Zakon o zaštiti ličnih podataka Bosne i Hercegovine datire iz 2006. godine sa kasnijim izmjenama iz 2011. godine (u daljem tekstu: Zakon o zaštiti ličnih podataka) i predstavlja propis lex specialis u oblasti zaštite ličnih podataka. Pomenuti Zakon je nacionalnih okvira i primjenjuje se samo na području Bosne i Hercegovine.
GDPR (prev. Opšta uredba o zaštiti podataka – u daljem tekstu: GDPR uredba) je uredba donesena na nivou Europske Unije i direktno se primjenjuje u svakoj državi članici. Dakle, Europska Unija od 2018. godine, stupanjem na snagu navedene uredbe jedinstveno uređuje prava i obaveze u pogledu zaštite ličnih podataka i korisnika istih. GDPR uredba prvenstveno donosi nova pravila internog karakera koji se odnose na svaku organizaciju koja ima uvid, pohranjuje ili obrađuje lične podatke, ali i eksternog karaktera čija pravila imaju za cilj regulisanje postupanja organizacije sa uvidom ili pohranom određenih ličnih podataka i njihovim iznošenjem prema trećim licima. Pored navedenog, GDPR uredba jača položaj nadzornog organa i ostavlja mogućnost izricanja kazni od strane tijela za zaštitu ličnih podataka
Bosna i Hercegovina i druge treće države, razmatrajući sa gledišta Europske Unije, nemaju obavezu direktne primjene GDPR uredbe. S druge strane, a imajući u vidu samo kandidatski status Bosne i Hercegovine ka članstvu Europskoj Uniji Bosna i Hercegovina je dužna usklađivati nacionalne propise sa strandardima Europske Unije. Pomenuta dužnost harmonizacije propisa nije jedina tačka spajanja GDPR uredbe sa primjenom u Bosni i Hercegovini. Naime, članom 3. GDPR uredbe je propisano da se ista „odnosi na obradu ličnih podataka u kontekstu aktivnosti uspostave kontrolora ili obrađivača u Europskoj Uniji, bez obzira na to da li se obrada odvija u Europskoj Uniji ili ne.”
Shodno navedenom, kompanije izvan Europske Unije će biti predmet ove Uredbe, ako te kompanije nude robu ili usluge ili prate ponašanja stanovnika Europske Unije. Takva kompanija ima obavezu i interno urediti sistem u skladu sa zahtjevima GDPR uredbe bez obzira što se ne nalazi na prostoru Europske Unije.
GDPR uredom su propisani slučajevi kada se podaci se smiju obrađivati. Stoga za zakonitu obradu ličnih podataka mora postojati barem jedna od sljedećih pravnih osnova:
- Ispitanik je dao saglasnost za obradu podataka u jednu ili više posebnih svrha
- Obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se preduzele radnje na zahtjev ispitanika prije sklapanja ugovora
- Obrada je nužna radi poštivanja pravnih obaveza voditelja obrade
- Obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili drugog fizičkog lica
- Obrada je nužna za izvršavanje zadatka od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade
- Obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili osnovna prava i slobode ispitanika koji zahtijevaju zaštitu ličnih podataka, osobito ako je ispitanik dijete.
Navedeno obiluje mnogim pravnim standardima, što ukazuje da ipak pri svakoj preduzetoj radnji koja vodi ka obradi ličnih podataka treba procjeniti da li u konketnom slučaju postoji valjan pravni osnov za preduzimanje iste.
U slučaju kršenja odredbi GDPR uredbe nadzorni organi mogu izreći sankcije različitog sadržaja i vrste. Primjera radi mogu izreći sankciju pismenog upozorenje u slučaju nenamjernog prekršaja za prvi prekršaj, administrativne kazne u iznosu do 10 miliona eura ili do 2 % ukupnog godišnjeg prometa na svjetskom nivou za prethodnu godinu ili do 20 miliona eura (4% ukupnog godišnjeg prometa na svjetskom nivou za prethodnu godinu) itd.
