GDPR dokumentacija u Crnoj Gori – praktičan sistem bez generičkih šablona

GDPR dokumentacija obuhvata evidencije, obavještenja, ugovore i procedure kojima kompanija uređuje obradu podataka o ličnosti. ConsultHQ dokumente zasniva na stvarnim procesima, sistemima i odgovornostima klijenta. Tako dokumentacija podržava svakodnevni rad i pripremu za primjenu Zakona 133/2026, umjesto da ostane neupotrebljiv paket šablona.

Kompanijama obično ne nedostaje tekst politike privatnosti.

Veći problem nastaje kada taj tekst ne odgovara stvarnoj obradi. Dobavljači nijesu navedeni, rokovi čuvanja ne postoje, a zaposleni ne znaju šta rade kada prime zahtjev za brisanje ili prijavu incidenta.

Takva dokumentacija daje lažan osjećaj sigurnosti.

Naš pristup počinje procesima i podacima koje kompanija zaista koristi. Tek nakon toga uređujemo dokumente potrebne za dokaziv i održiv sistem usklađenosti.

Novi zakon počinje da se primjenjuje 19. marta 2027.

Zakon o zaštiti podataka o ličnosti objavljen je u „Službenom listu Crne Gore“ broj 133/2026 dana 11. septembra 2026. Stupio je na snagu 19. septembra 2026, dok njegova primjena počinje 19. marta 2027. godine. Službeni list

Prelazni period treba iskoristiti za provjeru stvarnog stanja.

Promjena naziva zakona u postojećoj politici privatnosti nije dovoljna. Kompanija treba da pregleda evidencije, pravne osnove, ugovore, pristup podacima, prava lica, incidente i rokove čuvanja.

Veće organizacije treba da uključe više funkcija.

HR, marketing, prodaja, finansije, IT i menadžment često koriste različite podatke i sisteme. Dokumentacija mora povezati njihove odgovornosti u jedan razumljiv model.

Šta obuhvata usluga GDPR dokumentacije

Tačan obim zavisi od djelatnosti, procesa, kategorija podataka i postojećeg nivoa uređenosti.

Usluga može obuhvatiti:

• pregled postojeće GDPR i interne dokumentacije;
• mapiranje obrada i tokova podataka;
• evidenciju aktivnosti obrade;
• matricu svrha i pravnih osnova;
• obavještenja o privatnosti;
• pravila čuvanja i brisanja podataka;
• procedure za ostvarivanje prava lica;
• proceduru za povredu podataka;
• ugovore sa obrađivačima;
• dokumentaciju o podobrađivačima;
• procjene legitimnog interesa kada su potrebne;
• DPIA dokumentaciju za visokorizične obrade;
• pravila kontrole pristupa i povjerljivosti;
• dokumentaciju za video-nadzor;
• evidencije saglasnosti kada se obrada zasniva na pristanku;
• obrasce i interne registre;
• kontrolu verzija i odobravanja dokumenata;
• plan redovnog ažuriranja.

Ne treba svakoj kompaniji svaki navedeni dokument.

Početni pregled pokazuje šta već postoji, šta treba izmijeniti i koji dokumenti stvarno nedostaju.

Dokumentacija počinje mapiranjem stvarne obrade

Dokument se ne može kvalitetno napisati bez razumijevanja procesa koji uređuje.

Zato prvo utvrđujemo gdje kompanija prikuplja podatke, zašto ih koristi i ko im pristupa.

Mapiranje može obuhvatiti podatke:

• zaposlenih;
• kandidata za posao;
• kupaca i korisnika;
• gostiju;
• poslovnih kontakata;
• dobavljača;
• posjetilaca;
• korisnika sajta;
• lica obuhvaćenih video-nadzorom;
• drugih kategorija koje proizlaze iz djelatnosti.

Za svaku važniju obradu utvrđujemo svrhu, kategorije podataka, sistem, primaoce, pravni osnov, rok čuvanja i odgovornu funkciju.

Tako dokumentacija nastaje iz poslovanja.

Ne iz gotovog paketa koji koristi iste formulacije za hotel, proizvodnu firmu i IT kompaniju.

