GDPR obuke u Crnoj Gori – praktična primjena novih pravila

GDPR obuke pomažu zaposlenima i menadžmentu da pravilno koriste, dijele, čuvaju i brišu podatke o ličnosti. ConsultHQ programe prilagođava stvarnim radnim mjestima, sistemima i rizicima kompanije, kako bi zaposleni znali šta rade sa podacima i kako reaguju na zahtjev lica, grešku ili bezbjednosni incident.

Kompanija može imati kvalitetnu GDPR dokumentaciju i dalje ostati izložena ozbiljnom riziku.

Problem nastaje kada zaposleni ne razumije pravila koja treba da primijeni. Dokument tada postoji, ali se podaci šalju pogrešnim osobama, čuvaju bez potrebe ili koriste za svrhu koju kompanija nije jasno odredila.

Obuka taj raskorak pretvara u konkretan način rada.

Novi zakon počinje da se primjenjuje 19. marta 2027.

Zakon o zaštiti podataka o ličnosti objavljen je u „Službenom listu Crne Gore“ broj 133/2026. Stupio je na snagu 19. septembra 2026, dok njegova primjena počinje 19. marta 2027. godine. Službeni list

Kompanije sada imaju prelazni period za pregled procesa, dokumentacije i kompetencija zaposlenih.

Priprema ne treba da se završi usvajanjem nove politike privatnosti. Ljudi koji svakodnevno koriste podatke moraju razumjeti pravila relevantna za njihov posao.

To uključuje zaposlene koji rade sa podacima kupaca, gostiju, kandidata, zaposlenih, korisnika sajta, poslovnih kontakata i drugih fizičkih lica.

Propisi ne traže isti kurs za svakog zaposlenog

Ne postoji jedan univerzalni GDPR seminar koji odgovara svim organizacijama i radnim mjestima.

EU GDPR zahtijeva odgovarajuće tehničke i organizacione mjere prema prirodi obrade i riziku za fizička lica. Organizacija takođe treba da obezbijedi da zaposleni koji obrađuju podatke pod njenim ovlašćenjem postupaju prema utvrđenim uputstvima. European Commission

EDPB preporučuje podizanje svijesti zaposlenih, redovna ažuriranja relevantnih procedura, interne komunikacije i obuke o bezbjednosti podataka. Uputstva treba prilagoditi kategoriji zaposlenih koja ih koristi. European Data Protection Board

U praksi to znači da recepciji, HR-u, marketingu i IT-u ne treba ista obuka.

Svaka funkcija treba da razumije sopstvene podatke, ovlašćenja i situacije u kojima mora uključiti odgovornu osobu.

Šta obuhvata GDPR obuka

Tačan sadržaj zavisi od djelatnosti, radnih mjesta i postojećeg nivoa znanja.

Program može obuhvatiti:

• osnovne pojmove zaštite podataka;
• razliku između ličnih i drugih poslovnih podataka;
• osjetljive kategorije podataka;
• svrhu i pravni osnov obrade;
• minimizaciju podataka;
• pravila pristupa i povjerljivosti;
• čuvanje i bezbjedno brisanje;
• slanje podataka emailom;
• korišćenje cloud i poslovnih aplikacija;
• zahtjeve za pristup, ispravku ili brisanje;
• prijavljivanje greške ili povrede podataka;
• video-nadzor;
• rad od kuće i mobilne uređaje;
• odnose sa dobavljačima;
• postupanje sa papirnom dokumentacijom;
• odgovornosti menadžmenta;
• ulogu DPO-a ili interne odgovorne osobe.

Ne mora svaka obuka obuhvatiti sve teme.

Sadržaj biramo prema poslovnim procesima i realnim situacijama u kojima zaposleni koriste podatke.

Osnovna obuka daje zaposlenima jasna pravila svakodnevnog rada

Osnovna GDPR obuka namijenjena je zaposlenima koji u svom radu pristupaju podacima o ličnosti.

