustanoviti ili identificirati, neposredno ili posredno, naročito na osnovu jedinstvenog matičnog broja te jednog ili više faktora karakterističnih za fizički, fiziološki, mentalni, ekonomski, kulturni ili socijalni identitet tog lica;

• posebne kategorije podataka su svi lični podaci koji otkrivaju: 2

a) rasno porijeklo, državljanstvo, nacionalno ili etničko porijeklo, političko mišljenje ili stranačku pripadnost, ili članstvo u sindikatima, religijsko, filozofsko ili drugo uvjerenje, zdravstveno stanje, genetski kod, seksualni život;

b) krivične presude;

c) biometrijske podatke;

• zbirka ličnih podataka je bilo koji sistemski skup ličnih podataka koji su dostupni prema posebnim kriterijima, bilo da su centralizirani, decentralizirani ili razvrstani na funkcionalnom i geografskom osnovu ili postavljeni u skladu s posebnim kriterijima koji se odnose na lice i koji omogućavaju nesmetan pristup ličnim podacima u dosjeu;

• obrada ličnih podataka podrazumijeva bilo koju radnju ili skup radnji koje se vrše nad podacima, bilo da je automatska ili ne, a posebno pr ikupljanje, unošenje, organiziranje, pohranjivanje, prerañivanje ili izmjenu, uzimanje, konsultiranje, korištenje, otkrivanje prijenosom, širenje ili na drugi način omogućavanje pristupa podacima, svrstavanje ili kombiniranje, blokiranje, brisanje ili uništavanje; □ anonimni podaci su podaci koji se u svojoj originalnoj formi ili nakon njihove obrade ne mogu dovesti u vezu s nosiocem podataka u smislu njegove identifikacije; □ pristup podacima je svaka radnja koja korisniku omogućava uvid u podatke bez prava da te podatke kasnije koristi u druge svrhe; □ kontrolor je svaki javni organ, fizičko ili pravno lice, agencija ili drugi organ koji samostalno ili zajedno s drugim vodi, obrañuje i utvrñuje svrhu i način obrade ličnih podataka na osnovu zakona ili propisa; □ obrañivač je fizičko ili pravno lice, javni organ, agencija ili drugi organ koji obrañuje lične podatke u ime kontrolora; □ korisnik je fizičko ili pravno lice, javni organ, agencija ili drugi organ kojem se omogućava pristup ličnim podacima ili kojem se lični podaci mogu dati na korištenje; □ saglasnost nosioca podataka je svaka konkretna i svjesna naznaka želje nosioca podataka data slobodnom voljom kojom nosilac podataka daje svoj pristanak da se njegovi lični podaci obrañuju.

POGLAVLJE II. OSNOVNI PRINCIPI ZAKONITE OBRADE LIČNIH PODATAKA

Član 4.

(Principi obrade ličnih podataka)

Kontrolor je obavezan da:

a) lične podatke obrañuje na pravičan i zakonit način;

b) lične podatke koje prikuplja za posebne, izričite i zakonite svrhe ne obrañuje na bilo koji način koji nije u skladu s tom svrhom;

c) lične podatke obrañuje samo u mjeri i obimu koji je neophodan za ispunjenje odreñene svrhe;

d) obrañuje samo autentične i tačne lične podatke, te da ih ažurira kada je to potrebno;

e) lične podatke koji su netačni i nepotpuni, s obzirom na svrhu zbog koje su prikupljeni ili se dalje obrañuju, izbriše ili ispravi; 3

f) lične podatke obrañuje samo u vremenskom periodu koji je neophodan za ispunjenje svrhe u koju su podaci prikupljeni;

g) lične podatke čuva u formi koja dopušta identificiranje nosioca podataka ne duže nego što je to potrebno za svrhu u koju se podaci prikupljaju ili dalje obrañuju;

h) osigura da se lični podaci koji su prikupljeni u različite svrhe ne objedinjuju ili kombiniraju.

Član 5.

(Saglasnost nosioca podataka)

(1) Kontrolor može obrañivati lične podatke uz saglasnost nosioca podataka.

(2) Saglasnost mora biti data u pisanoj formi, mora je potpisati nosilac podataka, mora imati tačnu naznaku podataka u vezi s kojima se saglasnost daje, te mora sadržavati ime kontrolora, svrhu i vremenski period na koji se saglasnost daje.

(3) Saglasnost može biti povučena u bilo kojem trenutku, osim ako se nosilac podataka i kontrolor izričito ne dogovore drugačije.

(4) Kontrolor će morati na zahtjev nadležnog organa, u svako vrijeme, dokazati da postoji saglasnost za period obrade ličnih podataka.

(5) Kontrolor je dužan čuvati saglasnost za vrijeme obrade ličnih podataka za čiju obradu je ona data.

Član 6.

(Pravo na obradu ličnih podataka bez saglasnosti nosioca podataka)

Kontrolor može obrañivati podatke, bez saglasnosti nosioca podataka, ako je ispunjen jedan od sljedećih uslova:

a) ako vrši obradu ličnih podataka u skladu sa zakonom ili je obrada neophodna da bi se ispunile nadležnosti utvrñene zakonom;

b) ako je neophodno da nosilac podataka pristupi pregovorima o ugovornom odnosu ili da se ispune obaveze koje su dogovorene s kontrolorom;

c) ako je neophodno da se zaštite interesi nosioca podataka mora se bez odgañanja pribaviti saglasnost nosioca podataka ili se mora prekinuti obrada podataka, a prikupljeni podaci moraju se uništiti;

d) ako je obrada ličnih podataka potrebna za ispunjenje zadatka koji se izvršava u javnom interesu;

e) ako je neophodna zaštita zakonitih prava i interesa koje ostvaruje kontrolor ili korisnik, i ako ova obrada ličnih podataka nije u suprotnosti s pravom nosioca podatka da zaštiti vlastiti privatni i lični život; 4

f) ako je neophodno za izvršavanje legitimnih aktivnosti političkih stranaka, pokreta, udruženja grañana, sindikalnih organizacija i vjerskih zajednica.

