Obaveze rukovaoca podataka koje mali poslovni sajtovi često previde

Mali poslovni sajt, sa kontakt formom, možda newsletterom i analitikom, čini vašu firmu rukovaocem podataka o ličnosti sa svim obavezama koje Zakon o zaštiti podataka o ličnosti propisuje; ne postoji „mali“ rukovalac sa manjim obavezama, postoji samo manji obim. Većina malih sajtova reši „privatnost“ jednom stranicom prepisanom sa interneta i banerom za kolačiće, a previdi ono što nadzor i nezadovoljni korisnik zaista traže: evidenciju i transparentnost (koje obrade, zašto, po kom osnovu, koliko dugo, i da li su lica o tome obaveštena), bezbednost i dobavljače (ko ima pristup, gde su kopije, šta se radi pri incidentu, ugovori sa servisima) i prava lica (šta se dešava kad neko zatraži svoje podatke ili brisanje, u kom roku). Ovaj tekst prolazi kroz te tri celine sa onim što se u praksi previdi i kako se to sređuje za dan-dva.

Napomena: tekst nije pravni savet; obaveze propisuje Zakon o zaštiti podataka o ličnosti, a smernice i obrasce daje Poverenik (poverenik.rs). Za sajtove ustanova važe dodatne obaveze, opisane u tekstu zaštita podataka i kolačići na sajtu ustanove; za odnos sa agencijom koja održava sajt, u tekstu ugovor o obradi podataka sa veb-agencijom.

Evidencija i transparentnost

Prva obaveza rukovaoca je da zna šta radi sa podacima i da to može da pokaže; druga je da to kaže ljudima čije podatke obrađuje. Obe se rešavaju jednom tabelom.

Svrhe, osnov i rokovi

Popis obrada na tipičnom malom sajtu: kontakt forma i forma za upit ili ponudu (ime, e-pošta, telefon, poruka, ponekad prilog); newsletter (e-pošta, ime, datum i način pristanka); nalozi korisnika ili kupaca ako postoji prodavnica ili zaštićeni deo (podaci naloga, porudžbine, adrese); analitika (IP adresa, identifikator, ponašanje); ugrađeni sadržaj (video, mape, društveni dodaci koji šalju podatke trećima); logovi servera i bezbednosni alati (IP adrese, pokušaji prijave); komentari ako su uključeni; zakazivanje ili čet ako postoji; i, izvan sajta, sanduče e-pošte u koje sve to stiže i gde ostaje godinama. Za svaki red: svrha jednom rečenicom („odgovor na upit“, „slanje newslettera“, „isporuka porudžbine“, „bezbednost sajta“); pravni osnov po zakonu: izvršenje ugovora ili predugovorne radnje (upit, porudžbina), pristanak (newsletter, opcioni kolačići, ugrađeni sadržaj), legitimni interes uz procenu (bezbednost, osnovna statistika bez identifikacije), zakonska obaveza (računi, poreski propisi); rok čuvanja: po propisu gde postoji (računovodstvena dokumentacija), inače najkraće što svrha traži (upit: do rešenja i kratko posle; newsletter: dok traje pristanak; logovi: nedelje), sa načinom brisanja (automatski u sistemu, ne „kad stignemo“); primaoci: hosting, agencija, servis za e-poštu, servis za newsletter, alat za analitiku, računovođa, kurir (prodavnica), i da li je neko van zemlje. Najčešće previđeno: unosi iz formi se čuvaju u bazi sajta zauvek (dodaci za forme to rade podrazumevano; podesiti brisanje po roku ili ne čuvati); newsletter lista napravljena od svih koji su ikad pisali (nema pristanka: ne sme); analitika i video koji rade pre pristanka; sanduče kao trajna arhiva ličnih podataka bez roka. Evidencija radnji obrade koju zakon traži od rukovaoca (uz određene izuzetke po veličini i vrsti obrade, koje proverava pravnik) u praksi je upravo ova tabela, sa podacima o rukovaocu, i čuva se ažurna; nije nešto što se pravi za nadzor, već ono iz čega se izvodi sve ostalo.

