Održavanje GDPR sistema u Crnoj Gori – kontinuirana usklađenost bez administrativnog zastoja
Održavanje GDPR sistema čuva evidencije, ugovore, prava lica, obuke i zaštitne mjere usklađenim sa stvarnim procesima i promjenama.
Zatražite GDPR procjenu
Održavanje GDPR sistema čuva evidencije, ugovore, prava lica, obuke i zaštitne mjere usklađenim sa stvarnim procesima i promjenama.
Zatražite GDPR procjenu
Održavanje GDPR sistema povezuje promjene poslovnih procesa, dokumentacije, dobavljača, pristupa podacima i obuka sa pravilima zaštite podataka. ConsultHQ periodično provjerava uvedene kontrole, ažurira dokumentaciju i pomaže kompaniji da sistem ostane primjenjiv nakon početne implementacije i početka primjene Zakona 133/2026.
GDPR dokumentacija ne zastarijeva samo kada se promijeni zakon.
Može postati netačna kada kompanija uvede novi CRM, promijeni pružaoca hostinga, pokrene marketinšku kampanju ili zaposli novu osobu sa širokim pristupom podacima.
Tada politika privatnosti može ostati ista, dok stvarna obrada više ne odgovara onome što je kompanija dokumentovala.
Održavanje sprečava da se taj raskorak otkrije tek nakon incidenta, zahtjeva fizičkog lica ili regulatorne provjere.
Sistem zaštite podataka mora pratiti poslovanje kroz vrijeme.
EU GDPR traži odgovarajuće tehničke i organizacione mjere, njihovu primjenu i redovno provjeravanje efektivnosti. EDPB takođe preporučuje periodične bezbjednosne provjere, ažuriranje procedura i praćenje sprovođenja utvrđenih mjera. EUR-Lex
To znači da kompanija ne treba svake godine ponovo raditi kompletnu implementaciju.
Treba imati kontrolisan način da prepozna promjenu, procijeni njen uticaj i ažurira pogođeni dio sistema.
Nekada je potrebna izmjena evidencije aktivnosti obrade.
Drugi put treba promijeniti ugovor, obavještenje o privatnosti, prava pristupa ili program obuke.
Zakon o zaštiti podataka o ličnosti objavljen je u „Službenom listu Crne Gore“ broj 133/2026. Stupio je na snagu 19. septembra 2026, dok njegova primjena počinje 19. marta 2027. godine. Službeni list
Kompanije prije tog datuma treba da urede osnovne procese i odgovornosti.
Nakon početka primjene sistem mora ostati ažuran.
To uključuje dokumentaciju, ugovore, prava lica, postupanje kod incidenata, dobavljače i tehničke mjere koje kompanija stvarno koristi.
Obim podrške zavisi od veličine kompanije, broja obrada, korišćenih sistema i interne ekspertize.
Održavanje može obuhvatiti:
Kompaniji ne treba svaki element u istom intenzitetu.
Program održavanja određujemo prema stvarnim rizicima i promjenama poslovanja.
Dokumentaciju ne treba mijenjati samo zato što je prošlo dvanaest mjeseci.
Treba je pregledati kada se promijeni obrada koju opisuje.
Tipični okidači uključuju:
Pregled treba da se desi prije nego što nova obrada postane ustaljena praksa.
Naknadno usklađivanje obično zahtijeva više rada i može dovesti do promjene već potpisanih ugovora, sistema ili komunikacije prema korisnicima.
Evidencija aktivnosti obrade predstavlja centralnu mapu GDPR sistema.
Ona gubi vrijednost kada navodi stare aplikacije, dobavljače ili svrhe koje kompanija više ne koristi.
Tokom održavanja provjeravamo da li evidencija odgovara stvarnom stanju.
Posebno gledamo:
EDPB evidencije obrade navodi među osnovnim odgovornostima rukovalaca i obrađivača, zajedno sa pravima lica, bezbjednošću, ugovorima i odgovornošću za obradu. European Data Protection Board
Evidencija ne treba da se ažurira odvojeno od drugih dokumenata.
Promjena u njoj može zahtijevati izmjenu obavještenja, ugovora, roka čuvanja ili procedure.
Obavještenje postaje zastarjelo kada kompanija promijeni način korišćenja podataka, a tekst ostane isti.
To se često dešava nakon uvođenja novih alata.
Na primjer, kompanija može dodati newsletter platformu, analitiku, sistem za rezervacije ili novi HR softver.
Tada treba provjeriti:
Ne treba automatski mijenjati cijelu politiku.