Član 7.

(Autentičnost podataka)

(1) Kontrolor je obavezan provjeriti da li su lični podaci autentični i tačni.

(2) Ako nepotpuni i netačni lični podaci ne mogu biti ispravljeni ili dopunjeni, a uzimajući u obzir svrhu u koju se prikupljaju ili u koju se dalje obrañuju, kontrolor ih mora bez odgañanja uništiti.

Član 8.

(Spajanje evidencija)

(1) Kontrolor koji obrañuje lične podatke na osnovu posebnog zakona obavezan je da poštuje prava na zaštitu privatnog i ličnog života nosioca podataka.

(2) Lični podaci ne mogu se prenositi a dosjei i evidencije ne mogu se spajati (udruživati, sjedinjavati ili na drugi način povezivati) ako nisu ispoštovane obaveze utvrñene u stavu (1) ovog člana.

(3) Spajanje evidencija i dosjea, prema stavu (2) ovog člana, može se uraditi samo ako obradu ličnih podataka obavlja isti kontrolor.

Član 9.

(Obrada posebnih kategorija ličnih podataka)

(1) Obrada posebnih kategorija ličnih podataka zabranjena je.

(2) Izuzetno od odredbe stava (1) ovog člana, obrada posebne kategorije ličnih podataka dozvoljena je ako:

a) je nosilac podataka izričito dao saglasnost;

b) je obrada neophodna za zaštitu života, zdravlja, imovine i drugih vitalnih interesa nosioca podataka ili drugog lica za koje se saglasnost ne može dobiti, a naročito kada se radi o fizički, mentalno ili pravno nesposobnom licu, ili ako se lice smatra nestalim, ili zbog drugih sličnih razloga;

c) je obrada podataka potrebna za izvršavanje obaveze ili posebnih prava kontrolora iz oblasti radnog prava u onoj mjeri u kojoj je ovlašten zakonom;

d) se obrada podataka vrši za potrebe preventivne medicine, medicinske dijagnostike, pružanja i upravljanja medicinskim uslugama ako takv e podatke obrañuje profesionalno medicinsko lice koje po zakonu ili kodeksu nadležnog organa podliježe obavezi čuvanja profesionalne tajne ili druga lica koja takoñer podliježu obavezi čuvanja tajne; 5

e) se obrada podataka vrši u okviru zakonitih aktivnosti ustanove, fondacije, udruženja ili druge neprofitne organizacije s političkim, filozofskim, religioznim ili sindikalnim ciljevima, a pod uslovom da se obrada podataka isključivo odnosi na članove tih organa ili lica koja s njima redovno kontaktiraju u vezi s njihovim ciljevima, pod uslovom da ti podaci ne budu otkriveni trećoj strani bez pristanka nosioca podataka;

f) se vrši obrada podataka koje je nosilac podataka jasno učinio javnim ili je obrada neophodna za pokretanje, provoñenje ili odbranu od pravnih zahtjeva;

g) je to od posebnog javnog interesa ili u drugim slučajevima propisanim zakonom. U ovim slučajevima zakon mora sadržavati konkretne odredbe o adekvatnim mehanizmima zaštite.

Član 10.

(Automatska obrada posebne kategorije ličnih podata ka)

Posebna kategorija ličnih podataka ne može se obrañ ivati automatski ako zakonom nije predviñena odgovarajuća zaštita.

Član 11.

(Sigurnost podataka)

(1) Kontrolor podataka i , u okviru svoje nadležnosti, obrañivač podataka brinu o sigurnosti podataka te preduzimaju sve tehničke i organizacione mjere i utvrñuju pravila postupaka koji su neophodni za provoñenje ovog Zakona i drugih pro pisa u vezi sa zaštitom i tajnošću podataka.

(2) Kontrolor i obrañivač dužni su preduzeti mjere protiv neovlaštenog ili slučajnog pristupa ličnim podacima, mijenjanja, uništavanja ili gubitka podataka, neovlaštenog prijenosa, drugih oblika nezakonite obrade podataka, kao i mjere protiv zloupotrebe ličnih podataka. Ova obaveza ostaje na snazi i nakon završetka obrade podataka.

(3) Javni organ kao kontrolor dužan je, prema svojim nadležnostima, donijeti propis s ciljem provoñenja ovog Zakona.

(4) Kontrolor i, u okviru svoje nadležnosti, obrañivač podataka dužni su napraviti plan sigurnosti podataka kojim se odreñuju tehničke i organizacione mjere za sigurnost ličnih podataka.

(5) Vijeće ministara Bosne i Hercegovine (u daljnjem tekstu: Vijeće ministara), uz prethodno pribavljeno mišljenje Agencije, propisat će način čuvanja i posebne mjere tehničke zaštite.

Član 12.

(Obrada podataka preko obrañivača)

(1) Ako zakonom nije isključena obrada ličnih podataka preko obrañivača, kontrolor može zaključiti s obrañivačem ugovor o obradi ličnih podataka koji mora biti sačinjen u pisanoj formi. 6

(2) U ugovoru se navode obim, svrha i rok na koji je sporazum zaključen, kao i adekvatne garancije obrañivača u vezi s tehničkom i organizacionom zaštitom ličnih podataka.

(3) Obrada podataka preko obrañivača mora biti r egulirana ugovorom koji obavezuje obrañivača prema kontroloru, a posebno da će obrañivač djelovati samo na osnovu uputstava kontrolora u skladu s odredbama ovog Zakona.

(4) Obrañivač podataka odgovoran je za obradu ličnih podataka prema uputstvu kontrolora podataka. U obavljanju svojih dužnosti, obrañivač p odataka ne može prenositi svoje odgovornosti na druge obrañivače podataka ako ne dobije izričitu saglasnost za to od kontrolora podataka.

Član 13.

