TIPIČNI PROPUSTI ORGANA VLASTI U VEZI SA ZAŠTITOM PODATAKA O LIČNOSTI I PREPORUKE

Uvod

Decembra 2014. godine javnost je saznala za najmasovniju povredu privatnosti i prava na zaštitu podataka o ličnosti građana Srbije. Naime, tih dana je SHARE Fondacija utvrdila da je na sajtu Agencije za privatizaciju dostupan dokument koji sadrži lične podatke o 5.190.396 građana Srbije – njihovo ime i prezime, srednje ime i jedinstveni matični broj (JMBG). U postupku nadzora koji je potom sprovela služba Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti, ustanovljeno je da je sporni dokument 10 meseci bio javno dostupan na sajtu Agencije za privatizaciju sa kog je, po rečima nadležnih iz Agencije, preuzet “više” puta. Posledice ovog slučaja teško da se sada mogu u potpunosti sagledati i čini se da još uvek nedostaje puno razumevanje ozbiljnosti incidenta. Javnost se nije bavila ovim slučajem dalje od ponekog senzacionalističkog naslova, dok je utvrđivanje odgovornosti potpuno izostalo. Više od godinu dana kasnije i dalje se ne zna da li je reč o slučajnosti, sistemskom propustu ili zloj nameri.

Slučaj Agencije za privatizaciju otkrio je razmere rizika kom su izloženi naši podaci, ali je ukazao i na nedostatak pouzdanih saznanja o praktičnim i tehničkim uslovima u kojima se podaci građana prikupljaju, obrađuju i čuvaju. SHARE Fondacija je stoga rešila da istraži koji se podaci prikupljaju u javnom sektoru, ko i na koji način ima pristup podacima građana, te koje se mere zaštite u ovim procedurama primenjuju. Značaj istraživanja je, srećom, prepoznat u USAID-ovom Projektu za reformu pravosuđa i odgovornu vlast, pa je tako projekat SHARE Fondacije pod nazivom “Podaci o ličnosti u javnom sektoru – Mapiranje infrastrutkure obrade podataka u Srbiji” dobio neophodnu podršku.

Rad je započet u aprilu 2015. godine, obimnim istraživanjem o vrstama obrade i načinima zaštite podataka o ličnosti u javnom sektoru, čiji su procesi zatim analizirani sa pravnog, organizacionog i tehničkog aspekta. Istraživanje je obuhvatilo šest državnih institucija: Republički fond za zdravstveno osiguranje, Republički fond za penzijsko i invalidsko osiguranje, Centralni registar obaveznog socijalnog osiguranja, Poreska uprava, Agencija za privredne registre i Gradski centrar za socijalni rad Beograd. Metodološki je istraživanje zasnovano na javno dostupnim podacima, ali i podacima dobijenim putem zahteva za pristup informacijama od javnog značaja. Institucije su bile spremne na saradnju, te je sa predstavnicima održan niz sastanaka zahvaljujući kojima su istraživači bolje upoznavali i razumevali procese rukovanja podacima građana u javnom sektoru.

Nakon istraživačkog procesa izrađeni su pojedničani izveštaji o obradi podataka za svaku od 6 Projetkom obuhvaćenih institucija kao i ‘’Vodič za organe vlasti – Zaštita podataka o ličnosti’’. Na osnovu tih dokumenata ali i sveobuhvatnog istraživanja SHARE Fondacije nastao je ovaj Izveštaj. Njegov cilj da ukaže na najčešće propuste, nedoslednosti i povrede zakona koje čine organi vlasti u vezi sa zaštitom podataka o ličnosti, te da organima vlasti uputi određene preporuke i praktične savete u vezi sa tim.

Prvi deo Izveštaja se odnosi na konkretne povrede Zakona o zaštiti podataka o ličnosti (ZZPL). Ovaj deo je namenjen rukovodstvu organa vlasti koje uvek mora imati u vidu da obrada podataka o ličnosti u organu vlasti mora biti dozvoljena i u skladu sa zakonima. Takođe ovaj deo je namenjen i pravnim ekspertima zaposlenim u organu vlasti čija zaduženja treba da budu odgovori na Zahteve koji građani imaju u skladu sa ZZPL kao i dostavljanje evidencije o zbiri podataka Povereniku,

Drugi i treći deo ovog izveštaja je namenjen upravi i kadrovskoj službi organa vlasti, te tehničkim ekspertima obzirom da se odnose na tipične propuste organa vlasti u vezi sa organizacionim i tehničkim merama za zaštitu podataka. Naime obaveze organa vlasti koje se odnose na organizacione i tehničke mere, regulisane su samo članom 47, stav 2 ZZPL gde se navodi da su organi vlasti dužni da preduzmu kadrovske i organizacione mere koje su potrebne da bi se podaci zaštitili od gubitka, uništenja, nedopuštenog pristupa, promene, objavljivanja i svake druge zloupotrebe. Stoga je opravdano reći da je na snazi neodređen pravni standard koji organi vlasti moraju primenjivati na način koji zavisi od potreba svakog konkretnog slučaja, te smo u ovom izveštaju pokušali da izdvojimo tipične propuste u vezi sa organizacionim i tehničkim merama.

SHARE Fondacija, mart 2016.

Povrede Zakona o zaštiti podataka o ličnosti

Nedozvoljena obrada podataka o ličnosti

Dozvoljenost obrade podataka o ličnosti regulisana je članom 8 Zakona o zaštiti podataka o ličnosti (ZZPL), postavljanem osnovnog pravila koji nalaže da za vreme trajanja obrade mora biti ispunjen najmanje jedan od dva uslova:

– Podaci se obrađuju na osnovu zakonskog ovlašćenja;

– Podaci se obrađuju na osnovu pristanka lica čiji se podaci o ličnosti obrađuju.

Organ vlasti u svakom trenutku mora voditi računa da li je jedan od ova dva uslova ispunjen, jer u protivnom grubo krši ZZPL, a potencijalno i druge zakone Republike Srbije, što za sobom može povući prekrašajnu, građansko-pravnu, krivičnu i disciplinsku odgovornost. Izuzetak od ovog pravila propisan je za organe vlasti jedino u članu 13 ZZPL, ali se taj izuzetak mora vrlo restriktivno tumačiti.

Dodatno, bez obzira na ispunjenost jednog od dva uslova (zakonsko ovlašćenje/pristanak), da bi obrada podataka o ličnosti bila dozvoljena, organ vlasti se sve vreme mora pridržavati i načela obrade koja su takođe regulisana članom 8 ZZPL, kao što su načelo svrsishodnosti, načelo srazmernosti i načelo tačnosti.

Tipični primeri nedozvoljene obrade podataka o ličnosti:

Organ vlasti na svojoj internet stranici objavljuje različite spiskove koji sadrže podatke o ličnosti građana, što je nepotrebno i nesrazmerno u odnosu na svrhu obrade (npr. organ vlasti prikuplja podatke o ličnosti svojih korisnika radi evidentiranja, te ne postoji potreba da se ti podaci javno objavljuju).
Lica koja su zaposlena u organu vlasti neovlašćeno kopiraju dokumente koji sadrže podatke o ličnosti i te kopije dostavljaju trećim licima, što je primer obrade bez pristanka i bez zakonskog ovlašćenja.
Organ vlasti obrađuje podatke bez pristanka, na osnovu podzakonskog akta (Uredba, Pravilnik, Odluka i slično), što je nedozvolljena obrada. U odsustvu pristanka, osnov uvek mora biti temeljen na Zakonu, a nikako na pravnom aktu niže snage.
Zaposleni na prijavnici sedišta organa vlasti zadržavaju lične karte građana prilikom ulaska u službene prostorije, što je nedozvoljena obrada, imajući u vidu da se protivi načelu srazmernosti. Svrha bezbednosti i zaštite imovine može se ostvariti i uvidom u ličnu kartu, ili prepisivanjem određenih podataka lica.

Posledice nedozvoljene obrade

Nedozvoljena obrada podacima o ličnosti unutar organa vlasti može imati dalekosežne posledice i u skladu sa tim aktivirati različite vrste odgovornosti:

Prekršajna odgovornost – ZZPL u članu 57 propisuje niz prekršaja koji izviru iz nedozvoljene obrade. U slučajevima kada se utvrdi prekršajna odgovornost, novčanom kaznom se može kazniti:
- organ vlasti kao pravno lice, i to novčanom kaznom od 50.000 do 1.000.000 dinara;
- fizičko lice, odnosno odgovorno lice u organu vlasti, novčanom kaznom od 20.000 do 500.000 dinara.

Građansko-pravna odgovornost – Ukoliko usled nedozvoljene obrade podataka o ličnosti u okviru organa vlasti, lice na koje se podaci odnose pretrpi materijalnu štetu (npr. gubitak prihoda) ili nematerijalnu štetu (duševni bol usled povrede časti i ugleda), to lice može po opštim pravilima građanskog prava pokrenuti parnični postupak za naknadu štete. U ovom slučaju štetu će biti dužan da nadoknadi:

○ organ vlasti kao pravno lice, ukoliko je štetu prouzrokovao njegov zaposleni u radu ili u vezi sa radom;

zaposleni u organu vlasti, ukoliko je štetu prouzrokovao namerno.

Krivična odgovornost – Nedozvoljena obrada podataka o ličnosti može za sobom povući i krivičnu odgovornost lica koja su zaposlena u organima vlasti. Krivičnu odgovornost će uvek snositi fizičko lice, a nikada organ vlasti kao pravno lice, imajući u vidu član 3 Zakona o odgovornosti pravnih lica za krivična dela. Neki od najvažnijih članova Krivičnog zakonika (KZ) koji se tiču zaštite podataka o ličnosti:
Član 146 KZ-a predviđa krivično delo neovlašćenog prikupljanja ličnih podataka kada se lice koje podatke o ličnosti koji se prikupljaju, obrađuju i koriste na osnovu zakona neovlašćeno pribavi, saopšti drugom ili upotrebi u svrhu za koju nisu namenjeni, može kazniti novčanom kaznom ili zatvorom do jedne godine. Dodatno, u istom članu je previđen i kvalifikovani oblik ovog krivičnog dela ukoliko ga je učinilo službeno lice u vršenju službe, te se takvo lice može kazniti zatvorom do 3 godine.
Član 298 KZ-a predviđa da ko neovlašćeno izbriše, izmeni, ošteti, prikrije ili na drugi način učini neupotrebljivim računarski podatak ili program, kazniće se novčanom kaznom ili zatvorom do jedne godine. Dodatno, ukoliko je usled toga nastupila šteta koja prelazi određeni novčani iznos, učinilac se može kazniti i zatvorom do pet godina.

○ Član 301 KZ-a predviđa da ko unese netačan podatak, propusti unošenje tačnog podatka ili na drugi način prikrije ili lažno prikaže podatak i time utiče na rezultat elektronske obrade i prenosa podataka, u nameri da sebi ili drugom pribavi protivpravnu imovinsku korist i time drugom prouzrokuje imovinsku štetu, kazniće se novčanom kaznom ili zatvorom do tri godine. Dodatno, ukoliko je usled toga nastupila šteta koja prelazi određeni novčani iznos, učinilac se može kazniti i zatvorom do deset godina.

Disciplinska odgovornost – Zaposleni u organu vlasti za koga se utvrdi da je na nedozvoljen način obrađivao podatke uvek treba i disciplinski da odgovara u zakonom i internim aktima predviđenom disciplinskom postupku. Posledice po zaposlenog zavise od vrste povrede i između ostalog mogu biti:

– novčana kazna;

– određivanje neposredno nižeg platnog razreda;

– zabrana napredovanja;

– premeštaj na radno mesto u neposredno niže zvanje;

– prestanak radnog odnosa.

Neadekvatno postupanje po zahtevima za ostvarivanje prava koje građani imaju u skladu sa ZZPL

Kada se nalaze u ulozi rukovaoca podataka, organi vlasti su dužni da građanima omoguće da se upoznaju sa svim aspektima obrade podataka o ličnosti te im moraju obezbediti sledeća prava propisana članovima 19-37 ZZPL:

– pravo na obaveštenje o obradi podataka koje organ vlasti poseduje;

– pravo na uvid u podatke koje organ vlasti poseduje;

– pravo na izdavanje kopije podataka koje organ vlasti poseduje;

– prava povodom izvršenog uvida.

Građani ova prava ostvaruju upućivanjem zahteva organima vlasti za svako pojedinačno pravo, mada se često upućuju zahtevi kojim se traži ostvarenje dva ili više prava.

Organi vlasti često nisu dovoljno upoznati sa svojim obavezama propisanim Zakonom, usled čega se zahtevi koji se tiču obrade podataka o ličnosti uobičajeno mešaju sa zahtevima po Zakonu o slobodnom pristupu informacijama od javnog značaja, kao i drugim zahtevima koje im građani upućuju.

Najčešći oblici neadektvatnog postupanja po zahtevima građana:

Potpuno odsustvo bilo kakve reakcije/odgovora organa vlasti na dostavljen zahtev za ostavrivanje prava (“ćutanje uprave”)
Odgovor na zahtev za ostvarivanje prava nakon isteka Zakonom propisanog roka (15 ili 30 dana od dana prijema zahteva, zavisno od vrste zahteva)
Delimično postupanje po zahtevu za ostavrivanje prava (npr. građanin nije obavešten o svim aspektima obrade podataka koje je zahtevao u skladu sa članom 19 ZZPL, ili nije obavešten o mestu, vremenu i načinu na koji će mu biti omogućen uvid u podatke u skladu sa članom 20 ZZPL)
Omogućavanje ostvarivanja prava licu koje nije aktivno legitimisano, odnosno licu na koje se podaci iz zahteva ne odnose (zahtevi za ostvarivanje prava su lična prava koja građani mogu da ostvaruju samo u odnosu na svoje podatke).

Tokom istraživanja, član SHARE Fondacije je svim institucijama obuhvaćenim projektom uputio identičan zahtev za obaveštenje o obradi podataka, kao i zahtev za uvid u podatke. Odgovori institucija su bili različiti, od onih koji su u potpunosti i u zakonskom roku odgovorili na zahtev, preko onih koji su samo delimično i nakon zakonom predviđenog roka odgovorili na zahtev, pa do onih koji su potpuno propustili da odgovore na zahtev.

Zašto je važno postupati po zahtevima za ostvarivanje prava u skladu sa ZZPL?

Postupanje u skladu sa zahtevima za ostvarivanje prava je obaveza organa vlasti propisana Zakonom, za čije je kršenje predviđena prekršajna odgovornost i novčana kazna od 50.000 do 1.000.000 dinara za organ vlasti, te novčana kazna od 5.000 do 50.000 dinara za odgovorno lice u organu vlasti.

Dodatno, na ovaj način organi vlasti u potpunosti postupaju u skladu sa načelom transparentnosti i omogućavaju građanima da ostvaruju prava garantovana Ustavom i zakonima Republike Srbije.

Nedostavljanje evidencije o zbirci podataka Povereniku koji vodi Centralni registar zbirki podataka

Kada se nalaze u ulozi rukovaoca podataka, organi vlasti su u skladu sa članovima 48-51 ZZPL dužni da obrazuju evidencije o svim zbirkama podataka koje vode (evidencije o obradi), te da ove evidencije dostave Povereniku koji vodi Centralni registar zbirki podataka. Tehnički, ovu dostavu organ vlasti obavlja tako što se registruje na sajtu Poverenika, popuni elektronski obrazac, a zatim i pisanim putem dostavi Povereniku potpisane i pečatirane obrasce.

Čest je slučaj da organi vlasti uopšte ne obrazuju evidencije o obradi, u skladu sa obavezom iz člana 48 ZZPL koja je detaljnije regulisana Uredbom o obrascu za vođenje evidencije i načinu vođenja evidencije obradi podataka o ličnosti (“Sl. glasnik RS”, br. 50/2009).

Dostavljanje evidencije Povereniku propisano je članom 51 ZZPL, ali se i ova obaveza često ne ispunjava.

Centralni registar zbirki podataka je javno dostupan na sajtu Poverenika i građani su, pretragom po nazivu rukovaoca, u prilici da utvrde ko od organa vlasti nije ispunio svoju zakonsku obavezu.

Zašto je važno dostaviti evidenciju o zbirci podataka Povereniku?

– Na taj način organ vlasti postupa u skladu sa načelom transparentnosti i zapravo obaveštava građane o zbirkama podataka koje vodi. Tako se smanjuje broj zahteva po pravu na obaveštenje, uvid i kopiju, te organ vlasti ima manje troškove po ovom osnovu;

– Državni organ se može osloboditi obaveze postupanja po zahtevima u vezi sa pravom na obaveštenje o obradi, ukoliko se podaci traženi takvim zahtevom već nalaze u Centralnom registru;

– Samim procesom prijave zbirke podataka, organ vlasti će se bolje upoznati sa zakonskom regulativom koja se odnosi na zaštitu podataka o ličnosti, kao i sa svojim obavezama u tomj oblasti

– U slučaju da organ vlasti ima nameru da obrazuje novu evidenciju podataka o ličnosti, a ne postoji svest da ona nije u skladu sa Zakonom, Poverenik će mu nakon obaveštenja o nameri uspostavljanja zbirke skrenuti pažnju na nezakonitost vođenja takve zbirke. Na taj način organ vlasti može da izbegne eventualne troškove koje bi imao ukoliko bi se nezakonitost utvrdila tek po uspostavljanju takve zbirke podataka.

Propusti koji se tiču organizacionih mera za zaštitu podataka

Obaveze organa vlasti koje se odnose na organizacione mere za zaštitu podataka, regulisane su samo članom 47, stav 2 ZZPL gde se navodi da su rukovalac i obrađivač dužni da preduzmu kadrovske i organizacione mere koje su potrebne da bi se podaci zaštitili od gubitka, uništenja, nedopuštenog pristupa, promene, objavljivanja i svake druge zloupotrebe. Stoga je opravdano reći da je na snazi neodređen pravni standard koji organi vlasti moraju primenjivati na način koji zavisi od potreba svakog konkretnog slučaja.

Nepostojanje lica za zaštitu podataka o ličnosti

Imenovano lice za zaštitu podataka o ličnosti u okviru organizacije nije izričita zakonska obaveza za rukovaoce podataka o ličnosti u Srbiji. Međutim, bez ovog lica teško je izvršiti propisanu obavezu o potrebnim kadrovskim i organizacionim merama, iz čega sledi i niz potencijalnih rizika po drugim osnovama regulisanim Zakonom. Stoga se imenovanje posebnog lica sa ovim zaduženjima prepoznaje kao dobra praksa, već primenjena u razvijenim zemljama. Model zakona o zaštiti podataka o ličnosti, koji je izradio Poverenik, predviđa obavezu postojanja ovakvog lica kod svakog rukovaoca podacima o ličnosti.

Ni u jednom od organa vlasti analiziranih tokom projekta nije postojalo lice koje je formalno zaduženo za zaštitu podataka o ličnosti. Nakon sugestija projektnog tima, u jednom organu vlasti je takvo lice imenovano tokom trajanja projekta.

Zašto je važno da postoji imenovano lice za zaštitu podataka o ličnosti i kako ga odrediti?

Da bi se obezbedila adekvatna zaštita podataka o ličnosti, u svakom organu vlasti koji obavlja poslove koji uključuju prikupljanje i obradu takvih podataka od suštinske je važnosti da postoji i odgovornost u okviru organizacije za njihovu zaštitu, zbog čega je potrebno odrediti najmanje jedno lice koje je formalno zaduženo za zaštitu podataka o ličnosti.

Za ove poslove nije potrebno formirati posebna radna mesta, već je preporuka da se poslovi iz domena upravljanja podacima o ličnosti dodele određenim zaposlenima kao dodatne aktivnosti koje obavljaju pored redovnog posla. Takođe se preporučuje razdvajanje upravljačkih i operativnih poslova iz domena upravljanja podacima o ličnosti. Upravljački poslovi podrazumevaju definisanje internih pravila u vezi sa upravljanjem podacima o ličnosti, kao i obezbeđivanje njihovog sprovođenja. Operativni poslovi uključuju implementaciju definisanih pravila u svakodnevnom poslovanju. Bilo bi krajnje neefikasno objediniti sve ove poslove u okviru jednog radnog mesta. Strateške odluke bi trebalo da se donose na najvišem hijerarhijskom nivou, dok bi operativni poslovi trebalo da budu samo neke od aktivnosti na izvršnim radnim mestima, u zavisnosti od vrste posla koju je potrebno obaviti. Odgovornosti ovog lica mogu biti precizirane na dva načina:

1) Pravilnikom o unutrašnjoj organizaciji i sistematizaciji radnih mesta, čime bi odgovornost za zaštitu podataka o ličnosti koji se prikupljaju i obrađuju, u okviru organizacije bila prvenstveno vezana za radno mesto, ili više radnih mesta, i gde bi odgovornosti lica zaduženog za zaštitu podataka o ličnosti bile definisane kroz opis posla radnog mesta na kojem se ono nalazi u organizacionoj strukturi;

2) Posebnom odlukom rukovodioca organa vlasti, kojom bi se konkretnom zaposlenom, ili više njih, dodelila zaduženja za zaštitu podataka o ličnosti koji se prikupljaju i obrađuju.

S obzirom na odgovornosti koje bi lice za zaštitu podataka o ličnosti trebalo da ima, jasno je da bi ono u ovom smislu trebalo da bude zaposleni koji se nalazi na pozicijama višeg hijerarhijskog nivoa. Analiza primera dobre prakse u Srbiji i inostranstvu pokazala je da bi to lice trebalo da bude deo najviše linije menadžmenta. Međutim, u mnogim organima vlasti koji prikupljaju i obrađuju podatke o ličnosti, prisutan je divizioni model organizacione strukture, usled teritorijalne razuđenosti organizacionih jedinica. U takvim organizacionim sistemima rešenje bi trebalo tražiti u uvođenju odgovornosti na dva nivoa, gde bi prvi nivo podrzumevao imenovanje lica iz najviše linije menadžmenta, zaduženog za strateška pitanja iz ove oblasti. Na drugom nivou bi u svakoj od izmeštenih organizacionih jedinica trebalo da postoji lice odgovorno za operativno sprovođenje strateških odluka iz oblasti zaštite podataka o ličnosti.

Ukoliko rešenja iz Poverenikovog Modela zakona budu uključena u novi zakon o zaštiti podataka o ličnosti, dodela zaduženja i odgovornosti u okviru organizacije postaće zakonska obaveza, pa se organima vlasti prepuručuje proaktivni pristup i da na vreme počnu da se bave ovim značajnim pitanjem.

Nije sprovedena odgovarajuća obuka zaposlenih iz oblasti zaštite podataka o ličnosti

Nivo edukacije iz oblasti zaštite podataka o ličnosti značajno varira među analiziranim organima vlasti. U pojedinim organima vlasti nije bilo nikakve edukacije niti upoznavanja zaposlenih sa odredbama Zakona o zaštiti podataka o ličnosti. S druge strane, postoje i dobri primeri, gde je u okviru obuka za sprovođenje zahteva standarda ISO 27001 – Upravljanje bezbednošću informacija, posebna pažnja posvećena zaštiti podataka o ličnosti, te su sačinjeni i priručnici za zaposlene koji se odnose na tu oblast.

Najčešće metode su poznavanje sa odredbama Zakona prilikom stupanja zaposlenog u radni odnos, kao i prisustvo određenih instrukcija na internom portalu organa vlasti, što se ispostavlja kao prosečan nivo edukacije.

Zašto je obuka za zaposlene iz oblasti zaštite podataka o ličnosti važna?

Ukoliko zaposleni nisu upoznati s tim šta zaštita podataka o ličnosti zaista znači, i u Zakonu i u praksi, sve druge, pre svega organizacione, ali i tehničke mere zaštite podataka o ličnosti ne mogu ostvariti svoju svrhu. Tako uvođenje odgovornosti za zaštitu podataka o ličnosti neće imati mnogo efekta, ukoliko zaposleni nisu svesni koje od postupaka izvršenih nad podacima predstavljaju kršenje Zakona.

Analiza istorije žalbi Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti, pokazala je da su u praksi najveći problem neadekvatne primene odredbi Zakona o zaštiti podataka o ličnosti i Zakona o slobodnom pristupu informacijama od javnog značaja. Naime, zaposleni su pod utiskom da su pojedine odredbe dva propisa kontradiktorne, zbog čega nailaze na probleme pri određivanju prioriteta u primeni zakona.

Zaposleni u organima vlasti često nisu u stanju da donesu odluku da li se zahtev za ostvarivanje prava na slobodan pristup informacijama od javnog značaja može izvršiti kada posumnjaju da bi se odavanjem konkretne informacije prekršio Zakon o zaštiti podataka o ličnosti. S druge strane, postoje primeri kada se odredbe Zakona o zaštiti podataka o ličnosti krše u načelno dobroj nameri organa vlasti da svoje korisnike obavesti o načinu ostvarivanja prava.

Jasno je da edukacija iz ove oblasti preko potrebna, te da bi se možda i najveći deo žalbi na postupke i odluke organa vlasti u vezi sa zaštitiom podataka o ličnosti mogao preduprediti boljim informisanjem zaposlenih i njihovim kontinuiranim treningom u ovoj oblasti.

Na koji način treba sprovoditi obuku iz oblasti zaštite podataka o ličnosti?

Svi organi vlasti koji upravljaju podacima o ličnosti bi posebnu pažnju trebalo da posvete stalnoj edukaciji svojih zaposlenih. Pre svega, organ vlasti bi trebalo da razvije barem jedan interni akt koji bliže uređuje oblast zaštite podataka o ličnosti, u potpunosti usklađen sa Zakonom o zaštiti podataka o ličnosti, a koji istovremeno sadrži konkretne smernice za primenu zakona u delatnosti kojom se organ vlasti bavi. Vrste i načine edukacije je najpogodnije klasifikovati u odnosu na radni staž zaposlenog u organu vlasti:

Prilikom započinjanja radnog odnosa:

novozaposleni treba da se upozna sa internim aktom organa vlasti o zaštiti podataka o ličnosti, te da potpiše izjavu o tome;
novozaposleni treba da potpiše izjavu o poverljivosti informacija do kojih dolazi u toku obavljanja redovnih i vanrednih radnih aktivnosti.

U toku radnog odnosa:

interni akt o zaštiti podataka o ličnosti mora biti stalno dostupan svim zaposlenima na internom portalu organa vlasti;
u definisanim vremenskim intervalima treba organizovati obuke za zaposlene koji upravljaju podacima o ličnosti. Suština obuke bi trebalo da bude ne samo u približavanju odredbi zakona zaposlenima, već i u analizi najčešćih primera kršenja zakona i loše prakse u organima vlasti.

U definisanim vremenskim intervalima bi takođe trebalo organizovati testiranje zaposlenih iz oblasti zaštite podataka o ličnosti. Testiranje bi, pored čisto teorijskih pitanja, trebalo da bude zasnovano na studiji slučaja iz delokruga rada organa vlasti, gde bi se od zaposlenih očekivalo da odgovore na pitanje šta bi uradili, odnosno kako bi postupili u konkretnoj situaciji.

Nepostojanje odgovarajućeg sistema korisničkih rola za zaposlene

U pojedinim organima vlasti koji su bili predmet analize nije uočeno postojanje sistema korisničkih rola kojima se reguliše nivo dozvoljene obrade podataka o ličnosti u skladu sa odgovornostima zaposlenih u organu vlasti. To znači da svi zaposleni imaju podjednaka prava obrade podataka o ličnosti, bez obzira na posao koji obavljaju, što je značajan propust.

