Serbia catches up with the GDPR: New Data Protection Law adopted

Find the Serbian version below | Verzija na srpskom jeziku se nalazi ispod

---

After a public hearing that lasted more than a year, the National Assembly of the Republic of Serbia adopted the new Data Protection Law (the "Law") on 9 November 2018.
Until the Law comes into force on 21 August 2019, the currently valid law will apply except for the provisions on the Central Register of Databases, which are no longer in force. Nevertheless, according to the published Notice of the Commissioner for Personal Data Protection (the "Commissioner"), the obligation to establish or register in already established databases still exists under Articles 48, 49 and 51 of the currently applicable law, as does the obligation to submit records of databases to the Commissioner.
The provisions of the Law itself have been modelled after and largely comply with the provisions of the GDPR, as part of the wider process of harmonising the national law of Serbia with EU law, which was one of the main reasons for the adoption of the new Law.
Besides many novelties, the new Law elaborates certain procedures, rights, obligations and competences in more detail.
Some of the most important novelties are set out below:

1. Extension of territorial application

A more precisely defined and extended territorial application of the provisions of the Law is a significant change, as it refers to controllers and processors who process personal data of persons domiciled or residing in Serbia, regardless of the controller's or processor's location.
This Law applies to the processing of personal data by a controller or processor having its seat (domicile or residence) in Serbia as part of activities being carried out in Serbia, regardless of whether the data processing is carried out in Serbia.
Application of the Law has also been extended to the processing of personal data of persons residing or domiciled in Serbia by controllers or processors outside of Serbia, if the processing activities are related to the offer of goods or services to a data subject in Serbia, whether for payment or not, and to monitoring the activities of the data subject if carried out in Serbia.

2. Double penalties

The new Law prescribes double the maximum penalties compared to the current law. However, the Law has not achieved full compliance with the GDPR in this respect.

• The maximum penalty for a breach of the Law is now RSD 2 million (approx. EUR 17,000).

This is still far less than the penalties imposed by the GDPR, which provides for a maximum penalty of up to 4 % of global annual turnover for the preceding financial year, or EUR 20 million, whichever is higher.

3. Consent to processing

Unlike the currently applicable law which requires a handwritten form of consent (which due to technological advances causes enormous problems in practice), the new Law now includes an extended definition of consent.
Consent is now defined as any freely given, specific, informed and unambiguous expression of will of a person, by which that person, through a statement or clear affirmative action, grants their consent to the processing of personal data relating to them.

• Consent can now also be granted online in accordance with the "tick-the-box" principle, which greatly facilitates e-commerce and all types of business using modern electronic technologies.

4. Rights of data subjects

4.1 Notification of breach:
The controller is obliged to notify the data subject of the breach without delay if the breach can result in high risk to the data subject's rights and freedoms.
Right to access:
The controller is obliged at the data subject's request to provide a copy of the data being processed free of charge. The delivery may also be made electronically. This change significantly increases transparency and improves the position of data subjects.

4.2 Right to correction of data:
This right allows incorrect data about the data subject to be corrected, without undue delay.

4.3 Right to erasure of data:
The data subject is entitled to ask the controller to erase personal data, to cease further data transmission, and stop the processing of data by third parties in the case of erasure of data.
Data must be erased if it is no longer necessary to achieve the purpose of the processing or if consent to processing has been revoked. When deciding on a request for data erasure, it is also necessary to consider the public interest in the availability of these data, which may outweigh the private interest in erasing it, in which case there will be no erasure (the Law prescribes other exceptions from this rule).

4.5 Right to limit the scope of processing:
The data subject is entitled to limit the processing of their data by the controller in the following cases: (i) if the data subject contests the accuracy of the data; (ii) if the processing is illegal, and the data subject is opposed to erasure and instead requests restriction of the use of the data; (iii) if the controller no longer needs the personal data for the purpose of the processing, but the data subject requested it for the purpose of submitting, exercising or defending a legal claim; and (iv) if the data subject has lodged an objection to the processing, and the assessment of whether the legal basis for processing by the controller prevails over the interests of that person is ongoing.

4.6 Right to data portability:
The person that previously provided data to the controller shall have the right to receive data from the controller in a structured, commonly used and machine-readable format, and the right to transmit this information to another controller, without interference from the first controller.