(Zbirka ličnih podataka)

Kontrolor zbirke ličnih podataka za svaku zbirku ličnih podataka uspostavlja i vodi evidenciju koja sadrži osnovne informacije o zbirci, a posebno sljedeće:

a) naziv zbirke;

b) ime, prezime i adresu kontrolora podataka i obrañivača podataka, stvarno mjesto obrade podataka (uključujući i tehničku obradu), kao i ostale aktivnosti obrañivača podataka u vezi s obradom ličnih podataka;

c) svrhu obrade podataka;

d) zakonsku osnova za obradu;

e) vrstu podataka koji se obrañuju;

f) kategorije nosilaca podataka;

g) izvor podataka i način prikupljanja;

h) vrstu prenesenih podataka, primaoce tih podataka i zakonsku osnovu za prijenos;

i) rokove za brisanje odreñenih vrsta podataka;

j) prijenos podataka iz inozemstva, odnosno iznošenje podataka iz Bosne i Hercegovine s naznakom države, odnosno meñunarodne organizacije i inozemnog korisnika ličnih podataka, te svrhu za to unošenje, odnosno iznošenje propisano m eñunarodnim ugovorom, zakonom ili drugim propisom, odnosno pisanim pristankom lica na koje se podaci odnose;

k) naznaku preduzetih mjera zaštite ličnih podataka.

Član 14.

(Glavni registar)

7

(1) Kontrolor zbirke ličnih podataka dostavlja Agenciji podatke iz evidencije iz člana 13., koja ih objedinjava u Glavni registar.

(2) Kontrolori zbirki ličnih podataka dužni su prije uspostavljanja zbirke ličnih podataka dostaviti Agenciji zahtjev o namjeravanom uspostavljanju zbirke ličnih podataka zajedno s podacima iz člana 13. prije preduzimanja bilo kakvih aktivnosti na obradi.

(3) Agencija provjerava radnje obrade podataka nakon što od kontrolora podataka primi zahtjev za obradu ličnih podataka. Radnje na obradi podataka mogu početi tek onda kada Agencija odobri obradu ili nakon isteka dva mjeseca od dana kada je Agencija primila zahtjev.

(4) Obaveza dostavljanja prethodnog obavještenja ne odnosi se na uspostavljanje zbirke ličnih podataka u slučajevima kada zakon odreñuje s vrhu obrade, podatke ili kategorije podataka koji se obrañuju, kategoriju lica na koje se podaci odnose, korisnike ili kategorije korisnika kojima će podaci biti otkriveni te vrijeme u kojem će podaci biti čuvani.

(5) U slučaju iz stava (3) ovog člana, kontrolor zbirke ličnih podataka dužan je podatke o uspostavljanju zbirke ličnih podataka, kao i promjene podataka o zbirci ličnih podataka, dostaviti Agenciji najkasnije u roku od 14 dana od dana uspostavljanja zbirke ili promjene podataka.

(6) Podaci iz Glavnog registra dostupni su javnosti.

(7) Agencija će objaviti evidencije iz Glavnog registra.

Član 15.

(Voñenje evidencije)

Način voñenja evidencije iz člana 13. ovog Zakona i obrazac evidencije, kao i izuzetke od obaveze prijavljivanja odreñenih zbirki prema članu 14., propisat će Vijeće ministara, uz prethodno pribavljeno mišljenje Agencije.

Član 16.

(Obaveza čuvanja tajnosti podataka)

(1) Zaposleni kod kontrolora ili obrañivača i ostala lica koja rade na obradi ličnih podataka na osnovu ugovora s kontrolorom ili obrañivačem mogu o brañivati lične podatke samo pod uslovima i u obimu koje odrede kontrolor ili obrañivač.

(2) Zaposleni kod kontrolora ili obrañivača, ostala fizička lica koja obrañuju lične podatke na osnovu ugovora zaključenog s kontrolorom ili obrañivačem i ostala lica koja, u okviru primjene zakonom propisanih prava i obavljanja dužnosti, doñ u u kontakt s ličnim podacima u prostorijama kontrolora ili obrañivača, dužna su čuvati tajnost ličnih podataka i pridržavati se utvrñenog načina osiguranja.

(3) Lični podaci koje obrañuju kontrolor ili obrañivač podataka za zaposlene predstavljaju službenu tajnu.

(4) Obaveza čuvanja tajnosti ličnih podataka ostaje na snazi i nakon prestanka radnog odnosa, odnosno odreñenog zadatka. 8

(5) Oslobañanje od obaveze čuvanja tajnosti ličnih podataka može se propisati samo zakonom.

Član 17.

(Davanje ličnih podataka korisniku)

(1) Kontrolor podataka ne može dati lične podatke korisniku prije nego što o tome obavijesti nosioca podataka. Ako nosilac podataka ne odobri davanje ličnih podataka, oni se ne mogu otkriti trećoj strani osim ako to nije u javnom interesu.

(2) Kontrolor ličnih podataka ovlašten je lične podatke dati na korištenje drugim korisnicima na osnovu pisanog zahtjeva korisnika ako je to potrebno radi obavljanja poslova u okviru zakonom utvrñene nadležnosti ili ostvarivanja zakonitih interesa korisnika.

(3) Pisani zahtjev mora sadržavati svrhu i pravnu osnovu za korištenje ličnih podataka, te vrste ličnih podataka koji se traže.

(4) Zabranjeno je davanje ličnih podataka na korištenje drugim korisnicima za čiju obradu, odnosno korištenje nisu ovlašteni prema odredbama čl. 5. i 6. ovog Zakona, te ako je svrha za koju se lični podaci traže na korištenje suprotna odredbi člana 4. ovog Zakona.

(5) Kontrolor podataka vodi posebnu evidenciju o ličnim podacima koji su dati na korištenje korisniku ličnih podataka i svrsi za koju su lični podaci dati.

(6) Nosilac podataka ne može ostvariti pravo na blokiranje ili uništavanje ličnih podataka ako kontrolor ima obavezu da obradi podatke prema posebnom zakonu ili ako bi time bila narušena prava trećih lica.

Član 18.