U većini organa vlasti postoji sistem korisničkih rola kojim je, između ostalog, definisan dozvoljeni nivo obrade podataka o ličnosti za svakog korisnika kome je dodeljena određena rola. Međutim, broj korisničkih rola često ne odgovara zahtevima organizacione strukture, te se dešava da zaposleni koji obavljaju različite poslove imaju iste korisničke role iako im se opis posla razlikuje, pa samim tim i potreban nivo obrade podataka o ličnosti.

Pored toga, u određenim organima vlasti je ustanovljeno da se korisnička prava dodeljuju svakom zaposlenom pojedinačno. To znači da ne postoji sistem korisničkih rola, već se za određene podatke svakom zaposlenom daju određena prava obrade. Zbog toga se u takvim organima vlasti dešava da zaposleni na istom radnom mestu, koji bi trebalo da obavljaju isti posao, imaju različita prava obrade podataka o ličnosti.

Moguće je da priroda posla zahteva postojanje različitih prava obrade podataka o ličnosti za zaposlene na istom radnom mestu, ali samo ukoliko oni svoj posao obavljaju po predmetima, pa je potrebno da pojedine predmete mogu da obrađuju samo zaposleni kojima su dodeljeni, ali ne i ostali. To zapravo znači da je potrebna odgovarajuća korisnička rola za obradu podataka u skladu sa poslovima koji se obavljaju na predmetu, i ona treba da bude dodeljena svim zaposlenima na istom radnom mestu, ali je neophodan dodatni nivo zaštite, odnosno mogućnost dodeljivanja predmeta zaposlenima. Na taj način će zaposleni na istom radnom mestu imati ista prava obrade podataka o ličnosti, ali samo u okviru predmeta koji su im dodeljeni. Ni u jednom od organa vlasti gde je priroda posla takva da se obavlja po predmetima, nije uočen ovakav sistem definisanja prava obrade, već je svim zaposlenima omogućeno da vide i predmete koji im nisu dodeljeni.

Konačno, u pojedinim organima vlasti u kojima postoji sistem korisničkih rola uočeno je da se prava obrade podataka o ličnosti ne podudaraju sa opisima poslova zaposlenih kojima su role dodeljene, odnosno da je zaposlenima omogućen veći nivo obrade podataka nego što njihov posao zapravo zahteva. Važno je napomenuti da se u određenim slučajevima ovo događa zato što opis posla radnog mesta ne odgovara realnim aktivnostima koje se na njemu obavljaju. Ali to svakako nije opravdanje, u tim slučajevima je neophodno izvršiti korekciju opisa posla i korisničke role za radno mesto, i prilagoditi ih realnom stanju.

Dakle, osnovni uočeni problemi jesu:

nepostojanje sistema korisničkih rola,
nedovoljan broj korisničkih rola u odnosu na broj različitih radnih mesta,
vezivanje prava obrade podataka o ličnosti za zaposlenog a ne za radno mesto,
nemogućnost razlikovanja prava obrade među zaposlenima prema predmetima,
nepodudaranje prava obrade podataka sa poslom koji se na radnom mestu obavlja.

Zašto je važno da sistem korisničkih rola za zaposlene bude definisan na odgovarajući način?

Organi vlasti prikupljaju podatke o ličnosti radi obavljanja osnovne delatnosti, tako da je zaposlenima neophodno omogućiti da vrše obradu tih podataka. Međutim, da bi se obezbedila zaštita podataka o ličnosti, neophodno je onemogućiti zaposlene da obrađuju podatke ukoliko za to nemaju pravni osnov, odnosno ako njihov posao ne zahteva obradu. Zbog toga je od suštinske važnosti primeniti odgovarajući sistem korisničkih rola koji bi omogućio zaposlenima da obrađuju samo one podatke o ličnosti koje zahteva ispunjenje obaveza iz opisa posla za radno mesto na koje su raspoređeni. Dakle, nužno je ustanoviti sistem korisničkih rola i prilagoditi ga opisima poslova radnih mesta. Takođe, ukoliko je vrsta posla takva da se obavlja po predmetima, potrebno je obezbediti da predmetu može da pristupi samo zaposleni kome je on dodeljen.

Sistem prava obrade podataka mora da postoji bez obzira na način čuvanja podataka. U slučaju kada se podaci nalaze u elektronskoj bazi podataka, sistem rola je potrebno definisati u informacionom sistemu koji zaposleni koriste. Ukoliko se dokumenta koja sadrže podatke o ličnosti čuvaju u papirnoj formi, potrebno je obezbediti da takvim dokumentima pristupaju samo zaposleni koji imaju pravni osnov, odnosno čiji posao to zahteva.

Bez obzira na način čuvanja podataka, neophodno je evidentirati svaku obradu podataka o ličnosti. Za podatke koji se čuvaju u elektronskim bazama podataka to je potrebno uraditi preko sistema logova, što se rešava u okviru tehničkih mera zaštite. Kada je reč o podacima o ličnosti iz dokumenata u papirnoj formi, potrebno je odgovarajućim procedurama predvideti obavezu evidencije svake obrade takvih dokumenata.

Nedostatak odgovarajućih internih procedura za zaštitu podataka o ličnosti

Određene oblasti zaštite podataka o ličnosti je moguće bliže urediti procedurama, ali je istraživanje pokazalo da su takve procedure još uvek retkost u organima vlasti. Reč je pre svega o procedurama kojima se reguliše pristup podacima u papirnoj formi kao i održavanje elektronske baze podataka od strane trećih lica.

Što se tiče pristupa podacima u paprinom obliku, ne samo da se nivo zaštite razlikuje među pojedinim organima vlasti, već su značajne razlike ustanovljene i u okviru jednog organa vlasti. Istraživanje je pokazalo da postoje slučajevi da organizacija zaštite podataka o ličnosti zavisi od same filijale, ispostave ili odeljenja organa vlasti. Ispostavilo se, takođe, da nivo zaštite nije nužno predmet odluke rukovodstva filijale/ispostave/odeljenja, već da ponekad direktno zavisi od infrastrukturnih uslova (npr. da li ormani mogu da se zaključaju, da li ima mesta za njih u kancelarijama zaposlenih, ili stoje u hodniku, i sl).

S druge strane, u pojedinim organima vlasti se nedostatak procedure za pristup podacima pravda činjenicom da su podaci u toj formi praktično nepretraživi, što po mišljenju zaposlenih predstavlja dovoljan nivo zaštite. Pretraživost je, međutim, vrlo relativna kategorija, pa ovakav odnos predstavlja značaj rizik po zaštitu podataka o ličnosti.

Razvoj tehnologije zapravo je povećao rizik od posledica kršenja ZZPL zbog neosnovanog pristupa podacima u papirnoj formi, s obzirom na široku upotrebu telefona s kamerom koja omogućava lako fotografisanje, odnosno digitalizovanje podataka o ličnosti iz papirnih dokumenata.

Kao poseban problem javlja se održavanje elektronske baze podataka od strane trećih lica. Naime, moguće je da većina tehničkih mera zaštite podataka o ličnosti ne ostvaruje svoj pun potencijal jer se odnosi samo na pristup zaposlenih, dok pristup lica koja održavaju bazu podataka nije uređen ni na koji način. To u nekim organima vlasti dovodi do paradoksalne situacije da se, na primer, čuvaju logovi o pristupu svih zaposlenih, dok lica zaposlena u eksternoj firmi koja održava sistem pristupaju bazi bez ikakvog traga.

Kao i kod ostalih pitanja zaštite podataka o ličnosti, situacija se značajno razlikuje među organima vlasti. Postoje organi vlasti kod kojih čak ni ugovori o održavanju informacionog sistema nemaju klauzulu o poverljivosti podataka, kao osnovni pravni mehanizam zaštite i minimalni zahtevani nivo koji ne zavisi od tehničkih rešenja i situacije u organu vlasti. Ugovori o održavanju informacionih sistema u većini organa vlasti, ipak, poseduju član kojim se uređuje poverljivost. Međutim, najčešće je to i jedini korak preduzet u smislu zaštite podataka i uopšte uređenja te oblasti.

Zbog čega je važno da postoji interna procedura za pristup podacima u papirnoj formi i u kom smeru je treba razvijati?

Pre svega, dokumentacija koja sadrži podatke o ličnosti mora da bude uskladištena na odgovarajući način, u prostorijama, ormarima ili drugim objektima koji se mogu zaključati. Za čuvanje i izdavanje ključa treba da bude odgovoran jedan od zaposlenih na lokaciji. U idealnom slučaju, to će biti lice ranije određeno za zaštitu podataka o ličnosti. S obzirom da veliki broj institucija ima filijale i ispostave u kojima se čuva i skladišti najveći broj papirnih dokumenata, bitno je da odgovornost za zaštitu podataka o ličnosti bude definisana i na tom nivou.

Organ vlasti treba da ima jasno definisanu proceduru za upravljanje dokumentima u papirnoj formi koji sadrže podatke o ličnosti, a koja se može razlikovati od procedure za upravljanje ostalim dokumentima koji ne sadrže takve podatke. Ukoliko je u organu vlasti implementiran sistem menadžmenta kvalitetom, pored procedure za upravljanje dokumentima koja je jedna od šest procedura iz standarda ISO 9001, deo tog sistema treba da bude i posebna procedura za upravljanje dokumentima u papirnoj formi koji sadrže podatke o ličnosti. Naime, bez obzira koja od zainteresovanih strana za podatke o ličnosti je u pitanju (zaposleni, drugo pravno lice, samo fizičko lice, javnost), navedenom procedurom je potrebno definisati najmanje tri pitanja:

Ko ima pravo pristupa podacima?
Na koji način može da pristupi podacima?
Koje vrste obrade može da sprovodi nad dokumentima?

S druge strane, potrebno je uvesti mere za poboljšanje zaštite podataka o ličnosti koji se nalaze u dokumentima u papirnoj formi. To su, između ostalog, instrukcije zaposlenima da nakon završetka radnog vremena ne ostavljaju dokumenta sa podacima o ličnosti van zaključanih fioka, da se kancelarije obavezno zaključavaju na pauzi ili nakon radnog vremena, i slično. Pored toga, dokumentima koji sadrže podatke o ličnosti, a koji se čuvaju u papirnoj formi, treba upravljati u skladu sa regulativom koja se odnosi na kategorije registratorskog materijala i rokove čuvanja.

Zbog čega je važno da postoji interna procedura za održavanje informacionog sistema od strane trećih lica i u kom smeru je treba razvijati?

Kako bi obezbedili odgovarajući nivo zaštite podataka o ličnosti, organi vlasti koji prikupljaju i obrađuju podatke o ličnosti bi trebalo da razviju interne procedure za zaštitu podataka o ličnosti i u slučajevima kada druge firme pristupaju sistemu, radi razvoja ili održavanja. Preporuke za sadržaj procedure za razvoj i održavanje informacionog sistema organa vlasti od strane trećih lica su sledeće:

Ugovor o razvoju i/ili održavanju informacionog sistema između organa vlasti, rukovaoca podacima o ličnosti, i firmi koje pružaju usluge iz oblasti informacionih sistema (pružalac usluge) mora da sadrži klauzulu o poverljivosti;
Sva lica zaposlena kod pružaoca usluge, koja će učestvovati u pružanju usluga, moraju biti jasno navedena u ugovoru o pružanju usluge;
Sva lica zaposlena kod pružaoca usluge, koja su navedena u ugovoru o pružanju usluge, moraju pojedinačno potpisati izjave o poverljivosti;
Gde god je moguće i tehnički izvodljivo, potrebno je onemogućiti pristup informacionom sistemu organa vlasti pružaocu usluge, osim iz prostorija organa vlasti;
Među zaposlenima kod organa vlasti (rukovaoca podacima) mora biti određena osoba zadužena za praćenje realizacije ugovora o pružanju usluge, pri čemu se zaposleni određuje rešenjem za svaki ugovor i ta odgovornost nije vezana za radno mesto, već je pitanje odluke direktora;
Obaveza zaposlenog koji je odgovoran za praćenje realizacije ugovora jeste da bude prisutan svaki put kada zaposleni kod pružaoca usluge dolaze na lokacije organa vlasti, kako bi obezbedio da samo lica navedena u ugovoru pristupe informacionom sistemu organa vlasti;
Za svaki rad na informacionom sistemu organa vlasti, zaposlenima kod pružaoca usluge kreiraju se novi korisnički nalozi, samo za tu svrhu;
Rad na razvoju i održavanju informacionog sistema treba da se, kada god je izvodljivo, sprovodi na računarima koji nemaju pristup internetu.

Propusti koji se tiču tehničkih mera za zaštitu podataka

Kao i kod organizacionih mera, obaveze organa vlasti koji se odnose na tehničke mere za zaštitu podataka predviđene su samo članom 47, stav 2 ZZPL, gde se navodi da su rukovalac i obrađivač dužni da preduzmu tehničke mere koje su potrebne da bi se podaci zaštitili od gubitka, uništenja, nedopuštenog pristupa, promene, objavljivanja i svake druge zloupotrebe. Ponovo je reč o neodređenom pravnom standardu koji organi vlasti moraju primenjivati u svakom pojedinačnom slučaju.

Nepostojanje logova ili loše upravljanje logovima

Najčešći propusti ustanovljeni u organima vlasti prilikom istraživanja, vezani su za loše upravljanje logovima (automatsko beleženje aktivnosti u bazi/sistemu):

korišćenje jednog korisničkog imena više zaposlenih;
deljenje lične lozinke drugim zaposlenima;
nedefinisane privilegije korisnika na sistemu;
ograničenja shodno radnom mestu zaposlenog;
neevidentiranje datuma izmena datog dokumenta i korisničkog imena koje je unelo izmenu.

Shodno vrsti podataka koje obrađuju i razmenjuju, organi vlasti su dužni da primene odgovarajuće tehničke mere zaštite osetljivih podataka. Počev od internog do poslovanja sa drugim organima vlasti i građanima, za standardizaciju bezbednosti podataka neophodne su utvrđene procedure. Analizom strukture informacionog sistema uz pomoć tehničkih administratora, moguće je usvojiti odgovarajuće strategije zaštite za svaki organ vlasti ponaosob. Dužnost rukovalaca podataka da preduzmu odgovarajuće mere zaštite i smanje rizik povrede prava na zaštitu podataka o ličnosti, proizlazi iz ustavnih garancija privatnosti građana kao i zakonskih odredbi.

U slučaju neovlašćenih izmena bilo koje vrste u sistemu, važno je imati dobar sistem logovanja na sistem. Logove je potrebno čuvati najmanje godinu dana, a ukoliko postoji mogućnost i duže. Pored toga, informacioni sistem je neophodno projektovati tako da se pamte sve izmene za svaki podatak o ličnosti, od trenutka nastanka, odnosno unosa, pa sve do trenutka brisanja.

Prilikom svake obrade podatka o ličnosti potrebno je čuvati informacije o:

korisniku koji je obradio podatak;
vrsti obrade (unos/izmena/brisanje);
datumu i vremenu obrade;
vrednosti podatka.

Svaki pristupni log bi trebalo da sadrži informacije o:

korisniku koji je pristupio bazi podataka;
datumu i vremenu pristupa;
IP adresi sa koje je pristupljeno bazi podataka;
resursu kom je pristupljeno (set podataka o ličnosti, dosije kom je pristupljeno);
vrsti obrade podatka (pregled/unos/izmena/brisanje/izvoz/štampa).

Disperzija podataka u informacionom sistemu

Tokom istraživanja ustanovljeno je da među organima vlastima znatno variraju rešenja za sinhronizaciju podataka kod decentralizovanih sistema skladištenja. Pojedini organi vlasti uopšte ne sinhronizuju podatke među svojim ispostavama, čime se onemogućava kontrola pristupa i izmena koje vrše zaposleni, kao i kontrola pristupa trećih lica.

Zbog toga se preporučuje centralizacija sistema. Kada su podaci locirani na jednom mestu lakše je sprovoditi kontrolu, dok se na taj način ujedno podiže i nivo efikasnosti, budući da je ovlašćeni pristup omogućen sa bilo kog računara u okviru informacionog sistema organa vlasti. Takođe, sprovođenje mera zaštite podataka centralizovanog sistema jednostavnije je u odnosu na decentralizovani sistem.

Centralizacija sistema omogućava:

lakše upravljanje podacima na višem nivou;
jednostavnije sprovođenje mera zaštite podataka;

Puna kontrola nad podacima nemoguća je ukoliko se podaci nalaze van Republike Srbije, ili kada se u nekim slučajevima uopšte ne zna njihova lokacija. Članom 53 ZZPL izričito se propisuje da se podaci mogu iznositi iz Republike Srbije u državu članicu Konvencije o zaštiti lica u odnosu na automatsku obradu ličnih podataka Saveta Evrope. Takođe, podaci se mogu iznositi iz Republike Srbije u državu koja nije članica Konvencije, odnosno međunarodnu organizaciju, ako je u toj državi, odnosno međunarodnoj organizaciji, propisom, odnosno ugovorom o prenosu podataka, obezbeđen stepen zaštite podataka u skladu sa konvencijom. Za utvrđivanje ispunjenosti uslova iz ovog člana, kao i za izdavanje dozvole za iznošenje podataka iz zemlje, zadužen je Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti.

Nepostojanje dvostruke autentifikacije

Tokom istraživanja ustanovljeno je da se u većini organa uprave primenjuje metod dvostruke autentifikacije, odnosno za pristup sistemu postavlja se više od jednog zahteva (lozinka i kvalifikovani sertifikat). Preporuke istraživačkog tima prihvaćene su i kod organa gde ovaj metod ranije nije postojao.

Uspostavljanjem digitalnih sertifikata kao dodatnog zahteva za pristup sistemu stvara se još jedna, jača prepreka u slučaju kompromitovanja lozinke, bilo da je ukradena ili da se delila među korisnicima sistema. U sertifikat se zapisuju sve relevantne informacije o zaposlenom kao što su ime, prezime, radna pozicija, korisničko ime, mejl adresa i delovi sistema kojima taj korisnik ima pravo pristupa. Sadržaj digitalnog sertifikata je potpisan elektronskim potpisom odgovorne osobe (direktor ili rukovodilac organizacione jedinice). Digitalni sertifikati se mogu primeniti na više načina, ali je najjednostavnije distribuirati ih u obliku smart kartica ili USB tokena. Ukoliko se koriste sertifikati u obliku kartica, za njihovu upotrebu neophodni su odgovarajući čitači, dok se USB tokeni koriste preko postojećeg USB ulaza na računaru.

Pored naloga za pristup informacionom sistemu organa vlasti, zaposlenima se preporučuje da dvostruku proveru primenjuju i na svoje privatne naloge (mejl, nalozi na društvenim mrežama, finansijske aplikacije i slično).

Da bi se smanjio rizik od kompromitovanja lozinke, ne bi ih trebalo slati zaposlenima elektronskom poštom. Informacioni sistem treba podesiti tako da administrator kreira naloge samo sa korisničkim imenima, a da se korisnicima prepusti mogućnost da sami postave lozinku prilikom prve prijave u sistem.

Sve lozinke se čuvaju u bazama ili datotekama koje se nalaze na serverima. Takve baze se moraju enkriptovati, tako da ni sam sistem administrator ne može da ih pročita.

Iz praktičnih razloga administratoru treba ostaviti mogućnost da resetuje lozinke, što je uobičajena praksa u organima vlasti obuhvaćenim ovim istraživanjem.

Prekomerne privilegije trećih lica

Većina organa vlasti koji su obuhvaćeni Projektom SHARE Fondacije ima punu kontrolu nad svojim informacionim sistemom, u smislu da unutrašnja služba razvija i održava sistem i sprovodi metode pristupa i privilegija. Međutim, takva organizacija rada direktno zavisi od budžeta organa, te je zasad nije moguće sprovesti na svim nivoima.

Načelno, svaki organ vlasti čiji poslovi zahtevaju prikupljanje i obradu podataka o ličnosti trebalo bi da ima kontrolu nad pristupom podacima. Internim aktima i politikama neophodno je odrediti i definisati kako sistemu pristupaju zaposleni, a kako tehnička lica koja održavaju informacioni sistem, državni organi kojima je pristup podacima neophodan zbog poslovanja, korisnici usluga i treća lica.

Ukoliko eksterna firma održava sistem, trebalo bi obezbediti da se sistemu pristupa samo u prostorijama organa uprave, u prisustvu zaposlenog koji je zadužen za nadzor, te da je pristup ograničen dok baze koje sadrže podatke o ličnosti ostanu zaštićene.

Posledice prekomernih privilegija trećih lica mogu biti značajne:

izmena podataka u sistemu (brisanje ili falsifikovanje unosa, i sl);
korišćenje ličnih podataka iz sistema (radi preprodaje podataka i sl).

Odsustvo ili neblagovremena izrada rezervne kopije

U vreme istraživanja, svi organi uprave su primenjivali interne procedure izrade delimičnih ili potpunih rezervnih kopija, u skladu sa svojim potrebama. Na osnovu ranijih izveštaja o radu organa, projektni tim je došao do zaključka da su postojale situacije u kojima pojedini organi uprave nisu posedovali rezervne kopije pojedinih delova sistema.

Izrada rezervnih kopija (backup) ne utiče na stepen bezbednosti samog sistema, ali je od ključnog značaja kada se posle bezbednosne krize javi potreba da se izgubljeni podaci povrate. Ponekad je na osnovu rezervne kopije moguće utvrditi uzrok pada sistema – rekonstrukcijom sigurnosnih propusta ili grešaka u sistemu, i slično. Treba imati u vidu da se jednom izgubljeni podaci često više ne mogu povratiti.

Preporučeno je i eksterno i interno čuvanje kopija. Eksterno čuvanje podrazumeva fizički izdvojene diskove sa kopijama koji se pohranjuju u bezbedne sefove. Interno čuvanje rezervnih kopija znači da se one pohranjuju u okviru sistema, odnosno na različitim serverima ili na serveru koji je namenjen za čuvanje ovih kopija.

Radi potpune sigurnosti, sve servere koji su namenjeni za skladištenje rezervnih kopija treba kopirati noću, a diferencijalna kopiranja – backup promena, treba obavljati svake noći. Celokupni backup treba obavljati jednom u sedam dana. Dnevni backup treba čuvati jednu nedelju, nedeljni backup treba čuvati jedan mesec, dok mesečni backup treba čuvati jednu godinu. Godišnji backup bi trebalo čuvati zauvek. Podrazumeva se da sve rezervne kopije treba čuvati na mestu bezbednom od svih fizičkih povreda. Ukoliko se poštuju ovi protokoli, podaci su zaštićeni.

Poreska uprava

OPŠTI PODACI

Preuzmite pdf celog izveštaja

Podaci o osnovnoj delatnosti, sedištu, pravnim aktima, veb sajtu i slično

Osnovna delatnost Poreske uprave (PU), organa uprave u sastavu Ministarstva finansija, između ostalog jeste registracija poreskih obveznika. Za ove svrhe, PU vodi jedinstven registar poreskih obveznika. Pored ovog, PU vodi i registre u oblasti menjačkog poslovanja i registre u oblasti igara na sreću.

PU takođe vrši poresku kontrolu i utvrđivanje poreza u skladu sa zakonom, vrši redovnu i prinudnu naplatu poreza i sporednih poreskih davanja, otkriva poreska krivična dela i njihove izvršioce. U ovoj oblasti, PU pokreće i vodi prvostepeni poreski prekršajni postupak i izriče kazne za poreske prekršaje, odlučuje o žalbama izjavljenim protiv rešenja donetih u poreskom postupku od strane organizacionih jedinica Poreske uprave.

Organizaciono, PU je podeljena u dva osnovna segmenta, Centar za velike poreske obveznike (CVPO) i Centralu, u čijoj su nadležnosti filijale i ekspoziture u zemlji. U okviru Centrale PU deluje deset sektora.

Veb portal Poreske uprave je ažuran u svim najvažnijim oblastima delatnosti. Na sajtu nema posebnog segmenta posvećenog politikama privatnosti, odnosno zaštiti podataka o ličnosti.

U okviru odeljka “O nama”, stranica za pravilnike, objavljen je “Pravilnik o pravilima ponašanja poreskih službenika i nameštenika u Ministarstvu finansija – Poreskoj upravi”, gde se u članu 9 navodi da je zaposleni u PU dužan “da se prema poreskom obvezniku ophodi sa poštovanjem i uvažavanjem, poštujući njegovu privatnost”.

Integrisan deo sajta čini portal eporezi.poreskauprava.gov.rs, kao objedinjen skup elektronskih usluga PU, namenjen svim poreskim obveznicima. Na ovaj način je moguća onlajn dostava elektronski potpisanih obrazaca poreskih prijava, praćenje statusa poslatih obrazaca i uvid u poresku karticu poreskog obveznika. U opisu usluga, na sajtu se navodi da ovaj sistem “zadovoljava visoke standarde bezbednosti koji omogućava siguran i nekompromitovan prenos podataka elektronskim putem”.

Adresa: Save Maškovića 3-5, 11 000 Beograd

E-mail: [email protected]

Internet prezentacija:www.purs.gov.rs

Informator o radu: http://www.purs.gov.rs/sw4i/download/files/cms/attach?id=3107

PRAVNI ASPEKTI OBRADE PODATAKA

Zbirke podataka o ličnosti

Poreska uprava je registrovala 28 zbirki podataka o ličnosti u Centralni registar zbirki podataka koji vodi Poverenik.

Od toga, 21 zbirka podataka se odnosi podatke o ličnosti osoba koje su zaposlene u Poreskoj upravi ili obavaljaju poslove u Poreskoj upravi po drugom osnovu, kao što su Kadrovska evidencija, Evidencija o prisutnosti na radu, Izveštaj o ocenjivanju državnog službenika, zbirka podataka – disciplinski spis i druge slične zbirke podataka.

Preostalih 7 zbirki podataka se odnose na podatke o ličnosti lica koja u većini slučajeva nisu zapsolena u Poreskoj upravi, već se ove zbirke podataka vode po nekom drugom osnovu, i to su:

Evidencija o ovlašćenim serviserima fiskalnih kasa (podaci o serviserima fiskalnih kasa)
Pregled pravosnažnih rešenja o prenosu nepokretnosti u svojinu Republike Srbije dostavljenih Direkciji za imovinu (podaci o poreskim obveznicima – fizičkim licima)
Pregled pravosnažnih rešenja o prenosu pokretnih stvari u svojinu Republike Srbije dostavljenih Direkciji za imovinu (podaci o poreskim obveznicima – fizičkim licima)
Pregled pravosnažnih rešenja o otpisu poreske obaveze usled zastarelosti (podaci o poreskim obveznicima – fizičkim licima)
Evidencija izdatih sertifikata za obavljanje menjačkih poslova (podaci o fizičkim licima koja kao preduzetnici obavljaju menjačke poslove)
Rešenja o izdavanju ovlašćenja za obavljanje menjačkih poslova (podaci o fizičkim licima koja kao preduzetnici obavljaju menjačke poslove)
Rešenja o oduzimanju ovlašćenja za obavljanje menjačkih poslova (podaci o fizičkim licima koja kao preduzetnici obavljaju menjačke poslove)

Nijedna od 7 navedenih zbirki podataka ne predstavlja neku sveobuhvatniju zbirku podataka o ličnosti, već se odnosi na usko definisana lica o kojima se vode podaci.

Pored ovih zbirki, Poreska uprava vodi Jedinstveni registar poreskih obveznika (u daljem tekstu “Jedinstveni registar”) kao najznačajniju bazu podataka, imajući u vidu da se u njoj nalaze podaci svih poreskih obveznika u Republici Srbiji, te je u tom smislu uporediva sa zbirkama podataka koje vode preostale institucije obuhvaćene ovim Projektom.