5. More precise and detailed definition of personal data

The Law introduces a more precise and detailed definition of personal data to ensure the broadest legal protection possible for individuals.
Personal data is thus defined as any data that refers to a natural person whose identity has been determined or is determinable, directly or indirectly, based on identity parameters, such as name or identification number, location data, identifiers in electronic communication networks or one or more features of the person's physical, physiological, genetic, mental, economic, cultural or social identity.
According to the Law, a natural person can now be determined based on identifiers in electronic communication networks, based on their devices, applications, tools and protocols, such as internet address protocols, cookie identifiers or other identifiers, such as radio frequency labels.

6. Protection measures

The controller shall be obliged to implement necessary protection mechanisms during processing to protect the rights and freedoms of data subjects.
When determining the processing method, or during processing, the controller shall be obliged to (i) use appropriate technical, organisational and personnel measures, such as pseudonymisation, aimed at ensuring the effective application of personal data protection principles, such as reducing the amount of data; and (ii) ensure the application of necessary protection mechanisms during processing to meet conditions for processing as prescribed by this Law and to protect the rights and freedoms of data subjects.
The controller is obliged to ensure through the application of technical, organisational and personnel measures that only those personal data necessary for the realisation of each individual processing purpose are processed. This refers to the collection of data, the scope of its processing, the duration of data retention and data availability.

7. Transfer of personal data to other countries

The Law regulates the procedure for the transfer of personal data out of the country in more detail, based on an adequate level of data protection. An adequate level of data protection is provided in countries and international organisations that are members of the Council of Europe Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, or in countries or international organisations that the EU has determined provide an adequate level of protection. The primary level of protection is deemed to be provided if an international data transfer agreement is concluded.
The government's list of countries that provide or do not provide the adequate level of protection shall be published in the Official Gazette.
If transfer is planned to a country that is not on the list of countries providing an adequate level of protection, the transfer can only be carried out if data protection measures are ensured and if protection of rights and legal protection of the data subject is provided, with the special consent of the Commissioner.

8. Legal remedies and liability

In addition to an appeal, which is already prescribed, several legal remedies available to the data subject are now envisaged in the event of a breach of their rights, such as: (i) an objection to the controller about the manner in which data are processed; (ii) the right to direct a complaint to the Commissioner; (iii) the right to initiate an administrative dispute; and (iv) direct judicial protection (review of a final judgment rendered on claims under paragraphs 2 and 3 of Article 84 of the Law).

9. More complete regulation of personal data security

Several personal data protection measures (technical, organisational and personnel) are prescribed:

• pseudonymisation and cryptographic data protection;
• ensuring indefinite confidentiality, integrity, availability and resilience of processing systems and services;
• re-access and availability in case of physical or technical disruption; and
• regular testing of processing safety measures.

A procedure is also prescribed in case a breach occurs, i.e. the obligation to notify the supervisory body and data subjects. The controller will be obliged to document every personal data breach, including facts about the breach, its consequences and activities undertaken to eliminate them, and this documentation will serve as a basis for the Commissioner when determining whether the controller acted in accordance with the Law.

10. Privacy impact assessment (PIA)

If some type of processing is likely to result in a high risk to the rights and freedoms of natural persons, in particular due to the use of new technologies and taking into account the nature, scope, circumstances and purpose of processing, before starting the processing the controller shall assess its impact on personal data protection. The Law further specifies cases in which an impact assessment is required. These include large-scale systematic surveillance in public areas, and systematic and comprehensive assessment of the status and characteristics of a natural person with the aid of automated processing, including profiling, etc.

11. Data protection officer (DPO)

A personal data protection officer must be appointed when the core activities of the controller or processor consist of processing operations which, by their nature, scope or purpose, require regular and systematic monitoring of many data subjects or processing of special categories of data.

12. Penalty provisions

The Law foresees cases where a fine ranging from RSD 50,000 to RSD 2 million shall be imposed on a controller or processor having the status of a legal entity. This fine represents a difference in relation to the GDPR, which stipulates a maximum fine of up to EUR 20,000,000, i.e. up to 4 % of global annual turnover for the preceding financial year.
 
Conclusion:
Although the Law has largely adopted provisions and solutions from the GDPR, it is not harmonised with the GDPR in some respects, in particular those most important to ensuring its practical implementation (such as fines). It remains to be seen whether its effective implementation will be achieved or if Serbia will remain behind EU countries with respect to fundamental rights to privacy and personal data protection.

This article was co-authored by Aleksa Damjanac.

----------

We're on top of legal developments in Austria and CEE. Are you? Subscribe to our weekly updates!

 

---

Srbija se usklađuje sa GDPR-om: Usvojen je novi Zakon o zaštiti podataka o ličnosti

 

Narodna Skupština Republike Srbije usvojila je Novi Zakon o zaštiti podataka o ličnosti ("Zakon") 09.11.2018. godine nakon javne rasprave koja je trajala više od godinu dana.