(Prijenos podataka u inozemstvo)

(1) Lični podaci neće se prenositi iz Bosne i Hercegovine kontroloru ili obrañivaču podataka u inozemstvu, bez obzira na medij podataka ili način prijenosa, ako u državi u koju se prenose nisu zadovoljeni uslovi utvrñeni članom 4. ovog Zakona i pod uslovom da strani kontrolor za sve podatke ispoštuje iste principe zaštite podataka.

(2) Izuzetno, lični podaci mogu se prenositi u inozemstvo ako je nosilac podataka dao saglasnost, kada je to potrebno radi ispunjavanja ugovora ili pravnog potraživanja i kad je to potrebno radi zaštite javnog interesa.

Član 19.

(Obrada ličnih podataka u sredstvima javnog informiranja)

(1) Obrada ličnih podataka u novinarske svrhe, u svrhe umjetničkog i literarnog izražavanja, vršit će se u skladu s posebnim propisom i kodeksima ponašanja.

(2) Na obradu ličnih podataka u svrhe navedene u stavu (1) ovog člana ne odnose se odredbe ovog Zakona, osim odredbi o sigurnosti i povjerljivosti kao i o odgovornosti za štetu. 9

Član 20.

(Obrada podataka u statističke, arhivske i naučne svrhe)

(1) Nakon isteka vremenskog perioda koji je neophodan za ispunjavanje svrhe u koju su podaci prikupljeni, ti podaci mogu se obrañivati samo u statističke, arhivske i naučne svrhe. Podaci prikupljeni i pohranjeni u te svrhe neće se koristiti u druge svrhe.

(2) Lični podaci mogu biti obrañivani za potrebe statistike, arhive i nauke bez saglasnosti nosioca podataka. Čim se završi obrada podataka u ove svrhe, podaci moraju biti učinjeni anonimnim.

(3) Kada se koriste lični podaci u ove svrhe, neophodno je da se poštuje pravo na zaštitu privatnosti i ličnog života nosioca podataka.

Član 21.

(Objavljivanje ličnih podataka u institutima za istraživanje)

Organizacija ili lice koje vrši obradu podataka za potrebe naučnog istraživanja može objaviti informacije dobivene iz ličnih podataka ako za to dobije pisanu saglasnost nosioca podataka.

POGLAVLJE III. PRAVA NOSIOCA PODATAKA

Član 22.

(Obavještavanje o prikupljanju podataka)

Kontrolor podataka prije početka prikupljanja podataka obavještava nosioca podataka, ako on o tome već nije obaviješten, o sljedećem:

a) o svrsi obrade,

b) o kontroloru, prijemnom organu ili trećoj strani kojoj će podaci biti dostupni,

c) o zakonskoj obavezi dostavljanja podataka za obradu,

d) o posljedicama u slučaju da nosilac podataka odbije tako postupiti,

e) o slučajevima u kojima je nosilac podataka ima pravo odbiti dostaviti lične podatke,

f) o tome da li je pribavljanje ličnih podataka na dobrovoljnoj osnovi,

g) o postojanju prava pristupa i prava ispravke podataka koji se na njega odnose.

Član 23.

(Izvor ličnih podataka)

10 Ako kontrolor nije pribavio lične podatke od nosioca podataka dužan je, bez odgañanja, obavijestiti nosioca podataka o tome ko je treća strana koja je kontroloru dostavila lične podatke.

Član 24.

(Pravo pristupa ličnim podacima)

(1) Kontrolor podataka obavještava nosioca podataka o toku obrade njegovih podataka koju vrši kontrolor podataka ili obrañivač podataka, o svrsi obrade podataka, zakonskoj osnovi i trajanju obrade, da li su podaci pribavljeni od nosioca podataka ili od treće strane i o pravu na pristup ličnim podacima, kao i o tome ko je primio ili ko će primiti podatke i za koju svrhu.

(2) Kontrolor nije dužan dati obavještenje o obradi ličnih podataka ako:

a) lične podatke obrañuje isključivo u statističke, naučnoistraživačke ili arhivske svrhe;

b) obaveza kontrolora da obradi podatke proističe iz zakona, ili ako su ti podaci neophodni za izvršavanje prava i obaveza propisanih zakonom;

c) je zakonom propisano da kontrolor nema obavezu dostavljanja obavještenja;

d) isključivo obrañuje objavljene lične podatke;

e) obrañuje lične podatke uz saglasnost nosioca podataka, u skladu s članom 5. ovog Zakona.

Član 25.

(Način dostavljanja informacije)

(1) Ako zakonom nije drugačije predviñeno, kontrolor je dužan, na osnovu pisanog zahtjeva nosioca podataka, jednom godišnje, bez naknade, dostaviti nosiocu podataka informacije u vezi s obradom njegovih ličnih podataka.

(2) U suprotnom, ove informacije dostavljaju se u bilo koje vrijeme, uz odgovarajuću naknadu koja ne prelazi iznos troškova dostavljanja informacija.

(3) Kontrolor podataka dužan je dostaviti ove informacije u pisanoj i razumljivoj formi, u roku od 30 dana od dana podnošenja zahtjeva.

Član 26.

(Odbijanje zahtjeva)

(1) Kontrolor podataka ne može odbiti da pruži informaciju nosiocu podataka osim u slučajevima kada je to zakonom predviñeno.

(2) Kontrolor podataka navest će razlog zbog kojeg je odbijen zahtjev za dobivanje tražene informacije. 11

(3) Kontrolor podataka će Agenciji podnositi godišnji izvještaj o odbijenim zahtjevima nosioca podataka.

Član 27.

(Ispravke i brisanje podataka)

Nosilac podataka i sva druga lica na koja je izvršen prijenos podataka s ciljem njihove obrade bit će obaviješteni o svim ispravkama i brisanju podataka. Takve informacije mogu biti uskraćene, s obzirom na svrhu obrade, ako se time ne narušava opravdan interes nosioca podataka.

Član 28.

