Član 67

Poverenik odobrava obavezujuća poslovna pravila, ako ta pravila zajedno ispunjavaju sledeće uslove: 1) pravno su obavezujuća, primenjuju se na i sprovode se od strane svakog člana multinacionalne kompanije ili grupe privrednih subjekata, uključujući i njihove zaposlene; 2) izričito obezbeđuju ostvarivanje prava lica na koje se podaci odnose u vezi sa obradom njihovih podataka; 3) ispunjavaju uslove propisane stavom 2. ovog člana. Obavezujućim poslovnim pravilima iz stava 1. ovog člana najmanje se mora odrediti: 1) struktura i kontakt podaci multinacionalne kompanije ili grupe privrednih subjekata, kao i svakog od njenih članova; 2) prenos ili grupe prenosa podataka o ličnosti, uključujući vrste podataka o ličnosti, vrste radnji obrade i njihovu svrhu, vrste lica na koje se podaci odnose i naziv države u koju se podaci prenose; 3) obaveznost primene obavezujućih poslovnih pravila, kako u okviru multinacionalne kompanije ili grupe privrednih subjekata, tako i izvan njih; 4) primena opštih načela zaštite podataka o ličnosti, a naročito ograničenja svrhe obrade, minimizacija podataka, ograničenje čuvanja, integritet podataka, mere stalne zaštite podataka, pravni osnov za obradu, obrade posebnih vrsta podataka o ličnosti, mere bezbednosti i uslove za dalji prenos podataka o ličnosti drugim licima ili telima koja nisu obavezana obavezujućim poslovnim pravilima; 5) prava lica na koje se podaci odnose u odnosu na obradu i načine ostvarivanja tih prava, uključujući i prava u vezi sa automatizovanim donošenjem pojedinačnih odluka i profilisanjem iz člana 38. ovog zakona, pravo na podnošenje pritužbe Povereniku, odnosno tužbe sudu u skladu sa čl. 82. i 84. ovog zakona, kao i pravo na naknadu štete zbog povrede obavezujućih poslovnih pravila; 6) prihvatanje odgovornosti rukovaoca, odnosno obrađivača sa prebivalištem, boravištem ili sedištem na teritoriji Republike Srbije za povredu ovih pravila koju je učinio drugi član grupe koji nema prebivalište, boravište ili sedište na teritoriji Republike Srbije, osim ako rukovalac ili obrađivač dokaže da taj drugi član grupe nije odgovoran za događaj koji je prouzrokovao štetu; 7) način na koji se licu na koje se podaci odnose pružaju informacije o obavezujućim poslovnim pravilima, a posebno o odredbama tač. 4) do 6) ovog stava, uz pružanje ostalih informacija iz čl. 23. i 24. ovog zakona; 8) ovlašćenja lica za zaštitu podataka o ličnosti, određenog u skladu sa članom 58. ovog zakona, ili bilo kog drugog lica koje je ovlašćeno za nadzor nad primenom obavezujućih poslovnih pravila unutar multinacionalne kompanije ili grupe privrednih subjekata, uključujući i nadzor nad obukom i odlučivanje o pritužbama unutar multinacionalne kompanije ili grupe; 9) postupak koji se sprovodi po pritužbama; 10) mehanizam provere postupanja u skladu sa obavezujućim poslovnim pravilima unutar multinacionalne kompanije ili grupe privrednih subjekata. Ovaj mehanizam uključuje reviziju zaštite podataka o ličnosti i korektivne mere za zaštitu prava lica na koje se podaci odnose. Rezultati provere moraju biti saopšteni licu iz tačke 8) ovog stava, kao i upravljačkom organu multinacionalne kompanije ili grupe privrednih subjekata, a moraju biti stavljeni na raspolaganje i Povereniku, na njegov zahtev; 11) način izveštavanja i vođenja evidencije o promenama obavezujućih poslovnih pravila i način obaveštavanja Poverenika o tim promenama; 12) način saradnje sa Poverenikom u cilju obezbeđenja primene obavezujućih poslovnih pravila od strane svakog člana multinacionalne kompanije ili grupe privrednih subjekata pojedinačno, a posebno način na koji se Povereniku stavljaju na raspolaganje rezultati provere iz tačke 10) ovog stava; 13) način izveštavanja Poverenika o pravnim obavezama koje se primenjuju prema članu multinacionalne kompanije ili grupe privrednih subjekata u drugoj državi, a koji bi mogli imati značajan štetan uticaj na garancije propisane obavezujućim poslovnim pravilima; 14) odgovarajuća obuka za zaštitu podataka o ličnosti lica koja imaju trajan ili redovan pristup podacima o ličnosti. Poverenik može bliže urediti način razmene informacija između rukovalaca, obrađivača i Poverenika u primeni stava 2. ovog člana. Ako su ispunjeni uslovi iz stava 1. ovog člana, Poverenik odobrava obavezujuća poslovna pravila u roku od 60 dana od dana podnošenja zahteva za njihovo odobrenje. Odredbe st. 1. do 4. ovog člana ne primenjuju se na prenos podataka koje obrađuju nadležni organi u posebne svrhe.