Član 49. Zakon o zaštiti ličnih podataka

(Obavezujuća poslovna pravila) (1) Obavezujuća poslovna pravila određuju najmanje: a) strukturu i podatke za kontakt-grupe privrednih subjekata koji obavljaju zajedničku privrednu djelatnost i svakog od njihovih članova; b) prijenose podataka ili skupove prijenosa, uz navođenje kategorije ličnih podataka, vrste obrade i njene svrhe, kategorije nosilaca podataka i određenja druge države ili država o kojima se radi; c) njihovu pravnoobavezujuću prirodu; d) primjenu principa zaštite podataka, a posebno ograničenja svrhe, smanjenja količine podataka, ograničenja roka čuvanja, kvaliteta podataka, tehničke i integrirane zaštite podataka, pravnog osnova obrade, obrade posebnih kategorija ličnih podataka, mjera za postizanje sigurnosti podataka i uslova u vezi s daljnjim prijenosom organima koji nisu obavezani obavezujućim poslovnim pravilima; e) prava nosilaca podataka u vezi s obradom i načine za ostvarenje tih prava, uključujući i pravo da se na njih ne primjenjuju odluke koje se zasnivaju isključivo na automatskoj obradi, što uključuje i izradu profila u skladu s članom 24. ovog zakona, pravo na prigovor Agenciji i pravo na sudsku zaštitu, u skladu s članom 110. ovog zakona, a u odgovarajućim slučajevima i pravo na naknadu štete za kršenje obavezujućih poslovnih pravila; f) da kontrolor podataka ili obrađivač sa sjedištem ili poslovnim nastanom na teritoriji Bosne i Hercegovine prihvata odgovornost za sva kršenja obavezujućih poslovnih pravila od bilo kojeg člana koji nema sjedište ili poslovni nastan u Bosni i Hercegovini ili je kontrolor podataka ili obrađivač u cjelini ili djelimično izuzet od odgovornosti ako dokaže da taj član grupe privrednih subjekata nije odgovoran za događaj koji je uzrokovao štetu; g) na koji način se nosiocima podataka, osim informacija iz čl. 15. i 16. ovog zakona, pružaju informacije o obavezujućim poslovnim pravilima, posebno o odredbama iz tač. d), e) i f) ovog stava; h) zadatke svakog službenika za zaštitu podataka imenovanog u skladu s članom 39. ovog zakona ili bilo kojeg drugog lica ili subjekta odgovornog za praćenje usklađenosti s obavezujućim poslovnim pravilima u grupi privrednih subjekata koji obavljaju zajedničku privrednu djelatnost, kao i praćenje osposobljenosti i rješavanje prigovora; i) postupke povodom prigovora; j) mehanizme unutar grupe privrednih subjekata koji obavljaju zajedničku privrednu djelatnost, kojima se osigurava provjera poštivanja obavezujućih poslovnih pravila, koji uključuju reviziju zaštite podataka i metode za osiguravanje korektivnih mjera za zaštitu prava nosioca podataka. Rezultate takve provjere potrebno je saopćiti licu ili subjektu iz tačke h) ovog stava i upravljačkom organu grupe privrednih subjekata koji obavljaju zajedničku privrednu djelatnost, a na zahtjev ih je potrebno staviti na raspolaganje Agenciji; k) mehanizme za izvještavanje i vođenje evidencije o promjenama pravila i izvještavanje Agencije o tim promjenama; l) mehanizam saradnje s Agencijom radi osiguravanja usklađenosti svakog člana grupe privrednih subjekata koji obavljaju zajedničku privrednu djelatnost, prije svega tako što se Agenciji stave na raspolaganje rezultati provjera mjera iz tačke j) ovog stava; m) mehanizme za izvještavanje Agenciji o bilo kakvim pravnim obavezama koje se odnose na člana grupe privrednih subjekata koji obavljaju zajedničku privrednu djelatnost i primjenjuju se u drugoj državi, a koje bi mogle značajno negativno uticati na garancije sadržane u obavezujućim poslovnim pravilima; n) odgovarajuće osposobljavanje iz oblasti zaštite ličnih podataka za osoblje koje ima stalan ili redovan pristup ličnim podacima. (2) Agencija odobrava obavezujuća poslovna pravila uz uslov da: a) su pravnoobavezujuća i da se primjenjuju na svakog zainteresiranog člana određene grupe privrednih subjekata koji obavljaju zajedničku privrednu djelatnost, što uključuje i njihove zaposlene, te da ih oni izvršavaju; b) nosiocima podataka izričito daju provediva prava u vezi s obradom njihovih ličnih podataka; c) ispunjavaju uslove iz stava (1) ovog člana. (3) Agencija može odrediti format i postupke razmjene informacija između kontrolora podataka, obrađivača i Agencije za obavezujuća poslovna pravila u smislu ovog člana.