Novi standardi zaštite ličnih podataka u BiH

Kompanija Paragraf Lex organizovala je, u Sarajevu, 24. i 25. februara 2026. godine, savjetovanje na temu “Novi standardi zaštite ličnih podataka u BiH”.

Prvog dana savjetovanja Nedžmija Kukričar, inspektor u penziji Agencije za zaštitu ličnih podataka BiH jasno je objasnila šta zakon zahteva, kako izgleda inspekcijski nadzor i koje greške organizacije najčešće prave.

Drugi dan je posvećen praktičnoj primeni kroz stvarne slučajeve iz prakse. Ensar Osmić, stručnjak iz oblasti usklađenosti i upravljanja regulatornim rizicima vodio je radionice zasnovane na konkretnim situacijama i dilemama iz svakodnevnog poslovanja.

I DAN

NAJČEŠĆE NEDOUMICE U PRIMJENI NOVOG ZAKONA O ZAŠTITI LIČNIH PODATAKA

• Novi pojmovi: kontrolor, javni i nadležni organ, izrada profila, pseudonimizacija, genetski podatak, obavezujuća poslovna pravila, poslovni nastan,
• Posebna kategorija ličnih podataka sa aspekta posebnih slučajeva obrade,
• Pravni osnov za obradu ličnih podataka: saglasnost, izvršenje ugovora u kojem je nosilac podataka ugovorna strana, poštovanje pravnih obaveza kontrolora radi zaštite kljućnih interesa nosioca podataka,
• Izvršenje zadatka u javnom interesu, legitimni interes kontrolora ili treće strane,
• Obaveze kontrolora kroz primjenu principa obrade ličnih podataka (opšte obaveze)
• Posebne obaveze (ugovor sa obrađivačem, evidencije, obavještavanje o povredi, procjena uticaja, službenik za zaštitu ličnih podataka),
• Rok za usklađivanje poslovanja i najčešće greške koje se javljaju u ovom segmentima

PRIPREMA ZA INSPEKCIJSKI NADZOR

• Zadaci i ovlaštenja Agencije:
• Inspekcijski nadzor: neposredni (redovni, vanredni, revizijski inspekcijski nadzor) i posredni;
• Najava i predmet inspekcijskog nadzora,
• Sačinjavanje zapisnika i sadržina zapisnika - prevntive mjere
• Donošenje rješenja i izvršenje naloženih mjera

Pitanja i odgovori, diskusija

II DAN

ZAŠTITA LIČNIH PODATAKA U PRAKSI (STUDIJE SLUČAJA):

• Registar aktivnosti obrade, mapiranje tokova podataka (izvori, sistemi, primaoci), pravni osnov (ugovor, zakon, legitimni interes, saglasnost), minimizacija i rokovi čuvanja.
• Procjena uticaja na zaštitu podataka, kada je obavezna/preporučljiva; koraci procjene, matrica rizika i plan mjera; vođenje traga odluka.
• Obrađivači i treće strane, obavezni elementi ugovora o obradi, podugovarači, lokacija obrade (on-prem/cloud), kontrola pristupa, revizije i nadzor.
• Međunarodni prijenosi, uslovi za zakonit prenos, procjena zaštite u zemlji primaoca, dokumentovanje odluke i informisanje lica.
• Povrede podataka (incidenti), otkrivanje i klasifikacija, hitne mjere, rokovi i sadržaj obavještavanja, evidencija povreda i post-incidentne “naučene lekcije”.
• Prava lica i postupanje po zahtjevima, pristup, ispravka, brisanje, ograničenje, prenosivost, prigovor; provjera identiteta i rokovi; vođenje zapisnika.
• Posebne situacije, posebne kategorije podataka (npr. zdravlje, biometrika), video nadzor, profilisanje i automatizovano odlučivanje.
• Kultura i obuka, obavezna edukacija zaposlenika, izjave o povjerljivosti, kratki test provjere razumijevanja.

Materijali za učesnike radionice:

• Šablon registra aktivnosti obrade (sa primjerom popune).
• Okvir i obrazac za procjenu uticaja (matrica rizika + plan mjera).
• Uzorak ugovora o obradi sa listom provjera za obrađivače i klauzulama nadzora.
• Obrazac za prijavu povrede i dnevnik povreda (evidencija).
• Set obrazaca za zahtjeve lica (pristup, ispravka, brisanje, ograničenje, prenosivost, prigovor) sa uputama za rokove.
• Checklista za internu “pre-audit” provjeru (dokazi, trag odluka, rokovi čuvanja).
• Smjernice za klasifikaciju podataka i rokove čuvanja (kratki vodič za operativu).

Pitanja i odgovori, diskusija

TEHNIČKA I ORGANIZACIONA SIGURNOST LIČNIH PODATAKA U PRAKSI

• Tehničke i organizacione mjere prema GDPR-u u praksi (interne politike, pristup zasnovan na riziku te razlika između formalne usklađenosti i stvarne sigurnosti),
• Dobra praksa u zaštiti ličnih podataka (upravljanje identitetima (identitetom), kontrola pristupa i segmentacija, enkripcija i nadzor aktivnosti)
• Najčešći incidenti u BiH i regionu (phishing napadi, neovlašteni pristupi, greške zaposlenih i gubitak nezaštićenih uređaja),
• Ključne organizacione mjere kod incidenata (jasne uloge i odgovornosti, obuka zaposlenih),
• Upravljanje GDPR incidentima (kada tehnički incident postaje GDPR incident, rok od 72 sata i dokumentovanje mjera),
• Saradnja IT-a, pravne službe i usklađenosti (podjela odgovornosti, pravna procjena obaveza i koordinacija funkcije usklađenosti),
• Održivi sistem zaštite ličnih podataka (povezivanje GDPR-a sa informacionom sigurnošću, stalna unapređenja i digitalna otpornost).

Pitanja i odgovori, diskusija