Informacije licima

Zakon traži da lice u trenutku prikupljanja dobije određene informacije: ko je rukovalac i kontakt (i kontakt lica za zaštitu podataka ako je određeno), svrha i pravni osnov, primaoci, prenos van zemlje ako postoji, rok čuvanja ili kriterijum, prava lica i kako se ostvaruju, pravo na pritužbu Povereniku, da li je davanje podataka obavezno i posledice nedavanja, i postojanje automatizovanog odlučivanja ako postoji. Gde se to daje: u politici privatnosti, pisanoj iz tabele obrada (po izvoru, jasnim jezikom, sa datumom i verzijom), i, što se najčešće previdi, uz samu formu: kratka rečenica ispod dugmeta („Podatke koristimo samo da odgovorimo na upit; čuvamo ih do rešenja. Više u politici privatnosti.“) sa linkom, i za newsletter posebna kućica koja nije unapred označena, sa tekstom šta se šalje i kako se odjavljuje. Kolačići i ugrađeni sadržaj: neophodni bez pristanka, uz navođenje u politici; opcioni (analitika sa kolačićima, video, mape, marketinški) tek posle pristanka koji se može odbiti jednako lako i kasnije povući; mali sajt često može bez banera: analitika bez kolačića i lokalno hostovani sadržaj. Dokazivost pristanka: za newsletter i opcione kolačiće čuva se ko, kad, na šta i kojom verzijom teksta je pristao (servisi za newsletter to beleže; alat za pristanak takođe); pristanak koji se ne može dokazati ne postoji. Deca: ako se sajt obraća maloletnima, posebna pravila za pristanak, o kojima odlučuje pravnik. Ažuriranje: politika se menja kad se promeni obrada (novi servis, nova forma, nova lokacija), ne jednom godišnje radi forme; datum i verzija na dnu. Naša politika privatnosti je napisana po ovoj strukturi i može poslužiti kao primer rasporeda, uz prilagođavanje vašim obradama i pravnu proveru.

Bezbednost i dobavljači

Rukovalac mora da primeni mere zaštite primerene riziku i da obezbedi da isto rade svi koji podatke obrađuju u njegovo ime. Za mali sajt to nije skupo, ali se retko uradi do kraja.

Pristupi, kopije i incidenti

Pristupi: svaka osoba (vlasnik, zaposleni, agencija) ima sopstveni nalog u WordPressu, hostingu i e-pošti, sa ulogom koja daje samo ono što treba (urednik nije administrator), dvofaktorskom zaštitom gde postoji, i sa ukidanjem kad osoba ode; lozinke u sefu za lozinke, ne u tabeli ni u poruci; najčešće previđeno: jedan „admin“ nalog koji svi dele, bivši zaposleni ili bivša agencija sa i dalje aktivnim pristupom, sanduče „info@“ čija lozinka kruži. Osnovna tehnička zaštita: HTTPS na celom sajtu, redovna ažuriranja WordPressa i dodataka, ograničenje pokušaja prijave, zaštita formi od zloupotrebe, minimalan broj dodataka; sve to spada u redovno održavanje; zašto je to i pitanje zaštite podataka, u tekstu zašto redovno održavanje sajta smanjuje rizik. Kopije: kopija sajta i baze sadrži sve lične podatke koje sajt čuva; zato se zna gde su kopije (hosting, druga lokacija, nečiji laptop), ko im pristupa, da li su šifrovane i koliko se čuvaju (kopija sa unosima iz formi od pre tri godine je i dalje obrada bez svrhe); najčešće previđeno: kopije na računaru agencije ili vlasnika bez roka i zaštite. Incidenti: zakon traži da rukovalac o povredi podataka koja može da proizvede rizik obavesti Poverenika u propisanom roku (i lica kad je rizik visok), i da vodi evidenciju povreda; za mali sajt to znači napisan postupak na pola strane: ko primećuje (nadzor, hosting, agencija), ko odlučuje, šta se prvo radi (izolacija, promena lozinki, kopija za analizu), ko obaveštava Poverenika i lica i u kom roku, gde se beleži; i jedan test godišnje. Tipični incidenti na malim sajtovima: upad kroz zastareo dodatak i ubačen kod, izvoz baze sa unosima iz formi, phishing na nalog e-pošte, pogrešno poslata tabela sa podacima kupaca; svaki od njih je povreda koja se procenjuje, a ne „ništa strašno“.

