Di Željko Loci, avvocato presso lo studio legale Galić Law
Non c’è quasi nessuna azienda in Serbia oggi che non tratti dati personali: dai dipendenti ai clienti, fino ai visitatori del sito web.
Ecco perché la nuova legge non è una questione per il futuro: a otto anni dall’entrata in vigore dell’attuale Legge sulla protezione dei dati personali e a quasi sette anni dalla sua applicazione, ci stiamo avvicinando a una versione nuova, ridefinita e notevolmente ampliata della disciplina.
Con 175 articoli rispetto ai 102 della versione precedente, il gruppo di lavoro ha cercato di garantire finalmente la protezione dei dati personali in tutti i settori, sistematizzare tutte le disposizioni, risolvere i “problemi di gioventù” della legge originale e, al contempo, contribuire all’applicazione diretta del diritto dell’Unione Europea.
Carenze dell’attuale Legge sulla protezione dei dati personali
I punti deboli della legislazione vigente sono molteplici e si sono manifestati nella prassi nel corso degli ultimi sette anni di applicazione:
Obblighi del titolare indeterminati
Il titolare del trattamento – in quanto soggetto che determina le finalità e i mezzi del trattamento e che più frequentemente entra in contatto diretto con i dati di ogni individuo che ha acconsentito a condividerli – si fa carico di un’ampia serie di obblighi definiti in modo impreciso.
Nello specifico, il titolare è tenuto ad adottare “adeguate misure tecniche, organizzative e del personale” per garantire che il trattamento sia effettuato in conformità con le disposizioni della legge. Tuttavia, dato che la norma non dettagliava le misure specifiche che il titolare era tenuto ad adottare, nella pratica è risultato difficile accertare se le misure effettivamente attuate fossero adeguate e sufficienti, o se il titolare avesse correttamente adempiuto ai propri doveri di legge.
In pratica, questo vuoto normativo ha spesso spinto le aziende verso un’interpretazione minimalista dei propri obblighi: fare quanto basta per superare formalmente un controllo, ma non abbastanza per proteggere realmente i dati. La nuova bozza cerca di restringere questo margine introducendo standard più concreti. Ciò richiederà alle aziende di trasformare la compliance in procedure misurabili, anziché in semplice documentazione formale.
Digitalizzazione dei servizi pubblici ed espansione del trattamento dei dati personali
A partire dal 2018 si è verificato un incremento qualitativo e quantitativo del trattamento elettronico dei dati personali in tutta la Serbia. Il settore pubblico, da un lato, ha introdotto ed espanso diverse piattaforme digitali:
- eAPR;
- ePorezi;
- eInspektor;
- ePP/eTrezor;
- eFakture;
- eUprava;
- eKatastar;
- eŠatler.
Il settore privato, dall’altro, ha dovuto affrontare nuove sfide guidate dal rapido sviluppo dell’intelligenza artificiale generativa. Con la capillare diffusione dell’IA generativa dalla fine del 2022, il trattamento dei dati legato allo sviluppo, al test e all’implementazione dei sistemi di IA è emerso come una questione regolatoria fondamentale.
Nella pratica, molte aziende serbe utilizzano già strumenti di IA per la selezione dei candidati, l’assistenza clienti e l’analisi dei dati, spesso senza una politica di protezione dei dati chiaramente definita per tali scopi specifici. Di conseguenza, il nuovo quadro normativo non riguarderà solo i team di compliance, ma anche i reparti IT, i professionisti delle risorse umane e i dirigenti aziendali che selezionano e integrano questi strumenti.
In questo ambito, la Repubblica di Serbia è sulla strada per approvare regolamenti che disciplineranno più da vicino l’uso di strumenti di videosorveglianza e audiosorveglianza, l’intelligenza artificiale e il trattamento di dati genetici e biometrici.
Frequenza delle violazioni sotto la legge attuale
Purtroppo, numerosi titolari e responsabili del trattamento continuano a non adempiere pienamente a tutti gli obblighi derivanti dalla legislazione vigente. Ciò ha portato a diffuse violazioni dei diritti alla protezione dei dati e a potenziali fughe di informazioni riservate.