(Utvrñivanje izuzetaka u pravima)

(1) Kontrolor podataka nije dužan pružiti informaciju o obradi ličnih podataka niti omogućiti pristup ličnim podacima, ako bi se time mogla nanijeti značajna šteta legitimnim interesima sljedećih kategorija u Bosni i Hercegovini:

a) državne sigurnosti;

b) odbrane;

c) javne sigurnosti;

d) preventive, istrage, otkrivanja krivičnih djela i gonjenja izvršilaca, te povrede etičkih pravila profesije;

e) privrednim i finansijskim interesima, uključujući monetarna, budžetska i poreska pitanja;

f) inspekcijskim i drugim kontrolnim dužnostima;

g) zaštiti nosioca podataka ili prava i sloboda drugih.

(2) Ovakva ograničenja dozvoljena su samo u mjer i u kojoj su potrebna u jednom demokratskom društvu u jednu od navedenih svrha.

Član 29.

(Donošenje odluke na osnovu automatske obrade podat aka)

(1) Kontrolor ne može donijeti odluku koja će proizvesti pravno djelovanje na nosioca podataka ili koja može značajno uticati na njega a cilj joj je procjena odreñenih ličnih odlika nosioca podataka, koja je isključivo zasnovana na automatskoj obradi ličnih podataka.

(2) Izuzetno od odredbe stava 1. ovog člana, odluka donesena isključivo na osnovu automatske obrade podataka proizvodi pravno djelovanje za nosioca podataka: 12

a) ako je donesena u postupku zaključivanja ili izvršavanja ugovora, pod uslovom da je zahtjev nosioca podataka ispunjen ili ako postoje od govarajuće mjere zaštite njegovih zakonitih interesa;

b) ako je kontrolor ovlašten na osnovu zakona, koji takoñer odreñuje mjere zaštite zakonitih interesa nosioca podataka, da donese takvu odluku.

Član 30.

(Podnošenje prigovora)

(1) Kada nosilac podataka ustanovi ili posumnja da su kontrolor ili obrañivač podataka povrijedili njegovo pravo ili da postoji direktna opasnost za povredu prava, može podnijeti prigovor Agenciji radi zaštite svojih prava i zahtijevati da:

a) se kontrolor ili obrañivač uzdrže od takvih radnji i isprave činjenično stanje prouzrokovano tim radnjama;

b) kontrolor ili obrañivač isprave ili dopune lične podatke tako da oni budu autentični i tačni;

c) lični podaci budu blokirani ili uništeni.

(2) O zahtjevu nosioca podataka iz stava (1) ovog člana Agencija donosi rješenje koje se dostavlja podnosiocu prigovora i kontroloru.

(3) Protiv rješenja Agencije nije dozvoljena žalba, ali se može pokrenuti upravni spor kod Suda Bosne i Hercegovine.

(4) Prilikom odlučivanja o prigovoru, Agencija postupa prema odredbama Zakona o upravnom postupku.

Član 31.

(Oslobañanje od odgovornosti)

(1) Agencija može osloboditi kontrolora podataka odgovornosti ako dokaže da nije mogao spriječiti povredu prava nosioca podataka koju je prouzrokovalo lice koje radi na obradi ličnih podataka.

(2) Nosilac podataka, i pored toga, može zahtijevati od kontrolora ili obrañivača da obustavi nepravilnosti, ispravi nezakonito prouzrokovano činjenično stanje, izvrši ispravku, dopunu, blokadu ili uništi lične podatke.

Član 32.

(Odgovornost za štetu)

(1) Kontrolor podataka dužan je nadoknaditi materijalnu ili nematerijalnu štetu nosiocu podataka ako mu je ona nanesena zbog povrede prava na privatnost. 13

(2) U sporovima radi naknade štete nosilac podataka podnosi tužbu nadležnom sudu na čijem području ima prebivalište ili boravište, ili nadležnom sudu na čijem području kontrolor ima sjedište.

(3) Visinu novčane naknade za materijalnu štetu utvrñuje nadležni sud, osim ako se stranke pred sudom sporazumno ne dogovore o visini naknade.

(4) Nematerijalna šteta nadoknañuje se javnim izvinjenjem te isplatom pravične novčane naknade.

(5) Kontrolor podataka odgovarat će ako je povredu prava nosioca podataka, propisanih ovim zakonom, nanio i obrañivač.

Član 33.

(Oslobañanje od odgovornosti za štetu)

(1) Kontrolor podataka može se osloboditi odgovornosti za štetu, u cjelini ili djelimično, ako dokaže da nije odgovoran za dogañaj koji je doveo do nastanka štete.

(2) Obeštećenje neće biti isplaćeno za štetu koju je oštećena strana prouzrokovala namjerno ili krajnjom nepažnjom.

POGLAVLJE IV. ORGAN ZADUŽEN ZA ZAŠTITU PODATAKA

Član 34.

(Djelokrug propisivanja)

Na sva pitanja organizacije i upravljanja te druga pitanja značajna za funkcioniranje Agencije kao upravne organizacije, kao što je donošenje pravilnika o unutrašnjoj organizaciji i ostalih podzakonskih propisa, upravni nadzor, odnos izmeñu institucija Bosne i Hercegovine, te odnos Agencije prema pravnim i fizičkim licima, u mjeri u kojoj nisu propisana ovim zakonom, primjenjuje se Zakon o ministarstvima i drugim organima uprave Bosne i Hercegovine i Zakon o upravi.

Član 35.

(Definicija Agencije)

Agencija je samostalna upravna organizacija osnovana radi osiguranja zaštite ličnih podataka na čijem čelu je direktor.

Član 36.

(Finansiranje)

Sredstva potrebna za finansiranje rada Agencije osiguravaju se iz budžeta institucija Bosne i Hercegovine i meñunarodnih obaveza Bosne i Hercegovine.

Član 37.

14

(Uspostavljanje Agencije)

(1) Sjedište Agencije je u Sarajevu.

(2) Agencija može imati odjele i ostale organizacione jedinice koje se uspostavljaju pravilnikom o unutrašnjoj organizaciji.