Evidencija aktivnosti obrade postaje centralna mapa sistema

Evidencija aktivnosti obrade treba da pokaže šta kompanija radi sa podacima o ličnosti.

Ona može povezati:

• naziv poslovnog procesa;
• svrhu obrade;
• kategorije lica;
• kategorije podataka;
• pravni osnov;
• interne korisnike podataka;
• eksterne primaoce;
• sisteme i lokacije;
• rokove čuvanja;
• brisanje ili anonimizaciju;
• relevantne zaštitne mjere;
• odgovornu organizacionu funkciju.

Evidencija nema vrijednost ako sadrži samo opšte formulacije.

Mora odgovarati stvarnim aplikacijama, dobavljačima i procesima. Kada kompanija promijeni CRM, uvede novu aplikaciju ili započne novu obradu, evidenciju treba ponovo pregledati.

EU GDPR uređuje evidencije aktivnosti obrade, transparentnost, ugovore sa obrađivačima, prava lica, povrede podataka i procjene uticaja kroz odvojene, ali povezane obaveze. Zato jedna politika privatnosti ne može zamijeniti kompletan sistem dokumentacije. EUR-Lex

Obavještenje o privatnosti mora biti jasno i konkretno

Obavještenje o privatnosti treba da objasni obradu osobi čiji se podaci koriste.

To nije isti dokument za svaku situaciju.

Kompaniji mogu biti potrebna različita obavještenja za:

• korisnike sajta;
• kupce;
• goste;
• poslovne kontakte;
• zaposlene;
• kandidate za posao;
• video-nadzor;
• određene digitalne servise;
• druge posebne procese.

Obavještenje treba da prati stvarnu svrhu, pravni osnov, rok čuvanja, primaoce i prava lica.

EDPB naglašava da informacije o obradi treba pružiti jasno, razumljivo i dostupno, prije ili tokom obrade, zavisno od načina prikupljanja podataka. European Data Protection Board

Generička formulacija poput „podatke možemo dijeliti sa pouzdanim partnerima“ često ne daje dovoljno dobru sliku stvarnog sistema.

Prvo treba utvrditi ko su partneri i kakvu ulogu imaju. Tek tada dokument može precizno opisati obradu.

Politika privatnosti sajta nije cijela GDPR dokumentacija

Javna politika privatnosti ima važnu funkciju.

Ona ipak ne uređuje sve interne odgovornosti kompanije.

Ne može sama pokazati:

• ko odobrava novu obradu;
• kako se vodi evidencija aktivnosti;
• ko odgovara na zahtjev lica;
• kako se prijavljuje incident;
• kada se podaci brišu;
• ko provjerava dobavljača;
• kako se odobrava podobrađivač;
• kada je potrebna DPIA;
• kako se mijenja dokumentacija.

Zato javni dokument treba povezati sa internim procedurama i evidencijama.

Informacije koje kompanija daje licima moraju odgovarati načinu rada unutar organizacije.

Pravne osnove dokumentujemo prema konkretnoj svrsi

Pristanak nije najbolji niti jedini osnov za svaku obradu.

Kompanija može koristiti podatke radi ugovora, pravne obaveze, legitimnog interesa ili drugog odgovarajućeg osnova, zavisno od procesa i primjenjivih pravila.

Dokumentacija treba da pokaže vezu između:

• svrhe;
• vrste podataka;
• pravnog osnova;
• očekivanja lica;
• roka čuvanja;
• načina korišćenja.

Kada kompanija koristi legitimni interes, može biti potrebna dokumentovana procjena tog interesa.

Kada koristi pristanak, treba urediti način njegovog davanja, dokazivanja i povlačenja.

Cilj nije pronaći jednu osnovu koja će pokriti sve procese.

Cilj je da svaki važniji proces ima opravdan i dokumentovan osnov.

Rokovi čuvanja moraju postati stvarno pravilo brisanja

Formulacija „podatke čuvamo koliko je potrebno“ često nije dovoljna za operativni sistem.

Zaposleni iz nje ne može zaključiti kada konkretan dokument treba obrisati ili arhivirati.