Mijenja se dio koji više ne odgovara stvarnoj obradi.
Potpisivanje ugovora sa dobavljačem nije kraj odgovornosti kompanije.
Dobavljač kasnije može promijeniti podobrađivača, lokaciju podataka, tehničku infrastrukturu ili uslove usluge.
Zato održavanje uključuje pregled važnijih obrađivača prema riziku.
Provjera može obuhvatiti:
EDPB navodi da odnos rukovaoca i obrađivača mora biti uređen ugovorom, dok angažovanje podobrađivača traži odgovarajuće odobrenje i isti nivo zaštite kroz dalji ugovorni lanac. European Data Protection Board
Ne treba svakog dobavljača provjeravati istom dubinom.
Partner koji obrađuje osjetljive podatke ili veliki broj zapisa zahtijeva veću pažnju od servisa koji nema pristup podacima o ličnosti.
Pristup koji je zaposlenom nekada bio potreban ne mora ostati opravdan nakon promjene radnog mjesta.
Problem se često vidi tek kada osoba napusti kompaniju ili nastane incident.
Periodični pregled pristupa može obuhvatiti:
EDPB preporučuje redovno preispitivanje ovlašćenja, uklanjanje zastarjelih pristupa i kontrolu prava nakon dolaska, odlaska ili promjene funkcije zaposlenog. European Data Protection Board
Održavanje ne zamjenjuje tehničko upravljanje korisnicima.
Pomaže da kompanija uvede periodičnu kontrolu i dokumentuje odgovornost za njeno sprovođenje.
Raspored čuvanja nema vrijednost ako sistemi i zaposleni nastavljaju da čuvaju sve podatke neograničeno.
Tokom održavanja provjeravamo da li definisani rokovi stvarno funkcionišu.
Pregled može uključiti:
Nekada brisanje nije moguće odmah zbog zakonske obaveze, spora ili drugog opravdanog razloga.
Takve situacije treba dokumentovati i ograničiti dalju upotrebu podataka prema stvarnoj potrebi.
Kompanija može godinama ne primiti formalni zahtjev za pristup ili brisanje.
To ne znači da procedura automatski funkcioniše.
Periodična provjera može koristiti simulirani zahtjev.
Tako se provjerava:
Ovakva provjera ne treba da stvara veliku vježbu.
Cilj je pronaći nejasnoću prije nego što stvarni zahtjev pokrene zakonski rok.
Procedura za incident može zastarjeti kada se promijene zaposleni, dobavljači ili IT infrastruktura.
Zato je treba povremeno provjeriti kroz jednostavan scenario.
Kompanija treba da zna:
EDPB preporučuje da organizacija zaposlenima obezbijedi jasan spisak osoba koje treba kontaktirati kada nastane bezbjednosni incident ili neobičan događaj. European Data Protection Board
Vježba može pokazati da je kontakt osoba napustila kompaniju, da ugovor dobavljača nema odgovarajući rok prijave ili da odgovorna funkcija nema pristup potrebnim podacima.
DPIA nije dokument koji zauvijek važi nakon prvog odobrenja.
Promjena tehnologije, obima podataka, svrhe, dobavljača ili rizika može zahtijevati novi pregled.
To može biti relevantno kada kompanija:
EU GDPR zahtijeva DPIA za obrade koje vjerovatno stvaraju visok rizik, dok EDPB preporučuje da organizacija planirane mjere i utvrđene rizike redovno provjerava. European Data Protection Board
Održavanje uključuje procjenu da li promjena utiče na postojeću DPIA.
Ne znači da se novi dokument pravi za svaku manju tehničku izmjenu.
Jedna obuka prije 19. marta 2027. nije trajno rješenje.
Novi zaposleni ulaze u procese, dok postojeći ljudi mijenjaju uloge i dobijaju nova ovlašćenja.
Program održavanja može uključiti:
EDPB preporučuje redovna ažuriranja procedura, podizanje svijesti i obuke prilagođene funkcijama zaposlenih koji koriste podatke. European Data Protection Board
Ne treba cijela kompanija svaki put prolaziti isti program.
Obuka se usmjerava prema ljudima čija se odgovornost ili način rada promijenio.
Provjera usklađenosti nije sertifikacioni audit.
Njena svrha je da utvrdi da li uvedene kontrole i dalje odgovaraju stvarnoj obradi.
Pregled može obuhvatiti:
Rezultat treba da pokaže gdje je sistem stabilan, gdje je zastario i šta zahtijeva korekciju.
Ne treba svake godine provjeravati svaki dokument jednakom dubinom.
