Na osnovu Zakona o zaštiti ličnih podataka BiH („Sl. glasnik BiH, broj 12/25) i člana 38. Statuta Općine Sanski Most (Službeni glasnik općine Sanski Most, broj 4/08, 5/08, 5/09, 2/10 i 9/11), Pomoćnik načelnika na osnovu ovlaštenja Općinskog načelnika, broj: 05-04-1-43/26 od 06.01.2026. godine, donosi:

P R A V I L N I K
o zaštiti ličnih podataka Općine Sanski Most

I. OPĆE ODREDBE

Član 1.
(Predmet i cilj)
(1) Ovim Pravilnikom uređuju se pravila, postupci i mjere kojima Općina Sanski Most, kao kontrolor podataka, osigurava zakonitu, poštenu i transparentnu obradu ličnih podataka fizičkih osoba, zaštitu njihovih prava i sloboda, te dokazivost usklađenosti sa Zakonom o zaštiti ličnih podataka (u nastavku: Zakon).
(2) Predmet ovog Pravilnika je određivanje radnji i postupaka u pogledu načina prikupljanja, obrade i korištenja ličnih podataka, pružanje informacija o Općini Sanski Most kao kontroloru obrade, te o kategorijama ličnih podataka, obimu i svrsi obrade ličnih podataka.
(3) Odredbama ovog Pravilnika određuju se:

• Način prikupljanja, obrada, korištenje, čuvanje i tehnička zaštita ličnih podataka

• Odgovarajuće organizacione i tehničke mjere u svrhu zaštite ličnih podataka i način ostvarivanja nadzora nad zaštitom ličnih podataka

• Način upoznavanja nosioca podataka s njihovim pravima u prikupljanju i daljoj obradi ličnih podataka

• Rokovi čuvanja ličnih podataka i odgovornost lica koja prikupljaju i koriste lične podatke

• Postupak davanja ličnih podataka trećoj strani

• Prenos podataka u inostranstvo

• Pravila za ostvarivanje prava nosilaca podataka

Član 2.
(Područje primjene)
(1) Ovaj Pravilnik primjenjuje se na svaku obradu ličnih podataka koju provodi Općina Sanski Most i njeni obrađivači.
(2) Pojmovi korišteni u Pravilniku imaju značenja iz Zakona (lični podatak, obrada, kontrolor, obrađivač, nosilac podataka, povreda ličnog podatka, videonadzor i dr.).
(3) Općina Sanski Most prikuplja, obrađuje i koristi lične podatke u svrhu obavljanja registrovane djelatnosti, izvršavanja zakonskih obaveza ili zadataka koji se obavljaju u javnom interesu, kao i prava i obaveza koje se izvršavaju u skladu sa zaključenim ugovorima.

Član 3.
(Načela obrade)
(1) Načela obrade predstavljaju osnovna pravila kojih se moraju pridržavati svi uposleni koji prikupljaju i obrađuju lične podatke u ime Općine Sanski Most kao kontrolora podataka.
(2) Općina Sanski Most, kao kontrolor obrade podataka, obradu provodi u skladu sa sljedećim načelima:

• Zakonitost, pravičnost i transparentnost – podaci se moraju obrađivati na legalan način, uz poštivanje prava pojedinca i otvorenost prema nosiocu podataka o tome kako se njihovi podaci koriste

• Ograničavanje svrhe – podaci se smiju prikupljati samo u jasno definisane svrhe i ne smiju se dalje obrađivati na način koji nije u skladu s tim prvobitnim svrhama

• Smanjenje obima podataka, odnosno minimizacija podataka – prikuplja se samo onaj minimalni obim podataka koji je neophodan za ispunjenje određene svrhe; obrada prekomjernih podataka koji nisu potrebni cilju je zabranjena

• Tačnost – lični podaci moraju biti tačni i ažurni; netačni podaci trebaju se ispraviti ili obrisati bez odlaganja

• Ograničenje čuvanja – podaci se čuvaju u obliku koji omogućava identifikaciju lica samo onoliko dugo koliko je potrebno radi ispunjenja svrhe; nakon toga treba ih izbrisati ili anonimizirati, osim ako zakon ne nalaže duže čuvanje

• Cjelovitost i povjerljivost – mora se osigurati odgovarajuća sigurnost podataka, uključujući zaštitu od neovlaštenog ili nezakonitog pristupa, otkrivanja, izmjene ili gubitka, primjenom tehničkih i organizacionih mjera

• Odgovornost – Općina Sanski Most kao kontrolor podataka odgovorna je za poštovanje svih navedenih načela i mora biti u stanju dokazati usklađenost sa njima, odnosno dokumentovati aktivnosti obrade i vođenje evidencija

