Lei de Proteção de Dados Pessoais de 2018

País/Jurisdição: Sérvia

Nome da Lei
Lei de Proteção de Dados Pessoais de 2018
Autoridade Supervisora
Comissário para Informações de Importância Pública e Proteção de Dados Pessoais
Escopo de aplicação/Extraterritorialidade

Aplica-se ao tratamento de dados pessoais realizado por controladores e operadores estabelecidos na Sérvia, bem como a entidades fora da Sérvia que ofereçam bens/serviços a cidadãos sérvios ou monitorem seu comportamento dentro da Sérvia (p. 982; §2)

Diferenciação entre controlador e operador

Distingue entre “Controlador” (define os propósitos e meios do processamento) e “Operador” (processa dados em nome do controlador). Ambos têm responsabilidades diretas (p. 983; §2)

Dados Pessoais

Qualquer informação sobre uma pessoa física identificada ou identificável, como nome, endereço, e-mail, entre outros (p. 983; §3)

Dados Sensíveis

Incluem dados sobre origem racial, opiniões políticas, religião, saúde, genética, biometria, vida sexual, entre outros (p. 983; §4)

Bases legais de tratamento de dados

Consentimento, execução de contrato, cumprimento de obrigações legais, proteção de interesses vitais, entre outros (p. 984; §2)

Requisitos de Segurança

Medidas técnicas, organizacionais e de recursos humanos devem ser implementadas para garantir a segurança dos dados, incluindo a proteção por design e por padrão (p. 985; §1)

Direitos do Titular de Dados

Direitos incluem acesso, retificação, apagamento, limitação, portabilidade e objeção ao processamento, além do direito de não ser sujeito a decisões automatizadas que produzam efeitos legais (p. 985; §3)

Transferências internacionais de dados

Transferências são permitidas para países com nível adequado de proteção, países com acordo bilateral ou mediante consentimento explícito do titular dos dados (p. 983; §1)

Encarregado de Proteção de Dados/DPO

Nomeação obrigatória de DPO para entidades públicas e privadas que realizam monitoramento sistemático ou processam dados sensíveis em grande escala. O DPO deve atuar de forma independente e reportar diretamente à alta administração (p. 983; §4)

Notificação de incidentes

Notificação ao Comissário em até 72 horas após a descoberta do incidente; titulares de dados também devem ser informados se houver risco elevado (p. 985; §4)

Dados de menores

“Sem informação” (p. 985; §3)

Penalidades e sanções

Multas de até EUR 17.000 para entidades jurídicas e até EUR 1.275 para indivíduos responsáveis. Em casos graves, pode haver responsabilidade criminal, com penas de prisão de até três anos (p. 986; §2)