Un caso emblematico è stato quello di aprile di quest’anno, quando la stessa Federazione Calcistica della Serbia, in qualità di titolare del trattamento dei dati, ha subito gravi disagi a seguito di una presunta compromissione di un database contenente i dettagli di oltre 45.000 atleti che avevano acconsentito a condividere i propri dati personali.
Questo episodio dimostra chiaramente che anche le organizzazioni di grandi dimensioni e ad alta visibilità rimangono vulnerabili. Per il settore privato il messaggio è semplice: la domanda non è se si verificherà un incidente, ma quando – e se l’azienda sia pronta a rispondere in modo rapido, coordinato e trasparente.
Ciò ci porta all’ulteriore questione di come tali incidenti vengano risolti e se le sanzioni e le responsabilità per le violazioni siano abbastanza severe. La risposta è sia sì che no. La legge attuale prevede sanzioni pecuniarie che vanno da 50.000 a 2.000.000 di dinari per le persone giuridiche, e da 5.000 a 150.000 dinari per le persone fisiche responsabili per ciascuna violazione.
Se da un lato il rischio di una sanzione di 18.000 euro per violazione può indubbiamente rappresentare una somma considerevole per un privato, una microimpresa o una PMI, dall’altro lascia ben poco il segno sulle grandi corporazioni, che potrebbero considerare tale rischio come un irrilevante costo operativo.
A titolo di confronto, il GDPR prevede sanzioni fino a 20 milioni di euro o al 4% del fatturato globale annuo totale – una cifra sproporzionatamente più alta che rappresenta il punto di riferimento a cui la Serbia si sta gradualmente avvicinando.
Inoltre, la giurisprudenza penale e amministrativa in materia di violazione della legge attuale rimane ancora insufficientemente sviluppata e diffusa.
Modifiche significative alle norme esistenti sulla protezione dei dati
Il consenso come base del trattamento, informative sulla privacy e revoca del consenso
A differenza della precedente definizione di consenso come “indicazione di volontà libera, specifica, informata e inequivocabile” mediante dichiarazione o chiara azione positiva, la nuova bozza ne amplia il concetto. Distingue tra un’azione positiva chiara e altre azioni per concludente, lasciando ulteriore spazio interpretativo su quali azioni implicite possano costituire un valido consenso.
In pratica, ciò significa che le aziende dovranno rivedere tutti i moduli di consenso e le informative sulla privacy esistenti. Banner sui cookie, moduli web e app mobili dovranno essere tutti allineati ai nuovi requisiti.
Nell’informare gli individui sul trattamento previsto, i titolari dovranno prestare particolare attenzione a un elenco ormai strutturato di dettagli da fornire, in particolare per quanto riguarda le categorie di dati personali oggetto del trattamento.
La revoca del consenso produce effetti dal momento in cui viene ricevuta dal titolare. Ciò richiede che quest’ultimo interrompa il trattamento basato sul consenso senza ritardo, a meno che non sussista un’altra base giuridica idonea per l’ulteriore trattamento. Sebbene questa disposizione tuteli l’individuo, può creare ostacoli tecnici per i titolari, in particolare in presenza di un picco nelle richieste di revoca.
Sanzioni più severe per le violazioni
Un cambiamento fondamentale è l’aumento della sanzione minima per le violazioni accertate, che sale da 50.000 a 200.000 dinari. Sebbene la sanzione edittale massima rimanga bloccata a 2.000.000 di dinari, il quadruplicamento del minimo segna una notevole svolta nella politica sanzionatoria. In pratica, una prima infrazione da parte di una persona giuridica comporterebbe con ogni probabilità una sanzione pari o vicina al minimo di legge. La sanzione per il responsabile persona fisica rimane compresa tra 50.000 e 150.000 dinari, mentre i liberi professionisti e le ditte individuali affrontano scaglioni compresi tra 200.000 e 500.000 dinari.