Zakon počinje sa primenom 21.08.2019. godine, do kada će se primenjivati trenutno važeći zakon osim odredbi o Centralnom Registru zbirki podataka koje su prestale da važe, iako prema objavljenom Saopštenju Poverenika za zaštitu podataka o ličnosti ("Poverenik") i dalje postoji obaveza uspostavljanja ili evidentiranja već uspostavljenih zbirki podataka (iz člana 48, 49 i 51 trenutno važećeg Zakona), kao i obaveza dostavljanja Povereniku evidencija o zbirkama podataka odnosno evidencija o zbirkama.

Odredbe samog Zakona u velikoj meri odgovaraju i nastale su po uzoru na odredbe GDPR-a, kao deo šireg procesa usklađivanja nacionalnog prava Srbije sa pravom EU, što je bio jedan od glavnih razloga za donošenje novog Zakona.

Pored brojnih novina, novim Zakonom su detaljnije razrađeni pojedini postupci, prava, obaveze i nadležnosti.

U nastavku izlažemo samo neke od najvažnijih novina.

1. Proširenje teritorijalne primene

Značajnu promenu predstavlja preciznije definisana i proširena teritorijalna primena odredbi Zakona u odnosu na trenutno važeći zakon, pošto se odnosi na rukovaoce i obrađivače koji obrađuju lične podatke lica sa prebivalištem odnosno boravištem u Srbiji, bez obzira na lokaciju rukovaoca odnosno obrađivača.

Ovaj Zakon se primenjuje na obradu ličnih podataka od strane rukovaoca ili obrađivača sa sedištem (osnosno prebivalištem ili boravištem) u Srbiji, u okviru aktivnosti koje se vrše na teritoriji Srbije, bez obzira da li se radnje obrade vrše u Srbiji.

Primena je takođe proširena na obradu ličnih podataka lica koje imaju prebivalište, odnosno boravište na teritoriji Srbije, od strane rukovaoca, odnosno obrađivača koji nema sedište (odnosno prebivalište ili boravište) u Srbiji ako su radnje obrade vezane za ponudu robe ili usluga licu na koje se podaci odnose na teritoriji Srbije (bez obzira da li je zahtevana naknada za tu robu ili uslugu) i za praćenje aktivnosti lica na koje se podaci odnose, ako se aktivnosti vrše na teritoriji Srbije.

2. Duplo veće kazne

Novi Zakon predviđa duplo veće maksimalne kazne u odnosu na trenutno važeći zakon. Međutim u ovom smislu Zakon nije postigao potpunu usklađenost sa GDPR-om.

• Maksimalna kazna za povrede odredbi zakona je sada RSD 2,000,000 (EUR 17,000)

Ovo je i dalje daleko od visokih kazni koje je uveo GDPR, koji predviđa maksimalni iznos kazne do 4% ukupnog godišnjeg prometa na svetskom nivou u prethodnoj godini, odnosno EUR 20.000.000 koji god je iznos veći.

3. Pristanak na obradu

Za razliku od trenutno važećeg zakona prema kojem je obavezna forma pristanka pismena, što je izazvalo ogromne probleme u praksi imajući u vidu tehnološki napredak, novi Zakon sada predviđa proširenu definiciju pristanka.

Pristanak je sada određen kao svako dobrovoljno, određeno, informisano i nedvosmisleno izražavanje volje lica, kojim to lice, izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu podataka o ličnosti koji se na njega odnose.

• Pristanak se sada može dati i on-line po "tick-the-box" principu što značajno olakšava e-trgovinu, i svu vrstu poslovanja korišćenjem savremenih elektronskih tehnologija

4. Prava lica čiji se podaci obrađuju

4.1 Obaveštavanje o povredi:  

Rukovalac je sada dužan da bez odlaganja o povredi obavesti lice na koje se podaci odnose ukoliko povreda može da proizvede visok rizik po prava i slobode lica.

4.2 Pravo na pristup:

Rukovalac je u obavezi da na zahtev lica na koje se podaci odnose dostavi kopiju podataka koje obrađuje, bez naknade, a dostavljanje se može izvršiti i elektronskim putem. Ova promena značajno utiče na povećanje transparentnosti i poboljšanje položaja lica čiji se podaci obrađuju.

4.3 Pravo na ispravku podataka:

Ovo pravo omogućava ispravku netačnih podataka o licu na koje se podaci odnose, bez nepotrebnog odlaganja.