Kao reprezentativnu zbirku podataka odabrali smo Jedinstveni registar, te se dalja analiza svih aspekata obrade podataka o ličnost prvenstveno odnosi na Jedinstveni registar. Dodatno, imajući u vidu različite pravne okvire u zavisnosti od vrste poreskog obveznika, naša analiza se prvenstveno odnosila na deo Jedinstvenog registra koji se odnosi na podatke o preduzetnicima koji su obveznici paušalnog poreza.

Pravni osnov

Zakonom o poreskom postupku i poreskoj administraciji, član 160 stav 1 tačka 1, utvrđeno je da Poreska uprava vodi Jedinstveni registar. Nijednom odredbom Zakona nisu navedeni podaci koji će se voditi u Jedinstvenom registru, niti je preciznije definisano podaci kojih lica će se nalaziti u Registru kao ni koja je svrha vođenja Jedinstvenog registra.

Ovo je značajno iz razloga što je članom 42 Ustava Republike Srbije između ostalog utvrđeno da se prikupljanje, držanje, obrada i korišćenje podataka o ličnosti uređuje zakonom. U skladu sa tim, podaci o ličnosti koji se vode u Jedinstvenom registru, kao i svrha zbog koje se vode bi trebalo da budu definisani zakonom.

Podaci o ličnosti

Zakon o poreskom postupku i poreskoj administraciji ne definiše direktno koji se podaci vode u Jedinstvenom registru, kao ni drugi zakoni i podzakonski akti iz ove oblasti. Ipak, uvidom u PIB registar koji je javno dostupan na sajtu Poreske uprave, a koji pretragom po zadatom PIB-u prikazuje sve osnovne podatke iz Jedinstvenog registra, kao i analizom Jedinstvene registracione prijave osnivanja pravnih lica i drugih subjekata i registracije u jedinstveni registar poreskih obveznika (Jedinstvene registracione prijave), te poreske prijave PPDG – 1P obrasca, došli smo do zaključka koji se podaci nalaze u ovoj Jedinstvenom registru. Radi celovitog metodološkog pristupa radili smo samo analizu podataka koji se odnose na preduzetnike.

Podaci koji se nalaze u Jedinstvenom registru, a javno su dostupni na sajtu uvidom u PIB registar, nakon unošenja PIB-a određenog preduzetnika su:

Ime i prezime preduzetnika
JMBG preduzetnika
Poslovni naziv preduzetnika
Poslovni matični broj preduzetnika
Sedište preduzetnika
Status preduzetnika (aktivan/neaktivan)
Početak obavljanja delatnosti

Ovi podaci zapravo predstavljaju podatke iz Jedinstvene registracione prijave koje preduzetnici podnose APR-u. Nakon toga APR elektronskim servisom dostavlja te podatke Poreskoj upravi u svrhu dodeljivanja PIB-a kao i evidentiranja u Jedinstvenom registru.

Dodatno, podaci koje se pored pomenutih podataka popunjavaju u Poreskoj prijavi PPDG – 1P a koje Poreska uprava poseduje te se u skladu sa tim mogu nalaziti u Jedinstvenom registru su:

Prebivalište preduzetnika
Lični telefon preduzetnika
Poslovni telefon
e-mail adresa
pretežna delatnost
podaci o računu u banci
podaci za utvrđivanje poreza (podaci o prihodima) – opciono
Broj zaposlenih – opciono
Podaci o poslovnom prostoru – opciono
Podaci o osnovnim sredstvima – opciono

U Jedinstvenom registru se vode podaci svih preduzetnika na teritoriji Republike Srbije. Zapravo ovi podaci iz Jedinstvenog registra se i kvalitativno i kvantitativno u potpunosti podudaraju sa podacima koji se nalaze u Registru privrednih subjekata – Preduzetnici koji vodi Agencija za privredne registre. Jedina razlika se može odnositi na podatke koje je direktno prikupila Poreska Uprava preko PPDG – 1P obrasca.

Na sastanku koji smo imali u Poreskoj upravi rečeno nam je da se podaci fizičkih lica, ne uzimajući u obzir preduzetnike, mogu naći u Jedinstvenom registru jedino kada su fizička lica postali obveznici poreza na prenos apsolutnih prava (npr. prodali su stan) ili kada su postali obveznici poreza na registrovano oružje. Zašto samo u ovim slučajevima a ne i nekim sličnim, ostaje nejasno.

Radi dodatnog pojašnjenja treba istaći da se u Jedinstvenom registru ne nalaze finansijski podaci preduzetnika (npr. podaci o obračunatom i plaćenom porezu). Ovi podaci su se do skoro vodili na lokalnom nivou, odnosno svaka filijala je vodila podatke za preduzetnike sa svoje teritorije, međutim od sada se finansijski podaci vode centralizovano u data centru Poreske uprave, a svaka filijala ima pristup samo podacima preduzetnika sa svoje teritorije.

U Jedinstvenom registru se ne obrađuju naročito osetljivi podaci iz člana 16 Zakona o zaštiti podataka o ličnosti.

Načini prikupljanja podataka o ličnosti

U skladu sa jednošalterskim sistemom registracije koji omogućava privrednim subjektima da na jednom mestu podnesu jedinstvenu registracionu prijavu, Poreska uprava podatke koji se nalaze u Jedinstvenom registru dobija od APR-a putem elektronskog servisa.

Dakle, APR prikuplja podatke podnošenjem Jedinstvene registracione prijave čija je sadržina propisana Pravilnikom o dodeli poreskog identifikacionog broja pravnim licima, preduzetnicima, te ih dostavlja Poreskoj upravi u svrhu dodeljivanja PIB-a kao i evidentiranja u Jedinstvenom registru.

Iako je Zakonom o postupku registarcije u APR-u u članu 11 propisana mogućnost podnošenja elektronske prijave putem korisničke aplikacije za prijem elektronske prijave, takva mogućnost i dalje ne postoji u praksi, već se jedinstvene registracione prijave i prateća dokumentacija podnose isključivo u pisanom obliku, u prostorijama APR-a ili poštom.

Uprkos jednošalterskom sistemu registracije podnošenjem prijave APR-u, koji zatim dostavlja podatke Poreskoj Upravi, preduzetnici su ipak dužni da Poreskoj upravi, odnosno svojoj filijali podnesu i Poresku prijavu na obrascu PPDG – 1P.

Centralni registar

Jedinstveni registar nije prijavljen kao zbirka podataka o ličnosti u Centralnom registru koji vodi Poverenik. U skladu sa Zakonom o zaštiti podataka o ličnosti, moglo bi se uvažiti tumačenje da Poreska uprava zapravo i nema obavezu prijavljivanja Registra imajući u vidu član 48 stav 2 koji između ostalog reguliše da Rukovalac podataka nije dužan da obrazuje i vodi evidenciju obrade podataka koji se obrađuju radi vođenja registara čije je vođenje zakonom propisano ili podataka za zbirku podataka koju čine samo javno objavljeni podaci.

Uvidom u Centralni registar Poverenika uočeno je da je Poreska Uprava registrovala 28 zbirki podataka o ličnosti, od čega se 21 zbirka podataka odnosi na podatke o ličnosti osoba koje su zaposlene u Poreskoj upravi ili obavaljaju poslove u Poreskoj upravi po drugom osnovu, dok se preostalih 7 zbirki podataka vodi po nekom drugom osnovu.

Interni akti

U odgovoru na Zahtev za pristup informacijama Poreska uprava nije dostavila odgovor na pitanje da li postoje interni akti koji regulišu pristup i upravljanje podacima o ličnosti, niti smo uvidom u propise koji su objavljeni na sajtu Poreske uprave pronašli takve akte.

Zahtev za ostvarivanje prava

Tokom istraživačkog procesa, član našeg tima je u skladu sa članom 19 ZZPL-a pisanim putem od Poreske uprave tražio obaveštenje o obradi svojih podataka o ličnosti i to:

Koje podatke o meni obrađujete?
Koje vrste obrade podataka sprovodite?
Od koga su prikupljeni podaci o meni, odnosno ko je izvor podataka?
U koje svrhe se podaci obrađuju?
U kojim zbirkama podataka se nalaze podaci o meni?
Ko su korisnici podataka o meni? Koji podaci o meni se koriste? Po kom pravnom osnovu i u koje svrhe se podaci o meni koriste?
Da li se moji podaci prenose (ustupaju) drugim licima, i koja su to lica? Po kom pravnom osnovu i za koje potrebe se ti podaci prenose?
U kom vremenskom periodu se podaci obrađuju, odnosno da li je predviđena obustava obrade mojih podataka u određenom trenutku?

Poreska uprava je odgovorila na zahtev za ostvarivanje prava, u zakonom predviđenom roku.

Osim delimičnih odgovora u vezi izvora prikupljanja podataka, odnosno da se podaci o poreskim obveznicima preuzimaju od nadležnih državnih organa za registraciju privrednih subjekata ili za vođenje evidencije o prebivalištu poreskih obveznika, i svrhe obrade podataka, tj. da se podaci o poreskim obveznicima koji se preuzimaju od drugih državnih organa koriste isključivo za potrebe Poreske uprave u postupku utvrđivanja, naplate i kontrole javnih prihoda, Poreska uprava nije dostavila obaveštenje u vezi ni sa jednim drugim pitanjem sadržanim u zahtevu.

Dodatno, istim zahtevom član našeg tima je tražio da mu se omogući uvid u podatke kao i da bude obavešten na koji način i kada će mu biti omogućen uvid. Na ovaj zahtev Poreska uprava nije odgovorila.

Zaključak

Iako je Zakonom o poreskom postupku i administraciji regulisano da Poreska uprava vodi Jednistveni registar, propušteno je da se utvrdi koje grupe podataka o ličnosti će se voditi u Jednistvenom registru, te u tom smislu i svrha obrade ovih podataka može biti nejasna. Iako je na sajtu Poreske uprave dostupan PIB registar koji daje uvid u podatke o preduzetnicima, ostaje nejasno da li su to jedini podaci koji se vode u Jedinstvenom registru imajući u vidu da preduzetnici svojim lokalnim filijalama podnose i obrazac PPDG – 1P koji sadrži podatke koji nisu dostupni u PIB registru. Takođe smo dobili informaciju da se i podaci nekih fizičkih lica nalaze u ovom registru.

Poreska uprava nije registrovala Jedinstveni registar u Centralnom registru koji vodi Poverenik. Iako bi se moglo opravdano tvrditi da takva obaveza ne postoji, jer prema Zakonu o zaštiti podataka rukovalac nije dužan da prijavi zbirku podataka koji se obrađuju radi vođenja registara čije je vođenje zakonom propisano ili podataka za zbirku podataka koju čine samo javno objavljeni podaci, ovi uslovi nisu sasvim zadovoljeni, jer sa jedne strane Zakon nije utvrdio koji podaci se vode u Jedinstvenom registru a sa druge strane moguće je da ovu zbirku podataka ne čine samo javno objavljeni podaci.

Sličan je slučaj i sa ostalim zbirkama podataka koje o građanima Republike Srbije vodi Poreska uprava. Naime ostalo je nejasno u kojim se sve zbirkama podataka vode podaci o ličnosti građana Srbije, imajući u vidu da su u Centralnom registru prijavljene samo zbirke koje se odnose na podatke o ličnosti zaposlenih u Poreskoj upravi ili koje se odnose na uske kategorije građana. Sa druge strane, u skladu sa svojim nadležnostima, Poreska uprava poseduje obimne zbirke podataka građana Srbije. Dok je vođenje Jedinstvenog registra predviđeno Zakonom (uz sve nedostatke koje smo naveli), to je jedina zbirka podataka Poreske uprave čije je vođenje zakonski uređeno.

Zahtevom za ostvarivanje prava na obaveštenje o obradi podataka koji smo u skladu sa Zakonom o zaštiti podataka o ličnosti uputili Poreskoj upravi, nismo uspeli da dođemo do odgovora na ova pitanja.

Ovakav ishod navodi na zaključak da princip transparentnosti obrade podataka o ličnosti nije na visokom nivou u Poreskoj upravi, te bi preporuka svakako bila da se iniciraju izmene Zakona čime bi se precizno utvrdilo zakonsko ovlašćenje za vođenje zbirki podatala, a da se Centralnom registru koji vodi Poverenik prijave sve zbirke podataka koje Poreska uprava vodi o građanima.

ORGANIZACIONI ASPEKTI OBRADE PODATAKA

Lice za zaštitu podataka o ličnosti

Postojeće stanje: U Poreskoj upravi u okviru Ministarstva finansija Republike Srbije ne postoji lice zaduženo za zaštitu podataka o ličnosti. Postoji samo lice ovlašćeno za postupanje po zahtevima za slobodan pristup informacijama od javnog značaja.

Preporuka: S obzirom na delatnost kojom se bavi Poreska uprava, a koja uključuje prikupljanje i obradu najosetljivijih podataka o ličnosti, gde se pre svega misli na lična primanja, od krucijalne je važnosti da postoji sistemsko rešenje i organizaciona odgovornost za zaštitu podataka o ličnosti.

Obim potencijalnih aktivnosti koje bi to lice trebalo da sprovodi ne opravdava formiranje posebnog radnog mesta isključivo za potrebe poslova zaštite podataka o ličnosti. Iz tih razloga organizaciono rešenje navedenog problema bi trebalo tražiti u dodeli odgovornosti određenom licu, odnosno licima, kroz odgovarajuće odluke . Pored tako definisane odgovornosti, odnosno aktivnosti koje bi trebalo da obavlja, to lice bi trebalo da obavlja i druge poslove u skladu sa opisom radnog mesta.

U slučaju kršenja Zakona o zaštiti podataka o ličnosti postoji odgovornost i fizičkog lica, i odgovornog lica kod pravnog lica, i odgovornost samog pravnog lica. Međutim, prilikom definisanja odgovornog lica za zaštitu podataka akcenat je na organizacionoj odgovornosti za, na primer:

sprovođenje određene politike o zaštiti podataka o ličnosti među zaposlenima;
promovisanje zaštite podataka o ličnosti među zaposlenima radi shvatanje njihove uloge u zaštiti podataka
organizovanje edukacije iz oblasti zaštite podataka o ličnosti za zaposlene;
izveštavanje rukovodstva o nivou zaštite podataka i predlaganje mera za podizanje nivoa zaštite i dr.

Na sastanku sa predstavnicima Poreske uprave projektnom timu je predočeno da se radi na uvođenju lica ovlašćenog za postupanje po zahtevima iz Zakona o zaštiti podataka o ličnosti i definisanju njegovih odgovornosti, što pokazuje da postoji svest o značaju adekvatnog upravljanja podacima o ličnosti.

S obzirom na navedene odgovornosti, jasno je da bi lice zaduženo za zaštitu podataka u ovom smislu trebalo da bude lice koje se nalazi na pozicijama višeg hijerarhijskog nivoa. U kompanijama je praksa pokazala da bi to lice trebalo da bude deo najvišeg menadžmenta. Uzimajući u obzir postojeći model organizacije, odnosno teritorijalnu razgranatost filijala i ekspozitura, rešenje bi trebalo tražiti u uvođenju odgovornosti na dva nivoa. Preporuka je da lice zaduženo za strateška pitanja iz oblasti zaštite podataka o ličnosti na nivou Poreske uprave bude iz Centrale. Posmatrajući postojeću podelu rada, predlog je da to bude Direktor Sektora za obrazovanje, komunikaciju i međunarodnu saradnju. Sa druge strane, s obzirom da Poreska uprava ima veliki broj filijala i ekspozitura, koje su i geografski i procesno razdvojene, u svakoj organizacionoj jedinici koja obavlja osnovnu delatnost bi trebalo da postoji lice zaduženo za zaštitu podataka o ličnosti, koje bi trebalo da ima minimalnu odgovornost za sprovođenje strateških odluka iz ove oblasti, donetih na centralnom nivou.

Edukacija

Postojeće stanje: U Poreskoj upravi nije sprovođenja formalna obuka zaposlenih o postojećoj regulativi (Zakon; standardi) iz oblasti zaštite podataka.

Preporuka: Svoju osnovnu delatnost Poreska uprava obavlja kroz prikupljanje i obradu najosetljivijih podataka o ličnosti te je od izuzetne važnosti uvesti kontinuiranu edukaciju zaposlenih iz ove oblasti. Takođe, trebalo bi definisati vremenske intervale u kojima bi trebalo organizovati testiranja znanja zaposlenih iz ove oblasti, kako bi Poreska uprava konstantno imala saznanja o stanju sistema u pogledu zaštite podataka o ličnosti.

Pristup zaposlenih reprezentativnoj evidenciji

Postojeće stanje: U Poreskoj upravi svi zaposleni na radnim mestima koja obavljaju osnovnu delatnost (državni službenici) imaju pristup elektronskoj bazi podataka “Jedinstveni registar poreskih obveznika”. Nivoi pristupa su definisani sistemom rola, a role se vezuju za radno mesto (zaposleni na istom random mestu imaju ista prava pristupa). Takođe, zaposleni na različitim radnim mestima mogu imati ista prava pristupa bazi podataka, ukoliko imaju istu rolu. Pristup bazi je određen kombinacijom korisničkog imena i šifre, koja je vezana za svakog zaposlenog. Šifra je poznata isključivo zaposlenom;šifre ističu nakon tri meseca, a neaktivni korisnici se blokiraju. Svaki pristup bazi se beleži na novijim sistemima, dok se na starim sistemima ne čuvaju logovi. Plan je da se do kraja 2016. godine svi stari sistemi pogase i da se u potpunosti pređe na nove. Ne evidentira se razlog, odnosno osnov pristupa podacima.Pristup svim korisničkim imenima imaju zaposleni na radnim mestima vodećeg sistem administratora i sistem administratora. Pritom, oni ne mogu videti pristupne šifre drugih korisnika, ali mogu resetovati šifru određenom korisniku po potrebi, nakon čega taj korisnik sam sebi definiše novu šifru.

Preporuka: Analizom poslova koji pripadaju osnovnoj delatnosti Poreske uprave utvrđeno je da su oni međusobno dosta različiti, usled širine opsega delatnosti koju Poreska uprava obavlja. Sa druge strane, u sistemu rola postoji svega nekoliko različitih rola, što navodi na zaključak da zaposleni koji obavljaju različite poslove imaju ista prava pristupa. Kako projektni tim nije imao uvid u sistem rola, nije bilo moguće analizirati prava pristupa po radnim mestima i izvršiti poređenje sa opisima poslova i realnim potrebama posla. Međutim, uzimajući u obzir vrstu posla koja se obavlja u Poreskoj upravi, može se pretpostaviti da zaposleni koji obavljaju osnovnu delatnost zaista imaju potrebu za pristupom velikom delu podataka u elektronskoj bazi, možda i celokupnoj bazi. Zbog toga je veći problem što se ne evidentira osnov pristupa podacima. Efikasnost sistema bi bila znatno narušena kada bi se prava pristupa definisala tek nakon dodeljivanja konkretnih poslova zaposlenima, zbog čega to nije preporuka. Ipak, poznato je koji zaposleni su zaduženi za određene poslove, i pošto se čuvaju logovi o svakom pristupu bazi, kada bi oni sadržali osnov pristupa bilo bi moguće, u slučaju da se javi potreba, utvrditi da li je zaposleni koji je pristupio podacima zaista imao osnov za takav pristup u evidentiranom trenutku pristupa.

Opšti zaključak je da se u Poreskoj upravi vodi računa o usaglašenosti prava pristupa i poslovnih procesa, u smislu dodeljivanja prava pristupa podacima samo onim zaposlenima koji imaju realnu potrebu za tim zbog opisa posla. Ovo se najbolje ogleda u postojanju sistema rola, ali i činjenici da zaposleni koji obavljaju funkcije podrške nemaju pravo pristupa Jedinstvenom registru poreskih obveznika. Takođe, zaposleni mogu štampati samo određene materijale iz elektronske baze podataka. Nivo usaglašenosti prava pristupa i opisa poslova nije bio predmet ovog izveštaja.

Što se tiče zaštite podataka u bazi, ona je na vrlo visokom nivou. Novi podaci se dodaju pomoću veb servisa, konekcije su sigurne, o čemu će više reči biti u delu izveštaja koji se odnosi na tehničke aspekte.

Trenutno postoji problem koji se odnosi na čuvanje logova na starim sistemima, ali je plan da oni do kraja 2016. godine budu povučeni iz upotrebe.

Sektor za održavanje informacionog sistema

Postojeće stanje: Poreska uprava u svojoj centrali ima Sektor za informacione i komunikacione tehnologije, koji obavlja poslove planiranja, projektovanja, razvoja i integracije informacionog sistema i sistema veza Poreske uprave.

Preporuka: S obzirom da se svi informatički poslovi obavljaju interno, jedina preporuka u ovom domenu je da se uvedu procedure koje regulišu pristup i upravljanje podacima iz elektronske baze.

Evidencija u papirnoj formi

Postojeće stanje: U Poreskoj upravi postoji određena dokumentacija koja se čuva u papirnoj formi. Takva dokumenta se čuvaju u arhivi, i sa njima se postupa u skladu sa važećom zakonskom regulativom. Zaposleni u Poreskoj upravi mogu preko arhive tražiti uvid u neki dokument. Evidentira se svaki zahtev tog tipa.

Preporuka: Može se razmotriti opcija provere osnova pristupa papirnoj dokumentaciji od strane zaposlenih u poreskoj upravi.

ISO standardi

Postojeće stanje: Prema podacima dostupnim u Registru sertifikovanih privrednih društava koji vodi Privredna komora Srbije, u Poreskoj upravi nije implementiran nijedan standard iz ISO serije standarda.

Preporuka: U narednom periodi bi trebalo uvesti standard ISO 9001 – Sistem upravljanja kvalitetom, kao bazni standard, dok bi u sledećoj iteraciji trebalo težiti uvođenju standarda ISO 27001 Sistem upravljanja bezbednošću informacija, koji s obzirom na delatnost Poreske uprave predstavlja najbitniji standard ISO serije. Standardima bi trebalo formalno regulisati pristup i upravljanje podacima u elektronskoj formi, kao i pristup dokumentima koji se čuvaju u papirnoj formi.

Zaključak

Poreska uprava predstavlja ključni element poreskog sistema i kao takav u svojim aktivnostima prikuplja, obrađuje i kreira dokumentaciju sa osetljivim podacima o ličnosti korisnika koji su fizička lica, gde se pre svega misli na podatke o ličnim primanjima, ali i o drugim podacima o ličnosti koji se mogu pronaći u bazama podataka Poreske uprave, bilo u elektronskoj ili u papirnoj formi.

Zbog toga je potrebno definisati lice/lica odgovorna za zaštitu podataka o ličnosti, uvesti edukaciju zaposlenih u cilju podizanja znanja iz ove oblasti, ali i važnosti zaštite podataka o ličnosti u Poreskoj upravi. Pozitivno je što je u Poreskoj upravi ovo prepoznato i što se već radi na imenovanju lica ovlašćenog za postupanje po zahtevima iz Zakona o zaštiti podataka o ličnosti.

Takođe, preporuka je da se uvede sistem menadžmenta kvalitetom ISO 9001 kojim će biti definisane procedure sa jasno preciziranim nadležnostima pristupa i obrade podataka o ličnosti koje poseduje Poreska uprava. Njima bi takođe trebalo predvideti osnove pristupa i obrade podataka, i potom to implementirati u korisničke role u informacionom sistemu i u procedure za upravljanje arhivom.

Poreska uprava je implementirala izuzetno visok nivo zaštite elektronske baze podataka, u smislu elektronskog i fizičkog pristupa. Međutim, s obzirom na obim, važnost i osetljivost podataka koji se prikupljaju i obrađuju, preporuka je da se standardizuje način na koji se obezbeđuje bezbednost podataka, i to kroz ISO 27001 Sistem upravljanja bezbednošću informacija.

TEHNIČKI ASPEKTI OBRADE PODATAKA

Opšte tehničke informacije i struktura sistema

U okviru informacionog sistema Poreske uprave nalazi se veliki broj servera, dok se za prikupljanje, obradu i skladištenje podataka o fizičkim licima koristi 7 fizičkih servera. Serveri su u vlasništvu Poreske uprave i nalaze se na jednom centralizovanom mestu, u data centru Poreske uprave. U server sale je moguće ući isključivo uz kartice koje omogućavaju ulaz. Data centar je osiguran protivpožarnom zaštitom. Prenos podataka i učitavanje među serverima izvršava se periodično, a reč je o database serverima (serveri na kojima se nalaze baze podataka). Vrsta baze podataka Jedinstvenog registra je Oracle baza, objektno-orijentisana baza podataka koja predstavlja identifikator alfanumeričkog sistema.

Pristup internetu

Poreska uprava svoju veb prezentaciju (http://www.poreskauprava.gov.rs/) hostuje samostalno, dok usluge internet provajdera koristi od Telekoma Srbije. Svi objekti Poreske Uprave kojih ima preko 190 širom zemlje povezani su putem VPN mreže Telekoma Srbije. Opseg IP adresa nam nije dostavljen u odgovoru na FOI zahtev. Na sajtu Poreske uprave postoji samo uvid u PIB registar, što znači da evidencija podataka o ličnosti i sajt nisu na istom serveru. Sajt je izolovan i nalazi se na namenskom serveru.

*Opšte informacije*
*Naziv ustanove*	Poreska uprava
*URL*	http://www.poreskauprava.gov.rs/
*Datum vršenja analize*	27.04.2015.
*WHOIS pretraga*
*Ime i Prezime*	RNIDS
*Adresa*	Žorža Klemansoa 18a, Beograd
*Provider*	TELEKOM SRBIJA A.D.
*URL Provajdera*	http://www.telekom.rs/
*Registrator*	RNIDS
*URL Registratora*	http://www.rnids.rs/en/
*Država*	Srbija
*Nmap*
*Broj otvorenih portova*	3
*Broj filtriranih portova*	997
*Broj zatvorenih portova*	0
OS	Linux 2.6.5
*Bezbedan (Nmap)*	Da
*IP v4*	195.178.50.150
*IP v6*	/
*MAC*	/

VPN i Cloud usluge

Iz dosadašnjeg istraživanja smo utvrdili da Poreska uprava za sada koristi samo sopstvene VPN usluge, u svrhu održavanja sistema. Uspostavljena je infrastruktura koja omogućava rad na daljinu kroz virtuelne privatne mreže. Planiranom nadogradnjom sistema nije predviđeno uvođenje i korišćenje Cloud-a.

Serverska podešavanja

Svi serveri se nalaze na jednom mestu, u data centru Poreske uprave u Ustaničkoj ulici. Serveri su povezani a sinhronizacija se vrši periodično. Data centar je veoma dobro osiguran i obezbeđen bezbednosnim procedurama sa najnovijim standardima koji se primenjuju, kako u tehničkom tako i u fizičkom aspektu. Pristup data centru moguć je isključivo uz kartice i odobrenje naoružanog osoblja iz obezbeđenja. Takođe, data centar je osiguran i protivpožarnim sistemom u slučaju nezgoda, kao i protivprovalnim sistemom. Pristup liftom do data centra nije moguć bez kartice. Do ulaska u centar postoji trostruka provera i autentifikacija. Prilikom implementacije bezbednosnih procedura praćeni su standardi ali je formiran i interni dokument.

Pristup Jedinstvenom registru uslovljen je unosom korisničkog imena i lozinke, koji su vezani za konkretnog korisnika. Sistemski se evidentira pristup bazi. Radna mesta sistem administrator i vodeći sistem administrator imaju pristup korisničkim imenima ali ne i lozinkama. Lozinku mogu resetovati, ali je ne mogu i videti. Lozinka ističe nakon 3 meseca i korisnik je mora promeniti.

Sektor za informacione i komunikacione tehnologije nije upoznat da li postoje dokumenti koji regulišu pristup i upravljanje podacima iz baze podataka. Na osnovu sistematizacije mesta zaposleni imaju, odnosno nemaju određena prava na sistemu Jedinstvenog registra.