II. OSNOVNI POJMOVI

Član 4.
(Definicije)
(1) U smislu ovog Pravilnika, a na osnovu Zakona o zaštiti ličnih podataka, pojedini izrazi koji se koriste u odredbama ovog Pravilnika imaju sljedeće značenje:
„Lični podatak” je svaki podatak koji se odnosi na fizičko lice čiji je identitet utvrđen ili se može utvrditi.
„Nosilac podataka” je fizičko lice čiji je identitet utvrđen ili čiji se identitet može utvrditi posredno ili neposredno, posebno pomoću identifikatora kao što su ime, identifikacioni broj, podaci o lokaciji, mrežni identifikator ili pomoću jednog ili više faktora svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili društveni identitet lica.
„Povreda ličnog podatka” je kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa ličnim podacima koji su preneseni, čuvani ili na drugi način obrađivani.
„Kontrolor podataka” je fizičko ili pravno lice, javni organ ili nadležni organ koji samostalno ili s drugim određuje svrhe i sredstva obrade ličnih podataka. Kada su svrhe i sredstva takve obrade utvrđeni zakonom, kontrolor podataka ili posebni kriteriji za njegovo imenovanje propisuju se zakonom.
„Obrađivač” je fizičko ili pravno lice, javni organ koji obrađuje podatke u ime kontrolora podataka.
„Primalac” je fizičko ili pravno lice, javni organ kojem se otkrivaju lični podaci, nezavisno od toga da li je u pitanju treća strana. Javni organi koji mogu primiti lične podatke u okviru određene istrage u skladu sa zakonom ne smatraju se primaocima, ali obrada tih podataka mora biti u skladu sa važećim pravilima o zaštiti podataka prema svrhama obrade.
„Obrada” je svaki postupak ili skup postupaka koji se obavlja na ličnim podacima ili na skupovima ličnih podataka, automatizovanim ili neautomatizovanim sredstvima, kao što su prikupljanje, evidentiranje, organizacija, strukturiranje, čuvanje, prilagođavanje ili izmjena, pronalaženje, ostvarivanje uvida, upotreba, otkrivanje prenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombinovanje, ograničenje, brisanje ili uništavanje.
„Zbirka ličnih podataka” je svaki strukturirani skup ličnih podataka koji su dostupni u skladu sa posebnim kriterijima, bez obzira na to da li su centralizovani, decentralizovani ili rasprostranjeni na funkcionalnoj ili geografskoj osnovi.
„Saglasnost” nosioca podataka je svako dobrovoljno, posebno, informisano i nedvosmisleno izražavanje volje nosioca podataka kada on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu ličnih podataka koji se na njega odnose.
„Podatak koji se odnosi na zdravlje” je lični podatak u vezi sa fizičkim ili mentalnim zdravljem fizičkog lica, uključujući pružanje zdravstvenih usluga, koji daje informacije o njegovom zdravstvenom stanju.
„Nadzorni organ” je Agencija za zaštitu ličnih podataka BiH.
(2) Svi ostali pojmovi koji su korišteni u ovom Pravilniku imaju značenje kao u Zakonu.

Član 5.
(Zakonitost obrade ličnog podatka)
(1) Općina obrađuje lične podatke na osnovu zakonskih obaveza, izvršavanja javnih ovlaštenja, ugovornih obaveza, legitimnog interesa ili saglasnosti ispitanika, a konkretan pravni osnov za svaku pojedinačnu aktivnost obrade definisan je u Evidenciji aktivnosti obrade.
(2) Lični podaci se prikupljaju, obrađuju i koriste zakonito, pošteno i transparentno, i to isključivo u posebne, izričite i zakonite svrhe, na način kojim se obezbjeđuje odgovarajuća bezbjednost ličnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja, primjenom odgovarajućih tehničkih i organizacionih mjera.
(3) Općina Sanski Most obrađuje podatke kada je ispunjen najmanje jedan od sljedećih uslova:

• Nosilac podataka je dao saglasnost za obradu svojih ličnih podataka u jednu ili više posebnih svrha

• Obrada je neophodna za izvršenje ugovora u kojem je nosilac podataka stranka, kako bi se preduzele radnje na zahtjev nosioca prije zaključenja ugovora

• Obrada je neophodna radi poštovanja pravnih obaveza Općine Sanski Most kao kontrolora podataka

• Obrada je neophodna kako bi se zaštitili ključni interesi nosioca podatka ili drugog fizičkog lica

• Obrada je neophodna za izvršavanje zadatka koji se obavlja u javnom interesu ili u okviru izvršavanja službenih ovlaštenja Općine Sanski Most kao kontrolora podataka
  (4) Legitiman interes kao osnova ne primjenjuje se kada Općina djeluje pri izvršavanju svojih obaveza.
  (5) Kada se oslanja na saglasnost, ona mora biti dobrovoljna, određena, informirana i nedvosmislena; nosilac može saglasnost povući u svakom trenutku, a do povlačenja obrada ostaje zakonita.

Član 6.
(Svrha obrade)
(1) Općina obrađuje lične podatke isključivo u svrhu izvršavanja svojih zakonskih nadležnosti, pružanja javnih usluga građanima, te ispunjavanja ugovornih i radno-pravnih obaveza, u skladu sa principima zakonitosti, pravičnosti i transparentnosti.
(2) Općina Sanski Most kao kontrolor podataka određuje svrhu i sredstva obrade ličnih podataka u skladu sa Zakonom o zaštiti ličnih podataka i važećim zakonodavstvom Bosne i Hercegovine i odredbama ovog Pravilnika.
(3) Lični podaci se prikupljaju i obrađuju isključivo u mjeri u kojoj je to neophodno za postizanje specifičnih i zakonitih svrha u okviru nadležnosti Općine.
(4) Svrhe obrade uključuju vođenje postupaka po zahtjevima stranaka, vođenje matičnih knjiga i registara, upravljanje ljudskim resursima i evidenciju radnog vremena, provođenje postupaka javnih nabavki, osiguranje sigurnosti u objektima (videonadzor).
(5) Svaka obrada podataka izvan navedenih svrha dopuštena je samo uz izričit pristanak ispitanika ili na osnovu posebnog zakonskog ovlaštenja.

Član 7.
(Kategorije ličnih podataka)
(1) Općina Sanski Most kao kontrolor podataka prikuplja i obrađuje sljedeće kategorije ličnih podataka:

• Osnovni lični podaci: ime i prezime, adresa, JMBG, datum rođenja, pol, kontakt podaci (broj telefona/mobitela, e-mail adresa)

• Ostali lični podaci koje nosilac podataka stavlja na raspolaganje prilikom zasnivanja i/ili tokom trajanja radnog odnosa ili zasnivanja drugih vrsta ugovornih/poslovnih odnosa, kao što su: podaci iz lične karte, račun kod poslovne banke, stručna sprema, druga znanja i vještine, podaci o prethodnim zaposlenjima

• Posebne kategorije podataka ne obrađuju se, osim ako je ispunjen jedan od uslova propisanih Zakonom (izričita saglasnost, značajan javni interes, zdravstvena i socijalna zaštita i dr.)
  (2) Podaci o krivičnim presudama i krivičnim djelima obrađuju se samo uz odgovarajući nadzor i uslove propisane Zakonom.
  (3) Podaci koji se prikupljaju putem nadzornih kamera kao evidencija ulazaka i izlazaka nosioca podataka u prostor Općine Sanski Most.
  (4) Lični podaci koji se odnose na maloljetna lica smiju se prikupljati i obrađivati u skladu sa odredbama Zakona o zaštiti ličnih podataka i uz posebne mjere zaštite propisane posebnim zakonom.
  (5) Lični podaci uzimaju se neposredno od nosioca podataka usmenim ili pisanim putem ili posredno iz drugih izvora.