Cilj nije da zaposleni nauče članove zakona napamet.

Treba da razumiju nekoliko praktičnih pravila:

• podatke koriste samo za odobrenu poslovnu svrhu;
• pristupaju samo podacima potrebnim za svoj posao;
• podatke ne dijele sa neovlašćenim osobama;
• provjeravaju primaoca prije slanja dokumenta;
• ne čuvaju poslovne podatke na neodobrenim uređajima;
• prijavljuju incident čim ga primijete;
• zahtjev fizičkog lica odmah prosljeđuju odgovornoj osobi;
• poštuju utvrđene rokove i pravila brisanja.

Ovakva obuka smanjuje prostor za improvizaciju.

Zaposleni dobija jasan odgovor šta smije da uradi sam, a kada mora tražiti dodatnu provjeru.

HR obuka prati cijeli odnos sa zaposlenim

HR obrađuje podatke prije zapošljavanja, tokom radnog odnosa i nakon njegovog prestanka.

To može uključiti CV dokumentaciju, ugovore, evidencije rada, zarade, bolovanja, procjene učinka, disciplinsku dokumentaciju i podatke članova porodice.

Obuka za HR može obuhvatiti:

• prijave kandidata;
• rokove čuvanja CV dokumenata;
• pristup personalnim dosijeima;
• dijeljenje podataka sa računovodstvom i drugim partnerima;
• zdravstvene i druge osjetljive podatke;
• fotografije zaposlenih;
• interne istrage;
• zahtjeve zaposlenih za pristup podacima;
• postupanje nakon prestanka radnog odnosa.

Posebnu pažnju zahtijeva korišćenje pristanka u radnom odnosu.

Zbog odnosa moći između poslodavca i zaposlenog, pristanak nije uvijek najpouzdanija pravna osnova. Zato HR ne treba automatski da koristi izjavu o saglasnosti za svaki proces.

Marketing i prodaja trebaju drugačiji program

Marketing često obrađuje email adrese, telefonske brojeve, podatke iz kontakt formi, CRM zapise i informacije o ponašanju korisnika.

Prodaja može iste podatke koristiti u drugoj poslovnoj svrsi.

Obuka treba da razjasni:

• odakle podatak potiče;
• zašto ga kompanija koristi;
• kada se koristi pristanak;
• kada lice može uložiti prigovor;
• kako se evidentira odjava;
• ko smije izvoziti CRM baze;
• kako se koriste kupljene ili javno dostupne liste;
• šta se radi sa starim kontaktima;
• kako se podaci dijele sa marketinškim platformama.

Marketinška baza nije automatski dozvoljena samo zato što je kompanija tehnički može napraviti.

Zaposleni treba da razumije razliku između postojećeg poslovnog kontakta, potencijalnog klijenta i fizičkog lica koje nije tražilo marketinšku komunikaciju.

IT obuka povezuje privatnost i informacionu bezbjednost

IT tim često upravlja sistemima, pristupima, backup kopijama i tehničkim incidentima.

Zato njegova obuka treba da ide dalje od opšteg GDPR uvoda.

Program može obuhvatiti:

• dodjelu korisničkih prava;
• redovni pregled pristupa;
• ukidanje naloga nakon odlaska zaposlenog;
• administratorske privilegije;
• zapisivanje aktivnosti;
• zaštitu uređaja;
• backup i oporavak;
• testna okruženja;
• korišćenje stvarnih podataka u razvoju;
• cloud servise;
• prijavljivanje i ograničavanje incidenta;
• tehničku podršku zahtjevima lica;
• brisanje podataka iz aktivnih i rezervnih sistema.

EDPB među preporučenim organizacionim mjerama navodi redovne obuke i podizanje svijesti, dok tehničke mjere treba povezati sa rizicima povjerljivosti, integriteta i dostupnosti podataka. European Data Protection Board

Obuka ipak ne zamjenjuje tehničku procjenu bezbjednosti.

