Član 37. Zakon o zaštiti ličnih podataka

(Procjena uticaja obrade na zaštitu ličnog podatka) (1) Ako je vjerovatno da će neka vrsta obrade, posebno posredstvom novih tehnologija i uzimajući u obzir prirodu, obim, kontekst i svrhe obrade, uzrokovati visok rizik za prava i slobode fizičkih lica, kontrolor podataka prije obrade provodi procjenu uticaja predviđenih obrada na zaštitu ličnog podatka. (2) Pri provođenju procjene uticaja obrade na zaštitu ličnog podatka, kontrolor podataka traži savjet od službenika za zaštitu ličnih podataka, ako je imenovan. (3) Procjena uticaja obrade na zaštitu ličnog podatka iz stava (1) ovog člana obavezna je posebno u slučaju: a) sistemske i obimne procjene ličnih aspekata u vezi s fizičkim licima koja se zasniva na automatiziranoj obradi, uključujući profiliranje, i koja je osnov za donošenje odluka koje proizvode pravni učinak u odnosu na fizičko lice ili na sličan način značajno utiču na fizičko lice; b) obimne obrade posebnih kategorija ličnih podataka iz člana 11. stav (1) ovog zakona ili podataka koji se odnose na krivičnu osuđivanost i krivična djela iz člana 12. ovog zakona ili c) sistemskog praćenja javno dostupnog područja u velikoj mjeri. (4) Agencija utvrđuje i javno objavljuje listu vrsta postupaka obrade na koje se primjenjuje obaveza obavljanja procjene uticaja na zaštitu ličnih podataka, u skladu sa stavom (1) ovog člana. (5) Agencija može da utvrdi i javno objavi listu vrsta postupaka obrade za koje nije potrebna procjena uticaja na zaštitu ličnog podatka. (6) Procjena uticaja obuhvata najmanje: a) sistemski opis predviđenih obrada i svrha obrade, uključujući, ako je primjenjivo, legitiman interes kontrolora podataka; b) procjenu nužnosti i proporcionalnosti obrada povezanih s njihovim svrhama; c) procjenu rizika za prava i slobode nosioca podataka; d) predviđene mjere za rješavanje rizika, što uključuje zaštitne mjere, sigurnosne mjere i mehanizme za osiguranje zaštite ličnih podataka i dokazivanje usklađenosti s ovim zakonom, uzimajući u obzir prava i legitimne interese nosioca podataka i drugih uključenih lica. (7) Usklađenost kodeksa ponašanja iz člana 42. ovog zakona odobrenih od kontrolora podataka ili obrađivača uzima se u obzir prilikom procjene uticaja obrade koje primjenjuju ti kontrolori podataka ili obrađivači, posebno u svrhe procjene uticaja na zaštitu ličnih podataka. (8) Kontrolor podataka, prema potrebi, od nosioca podataka ili njegovog predstavnika traži mišljenje o namjeravanoj obradi, ne dovodeći u pitanje komercijalne ili javne interese ili sigurnost postupka obrade. (9) Ako obrada u skladu s članom 8. stav (1) tač. c) ili e) ovog zakona ima pravni osnov u posebnom zakonu koji se primjenjuje na kontrolora podataka, ako su tim zakonom uređene posebne obrade ili skup predmetnih radnji i ako je procjena uticaja na zaštitu ličnih podataka već provedena kao dio opće procjene uticaja u kontekstu donošenja pravnog osnova, st. (1) do (6) ovog člana se ne primjenjuju, osim ako je posebnim propisom utvrđeno da je potrebno provesti takvu procjenu prije obrade. (10) Kontrolor podataka, prema potrebi, preispituje da li je obrada izvršena u skladu s procjenom uticaja na zaštitu ličnih podataka, i to najmanje kada dođe do promjene u nivou rizika koji predstavljaju postupci obrade.