III. PRAVA NOSIOCA PODATAKA

Član 8.
(Pravo na informisanje)
(1) U postupku obrade podataka Općina Sanski Most na odgovarajući način pisanim ili usmenim putem nosiocu podataka na njegov zahtjev pruža sve informacije vezano uz obradu njegovih ličnih podataka, a naročito o svrsi obrade podataka, pravnom osnovu za obradu podataka, legitimnim interesima, namjeri predaje ličnih podataka trećim licima, periodu u kojem će lični podaci biti pohranjeni, o postojanju prava nosioca podataka na pristup ličnim podacima te prava na ispravku, brisanje ili ograničenje obrade ličnih podataka, prava na prigovor, povlačenje saglasnosti i dr.
(2) Ako je zahtjev nosioca podnesen putem elektronske pošte, Općina će informaciju pružiti na isti takav način, osim ako nosilac ne zatraži drugačije.

Član 9.
(Prava nosioca podataka)
(1) Nosilac podataka može od Općine kao kontrolora tražiti potvrdu o tome da li isti obrađuje njegove lične podatke, te zahtijevati druge informacije vezane uz obradu ličnih podataka, poput svrhe prikupljanja i obrade podataka, perioda u kojem se lični podaci čuvaju, prava na prigovor nadzornom organu, te ostala prava vezana za obradu ličnih podataka.
(2) U slučaju da Općina raspolaže nepotpunim ili netačnim ličnim podacima nosioca podataka, isti se može u bilo kojem trenutku obratiti sa zahtjevom za dopunu ili ispravku podataka.
(3) Nosilac podataka ima pravo podnijeti zahtjev za brisanje („pravo na zaborav”) u slučajevima kada lični podaci više nisu nužni u odnosu na svrhe u koje su prikupljeni, ili kada nosilac podatka povuče saglasnost, a ne postoji drugi pravni osnov za obradu ličnih podataka, ili kada su lični podaci nezakonito obrađeni, ili više ne postoje legitimni interesi za obradu ličnih podataka i sl.
(4) Nosilac podataka ima pravo zatražiti ograničenje obrade ličnih podataka od Općine Sanski Most u slučajevima kada osporava tačnost ličnih podataka tokom perioda u kojem kontroloru pripada pravo provjere tačnosti istih, ili ako je obrada ličnih podataka bila nezakonita a nosilac umjesto brisanja traži ograničenje obrade podataka, ili u situacijama kada lični podaci kontroloru više nisu potrebni za potrebe obrade, ali ih nosilac podataka traži radi postavljanja, ostvarivanja ili odbrane pravnih zahtjeva, te ako je nosilac podataka podnio prigovor o legitimnim razlozima obrade podataka.
(5) Nosilac podataka ima pravo od kontrolora podataka zatražiti prenos svojih podataka drugom kontroloru u strukturisanom, uobičajeno upotrebljavanom i mašinski čitljivom formatu ukoliko to bude tehnički izvodivo, ako se podaci obrađuju na osnovu saglasnosti koja se može opozvati ili radi ispunjenja ugovornih obaveza i ako se obrada provodi automatizovano.
(6) Pravo podnošenja prigovora na obradu ličnih podataka pripada nosiocu podataka u slučajevima kada obrada ličnih podataka nije nužna radi izvršavanja zadatka koji se obavlja u javnom interesu ili u okviru službenih ovlaštenja dodijeljenih kontroloru, ili ako su legitimni interesi kontrolora manje bitni od osnovnih prava i sloboda nosioca podataka koji zahtijevaju zaštitu ličnih podataka.

Član 10.
(Ostvarivanje prava)
(1) Zahtjevi se zaprimaju putem službenih kanala (pisarnica/e-mail/obrazac), evidentiraju i obrađuju. Na zahtjeve nosilaca podataka Općina odgovara bez potrebne odgode u roku od 30 dana od dana zaprimanja zahtjeva. Izuzetno, taj se rok može, prema potrebi, produžiti za 60 dana uzimajući u obzir složenost i broj zaprimljenih zahtjeva, uz obavijest o razlozima. Kontrolor podataka obavještava nosioca podataka o svakom takvom produženju u roku od 30 dana od dana zaprimanja zahtjeva, pri čemu navodi razloge za odgađanje.
(2) Prava iz člana 11. ovog Pravilnika nosilac ostvaruje isključivo na osnovu pisanog zahtjeva na propisanom obrascu koji se nalazi u prilogu ovog Pravilnika (Prilog 1.) i uz predočenje važećeg identifikacionog dokumenta, ukoliko za to postoji pravni osnov utvrđen Zakonom o zaštiti ličnih podataka ili ovim Pravilnikom.
(3) Općina Sanski Most će, prije nego što meritorno odluči o zahtjevu nosioca podataka, uložiti sve razumne napore kako bi provjerila identitet nosioca podataka i postojanje pravnog osnova za udovoljenje zahtjevu.
(4) Ukoliko kontrolor podataka bude imao razumnih dilema u pogledu identiteta ili postojanja pravnog osnova za udovoljenje zahtjeva nosioca, isti može, u svrhu pojašnjenja, od nosioca podataka zatražiti dodatne informacije.
(5) O svakom takvom zahtjevu službenik za zaštitu ličnih podataka vodi posebnu evidenciju na način da se nakon donošenja odluke o zahtjevu o istome popunjava propisani obrazac o rješavanju zahtjeva koji se nalazi u prilogu ovog Pravilnika (Prilog 2.).