Kada postoji ozbiljniji cyber rizik, potrebna je podrška odgovarajućeg stručnjaka za informacionu bezbjednost.

Menadžment mora razumjeti odgovornost, ne svaki operativni detalj

Rukovodstvu ne treba ista obuka kao operativnim zaposlenima.

Menadžment treba da razumije koje odluke stvaraju rizik i šta organizacija mora obezbijediti da bi sistem funkcionisao.

Program za rukovodstvo može obuhvatiti:

• odgovornost organizacije;
• odobravanje novih obrada;
• izbor dobavljača;
• resurse i odgovornosti;
• visokorizične projekte;
• povrede podataka;
• zahtjeve lica;
• DPIA;
• ulogu DPO-a;
• izvještavanje o stanju usklađenosti;
• prioritete prije 19. marta 2027.

GDPR projekat teško funkcioniše ako rukovodstvo smatra da je zaštita podataka isključivo posao IT-a ili jedne administrativne osobe.

Većina važnih odluka nastaje mnogo ranije — kada kompanija uvodi sistem, bira dobavljača, pokreće kampanju ili mijenja način rada.

Odgovorne osobe i DPO trebaju dublji nivo znanja

Osoba koja koordinira zaštitu podataka treba šire razumijevanje sistema.

To može biti DPO, kada kompanija ima obavezu ili je odlučila da ga imenuje, ili druga odgovorna funkcija kada DPO nije potreban.

Naprednija obuka može obuhvatiti:

• mapiranje obrada;
• evidenciju aktivnosti obrade;
• pravne osnove;
• transparentnost;
• ugovore sa obrađivačima;
• prava lica;
• povrede podataka;
• DPIA;
• međunarodne tokove kada su relevantni;
• internu provjeru;
• izvještavanje rukovodstvu;
• održavanje dokumentacije.

Kada organizacija ima DPO-a, njegove GDPR dužnosti uključuju informisanje i savjetovanje organizacije i zaposlenih, kao i praćenje svijesti i obuka osoblja koje učestvuje u obradi. DPO mora ostati nezavisan i pravovremeno uključen u pitanja zaštite podataka. European Commission

Obuka ne smije DPO-u dodijeliti operativnu odgovornost za svaku obradu.

Odgovornost za zakonitost procesa ostaje kod organizacije i funkcija koje njima upravljaju.

Obuka za zahtjeve lica treba da uključi recepciju i korisničku podršku

Zahtjev za pristup ili brisanje ne mora stići na adresu označenu kao „privacy“.

Lice ga može poslati prodaji, HR-u, recepciji ili korisničkoj podršci.

Zato zaposleni koji komuniciraju sa ljudima treba da znaju kako prepoznaju zahtjev.

Ne treba da ga samostalno odbiju niti da odmah pošalju sve podatke koje pronađu.

Pravilna reakcija je:

• evidentirati prijem;
• proslijediti zahtjev odgovornoj osobi;
• ne mijenjati ili brisati relevantne podatke bez provjere;
• ne tražiti više podataka nego što je potrebno za identifikaciju;
• sačuvati trag o postupanju.

EU GDPR licima daje prava na informisanje, pristup, ispravku, brisanje, ograničenje, prenosivost i prigovor, uz prava povezana sa određenim automatizovanim odlukama. European Commission

Kompanija može pravilno ispuniti ta prava samo ako zaposleni zahtjev na vrijeme prepoznaju.

Obuka za povrede podataka počinje jednostavnim pravilom prijave

Zaposleni ne treba sam da procjenjuje da li greška predstavlja povredu koja se prijavljuje nadležnom organu.

Treba da zna šta mora odmah prijaviti unutar kompanije.

Primjeri uključuju:

• email poslat pogrešnom primaocu;
• izgubljen telefon ili laptop;
• dokument ostavljen na javnom mjestu;
• sumnjivu prijavu na korisnički nalog;
• podatke dostupne bez odgovarajuće zaštite;
• pogrešno dodijeljen pristup;
• malware ili ransomware;
• neovlašćeno kopiranje podataka;
• nestanak papirnog dosijea.