Ugovori sa servisima

Ko su vaši obrađivači: svaki servis ili firma koja podatke obrađuje u vaše ime: hosting provajder, agencija koja održava sajt, servis za e-poštu (Google Workspace, Microsoft 365, domaći provajder), servis za newsletter (Mailchimp, Brevo i slični), alat za analitiku, servis za forme ako je spoljni, servis za zakazivanje, čet, procesor plaćanja i kurir za prodavnice, računovođa za podatke kupaca na računima, alat za kopije. Šta zakon traži: pisani ugovor (ili uslove koje prihvatate) sa elementima koje zakon propisuje: predmet, trajanje, vrsta podataka, obrada samo po uputstvima, poverljivost, mere, podobrađivači, pomoć pri pravima lica, brisanje po prestanku, kontrola. Kako to izgleda u praksi za mali sajt: veliki servisi imaju standardni ugovor o obradi (obično „Data Processing Agreement/Addendum“) koji se prihvata u nalogu ili je deo uslova; treba ga pronaći, prihvatiti gde je potrebno i sačuvati kopiju; domaći hosting i agencija treba da ga ponude, a ako nemaju, tražite ga ili koristite obrazac koji pravnik prilagodi (šta u njemu mora da piše, u tekstu ugovor o obradi podataka sa veb-agencijom). Prenos van zemlje: većina stranih servisa obrađuje podatke van Srbije, što je dopušteno uz odgovarajući osnov (države sa odgovarajućim nivoom zaštite, standardne klauzule koje je utvrdio Poverenik, i dr.); to se navodi u tabeli obrada i u politici, a osnov potvrđuje pravnik; ne rešava se ignorisanjem. Lista dobavljača sa: naziv, šta obrađuje, lokacija, ugovor prihvaćen (datum, gde je kopija), kontakt; revidira se godišnje i pri svakoj promeni servisa. Najčešće previđeno: newsletter servis „besplatan plan“ bez prihvaćenog ugovora, agencija koja ima sve pristupe bez ikakvog ugovora, analitika i čet dodati „da probamo“ i zaboravljeni, kopije na servisu za koji niko ne zna gde je. Koji su izvori za proveru propisa i servisa, u tekstu korisni alati i izvori za vlasnike sajtova.

Prava lica

Treća grupa obaveza se aktivira kad se neko javi: „koje podatke imate o meni“, „obrišite me“, „prestanite da mi šaljete“. Mali sajtovi retko dobiju takav zahtev, pa nemaju proces; a kad ga dobiju, rok već teče.

