GDPR gap analiza – jasan plan usklađivanja prije primjene novog zakona

GDPR gap analiza poredi stvarne procese, dokumentaciju, ugovore i zaštitne mjere kompanije sa zahtjevima Zakona o zaštiti podataka o ličnosti 133/2026. ConsultHQ utvrđuje šta već funkcioniše, gdje postoje nedostaci i kojim redosljedom ih treba riješiti prije početka primjene novog režima 19. marta 2027.

Kompanije često počnu od politike privatnosti.

To je pogrešan redosljed ako prethodno nije jasno koje podatke firma obrađuje, zbog čega ih koristi, ko im pristupa i koliko dugo ih čuva.

Rezultat tada može biti uredan dokument koji ne opisuje stvarni način rada.

Gap analiza ide obrnutim putem. Prvo pregledamo poslovne procese, a tek zatim određujemo šta treba izmijeniti, dopuniti ili uvesti.

Novi zakon se primjenjuje od 19. marta 2027.

Novi Zakon o zaštiti podataka o ličnosti objavljen je u „Službenom listu Crne Gore“ broj 133/2026.

Zakon je stupio na snagu 19. septembra 2026, dok njegova primjena počinje 19. marta 2027.

Prelazni period kompanijama daje vrijeme da pregledaju postojeće obrade, dokumentaciju i odgovornosti.

Priprema ne treba da se svede na promjenu naziva zakona u postojećoj politici privatnosti.

Potrebno je provjeriti šta kompanija stvarno radi sa podacima.

Gap analiza pokazuje šta već imate i šta zaista nedostaje

Većina organizacija ne počinje od nule.

Postoje ugovori, HR pravilnici, prava pristupa, IT kontrole, evidencije, procedure i načini rada koji već pokrivaju dio zahtjeva.

Problem je što ti elementi često nijesu povezani u jasan sistem.

Gap analizom utvrđujemo:

• koje postojeće kontrole mogu ostati;
• gdje dokumentacija ne odgovara praksi;
• koje obrade nijesu dovoljno jasno uređene;
• gdje nedostaju odgovornosti;
• koji procesi nose veći rizik;
• šta treba riješiti prvo;
• koje izmjene mogu sačekati kasniju fazu.

Kompanija tako ne troši vrijeme na ponovno pisanje svega što već funkcioniše.

Fokus ostaje na stvarnim prazninama.

Analizu prilagođavamo poslovnom modelu kompanije

Ne koristimo univerzalnu checklistu kao konačan model usklađivanja.

Hotel, proizvodna firma, IT kompanija i manja profesionalna organizacija imaju različite procese i rizike.

Zato prvo određujemo obim analize.

Posmatramo:

• djelatnost;
• broj zaposlenih;
• kategorije lica čiji se podaci obrađuju;
• vrste podataka;
• sisteme i aplikacije;
• lokacije;
• dobavljače;
• način komunikacije sa klijentima;
• video-nadzor gdje postoji;
• međunarodne poslovne odnose kada su relevantni.

Tek nakon toga procjenjujemo potrebne kontrole.

Mapiramo podatke kroz stvarne poslovne procese

Kompanija ne može upravljati podacima koje nije identifikovala.

Zato gap analiza prati obradu kroz odjeljenja, sisteme i dokumentaciju.

Pregled može obuhvatiti podatke:

• zaposlenih;
• kandidata za posao;
• kupaca;
• korisnika;
• gostiju;
• poslovnih kontakata;
• dobavljača;
• posjetilaca;
• lica obuhvaćenih video-nadzorom;
• drugih kategorija relevantnih za poslovanje.

Za svaku važniju obradu utvrđujemo svrhu, kategorije podataka, pristup, sistem u kojem se podaci nalaze, rok čuvanja i odgovornu funkciju.

To daje realnu sliku postojećeg sistema.

Provjeravamo svrhu i pravni osnov obrade

Pristanak nije univerzalno rješenje.