Zato izrađujemo raspored čuvanja podataka koji može povezati:

• kategoriju dokumentacije;
• poslovnu svrhu;
• relevantnu obavezu;
• početak računanja roka;
• period čuvanja;
• način brisanja ili anonimizacije;
• odgovornu funkciju;
• eventualno privremeno zaustavljanje brisanja zbog spora ili postupka.

Rokovi treba da odgovaraju stvarnim procesima i primjenjivim obavezama.

Isti rok ne mora važiti za prijavu neuspješnog kandidata, ugovor aktivnog zaposlenog i dokumentaciju bivšeg kupca.

Ugovori sa obrađivačima moraju pratiti stvarnu uslugu

Kompanije koriste cloud servise, CRM platforme, hosting, računovodstvo, obračun zarada, marketinške alate i IT podršku.

Neki od tih partnera mogu obrađivati podatke u ime kompanije.

Tada odnos treba urediti odgovarajućim ugovorom ili ugovornim odredbama.

Dokumentacija treba da obuhvati, prema stvarnoj usluzi:

• predmet i trajanje obrade;
• svrhu i prirodu obrade;
• kategorije podataka;
• kategorije lica;
• uputstva kompanije;
• povjerljivost;
• bezbjednosne mjere;
• prijavljivanje incidenta;
• pomoć pri ostvarivanju prava;
• brisanje ili vraćanje podataka;
• angažovanje podobrađivača;
• dostupnost informacija potrebnih za provjeru.

EDPB navodi da rukovalac treba koristiti obrađivače koji daju dovoljne garancije i imati informacije o procesorima i podobrađivačima kroz lanac obrade. Obim provjere zavisi od procesa i rizika, ali odgovornost ne nestaje sklapanjem ugovora. European Data Protection Board

Zato ugovor preuzet sa sajta dobavljača treba pregledati prema stvarnoj ulozi i obradi.

Registar dobavljača daje pregled spoljnog lanca podataka

Kompanija često zna koje aplikacije koristi, ali nema jedinstven pregled toga ko preko njih pristupa podacima.

Registar dobavljača može povezati:

• naziv partnera;
• uslugu;
• njegovu ulogu;
• kategorije podataka;
• lokacije obrade;
• podobrađivače;
• ugovornu dokumentaciju;
• bezbjednosne informacije;
• datum posljednje provjere;
• vlasnika odnosa unutar kompanije.

Ne treba svakom dobavljaču isti nivo provjere.

Servis koji obrađuje osjetljive podatke ili veliki broj zapisa zahtijeva drugačiju pažnju od dobavljača koji nema pristup podacima o ličnosti.

Procedure za prava lica povezuju više odjeljenja

Pravo na pristup, ispravku ili brisanje ne može se sprovesti samo preko jedne email adrese.

Kompanija treba da zna kako prepoznaje zahtjev i ko njime upravlja.

Procedura može urediti:

• kanale za prijem zahtjeva;
• provjeru identiteta;
• evidentiranje zahtjeva;
• pretragu sistema;
• uključivanje relevantnih odjeljenja;
• procjenu mogućih ograničenja;
• donošenje odluke;
• pripremu odgovora;
• bezbjednu dostavu informacija;
• čuvanje dokaza o postupanju.

EDPB navodi da rukovalac treba unaprijed razviti postupak za zahtjeve za pristup i pretražiti relevantne IT i ne-IT sisteme prema načinu na koji su podaci organizovani. European Data Protection Board

Procedura treba da bude dovoljno jasna da može funkcionisati i kada je odsutna osoba koja je prvi put uspostavila sistem.

Procedura za povredu podataka štedi vrijeme tokom incidenta

Incident se ne može kvalitetno dokumentovati tek nakon što nastane.

Kompanija treba unaprijed da odredi ko prima prijavu i ko procjenjuje situaciju.

Dokumentacija može obuhvatiti:

• interni obrazac za prijavu;
• osnovne informacije o događaju;
• vrijeme otkrivanja;
• pogođene sisteme i podatke;
• broj i kategorije pogođenih lica;
• moguće posljedice;
• mjere ograničavanja štete;
• procjenu rizika;
• odluku o obavještavanju;
• komunikaciju sa pogođenim licima;
• završni zapis i korektivne aktivnosti.