4.4 Pravo na brisanje podataka:

Lice na koje se podaci odnose ima pravo da zahteva od rukovaoca brisanje podataka o ličnosti, zaustavljanje daljeg prenosa podataka, kao i zaustavljanje obrade podataka od strane trećih lica u slučaju brisanja podataka.

Obaveza brisanja, između ostalog, postoji u slučaju kada podaci nisu više neophodni za ostvarivanje svrhe ili ako je opozvan pristanak na osnovu kojeg se obrada vršila. Prilikom odlučivanja o zahtevu za brisanje podataka potrebno je voditi računa i o javnom interesu za dostupnost ovih podataka, koji može biti značajniji od privatnog interesa za brisanje podataka, u kom slučaju neće doći do brisanja (Zakon predviđa i druge izuzetke od primene ovog prava).

4.5 Pravo na ograničenje obrade:

Lice na koje se podaci odnose ima pravo da se obrada podataka o njemu ograniči od strane rukovaoca u  sledećim slučajevima: (i) ako lice na koje se podaci odnose osporava tačnost podataka, (ii) ako je obrada nezakonita, a lice na koje se podaci odnose se protivi brisanju i umesto toga zahteva ograničenje upotrebe podataka; (iii) ako rukovaocu više nisu potrebni podaci o ličnosti za ostvarivanje svrhe obrade, ali ih je lice na koje podaci odnose zatražilo u cilju podnošenja, ostvarivanja ili odbrane pravnog zahteva; i (iv) ako je lice na koje se podaci odnose podnelo prigovor na obradu, a u toku je procenjivanje da li pravni osnov za obradu od strane rukovaoca preteže nad interesima tog lica.

4.6 Pravo na prenosivost:

Lice koje je prethodno dostavilo podatke rukovacu ima pravo da primi od njega podatke u strukturisanom, uobičajeno korišćenom i elektronski čitljivom obliku i prenese ove podatke drugom rukovaocu bez ometanja prvog rukovaoca.

5. Preciznija i detaljnija definicija podatka o ličnosti

Zakon uvodi detaljniju i precizniju definiciju podatka o ličnosti prema kojoj je podatak o ličnosti definisan tako da se obuhvata širok pojam, čime se nastojala obezbediti što veća pravna zaštita lica.

Naime, podatak o ličnosti je svaki podatak koji se odnosi na fizičko lice čije je identitet određen ili odrediv, neposredno ili posredno, posebno na osnovu oznake identiteta, kao što je ime ili idetifikacioni broj, podatka o lokaciji, identifikatora u elektronskim komunikacionim mrežama ili jednog odnosno više obeležja njegovog fizičkog, fiziološkog, genetskog, mentalnog, ekonomskog, kulturnog i društvenog identiteta.

Prema Zakonu sada se fizičko lice može odrediti na osnovu identifikatora u elektronskim komunikacionim mrežama, na osnovu njihovih uređaja, aplikacija, tool-ova i protokola, kao što su internet protokol adrese, coockie identifikatori, ili drugi identifikatori kao što su oznake radio frekvencije.

6. Mere zaštite

Rukovalac je u obavezi da primeni neophodne mehanizme zaštite u toku obrade, kako bi zaštitila prava i slobode lica na koje se podaci odnose.

Rukovalac je prilikom određivanja načina obrade ili u toku obrade dužan da (i) primeni odgovarajuće tehničke, organizacione i kadrovske mere, kao što je pseudonimizacija, koje imaju za cilj obezbeđivanje delotvorne primene načela zaštite podataka o ličnosti, kao što je smanjenje broja podataka; (ii) obezbedi primenu neophodnih mehanizama zaštite u toku obrade, kako bi se ispunili uslovi za obradu propisani ovim zakonom i zaštitila prava i slobode lica na koja se podaci odnose.

Obaveza rukovaoca je da primenom tehničkih, organizacionih i kadrovskih mera obezbedi da se uvek obrađuju samo oni podaci o ličnosti koji su neophodni za ostvarivanje svake pojedinačne svrhe obrade, što se odnosi na prikupljanje podataka, obim njihove obrade, rok čuvanja kao i na dostupnost  podataka.

7. Prenos podataka o ličnosti u druge zemlje

Zakon detaljnije uređuje postupak prenosa podataka ličnosti iz zemlje na osnovu primerenog nivoa zaštite. Primereni nivo zaštite obezbeđen je u državama i međunarodnim organizacijama koje su članice Konvencije Saveta Evrope o zaštiti lica u odnosu na automatsku obradu ličnih podataka, odnosno u državama ili međunarodnim organizacijama za koje je od strane Evropske unije utvrđeno da obezbeđuju primereni nivo zaštite. Smatra se da je primarni nivo zaštite obezbeđen ukoliko je zaključen međunarodni sporazum o prenošenju podataka.