Kada se EU GDPR primjenjuje i povreda vjerovatno stvara rizik, kontrolor obavještava nadležni organ bez nepotrebnog odlaganja, najkasnije 72 sata nakon saznanja. Obrađivač obavještava kontrolora, dok visok rizik može zahtijevati i informisanje pogođenih lica. European Commission

Zato interna prijava mora biti mnogo brža od formalnog regulatornog roka.

Odgovorna osoba prvo mora dobiti činjenice i procijeniti događaj.

Obuka prati procedure koje kompanija stvarno koristi

Generička prezentacija teško mijenja ponašanje ako ne odgovara internim procesima.

Zato program povezujemo sa dokumentacijom kompanije.

Zaposleni treba da zna:

• gdje se nalazi procedura;
• kome prijavljuje incident;
• na koju adresu prosljeđuje zahtjev lica;
• koji sistemi su odobreni;
• gdje se čuvaju dokumenti;
• ko odobrava slanje podataka eksternom partneru;
• kada se uključuju HR, IT ili menadžment.

Praktični primjer iz stvarnog poslovanja ima veću vrijednost od teorijskog objašnjenja svakog člana propisa.

Novi zaposleni treba obuku prije samostalnog pristupa podacima

Onboarding često uključuje pristup emailu, CRM-u, personalnim podacima ili poslovnoj dokumentaciji.

Zato zaštitu podataka treba uključiti prije nego što zaposleni počne samostalno koristiti te sisteme.

Osnovni onboarding može pokriti:

• povjerljivost;
• dozvoljenu upotrebu sistema;
• pravila dijeljenja podataka;
• sigurnost lozinki i uređaja;
• prijavljivanje incidenta;
• zahtjeve fizičkih lica;
• posljedice nepoštovanja internih pravila.

Dublja obuka slijedi prema radnom mjestu.

Recepcija, HR i IT ne treba da završe isti onboarding modul i time smatraju obuku završenom.

Promjena procesa može zahtijevati ciljanu dodatnu obuku

Jednom održana obuka nije trajno rješenje.

Kompanija može uvesti novi CRM, cloud servis, video-nadzor ili sistem za praćenje zaposlenih.

Takva promjena može uticati na odgovornosti ljudi koji koriste novi proces.

Zato pregled potrebe za obukom treba povezati sa:

• novim sistemom;
• novom poslovnom svrhom;
• promjenom procedure;
• incidentom;
• nalazom gap analize;
• internom provjerom;
• promjenom radnog mjesta;
• novim regulatornim zahtjevom.

Ne mora cijela kompanija ponavljati kompletnu obuku zbog svake izmjene.

Ciljana obuka pogođenih funkcija često daje bolji rezultat.

Provjera razumijevanja pokazuje da li je obuka imala efekta

Lista prisutnih dokazuje da je zaposleni bio na obuci.

Ne dokazuje da je razumio šta treba da radi.

Zato prema temi i riziku možemo uključiti:

• kratak test;
• praktičan scenario;
• simulaciju zahtjeva lica;
• vježbu prijave incidenta;
• razgovor sa rukovodiocem;
• provjeru primjene tokom interne kontrole.

EDPB preporučuje redovna podsjećanja i ažuriranja procedura relevantnih za funkciju zaposlenih, uz dokumentovana i lako dostupna operativna uputstva. European Data Protection Board

Cilj nije kažnjavanje zaposlenih zbog pogrešnog odgovora.

Cilj je otkriti nejasnoću prije nego što proizvede stvarni incident.

Evidencija obuke podržava dokazivost sistema

Organizacija treba da ima jasan pregled sprovedenih programa.

Evidencija može sadržati:

• naziv i cilj obuke;
• datum;
• učesnike;
• njihove funkcije;
• obrađene teme;
• predavača;
• korišćene materijale;
• rezultat provjere razumijevanja;
• preporučene dodatne aktivnosti.