Različiti procesi mogu zahtijevati različite pravne osnove.

Gap analiza zato provjerava zbog čega kompanija koristi određene podatke i da li je ta svrha dovoljno jasno definisana.

Posebno gledamo slučajeve u kojima se isti podaci koriste za više namjena.

Podatak prikupljen radi jednog poslovnog procesa ne treba automatski koristiti za drugi bez odgovarajuće procjene.

Cilj je da kompanija može jasno objasniti zašto podatak ima i zašto ga koristi.

Evidencija aktivnosti obrade treba da odgovara stvarnom sistemu

Evidencija aktivnosti obrade nije korisna ako samo ponavlja opšte formulacije.

Treba da pokaže šta kompanija zaista radi.

Tokom analize provjeravamo da li evidencija obuhvata:

• svrhu obrade;
• kategorije lica;
• kategorije podataka;
• odgovorne funkcije;
• primaoce;
• relevantne sisteme;
• rokove čuvanja;
• dobavljače;
• mjere zaštite.

Česti problemi su nepostojeći rokovi čuvanja, zastarjele informacije i procesi koji uopšte nijesu evidentirani.

Takve praznine treba zatvoriti prije nego što evidencija postane osnova za druge GDPR dokumente.

Dokumentacija mora odgovarati načinu rada kompanije

Univerzalni paketi politika često stvaraju više administracije nego koristi.

Dokument može izgledati uredno, a da ne opisuje stvarne procese.

Gap analizom zato pregledamo postojeće:

• pravilnike;
• obavještenja;
• ugovore;
• procedure;
• obrasce;
• IT pravila;
• interne evidencije.

Novi dokument preporučujemo kada postoji konkretna potreba.

Ako postojeći dokument može biti dopunjen, nema razloga praviti potpuno novi.

Ugovori sa dobavljačima dobijaju poseban pregled

Veliki dio podataka danas prolazi kroz eksterne sisteme i servise.

To mogu biti:

• hosting;
• cloud platforme;
• CRM;
• računovodstvo;
• obračun zarada;
• marketing alati;
• IT podrška;
• sistemi za rezervacije;
• druge poslovne aplikacije.

Gap analiza provjerava da li su uloge i odgovornosti dovoljno jasno uređene.

Posebno gledamo:

• vrstu obrade;
• pristup podacima;
• obaveze povjerljivosti;
• bezbjednosne mjere;
• prijavu incidenta;
• prestanak saradnje;
• brisanje ili vraćanje podataka;
• angažovanje drugih dobavljača gdje je relevantno.

Potpisan ugovor nije dovoljan ako ne odgovara stvarnoj usluzi.

Prava lica treba da funkcionišu kao poslovni proces

Politika privatnosti može navesti prava lica, ali kompanija mora znati kako će na zahtjev stvarno odgovoriti.

Provjeravamo šta bi se desilo kada zaposleni, kupac ili drugo lice zatraži:

• pristup podacima;
• ispravku;
• brisanje;
• ograničenje obrade;
• drugi zahtjev predviđen primjenjivim pravilima.

Analiza obuhvata:

• ko prima zahtjev;
• kako se provjerava identitet;
• gdje se podaci traže;
• ko donosi odluku;
• kako se uključuju druga odjeljenja;
• kako se odgovor dokumentuje.

Jedan zahtjev može uključivati HR, finansije, CRM, email i druge sisteme.

Zato pravo lica ne treba da postoji samo na papiru.

Provjeravamo spremnost za povredu podataka

Povreda podataka nije samo hakerski napad.

Može nastati kroz pogrešno poslat email, izgubljen uređaj, javno dostupan dokument ili neovlašćen pristup.

Gap analiza provjerava da li kompanija ima jasan tok reakcije.