Kada se EU GDPR neposredno primjenjuje i povreda vjerovatno predstavlja rizik, rukovalac obavještava nadležni organ bez nepotrebnog odlaganja, najkasnije 72 sata nakon saznanja. Obrađivač prijavljuje povredu rukovaocu, dok visok rizik može zahtijevati i informisanje pogođenih lica. European Commission

Ne treba svaku grešku automatski predstavljati kao incident koji zahtijeva istu reakciju.

Procedura treba da omogući dokumentovanu procjenu.

DPIA dokumentacija prati visokorizične obrade

Procjena uticaja na zaštitu podataka nije univerzalni obrazac za svaki proces.

Koristi se kada obrada može stvoriti visok rizik za prava i slobode lica.

DPIA dokumentacija može obuhvatiti:

• opis obrade;
• svrhu i poslovni cilj;
• kategorije podataka i lica;
• tehnologiju i tok podataka;
• procjenu neophodnosti i proporcionalnosti;
• identifikovane rizike;
• postojeće mjere;
• dodatne mjere;
• preostali rizik;
• odgovornosti;
• datum odobravanja i ponovnog pregleda.

DPIA ne treba izrađivati nakon što kompanija već mjesecima koristi visokorizičan sistem.

Treba je povezati sa odobravanjem nove tehnologije ili značajne promjene obrade.

Dokumentacija za zaposlene traži poseban pristup

Podaci zaposlenih nalaze se u ugovorima, evidencijama rada, obračunu zarada, bolovanjima, procjenama i disciplinskoj dokumentaciji.

Zato HR procesi često zahtijevaju zasebne dokumente i pravila.

To može uključiti:

• obavještenje zaposlenima;
• obavještenje kandidatima;
• rokove čuvanja prijava;
• kontrolu pristupa personalnim dosijeima;
• pravila korišćenja fotografija;
• dokumentaciju za interne istrage;
• povjerljivost;
• postupanje nakon prestanka radnog odnosa;
• odnose sa pružaocima payroll ili HR usluga.

Dokumentacija treba da prati način na koji HR stvarno radi.

Ne treba da navodi sisteme ili svrhe koje organizacija nema.

Video-nadzor zahtijeva više od jedne naljepnice

Obavještenje uz kameru predstavlja samo jedan dio dokumentacije.

Kompanija treba da ima jasan razlog za korišćenje video-nadzora i kontrolisan način upravljanja snimcima.

Relevantna dokumentacija može obuhvatiti:

• svrhu nadzora;
• obuhvat kamera;
• odgovornu funkciju;
• pravila pristupa;
• rok čuvanja;
• način preuzimanja snimka;
• evidenciju pristupa;
• postupanje po zahtjevu lica;
• zaštitu sistema;
• procjenu rizika ili DPIA kada je potrebna.

Kamera ne treba da snima širi prostor nego što opravdana svrha zahtijeva.

Dokumentacija mora odgovarati stvarnom položaju i funkciji sistema.

Dokumentacija sajta mora odgovarati korišćenim alatima

Politika privatnosti sajta treba da prati stvarnu tehničku konfiguraciju.

Kontakt forma, analitika, hosting, newsletter, chat, mapa ili ugrađeni sadržaj mogu uključiti različite tokove podataka.

Zato pregled može obuhvatiti:

• informacije uz kontakt forme;
• privacy notice;
• cookie mehanizam;
• analitičke i marketinške alate;
• slanje newslettera;
• hosting i održavanje sajta;
• rok čuvanja upita;
• dostupnost zahtjeva lica;
• dokumentovanje saglasnosti gdje je potrebna.

Ne treba kopirati listu kolačića ili dobavljača sa drugog sajta.

Dokumentacija mora odgovarati tehnologiji koju kompanija zaista koristi.

Međunarodne tokove dokumentujemo kada postoje

Međunarodni transfer nije centralna tema svake domaće kompanije.

Ipak, može biti relevantan kada kompanija koristi strane cloud dobavljače, radi za evropskog klijenta ili omogućava pristup podacima iz druge države.

Tada dokumentacija može obuhvatiti:

• mapu tokova podataka;
• lokacije obrade;
• ugovorni mehanizam;
• standardne ugovorne klauzule kada su primjenjive;
• informacije o podobrađivačima;
• dodatne mjere;
• pravila daljih prenosa.