Reprezentativna baza Poreske uprave nije registrovana u Centralnom registru Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti.

Preporuka:Način logovanja može se poboljšati upotrebom digitalnih sertifikata ili drugostepene verifikacije i detaljnijeg monitoringa aktivnosti korisnika u okviru sistema, čime se preventivno deluje na mogućnost zloupotrebe unutar organizacije.

Pristup trećih lica

Pristup evidencijama podataka o ličnosti imaju samo zaposlena i ovlašćena lica u Poreskoj upravi – radna mesta kontrole i naplate, poreska policija i unutrašnja kontrola, što čini skoro 90% zaposlenih.

Prilikom preuzimanja i korišćenja podataka o poreskim obveznicima, postupa se u skladu sa članom 7 Zakona o poreskom postupku i administraciji (o službenoj tajni i čuvanju službene tajne).

Kompanije sa kojima posluje Poreska uprava su izradile aplikativna rešenja sistema koje Poreska uprava koristi. Aplikativni nivo je postavljen na već postojeće baze podataka Oracle, MySQL, Cisco, IBM. Kada je reč o održavanju hardvera, perifernu opremu održavaju interno. Kroz javne nabavke biraju se kompanije koje su dobavljači serverske opreme i koji istu održavaju.

Lica koja održavaju sistem Poreske uprave nemaju stalan pristup bazi. Ne postoji ugovor o poverljivosti ili neki drugi dokument koji lica potpisuju, ali postoje interno pripisana pravila o zaštiti podataka koja se poštuju. Lica koja sistemu pristupaju putem VPN-a potpisuju ugovor o poverljivosti i beleži se njihov svaki pristup sistemu.

Sa državnim organima koji su deo mreže Uprave za zajedničke poslove komunikacija se odvija putem VPN-a UZZPRO mreže.

Službe bezbednosti i drugi državni organi nemaju direktan pristup podacima iz Jedinstvenog registra ili podacima iz drugih zbirki podataka koje vodi Poreska Uprava, ali na zahtev uz odgovarajući pravni osnov mogu dobiti samo konkretne podatke određenih lica. Ti podaci se dostavljaju u pisanom obliku.

Samo mali deo podataka je enkriptovan, a to je informativna poreska prijava koja je u celosti enkriptovana jer sadrži najveći broj osetljivih podataka o ličnosti. Informativna poreska prijava je poslednji put korišćena dve godine, u javnosti poznata pod nazivom “Lov na milionere”.

Preporuka:Ključna slaba tačka ovog sistema jeste nepostojanje ugovora o poverljivosti ili drugog sporazuma o zaštiti tajnosti podataka sa licima koji održavaju sistem.

Zaključak

Postoje dva ključna potencijalna problema informacionog sistema Poreske uprave. Prvi leži u odsustvu standardnog dokumenta o regulisanju tajnosti podataka sa trećim licima, dok je za zaposlene ta obaveza definisana Zakonom o poreskom postupku i administraciji. Drugi problem odnosi se na izostanak primene digitalnog sertifikata zaposlenih prilikom pristupa sistemu. Obe situacije su lako rešive i preporučujemo da budu uzete u razmatranje prilikom nadogradnje infrastrukture sistema Poreske uprave.

MEDIJSKA POKRIVENOST

Uvodna napomena

Pregled novinskih izveštaja o pojedinačnim institucijama obuhvaćenih analizom, odnosi se na period od početka 2000-tih do 2015. godine, na osnovu pretraživih digitalnih arhiva celovitog teksta članaka štampanih dnevnih i nedeljnih izdanja, posebno iz perspektive zaštite ličnih podataka.

Domaća regulativa ove oblasti relativno je nova – zakon iz 1998. nudio je nedovoljna i prevaziđena rešenja, da bi nestankom saveznih instanci praktično postao nesprovodiv. Novijeg datuma je i pažnja globalne javnosti za aspekte privatnosti u digitalnom okruženju. Stoga je očekivano da interes štampe za zaštitu podataka o ličnosti u organima državne uprave, tokom proteklih petnaestak godina, bude oskudan i gotovo po pravilu vođen incidentima, odnosno događajima koji svedoče o kršenju prava građana što je, konačno, i suštinska uloga medija u savremenim demokratijama.

Sa druge strane , aktivno učešće institucija državne uprave u javnom dijalogu posvećenom zaštiti privatnosti i ličnih podataka koje prikupljaju i obrađuju, moglo bi se pokazati kao ključni doprinos daljem uređenju ove oblasti ali i sopstvenoj promociji kao značajnog aktera u zaštiti interesa građana.

Poreska uprava – istorijski pregled

Sezonska nagađanja o desetinama i stotinama miliona dinara koje raznovrsni tajkuni duguju državi na ime poreza, karakterišu pretežni interes štampanih medija za rad Poreske uprave u protekloj deceniji. Izvrdavanje obaveza preko ‘fantomskih firmi’, spekulacije o političkim interesima koji se prelamaju kroz domen poreskih vlasti, te raznovrsne afere koje povremeno izbiju na sličnom fonu, ukazuju na medijski uslovljen ograničen uvid javnosti u rad jednog od ključnih državnih organa i gubitak kontrole same institucije nad percepcijom koje društvo ima o Poreskoj upravi.

Unapređenje tehničkog okruženja i razvoj pravnih standarda, vremenom je jednu od najstarijih državnih struktura izveo iz nejasnog lavirinta birokratije na svetlo javnosti, gde je štampa suviše često svedočila o posledicama konfuzije načela transparentnosti i zaštite privatnosti.

Čak i kada bi bilo zatraženo mišljenje Poverenika o planovima za objavljivanje liste poreskih dužnika, na primer, Poreska uprava bi se potom našla u prekoračenju zakonskih ovlašćenja, dok se planirani gest transparentnosti u medijima svodio na javno sramoćenje bez pravnog epiloga.

Najkrupnija afera vezana za zaštitu podataka o ličnosti izbila je krajem 2014. u vezi sa neovlašćenim uvidom, obradom i iznošenjem baza podataka iz Poreske uprave. Mediji su preneli optužbe o špijunaži i korupciji u senzacionalističkom tonu, bez posebne pažnje za aspekt zaštite podataka o ličnosti, dok je čitava priča ubrzo pala u zaborav.

Povremena Poverenikova upozorenja i najave nadzora nad radom Poreske uprave, najsigurniji su izvor medijskih napisa o kršenju propisa iz oblasti zaštite privatnosti, odnosno zaštite podataka o ličnosti, ali u napisima po pravilu izostaje suštinsko razjašnjenje prirode ovih prava i značaja njihove zaštite za građane.

U percepciji javnosti, Poreska uprava opterećena je sumnjama o korupciji, netransparentnosti i diskrecionom pravu na prikupljanje i obradu ličnih podataka građana.

Uspešna priča o brzoj reakciji Poreske uprave na upozorenje Poverenika povodom načina dostavljanja poreskih rešenja i akata sa vidljivim podacima o ličnosti, ostaje redak primer dobre prakse u medijskim izveštajima.

DOKUMENTACIJA KOJA JE DOBIJENA OD POVERENIKA

Postupci nadzora

Na osnovu anonimne predstavke u kojoj se navodi da isporučilac usluge Poreskoj upravi na nezakonit način kopira baze podataka i da njeni radnici iznose iste bez kontrole i ičijeg odobrenja, u Zapisniku o izvršenom nadzoru, br. 164-00-00097/2011-07, od 26.05.2011., konstatovano je da su organizacione i tehničke mere propisane članom 47 ZZPL ispunjene, tako što se podaci Poreske uprave fizički nalaze na serverima koji su smešteni na izdvojenoj lokaciji Centrale Poreske uprave, u prostoru koji ima posebno obezbeđenje i podrazumeva neprekidno 24-časovno fizičko obezbeđenje i video nadzor. Bez posebne najave i dozvole, u navedeni prostor je nemoguće ući, a u serversku salu ulazi se isključivo sa dozvolom rukovodioca i u pratnju zaposlenog lica. Tvrdnje iz anonimne predstavke su odbačene od strane Poreske Uprave, koja je istakla da je infrastruktura u Sistem sali organizovana tako da se za nove projekte određuje izolovani deo opreme koji je potpuno fizički i mrežno odvojen od ostalih sistema, uključujući i produkciono okruženje Poreske uprave, i da predmetna organizaciona celina predstavlja komunikaciono razvojno testno okruženje, budući da se na tom mestu vrši razvoj i testiranje aplikacija, bez mogućnosti pristupa produkcionim bazama podataka.

Dalje, u Ugovoru o nabavci integrisanog informacionog sistema za potrebe Poreske uprave, br. 2480/1-10, od 29.11.2010., članom 7 je propisano da je Isporučilac dužan da sve podatke do kojih dođe analizom čuva kao službenu tajnu Naručioca, da je odgovoran za tajnost podataka i da je dužan sa njima postupati u skladu sa propisima o zaštiti podataka o ličnosti. Takođe je Isporučilac dužan čuvati kao službenu tajnu sva tehnička rešenja do kojih dođe u izvršenju ugovornih obaveza i sva prava intelektualne svojine na postojećim informacionim sistemima ima Poreska uprava i iste je zabranjeno kopirati i koristiti kao svoje.

U Upozorenju nakon obavljenog nadzora, br. 164-00-00167/2012-07, od 26.06.2012., Poverenik je utvrdio da Poreska uprava na svom vebsajtu vrši nedozvoljenu obradu podataka poreskih obveznika, bez zakonskog ovlašćenja ili pristanka lica čije podatke obrađuje tako što javno objavljuje podatke o ličnosti najvećih dužnika – fizičkih lica, i to njihovih imena i prezimena, naziva opštine, visine iznosa duga i datih napomena. U Upozorenju, Poverenik ne spori da su Zakon o poreskom postupku i poreskoj administraciji i ZZPL pravni akti iste pravne snage, ali i navodi da ZPPPA nije lex specialis u odnosu na pitanje obrade bilo kojih podataka o ličnosti. Poreski zakon ne može predstavljati pravni osnov za objavljivanje podataka o ličnosti, kao što ni poreski obveznici nisu dali saglasnost u pisanom obliku da se njihovi podaci objave na veb sajtu Poreske uprave. Na kraju, ovlašćenje za objavljivanje podataka se ne može izvesti ni iz odbredbe člana 13. ZZPL (obrada od strane organa vlasti).

Poverenik je pokrenuo postupak nadzora nad sprovođenjem i izvršavanjem ZZPL od strane Grada Subotice – Gradske uprave, br. 164-00-00092/2014-07, od 18.02. 2014., postupajući po saznanjima iz podnete predstavke u kojoj se tvrdi da je Služba lokalne poreske administracije objavila spisak 1.292 dužnika za porez koja se nalazi na veb sajtu i koja sadrži od podataka ime, prezime, mesto stanovanja i iznos duga, kao i da nije tačna u obliku kakvom je navedena. Poverenik je zatražio od Službe lokalne poreske administracije da se izjasni po kom pravnom osnovu obrađuje podatke u vidu objavljivanja na veb sajtu i koja je svrha obrade tih podataka.

U Izjašnjenu Službe lokalne poreske administracije Subotica, br. IV-01/II-070-5/2014, od 24.02.2014., konstatovano je da je Zakonom o poreskom postupku i poreskoj administraciji propisano pravo na objavljivanje podataka o ličnosti i da je utvrđena obaveza da se ti podaci objave odredbom člana 7 ZPPPA, a u skladu sa članom 11 stav 3 ZPPPA je utvrđena obaveza jedinica lokalne samouprave da kvartalno na svom veb sajtu objave obaveštenje u iznosu poreskog duga svih obveznika. U izjašnjenju se na kraju ističe da nisu ovlašćeni razmatrati svrsishodnost objavljivanja spornih podataka budući da postoji obaveza primenjivanja zakona. Prekršajni postupak je pokrenut pred Prekršajnim sudom u Subotici, protiv načelnice Gradske uprave, kao odgovornog lica za nedozvoljenu obradu podataka i sud je presudom, br. PR 4-2606/14, od 04.12.2014. našao odgovornom. Po žalbi okrivljene, Prekršajni apelacioni sud u Novom Sadu, presuda br. III-303 Prž. broj 1087/15, od 03.02.2015., je uvažio žalbu i preinačio prvostepenu presudu i okrivljenu oslobodio odgovornosti.

Identičan slučaj se dogodio kada je Služba lokalne poreske uprave u Subotici objavila na veb sajtu spisak 12.532 poreskih obveznika – dužnika i njihove lične podatke (ime, prezime i iznos duga), kada je Poverenik doneo Rešenje, br. 164-00-00230/2014-07, od 05.05.2014., kojim se nalaže otklanjanje nepravilnosti u obradi podataka o ličnosti i uklanjanje dokumenta sa veb sajta. Poverenik je takođe podneo Zahtev za pokretanje postupka pred Prekršajnim sudom u Subotici, br. 164-00-00230/2014-07, od 14.05.2014., protiv načelnice Gradske uprave kao odgovornog lica za vršenje obrade podataka bez pravnog osnova. Sud je okrivljenu našao odgovornom (presuda br. PR-5-2607/14, od 17.11.2014.), dok je Prekršajni apelacioni sud, po žalbi okrivljene, preinačio presudu i okrivljenu oslobodio odgovornosti (presuda br. III-306 Prž. br. 23952/14, od 15.01.2015.).

Poverenik je izvršio nadzor nad Poreskom upravom (Zapisnik o izvršenom nadzoru, br. 164-00-00660/2014-07, od 07.11.2014.) povodom slučaja koji je stekao veliki publicitet u javnosti, po prijavi Milice Bisić, kada je u nedeljniku “Afera” u okviru teksta o njoj objavljena sadržina njene pojedinačne poreske prijave za poreze i doprinose po odbitku (PPP-PD), u kojoj su vidljivi kako podaci o ličnosti podnosioca pojedinačne poreske prijave (JMBG i personalizovana adresa elektronske pošte), tako i njeni podaci o ličnosti (JMBG, ime i prezime, bruto prihod i osnovica za porez). U prijavi se takođe navodi da je prikaz detalja PPP-PD, koji je objavljen u novinama, moguće dobiti isključivo neposrednim pristupom elektronskoj bazi podataka Poreske uprave.

Povodom navoda u prijavi, predstavnici Rukovaoca naveli su da su Milica Bisić, sa Ivanom Posavcem i ostatkom tima, mogli sami objaviti izvod u novinama obzirom da su bili angažovani u Poreskoj upravi po nalogu bivšeg ministra finansija, Lazara Krstića da vrše reformu, unapređenje i kadriranje u Poreskoj upravi, iako u njoj nisu bili zaposleni, kao ni u Ministarstvu finansija, i bili su ovlašćeni da koristi službene resurse. Takođe su istakli da su baze podataka kojima su imala pristup, a koje omogućuju pretrage po različitim parametrima i tako nesmetan pristup svim podacima o građanima RS pa tako i bazi podataka PPP-PD, svojevoljno prisvojili tako što su ih kopirali na hard diskove laptop računara i prenosive USB i DVD medije, a zatim ih iznosili iz prostorija Poreske uprave, pa i van teritorije Republike Srbije. Dodatno, predstavnici Rukovaoca su naveli da nisu obavestili Poverenika o ovom jako ozbiljnom problemu.

Dalje, od strane predstavnika Rukovaoca je konstatovano nezadovoljavajuće stanje u oblasti zaštite podataka i u Centrali i u filijalama, i da se ubrzano preduzimaju organizacione, tehničke i kadrovske mere za njegovo popravljanje, kao i za implementaciju Zakona o tajnosti podataka. Na pitanje ovlašćenih lica Poverenika da li Ministarstvo finansija ima pristup bazi podataka PPP-PD, odgovorili su da ne znaju.

U drugom delu nadzora, razmatrajući tehničke aspekte navoda u prijavi, utvrđeno je da se informacioni sistem Poreske uprave deli po poreskim oblicima, da ima četiri core sistema, koji obrađuju pojedinačne poreske oblike i da je u toku proces objedinjavanja obrade svih poreskih oblika kroz uspostavljanje jedinstvenog sistema, koji bi trebalo da bude u potpunosti u funkciji tokom 2015. godine. Na pitanje ovlašćenih lica Poverenika na koji način je uspostavljen sistem sa kojeg su sporni podaci odštampani, ko istim ima pristup i na koji je način zaštićen, utvrđeno je da je u pitanju centralizovana baza podataka, koja funkcioniše na intranetu i da postoje različiti nivoi pristupa istoj. Svi poreski inspektori u RS (oko 700 inspektora) imaju pristup bazi podataka i podacima o ličnosti koji su sadržani u prikazu PPP-PD koji se pojavio u novinama. Pristup aplikaciji se ostvaruje aktivacijom operativnog sistema radne jedinice, tj. računara, putem unosa korisničkog imena i lozinke. Korisničko ime dodeljuje se zaposlenima, dok lozinku kreiraju sami. Pristup samoj aplikaciji, međutim, nije uslovljen unosom korisničkog imena i lozinke. Nakon kraćeg perioda neaktivnosti, računar se zaključava i zahteva ponavljanje unosa korisničkog imena i lozinke.

Dalje, posebno pisano uputstvo sa procedurama za upotrebu baza podataka ne postoji, ali se organizuju obuke za zaposlene, na kojima se obaveštavaju o svojim obavezama i odgovornostima u vezi sa istim. Na pitanje ovlašćenih lica Poverenika da li lica koja su preuzela baze podataka, pa i PPP-PD bazu, imaju tehničke mogućnosti da odštampaju predmetni izvod, u formi u kojoj se pojavio u novinama, utvrđeno je da je Ivan Posavec imao mogućnost pristupa bazama podataka. Takođe je utvrđeno da do danas nije uspostavljeno sistemsko beleženje pristupa aplikaciji i da log server ne postoji, na kojem se pohranjuju podaci o pristupu bazama podataka. Zabeleženi zapisi o pristupu aplikaciji PPP-PD, na osnovu kojih se može utvrditi koje lice i kada je vršilo pretragu podataka za Milicu Bisić za sporni period je moguće utvrditi proverom log fajlova na svakoj pojedinačnoj radnoj jedinici, odnosno na svakom pojedinačnom računaru korisnika aplikacije na teritoriji RS, što bi zahtevalo neracionalni utrošak vremena i sredstava.

U nadzoru je dalje utvrđeno da je Poreska uprava, uočivši činjenicu da su neovlašćena lica u posedu svih informacionih baza podataka Poreske uprave, o tome dostavila raspoloživu dokumentaciju Prvom osnovnom javnom tužilaštvu u Beogradu. Tužilaštvo je naložilo policiji da pribavi potrebna obaveštenja radi utvrđivanja krivične odgovornosti u vezi sa odlivom podataka i neovlašćenom upotrebom baza podataka, među kojima su i baze MUP, koje su klasifikovane oznakom “strogo poverljivo”. U istom predmetu je tužilaštvo zahtevalo podatke od Ministarstva finansija, koje je odgovorilo da je u spornom periodu Ivan Posavec radio za Ujedinjene nacije i da je i po prestanku angažmana u Poreskoj upravi, nastavio da korsiti službenu e mail adresu Ministarstva finansija, laptop računar Poresku uprave i više diskova sa podacima. Takođe je utvrđeno je da su navedena lica imala nesmetan samostalan pristup data centru Poreske uprave, što ukazuje na nepostojanje bezbednosti predmetnih podataka. Odgovornost za odliv podataka, prema tvrdnjama zamenika direktora Poreske uprave, kao i odgovornost za sve što je u Poreskoj upravi učinjeno pre njegovog stupanja na dužnost snosi bivši direktor Poreske uprave, kao odgovorno lice.

Uz Zapisnik o izvršenom nadzoru je dostavljena i Službena beleška o aktivnostima Ivana Posaveca vezanim za delokrug rada Sektora za informacione i komunikacione tehnologije, br. 000-031-00-00016/2014-I0136, od 25.08.2014., koja je sačinjena na osnovu zahteva zamenika direktora Poreske uprave, u kojoj se navodi da je za potrebe rada grupe kojom je rukovodio Ivan Posavec formiran poseban server, nezavisno od postojeće produkcije. Neki od velikog broja podataka iz Registra poreskih obveznika dostavljenih grupi uključuju podatke o obveznicima koji su u mirovanju i obveznicima koji su ispali iz mirovanja; podatke o uplatama obveznika sa teritorije Zaječara u periodu 01.11.2013 – 28.02.2014. po fiskalnim grupama; spisak 250 najvećih platiša; zaduženja vlasnika igraonica i stomatologa u 2013. po dokumentima na osnovu dostavljenih PIB-ova; podaci iz PPP-PD, podaci o svim JMBG-ovima i prijavljenim isplatama, itd.

Razni dopisi

U pismu Ministarstva finansija, Sektora za fiskalni sistem, Povereniku, br. 413-00-00259/2012-04, od 24.05.2012., tvrdi se da odredbama Zakona o poreskom postupku i poreskoj administraciji postoji pravni osnov za objavljivanje obaveštenja o iznosu poreskog duga svih poreskih obveznika i da nema osnova za stav Poverenika da ZPPPA ni ostali poreski zakoni ne obrađuju predmetna pitanja i da ne mogu da predstavljaju pravni osnov za objavljivanje podataka o ličnosti. U pismu se takođe ističe da obaveza čuvanja službene tajne nije povređena kada Poreska uprava izvršava svoju ustanovljenu obavezu prema ZPPPA i na svom vebsajtu objavljuje obaveštenje o iznosu poreskog duga svih poreskih obveznika, kao i da nije reč o objavljivanju podataka o ličnosti (JMBG, adresni kod, itd.), već ličnih imena poreskih obveznika – fizičkih lica i ukupan iznos. Poreska uprava na kraju zaključuje da je ZPPPA pravni akt iste pravne snage u odnosu na ZZPL i da ako se “objavljivanje podataka o poreskom dugu poreskih obveznika – fizičkih lica uopšte može smatrati korišćenjem podataka o ličnosti, neosporno je da se, saglasno članu 42. Ustava, to korišćenje uređuje zakonom, što podrazumeva pravni akt koji je kao zakon usvojila Narodna skupština a ne isključivo ZZPL.”[1]

Poverenik je uputio mišljenje na zahtev Poreske uprave, br. 011-00-00588/2012-05, od 10.09.2012., po pitanju kako bi Poreska uprava trebalo da postupa po zahtevima sredstava javnog informisanja za dostavljanje podataka o visini dugovanja fizičkih lica po osnovu javnih prihoda. Poverenik je naveo da Poreska uprava svakodnevno generiše i obrađuje značajan broj podataka od kojih neke predstavljaju podatke o ličnosti, a istovremeno podaci i informacije nastale u njenom radu imaju status informacija od javnog značaja. Tako da je dužna da se pridržava oba zakona. Poverenik je takođe naveo da svojstvo tražioca informacije nije od značaja prilikom odlučivanja po njegovom zahtevu, pa je irelevantno da li je zahtev podnet od strane sredstava javnog informisanja. Zaključeno je time da po Zakonu o slobodnom pristupu informacijama od javnog značaja, pravo javnosti da zna – ne može se ostvarivati na način kojim se ugrožava privatnost lica i vrši nezakonita obrada podataka o ličnosti, kao i da proaktivnost Poreske uprave u informisanju javnosti i anticipiranje interesa javnosti u pogledu činjenica koje se odnose na njen rad – nije prihvatljivo ukoliko se vrši nedozvoljenom obradom podataka o ličnosti u smislu odredbi ZZPL.

Poverenik je primio zahtev od Ministarstva finansija za mišljenje o tekstu Nacrta zakona o izmenama i dopunama Zakona o poreskom postupku i poreskoj administraciji. U pismu Ministarstvu, br. 011-00-00566/2014-05, od 20.06.2014., Poverenik je istakao da, sa aspekta nadležnosti uređene ZZPL-om, Poreska uprava i organi koji joj dostavljaju date podatke imaju obavezu da postupaju u skladu sa ZZPL i da prilika treba biti iskorišćena da se važeće odredbe Zakona o poreskom postupku i poreskoj administraciji usklade sa ustavnim i zakonskim standardima zaštite podataka o ličnosti.

Gradska poreska uprava Kragujevac se izjasnila povodom saznanja Poverenika da vrši distribuciju rešenja o porezu na imovinu za 2014. preko mesnih zajednica i mesnih kancelarija, a prema adresi prebivališta poreskog obveznika. U izjašnjenu u vezi dopisa Poverenika, br. 020-517/14-VIII, od 31.12.2014., je navedeno da se u skladu sa Zakonom o poreskom postupku i poreskoj administraciji poreski akt dostavlja poreskom obvezniku slanjem preporučene pošiljke, obične pošiljke ili preko službenog lica poreskog organa, da poreska uprava određuje način dostavljanja akta i da sekretari mesnih zajednica i šefovi mesnih kancelarija nisu vršili obradu podataka o ličnosti poreskih obveznika, već su vršili uručivanje poreskih rešenja kao službena lica organa Grada. Sekretari mesnih zajednica i šefovi mesnih kancelarija nisu dakle imali uvid u poresko rešenje i podatke koje ono sadrži. Gradska poreska uprava je takođe navela da je poreska rešenja pakovala u svojim službenim prostorijama na način da podaci, odnosno sadržina rešenja budu zaštićeni od neovlašćenog pristupa i drugih zloupotreba.

Takođe, u Odluci Gradskog veća, br. 436-3600/14-V, od 08.10.2014., istaknuto je da je ovakav pristup usvojen u cilju efikasnijeg dostavljanja i racionalizacije troškova, a da je pravni osnov za donošenje ove odluke sadržan u odredbama Statuta grada Kragujevca, Odluci o Gradskom veću, Poslovniku o radu Gradskog veća i u Zakonu o poreskom postupku i poreskoj administraciji.

RFZO

OPŠTI PODACI

Preuzmite pdf celog izveštaja

Podaci o osnovnoj delatnosti, sedištu, pravnim aktima, veb sajtu i slično

Republički fond za zdravstveno osiguranje (RFZO) je pravno lice sa statusom organizacije za obavezno zdravstveno osiguranje čija je osnovna delatnost da osiguranim licima obezbedi ostvarivanje prava iz oblasti obaveznog zdravstvenog osiguranja.

Prava, obaveze i odgovornost RFZO-a utvrđene su Zakonom o zdravstvenom osiguranju (“Sl. glasnik RS”, br. 107/2005, 109/2005 – ispr., 57/2011, 110/2012 – odluka US, 119/2012, 99/2014, 123/2014 i 126/2014 – odluka US) i Statutom Republičkog fonda za zdravstveno osiguranje (“Sl. glasnik RS”, br. 81/2011, 57/2012, 89/2012, 1/2013, 32/2013 i 23/2015).

RFZO obavlja delatnost na čitavoj teritoriji Republike Srbije te ima nadležnost nad svim građanima naše zemlje, kao i stranim državljanima koji imaju zdravstveno osiguranje u skladu sa Zakonom o zdravstvenom osiguranju. U skladu sa tim postoji razgranata organizaciona struktura, te se poslovi RFZO-a obavljaju u:

Direkciji gde se organizuje, vrši kontrola i koordinacija rada filijala i Pokrajinskog fonda, zastupa RFZO, ustrojava i organizuje matična evidencija o osiguranim licima i korišćenju prava iz obaveznog zdravstvenog osiguranja, jedinstveno za teritoriju Republike, obavljaju poslovi ustrojavanja, razvoja, korišćenja i održavanja informacionog sistema zdravstvenog osiguranja kao dela integrisanog informacionog sistema Republike kao i mnogi drugi poslovi u skladu sa članom 28 Statuta RFZO-a;

Pokrajinskom fondu koji vrši koordinaciju rada filijala obrazovanih na teritoriji autonomne pokrajine i obavlja druge poslove u skladu sa članom 28 Statuta RFZO-a;

31 filijali i njihovim ispostavama koje sprovode obavezno zdravstveno osiguranje i vode matičnu evidencija osiguranih lica na svom području, te obavljaju druge poslove u skladu sa članom 31 Statuta RFZO-a.