Posebno gledamo:

• kako zaposleni prijavljuju incident;
• ko procjenjuje situaciju;
• ko donosi odluke;
• gdje se incident evidentira;
• kako se uključuje IT;
• kako se uključuje rukovodstvo;
• kako se postupa prema pogođenim licima kada je potrebno.

Ako se odgovornosti prvi put određuju tokom incidenta, organizacija gubi dragocjeno vrijeme.

Procjenjujemo da li je potrebna DPIA

Procjena uticaja na zaštitu podataka nije potrebna za svaku obradu.

Relevantna je kod procesa koji mogu stvarati veći rizik za prava i slobode lica.

Tokom gap analize posebnu pažnju mogu zahtijevati:

• opsežnija obrada osjetljivih podataka;
• intenzivno praćenje;
• određeno profilisanje;
• video-nadzor većeg obima;
• nove tehnologije;
• automatizovano odlučivanje;
• povezivanje većeg broja baza;
• podaci ranjivih grupa.

Kada postoji potreba za DPIA, ona ulazi u plan korektivnih aktivnosti.

Ne radimo je automatski za svaki proces.

Provjeravamo da li je DPO funkcija potrebna

Nije svakoj kompaniji potreban službenik za zaštitu podataka.

Potreba zavisi od zakonskih kriterijuma i stvarne prirode obrade.

Gap analiza može obuhvatiti procjenu:

• da li obaveza imenovanja postoji;
• ko trenutno vodi pitanja zaštite podataka;
• postoji li sukob interesa;
• da li su odgovornosti jasno određene;
• da li je funkcija dovoljno uključena u relevantne odluke.

Ako DPO nije obavezan, kompanija i dalje treba znati ko operativno koordinira zaštitu podataka.

Ne treba stvarati funkciju samo da bi postojala na organizacionoj šemi.

HR podatke pregledamo kao poseban poslovni proces

HR često raspolaže velikom količinom ličnih podataka.

Gap analiza može obuhvatiti:

• prijave kandidata;
• CV dokumentaciju;
• ugovore;
• evidencije zaposlenih;
• podatke o zaradama;
• bolovanja;
• procjene rada;
• disciplinsku dokumentaciju;
• podatke bivših zaposlenih.

Posebno provjeravamo ko ima pristup i koliko se dokumentacija čuva.

Podatak ne treba ostati dostupan samo zato što je nekada bio potreban.

Video-nadzor pregledamo kada postoji

Kamera nije samo tehnička oprema.

Ako kompanija koristi video-nadzor, gap analiza može obuhvatiti njegovu svrhu i način upravljanja snimcima.

Provjeravamo:

• koji prostor se snima;
• zbog čega;
• ko ima pristup;
• koliko se snimci čuvaju;
• kako su zaštićeni;
• kako su lica informisana;
• da li obim nadzora odgovara stvarnoj potrebi.

Ne treba svaku kameru automatski tretirati kao opravdanu.

Bezbjednost podataka pregledamo kroz upravljačke kontrole

GDPR gap analiza nije penetracioni test niti dubinska cyber provjera.

Ali mora pokazati da li organizacija ima osnovne upravljačke kontrole.

Pregled može obuhvatiti:

• korisničke naloge;
• pristupne privilegije;
• ukidanje pristupa nakon odlaska zaposlenog;
• autentifikaciju;
• backup;
• zaštitu uređaja;
• rad na daljinu;
• upravljanje incidentima;
• povjerljivost;
• dobavljače;
• fizičku zaštitu dokumentacije.

Ako pronađemo problem koji zahtijeva specijalističku tehničku analizu, to jasno navodimo u izvještaju.

EU GDPR provjeravamo kada je relevantan poslovanju

Primarni fokus domaće gap analize je priprema za novi crnogorski zakon.

EU GDPR provjeravamo kada poslovni model kompanije ulazi u njegov obuhvat.

To može biti relevantno kompanijama koje ciljano nude robu ili usluge licima u EU ili posluju u drugim okolnostima koje stvaraju direktne GDPR obaveze.