Član 38.

(Radni odnosi u Agenciji)

(1) Zaposleni u Agenciji su državni službenici i zaposlenici.

(2) Radni odnosi državnih službenika koji rade u Agenciji ureñuju se Zakonom o državnoj službi u institucijama Bosne i Hercegovine.

(3) Radni odnosi zaposlenih u Agenciji ureñuju se Zakonom o radu u institucijama Bosne i Hercegovine.

(4) Radna mjesta na kojima rade državni službenici i ostali zaposleni ureñuju se pravilnikom o unutrašnjoj organizaciji.

Član 39.

(Nacionalna zastupljenost)

Struktura državnih službenika i zaposlenika u Agenciji općenito odražava nacionalnu strukturu stanovništva BiH prema popisu stanovništva iz 1991. godine.

Član 40.

(Nadležnosti i poslovi Agencije)

(1) Poslovi iz nadležnosti Agencije su:

a) nadgledanje provoñenja odredbi ovog Zakona i drugih zakona o obradi ličnih podataka;

b) postupanje po podnesenim prigovorima nosioca podataka;

c) podnošenje Parlamentarnoj skupštini Bosne i Hercegovine godišnjeg izvještaja o zaštiti ličnih podataka;

d) praćenje uslova za zaštitu ličnih podataka davanjem prijedloga za usvajanje ili izmjenu zakona koji se odnose na obradu ličnih podataka, te davanje mišljenja s prijedlozima tih zakona i briga o ispunjavanju kriterija zaštite podataka koji proističu iz meñunarodnih sporazuma obavezujućih za Bosnu i Hercegovinu.

(2) Agencija je ovlaštena da:

a) posredstvom inspekcije, nadzire ispunjavanje obaveza propisanih ovim zakonom; 15

b) vodi Glavni registar;

c) prima primjedbe i prigovore grañana koje se odnose na kršenje ovog Zakona;

d) donosi provedbene propise, smjernice ili druge pravne akte, u skladu sa Zakonom;

e) nalaže blokiranje, brisanje ili uništavanje podataka, privremenu ili trajnu zabranu obrade, upozorava ili opominje kontrolora;

f) podnosi zahtjev za podnošenje prekršajnog postupka u skladu s ovim Zakonom;

g) daje savjete i mišljenja u vezi sa zaštitom ličnih podataka;

h) sarañuje sa sličnim organima u drugim državama;

i) obavlja druge dužnosti propisane zakonom;

j) nadzire iznošenje ličnih podataka iz Bosne i Hercegovine.

Član 41.

(Kontrola koju vrši Agencija)

(1) Kad uoči da je neka obrada ličnih podataka nezakonita, Agencija zahtijeva od kontrolora da prekine takvu obradu te nalaže druge mjere. Kontrolor bez odgañanja preduzima naložene mjere i o tome u roku od 15 dana pisanim putem informira Agenciju.

(2) U obavljanju dužnosti Agencija može zahtijevati od kontrolora ili obrañivača podataka da joj dostavi informacije o bilo kojem pitanju, a može izvršiti i uvid u bilo koji dokument i evidenciju u kojima mogu biti lični podaci.

(3) Agencija ima pravo ulaska u sve prostorije u kojima se vrši obrada podataka. Ulazak i kontrola imovine i prostorija kontrolora podataka koji nisu propisani zakonom mogu se obavljati samo tokom radnog vremena.

(4) Državne i službene tajne neće biti prepreka za Agenciju u ostvarivanju njenih prava navedenih u ovom članu, ali odredbe o tajnosti su i za Agenciju obavezujuće.

(5) Javni organi vlasti obavezni su Agenciji, na njen zahtjev, pružiti podršku u provoñenju njenih dužnosti.

Član 42.

(Rukovoñenje V direktor)

(1) Agencijom rukovodi direktor Agencije (u daljnjem tekstu: direktor).

(2) Za svoj i rad Agencije direktor odgovara Vijeću ministara.

Član 43.

16

(Imenovanje direktora)

(1) Direktora imenuje Vijeće ministara u skladu sa Zakonom o ministarskim i drugim vladinim imenovanjima u Bosni i Hercegovini.

(2) Direktor se imenuje na mandat od četiri godine, uz mogućnost ponovnog imenovanja.

Član 44.

(Posebni uslovi za imenovanje direktora)

Osim uslova utvrñenih Zakonom o ministarskim imenov anjima, kandidat za direktora mora imati:

a) obrazovanje diplomiranog pravnika;

b) pet godina radnog iskustva na poslovima rukovoñenja u upravi;

c) dokazano iskustvo u oblasti poštivanja ljudskih prava;

d) priznat visok moralni status.

Član 45.

(Uslovi za razrješenje direktora)

Vijeće ministara može razriješiti direktora prije isteka mandata:

a) na njegov zahtjev;

b) ako trajno nije u mogućnosti obavljati svoje dužnosti;

c) ako se utvrdi nezakonit rad Agencije;

d) ako mu je konačnom odlukom utvrñena disciplinska odgovornost;

e) ako mu je izrečena pravosnažna kazna zatvora za krivično djelo.

Član 46.

(Dužnosti i odgovornosti direktora)

(1) Direktor:

a) predstavlja Agenciju;

b) izrañuje godišnji plan rada prema smjernicama predsjedavajućeg Vijeća ministara, te godišnji budžet Agencije i predlaže ih na usvajanje Vijeću ministara;

c) rukovodi i usmjerava poslove iz nadležnosti Agencije; 17

d) predlaže nadležnom organu pokretanje pregovora vezanih za zaključivanje meñunarodnih sporazuma o saradnji u vezi s pitanjima zaštite ličnih podataka;

e) pravi stalne analize radi racionalnog rasporeda zaposlenih i tehničkih sredstava.