Pravilnik o načinu i postupku zaštite prava osiguranih lica Republičkog fonda za zdravstveno osiguranje, usvojen 2013. godine, u članu 4, stav 3, sadrži napomenu da je zaštitnik prava osiguranih lica obavezan da postupa u skladu sa propisima kojima se uređuje zaštita podataka o ličnosti.

Na sajtu Fonda, u rubrici ’O nama’, sekcija ’Upravljanje kvalitetom’, nalazi se segment posvećen politici upravljanja bezbednošću informacija u kojem su objašnjeni namena, ciljevi i načini zaštite informacija.

Adresa: Jovana Marinovića br. 2, 11040 Beograd

E-mail: public@rfzo.rs

Internet sajt: www.rfzo.rs

Informator o radu: http://www.rfzo.rs/download/informator/informator_o_radu_112015.pdf

PRAVNI ASPEKTI OBRADE PODATAKA

Zbirke podataka o ličnosti

RFZO je registrovao 18 zbirki podataka o ličnosti u Centralni registar Poverenika. Od toga, 12 zbirki podataka se odnosi na podatke o ličnosti osoba koje su zaposlene u RFZO-u ili obavaljaju poslove u RFZO-u po drugom osnovu kao što su evidencija o zaradama, evidencija adresa elektronske pošte zaposlenih, evidencija korisnika službenih mobilnih telefona i druge slične evidncije.

Preostalih 6 zbirki podataka se odnose na podatke o ličnosti osiguranih lica i članova njihovih porodica, građana Srbije i stranih državljana koji imaju obavezno zdravstveno osiguranje i to su:

Matična evidencija o osiguranim licima i korišćenju prava iz obaveznog zdravstvenog osiguranja;
Registracija izabranog lekara;
Evidencija izdatih recepata;
Evidencija o licima sa kojima RFZO vodi sudske sporove;
Evidencija o predmetima u upravnom postupku;
Digitalna bolnica – iskorišćenost bolničkih postelja.

Od svih nabrojanih, Matična evidencija o osiguranim licima i korišćenju prava iz obaveznog zdravstvenog osiguranja (u daljem tekstu “Matična evidencija”) predstavlja najobimniju zbirku podataka koju vodi RFZO, i čini osnovni preduslov za obavljanje poslova iz nadležnosti RFZO-a, zbog čega su i pravila za vođenje ove evidencije detaljno regulisana Zakonom o zdravstvenom osiguranju i podzakonskim propisima. Ova evidencija je uspostavljena 2005. godine, nakon što je stupio na snagu važeći Zakon o zdravstvenom osiguranju.

Matičnu evidenciju smo odabrali kao reprezentativnu te se dalja analiza svih aspekata obrade podataka o ličnosti odnosi samo na Matičnu evidenciju.

Pravni osnov

Pravni osnov za vođenje Matične evidencije utvrđen je članom 115 Zakona o zdravstvenom osiguranju gde se navodi da se svojstvo osiguranog lica u obaveznom zdravstvenom osiguranju utvrđuje na osnovu podataka koji se vode u Matičnoj evidenciji koju jedinstveno za teritoriju Republike ustrojava i organizuje RFZO. Dalje, članovi 116-138 istog Zakona uređuju obradu podataka, precizno navode podatke o ličnosti koji se vode u Matičnoj evidenciji. Članom 138, stav 1, propisano je da se ti podaci koriste samo za potrebe obaveznog zdravstvenog osiguranja, ako zakonom nije drugačije određeno, dok se u stavu 2 navodi da podaci iz Matične evidencije koji se odnose na pojedino osigurano lice, odnosno na korišćenje prava iz obaveznog zdravstvenog osiguranja, jesu lični podaci i predstavljaju službenu tajnu, odnosno ne mogu se iznositi i objavljivati u javnosti.

Podaci o ličnosti

U matičnoj evidenciji se vode i obrađuju podaci o ličnosti:

Osiguranika, to jest lica koja su osigurana u skladu sa Zakonom o zdravstvenom osiguranju i to:

prezime i ime;
jedinstveni matični broj građana i poreski identifikacioni broj;
pol;
dan, mesec i godina rođenja;
zanimanje;
školska sprema;
osnov osiguranja;
datum sticanja, odnosno prestanka svojstva osiguranika, kao i promene u toku osiguranja;
staž zdravstvenog osiguranja;
obveznik plaćanja doprinosa;
visina uplate doprinosa;
zarade, naknade zarada i druga primanja i naknade koje služe za utvrđivanje osnovice osiguranja na koju se obračunava i plaća doprinos;
visina uplaćenog doprinosa;
adresa prebivališta;
naziv poslodavca, registarski broj poslodavca, šifra delatnosti i adresa sedišta poslodavca;
opština na kojoj se nepokretnost nalazi;
državljanstvo.

Članova porodice osiguranika i to:

prezime i ime;
jedinstveni matični broj građana;
pol;
dan, mesec i godina rođenja;
srodstvo sa osiguranikom;
adresa prebivališta;
zanimanje;
državljanstvo.

O korišćenju prava iz obaveznog zdravstvenog osiguranja i to:

vrsti prava iz zdravstvenog osiguranja koja se obezbeđuju osiguranom licu;
pruženim zdravstvenim uslugama;
novčanim naknadama;
medicinsko-tehničkim pomagalima i implantatima;
lekovima izdatim na recept;
godišnjem iznosu plaćenih participacija;
izabranom lekaru osiguranog lica;
ostvarivanju prava pred lekarskim komisijama;
ostvarivanju prava u vezi sa profesionalnom bolešću ili povredom na radu osiguranika;
upućivanju na invalidsku komisiju u skladu sa ovim zakonom.

RFZO ima nadležnost nad celom teritorijom Republike Srbije pa se u Matičnoj evidenciji nalaze podaci o ličnosti većine građana Srbije, kao i stranaca koji su po nekom osnovu zdravstveno osigurani. U ovoj evidenciji se ne nalaze samo podaci onih građana koji ni po jednom osnovu nisu osigurani po Zakonu o zdravstvenom osiguranju.

Treba napomenuti da se gotovo identični podaci o osiguranicima nalaze i u Matičnoj evidenciji o osiguranim licima i korišćenju prava iz obaveznog zdravstvenog osgiuranja koju vodi Republički fond za penzijsko i invalidsko osiguranje kao i u jedinstvenoj bazi podataka osiguranika, osiguranih lica koju vodi Centralni registar obaveznog socijalnog osiguranja.

Podaci o korišćenju prava iz obaveznog zdravstvenog osiguranja kao podaci o zdravstvenom stanju predstavljaju naročito osetljive podatke u smislu člana 16 Zakona o zaštiti podataka o ličnosti, i ovi podaci se ne nalaze u evidencijama drugih državnih organa, niti se sa njima razmenjuju. Dodatno, članom 9 Uredbe o jedinstvenim metodološkim principima za vođenje matične evidencije uređeno je da ovi podaci predstavljaju službenu tajnu, da se vode odvojeno od drugih podataka, a te podatke može unositi odnosno njima rukovati za to posebno ovlašćeno lice RFZO-a.

Načini prikupljanja podataka o ličnosti

Od kada je uspostavljen i počeo sa radom Centralni registar obaveznog socijalnog osiguranja, podaci o osiguranicima i osiguranim licima koji se vode u Matičnoj evidenciji se prikupljaju preuzimanjem podataka od Centralnog registra a u skladu sa Zakonom o centralnom registru obaveznog socijalnog osiguranja. Naime, tim Zakonom je propisano da se registracija osiguranika i osiguranih lica vrši podnošenjem jedinstvene prijave isključivo u elektronskom obliku preko portala Centralnog registra. Ove jedinstvene prijave u većini slučajeva podnose poslodavci za svoje zaposlene ili sama fizička lica. U oba slučaja mora postojati kvalifikovani elektronski sertifikat kako bi mogla da se podnese jedinstvena prijava. Izuzetno za fizička lica koja nemaju tehničke mogućnosti za prijavu u elektronskom obliku, nju može podneti neka od organizacija obaveznog socijalnog osiguranja (RFZO, PIO fond). Tada fizička lica na šalteru predaju potrebne dokaze o statusu osiguranika, a ovlašćeni službenik na šalteru za njih popunjava jedinstvenu elektronsku prijavu i podnosi je Centralnom registru.

Podaci koji su navedeni u elektronskoj prijavi se unose u jedinstvenu bazu podataka osiguranika, osiguranih lica koju vodi Centralni registar. Nakon toga RFZO preuzima i koristi te podatke za potrebe vođenja Matične evidencije, a u skladu sa članom 18 Zakona o centralnom registru obaveznog socijalnog osiguranja koji propisuje da organizacije obaveznog socijalnog osiguranja preuzimaju iz Jedinstvene baze podatke neophodne za vođenje Matične evidencije

Forma jedinstvene elektronske prijave je propisana Uredbom o sadržini, obrascu i načinu podnošenja jedinstvene prijave na obavezno socijalno osiguranje, jedinstvenim metodološkim principima i jedinstvenom kodeksu šifara za unos podataka u jedinstvenu bazu centralnog registra obaveznog socijalnog osiguranja („Službeni glasnik RS”, br. 54/10, 124/12 и 119/13) i data je na Obrascu M koji je odštampan uz ovu uredbu i čini njen sastavni deo.

Centralni registar Poverenika

Matična evidencija je registrovana kao zbirka podataka o ličnosti u Centralnom registru koji vodi Poverenik od jula 2010. godine. Pored ove, RFZO je registrovao još 17 zbirki podataka o ličnosti.

Nakon registracije Matične evidencije došlo je do promene određenih aspekata obrade podataka o ličnosti, a naročito osnivanjem Centralnog registra obaveznog socijalnog osiguranja, te u tom smislu nisu ažurni podaci iz Centralnog registra koji se odnose na ‘’način prikupljanja i čuvanja podataka’’ i ‘’spoljne korisnike zbirke’’.

Interni akti

Prvim zahtevom za informacije od javnog značaja od RFZO-a su traženi interni akti koji regulišu upravljanje i pristup podacima iz Matične evidencije. U skladu sa tim dostavljena su nam dokumenta Sistema upravljanja kvalitetom (ISO 9001) i Sistema upravljanja bezbednošću informacija (ISO 27001) koji reguliše određene aspekte upravljanja i pristupa podacima iz Matične evidencije i to:

Politika uloga i odgovornosti (ISO 27001) na opšti način reguliše uloge i odgovornost rukovodilaca i ostalih zaposlenih u RFZO u vezi sigurnošću informacija. Primera radi navešćemo neke uloge i odgovornosti. Opšta odgovornost za sigurnost informacija je na direktoru RFZO-a, dok je primarna odgovornost obazbeđivanja sigurnosti informacija na direktorima organizacionih jedinica RFZO-a (direktori sektora, direktori filijala i direktor pokrajinskog fonda). Sistem administratori su odgovorni za implementaciju sistema za kontrolu pristupa radi očuvanja poverljivosti kao i za bekap procedure. Svi zaposleni su odgovorni za poštovanje svih procedura i pozitivno pravnih propisa kao i za fizički pristup resursima koji su u njihovom vlasništvu. Poslednja verzija ovog dokumenta je iz juna 2013. godine.
Politika kontrole logičkog pristupa (ISO 27001) ima za cilj da ustanovi standard za kreiranje jakih lozinki za pristup informacionim sistemima RFZO-a, kao i zaštitu lozinki i učestalost njihovog menjanja kroz detaljno definisanje tri procesa a) Identifikacije, b) Autentifikacije i c) Autorizacije. Poslednja verzija ovog dokumenta je iz juna 2013. godine.
Politika upravljanja korisničkim ulogama (ISO 27001) ima za cilj da ustanovi pravila za upravljanje korisničkim nalozima i ovlašćenjima zaposlenih u RFZO-u na način kako bi se obezbedilo da samo ovlašćeni korisnici mogu da pristupe informacionim sistemima i da se na taj način spreči neovlašćeni pristup podacima. Poslednja verzija ovog dokumenta je iz juna 2013. godine.
Procedura za registraciju i odjavu korisnika (ISO 27001) ima za cilj da definiše postupak registracije i odjave korisnika informacionih sistema RFZO-a. Poslednja verzija ovog dokumenta je iz juna 2013. godine.
Procedura za održavanje, izveštavanje i pružanje podrške korisnicima IS (ISO 9001) ima za cilj da definiše način i postupak održavanja informacionog sistema RFZO-a. Poslednja verzija ovog dokumenta je iz februara 2013. godine.

Zahtev za ostvarivanje prava

Tokom istraživačkog procesa, član našeg tima je u skladu sa članom 19 ZZPL-a pisanim putem od RFZO-a tražio obaveštenje o obradi svojih podataka o ličnosti i to:

Koje podatke o meni obrađujete?
Koje vrste obrade podataka sprovodite?
Od koga su prikupljeni podaci o meni, odnosno ko je izvor podataka?
U koje svrhe se podaci obrađuju?
U kojim zbirkama podataka se nalaze podaci o meni?
Ko su korisnici podataka o meni? Koji podaci o meni se koriste? Po kom pravnom osnovu i u koje svrhe se podaci o meni koriste?
Da li se moji podaci prenose (ustupaju) drugim licima, i koja su to lica? Po kom pravnom osnovu i za koje potrebe se ti podaci prenose?
U kom vremenskom periodu se podaci obrađuju, odnosno da li je predviđena obustava obrade mojih podataka u određenom trenutku?

RFZO nije odgovorio na zahtev za ostvarivanje prava u zakonom predviđenom roku od 15 dana od dana podnošenja zahteva. Kada rukovalac nije u mogućnosti da postupi po zahtevu u propisanom roku, podnosilac zahteva se obaveštava o tome i određuje se novi rok za postupanje koji ne može biti duži od 30 dana od isteka prvog propisanog roka. U slučaju odbijanja zahteva, rukovalac je dužan da o tome donese rešenje sa poukom o pravnom sredstvu. Nijednu od propisanih obaveza RFZO nije ispunio.

Zaključak

Regulisanje obaveze vođenja Matične evidencije, te precizno definisanje podataka o ličnosti koji se vode u Matičnoj evidenciji zakonskom odredbom, kao i jasno određena svrha obrade ovih podataka što je sve određeno Zakonom o zdravstvenom osiguranju, predstavlja dobro rešenje, koja je u skladu sa članom 42 stav 2 Ustava Republike Srbije kojim je uređeno da se obrada podataka uređuje zakonom. Ipak čini se da je osnivanjem Centralnog registra obaveznog socijalnog osiguranja došlo do određenih promena u odnosu na grupe podataka o ličnosti koji se vode u Matičnoj evidenciji te bi član 115 Zakona o zdravstvenom osiguranju (koji reguliše grupe podataka o ličnosti) trebalo izmeniti i uskladiti sa novim okolnostima.

Matična evidencija je blagovremeno registrovana kao zbirka podataka o ličnosti u Centralnom registru koji vodi Poverenik ali obzirom da je od tada došlo do određenih promena u obradi podataka, a naročito osnivanjem Centralnog registra obaveznog socijalnog osiguranja, poželjno je da se ovi podaci ažuriraju.

Na zahtev za ostvarivanje prava na obaveštenje o obradi podataka o ličnosti koji smo uputili u svemu u skladu sa Zakonom o zaštiti podataka o ličnosti, RFZO ni na koji način nije odgovorio, niti doneo bilo kakvo rešenje čime se oglušio o svoje zakonom propisane obaveze. Ova činjenica svakako upućuje na zaključak da u RFZO ne postoje jasne procedure i odgovornost za odgovore na zahteve građana u skladu sa Zakonom o zaštiti podataka o ličnosti.

Interni akti, odnosno dokumenti Sistema upravljanja kvalitetom (ISO 9001) i Sistema upravljanja bezbednošću informacija koji regulišu određene aspekte upravaljanja i pristupa podacima iz Matične evidencije a koji su navedeni predstavljaju dobra rešenja u mnogim aspektima, jer na precizan način uspostavljaju procedure i pravila za unos, izvos, prenos, bekap podataka o ličnosti.

ORGANIZACIONI ASPEKTI OBRADE PODATAKA

Lice za zaštitu podataka o ličnosti

Postojeće stanje: U Republičkom fondu za zdravstveno osiguranje postoje lica zadužena za bezbednost informacija, što bi trebalo da uključuje i zaštitu podataka o ličnosti. Lica su određena rešenjima direktora Fonda i pored poslova i odgovornosti za bezbednost informacija obavljaju i druge poslove.

Kao primer dobre prakse u Republičkom fondu za zdravstveno osiguranje može se navesti distribucija odgovornosti za bezbednost informacija kroz organizaciju. Odgovornost za bezbednost informacija je distribuirana u skladu sa svim specifičnostima organizacione strukture Republičkog fonda za zdravstveno osiguranje. Naime, odgovornost za bezbednost informacija je na:

Direktorima sektora u Direkciji;
Direktorima filijala;
Direktoru pokrajinskog fonda.

Na ovaj način raspoređena odgovornost stvara osnovu za razvijanje odgovarajućeg nivoa bezbednosti informacija, među kojima su najznačajniji podaci o ličnosti korisnika. Analizom organizacione strukture RFZO može se jasno videti da je odgovornost za bezbednost informacija definisana na dva nivoa. U Direkciji RFZO, direktori sektora su na hijerarhijskom nivou koji obezbeđuje punu primenu njihovih zahteva u vezi sa zaštitom podataka, a sa druge strane su dovoljno uključeni u procese rada da bi uvideli sve probleme u ovoj oblasti. Takođe, direktori filijala su među ključnim učesnicima u procesu zaštite podataka o ličnosti, pre svega zbog geografske dislociranosti filijala, u kojima bi iz tog razloga moglo biti teže primeniti zahteve vezane za zaštitu podataka o ličnosti. Sa druge strane, u Autonomnoj pokrajini takođe postoje dva nivoa, s tim što je prvi nivo odgovornosti na direktoru Pokrajinskog fonda, dok je drugi nivo ponovo na direktorima filijala u Autonomnoj pokrajini.

Zvanično, odgovornosti na ovaj način imenovanih lica uključuju:

Obezbeđivanje razvoja adekvatnih kontrola u skladu sa osetljivošću resursa kome se pristupa;
Obezbeđivanje da samo autorizovani korisnici imaju imaju pravo pristupa resursima koji su u njihovoj nadležnosti i poštovanje usvojenih procedura;
Obezbeđivanje da svi korisnici nakon promene radnog mesta ili prekida radnog odnosa prođu zvaničnu proceduru promene prava pristupa.

Preporuka: Pored navedenih organizacionih i tehničkih odgovornosti imenovanih lica, u opis njihovih nadležnosti bilo bi poželjno dodati pitanja koja su vezana i za organizacionu kulturu zaposlenih u Fondu, kao što su:

sprovođenje određene politike o zaštiti podataka o ličnosti među zaposlenima;
promovisanje zaštite podataka o ličnosti među zaposlenima radi shvatanje njihove uloge u zaštiti podataka
organizovanje edukacije iz oblasti zaštite podataka o ličnosti za zaposlene;
izveštavanje rukovodstva o nivou zaštite podataka i predlaganje mera za podizanje nivoa zaštite i dr.

Deo ovih nadležnosti je trenutno dodeljen lokalnim koordinatorima, ali se tu postavlja pitanje hijerarhijskog nivoa na kome se nalaze lokalni koordinatori.

I pored pozitivno istaknute distribucije odgovornosti za bezbednost informacija u RFZO, dodatno bi trebalo razmotriti uvođenje određene odgovornosti i na poslednjem organizacionom nivou, na nivou ispostava. Trenutno, svaka od filijala RFZO ima jednu ili više ispostava u manjim mestima. Opravdano je postaviti pitanje svesti zaposlenih o važnosti zaštite podataka o ličnosti u ispostavama RFZO, pre svega zbog dislociranosti i nedovoljnog kontakta sa direktorima filijala kao poslednjim nivoom na kojem je jasno definisana odgovornost za bezbednost informacija. Jasno je da ti zaposleni, posmatrajući tehnički aspekt, svakako rade u okviru koji je definisan na nivou celog RFZO i koji pruža odgovarajući nivo zaštite podataka o linosti, ali problem može predstavljati svest zaposlenih. Pitanje može biti posebno osetljivo na nivou ispostava u manjim mestima, gde je veća verovatnoća da zaposleni u RFZO lično poznaju korisnike, te i interes za neovlašćen pristup podacima o ličnosti može biti veći.

Edukacija

Postojeće stanje: U Republičkom fondu za zdravstveno osiguranje sprovedena je sistematska obuka zaposlenih za primenu zahteva standarda ISO 27001 – Sistem upravljanja bezbednošću informacija. Takođe, na internom portalu se nalaze određene instrukcije za postupanje u vezi sa bezbednošću informacija. Istraživačkom timu nije poznato u kojoj meri je akcenat prilikom obuka za uvođenje standarda ISO 27001 stavljen na zaštitu podataka o ličnosti, kao najosetljivijim podacima kojima upravlja RFZO, jer je standard generički i njegovi zahtevi se odnose na svu dokumentaciju u organizaciji.

Preporuka: Republički fond za zdravstveno osiguranje upravlja velikom količinom podataka o ličnosti te je od izuzetne važnosti uvesti kontinuiranu edukaciju zaposlenih iz ove oblasti. Takođe, trebalo bi definisati vremenske intervale za testiranja znanja zaposlenih iz ove oblasti, kako bi rukovodstvo RFZO na svim nivoima imalo saznanja o stanju sistema u pogledu zaštite podataka o ličnosti.

Pristup zaposlenih Matičnoj evidenciji

Postojeće stanje: U Republičkom fondu za zdravstveno osiguranje je razvijen sistem korisničkih uloga sa različtim pravima pristupa. Pristup je određen kombinacijom korisničkog imena i šifre, koja je vezana za svakog zaposlenog. Svaki pristup bazi se beleži (ko je pristupio, kada, šta je radio), ali se ne evidentira razlog pristupa bazi.

S obzirom da je Matična evidencija (MEOP baza/sistem) distriburiana po filijalama pristup je ograničen na podatke samo iz jedne filijale, pa zaposleni iz jedne filijale ne mogu da pristupe podacima u drugoj filijali.

U svakoj od filijala postoji jedno ili više lica koje su zaduženo za izdavanje korisničkih imena i šifara za pristup MEOP sistemu, samo zaposlenima u toj filijali i za pristup podacima konkretne filijale. Takođe, administrator može da vidi samo korisničko ime zaposlenog. Kada kreira lozinku za zaposlenog, od zaposlenog se traži da je odmah promeni, koja tako ostaje nepoznata i za administratore.

Pristup podacima iz Matične evidencije je omogućen svim zaposlenima čije radne aktivnosti to zahtevaju. Obim prava pristupa zavisi od vrste posla kojim se bave zaposleni. Među korisnicima koji imaju pristup Matičnoj evidenciji, javljaju se, u okviru Direkcije: Pomoćnik direktora za razvoj i održavanje informacionog sistema, Načelnik Odeljenja za matičnu evidenciju i Pomoćnik načelnika Odeljenja za matičnu evidenciju. Istovremeno, pristup matičnoj evidenciji je omogućen i zaposlenima na 13 radnih mesta u filijalama i ispostavama. Zaposleni imaju različita prava pristupa. Jasno je da je princip bio da se pristup omogući samo licima čiji neposredni rad to zahteva, ali data podela odgovornosti ukazuje da pristup nije dovoljno disperzovan na najvišem hijerarhijskom nivou, te se javlja pitanje šta se dešava kada neko od rukovodilaca u Direkciji ima opravdanu potrebu da pristupi bazi, ili neko od zaposlenih u samom Odeljenju za matičnu evidenciju.

Razvijena je jasna procedura za uvođenje novih korisnika u sistem, po zahtevima standarda ISO 27001. U sistemu u kojem su definisane korisničke role, ključan je proces dodeljivanja korisničkih uloga, odnosno kreiranja novih korisnika i njemu je potrebno posvetiti posebnu pažnju. Proces uvođenja novog korisnika prikazan je šematski:

tablea 3-02

Preporuka: Na osnovu dostupne dokumentacije, i odgovora zaposlenih na postavljena pitanja, došlo se do modela procesa uvođenja novih korisnika u sistem. Opravdano je postaviti određena pitanja u vezi sa optmizacijom ovog procesa. Rukovodilac službe/sektora proverava zahteve za pristup podacima prema potrebama posla, nakon određenog iniciranja od strane Rukovodstva i tek onda izdaje nalog IT službi za kreiranje korisničkog naloga. Ovaj proces se odvija na lokalnom nivou.

Međutim, ukoliko je uveden sistem korisničkih rola, on bi trebalo da prepoznaje tipske role, koje su vezane isključivo za radna mesta zaposlenih. U tom slučaju, nakon angažovanja novog zaposlenog, ili promene radnog mesta postojećeg, zaposleni iz Sektora za ljudske resurse bi trebalo da obaveste IT službu o promeni i zaposleni bi po automatizmu (u skladu sa radnim mestom) trebalo da dobije određena prava pristupa. U tom slučaju, opisani proces bi se sprovodio samo prilikom promene sistematizacije, ukidanja, promene ili uvođenja novih radnih mesta. Takođe, na taj način se eliminiše rizik da zaposleni na istim radnim mestima imaju različite nivoe pristupa.

U Republičkom fondu za zdravstveno osiguranje postoji Matrica privilegija sa 26 različitih nivoa pristupa – korisničkih uloga. U Matrici privilegija su navedeni svi korisnici sa jasno definisanim privilegijama, kao i svi sistemi/aplikacije. Matrica privilegija prisutna u RFZO svakako predstavlja primer dobre prakse, s tim što bi trebalo da sadrži nazive radnih mesta umesto imena korisnika, kako bi se standardizovao pristup bazi širom organizacije.

Dalje, u informacionom sistemu bi trebalo da postoji funkcija automatskog prekida sesije ukoliko protekne određeni vremenski interval bez aktivnosti korisnika (npr. zbog izlaska iz kancelarije, session timeout). Vremenski interval bi trebalo da bude određen tako da ne predstavlja preveliku smetnju zaposlenima u obavljanju radnih aktivnosti (Predlog – 30 minuta).

Sektor za održavanje informacionog sistema

Postojeće stanje: Na nivou Direkcije Republičkog fonda za zdravstveno osiguranje postoji Sektor za razvoj i informacione tehnologije, u okviru kojeg postoje sledeće organizacione jedinice, vezane za održavanje informacionog sisema: Odsek za održavanje informacionog sistema, Odeljenje za održavanje informacionog sistema, Grupa za održavanje računarske mreže i sistemsko održavanje, Odeljenje za održavanje računarske mreže i sistemsko održavanje.

Trenutno se 26 zaposlenih u Direkciji bavi poslovima održavanja informacionog sistema, ali i u filijalama postoje zaposleni koji se bave održavanjem informacionog sistema. Razlikuju se prava pristupa sistemu između zaposlenih koji se bave održavanjem informacionog sistema u Direkciji, i zaposlenih koji obavljaju te poslove u filijalama.