Ovaj dio uključujemo samo kada poslovni model i stvarni tokovi podataka to zahtijevaju.

Ne pravimo dodatnu transfer dokumentaciju kompaniji koja takvu obradu nema.

Kontrola verzija sprečava korišćenje zastarjelih pravila

GDPR dokumentacija se mijenja zajedno sa poslovanjem.

Nova aplikacija, dobavljač, svrha obrade ili organizaciona odgovornost mogu učiniti postojeći dokument netačnim.

Zato uređujemo:

• vlasnika dokumenta;
• odobravanje;
• broj ili datum verzije;
• pregled izmjena;
• distribuciju;
• povlačenje stare verzije;
• rok narednog pregleda;
• okidače za vanredno ažuriranje.

Dokument ne treba mijenjati samo zato što je prošla godina.

Treba ga mijenjati kada se promijeni proces, propis ili rizik.

Postojeću dokumentaciju ne odbacujemo bez razloga

Mnoge kompanije već imaju korisne ugovore, pravilnike i procedure.

Nema razloga da ih ponovo pišemo samo da bi dobili drugačiji naslov.

Prvo ih upoređujemo sa stvarnom obradom i zahtjevima sistema.

Dokument može:

• ostati bez izmjene;
• zahtijevati manju dopunu;
• biti spojen sa drugim dokumentom;
• biti zamijenjen jer više ne odgovara procesu;
• biti uklonjen jer duplira drugu kontrolu.

Takav pristup smanjuje trošak i olakšava primjenu.

Zaposleni lakše prihvataju sistem koji koristi već poznate poslovne tokove.

Šta dobijate nakon uređenja GDPR dokumentacije

Rezultat nije folder univerzalnih Word fajlova.

Kompanija dobija dokumentacioni sistem povezan sa stvarnim obradama i odgovornostima.

U zavisnosti od obima, rezultat može uključiti:

• pregled postojeće dokumentacije;
• mapu nedostajućih dokumenata;
• evidenciju aktivnosti obrade;
• matricu pravnih osnova;
• prilagođena obavještenja;
• raspored čuvanja i brisanja;
• procedure za prava lica;
• proceduru za povrede podataka;
• ugovorne odredbe za obrađivače;
• registar relevantnih dobavljača;
• DPIA dokumentaciju gdje je potrebna;
• pravila kontrole pristupa;
• evidencije i obrasce;
• uređenu kontrolu verzija;
• plan održavanja;
• obuku odgovornih zaposlenih za korišćenje dokumenata.

Tako sistem ostaje upotrebljiv nakon završetka projekta.

Kompanija zna ko održava dokumentaciju i kada je treba ponovo pregledati.

GDPR dokumentacija nije zvanična sertifikacija

Izrada dokumentacije ne predstavlja zvanični GDPR sertifikat niti odluku nadležnog organa.

Dokumenti sami po sebi ne mogu garantovati usklađenost ako ih organizacija ne primjenjuje.

ConsultHQ pomaže da kompanija prevede zahtjeve u procedure, odgovornosti i evidencije koje odgovaraju njenom poslovanju.

Kada je potrebno formalno pravno mišljenje, zastupanje ili tumačenje složenog pravnog odnosa, uključuje se odgovarajući pravni stručnjak.

Kada dokumentacija zavisi od dubinske tehničke procjene sistema, uključuje se IT ili stručnjak za informacionu bezbjednost.

Generički paket može biti jeftiniji, ali stvara veći rizik

Gotov paket politika djeluje kao brz odgovor.

Problem nastaje kada dokument navodi kontrole koje kompanija ne sprovodi ili izostavlja procese koje zaista ima.

Tada organizacija treba da dokazuje sistem kroz dokument koji joj zapravo proturječi.

Prilagođavanje traži više rada na početku.

Zauzvrat daje kraću, razumljiviju i pouzdaniju dokumentaciju koju zaposleni mogu održavati.

Najkorisniji prvi korak jeste pregled postojećih procesa i dokumenata.

Na osnovu njega možemo utvrditi šta kompanija treba da zadrži, šta da izmijeni i koje dokumente treba završiti prije 19. marta 2027.