Član 11.
(Saglasnost)
(1) Kada se oslanja na saglasnost kao zakonit osnov za obradu ličnih podataka, Općina Sanski Most kao kontrolor podataka će od nosioca podataka ishoditi pristanak koji je dat dobrovoljno u pisanom obliku, uz upotrebu jasnog, razumljivog i jednostavnog jezika sa jasno naznačenom svrhom (Prilog 3.).
(2) Nosilac podataka ima pravo u svakom trenutku povući svoju saglasnost, a što ne utiče na zakonitost obrade kontrolora podataka na osnovu iste prije njenog povlačenja.
(3) Općina Sanski Most, kao kontrolor podataka, u trenutku donošenja ovog Pravilnika djeci mlađoj od 16 godina ne nudi nikakve online usluge. Ukoliko od dana donošenja ovog Pravilnika pa nadalje Općina Sanski Most ponudi bilo kakvu online uslugu djeci mlađoj od 16 godina, isto će se učiniti samo uz pristanak koji u njegovo ime daje roditelj, usvojilac, staratelj djeteta ili drugi zastupnik djeteta u skladu s uslovima navedenim u Zakonu o zaštiti ličnih podataka.

IV. ULOGE I ODGOVORNOSTI

Član 12.
(Odgovornost kontrolora)
(1) Općina Sanski Most kao kontrolor podataka dužna je primijeniti odgovarajuće sigurnosne mjere za zaštitu ličnih podataka, uzimajući u obzir prirodu podataka, obim, okolnosti i svrhe obrade, kao i rizike različitih nivoa vjerovatnoće i ozbiljnosti za prava i slobode fizičkih lica.
(2) Općina Sanski Most provodi odgovarajuće tehničke i organizacijske mjere, redovno ih preispituje i ažurira, te kada je potrebno donosi politike zaštite podataka („privacy by design/by default”). Načela privatnosti po dizajnu i po defaultu (podrazumijevanoj postavci) u praktičnom smislu znači da će se prilikom razvoja novih sistema ili procedura integrisati zaštita podataka.

Član 13.
(Čuvanje podataka)
(1) Općina Sanski Most, uz primjenu pozitivnih pravnih propisa, u svojim općim aktima određuje rok za brisanje te provodi periodično preispitivanje i preduzima razumno opravdane radnje radi obezbjeđenja da se lični podaci brišu. Lični podaci se čuvaju samo onoliko dugo koliko je potrebno u svrhe radi kojih se lični podaci obrađuju.
(2) Lični podaci se brišu po prestanku ugovornog odnosa, odnosno prestanka postojanja svrhe radi koje su i prikupljeni i obrađivani, a najkasnije po isteku zakonskih obaveza i propisanih rokova povezanih sa čuvanjem ličnih podataka, osim u slučaju kada je pokrenut postupak prinudne naplate nenaplaćenih potraživanja, sudski spor ili je uložen prigovor, u kojem slučaju se lični podaci obrađuju i koriste sve do pravosnažnog ili konačnog okončanja pokrenutih postupaka.

Član 14.
(Službenik za zaštitu ličnih podataka)
(1) Na osnovu Zakona i činjenice da je Općina javni organ i da se vrši obrada ličnih podataka velikog obima, imenuje se Službenik za zaštitu ličnih podataka (DPO).
(2) Službenik za zaštitu ličnih podataka imenuje se u skladu sa članom 39. stav (3) Zakona o zaštiti ličnih podataka, a koji pored redovnih poslova ima i obavezu informisanja i savjetovanja Općine Sanski Most kao kontrolora podataka te radnika koji obavljaju obradu ličnih podataka, praćenje poštivanja odredbi Zakona o zaštiti ličnih podataka, uključujući raspodjelu odgovornosti, osposobljavanje radnika koji učestvuju u obradi ličnih podataka, te saradnju sa nadležnim nadzornim organom shodno pravnim propisima.
(3) DPO je neovisan, ne prima upute za izvršavanje zadataka, ne može ga se razriješiti dužnosti ili kazniti zbog toga što obavlja svoje zadatke, te direktno odgovara Općinskom načelniku.
(4) Službenik za zaštitu ličnih podataka, u vezi s obavljanjem svojih zadataka, dužan je sve podatke do kojih dođe u postupku obrade podataka čuvati kao službenu tajnu u skladu sa zakonom.
(5) Općina Sanski Most je u obavezi kontakt podatke o službeniku za zaštitu ličnih podataka učiniti javno dostupnim na svojoj web stranici ili drugim mjestima dostupnim korisnicima u poslovnim prostorijama.
(6) Nosilac podataka može se obratiti službeniku za zaštitu ličnih podataka za sva pitanja koja se tiču obrade njegovih ličnih podataka i ostvarivanja njegovih prava u skladu sa Zakonom.

Član 15.
(Zajednički kontrolori podataka)
(1) Zajednički kontrolori nastupaju kada dva ili više kontrolora zajednički odrede svrhu i način obrade ličnih podataka. Svaka zajednička obrada mora biti zasnovana na pisanom sporazumu ili zakonu koji jasno definiše uloge.
(2) Sporazum o zajedničkoj obradi mora na odgovarajući način odražavati pojedinačne uloge i odnose zajedničkih kontrolora u odnosu na nosioce podataka. Sporazum o zajedničkoj obradi mora sadržavati podjelu odgovornosti.