Lista Vlade na kojoj se nalaze države koje obezbeđuju ili ne primereni nivo zaštite objavljuje se u Službenom glasniku.

Ukoliko je prenos planiran u zemlju koja se ne nalazi na listi zemalja koja obezbeđuje primereni nivo zaštite prenos se može izvršiti samo ukoliko su obezbeđene mere zaštite podatka i ako je licu na koje se podaci odnose obezbeđena zaštita prava i pravna zaštita, uz posebno odobrenje Poverenika.

8. Pravna sredstva i odgovornost

Pored žalbe, koja je i ranije bila propisana, sada se predviđa više pravnih sredstava koja su na raspolaganju licu čiji se podaci obrađuju, u slučaju povrede njegovih prava, a to su:  (i) prigovor rukovaocu na obradu podataka; (ii) pravo na pritužbu Povereniku; (iii) pravo na pokretanje upravnog spora; (iv) neposredna sudska zaštita (revizija pravnosnažne presude donete po tužbama iz stava 2 i 3 člana 84 Zakona).

9. Potpunije uređenje bezbednosti podataka o ličnosti

Propisuje se veći broj mera zaštite podataka o ličnosti (tehničkih, organizacionih i kadrovskih):

• pseudonimizacija i kriptozaštita podataka o ličnosti;
• obezbeđivanje trajne poverljivosti, integriteta, raspoloživosti i otpornosti sistema i usluga obrade;
• ponovni pristup i raspoloživost u slučaju fizičkih ili tehničkih smetnji; i
• redovno testiranje mera bezbednosti obrade.

Propisan je i postupak u slučaju da do povrede ipak dođe, odnosno obaveza obaveštavanja nadzornog tela i lica na koje se podaci odnose (rukovalac je dužan da dokumentuje svaku povredu podataka o ličnosti, uključujući i činjenice o povredi, njenim posledicama i preduzetim aktivnostima za njihovo otklanjanje, a ta dokumentacija će povereniku predstavljati osnov za utvrđivanje da li je rukovalac postupio u skladu sa Zakonom).

10. Procena uticaja na zaštitu podataka o ličnosti

Ako je verovatno da će neka vrsta obrade, posebno upotrebom novih tehnologija i uzimajući u obzir prirodu, obim, okolnosti i svrhu obrade, prouzrokovati visok rizik za prava i slobode fizičkih lica, rukovalac je dužan da pre nego što započne sa obradom izvrši procenu uticaja predviđenih radnji obrade na zaštitu podataka o ličnosti. Zakon dalje specificira slučajeve u kojima je procena uticaja neophodna (npr. sistematski nadzor na javnoj površini u velikoj meri, i sistematska i sveobuhvatna procena stanja i osobina fizičkog lica uz pomoć automatizovane obrade uključujući i profilisanje itd.).

11. Lice za zaštitu podataka

Lice za zaštitu podataka o ličnosti mora biti određeno kada se osnovne aktivnosti rukovaoca ili obrađivača sastoje u radnjama obrade koje po svojoj prirodi, obimu, odnosno svrhama zahtevaju redovan i sistematski nadzor velikog broja lica na koje se podaci odnose.

Osnovne aktivnosti rukovaoca ili obrađivača sastoje u obradi posebnih vrsta podataka o ličnosti ili podataka o ličnosti u vezi sa krivičnim presudama i kažnjivim delima u velikom obimu.

12. Kaznene odredbe

Zakonom su predviđeni slučajevi kada se određuje novčana kazna rukavaocu, odnosno obrađivaču koji ima svojstvo pravnog lica u rasponu od RSD 50.000 do RSD 2.000.000 što predstavlja razliku u odnosu na GDPR (koji predviđa maksimalni iznos kazne do EUR 20.000.000, odnosno do 4% ukupnog godišnjeg prometa na svetskom nivou u prethodnoj godini).

Zaključak:

Iako je Zakon u velikoj merio preuzeo odredbe i rešenja GDPR-a njegovo usvajanje imalo je veliki odjek u javnosti. Imajući u vidu da Zakon u nekim elementima, a naročito onim najvažnijim koje bi obezbedili njegovu primenu u praksi (visine kazne) odstupa od GDPR-a ostaje da se vidi da li će doći do njegove efikasne primene, ili će Srbija i dalje biti koja po pitanju poštovanja osnovnih prava na privatnost i zaštitu podataka o ličnosti zaostaje za zemljama Evropske Unije.