(2) Osim dužnosti i odgovornosti iz stava (1) ovog člana, direktor obavlja i druge poslove, kao što su:

a) predlaganje Vijeću ministara pravilnika o unutrašnjoj organizaciji, uključujući ukupan broj zaposlenih i kriterije za popunjavanje, drugih pravilnika i propisa predviñenih zakonom, u skladu sa Zakonom o ministarstvima i drugim organima uprave Bosne i Hercegovine;

b) imenovanje rukovodilaca organizacionih jedinica Agencije;

c) dodjeljivanje zadataka pomoćnicima direktora u skladu sa zakonom;

d) odlučivanje o pravima i dužnostima iz radnog odnosa državnih službenika i ostalih zaposlenih u skladu s važećim zakonima iz ove oblasti;

e) nabavljanje opreme i drugih materijalnih sredstava za potrebe Agencije;

f) podnošenje godišnjeg izvještaja o radu Vijeću ministara, a po potrebi ili na zahtjev ministra, podnošenje i posebnih izvještaja;

g) dostavljanje izvještaja Parlamentarnoj skupštini Bosne i Hercegovine i Vijeću ministara;

h) obavljanje i drugih dužnosti propisanih zakonom.

(3) Direktor je odgovoran za zakonit rad Agencije i zakonito trošenje sredstava dodijeljenih Agenciji iz budžeta institucija Bosne i Hercegovine i meñunarodnih obaveza Bosne i Hercegovine.

Član 47.

(Kontrola aktivnosti Agencije)

Parlamentarna skupština Bosne i Hercegovine može, po potrebi, zatražiti da se izvrši kontrola rada Agencije.

POGLAVLJE V. KAZNENE ODREDBE

Član 48.

(1) Novčanom kaznom u iznosu od 50.000 KM do 100.000 KM kaznit će se za prekršaj kontrolor ako:

a) protupravno obrañuje posebnu kategoriju ličnih podataka (član 9.);

b) prenosi lične podatke u inozemstvo ako u državi u koju se prenose nisu zadovoljeni uslovi predviñeni u članu 5. ovog Zakona i pod uslovom da strani kontrolor za sve podatke ne ispoštuje iste principe zaštite podataka (član 18.); 18

(2) Za prekršaj iz stava (1) ovog člana kaznit će se kontrolor kao odgovorno lice novčanom kaznom u iznosu od 1.000 KM do 15.000 KM.

(3) Za prekršaj iz stava (1) ovog člana kaznit će se kontrolor kao zaposlenik novčanom kaznom u iznosu od 500 KM do 10.000 KM.

Član 49.

(1) Novčanom kaznom u iznosu od 10.000 do 100.000 KM kaznit će se za prekršaj kontrolor ako:

a) obrañuje lične podatke suprotno članu 4. ovog Zakona;

b) obrañuje lične podatke bez saglasnosti nosioca podataka (član 5. stav (1));

c) obrañuje lične podatke bez saglasnosti nosioca podataka, a nije ispunjen ni jedan od uslova iz člana 6.;

d) ne provjeri da li su lični podaci koje obrañuje autentični i tačni (član 7. stav (1));

e) bez odgañanja ne uništi netačne i nepotpune podatke (član 7. stav (2));

f) obrañuje lične podatke na osnovu posebnog zakona a ne poštuje pravo na zaštitu privatnog i ličnog života nosioca podataka (član 8. stav (1));

g) prenosi lične podatke, odnosno objedinjuje dosjee i evidencije a da nisu zadovoljeni propisani uslovi (član 8. stav (2));

h) automatski obrañuje posebnu kategoriju ličnih podataka a da nije osigurao zakonom predviñenu zaštitu (član 10.);

i) ne preduzme neophodne mjere i postupke protiv neovlaštenog ili slučajnog pristupa, mijenjanja, uništenja ili gubitka, neovlaštenog prijenosa, drugih oblika nezakonite obrade, kao i mjere protiv zloupotrebe ličnih podataka (član 11. stav (2));

j) ne sačini plan sigurnosti podataka (član 11. stav (4));

k) povjeri obradu ličnih podataka obrañivaču a da s njim ne sačini ugovor o tome (član 12. stav (1));

l) obrañivač podataka ako prenese svoju odgovornost na drugog obrañivača a da za to nije izričito dobio uputstvo kontrolora (član 12. stav (4));

m) protupravno da lične podatke korisniku (član 17.);

n) podatke prikupljene i pohranjene u statističke, arhivske i naučne svrhe koristi u druge svrhe (član 20. stav (1));

o) objavi informaciju dobivenu prilikom obrade ličnih podataka u statističke, arhivske i naučne svrhe bez saglasnosti nosioca podataka (član 21.); 19

p) ne postupi po zahtjevu Agencije da prekine nezakonitu obradu ličnih podataka i ne preduzme naložene mjere (član 41. stav (1));

q) kontrolor ili obrañivač koji ne dostavi informaciju po zahtjevu Agencije ili onemogući Agenciji uvid u bilo koji dokument ili evidenciju u kojima mogu biti lični podaci (član 41. stav (2));

r) onemogući ulazak službenicima Agencije u bilo koje prostorije u kojima se vrši obrada ličnih podataka (član 41. stav (3));

(2) Za prekršaj iz stava (1) ovog člana kaznit će se kontrolor kao odgovorno lice novčanom kaznom u iznosu od 500 KM do 10.000 KM.

(3) Za prekršaj iz stava (1) ovog člana kaznit će se kontrolor kao osoba u radnom odnosu novčanom kaznom u iznosu od 300 KM do 5.000 KM.

Član 50.

(1) Novčanom kaznom u iznosu od 5.000 KM do 50.000 KM kaznit će se za prekršaj kontrolor ako:

a) obrañuje lične podatke na osnovu saglasnosti nosioca podataka koja nije sačinjena u skladu s članom 5. stav (2);

b) ne može dokazati da postoji saglasnost i ako ne čuva saglasnost za vrijeme obrade ličnih podataka za čiju obradu je data saglasnost (član 5. st.