Ne pretpostavljamo da se EU GDPR automatski primjenjuje svakoj firmi iz Crne Gore.

Primjenjivost se procjenjuje prema konkretnoj obradi.

Međunarodne transfere provjeravamo samo kada postoje

Za veliki broj domaćih kompanija međunarodni transfer neće biti centralno pitanje projekta.

Zato ga ne tretiramo kao obaveznu zasebnu fazu svake gap analize.

Ako kompanija ima relevantne međunarodne tokove podataka, pregledamo:

• kome se podaci šalju;
• gdje se obrađuju;
• koje cloud sisteme koristi;
• ko ima udaljeni pristup;
• kakvi ugovorni mehanizmi postoje.

Ako takvih transfera nema, nema razloga praviti dodatnu administraciju.

Šta obuhvata angažman

Tačan obim definišemo prije početka.

GDPR gap analiza može uključiti:

• početni sastanak sa rukovodstvom;
• pregled djelatnosti i organizacije;
• intervjue sa relevantnim funkcijama;
• mapiranje važnijih obrada;
• pregled postojeće dokumentacije;
• pregled ugovora i dobavljača;
• provjeru prava lica;
• pregled incident-response procesa;
• pregled HR obrade;
• pregled video-nadzora gdje postoji;
• procjenu potrebe za DPIA;
• procjenu potrebe za DPO funkcijom;
• klasifikaciju nalaza prema riziku;
• plan korektivnih aktivnosti.

Analiza može obuhvatiti cijelu organizaciju ili jasno definisan dio poslovanja.

Obim treba da odgovara stvarnoj potrebi.

Šta dobijate nakon GDPR gap analize

Klijent ne treba da dobije samo dugu listu članova zakona.

Rezultat treba da omogući donošenje odluka.

Nakon analize dobijate:

• pregled postojećeg stanja;
• identifikovane nedostatke;
• procjenu prioriteta;
• pregled onoga što već funkcioniše;
• listu potrebnih izmjena;
• preporuke za dokumentaciju;
• preporuke za procese i odgovornosti;
• potrebu za dodatnim tehničkim ili pravnim pregledom gdje postoji;
• plan aktivnosti prije 19. marta 2027.

Plan može poslužiti kao osnova za internu implementaciju ili nastavak konsultantskog angažmana.

Kompanija zadržava jasan pregled obaveza bez obzira ko kasnije sprovodi aktivnosti.

Gap analiza nije sertifikacioni audit

GDPR gap analiza predstavlja stručni pregled usklađenosti procesa i dokumentacije prema dogovorenom obimu.

Ne predstavlja zvaničnu sertifikaciju, odluku nadležnog organa ili garanciju da buduća kontrola neće utvrditi dodatno pitanje.

Kada je potrebno formalno pravno mišljenje ili zastupanje, uključuje se odgovarajući pravni stručnjak.

Kada je potrebna dubinska tehnička analiza informacionih sistema, uključuje se odgovarajući IT ili cyber stručnjak.

Naša uloga je da utvrdimo stanje i pretvorimo zahtjeve u realan plan rada.

Postojeći sistem ne treba automatski praviti ponovo

Novi zakon ne znači da kompanija mora odbaciti svu postojeću dokumentaciju.

Ako postojeći proces ili dokument funkcioniše i može se uskladiti manjom izmjenom, to je racionalnije rješenje.

Zadržavamo ono što ima vrijednost.

Mijenjamo ono što je zastarjelo, nepotpuno ili odvojeno od stvarne prakse.

Tako kompanija dobija funkcionalniji sistem uz manje nepotrebne administracije.

Početna GDPR gap analiza zato predstavlja logičan prvi korak prije većeg projekta usklađivanja.

Pokazuje gdje se kompanija danas nalazi, šta treba završiti prije 19. marta 2027. i kojim redosljedom treba zatvarati stvarne rizike.