Član 16.
(Ugovori o obradi)
(1) Općina Sanski Most može, uzimajući u obzir poslovne potrebe i opravdanost istima, pojedine poslove u vezi s obradom ličnih podataka u okvirima svog poslovanja, a na osnovu zaključenog ugovora u pisanom obliku, povjeriti obrađivaču.
(2) Obrada u ime Općine uređuje se pisanim ugovorom ili drugim pravnim aktom koji sadrži predmet, trajanje, prirodu i svrhu obrade, vrste podataka i kategorije ispitanika, te obaveze i prava Općine.
(3) Pisani ugovor ili drugi pravni akt propisuje, najmanje: obradu isključivo po dokumentiranim uputama; povjerljivost; sigurnosne mjere; pomoć pri ostvarivanju prava; pomoć u sigurnosti i DPIA (procjena uticaja na zaštitu podataka); brisanje ili povrat podataka po završetku; dostupnost informacija za dokaz usklađenosti; uvjete za pod-obrađivače.
(4) Obrađivač ne smije angažovati drugog obrađivača bez prethodnog posebnog ili općeg pisanog odobrenja Općine Sanski Most.
(5) Obrađivač također snosi obaveze zaštite podataka i može odgovarati za propuste solidarno sa Općinom Sanski Most ako ne poštuje odredbe ugovora.

Član 17.
(Prijenosi u druge zemlje/međunarodne organizacije)
(1) Prijenosi se provode samo pod uslovima i zaštitnim mjerama iz Zakona (poglavlje o prijenosima).
(2) Nositelj se obavještava o namjeri prijenosa i mjerama zaštite kada je to primjenjivo.

V. EVIDENCIJA AKTIVNOSTI OBRADE

Član 18.
(Evidencija o obradi ličnog podatka)
(1) Općina Sanski Most, kao kontrolor obrade, mora, ukoliko je primjenjivo, uspostaviti i voditi Evidenciju aktivnosti obrade koja se, u skladu sa Zakonom o zaštiti ličnih podataka, vodi u pisanom i elektronskom obliku.
(2) U Evidenciji aktivnosti obrade za svaku kategoriju ličnih podataka moraju biti navedeni sljedeći podaci:

• Ime i kontakt-podatke kontrolora podataka, i ako je primjenjivo, zajedničkog kontrolora podataka, predstavnika kontrolora podataka i službenika za zaštitu podataka

• Svrha obrade

• Opis kategorija nosilaca podataka i kategorija ličnih podataka

• Kategorije primalaca kojima su lični podaci otkriveni ili će im biti otkriveni, uključujući i primaoce u drugim državama ili međunarodnim organizacijama

• Ako je primjenjivo, o prenosu ličnih podataka u drugu državu ili međunarodnu organizaciju, uključujući identifikaciju druge države ili međunarodne organizacije i, u slučaju prenosa iz člana 51. stav (2) Zakona o zaštiti ličnih podataka, dokumentaciju o odgovarajućim zaštitnim mjerama

• Ako je moguće, predviđene rokove za brisanje različitih kategorija podataka

• Ako je moguće, opći opis tehničkih i organizacionih sigurnosnih mjera iz člana 34. stav (1) Zakona o zaštiti ličnih podataka
  (3) Općina Sanski Most je dužna Evidenciju aktivnosti obrade dati na uvid ovlaštenom nadzornom organu shodno važećim propisima.
  (4) Općina Sanski Most vodi i redovno ažurira Evidenciju aktivnosti obrade ličnih podataka koja je sastavni dio Pravilnika (Prilog 4.).

Član 19.
(Izjava o povjerljivosti)
(1) Svi uposleni u Općini Sanski Most obavezni su postupati u skladu sa Zakonom o zaštiti ličnih podataka i drugim važećim propisima Bosne i Hercegovine iz oblasti zaštite ličnih podataka, na način da sve Službe općine Sanski Most sa Pomoćnicima načelnika preduzimaju odgovarajuće tehničke i organizacione mjere koje imaju za cilj osigurati sigurnost i povjerljivost obrade ličnih podataka.
(2) Pomoćnici načelnika odgovorni su za izvještavanje Službenika za zaštitu ličnih podataka u vezi pojedinačnih upita iz oblasti zaštite ličnih podataka.
(3) Svi uposlenici Općine Sanski Most dužni su u roku od 30 dana od dana stupanja na snagu ovog Pravilnika potpisati Izjavu o povjerljivosti koja se nalazi u prilogu ovog Pravilnika (Prilog 5.), sa sadržajem kojim će se obavezati da će čuvati povjerljivost svih ličnih podataka kojima, u skladu sa svojim ovlaštenjima, imaju pravo pristupa, da će predmetne podatke isključivo koristiti u tačno određenu svrhu i onoliko vremena koliko je nužno za ostvarenje svrhe u koju su prikupljeni, kao i da lične podatke neće dostavljati na korištenje niti na bilo koji drugi način učiniti dostupnim trećim neovlaštenim licima.
(4) Izjava o povjerljivosti potpisuje se i prilikom angažovanja vanjskih saradnika (npr. vještaka).

VI. SIGURNOST, DPIA I POSTUPANJE S INCIDENTIMA

Član 20.
(Sigurnost obrade)
Općina i obrađivači primjenjuju odgovarajuće tehničke i organizacione mjere kako bi postigli odgovarajući nivo sigurnosti s obzirom na rizik, što prema potrebi podrazumijeva:

• Pseudonimizaciju i enkripciju ličnog podatka

• Mogućnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sistema i usluga obrade

• Sposobnost pravovremenog ponovnog uspostavljanja dostupnosti ličnog podatka i pristupa u slučaju fizičkog ili tehničkog incidenta

• Redovno testiranje, ocjenjivanje i procjenu djelotvornosti tehničkih i organizacionih mjera za sigurnost obrade

Član 21.
(Procjena učinka na zaštitu podataka – DPIA)
(1) Kada je vjerovatno da će neka obrada, uzimajući u obzir prirodu, opseg, kontekst i svrhe, te korištenje novih tehnologija, uzrokovati visok rizik za prava i slobode, provodi se DPIA sa sadržajem propisanim Zakonom.
(2) DPIA je naročito obavezna za:

• Sistemske i opsežne procjene ličnih aspekata na temelju automatizovane obrade, uključujući profiliranje, koje proizvode pravne učinke