Punto fondamentale: per tutte le infrazioni soggette alla suddetta sanzione edittale, può essere imposta una sanzione aggiuntiva corrispondente all’importo del danno causato o dell’obbligazione finanziaria elusa – fino a venti volte tale valore. Tuttavia, questa è limitata a cinque volte la sanzione massima di legge, ovvero un tetto complessivo di 10.000.000 di dinari.
Se da un lato la modifica della soglia base impatterà sulla stragrande maggioranza dei titolari e dei responsabili che commettono violazioni, le grandi aziende percepiranno appena l’impatto finanziario della sanzione minima. Ciononostante, l’aumento dei rischi finanziari dovrebbe fungere da deterrente e spingere le aziende a rafforzare i propri sistemi di compliance. D’altra parte, fissare il tetto massimo delle sanzioni legate a venti volte il danno causato a 85.000 euro potrebbe incidere in modo significativo sulle operazioni e sul profilo di rischio delle imprese più grandi.
In breve, per un’azienda che gestisce 10.000 richieste all’anno e commette un errore solo nel 1% dei casi, il rischio finanziario si moltiplica rapidamente.
Nuovi strumenti del quadro normativo
Videosorveglianza nei luoghi di lavoro
La nuova bozza disciplina per la prima volta la videosorveglianza, imponendo doveri espliciti ai datori di lavoro attraverso l’introduzione di regole e requisiti specifici per i titolari che gestiscono impianti TVCC. L’obiettivo è definire con maggiore chiarezza le condizioni alle quali la videosorveglianza è consentita e giustificata.
Nello specifico, il trattamento dei dati personali mediante videosorveglianza è consentito solo se necessario e giustificato per proteggere persone, beni o informazioni riservate – a condizione che i diritti e gli interessi dell’individuo o del dipendente non prevalgano sull’interesse al trattamento. In pratica, laddove i diritti fondamentali di un lavoratore prevalgano sull’interesse al trattamento, la videosorveglianza sarà vietata.
Inoltre, i datori di lavoro non possono utilizzare la videosorveglianza nelle sale pausa, negli spogliatoi, nei servizi igienici o in altri spazi che richiedono una maggiore riservatezza. Ciò solleva la questione se, e in che misura, l’installazione di telecamere in questi spazi senza un trattamento attivo dei dati possa essere giustificata. Inoltre, ai datori di lavoro sarà vietato l’uso della videosorveglianza per monitorare le prestazioni dei dipendenti, tranne in rari casi in cui sussistano straordinari e prevalenti interessi del datore di lavoro.
Un titolare o datore di lavoro deve segnalare chiaramente ogni struttura, immobile, locale e area esterna coperta da videosorveglianza. Le riprese devono essere adeguatamente protette da accessi non autorizzati e rese accessibili solo per motivi legittimi e riconosciuti dalla legge.
Segnaletica chiara
Oltre alle informative standard fornite alle persone i cui dati personali saranno registrati, i datori di lavoro devono esporre in modo visibile cartelli che indichino: (i) che l’area è sottoposta a videosorveglianza, (ii) il nome del titolare del trattamento e (iii) i dati di contatto del titolare. Nella prassi, molti datori di lavoro attualmente non segnalano le aree monitorate o lo fanno senza specificare chi stia effettivamente trattando i dati.
Qualsiasi azienda che attualmente utilizzi telecamere nei propri locali dovrebbe condurre un audit immediato: sono esposti cartelli chiari? Esiste una giustificazione documentata per la sorveglianza? Il sindacato è stato informato? La mancata conformità a questi requisiti potrebbe facilmente rendere un’azienda uno dei primi bersagli delle ispezioni di controllo.
Per giustificare l’uso della videosorveglianza sul luogo di lavoro, il datore di lavoro deve adottare una decisione formale che confermi che misure alternative e meno invasive sono state prese in considerazione ma ritenute insufficienti a tutelare gli interessi aziendali. Prima di adottare tale decisione, il datore di lavoro è tenuto a informare le rappresentanze sindacali – un requisito che inciderà notevolmente sulle aziende più grandi dove la presenza sindacale è più strutturata.