Obim se određuje prema promjenama, prethodnim nalazima i riziku.
Nalaz nije zatvoren kada mu se samo dodijeli datum.
Potrebno je sprovesti mjeru i, gdje je relevantno, provjeriti njen efekat.
Na primjer, izmjena procedure nije dovoljna ako zaposleni nijesu upoznati sa novim pravilom.
Slično tome, ugovorna odredba ne rješava problem ako dobavljač tehnički ne može sprovesti dogovoreno brisanje podataka.
Tokom održavanja možemo pratiti:
To smanjuje mogućnost da se isti nedostatak ponavlja kroz više provjera.
Rukovodstvu ne treba izvještaj od pedeset stranica za svaku periodičnu provjeru.
Treba mu jasan pregled stanja i odluka koje zahtijevaju pažnju.
Periodični izvještaj može sadržati:
Tako zaštita podataka postaje upravljačka tema.
Ne administrativni posao koji rukovodstvo vidi samo nakon problema.
Primarni fokus domaćeg programa održavanja jeste Zakon 133/2026.
EU GDPR uključujemo kada konkretna obrada kompanije ulazi u njegov obuhvat.
To može biti relevantno organizacijama koje ciljano nude robu ili usluge licima u EU ili posluju u drugim okolnostima koje stvaraju direktne evropske obaveze.
Ne tretiramo međunarodne transfere, EU predstavnika ili posebne evropske procedure kao obavezni dio svakog domaćeg retainer paketa.
Uključujemo ih samo kada poslovni model to traži.
Nije svakoj kompaniji potrebna mjesečna konsultantska podrška.
Jednoj organizaciji može biti dovoljan kvartalni ili polugodišnji pregled.
Drugoj treba češća pomoć zbog velikog broja dobavljača, digitalnih proizvoda ili promjena sistema.
Podršku možemo organizovati kao:
Model treba da odgovara dinamici poslovanja.
Ne treba plaćati stalni paket aktivnosti koje kompanija realno ne koristi.
Kontinuirana podrška treba da donese jasan operativni rezultat.
U zavisnosti od obima, klijent dobija:
Najveća vrijednost je kontinuitet.
Kompanija ne počinje svaku novu promjenu pokušajem da ponovo ustanovi gdje se podaci nalaze i ko je za njih odgovoran.
Konsultant može pomoći pri održavanju dokumentacije, provjerama i organizovanju procesa.
Odgovornost za poslovne odluke i stvarnu obradu ostaje unutar organizacije.
HR upravlja svojim procesima.
IT kontroliše sisteme, dok menadžment odobrava resurse i veće promjene.
ConsultHQ podržava te funkcije kroz stručni pregled, dokumentaciju, obuke i koordinaciju aktivnosti.
Ne stvaramo model u kojem kompanija ne može da koristi sopstveni GDPR sistem bez stalnog prisustva konsultanta.
Usluga održavanja ne znači automatsko imenovanje ConsultHQ-a za DPO-a.
DPO funkcija ima posebne zahtjeve stručnosti, položaja, nezavisnosti i izbjegavanja sukoba interesa.
Održavanje takođe nije zvanična GDPR sertifikacija niti odluka nadležnog organa.
Kada je potrebno formalno pravno mišljenje ili zastupanje, uključuje se odgovarajući pravni stručnjak.
Kada postoji potreba za dubinskim tehničkim testiranjem, uključuje se stručnjak za informacionu ili sajber bezbjednost.
Naša uloga je da sistem ostane povezan sa poslovnim procesima i da kompanija može dokazati kako ga primjenjuje.
Redovna podrška predstavlja dodatni trošak.
To je realno ograničenje.
Ipak, višegodišnje zanemarivanje sistema često stvara skuplji projekat neposredno pred kontrolu, važan ugovor ili incident.
Tada treba istovremeno ažurirati evidencije, ugovore, pristupe, obuke i procedure.
Periodično održavanje raspoređuje taj posao i omogućava da se promjena riješi dok je još mala.
Kompaniji koja je završila početnu GDPR implementaciju sljedeći korak nije izrada novih politika bez razloga.
Potrebno je uspostaviti ritam pregleda koji odgovara njenim procesima, promjenama i rizicima.
ConsultHQ kroz početnu procjenu može definisati koje aktivnosti kompanija vodi interno, gdje joj treba periodična podrška i koliko često sistem treba provjeravati nakon 19. marta 2027.
Početna procjena pomaže da utvrdimo obim i sljedeće korake bez pretpostavki o vašem poslovanju.
Zatražite GDPR procjenu