• Opsežnu obradu posebnih kategorija podataka ili kaznenih podataka

• Sistemsko praćenje javno dostupnog područja u velikoj mjeri (npr. opsežan videonadzor)

Član 22.
(Povreda ličnih podataka)
(1) Svaka povreda dokumentira se (činjenice, posljedice, poduzete mjere).
(2) Općina, bez nepotrebne odgode i, ako je moguće, najkasnije u roku od 72 sata od saznanja, prijavljuje Agenciji povredu, osim ako je vjerovatno da povreda neće ugroziti prava i slobode osoba; u protivnom navode se razlozi za kašnjenje. Minimalan sadržaj prijave propisan je Zakonom. Obrađivač bez odgode obavještava Općinu.
(3) Kada je vjerovatno da će povreda prouzročiti visok rizik za prava i slobode, Općina bez odgode obavještava i nositelje podataka na jasan i razumljiv način (s iznimkama predviđenim Zakonom).

VII. VIDEO-NADZOR

Član 23.
(Uspostava video-nadzora)
(1) Općina Sanski Most koristi video-nadzor shodno odredbama Zakona o zaštiti ličnih podataka te drugih pozitivnih pravnih propisa kojima se uređuje područje zaštite ličnih podataka i provođenje tehničkog sistema zaštite života i zdravlja ljudi, te imovine.
(2) Obrada ličnih podataka putem video-nadzora odnosi se na prikupljanje i daljnju obradu ličnih podataka koja obuhvata stvaranje snimka koji čini ili je namijenjen da čini dio sistema skladištenja.
(3) Sistem video-nadzora je zaštićen od pristupa neovlaštenih lica, a pravo pristupa istome ima samo ovlašteno lice koje je imenovano od strane Općinskog načelnika Općine Sanski Most.
(4) Svaki pristup sačinjenim snimcima putem video-nadzora i njihova obrada posebno se evidentira putem automatizovanog sistema zapisa sa naznačenim vremenom, mjestom pristupa i naznakom lica koje je izvršilo pristup snimcima.
(5) Video-nadzorom su obuhvaćene samo prostorije ili dijelovi prostorija čiji je nadzor nužan radi postizanja bezbjednosti i zaštite imovine.
(6) Općina Sanski Most je u obavezi obezbijediti da prostorija ili dio prostorije koji je pod video nadzorom označen na način da je oznaka vidljiva najkasnije prilikom ulaska u vidokrug snimanja.
(7) Oznaka video-nadzora mora sadržavati naznaku da je prostor pod video-nadzorom, podatke o kontroloru podataka i kontakt podatke putem kojih nosilac/treće lice može ostvariti svoja prava.
(8) Snimci dobijeni putem video-nadzora mogu se čuvati najviše do 1 mjesec, osim ukoliko drugim zakonom nije propisan duži rok čuvanja ili ako su dokaz u sudskom, upravnom, arbitražnom ili drugom postupku.
(9) Prije donošenja odluke o video-nadzoru potrebno je provesti test legitimnog interesa, jer se nužnost uvođenja video-nadzora zasniva na procjeni legitimnog interesa kontrolora podataka. O uspostavi video-nadzora donijet će se posebna odluka kojom će se regulisati sva važna pitanja.

VIII. POSTUPANJE S KONKURSNOM PROCEDUROM

Član 24.
(Obrada podataka)
Prijavom na javni oglas/konkurs podnosioci prijava daju svoju saglasnost Općini Sanski Most da isti, kao kontrolor podataka, može prikupljati, koristiti i dalje obrađivati podatke u svrhu provođenja procedure prijema radnika shodno odredbama Zakona o zaštiti ličnih podataka. Ukoliko nakon provođenja postupka kandidati koji nisu izabrani ne preuzmu svoju dokumentaciju koju su predali u okviru procedure prijema, po isteku roka od jedne (1) godine ista će se uništiti.

IX. INFORMACIONO-KOMUNIKACIJSKE TEHNOLOGIJE

Član 25.
(Korištenje informaciono-komunikacijske tehnologije)
(1) Općina Sanski Most u svom poslovanju koristi informaciono-komunikacijske tehnologije i digitalne informacione resurse (hardver, softver, internet), a korištenje tih resursa stavlja na raspolaganje uposlenicima Općine Sanski Most za potrebe obavljanja njihovih radnih zadataka. Uposlenicima Općine nije dopušteno navedene resurse koristiti u privatne svrhe.
(2) Uposlenici Općine Sanski Most imaju pravo koristiti tehnološke i informacione resurse koji su potrebni za obavljanje poslova radnog mjesta, što uključuje pristup kompjuterskom sistemu, serveru, računarskim programima, bazama podataka, telefonu, e-mailu i internetu. Pri korištenju navedenog uposlenici su dužni voditi računa o tome da naprijed navedeno predstavlja imovinu Općine Sanski Most i da se u slučaju potrebe ima pravo izvršiti uvid i provjeriti način korištenja tih resursa.
(3) Uposlenici ne smiju pohranjivati, dijeliti, razmjenjivati s trećim licima, obrađivati, analizirati ili na bilo koji drugi način prenositi podatke Općine Sanski Most ili datoteke, kada to čine mimo potreba svog radnog mjesta ili kada to čine korištenjem neodobrenih medija, aplikacija ili drugih tehnoloških rješenja ili servisa.