Trattamento dei dati tramite intelligenza artificiale
In risposta alla rapida diffusione dell’IA, stabilire un quadro giuridico per il trattamento dei dati tramite strumenti di IA è diventato essenziale, parallelamente alla redazione di una legislazione dedicata all’IA.
Ciò è ancora più critico se si considera che molte piattaforme di IA utilizzano di default alcuni o tutti i dati personali condivisi per addestrare i propri modelli. Le informazioni condivise possono successivamente essere incrociate, classificate e categorizzate, portando a risultati di trattamento differenti.
La bozza consente il trattamento dei dati per l’applicazione, lo sviluppo e il test dei sistemi di IA laddove tale trattamento sia coerente con la finalità originaria della raccolta. In via eccezionale, il trattamento basato sui legittimi interessi del titolare o di terzi è consentito a condizione che non prevalga sui diritti e sulle libertà dell’individuo. Gli individui mantengono il diritto di accesso e di opposizione, al quale il titolare deve rispondere entro 60 giorni.
La limitazione principale nel trattamento dei dati tramite IA è la supervisione umana: il sistema deve essere utilizzato con l’intervento di una persona fisica, il che significa che il trattamento completamente automatizzato sarà vietato qualora produca effetti giuridici o incida in modo analogamente significativo sull’individuo. Un trattamento automatizzato di questa natura è consentito solo per scopi storici, scientifici o statistici.
Cancellazione dei dati personali
Laddove siano soddisfatte le condizioni per la cancellazione dei dati personali, i titolari saranno tenuti a notificare la richiesta a tutti gli altri titolari che trattano tali dati per garantirne la completa eliminazione (il “diritto all’oblio”). Ciò crea un ulteriore onere amministrativo per le imprese, che dovranno farsi carico di contattare i titolari terzi e richiedere loro di procedere allo stesso modo.
Nella pratica, ciò risulterà particolarmente complesso per le aziende che condividono dati all’interno di vaste reti di partner e subappaltatori. Senza un registro centralizzato dei trasferimenti di dati, adempiere a questo obbligo potrebbe trasformarsi in un notevole ostacolo logistico.
Inoltre, le persone che hanno prestato il consenso al trattamento dei dati all’età di 15 anni o più avranno il diritto di richiederne la cancellazione per un motivo aggiuntivo: qualora non fossero consapevoli dei rischi del trattamento o delle implicazioni della pubblicazione dei propri dati online. Questa disposizione offre una maggiore tutela ai minori che potrebbero aver acconsentito prematuramente alla divulgazione di dati personali online.
Procedura per l’esercizio dei diritti
La nuova bozza stabilisce tempistiche legali rigide per le richieste presentate dagli individui che intendono esercitare i propri diritti ai sensi della Legge sulla protezione dei dati personali.
Nello specifico, il titolare deve informare il richiedente di eventuali vizi della domanda entro 15 giorni, dopodiché il richiedente ha 15 giorni per sanarli. Inoltre, il titolare deve dare seguito alla richiesta senza ritardo ed entro il termine perentorio di 30 giorni (salvo specifiche eccezioni). Ciò aumenta la certezza del diritto sia per i richiedenti che per i titolari, i quali devono operare all’interno di tempi ben definiti.
Rappresentanti di titolari/responsabili esteri privi di sede in Serbia
A differenza della legge attuale, che imponeva la nomina esplicita di un rappresentante, la nuova bozza consente al legale rappresentante di una sede secondaria o di un ufficio di rappresentanza di una società multinazionale di fungere automaticamente da rappresentante per l’entità non residente (sia che agisca come titolare o come responsabile). Questo approccio semplificato solleva le società estere non residenti dall’onere amministrativo di nominare un rappresentante dedicato.
(Forbes Serbia, 04.09.2026)
https://forbes.n1info.rs/biznis/propisi/novi-zakon-o-zastiti-podataka-da-li-je-vas-biznis-spreman/