Dokumentovanje obuke podržava princip odgovornosti.

Ipak, evidencija nije svrha sama sebi.

Najvažnije je da zaposleni nakon obuke pravilno primjenjuju pravila u svom radu.

Potvrda o učešću nije zvanični GDPR sertifikat

Nakon obuke može se izdati interna potvrda ili potvrda o učešću.

Takav dokument potvrđuje da je osoba prisustvovala određenom programu.

Ne predstavlja zvaničnu GDPR licencu, profesionalno ovlašćenje niti dokaz da je cijela kompanija usklađena.

Isto važi za komercijalne certifikate sa kratkih kurseva.

Kompetencija se procjenjuje prema znanju, iskustvu i sposobnosti osobe da izvršava konkretnu ulogu.

Šta obuhvata usluga GDPR obuke

Obuku možemo organizovati kao zaseban angažman ili dio šire GDPR implementacije.

Usluga može obuhvatiti:

• procjenu potreba za obukom;
• podjelu zaposlenih prema funkcijama i riziku;
• osnovnu awareness obuku;
• obuku HR-a;
• obuku prodaje i marketinga;
• obuku IT-a i administratora sistema;
• obuku recepcije i korisničke podrške;
• obuku menadžmenta;
• naprednu obuku odgovornih osoba;
• obuku za prava lica;
• obuku za povrede podataka;
• praktične scenarije;
• provjeru razumijevanja;
• materijale prilagođene kompaniji;
• evidenciju sprovedenog programa;
• preporuku za onboarding i periodična ažuriranja.

Tačan program definišemo prema djelatnosti i stvarnim procesima.

Kompanija ne plaća module koji nijesu povezani sa njenim rizicima.

Šta dobijate nakon GDPR obuke

Rezultat ne treba da bude samo održana prezentacija.

U zavisnosti od angažmana, klijent dobija:

• program prilagođen organizaciji;
• podjelu tema prema radnim ulogama;
• sprovedene obuke;
• praktične primjere iz poslovanja;
• materijale za kasniju upotrebu;
• evidenciju učesnika;
• provjeru razumijevanja gdje je dogovorena;
• identifikovane dodatne potrebe;
• preporuku za onboarding novih zaposlenih;
• model periodičnih podsjetnika;
• osnovu za internu provjeru primjene.

Tako obuka postaje dio sistema zaštite podataka.

Ne jednokratna aktivnost prije početka primjene novog zakona.

Obuka ne može popraviti loš proces

Postoji realno ograničenje.

Ako procedura nije jasna, pristup podacima je preširok ili kompanija nema način da odgovori na zahtjev lica, dodatni seminar neće riješiti problem.

Zaposleni ne može pravilno primijeniti pravilo koje organizacija nije definisala.

Zato prije većeg programa pregledamo relevantne procese i dokumentaciju.

Ako postoji sistemski nedostatak, prvo ga treba urediti. Zatim obuka zaposlenima pokazuje kako novi način rada funkcioniše.

Obuka treba da koristi što manje radnog vremena, ali da promijeni ponašanje

Duga prezentacija nije automatski kvalitetnija.

Zaposleni mogu provesti nekoliko sati na seminaru i nakon toga ne znati kome prijavljuju pogrešno poslat dokument.

Zato program dijelimo prema ulozi i potrebnoj dubini.

Kratka osnovna obuka može biti dovoljna jednoj grupi.

HR-u, IT-u, odgovornim osobama i menadžmentu često trebaju odvojeni moduli.

Takav model smanjuje prekid rada i daje relevantniji sadržaj.

Kompanijama koje se pripremaju za 19. mart 2027. obuka ima najveću vrijednost nakon što su osnovne procedure i odgovornosti već definisane.

ConsultHQ prvo može pregledati potrebe organizacije, zatim pripremiti program koji zaposlenima pokazuje kako se nova pravila primjenjuju u njihovom stvarnom poslu.