Deo poslova održavanja informacionog sistema obavlja i Elektrotehnički fakultet Univerziteta u Beogradu (ETF), i ima pristup određenim podacima. Republički fond za zdravstevno osiguranje ima potpisan ugovor sa ETF-om, gde je jedna od odredbi poverljivost svih podataka. Elektrotehnički fakultet je jedini koji održava MEOP bazu (sistem). Međutim, druga pravna lica se bave održavanjem drugih softverskih podsistema u okviru Republičog fonda za zdravstveno i penziono osiguranje. Lica angažovana na ETF-u imaju ad hoc pristup bazi podataka, u smislu da bi pristup podacima trebalo da imaju samo iz prostorija RFZO.

Evidencija u papirnoj formi

Postojeće stanje: Iako je u poslednje vreme značajno smanjen obim papirnih dokumenata u Republičkom fondu za zdravstveno osiguranje, u svakoj od filijala postoje arhive dokumenata, koje su zaključane. S obzirom da su sva dokumenta u paprinoj formi unesena u sistem, i postoje i u elektronskoj formi, u najvećem broju slučajeva dokumentima u papirnoj formi nakon nastanka više niko i ne pristupa. Ne postoje dosijea korisnika, već samo prijave. Međutim, ukoliko neko od zaposlenih želi da pristupi podacima u papirnoj formi, ne evidentira se pristup, niti se beleži razlog pristupa.

Preporuka: Uvesti jasnu proceduru za čuvanje podataka u papirnoj formi, u kojoj će biti definisano: gde se čuvaju podaci, ko ima pravo pristupa, ko je odgovoran za čuvanje i za evidentiranje pristupa, i druga pitanja od najveće važnosti.

ISO standardi

Postojeće stanje: U Republičkom fondu za zdravstveno osiguranje je uveden standard ISO 9001 – Sistem menadžmenta kvalitetom, kao bazni standard serije. Takođe, kao izuzetno bitno za potrebe istraživanja potrebno je istaći da je RFZO sertifikovan i po zahtevima standarda ISO 27001 Sistem menadžmenta bezbednošću informacija. Na osnovu dostavljene dokumentacije može se zaključiti da su zahtevi standarda ispunjeni u velikoj meri.

Zaključak

Republički fond za zdravstveno osiguranje predstavlja primer dobre prakse u upravljanju bezbednošću informacija i zaštitom podataka o ličnosti među ustanovama u Republici Srbiji. Informacioni sistem je osposobljen da omogući odgovarajući nivo zaštite podataka o ličnosti, a istovremeno da pruži dovoljno fleksibilnosti za obavljanje osnovne delatnosti RFZO. Preporuke date u ovom delu izveštaja su organizacione prirode i date su u cilju daljeg unapređenja sistema u oblasti zaštite podataka o ličnosti.

TEHNIČKI ASPEKTI OBRADE PODATAKA

Opšte tehničke informacije i struktura sistema

RFZO u svojoj celoj mreži ima ukupno 237 servera, vlasnik je celokupne IT opreme, uključujući i sve servere. Svaka ispostava ima svoju MEOP bazu podataka (Matičnu Evidenciju na lokalnom nivou), a tako distribuirana baza podataka se sa centralnom bazom u Direkciji fonda sinhronizuje na svakih 10 do 15 minuta od trenutka nastanka promene. To znači da postoji centralno mesto u mreži (Direkcija) gde u svakom trenutku stižu podaci o osiguranicima, ali ne u realnom vremenu. Ceo informacioni sistem RFZO povezan je privatnom komunikacionom mrežom (VPN). U toku su aktivnosti na reviziji informacionog sistema MEOP; tako da je planirano da se do kraja 2016. godine uspostavi jedinstveni, centralizovani MEOP informacioni sistem, odnosno da postoji samo jedna centralna MEOP baza podataka u Direkciji.

Postoje po jedan veb i server za elektronsku poštu, te 235 servera za baze podataka (MS SQL i Oracle) koji su distribuirani u Direkciji u Beogradu i u svim ispostavama i filijalama u Srbiji. Matična evidencija se nalazi na serverima u ispostavama, replikacija svih baza na nivou filijale nalazi se na serverima u filijalama, a centralna kompletna matična evidencija na serverima u Direkciji. Matična evidencija koju aplikacije koriste za unos i obradu podataka je SQL baza (struktuisan prikaz podataka).

Napomena: Prilikom implementacije razvojnog plana, trebalo bi razmotriti bezbednosne politike centralne instance MEOP-a u smislu enkripcije, hešovanja i regulisanja fizičkog pristupa server sali. Takođe, važno je uspostaviti enkriptovane kanale komunikacije između direkcije i ispostava i filijala u Srbiji.

Pristup internetu

Sajt i matična evidencija RFZO-a nisu na istom serveru, već postoji poseban (namenski) server koji RFZO koristi samo za hostovanje sajta (http://www.rfzo.rs), što bi značilo da RFZO samostalno hostuje sajt, odnosno usluge hostinga se zakupljuju sa strane. Internet Servis Provajder je Telekom Srbija.

*Opšte informacije*
*Naziv ustanove*	Republički fond za zdravstveno osiguranje
*URL*	http://www.rfzo.rs/
*Datum vršenja analize*	27.04.2015.
*WHOIS pretraga*
*Ime i Prezime*	Olivera Videnović
*Adresa*	Jovana Marinovića 2, Beograd
*Provider*	TELEKOM SRBIJA A.D.
*URL Provajdera*	http://www.telekom.rs/
*Registrator*	TELEKOM SRBIJA A.D.
*URL Registratora*	http://www.telekom.rs/
*Država*	Srbija
*Nmap*
*Broj otvorenih portova*	2
*Broj filtriranih portova*	998
*Broj zatvorenih portova*	0
OS	Linux 2.6.18
*Bezbedan (Nmap)*	Da
*IP v4*	212.200.153.146
*IP v6*	/
*MAC*	/

VPN i Cloud usluge

Ceo informacioni sistem RFZO povezan je putem VPN-a, a provajder tih usluga je Telekom Srbija, kod kojeg imaju zakupljene IP adrese čiji opseg iz razloga bezbednosti nismo dobili. Cloud usluge se za sada ne koriste, te ne postoji plan da će se u doglednom periodu početi koristiti.

Serverska podešavanja

Svaka ispostava RFZO-a ima svoju MEOP bazu podataka (Matičnu Evidenciju na lokalnom nivou), a tako distribuirana baza podataka se sa centralnom bazom u Direkciji fonda sinhronizuje na svakih 10 do 15 minuta od trenutka nastanka promene.

Na aplikativnom nivou, u okviru MEOP aplikacije, čuvaju se transakcijski logovi, odnosno aktivno se beleže sve akcije korisnika u aplikaciji. Pristup bazi (MEOP) uslovljen je unosom korisničkog imena i lozinke. Ime i lozinka eksplicitno određuju prava pristupa bazi podataka za svakog zaposlenog na određenom radnom mestu. U log fajlu se evidentira i sa kog računara je izvršen pristup, pri čemu administratori vode evidenciju prava pristupa korisnika po sistemima/aplikacijama u tzv. matrici privilegija.

Interni akti RFZO-a koji regulišu mere zaštite su već navedeni: Politika uloga i odgovornosti, Politika kontrole logičkog pristupa, Politika upravljanja korisničkim ulogama, Procedura za registraciju i odjavu korisnika, Procedura za održavanje, izveštavanje i pružanje podrške korisnicima IS.

Izdvajamo delove navedenih akata koji se odnese na tehničku bezbednost sistema:

Politika uloga i odgovornosti/ Sistem administrator

Sistem administratori su lica zaposlena u RFZO, koja upravljaju IS poverenim od strane RFZO. Svaka vrsta informacija i sistem može imati jedan ili više namenskih sistem administratora. Oni su odgovorni za zaštitu informacija, uključujući implementaciju sistema za kontrolu pristupa za očuvanje poverljivosti i sprovođenje back up procedure kako bi obezbedili očuvanje informacija od gubitka. Samostalni stručni saradnik sistem administrator u Direkciji RFZO, odnosno Načelnik odeljenja za održavanje IS i računarske mreže u filijalama RFZO i Pokrajinskom fondu odgovoran je za instalaciju, konfiguraciju, upravljanje i održavanje informacionih resursa u skladu sa usvojenim Politikama i drugim dokumentima u okviru ISO 27001:2005.

Politika uloga i odgovornosti/ IT zaposleni

IT zaposleni su odgovorni za instalaciju, konfiguraciju, upravljanje, održavanje informacionih resursa organizacije u skladu sa usvojenim Politikama i drugim dokumentima u okviru ISO 27001:2005. Takođe, odgovorni su za pomaganje (edukaciju) korisnika i predstavljaju osobe koje su zadužene za prijavljivanje incidenata vezano za sigurnost korisničkih naloga.

Politika upravljanja korisničkim nalozima/ Autorizacija za upravljanje korisničkim nalozima i privilegijama

Upravljanje nalozima i privilegijama za računare i softver je ograničeno na ovlašćeno i stručno osoblje. Ovlašćenje se može dobiti od rukovodstva ili od osobe koja je zadužena za određenu opremu ili softver.

Povezivanje ličnih računara ili opreme na računarsku mrežu organizacije je dozvoljeno samo kada postoji odobrenje od rukovodstva i/ili administratora mreže. Uslov za povezivanje ovakvih uređaja je da IT služba ima mogućnost pregledanja konfiguracije pre nego što uređaj bude povezan. Kada je povezivanje odobreno, sistem administrator odgovoran je da obezbedi samom konfiguracijom da korišćenje uređaja bude u skladu sa politikama sigurnosti organizacije.

Politika upravljanja korisničkim nalozima/ Upravljanje korisničkim nalozima i privilegijama

Lica koja su odgovorna za kreiranje korisničkih naloga moraju da obezbede da nalozi budu kreirani samo za one osobe koje su kvalifikovane da imaju nalog i čiji je identitet potvrđen. Privilegovani nalozi su oni nalozi kojima su dodeljene specijalne privilegije za IS i oni se obično dodeljuju sistem administratorima.

Politika upravljanja korisničkim nalozima/ Upravljanje lozinkama

Kada je odobren pristup sistemu ili aplikaciji, korisnik će biti obavešten o njihovoj privremenoj lozinci na bezbedan način. Ova privremena lozinka mora biti promenjena nakon prvog logovanja korisnika, kada sistem automatski traži od korisnika da promeni lozinku.

Politika kontrole logističkog pristupa/ Zahtevi politike

Sve lozinke na nivou sistema (root, admin i sl.) moraju biti promenjene najmanje jednom u 12 meseci. Sve lozinke za korisničke naloge na domenima moraju biti promenjene najmanje jednom u mesec dana.

Politika kontrole logističkog pristupa/ Korišćenje lozinki za autentifikaciju

Prilikom izbora i korišćenja lozinki moraju se poštovati sledeća uputstva:

sve šifre moraju biti lične i poverljive
korisnici moraju biti sigurni da njihova šifra nije poznata drugima
različito korisničko ime i lozinka moraju se izdati zamenicima ili asistentima
korisnici ne smeju držati svoju lozinku na papiru ili u nezaštićenoj elektronskoj formi
lozinka se mora promeniti kada postoji indikacija da se može zloupotebiti
lozinke ne bi trebalo da budu sastavljene tako da je neko drugi može lako pogoditi (ne treba da sadrže ime osobe, e-mail, naziv sektora, korisničko ime i sl.).
korisnici treba da budu u mogućnosti da sami biraju lozinku
lozinka se ne prikazuje prilikom unosa
automatska blokada korisničkog imena nakon maksimalnih 10 pogrešnih unosa
beleženje svakog pogrešnog unosa
korisnici mogu promeniti lozinku bilo kada
lozinke se daju korisnicima na bezbedan način, u zatvorenoj koverti.

Ukoliko je tehnički moguće, relevantni događaji vezani za bezbednost sistema su evidentirani u log fajlovima koji kasnije mogu biti korišćeni kao dokazi ukoliko se ukaže potreba za tim. Elektronske dnevnike (log fajlove) koji sadrže informacije klasifikovane kao poverljive, kontrolišu sistem administratori.

Pristup korisnika MEOP sistemu je kontrolisan i preispitan od strane odgovornih lica u cilju smanjenja sigurnosnih rizika:

korisnička prava moraju biti prilagođena na takav način koji obezbeđuje da korisnicima bude odobren samo neophodan i autorizovan nivo pristupa;
prilagođavanje treba izvoditi kada dođe do promena u zahtevima poslovanja, promene radnog mesta korisnika, prekida radnog odnosa i slično;
članovi svih privilegovanih grupa i njihovih uloga treba da se preispitaju periodično, a najmanje jednom godišnje;
periodično, opšte preispitavanje korisničkih naloga treba da obezbedi ukidanje pristupa na naloge koji nisu više potrebni ili su suvišni;
nalozi kojima je odobren privremeni pristup, treba da budu isključeni ili obrisani kada pristupsa tog naloga više nije potreban.

Pristup trećih lica

Pravo pristupa Matičnoj evidenciji imaju zaposleni sa ETF-a po Ugovoru o odžavanju i unapređenju MEOP sistema. Zbog poverljivosti podataka, ETF je u obavezi da primenjuje ISO standarde koji regulišu ovu oblast i tačka ugovora eksplicitno naglašava da ETF ove podatke neće koristiti u druge svrhe i da ih neće odavati trećim licima, osim ukoliko je to neophodno za izvršenje predmeta ugovora, uz saglasnost RFZO-a. Lica koja održavaju sistem, isključivo prilikom dolaska u RFZO mogu pristupiti Matičnoj evidenciji i MEOP sistemu, odnsono nemaju pristup iz svojih prostorija preko VPN-a.

Ugovoreni partneri i ugovoreni konsultanti moraju potpisati izjavu o poverljivosti informacija, pre pristupanja poverljivim informacijama. Zaposleni koji se bave informacionim tehnologijama su odgovorni za implementiranje izjave o poverljivosti.

Prilikom istraživanja i slanja zahteva za pristup informacijama od javnog značaja, jedno od postavljenih pitanja odnosilo se na pravo pristupa bazi podataka državnih i nadzornih organa, Ministarstva, policije, bezbednosnih agencija i sudova. Na ovo pitanje nismo dobili odgovor, niti smo pronašli odgovor u dokumentima i Politikama koje smo primili u sklopu odgovora ili koji su javno objavljeni.

Zaključak

S obzirom na to da se radi o disperziranom i kompleksnom sistemu, upravljanje podacima o ličnosti jeste izazov određene vrste. U svakom slučaju, može se reći da RFZO ima jasno definisana pravila po kojima se rukovode svi relevantni segmenti organizacije, a koja se tiču upravljanja informacionim sistemom na adekvatan način.

Kao odgovor na zahteve za pristup informacijama od javnog značaja, dobili smo interne akte koje je ova organizacija izradila, donela i koje primenjuje. Dokumenti ovog tipa nažalost nisu svakodnevica kod svih rukovaoca, stoga se može reći da je po pitanju dokumentacije bezbednog menadžmenta informacionog sistema, ovo jedan od primera dobre prakse u okviru ovog istraživanja.

Naravno, kao i u svakom sistemu postoje segmenti koji bi mogli da se reše na bolji ili bezbedniji način. Kao primer bismo izdvojili autentifikaciju prilikom pristupa MEOP bazi, zasnovanu na unosu korisničkog imena i šifre, dok i dalje ne postoji drugi stepen zaštite kao što bi recimo bio digitalni sertifikat. S obzirom na to da je autorizacija usko vezana sa autentifikacijom (pristupna prava su vezana za određenog korisnika, t.j. svaki korisnik nema istu “dubinu” pristupa), te da je integritet podataka u MEOP bazi od izuzetnog značaja, smatramo da je potrebno poboljšati način pristupa bazi.

MEDIJSKA POKRIVENOST

Uvodne napomene

Sa druge strane, aktivno učešće institucija državne uprave u javnom dijalogu posvećenom zaštiti privatnosti i ličnih podataka koje prikupljaju i obrađuju, moglo bi se pokazati kao ključni doprinos daljem uređenju ove oblasti ali i sopstvenoj promociji kao vodećeg aktera u zaštiti interesa građana.

RFZO – ISTORIJSKI PREGLED

S obzirom na to da je Zakon o zaštiti podataka o ličnosti usvojen 2008. godine, u prethodnom periodu u medijima praktično nema izveštaja o ovom pravu. RFZO (do izmena zakona 2011. pod nazivom Republički zavod za zdravstveno osiguranje) često je u fokusu javne pažnje, ali u kontekstu ogromnih dugova Fonda, korupcije, zloupotreba, problema osiguranja pojedinih ranjivih grupa, subvencija i slično.

Zbirke podataka se ne pominju, ali da postoji potreba pažljive obrade i zaštite ličnih podataka može se naslutiti iz povremenih incidenata vezanih za krađu identiteta radi neovlašćenog ostvarivanja prava na zdravstveno osiguranje.

Takođe, iz medijskih izveštaja jasno je da se procedure za ostvarivanje prava komplikuju dok između pojedinih ustanova ne postoji ni osnovna razmena podataka o osiguranicima.

Sredinom 2000-tih, zbog učestalih optužbi za netransparentnost i zloupotrebe, Fond odlučuje da javno objavljuje liste čekanja za različite operacije. Kako se navodi, identitet pacijenata je bio delimično zaštićen.

Provera podataka o uplaćenim doprinosima za zdravstveno osiguranje zaposlenih takođe često figurira u napisima o RFZO, vezanim za podatke o ličnosti a u prilog javnosti podataka i objavljivanja pretraživih baza.

Početkom naredne decenije, na sajtu RFZO aktiviran je još jedan servis preko kojeg se može proveriti da li osiguranici imaju izabranog lekara. U javnosti se ni ovom prilikom zaštita podataka ne postavlja čak ni kao tehničko pitanje.

Višegodišnji planovi za uvođenje elektronske knjižice u medijima se prate u svetlu efikasnijeg ostvarivanja prava na osiguranje, transparentnosti i kontrole, dok se aspekti zaštite privatnosti potpuno izostavljaju.

Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti sproveo je nadzor nad sprovođenjem i izvršavanjem Zakona o zaštiti podataka o ličnosti u tadašnjem RZZO, i početkom 2011. upozorio na niz kršenja zakonskih odredbi prilikom prikupljanja i obrade podataka osiguranika. Četiri godine kasnije, RFZO je izvestio Poverenika o preduzetim merama u skladu sa upozorenjem. Retki mediji objavili su tim povodom kratke vesti u vidu saopštenja.

DOKUMENTACIJA KOJA JE DOBIJENA OD POVERENIKA

Postupci nadzora

U Upozorenju Poverenika br. 164-01-00015/2010-07 od 31.03.2011. nakon obavljenog postupka nadzora nad RFZO, ustanovljene su nepravilnosti u sprovođenju i izvršavanju Zakona o zaštiti podataka o ličnosti, pogotovo kada su u pitanju prikupljanje i obrada naročito osetljivih podataka o ličnosti i primena tehničkih i organizacionih mera zaštite podataka. Tako je, između ostalog, pronađeno da se obrada naročito osetljivih podataka iz Kadrovske evidencije koji se tiču sindikalnog članstva, nacionalnosti, veroispovesti zaposlenih ne vrši u skladu sa Zakonom, dok raspoložive tehničke i organizacione mere zaštite podataka, koji se tiču povreda na radu i profesionalnih bolesti, ili lica sa kojima RFZO vodi sudske sporove, nisu preduzete u skladu sa članom 47 ZZPL.

Razni dopisi

Dopisom br. 011-00-00628/2015-05 od 15.05.2015 Poverenik se izjasnio povodom zahteva za mišljenje RFZO-a po pitanju da li je potreban pristanak odnosnog lica kako bi se Ministarstvu za rad, zapošljavanje, boračka i socijalna pitanja dostavlili podaci o ostvarenom pravu na medicinsko-tehničko pomagalo, a u svrhu priznavanja navedenog prava pred nadležnim organom uprave. Poverenik je dao odgovor načelne prirode ističući da RFZO može dostaviti sporni podatak Ministarstvu na njihov zahtev ukolilo postoji zakonsko ovlašćenja, a u nedostatku istog, samo na osnovu punovažnog pristanka lica. Poverenik je takođe istakao da podaci o zdravstvenom stanju, u ovom slučaju, invaliditetu lica, spadaju u kategoriju naročito osetljivih podatka i da su način i uslovi pristanka za njihovu obradu propisani posebnim članom ZZPL.

Dopisom br. 011-00-00628/2015-05 od 15.05.2015 Poverenik se izjasnio povodom zahteva za mišljenje RFZO-a u vezi sa zahtevom Gradske uprave Čačka za dostavljanje podataka iz Matične evidencije i to podataka o imenu, prezimenu, adresi, JMBG i nazivu i adresi poslodavca kod koga su zaposleni i prijaveljeni na zdravstveno osiguranje, a u svrhu utvrđivanja zaposlenih građana. Poverenik je istakao da nije jasno po kom pravnom osnovu je Gradska uprava tražila navedene podatke i da rukovalac mora proveriti da li postoji pristanak lica na koje se podaci odnose, ili zakonsko ovlašćenje koje se izričito odnosi na takvu vrstu podataka. Poverenik je takođe istakao da zakoni kojima se na uopšten način uređuje saradnja i razmena podataka između organa državne uprave, organa lokalne samouprave i drugih državnih organa se ne mogu smatrati pravnim osnovom koji navedenu obradu čini dozvoljenom.

U dopisu Poverenika RFZO-u, br. 011-00-00576/2013-05, od 09.09.2013., a povodom zahteva za mišljenje RFZO-a po pitanju traženja uvida i kopije zdravstvenog kartona osiguranog lica, a po zahtevu javnog tužilaštva u Nišu, Poverenik je zaključio da policija ima pravo uvida i pristupa dokumentaciji, jer kao organ vlasti može da obrađuje podatke bez pristanka lica, ako je obrada neophodna radi obavljanja poslova iz svoje nadležnosti određenih zakonom, u cilju sprečavanja, otkrivanja, istrage i gonjenja krivičnih dela, a u drugim slučajevima na osnovu pismenog pristanka lica, s tim da je na policiji i tužilaštvu odgovornost za zakonitost dalje obrade po njihovom pribavljanju.

PIO fond

OPŠTI PODACI

Preuzmite pdf celog izveštaja

Podaci o osnovnoj delatnosti, sedištu, pravnim aktima, veb sajtu i slično

Republički fond za penzijsko i invalidsko osiguranje (PIO fond) je pravno lice sa statusom organizacije za obavezno socijalno osiguranje koje je osnovano radi ostvarivanja prava iz penzijskog i invalidskog osiguranja i isplate ovih prava.

Prava, obaveze i odgovornost PIO fonda utvrđene su Zakonom o penzijsko invalidskom osiguranju (“Sl. glasnik RS”, br. 34/2003, 64/2004 – odluka USRS, 84/2004 – dr. zakon, 85/2005, 101/2005 – dr. zakon, 63/2006 – odluka USRS, 5/2009, 107/2009, 101/2010, 93/2012, 62/2013, 108/2013, 75/2014 i 142/2014) i Statutom Republičkog fonda za penzijsko i invalidsko osiguranje.

PIO fond obavlja delatnost na čitavoj teritoriji Republike Srbije te ima nadležnost nad svim građanima naše zemlje, kao i stranim državljanima koji imaju penzijsko invalidsko osiguranje u skladu sa Zakonom o penzijsko invalidskom osiguranju. Na dan 30.06.2015. godine u PIO fondu je bilo obavezno osigurano 2.457.897 osiguranika, dok je na isti dan bilo dodatno još 1.736.154 lica koja su korisnici prava.

U skladu sa Pravilnikom o organizaciji Republičkog fonda za penzijsko i invalidsko osiguranje (“Sl. glasnik RS”, br. 29/2008) postoji razgranata organizaciona struktura, te se poslovi PIO fonda koji se odnose na obradu podataka o ličnosti obavljaju u:

Direkciji gde se obezbeđuje jedinstvena primena propisa o penzijsko invalidskom osiguranju, obezbeđuje jedinstvena primena informacionih tehnologia u sprovođenju sistema obaveznog penzijskog i invalidskog osiguranja, ustrojava, organizuje i kontroliše matična evidencija o osiguranicima i korisnicima prava u filijalama i vode evidencije propisane zakonom kao i mnogi drugi poslovi u skladu Statutom PIO fonda;

Pokrajinskom fondu koji između ostalog takođe ustrojava, organizuje i kontroliše matične evidencije o osiguranicima i korisnicima prava u filijalama i vodi evidencije propisane zakonom;

35 filijala, službama filijala i ispostavama koje primaju prijave i odjave za osiguranike i unose podatke u matičnu evidenciju o osiguranicima i korisnicima prava, te obavljaju druge poslove u skladu sa Statutom PIO fonda.

Na sajtu PIO fonda, rubrika ’O nama’ na stranici ’Međunarodni standardi’, sadrži dokument o politikama bezbednosti informacija. U rubrici ’Najčešća pitanja’, kategorija ’Opšta pitanja’, navodi se odgovor koji se tiče zaštite ličnih podataka, na pitanje o slanju podataka o stažu osiguranika elektronskim putem. Ovakvi podaci se ne šalju, kako se navodi, zbog nemogućnosti odgovarajuće identifikacije lica, a s obzirom na zakonsku obavezu zaštite ličnih podataka korisnika i osiguranika.

Adresa: Dr Aleksandra Kostića 9, 11000 Beograd

E-mail: proffice@pio.rs

Internet sajt: www.pio.rs

Informator o radu: http://www.pio.rs/cir/informator-rf-pio.html

PRAVNI ASPEKTI OBRADE PODATAKA

Zbirke podataka o ličnosti

PIO fond je registrovao 20 zbirki podataka o ličnosti u Centralnom registru zbirki podataka koji vodi Poverenik.

Od toga, 13 zbirki podataka se odnosi na podatke o ličnosti osoba koje su zaposlene u PIO fondu ili obavaljaju poslove u PIO fondu po drugom osnovu, kao što su kadrovska evidencija, evidencija o platama zaposlenih, evidencija rešenja o godišnjim odmorima i druge slične evidncije.

Preostalih 7 zbirki podataka se odnose na podatke o ličnosti osiguranih lica, korisnika prava, dakle građana Srbije i stranih državljana koji imaju obavezno socijalno osiguranje, kao i drugih fizičkih lica koja su se obraćala PIO fondu, a to su:

Matična evidencija o osiguranicima, obveznicima plaćanja doprinosa i korisnicima prava iz penzijskog invalidskog osiguranja;
Elektronska evidencija o toku postupka i stanju predmeta za osiguranike i korisnike prava iz PIO;
Evidencija o predmetima u upravnom postupku;
Evidencija o isplati penzija i naknada;
Evidencija o predstavkama i pritužbama građana;
Evidencija o predstavkama i pritužbama građana upućenih na ime direktora i UO;
Evidencija o elektronskim pitanjima građana i odgovori.

Matična evidencija o osiguranicima, obveznicima plaćanja doprinosa i korisnicima prava iz penzijskog invalidskog osiguranja (u daljem tekstu “Matična evidencija”) predstavlja najobimniju zbirku podataka koju vodi PIO fond, te je njeno postojanje osnovni preduslov za obavljanje poslova iz nadležnosti PIO fonda, zbog čega su i pravila za vođenje ove evidencije detaljno regulisana Zakonom o penzijskom i invalidskom osiguranju. Ova evidencija je po informacijama iz Centralnog registra Poverenika uspostavljena još 1965 godine.

Stoga smo odabrali Matičnu evidenciju kao reprezentativnu, te se dalja analiza svih aspekata obrade podataka o ličnosti odnosi samo na Matičnu evidenciju.

Pravni osnov

Pravni osnov za vođenje Matične evidencije utvrđen je članom 125 Zakona o penzijskom i invalidskom osiguranju gde se navodi da PIO fond vodi Matičnu evidenciju. Dalje članovi 126-149 istog Zakona uređuju obradu podataka, te se precizno navode podaci o ličnosti koji se vode u Matičnoj evidenciji.

