Organi vlasti će se veoma često naći u situaciji da ovlašćenje za obradu podataka crpe iz zakona, imajući u vidu da su upravo zakonima utvrđene nadležnosti i obaveze organa vlasti u svrhe za čije ostvarenje je neophodno obrađivati podatke o ličnosti.
Veoma je bitno pojasniti šta znači zakonsko ovlašćenje, odnosno šta je potrebno da bude regulisano zakonom, kako bi organ vlasti mogao zakonito da obrađuje podatke koji su mu neophodni za obavljanje svojih nadležnosti i delatnosti. U tom smislu zakon treba da reguliše:
- Koji organ vlasti je ovlašćen da obrađuje podatke o ličnosti – organ vlasti može biti konkretno određen, npr. Nacionalna služba za zapošljavanje ili barem odrediv, npr. državni organ nadležan za tržište rada;
- Svrha zbog koje se podaci obrađuju – svrha može biti direktno određena; tako Zakon o zdravstvenom osiguranju reguliše da se podaci iz matične evidencije koriste samo za potrebe obaveznog zdravstvenog osiguranja, dok sa druge strane Zakon o penzijskom i invalidskom osiguranju ne propisuje direktno za šta se podaci iz matične evidencije koriste, ali iz čitavog Zakona jasno proizlazi da se ti podaci mogu koristiti isključivo u svrhu ostvarivanja prava iz penzijskog i invalidskog osiguranja;
- Vrsta i skup podataka koji se obrađuju – ovo bi značilo da bi u zakonu trebalo da se konkretno navedu podaci koji će se obrađivati (npr. JMBG, adresa prebivališta, podaci o zaradi itd), kao i u odnosu na koja lica će se ovi podaci obrađivati (svi građani Republike Srbije, obavezno zdravstveno osigurana lica, građani koji imaju prebivalište na teritoriji Valjeva, itd)
- Ko ima ovlašćenje za pristup podacima – ovo bi značilo da se odredi koji organi vlasti i u koju svrhe mogu pristupati podacima koji se obrađuju, odnosno ko su korisnici podataka..
Kako je ZZPL stupio na snagu tek 1. januara 2009. godine, i dalje postoje brojni zakoni koji utvrđuju nadležnosti organa vlasti za koje je neophodno prikupljanje i obrada podataka, ali ti isti zakoni ni na koji način ne regulišu ovlašćenje za obradu podataka u navedenom smislu, ili to ne rade u dovoljnoj meri. U tom slučaju se organi vlasti mogu naći u nezavidnoj poziciji da zbog svoje delatnosti obrađuju podatke o ličnosti, a da nemaju adekvatno zakonsko ovlašćenje za to. U tim slučajevima bi trebalo da na svaki način zagovaraju izmene postojećih ili donošenje novih zakona, kako bi svoje postupanje u potpunosti uskladili sa ZZPL-om i Ustavom Republike Srbije.
Bitno je naglasti da samo zakon može ustanoviti ovlašćenje za obradu podataka o ličnosti, a to nikako ne može biti podzakonski ili drugi pravni akt niže snage, kojim se mogu urediti načini pribavljanja i drugi tehnički detalji prikupljanja podataka.
UPOZORENJE POVERENIKA broj 164-00-00300/2012-07 od 03.10.2014. godine: “Kako je prema članu 42. Ustava Republike Srbije, prikupljanje, čuvanje, obradu i korišćenje podataka o ličnosti moguće urediti isključivo zakonom, a članom 8.tačka 2. ZZPL je propisano da obrada podataka o ličnosti nije dozvoljena ako fizičko lice nije dalo pristanak za obradu, odnosno ako se obrada vrši bez zakonskog ovlašćenja, tako i skup podataka o ličnosti koje se obrađuje i svrha obrade moraju biti definisani samim zakonom. Podzakonskim propisima moguće je urediti način pribavljanja (od koga se podaci prikupljaju), kao i druge tehničke detalje prikupljanja zakonski definisanih podataka od trećih lica, ali se ne može određivati rukovalac podataka koji je ovlašćen da prikuplja podatke, kao ni svrha, odnosno skup podataka koji se mogu obrađivati”.