X. ORGANIZACIJSKE MJERE I POSTUPCI

Član 26.
(Mjere zaštite i nadzor usklađenosti sa zakonom)
(1) Općina Sanski Most će preduzeti sve potrebne tehničke, administrativne i fizičke mjere, poput korištenja korisničkih imena i lozinki za ulaz u kompjutere i programe koji se koriste u redovnom radu, te fizičko arhiviranje podataka u pisanom obliku u zaključane ormare/službene prostorije.
(2) Uposlenik koji na svom radnom mjestu koristi kompjuter i prilikom svog rada upotrebljava lične podatke dužan je preduzeti odgovarajuće radnje da lični podaci prilikom njegovog izlaska sa radnog mjesta ne ostanu nezaštićeni.
(3) Uposlenici koji u svom radu prikupljaju i obrađuju lične podatke dužni su preduzeti radnje da lični podaci budu pohranjeni na način da nisu dostupni neovlaštenim licima, a između ostalog pohranjivanje pisane dokumentacije u odgovarajuće spise, zaključane ladice ili ormare.
(4) U slučaju kada se lični podaci zaprimaju izvan poslovnih prostorija Općine Sanski Most, uposlenik koji ih je zaprimio dužan je preduzeti potrebne radnje kako bi dokumentaciju koja sadrži lične podatke na siguran način dostavio do poslovnih prostorija Općine radi daljeg postupanja sa istima.

Član 27.
(Klasifikacija i minimizacija)
(1) Prije svake obrade utvrđuje se svrha, pravna osnova i najmanji nužni skup podataka (data minimization).
(2) Obavezno je planirati rokove brisanja i arhiviranja, te ih uvrstiti u evidenciju obrade.

Član 28.
(Kontrole pristupa i povjerljivosti)
(1) Pristup ličnim podacima imaju samo osobe ovlaštene i osposobljene za rad na pojedinoj obradi.
(2) Svaka osoba s pristupom obavezna je postupati po uputama kontrolora.

Član 29.
(Saradnja s Agencijom)
Općina sarađuje sa Agencijom na osnovu obrazloženog i zakonitog zahtjeva te omogućava uvid u evidencije.

Član 30.
(Edukacija i svijest)
Općina planira i provodi periodične edukacije zaposlenika, uključujući uvodne i ciljane edukacije za rukovoditelje postupaka obrade.

Član 31.
(Unutrašnje provjere i revizije)
Provode se redovne i ad hoc provjere usklađenosti, uključujući testiranja sigurnosnih mjera u skladu sa članom 19. ovog Pravilnika.

Član 32.
(Sastavni dijelovi Pravilnika)
Sastavni dijelovi ovog Pravilnika su: Zahtjev nosioca podataka, Obrazac saglasnosti za obradu ličnih podataka, Izjava o povjerljivosti, Rješavanje zahtjeva nosioca i Lista evidencija kao poseban tehnički prilog.

XI. ZAVRŠNE ODREDBE

Član 33.
(Primjena propisa)
Za sva pitanja koja nisu posebno uređena odredbama ovog Pravilnika na odgovarajući način se primjenjuje Zakon o zaštiti ličnih podataka i drugi važeći pravni propisi Bosne i Hercegovine koji se odnose na područje zaštite ličnih podataka.

Član 34.
(Stupanje na snagu i objava)
Ovaj Pravilnik stupa na snagu danom donošenja i objaviti će se u Službenom glasniku Općine Sanski Most i na web stranici Općine Sanski Most.

Broj: 01-02-125/26
Datum: 12.01.2026. godine

Po ovlaštenju
POMOĆNIK NAČELNIKA

Kadirić Amira, dipl. prav.

O B A V J E Š T E NJ E
o obradi ličnih podataka

Kontrolor podataka: Općina Sanski Most, Trg ljiljana 3, 00387 37 685-408

Službenik za zaštitu ličnih podataka: szzp@sanskimost.gov.ba

Svrha obrade: _______________________________________

Pravna osnova: Zakon o zaštiti ličnih podataka BiH („Sl. glasnik BiH, broj 12/25) i drugi relevantni posebni propisi.

Kategorije podataka: ______________________________________________________________
(npr. ime, prezime, JMBG, adresa, kontakt, podaci o obrazovanju)

Kategorija ispitanika: _________________________________________

Primatelji podataka: ____________________________________________

Rok čuvanja: _________________________________________________

Prava ispitanika: ______________________________________________

Kontakt za ostvarivanje prava: szzp@sanskimost.gov.ba

Prilog 1.
(član 10. Pravilnika – ostvarivanje prava)

Z A H T J E V
NOSIOCA PODATAKA

kojim Ja, ______________________________________________________________
(ime i prezime, adresa, tel/e-mail)

Podnosim zahtjev kao:
☐ Nosilac ličnih podataka
☐ Ovlašteni punomoćnik (priložiti punomoć)

Ovim putem podnosim (zaokružiti odgovarajuće):
□ Zahtjev za uvid u podatke ili obradu podataka
□ Zahtjev za ispravku podataka nosioca podataka
□ Zahtjev za brisanje, odnosno zaborav podataka o nosiocu podataka
□ Zahtjev za prenos podataka
□ Zahtjev za prekid ili ograničenje obrade podataka
□ Podnošenje prigovora na podatke ili proces obrade

Razlog podnošenja zahtjeva:

U svrhu identifikacije podnosioca zahtjeva, u prilogu dostavljam:
___________________________________________________ (naziv i datum izdavanja isprave).

Mjesto i datum Svojeručni potpis

Prilog 2.
(član 10. Pravilnika – ostvarivanje prava)

OPĆINA SANSKI MOST

RJEŠAVANJE ZAHTJEVA NOSIOCA

Podaci o podnosiocu zahtjeva:
Ime i prezime: _______________________________________________
Adresa: ____________________________________________________
JMB: ______________________________________________________
Kontakt podaci: _____________________________________________

Podaci o zahtjevu:
Datum podnošenja zahtjeva: ___________________
Vrsta zahtjeva: ____________________________________________________________
Lični podaci na koje se zahtjev odnosi: _______________________________________

Rješavanje zahtjeva:
Datum donošenja rješenja: _________________________________________________
Status zahtjeva: _________________________________________________________
Obrazloženje: ___________________________________________________________

Prilog 3.
(član 11. Pravilnika – saglasnost)

OPĆINA SANSKI MOST
Trg ljiljana 3
Kontakt podaci: 037/685-408

SAGLASNOST ZA OBRADU LIČNIH PODATAKA
(u skladu sa članom 9. Zakona o zaštiti ličnih podataka)

Ja, _____________________________________________, ___________________________
(ime i prezime) (broj identifikacionog dokumenta)

dajem slobodnu i nedvosmislenu saglasnost da Općina Sanski Most obrađuje moje lične podatke u svrhu:

(navesti svrhu u koju se daje saglasnost)

Vrsta podataka: ____________________________________________________________
(npr. broj telefona, fotografija i dr.)