(4) i (5));

c) povjeri obradu ličnih podataka obrañivaču a da ugovor ne sadrži propisane elemente (član

12. stav (2));

d) obrañivač podataka počne obradu na osnovu ugovora ili pravnog akta koji ne obavezuje obrañivača prema kontroloru (član 12. stav (3));

e) ne uspostavi i ne vodi propisanu evidenciju (član 13.);

f) ne dostavi Agenciji podatke iz evidencije iz člana 13. (član 14. stav (1));

g) uspostavi zbirku ličnih podataka prije dostavljanja zahtjeva Agenciji (član 14. stav (2));

h) počne uspostavljanje zbirke ličnih podataka a da nije dobio saglasnost Agencije ili da nisu istekla dva mjeseca od podnošenja zahtjeva Agenciji (član 14. stav (3));

i) u roku od 14 dana, ne dostavi Agenciji podatke o uspostavljanju zbirke ličnih podataka ili o primjenama u formiranim zbirkama (član 14. stav (5));

j) ne vodi posebnu evidenciju o ličnim podacima koji su dati korisniku (član 17. stav (5));

k) obrañuje lične podatke u novinarske svrhe, svrhe umjetničkog i literarnog izražavanja suprotno odredbama o sigurnosti i povjerljivosti podataka (član 19. stav (2));

l) lične podatke ne učini anonimnim nakon obrade za statističke, arhivske i naučne svrhe (član 20. stav (2)); 20

m) ne osigura, prilikom obrade podataka za statističke, arhivske i naučne svrhe, nivo zaštite propisan ovim zakonom (član 20. stav (3));

n) prije početka prikupljanja podataka ne obavijesti nosioca podataka, osim ako on nije već obaviješten o tome (član 22.);

o) ne obavijesti nosioca podataka o trećoj strani koja mu je dostavila lične podatke (član 23.);

p) ne obavijesti nosioca podataka o obradi njegovih podataka (član 24.);

q) na osnovu pismenog zahtjeva nosioca podataka, ne dostavi jednom godišnje, bez naknade, informaciju u vezi s obradom njegovih ličnih podataka (član 25. stav (1));

r) ne dostavi informaciju u pisanoj i razumljivoj formi u roku od 30 dana od dana podnošenja zahtjeva (član 25. stav (3));

s) odbije zahtjev za pružanje informacije a da to nije zakonom predviñeno (član 26. stav (1));

t) ne navede razloge zbog kojih je odbijen zahtjev kojim je tražena informacija (član 26. stav (2));

u) ne podnese Agenciji godišnji izvještaj o odbijenim zahtjevima (član 26. stav (3));

v) donese odluku isključivo na osnovu automatske obrade ličnih podataka (član 29.).

(2) Za prekršaj iz stava (1) ovog člana kaznit će se kontrolor kao odgovorno lice novčanom kaznom u iznosu od 200 KM do 5.000 KM.

(3) Za prekršaj iz stava (1) ovog člana kaznit će se kontrolor kao osoba u radnom odnosu novčanom kaznom u iznosu od 100 KM do 1.000 KM.

Član 51.

Novčanom kaznom u iznosu od 500 do 5.000 KM kaznit će se za prekršaj lice koje obrañuje lične podatke protivno uslovima i obimu koje odredi kontrolor ili obrañivač (član 16. stav (1)).

Član 52.

Novčanom kaznom u iznosu od 500 KM do 5.000 KM kazn it će se za prekršaj odgovorno lice u javnom organu koje:

a) ne donese propis s ciljem provoñenja ovog Zakona (član 11. stav (3));

b) ne pruži podršku Agenciji u provoñenju njene dužnosti (član 41. stav (5)).

POGLAVLJE VI. PRIJELAZNE I ZAVRŠNE ODREDBE

Član 53.

21

(Donošenje podzakonskih propisa)

(1) Vijeće ministara donijet će propise iz čl.11. i 15. ovog Zakona u roku od šest mjeseci od dana stupanja na snagu ovog Zakona.

(2) Vijeće ministara može donijeti i druge propise neophodne za provoñenje ovog Zakona.

Član 54.

(Postupak pristupa informacijama od javnog interesa)

Odredbe ovog Zakona uzet će se u obzir prilikom pri mjene Zakona o slobodi pristupa informacijama.

Član 55.

(Mjere u prijelaznom periodu)

(1) Kontrolor, koji je obrañivao lične podatke do dana stupanja na snagu ovog Zakona i koji podliježe obavezi iz člana 15., dužan je izvršiti ovu obavezu najkasnije u roku od šest mjeseci od dana stupanja na snagu ovog Zakona.

(2) Obrada ličnih podataka izvršena prije stupanja na snagu ovog Zakona bit će usaglašena s ovim zakonom do 31. decembra 2006. godine.

Član 56.

(Imenovanja)

(1) Agencija će početi raditi na osnovu posebne odluke Vijeća ministara, ali ne prije 1. januara 2006. godine.

(2) Do završetka imenovanja direktora, Komisija za zaštitu ličnih podataka, imenovana u skladu sa Zakonom o zaštiti ličnih podataka ("Službeni glasnik BiH, br.32/01), nastavlja raditi u skladu s ovim zakonom.

Član 57.

(Prestanak važenja prethodnog zakona)

(1) Danom stupanja na snagu ovog Zakona prestaje važiti Zakon o zaštiti ličnih podataka ("Službeni glasnik BiH", br. 32/01).

(2) Propisi doneseni na osnovu Zakona o zaštiti ličnih podataka ("Službeni glasnik BiH", br.32/01) primjenjivat će se do donošenja propisa na osnovu ovog Zakona.

Član 58.

(Stupanje na snagu)

Ovaj Zakon stupa na snagu osmog dana od dana objavljivanja u "Službenom glasniku BiH". 22

PSBiH broj 308/06

23. maja 2006. godine Sarajevo

Predsjedavajući Predstavničkog doma Parlamentarne skupštine BiH Martin Raguž, s. r.

Predsjedavajući Doma naroda Parlamentarne skupštine BiH Mustafa Pamuk , s. r.