Proces za zahteve

Koja prava lice ima (po zakonu, uz uslove i izuzetke): pristup (da sazna da li i koje podatke obrađujete, i da dobije kopiju), ispravku, brisanje (u određenim slučajevima, npr. kad podaci više nisu potrebni ili je pristanak povučen), ograničenje obrade, prenosivost (za podatke obrađivane na osnovu pristanka ili ugovora, automatizovano), prigovor (naročito na obradu po legitimnom interesu i na direktni marketing, gde je prigovor bezuslovan), povlačenje pristanka u svakom trenutku, i pravo na pritužbu Povereniku. Proces na pola strane: (1) Prijem: jedna adresa za zahteve (navedena u politici), i pravilo da zahtev koji stigne bilo kojim kanalom (e-pošta, forma, telefon, društvene mreže) ide toj osobi istog dana; (2) Provera identiteta srazmerna riziku (za pristup podacima: potvrda sa iste e-pošte ili dodatni podatak; ne tražiti kopiju lične karte za odjavu sa newslettera); (3) Pronalaženje: tabela obrada kaže gde da se traži (baza sajta, sanduče, newsletter servis, CRM, kopije, računovodstvo); (4) Odluka: da li se zahtev usvaja u celini, delimično ili odbija sa razlogom (npr. računi se ne brišu jer postoji zakonska obaveza čuvanja); (5) Odgovor u roku, pisano, jasnim jezikom, sa kopijom podataka u čitljivom obliku kad je zahtev za pristup, i sa uputstvom o pritužbi Povereniku; (6) Evidencija: datum prijema, šta je traženo, šta je urađeno, datum odgovora. Odjava sa newslettera je najčešći „zahtev“ i mora da radi jednim klikom, odmah, bez prijave; ako se posle odjave pošalje još jedan bilten, to je prigovor koji niste poštovali. Brisanje u praksi: iz baze sajta (unosi, nalog), iz sandučeta, iz newsletter servisa, iz CRM-a; kopije se ne prepravljaju, ali se podatak ne vraća u sistem pri obnovi, i kopije ionako ističu po roku; to se navodi u odgovoru.

Odgovornost i rokovi

Rokovi: zakon propisuje rok za odgovor na zahtev lica (po pravilu u danima od prijema, sa mogućnošću produženja u složenim slučajevima uz obaveštenje), rok za obaveštavanje Poverenika o povredi i obavezu da se odgovori bez odlaganja; tačne brojke proverite u važećem tekstu zakona i unesite u svoj proces, jer rok teče od prijema, ne od trenutka kad ste zahtev primetili. Odgovornost je rukovaočeva i kad grešku napravi agencija, hosting ili servis: zato postoje ugovori o obradi (da možete da tražite naknadu i saradnju), evidencija (da možete da dokažete šta ste uradili) i provere. Poverenik može da naloži mere i izrekne kazne po zakonu; ali češći trošak je gubitak poverenja kupca koji je tražio brisanje i dobio još tri biltena. Lice za zaštitu podataka je obavezno u određenim slučajevima (organi vlasti, obrade velikog obima, posebne kategorije podataka); za mali sajt obično nije, ali imenovana osoba koja vodi tabelu, proces i dobavljače jeste praktična potreba. Godišnja provera (dva sata): tabela obrada ažurna (novi servisi, forme, lokacije?), politika odgovara tabeli, tekstovi uz forme na mestu, pristanci za newsletter dokazivi, lista pristupa i ukidanje bivših, kopije sa rokom, ugovori sa svim dobavljačima sačuvani, postupak za incident i za zahteve poznat osobi koja ih prima, evidencija zahteva i incidenata vođena. Šta se sređuje za dan-dva na tipičnom malom sajtu: brisanje unosa iz formi po roku i tekst uz formu; newsletter kućica bez unapred označenog pristanka i čišćenje liste bez dokaza; analitika bez kolačića ili uz pristanak; ugrađeni sadržaj na klik; nalozi po imenu i ukidanje starih; kopije sa rokom; prihvatanje ugovora o obradi kod servisa; politika napisana iz tabele; adresa za zahteve i proces na pola strane. Sve to je deo onoga što radimo u okviru održavanja i pri preuzimanju sajta, sa proverom jednom godišnje; opisano na stranici održavanje sajtova.

Najčešća pitanja o obavezama rukovaoca za mali sajt

Tekst nije pravni savet. Obaveze propisuje Zakon o zaštiti podataka o ličnosti; rokovi i izuzeci proveravaju se u važećem tekstu i kod Poverenika. Rokovi čuvanja u tabeli su orijentacioni primeri. Pravna provera: planirana pre finalne verzije; ime recenzenta i datum provere biće navedeni ovde. Poslednja provera sadržaja: septembar 2026.