Način obrade: _____________________________________________________________
(Zakon o zaštiti ličnih podataka, član 4. stav (1) tačka c))

Saglasnost dajem dobrovoljno i svjestan/svjesna sam da je mogu povući u svakom trenutku, bez negativnih posljedica, te da je obrada do trenutka povlačenja zakonita.

NAPOMENA: Saglasnost se daje samo na navedene svrhe obrade i navedene kategorije ličnih podataka, te se obrada ličnih podataka ne smije koristiti u druge svrhe. Obrada navedenih kategorija ličnih podataka provodiće se u skladu sa Zakonom o zaštiti ličnih podataka. Ako nosilac podataka želi povući saglasnost, to može učiniti slanjem zahtjeva na adresu: szzp@sanskimost.gov.ba.

Saglasnost za dijete daje roditelj/zakonski zastupnik, osim u slučaju nuđenja usluga informacionog društva neposredno djetetu starijem od 16 godina, u skladu sa članom 10. Zakona o zaštiti ličnih podataka.

Mjesto i datum: ____________________ Potpis: _________________________

SAGLASNOST ZA OBRADU LIČNIH PODATAKA
(u skladu sa članom 9. Zakona o zaštiti ličnih podataka)

Ime i prezime: ________________________________
Broj lične karte: ______________________________
Ime i prezime roditelja/zakonskog zastupnika (popunjava se u slučaju kada se radi o maloljetnom djetetu): ________________________________

Objavljivanje fotografija na službenoj stranici Općine Sanski Most predstavlja obradu ličnih podataka i mora biti usklađeno sa Zakonom o zaštiti ličnih podataka.
Svrha objave je informisanje građana o radu Općine, a pravni osnov u ovom slučaju je Vaša saglasnost, odnosno pristanak da u skladu sa članom 4. stav (1) tačka c) i tačka n) ZZLP-a („Službeni glasnik BiH, broj 12/25) dajete dobrovoljni pristanak za objavu Vaših fotografija.

Svojim potpisom potvrđujem da sam upoznat/a s tim da ovu saglasnost mogu odbiti ili u svakom trenutku povući, te da je obrada do trenutka povlačenja zakonita.

NAPOMENA: Saglasnost se odnosi samo na navedene svrhe obrade i navedene kategorije ličnih podataka, te se obrada ličnih podataka ne smije koristiti u druge svrhe.
Članom 9. stav (2) ZZLP-a nosilac podataka ima pravo u bilo kom trenutku tražiti povlačenje saglasnosti, bez negativnih posljedica.
Ako nosilac podataka želi povući saglasnost, to može učiniti pisanim putem na adresu: Općina Sanski Most, Trg ljiljana broj 3, putem e-maila na adresu: szzp@sanskimost.gov.ba ili lično na adresu Općine Sanski Most.

Mjesto/Datum: ___________________________ ____________________
(potpis)

Prilog 5.
(član 19. Pravilnika – izjava o povjerljivosti)

OPĆINA SANSKI MOST

Zaposleni: ________________________________
(ime i prezime)

Radno mjesto: ______________________________

I Z J A V A
o obavezi čuvanja povjerljivosti ličnih podataka

Ovom izjavom obavezujem se da ću u skladu sa Zakonom o zaštiti ličnih podataka BiH („Službeni glasnik BiH, broj 12/25) i člana 19. Pravilnika o zaštiti ličnih podataka Općine Sanski Most, broj: 01-02-125/26 od 12.01.2026. godine čuvati kao povjerljive sve lične podatke kojima imam pravo i ovlaštenje pristupa, a koji se prikupljaju i obrađuju u ime Općine Sanski Most, da ću iste lične podatke koristiti isključivo u tačno određenu (propisanu) svrhu, i da ću se pridržavati utvrđenog načina osiguranja.

Povjerljivost svih ličnih podataka kojima imam pravo i ovlast pristupa, neću otkriti ili na bilo koji način učiniti dostupnim, izjaviti, objaviti ili prenijeti bilo kojem fizičkom ili pravnom licu podatke koji se odnose na stranke, uposlenike, korisnike usluga, klijente, dobavljače te sve ostale poslovne partnere i saradnike Općine Sanski Most, a koji se nalaze u bazama podataka koje vodi organ u kojem sam zaposlen/a, kao i da ću naprijed navedene lične podatke koristiti isključivo u svrhu izvršavanja povjerenih poslova i zadataka.

Također se obavezujem da lične podatke kojima imam pravo i ovlast pristupa neću dostavljati/davati na korištenje niti na bilo koji drugi način učiniti dostupnima trećim (neovlaštenim) osobama, te se obavezujem da ću povjerljivost istih ličnih podataka čuvati i to kako za vrijeme trajanja radnog odnosa tako i po okončanju istog.

Također, upoznat/a sam da bilo kakvo neovlašteno raspolaganje povjerljivim podacima kojima imam pravo i ovlaštenje pristupa u svom radu predstavlja težu povredu radne obaveze.

Potpisivanjem ove izjave potvrđujem da sam svjestan/a da će Općina Sanski Most u slučaju povrede ili neizvršenja odredbi ove Izjave preduzeti sve pravne radnje i postupke, a koje uključuju traženje naknade štete za svu materijalnu i nematerijalnu štetu koja je proizašla ili je mogla proizaći za Općinu Sanski Most.

Broj i datum: __________________
Mjesto: ______________________

Državni službenik/namještenik (dostaviti u personalni dosje zaposlenika)

potpis