Podaci o ličnosti

U matičnoj evidenciji se vode i obrađuju podaci o ličnosti:

Osiguranika, to jest lica koja su osigurana u skladu sa Zakonom o penzijskom i invalidskom osiguranju i to:

prezime i ime;
jedinstveni matični broj građana i poreski identifikacioni broj;
pol;
dan, mesec i godina rođenja;
zanimanje;
školska sprema;
osnov osiguranja;
datum sticanja i prestanka svojstva osiguranika;
o mirovanju svojstva osiguranika poljoprivrednika, odnosno utvrđenim periodima mirovanja osiguranja;
o stažu osiguranja, zaradama, naknadama zarada, odnosno osnovicama osiguranja, ugovorenim naknadama i drugim naknadama koje služe za određivanje visine prava;
o broju meseci, odnosno dana provedenih na radu i broju meseci, odnosno dana za koje su isplaćene naknade;
o visini uplaćenog doprinosa;
da li je osiguranik korisnik penzije;
o obvezniku plaćanja doprinosa;
o penzijskom stažu – po vrstama;
o osiguranicima s telesnim oštećenjem od najmanje 70%, vojnim invalidima od prve do šeste grupe, civilnim invalidima rata od prve do šeste grupe, slepim licima i licima obolelim od distrofije ili srodnih mišićnih i neuromišićnih oboljenja, paraplegije, cerebralne i dečije paralize i multipleks skleroze;
osiguranika koji rade na radnim mestima, odnosno poslovima na kojima se staž osiguranja računa sa uvećanim trajanjem, i to podaci o stažu osiguranja, odnosno o vremenu provedenom na tim radnim mestima, odnosno poslovima i stepenu uvećanja staža;

Korisnika prava iz penzijskog i invalidskog osiguranja, dakle osiguranicima koji stekli pravo na penziju u skladu sa Zakonom i to:

prezime i ime;
jedinstveni matični broj građana;
pol;
dan, mesec i godina rođenja;
o vrsti penzije;
o pravnom osnovu za utvrđivanje penzije;
o datumu sticanja prava na penziju i datumu početka isplate, obustave i ponovne isplate penzije, kao i o pravnom osnovu za obustavu, odnosno ponovnu isplatu penzije;
o invalidnosti, uzroku invalidnosti i dijagnozi;
o iznosu penzije na dan ostvarivanja prava.

PIO fond ima nadležnost nad celom teritorijom Republike Srbije te je na dan 30.06.2015. godine u PIO fondu je bilo obavezno osigurano 2.457.897 osiguranika. Podaci svih lica se nalaze u Matičnoj evidenciji. Pored ovih lica, u Matičnoj evidenciji se nalaze i podaci lica koja su korisnici osiguranja, kojih je na dan 30.06.2015. godine bilo 1.736.154. To znači da se u Matičnoj evidenciji nalaze podaci preko 4,1 miliona lica. Broj lica čiji se podaci nalaze u evidenciji je svakako veći, imajuću u vidu da ona obuhvata i podatke lica koja nisu bila osigurana na dan 30.06.2015. godine, ali jesu u nekom prethodnom periodu.

Veliki broj identičnih podataka o osiguranicima nalazi se i u Matičnoj evidenciji o osiguranim licima i korišćenju prava iz obaveznog zdravstvenog osiguranja koju vodi Republički fond za zdravstveno osiguranje kao i u jedinstvenoj bazi podataka osiguranika i osiguranih lica koju vodi Centralni registar obaveznog socijalnog osiguranja imajući u vidu postojanje jedinstvene elektronske prijave na obavezno socijalno osiguranje. Ipak to ne uključuju podatke o plaćenim doprinosima (Centralni registar ima ove podatke samo od 2014. godine), podatke o osiguranicima sa telesnim oštećenjem, podatke o osiguranicima kojima se straž računa sa uvećanim trajanjem kao i podatke o korisnicima prava iz penzijskog osiguranja koji se vode samo u Matičnoj evidenciji PIO fonda.

Načini prikupljanja podataka o ličnosti

Od kada je uspostavljen Centralni registar obaveznog socijalnog osiguranja, podaci o osiguranicima i osiguranim licima koji se vode u Matičnoj evidenciji se prikupljaju preuzimanjem podataka od Centralnog registra a u skladu sa Zakonom o centralnom registru obaveznog socijalnog osiguranja. Naime, tim Zakonom je propisano da se registracija osiguranika i osiguranih lica vrši podnošenjem jedinstvene prijave isključivo u elektronskom obliku preko portala Centralnog registra. Ove jedinstvene prijave u većini slučajeva podnose poslodavci za svoje zaposlene ili sama fizička lica. U oba slučaja mora postojati kvalifikovani elektronski sertifikat kako bi mogla da se podnese jedinstvena prijava. Izuzetno za fizička lica koja nemaju tehničke mogućnosti za prijavu u elektronskom obliku, prijavu može podneti neka od organizacija obaveznog socijalnog osiguranja (RFZO, PIO fond). Tada fizička lica na šalteru predaju potrebne dokaze o statusu osiguranika, a ovlašćeni službenik na šalteru za njih popunjava jedinstvenu elektronsku prijavu i podnosi je Centralnom registru.

Podaci koji su navedeni u elektronskoj prijavi se unose u jedinstvenu bazu podataka osiguranika, osiguranih lica koju vodi Centralni registar. Nakon toga PIO fond preuzima i koristi te podatke za potrebe vođenja Matične evidencije, u skladu sa članom 18 Zakona o centralnom registru obaveznog socijalnog osiguranja, koji propisuje da organizacije obaveznog socijalnog osiguranja preuzimaju iz Jedinstvene baze podatke neophodne za vođenje Matične evidencije

Centralni registar

Matična evidencija je registrovana kao zbirka podataka o ličnosti u Centralnom registru koji vodi Poverenik od jula 2011. godine. Pored ove, PIO fond je registrovao još 19 zbirki podataka o ličnosti.

Treba istaći da u skladu sa Zakonom o zaštiti podataka o ličnosti, PIO fond zapravo i nema obavezu registrovanja Matične evidencije imajući u vidu član 48 stav 2 koji između ostalog reguliše da Rukovalac podataka nije dužan da obrazuje i vodi evidenciju obrade podataka koji se obrađuju radi vođenja registara čije je vođenje zakonom propisano. U tom smislu svakako je za pohvalu što je PIO fond registrovao Matičnu evidenciju i tako olakšao građanima i javnosti da se upoznaju sa obradom podataka u PIO fondu.

Sa druge strane, nakon registracije Matične evidencije, došlo je do promene određenih aspekata obrade podataka o ličnosti, a naročito osnivanjem Centralnog registra obaveznog socijalnog osiguranja, te u tom smislu nisu ažurni podaci iz Centralnog registra koji se odnose na ‘’način prikupljanja i čuvanja podataka’’ i ‘’spoljne korisnike zbirke’’.

Interni akti

Prvim i drugim zahtevom za informacije od javnog značaja, od PIO fonda su traženi interni akti koji regulišu upravljanje i pristup podacima iz Matične evidencije. U skladu sa tim dostavljena su nam sledeća dokumenta:

Pravilnik o zaštiti dokumentacije, podataka, informacija i računarske i komunikacione opreme donet je od strane direktora PIO fonda 1998. godine. Iako se ovim Pravilnikom utvrđuju način i mere obezbeđenja i zaštite dokumentacije, podataka, informacija, računarske i komunikacione opreme u PIO fondu, sasvim je jasno da je ovaj dokument u potpunosti zastareo, te da su prevaziđene odredbe donete na osnovu odavno nevažećih zakona i u vreme kada u Srbiji nije ni postojala regulativa o zaštiti podataka o ličnosti.

Instrukcija za postupanje zaposlenih u primeni propisa iz oblasti zaštite podataka o ličnosti i obezbeđivanja slobodnog pristupa informacijama od javnog značaja koja je izrađena u junu 2010. godine, objavljena na internom portalu i njena primena je obavezna za sve zaposlene u PIO fondu. Cilj ove instrukcije je da ustanovi pravila i procedure za koja zaposlene u PIO fondu u slučajevima kada se građani obraćaju PIO fondu sa zahtevima za obaveštenje, uvid i kopiju podataka o ličnosti koji se nalaze u evidencijama PIO fonda.

Na nivou celoga Fonda pa time i u procesu rada obrade podataka u Matičnoj evidenciji Fond postupa po svim zahtevima zaštite podataka o ličnosti. Fond je integrisano sertifikovan od strane sertifikaciong tela SGS za standard bezbednosti ISO 27001:2013 i za standard kvaliteta ISO 9001:2008. U Fondu se primenjuju sve preporučene kontrole ISO 27001:2013 (133) bez isključenja.

Osnovna dokumenta koja nalažu zaposlenima u Fondu postupanja u zaštiti podataka od neovlašćenog pristupa i obrade u skladu sa zahtevima standarda bezbednosti su:
Procedure:

Procedura za sistem upravljanja bezbednošću informacija SPR –006

U PIO fondu je uspostavljeno 8 (osam) nivoa kontrole upravljanja bezbednošću informacija, izvod iz Procedure:

Šesti upravljački nivo: ROJ

Rukovodioci filijala i sektora u okviru svojih radnih procesa i aktivnosti učestvuju u primeni i proveri uspostavljenog sistema i imaju najveću odgovornost za sisteme.

Sedmi upravljački nivo: Koordinatori z bezbednost informacija

Koordinatore je imenovao predsednik Saveta, sa zadatkom da organizuju i primene sistem bezbednosti informacija na nivou OJ za koju su zaduženi, a u saradnji sa PRB, VOT i OT.

Osmi upravljački nivo: Zaposleni

Svi zaposleni su uključeni u primenu i održavanje sistema.

Procedura za kontrolu dokumenata, zapisa i dokumentovanih informacija SPR – 004

Procedura komunikacije SPR – 005:

Izvod iz procedure:

’’Ova procedura utvrđuje pravila interne i eksterne komunikacije uz ispunjenje zahteva sistema upravljanja kvalitetom i sistema bezbednosti informacija, posebno prema zahtevima ISO 27 001:2013 ova procedura opisuje načine razumevanja potreba za bezbednošću informacija u komunikacijama sa zainteresovanim stranama, što u stvari podrazumeva utvrđivanje svih zainteresovanih strana i njihovih zahteva koji su relevantni za bezbednost informacija.’’

Politike bezbednosti informacija koje se sprovode u Fondu:

Politika tajnosti i zaštite informacija o ličnosti POL-003

Izvod iz Politike:

’’Opredeljenje RFPIO za obezbeđenje tajnosti i zaštitu informacija o ličnosti

Tajnost i zaštita informacija o ličnosti koje se nalaze u informacionim sistemima RFPIO se mora obezbediti u skladu sa zakonskim zahtevima. Stoga, postoji potreba da se oblast tajnosti i zaštita informacija o ličnosti u informacionim sistemima RFPIO uredi na takav način da se ostvari bezbednost informacija u skladu sa opredeljenjima iznetim u dokumentu Politika bezbednosti informacija POL-002.

Politika tajnosti i zaštita informacija o ličnosti u RFPIO se sprovodi na takav način da se obezbedi:

Da će se održavati poverljivost informacija;
Da informacije neće biti otkrivene neovlašćenim osobama, slučajnim ili namernim aktivnostima;
Da će integritet informacija biti sačuvan kroz zaštitu od neovlašćene izmene;
Da će biti obezbeđena usaglašenost sa propisima i dokumentima u Fondu preko kojih se politika sprovodi.

Politika tajnosti i zaštite informacija o ličnosti POL-003-17 se sprovodi preko dokumenata:

Procedura za sistem upravljanja bezbednošću informacija SPR-006;
Procedura za operativne poslove It RPR-013;
Procedura za razvoj softvera i mreže RPR-012;
Priručnika za administratore RDU-013;
Priručnika za zaposlene RDU-012.’’

Priručnik za zaposlene RDU-012.
Izvod iz Priručnika:

’’Zaštita podataka o ličnosti

Sve informacije o ličnostima, do kojih se došlo kroz poslovne aktivnosti i događaje proistekle iz njih, vlasništvo su Fonda. Najstrože se zabranjuje njihovo odavanje ili objavljivanje, osim na izričit pisani zahtev nadležnihh instanci, u skladu sa zakonima. Zaštita podataka o ličnosti se sprovodi u skladu sa Politikom tajnosti i zaštitom informacija o ličnosti POL-003-17.

Iz Zakona o zaštiti podataka o ličnosti potrebno je da znate i da se strogo pridržavate pravila o zaštiti podataka prilikom obrade:

Podatak o ličnosti je svaka informacija koja se odnosi na fizičko lice, bez obzira na oblik u kome je izražena i na nosač informacije (papir, traka, film, elektronski medij i sl), po čijem nalogu, u čije ime, odnosno za čiji račun je informacija pohranjena, datum nastanka informacije, mesto pohranjivanja informacije, način saznavanja informacije (neposredno, putem slušanja, gledanja i sl, odnosno posredno, putem uvida u dokument u kojem je informacija sadržana i sl), ili bez obzira na drugo svojstvo informacije (u daljem tekstu: podatak);
Fizičko lice je čovek na koga se odnosi podatak, čiji je identitet određen ili odrediv na osnovu ličnog imena, jedinstvenog matičnog broja građana, adresnog koda ili drugog obeležja njegovog fizičkog, psihološkog, duhovnog, ekonomskog, kulturnog ili društvenog identiteta (u daljem tekstu: lice);
Obrada podataka je svaka radnja preduzeta u vezi sa podacima kao što su: prikupljanje, beleženje, prepisivanje, umnožavanje, kopiranje, prenošenje, pretraživanje, razvrstavanje, pohranjivanje, razdvajanje, ukrštanje, objedinjavanje, upodobljavanje, menjanje, obezbeđivanje, korišćenje, stavljanje na uvid, otkrivanje, objavljivanje, širenje, snimanje, organizovanje, čuvanje, prilagođavanje, otkrivanje putem prenosa ili na drugi način činjenje dostupnim, prikrivanje, izmeštanje i na drugi način činjenje nedostupnim, kao i sprovođenje drugih radnji u vezi sa navedenim podacima, bez obzira na to da li se vrši automatski, poluautomatski ili na drugi način (u daljem tekstu: obrada);
Obrada nije dozvoljena:

Ako fizičko lice nije dalo pristanak za obradu, odnosno ako se obrada vrši bez zakonskog ovlašćenja;
Ako se vrši u svrhu različitu od one za koju je određena, bez obzira da li se vrši na osnovu pristanka lica ili zakonskog ovlašćenja za obradu bez pristanka;
Ako svrha obrade nije jasno određena, ako je izmenjena, nedozvoljena ili već ostvarena;
Ako je lice na koje se podaci odnose određeno ili odredivo i nakon što se ostvari svrha obrade;
Ako je način obrade nedozvoljen;
Ako je podatak koji se obrađuje nepotreban ili nepodesan za ostvarivanje svrhe obrade;
Ako su broj ili vrsta podataka koji se obrađuju nesrazmerni svrsi obrade;
Ako je podatak neistinit i nepotpun, odnosno kada nije zasnovan na verodostojnom izvoru ili je zastareo. ’’

Kao i:

,, Jedna od osnovnih obaveza svakog zaposlenog je obaveza zaštite svake informacije do koje dolazi u posed.

Svaki zaposleni, u Fondu, biće u obavezi da potpiše Izjavu o odgovornosti OBR-0050, koja je sastavni deo dosijea zaposlenog, u kojoj će biti upoznat sa osnovnim pravima i obavezama kao zaposleno lice u Fondu. ’’

Na nivou Fonda se sprovode stalne edukacije zaposlenih za primenu standarda bezbednosti informacija, a sve prema Proceduri za interne provere SPR-002 i Priručniku za interne provere RDU-102.

U svim filijalama u Fondu nalaze se koordinatori za bezbednost i koordinatori za kvalitet. Njihovo područje delovanja su i službe i ispostave.

Zahtev za ostvarivanje prava

Tokom istraživačkog procesa, član našeg tima je u skladu sa članom 19 ZZPL-a pisanim putem od PIO fonda tražio obaveštenje o obradi svojih podataka o ličnosti i to:

Koje podatke o meni obrađujete?
Koje vrste obrade podataka sprovodite?
Od koga su prikupljeni podaci o meni, odnosno ko je izvor podataka?
U koje svrhe se podaci obrađuju?
U kojim zbirkama podataka se nalaze podaci o meni?
Ko su korisnici podataka o meni? Koji podaci o meni se koriste? Po kom pravnom osnovu i u koje svrhe se podaci o meni koriste?
Da li se moji podaci prenose (ustupaju) drugim licima, i koja su to lica? Po kom pravnom osnovu i za koje potrebe se ti podaci prenose?
U kom vremenskom periodu se podaci obrađuju, odnosno da li je predviđena obustava obrade mojih podataka u određenom trenutku?

Odeljenje za matičnu evidenciju Sektora za ostvarivanje prava iz penzijskog i invalidskog osiguranja PIO fonda odgovorilo je na zahtev za ostvarivanje prava, u prekoračenju zakonom predviđenog maksimalnog roka od 15 dana od dana podnošenja zahteva.

Odgovori su uglavnom preuzeti iz odredbi Zakona o penzijskom i invalidskom osiguranju, dela koji reguliše obradu podataka i vođenje matične evidencije o osiguranicima i korisnicima prava. Pored navođenja podataka o ličnosti koji se unose u matičnu evidenciju, navedeno je da Fond unosi u matičnu evidenciju podatke o osiguranicima, korisnicima prava iz penzijskog i invalidskog osiguranja i obveznicima plaćanja doprinosa za penzijsko i invalidsko osiguranje; da se podaci prikupljaju i unose na osnovu prijava podnesenih na propisanim obrascima; da se podaci koriste prilikom ostvarivanja prava iz penzijskog i invalidskog osiguranja i za statistička istraživanja; da podaci koji se unose u matičnu evidenciju ne služe za dalju distribuciju široj javnosti i da Fond nema zakonska ovlašćenja da te podatke dostavlja trećim licima; kao i da se prijave podataka čuvaju najmanje 30 godina od dana sticanja prava i ne manje od 10 godina od dana prestanka prava.

Precizniji odgovori nedostaju kada su u pitanju vrste obrade podataka koje PIO fond sprovodi, svrhe obrade podataka, kao i ko su korisnici podataka, koji se podaci koriste, po kom pravnom osnovu i u koje svrhe se podaci koriste.

Zaključak

Regulisanje obaveze vođenja Matične evidencije, precizno definisanje podataka o ličnosti koji se vode u Matičnoj evidenciji zakonskom odredbom, u ovom slučaju članom 125 Zakona o penzijskom i invalidskom osiguranju, kao i jasna svrha za orbadu ovih pdoataka predstavlja dobro rešenje, koja je u skladu sa članom 42 stav 2 Ustava Republike Srbije kojim je uređeno da se obrada podataka uređuje zakonom. Ipak čini se da je osnivanjem Centralnog registra obaveznog socijalnog osiguranja došlo do određenih promena u odnosu na grupe podataka o ličnosti koji se vode u Matičnoj evidenciji te bi član 125 Zakona o penzijskom i invalidskom osiguranju (koji reguliše grupe podataka o ličnosti) trebalo izmeniti i uskladiti sa novim okolnostima.

Matična evidencija je blagovremeno registrovana kao zbirka podataka o ličnosti u Centralnom registru koji vodi Poverenik, ali obzriom da je od tada došlo do određenih promena u obradi podataka, a naročito osnivanjem Centralnog registra obaveznog socijalnog osiguranja, potrebno je da se ovi podaci ažuriraju.

Interni akti koji regulišu određene aspekte upravaljanja i pristupa podacima iz Matične evidencije predstavljaju pre svega zastarele a u nekim aspektima i nerazumljive akte. Dok je suvišno obrazlagati prevaziđenost Pravilnika iz 1998. godine, skrenuli bismo pažnju na konfuziju koju može izazvati Instrukcija iz 2010. godine. Naime, iako je njen cilj da ustanovi procedure za zaposlene u PIO fondu u slučajevima kada se građani obraćaju sa zahtevima u vezi podataka o ličnosti, na samom početku se navodi definicija podataka iz Zakona o slobodnom pristupu informacijama od javnog značaja a ne definicija podataka iz Zakona o zaštiti podataka o ličnosti, što usmerava zaposlene iz PIO fonda na potpuno drugačiji pravni osnov i vrstu zahteva.

Sa druge strane činjenica je da je u PIO fondu uveden standard ISO 9001 – Sistem upravljanja kvalitetom te da je PIO fond sertifikovan i po zahtevima standarda ISO 27001 Sistem upravljanja bezbednošću informacija. U tom smislu dokumenta koja su izrađena u skladu sa ISO standardima predstavljaju dobra rešenja koja uređuju brojna pitanja vezana za odgovornosti i pravila u vezi sa zaštitom podataka o ličnosti i koja u mnogome smanjuju rizik od evenutalne povrede prava na zaštitu podataka o ličnosti.

ORGANIZACIONI ASPEKTI OBRADE PODATAKA

Lice za zaštitu podataka o ličnosti

U Republičkom fondu za penzijsko i invalidsko osiguranje postoji lice zaduženo za bezbednost informacija, koja bi trebalo da uključuje i zaštitu podataka o ličnosti. Radno mesto direktora IT sektora podrazumeva odgovornost za bezbednost informacija. On je određen u skladu sa zahtevima standarda ISO 27001, gde mora postojati predstavnik rukovodstva za bezbednost informacija.

U PIO fondu, sa druge strane, ne postoji teritorijalna distribucija odgovrnosti za bezbednost informacija, a posebno podataka o ličnosti. Jedno od potencijalno aplikativnih i dobrih rešenja za distribuiranje odgovornosti za bezbednost informacija među zaposlenima PIO fonda, može biti dobra praksa primenjena u Republičkom fondu za zdravstveno osiguranje (RFZO). Naime, oba fonda imaju sličnu strukturu, sa pokrajinskim delovima, filijalama i ispostavama. U okviru PIO fonda postoji 35 filijala širom Srbije, sa velikim brojem ispostava.

U takvoj organizaciji, odgovornost za bezbednost informacija, posebno za zaštitu podataka o ličnosti, trebalo bi da bude distribuirana na više nivoa. Na prvom nivou, odgovornost bi trebalo da postoji u Direkciji PIO fonda u Beogradu. U trenutnoj organizaciji, ta odgovornost je na direktoru sektora informacionih tehnologija. Na drugom nivou bi odgovorna lica trebalo da budu direktori filijala, dok bi određeni nivo odgovornosti trebalo definisati i za rukovodioce u ispostavama PIO fonda.

S obzirom da je PIO fond sertifikovan po zahtevima standarda ISO 27001 sistema upravljanja bezbednošću informacija, odgovornosti imenovanih lica uključuju:

Obezbeđivanje razvoja adekvatnih kontrola u skladu sa osetljivošću resursa kome se pristupa
Obezbeđivanje da samo autorizovani korisnici imaju imaju pravo pristupa resursima koji su u njihovoj nadležnosti i poštovanje usvojenih procedura
Obezbeđivanje da svi korisnici nakon promene radnog mesta ili prekida radnog odnosa prođu zvaničnu proceduru promene prava pristupa

Pored navedenih organizacionih i tehničkih odgovornosti imenovanih lica, u opis njihovih nadležnosti je poželjno dodati pitanja koja su vezana i za organizacionu kulturu zaposlenih u PIO fondu, te su uključene i dodatne odgovornosti:

sprovođenje određene politike o zaštiti podataka o ličnosti među zaposlenima;
promovisanje zaštite podataka o ličnosti među zaposlenima radi shvatanje njihove uloge u zaštiti podataka
organizovanje edukacije iz oblasti zaštite podataka o ličnosti za zaposlene;
izveštavanje rukovodstva o nivou zaštite podataka i predlaganje mera za podizanje nivoa zaštite i dr.

Deo ovih nadležnosti je trenutno dodeljen lokalnim koordinatorima, ali se tu postavlja pitanje hijerarhijskog nivoa u organizaciji na kome se nalaze lokalni koordinatori.

Posebnu pažnju je potrebno obratiti na zaštitu podataka o ličnosti na nivou ispostava, koje se nalaze u manjim mestima, gde je mnogo veća verovatnoća da zaposleni u PIO fondu lično poznaju korisnike, te i interes za neovlašćen pristup podacima o ličnosti može biti veći.

Edukacija

Postojeće stanje: U Republičkom fondu za penzijsko i invalidsko osiguranje je sprovedena obuka zaposlenih za primenu zahteva standarda ISO 27001 – Sistem upravljanja bezbednošću informacija.. Posebna pažnja je prilikom obuka posvećena zaštiti podataka o ličnosti, s obzirom da većina dokumenata kojima upravlja PIO fond sadrži podatke o ličnosti korisnika. Istovremeno, na internom portalu PIO fonda postoje određene instrukcije za postupanje u skladu sa Zakonom o zaštiti podataka o ličnosti. Pored toga, u PIO fondu postoji i Priručnik za zaposlene u pogledu zaštite informacija.

Svi zaposleni PIO fonda, ali i eksterni dobavljači koji svoje poslove obavljaju u prostorijama PIO fonda, potpisali su izjave o odgovornosti (poverljivosti).

Preporuka: Opisane instrukcije se odnose na načine ostvarivanja prava na pristup podacima o ličnosti i zakonskim obavezama PIO fonda u tim slučajevima, pre svega od strane trećih lica, odnosno korisnika. Instrukcije bi svakako trebalo dopuniti primerima dobre, odnosno loše prakse u vezi sa zaštitom podataka o ličnosti. Postoje brojni primeri narušavanja zaštite podataka o ličnosti u drugim institucijama, i takve primere bi trebalo uključiti u instrukcije, kako bi zaposleni stekli širu sliku o tome šta predstavlja kršenje Zakona (namerno ili nenamerno). Na taj način će instrukcije postati mnogo svrsishodnije.

PIO fond upravlja velikom količinom podataka o ličnosti te je od izuzetne važnosti uvesti kontinuiranu edukaciju zaposlenih iz ove oblasti. Takođe, trebalo bi definisati vremenske intervale u kojima se organizuju testiranja znanja zaposlenih iz ove oblasti, kako bi rukovodstvo PIO fonda na svim nivoima imalo konstantna saznanja o stanju sistema u pogledu zaštite podataka o ličnosti.

Pristup zaposlenih Matičnojevidenciji

Postojeće stanje: U PIO fondu je razvijen sistem korisničkih uloga sa različitim pravima pristupa. Pristup je određen kombinacijom korisničkog imena i šifre, koja je vezana za svakog zaposlenog. Prilikom svakog pristupa bazi evidentira se, upisom u odgovarajuće fajlove, i ko je, kada i gde pristupio bazi i koju akciju je radio. Logovi se čuvaju mnogo duže od 30 dana, dok se logovi o matičnoj evidenciji čuvaju godinama. Osnov pristupa se ne beleži, ali je pristup bazi od strane jednog zaposlenog ograničen na predmete za koje je zadužen, i nema mogućnost pretraživanja baze po bilo kom kriterijumu.

Ne postoje zaposleni koji imaju pun pristup svim korisničkim imenima i lozinkama. Nijedan zaposleni ne može pristupiti nijednoj lozinki. Administratori sistema imaju mogućnost da promene i generišu novu lozinku i proslede je zaposlenom. Lozinka generisana na taj način mora biti promenjena u određenom, softerski definisanom periodu. Ne postoje master šifre pomoću kojih se mogu vršiti sve akcije na podacima iz baze. Lozinke moraju da zadovolje 3 od 4 opšteprihvaćena sigurnosna pravila u vezi sa složenošću lozinke.

