Dana 30. jula 2026. godine, Ministarstvo pravde Republike Srbije objavilo je Nacrt novog zakona o zaštiti podataka o ličnosti (u daljem tekstu: Nacrt) i otvorilo ga za javnu raspravu koja traje do 10. septembra 2026. godine. Gotovo sedam godina nakon početka primene važećeg Zakon o zaštiti podataka o ličnosti (u daljem tekstu: ZZPL), izrađen je nacrt novog zakona koji sa dosadašnjih 102 proširen na 175 članova i normira određene oblasti koje zakonodavac 2018. godine nije imao u vidu. Budući da je reč o nacrtu koji tokom javne rasprave još može biti izmenjen, u nastavku sledi pregled najznačajnijih novina, bez upuštanja u konačne ocene pre finalizacije teksta zakona.
Nova sistematizacija i izdvajanje obrade u posebne svrhe
Jedna od čestih zamerki važećem ZZPL-u bila je ta što je materiju obrade koju vrše nadležni organi u svrhe sprečavanja i istrage krivičnih dela i zaštite nacionalne bezbednosti (rešenja preuzeta iz tzv. Policijske direktive EU) uklopio u iste odredbe kojima se uređuje i redovna obrada podataka, čime je otežano tumačenje i primena zakona. Nacrt na to odgovara tako što zakon deli na tri dela i obradu od strane nadležnih organa „u posebne svrhe“ izdvaja u zaseban deo, uz shodnu primenu opštih odredbi. Pored toga, svako od osnovnih načela obrade, koja su do sada bila normirana u jednom članu, sada je razdvojeno u posebne odredbe.
Dve potpuno nove oblasti – veštačka inteligencija i video nadzor
Nacrt po prvi put uređuje obradu podataka o ličnosti putem veštačke inteligencije, razlikujući visokorizične sisteme, koji povlače obaveznu procenu uticaja i mišljenje Poverenika, od sistema koji neposredno komuniciraju sa pojedincem i sistema minimalnog rizika, uz obavezu označavanja generisanog, odnosno modifikovanog audio i video sadržaja. Obrada u svrhu razvoja i treniranja sistema veštačke inteligencije po osnovu legitimnog interesa dopuštena je samo „u izuzetnim slučajevima“, kada taj interes preteže nad pravima i slobodama lica. Takođe, Nacrtom se po prvi put uređuje režim video nadzora, koji obuhvata poslovni prostor, stambene zgrade i javne površine, načelnu zabranu praćenja rada zaposlenih osim u uskim izuzecima, kao i rok čuvanja snimaka od najduže šest meseci.
Legitimni interes dobija definiciju, a posebne kategorije se proširuju
Legitimni interes i po važećem zakonu postoji kao pravni osnov obrade, ali Nacrt po prvi put uvodi njegovu zakonsku definiciju, uobličenu, po uzoru na GDPR, oko zahteva neophodnosti, podobnosti i srazmernosti, kao i „razumnih očekivanja“ lica na koje se podaci odnose. Pooštravaju se i pravila o posebno osetljivim podacima, tako što se izričito dodaje „članstvo u političkom subjektu“, dok obrada biometrijskih podataka po osnovu pristanka zahteva da se licu ponudi manje zadiruća alternativa identifikacije.
Uvođenje modela standardnih ugovornih klauzula na sve vrste prenosa
Najznačajnija izmena u oblasti prenosa podataka u druge države tiče se standardnih ugovornih klauzula koje izrađuje Poverenik. Po važećem zakonu, te klauzule uređuju isključivo odnos između rukovaoca kao izvoznika i obrađivača kao uvoznika podataka, uz izostanak instrumenta prenosa u odnosu obrađivač-rukovalac, rukovalac–rukovalac ili obrađivač–obrađivač. Nacrt proširuje standardne ugovorne klauzule na sva četiri odnosa (rukovalac–rukovalac, rukovalac–obrađivač, obrađivač–obrađivač i obrađivač–rukovalac), po ugledu na modele standardnih klauzula EU, uz izričitu obavezu Poverenika da ih izradi i objavi uvažavajući evropsku praksu.
Kazne ostaju umerene, bez procenta od prometa
U pogledu kaznene politike, Nacrt ne uvodi kazne koje su na nivou GDPR-a. Najviši iznos novčane kazne u fiksnom iznosu za pravno lice ostaje nepromenjen (2.000.000 dinara) dok se podiže samo donji prag, sa 50.000 na 200.000 dinara. Ne uvodi se novčana kazna koja bi se vezivala za procenat od godišnjeg prometa,. Jedini suštinski nov mehanizam jeste mogućnost izricanja kazne srazmerno visini pričinjene štete ili vrednosti neizvršene obaveze, i to najviše do dvadesetostrukog iznosa, ali ograničeno na petostruki iznos najviših propisanih kazni, i primenjuje se samo kada postoji merljiva šteta ili obaveza.
Poverenik, pravna sredstva i zabrana masovne biometrijske identifikacije
Nacrt iznova uređuje sistem pravnih sredstava, razdvajajući „pritužbu“ koja se tiče ostvarivanja prava lica od šire „predstavke“ kojom se ukazuje na povredu zakona, i na postupak po pritužbi primenjuje pravila opšteg upravnog postupka, uz rok za odlučivanje od 60 dana, što je promena u odnosu na dosadašnje oslanjanje na okvir inspekcijskog nadzora. Nacrt uvodi i zabranu daljinske, masovne i neselektivne biometrijske identifikacije lica upotrebom sistema video nadzor.
Javna rasprava i dalji koraci
Budući da je javna rasprava otvorena do 10. septembra 2026. godine, pojedina rešenja još mogu biti izmenjena, dopunjena ili izostavljena. Ipak na osnovu svega navedenog, može se zaključiti da Nacrt teži bližem usklađivanju sa evropskim okvirom zaštite podataka, širi materiju na veštačku inteligenciju i video nadzor i uvodi kaznena rešenja koja, za sada, ostaju znatno ispod praga koji poznaje GDPR.
Autor: Petar Mijatović, advokat