Pristup podacima iz matične evidencije je omogućen svim zaposlenima koji učestvuju u ostvarivanju prava penzijskog i invalidskog osiguranja. Obim prava pristupa zavisi od vrste posla kojim se bave zaposleni. Deo ovlašćenja definiše ovlašćeno lice u Direkciji PIO fonda, po zahtevu direktora organizacionih jedinica (sektora), a deo direktor organizacione jedinice fonda. Postoje tri nivoa pristupa. Proces se odvija tako što rukovodilac (u slučaju filijale), na osnovu rada na terenu šalje zahtev svom Sektoru u Direkciji PIO fonda, u kome su navedena potrebna ovlašćenja za konkretnog zaposlenog. Nakon odobravanja, u tom slučaju odgovorni Sektor prosleđuje odobreni zahtev Sektoru za informacione tehnologije koji kreira korisnički nalog sa odgovarajućom šifrom.

U sistemu u kojem su definisane korisničke role, ključan je proces dodeljivanja korisničkih uloga, odnosno kreiranja novih korisnika i njemu je potrebno posvetiti posebnu pažnju.

Preporuka: Pre svega, opravdano je postaviti pitanje efektivnosti definisanja samo tri nivoa pristupa podacima, tačnije pitanje fleksibilnosti koje pruža takav sistem. Pretpostavka je da neće doći do situacije da određeni zaposleni nemaju pristup podacima koji su im potrebni za obavljanje svakodnevnih radnih aktivnosti, ali baš zato što ima samo tri nivoa pristupa postoji mogućnost da će određeni zaposleni imati pristup većoj količini podataka nego što im je potrebna, čime dolazi do povećanja rizika.

Takođe, definisanje ovlašćenja bi trebalo da bude isti proces kao što je određivanje radnog mesta zaposlenog, odnosno samim određivanjem radnog mesta zaposlenog bi trebalo da budu definisana i njegova ovlašćenja. Međutim, ukoliko je uveden sistem korisničkih rola, on bi trebalo da prepoznaje tipske role koje su vezane isključivo za radna mesta zaposlenih. U tom slučaju, nakon angažovanja novog zaposlenog, ili promene radnog mesta postojećeg, zaposleni iz Sektora za ljudske resurse bi trebalo da obaveste IT službu o promeni i zaposleni bi po automatizmu (u skladu sa radnim mestom) trebalo da dobije određena prava pristupa. U tom slučaju, opisani proces bi se sprovodio samo prilikom promene sistematizacije, ukidanja, promene ili uvođenja novih radnih mesta. Takođe, na taj način se eliminiše rizik da zaposleni na istim radnim mestima imaju različite nivoe pristupa.

Sektor za održavanje informacionog sistema

Postojeće stanje: Na nivou Direkcije PIO fonda postoji Sektor informacionih tehnologija koji je zadužen za održavanje i implementaciju informacionog sistema. Takođe, u njihove nadležnosti spada i izgradnja jedinstvenog informacionog sistema (JIS) i sa tim povezana migracija podataka matične evidencije u Oracle bazu. Informacioni sistem je u potpunosti razvijen unutar PIO Fonda, od strane zaposlenih IT stručnjaka u Sektoru informacionih tehnologija, što govori o stručnosti zaposlenih. Održavanje informacionog sistema je takođe odgovornost Sektora za informacione tehnologije, za sve filijale na teritoriji centralne Srbije (za filijale u Vojvodini je odgovoran Pokrajinski fond). PIO fond nema izraženih problema sa odlaskom stručnjaka iz ove oblasti, već je fluktuacija u normalnim granicama i odnosi se pre svega na redovnu (starosnu) fluktuaciju.

Sektor za informacione tehnologije ima oko 120 zaposlenih, ali je preko 70 angažovano na poslovima obrade podataka, tako da je oko 50 zaposlenih angažovano na poslovima razvoja i održavanja informacionog sistema.

Postoje spoljne firme koje su angažovane na određenim poslovima održavanja i razvoja informacionog sistema. Svi zaposleni kod ovih firmi moraju biti navedeni u ugovoru o pružanju konsultantskih usluga, i svi moraju pojedinačno potpisati izjave o poverljivosti u okviru ugovora. U okviru PIO fonda za svaki ugovor te vrste postoji odgovorno lice (imenovani zaposleni), koji mora biti prisutan prilikom dolaska pružalaca usluge na lokaciju PIO fonda i njegova je odgovornost da niko ko nije naveden u ugovoru ne sme pristupiti informacionom sistemu PIO fonda. Dalje, kada pristupaju podacima u bezi, eksterna lica to rade preko korisničkih naloga kreiranih posebno za te svrhe i uz prisustvo odgovornog lica iz PIO fonda. Pristup se obavlja na posebnim kompjuterima koji nemaju pristup internetu.

Evidencija u papirnoj formi

Postojeće stanje: U papirnoj formi postoje prijave podataka za matičnu evidenciju, i one se nalaze u filijalama i ispostavama. Kada se unese broj propisan internim aktima PIO fonda, dokumenta se šalju u Direkciju PIO fonda, nadležnom Odeljenju za mikrofilmovanje i skeniranje. Ukoliko neko od zaposlenih želi da pristupi podacima u papirnoj formi, ne evidentira se pristup, niti se beleži razlog pristupa. Međutim, postoje određene objektivne okolnosti koje dovode do smanjenja rizika. Naime, dokumenta u papirnoj formi postoje samo određeno vreme, jer se posle mikrofilmovanja uništavaju. Kasniji pristup mikrofilmovima pretpostavlja pretragu elektronske baze, jer je to jedini način za pronalaženje fizičke pozicije mikrofilma. O pretrazi se čuvaju svi podaci, tako da to predstavlja preventivnu meru zaštite podatka o ličnosti.

Preporuka: Radi daljeg smanjenja rizika, uvesti jasnu proceduru za čuvanje podataka u papirnoj formi, u kojoj će biti definisano: gde se čuvaju podaci, ko ima pravo pristupa, ko je odgovoran za čuvanje i za evidentiranje pristupa, i druga pitanja od najveće važnosti.

ISO standardi

Postojeće stanje: U Republičkom fondu za penzijsko i invalidsko osiguranje je uveden standard ISO 9001 – Sistem upravljanja kvalitetom, kao bazni standard serije. Takođe, PIO fond je sertifikovan i po zahtevima standarda ISO 27001 Sistem upravljanja bezbednošću informacija. Prva sertifikacija po ovom standardu je urađena 2014. godine, dok je resertifikacija sprovedena 2015 godine. Na osnovu dostavljene dokumentacije može se zaključiti da su zahtevi standarda ispunjeni u potpunosti.

Zaključak

U Republičkom fondu za penzijsko i invalidsko osiguranje posvećuje se znatna pažnja zaštititi podataka o ličnosti, dok su u toj oblasti uvedena značajna organizaciona i tehnička rešenja. Preporuke date u ovom delu izveštaja mogu dodatno da podignu sposobnost sistema da ispuni sva očekivanja zainteresovanih strana u pogledu zaštite podataka o ličnosti.

Republički fond za penzijsko i invalidsko osiguranje je sertifikovan po zahtevima standarda ISO 27001 Sistem upravljanja bezbednošću informacija, što potvrđuje izuzetno dobro stanje sistema za upravljanje bezbednošću informacija.

TEHNIČKI ASPEKTI OBRADE PODATAKA

Opšte tehničke informacije i struktura sistema

U dosadašnjem poslovanju PIO fonda, svaka filijala je samostalno skladištila podatke za Matičnu evidenciju, dok je odnedavno sve centralizovano u data centrima u Beogradu i Novom Sadu. Filijale imaju svoje servere, dok se u ispostavama nalaze terminali koji se vežu za server u adekvatnoj filijali. Za prikupljanje, obradu i skladištenje podataka o ličnosti, PIO fond koristi ukupno 31 virtuelnu mašinu, 5 uređaja za skladištenje i 38 fizičkih servera. Svi serveri su u vlasništvu PIO fonda i nalaze se u data centrima u Beogradu i Novom Sadu, gde su takođe i centralni serveri na kojima se vrše obrada i skladištenje podataka o matičnoj evidenciji – ukupno 15 servera. Takođe, postoji 24 virtuelnih servera za filijale, odnosno svaka filijala ima svoj server, 5 servera za pregled skenirane arhive, aplikacija i Spidera, 4 servera za razmenu podataka sa drugim institucijama i 4 servera za elektronsku poštu. Na svim serverima se nalaze podaci o Matičnoj evidenciji, osim na serverima za elektronsku poštu.

Pristup internetu

Sajt PIO fonda (www.pio.rs) hostuje EUnet DOO. Ugovor o hostingu je samostalno nabavljen i zaključen kroz otvorenu javnu nabavku, preko ISO standarda 27001:2013. Internet provajder PIO fonda je Telekom Srbija.

Sajt nije direktno povezan sa Matičnom evidencijom, već se Matičnoj evidenciji pristupa kroz DMZ (Demilitarised Zone), što znači da celokupni saobraćaj koji ide u bazu, odnosno upiti koji se šalju Matičnoj evidenciji, prolazi kroz servere koji filtriraju maliciozne upite. Ukoliko korisnik usluga PIO fonda želi da proveri svoje podatke, on pristupa sajtu i unosi određene parametre – JMBG, PIN i verifikacioni kod. Sajt prosleđuje te parametre namenskom delu sistema, gde se nalaze isključivo podaci koji su dostupni korisnicima. To znači da korisnici ne pristupaju Matičnoj evidenciji, već njenj replici.

*Opšte informacije*
*Naziv ustanove*	Republički fond za penzijsko i invalidsko osiguranje
*URL*	http://www.pio.rs/lat/
*Datum vršenja analize*	27.04.2015.
*WHOIS pretraga*
*Ime i Prezime*	Zoran Sutara
*Adresa*	Dr Aleksandra Kostića 9, Beograd
*Provider*	EUnet D.O.O
*URL Provajdera*	http://www.eunet.rs/
*Registrator*	EUnet D.O.O
*URL Registratora*	http://www.eunet.rs/
*Država*	Srbija
*Nmap*
*Broj otvorenih portova*	3
*Broj filtriranih portova*	939
*Broj zatvorenih portova*	58
OS	Linux 2.6.22-2.6.23
*Bezbedan (Nmap)*	Da
*IP v4*	217.26.211.188
*IP v6*	/
*MAC*	/

VPN i Cloud usluge

S obzirom na rasprostranjenost PIO fonda na čitavoj teritoriji Republike Srbije, postoji više od 160 organizacionih jedinica (filijala i ispostava), te je korišćenje VPN usluga neizbežno. Sinhronizacija između filijala i ispostava vrši se u realnom vremenu (terminal u ispostavi radi direktno na serveru koji se nalati u filijali). Lica koja ne koriste VPN usluge su eksterna, tehnička lica koja održavaju informacioni sistem kojem nemaju pristup van zgrade PIO fonda. Provajder ovih usluga je Telekom Srbija.

PIO fond ne koristi Cloud usluge i ne postoje planovi da se to promeni.

Serverska podešavanja

Sektor Informacionih tehnologija PIO fonda razvio je celokupni informacioni sistem kao i Matičnu evidenciju o osiguranicima, obveznicima plaćanja doprinosa i korisnicima prava iz penzijskog invalidskog osiguranja. Takođe, oni samostalno održavaju taj informacioni sistem na svim lokacijama centralne Srbije, koji postoji već 30 godina.

Zbog rasprostranjenosti PIO fonda, sinhronizacija podataka između servera u filijalama i centrali vrši se jednom dnevno (na kraju radnog vremena). Vrsta baze Matične evidencije u Beogradu je Cobol, dok je u Novom Sadu baza IBM. Cobol je prilično zastarela tehnologija koja ne inkorporira savremene trendove upravljanja podacima i bezbednosne procedure za zaštitu podataka, ali se ne može reći da je ova tehnologija nepouzdana. Njena pozitivna strana ogleda se u tome što u novije vreme retko ko poznaje dovoljno dobro za uspešan napad. U svakom slučaju, u toku je unapređenje baze na savremeniju Oracle tehnologiju.

Prilikom svakog pristupa bazi evidentira se razlog pristupa i to upisom u fajlove iz kojih se vidi ko je, kada i gde pristupio bazi i koju radnju je izvršio. Realizacija pojedinačnih kadrovskih mera zaštite podataka se odvija dodeljivanjem odgovarajućih šifara i lozinki za rad zaposlenom u čijoj je nadležnosti uvid u podatke uz prethodno pisano odobrenje neposrednog rukovodioca, tako da se u svakom trenutku mogu proveriti lica koja imaju mogućnost pristupa podacima. Tu pojedinačnu šifru i lozinku poznaje samo zaposleni kome se one dodeljuju.

Šifre i lozinke se ukidaju po napuštanju PIO fonda ili prestanku ovlašćenja za pristup podacima. Na svakom aktu se šifra i ime i prezime zaposlenog moraju podudarati. Dodeljivanje šifara i lozinki se vrši u Direkciji PIO fonda, na osnovu pisanog zahteva koji se dostavlja direktno Sektoru za informacione tehnologije. Korisničko ime i lozinka su vezani za konkretnog zaposlenog.

Radna mesta koja imaju pristup svim korisničkim imenima i lozinkama (sistem administratori) direktno i isključivo su vezana za osobe koje vrše dodelu ovlašćenja. Samo zaposleni koji rade na poslovima ostvarivanja prava iz penzijskog i invalidskog osiguranja i poslovima vođenja matične evidencije, imaju mogućnost pristupa podacima osiguranika i korisnika prava iz penzijskog i invalidskog osiguranja.

Kada je reč o kreiranju lozinke, zaposleni moraju poštovati pravila i koristiti kombinacije velikih i malih slova, specijalnih znakova, a lozinka se mora sastojati od više od 8 znakova. Postoji određen vremenski period nakon kojeg zaposleni mora promeniti svoju lozinku.

Na primerku svakog dokumenta PIO fonda koji sadrži podatke o ličnosti, nalazi se i pečat, potpis i šifra zaposlenog koji je imao pristup podacima. Dakle, za svakog zaposlenog se, ukoliko i neovlašćeno daje podatke, može utvrditi da li je izdao pojedinačni dokument.

PIO fond poseduje veliki broj različitih fajlova u kojima se čuvaju informacije o tome ko je koji podatak i kada uneo, promenio ili izbrisao (log fajlovi), a takođe poseduje i informacije ko je i kada pristupao podacima iz Matične evidencije. Fond poseduje više servera, jer je obrada podataka za Matičnu evidenciju distribuirana.

Politika bezbednosti informacija koju PIO fond koristi ima za cilj da uspostavi, sprovodi, održava i poboljšava sistem bezbednosti informacija ispunjavajući zahteve standarda ISO 27001:2013 i svih relevantnih propisa u oblasti bezbednosti informacija.

Namena Politike bezbednosti informacija jeste da obezbedi i zaštiti informacije i imovinu preduzeća od svih pretnji, internih ili eksternih, slučajnih ili namernih, kroz uspostavljanje, primenu, izvršavanje, nadziranje, preispitivanje, održavanje i poboljšanje sistema upravljanja sigurnošću informacija (ISMS). Sprovođenje ove politike i pravila važno je za održavanje integriteta informacionog sistema PIO fonda u pružanju podrške procesima rada, zaposlenima kao i drugim zainteresovanim stranama.

Politika bezbednosti i zaštite obezbeđuje i garantuje:

– da će informacije biti zaštićene od neovlašćenog pristupa;

– da će se održavati poverljivost informacija;

– da informacije neće biti otkrivene neovlašćenim osobama, slučajnim ili namernim aktivnostima;

– da će integritet informacija biti sačuvan kroz zaštitu od neovlašćene izmene;

– da će biti omogućen pristup i izmena informacija ovlašćenim licima kada je to potrebno;

– da će biti obezbeđena usaglašenost sa propisima i zahtevima kontrole;

– da će biti pružena podrška ovoj politici kroz kontinuirane poslovne planove koji će se uređivati, održavati i testirati u stalnom praktičnom radu;

– da će se obuka zaposlenih obavljati kroz sve organizacione delove Fonda i

– da će sve povrede bezbednosti informacija i sigurnog rukovanja informacijama biti razmatrane i istražene.

Svi zaposleni koji učestvuju u postupku ostvarivanja prava iz penzijskog i invalidskog osiguranja imaju pravo pristupa bazi, s tim što obim prava pristupa bazi podataka zavisi od vrste posla kojim se bave i ovlašćenja koja imaju u vezi sa tom vrstom posla, što je propisano odgovarajućim procedurama urađenim po zahtevima standarda ISO 27001.

Preduzete mere zaštite podataka prema Centralnom registru Poverenika za informacije od javnog značaja i zaštite podataka o ličnosti su: Identifikacija zaposlenih koji pristupaju zbirci podataka, jasno i određeno pravo pristupa (autorizacije) dodeljivanjem šifre zaposlenima koji rade na njihovom izdavanju.

PIO fond ima propisanu proceduru ukoliko dođe do incidenta od strane zaposlenih. Takođe, u Novom Sadu se nalazi sigurnosna kopija (backup) cele Matične evidencije koja se čuva na posebnim trakama u vatrostalnim sefovima.

Pristup Trećih lica

Pristup podacima registrovanim u matičnoj evidenciji imaju fizička lica i to onim podacima koji se na njih odnose, uz prethodno podnošenje zahteva za dobijanje PIN koda, preko internet aplikacije. Korisnici svojim podacima pristupaju unošenjem JMBG-a, PIN i verifikacionog koda na sajtu PIO fonda – Elektronski servis za građane (https://servisi.pio.rs/gradjani/modules/login/).

Državni organi nemaju direktan pristup evidenciji, već podnose zahtev elektronskim servisom.

Tehnička, eksterna lica koja održavaju informacioni sistem potpisuju izjavu o poverljivosti. Ova lica nemaju pristup sistemu PIO fonda, odnosno ne koriste VPN usluge. Dodeljeni su im posebni korisnički nalozi sa ograničenim pristupima, a izmene na sistemu vrše isključivo uz prisustvo odgovornog lica PIO fonda. Rade na posebnim kompjuterima koji nemaju pristup internetu. U dosadašnjem radu, PIO fond se nije susreo sa kršenjem izjava o poverljivosti u IT sektoru.

Zaključak

PIO fond ima kompleksan sistem za prikupljanje, obradu i skladištenje podataka o ličnosti koji je centralizovan na dva mesta, u Beogradu i Novom Sadu. Celokupna obrada podataka vrši se na centralnim serverima u Beogradu i Novom Sadu. Kao pozitivnu praksu možemo izdvojiti to što PIO fond za razmenu podataka sa drugim institucijama koristi specijalizovane servere isključivo za tu namenu.

Na nivou bezbednosnih politika primenjuju se ISO standardi 27001;2013, dok se sva pretraživanja baze putem interneta filtriraju kroz DMZ što u velikoj meri smanjuje mogućnost za napade na bazu podataka, čime je obezbeđen integritet tih podataka. S obzirom na strukture PIO fonda koji je rasprostranjen na celoj teritoriji Republike Srbije, za komunikaciju između centrala i perifernih jedinica koristi se VPN, a sinhronizacija se vrši jednom dnevno na kraju radnog dana.

Ukoliko se interna pravila koja su u saglasnosti sa ISO standardima doslovno primenjuju u radu PIO fonda i s obzirom na tehničku postavljenost sistema, smatramo da je bezbednost podataka o ličnosti u PIO fondu na visokom nivou.

MEDIJSKA POKRIVENOST

Uvodna napomena

Sa druge strane, aktivno učešće institucija državne uprave u javnom dijalogu posvećenom zaštiti privatnosti i ličnih podataka koje prikupljaju i obrađuju, moglo bi se pokazati kao ključni doprinos daljem uređenju ove oblasti ali i sopstvenoj promociji kao značajnog aktera u zaštiti interesa građana.

PIO FOND – Istorijski pregled

Standardne teme kroz koje se mediji bave Republičkim fondom za penzijsko i invalidsko osiguranje, vezane su za probleme povezivanja staža, reforme samog sistema, korupcije i različitih zloupotreba. Sredinom 2000-tih formira se centralna baza od koje se očekuje da kroz javnost podataka omogući i zaposlenima i Fondu PIO da stalno proveravaju uplate poslodavca.

Usluga elektronskog uvida u matičnu evidenciju Fonda PIO postala je operativna 2010. godine a mediji prenose uputstva za korišćenje i opisuju prednosti servisa, kroz izjave nadležnih i saopštenja institucije. Aspekt zaštite podataka ne postavlja se kao posebno pitanje.

Narednih godina, uspostavljanjem instituta Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti, te rastom pažnje javnosti prema pravu na privatnost, Fond PIO pominje se kao jedna od institucija na koje se građani najčešće žale kancelariji Poverenika zbog zloupotreba ličnih podataka.

Krajem 2012. mediji otkrivaju da PIO prikuplja podatke o osiguranicima od poslovnih banaka, na osnovu nezakonitog ugovora kojim su se banke obavezale da obaveste Fond ukoliko klijent ne koristi novac sa računa duže od 6 meseci ili ukoliko duže od 12 meseci novac podiže samo ovlašćeno lice. Zbog pritužbi građana i medijskih napisa, Poverenik je tim povodom pokrenuo postupak nadzora nad sprovođenjem i izvršavanjem Zakona o zaštiti podataka o ličnosti u Republičkom fondu za penzijsko i invalidsko osiguranje, nakon čega je postupanje banaka i PIO fonda usklađeno za ZZPL-om.

DOKUMENTACIJA DOBIJENA OD POVERENIKA

Postupci nadzora

U Zapisniku o izvršenom nadzoru br. 164-00-00098/2011-07, od 14.06.2011. navodi se da je Poverenik izvršio nadzor nad PIO fondom zbog predstavke kojom je ukazano da se nezakonito obrađuju podaci o ličnosti osiguranika od strane PIO fonda i firme IT Excelence. Poverenik je izvršio nadzor isključivo u delu koji se odnosi na izvršavanje obaveza koje se tiču obezbeđenja i zaštite podataka o ličnosti. Naime, postojala je sumnja da je kompaniji IT Excelence dato administriranje, odnosno neovlašćen pristup informacionom sistemu PIO fonda, a sve u toku procesa implementacije softvera za jedinstvenu prijavu.

PIO fond je dalje opisao odnos sa IT Excelence i njihov pristup sistemu, i na kraju negirao ove tvrdnje. Objasnili su da je pristup bazama podataka strogo kontrolisan i propisan putem pravilnika i internih akata, tako da osim ovlašćenih osoba Fonda, niko drugi ne može pristupati informacionom sistemu, kako unutar Fonda, tako i eksterno putem interneta. Serverima, aplikacijama i bazama podataka mogu pristupati samo ovlašćeni radnici preko svojih korisničkih naloga, lozinki i posebnih šifara definisanih za svaku aplikaciju i bazu ponaosob. Na pitanje zašto je firmi IT Excellence dato administriranje informacionog sistema PIO Fonda kako je i predviđeno ugovornim obavezama, navedeno je da su ove obaveze “nesrećno napisane” i da IT Excellence nije imao, niti će imati mogućnost administriranja informacionim sistemom, kao i da nije došlo do neovlašćenog pristupa podacima iz baze podataka osiguranika Fonda PIO.

U Upozorenju Poverenika nakon obavljenog nadzora br. 164-00-00034/2011-07, od 17.08.2011., utvrđeno je da je nepoznati zaposleni PIO fonda kopirao lične podatke iz Matične evidencije osiguranika i dostavio ih trećem licu čiji to nisu bili podaci i koje nije imalo pravo da te podatke zahteva, čime je izvršena nedozvoljena obrada podataka, bez pristanka lica čiji se podaci obrađuju, odnosno, bez zakonskog ovlašćenja, gde se pod obradom podrazumeva i kopiranje, prenos i činjenje dostupnim trećem licu. Naime, listing PIO sa ličnim podacima određenog lica dostavljen je njegovoj ćerki kao dokaz u sudskom postupku u fotokopiji i originalu, koji je naknadno vraćen, što je lice kao tužilac, primilo kao prilog uz podnesak tužene u predmetu. Takođe, u Obaveštenju PIO Fonda, 02 broj 181-5014/11, od 05.09.2011., a u vezi sa Upozorenjem Poverenika, navedeno je da je u pitanju moguća svesna zloupotreba obrade podataka od strane određenog pojedinca a ne sistemski propust Fonda. U nastavku Obaveštenja su navedene sistemske organizacione i tehničke mere zaštite podataka o ličnosti.

U Upozorenju Poverenika nakon obavljenog nadzora, br. 164-00-00249/2012-07, od 11.02.2013., utvrđeno je da PIO fond vrši nedozvoljenu obradu podataka, odnosno vrši obradu bez zakonskog ovlašćenja ili pismene saglasnosti lica, tako što neovlašćenim licima izdaje uverenja iz matične evidencije koja ne glase na ime lica koje je uverenje tražilo, niti ima ovlašćenje za njegovo pribavljanje. Naime, u sudskom postupku se pojavilo uverenje koje sadrži podatke o radnom stažu lica, iako takvo uverenje lice nije tražilo, a uz prijavu je dostavljena i fotokopija uverenja, koju je izdao rukovodilac matične evidencije PIO fonda. U odgovoru PIO fonda, Filijale Novi Sad, navedeno je da je uverenje izdato na osnovu usmenog zahteva, uvidom u lična dokumenta, direktno na šalteru filijale, da dokumentacija na osnovu koje je izdato uverenje nije zadržana, da ne postoji dostavnica kojom se potvrđuje uručenje uverenja i da ovakva praksa proizilazi iz velikog broja zahteva osiguranika za izdavanje uverenja i da bi duže trajanje postupka imalo negativne posledice za osiguranike. Poverenik je dalje konstatovao da podnosilac zahteva nije dao saglasnost za obradu njegovih ličnih podataka, niti je dao ovlašćenje trećem licu za pribavljanje ovih podataka i predložio niz mera i aktivnosti koje treba preduzeti za otklanjanje nepravilnosti u postupku izdavanja uverenja o ličnim podacima osiguranika. U Obaveštenju Fonda u vezi sa Upozorenjem Poverenika, 02 broj 181-1816/13, od 25.03.2013., navedeno je da se Fond slaže sa upozorenjem i planira preduzeti sve potrebne mere kako bi se problem prevazišao.

U upozorenju Poverenika nakon obavljenog nadzora, br. 164-00-00456/2014-07, od 14.01.2015., konstatovano je da PIO fond nije preduzeo sve neophodne tehničke, kadrovske i organizacione mere zaštite podataka o ličnosti. Nalaz koji je za predmet imao procenu radne sposobnosti, a koji sadrži podatke o ličnosti određenog lica (ime i prezime, JMBG, broj lične karte, mesto i adresa) i naročito osetljive podatke (podaci o zdravstvenom stanju), donet u postupku utvrđivanja promena u stanju invalidnosti lica, iznet je iz zbirke podataka PIO fonda i objavljen na internet sajtu informativnog veb portala Soinfo.org. Dalje, Rukovalac, Direkcija Pokrajinskog fonda za penzijsko i invalidsko osiguranje, se izjasnio da se navedeni akt ne dostavlja stranci na koju se odnosi, već se obrađuje i čuva isključivo kod Rukovaoca podataka i da je navedeni nalaz mogao objaviti, odnosno učiniti dostupnim samo zaposleni kod Rukovaoca podataka, koji ima pristup tom dokumentu. Poverenik je zaključio da je Rukovalac podataka bio dužan da obezbedi striktnu primenu od strane zaposlenih Pravilnika o radnoj disciplini i ponašanju zaposlenih i Kodeksa poslovne etike i ponašanja zaposlenih u PIO fondu, kao i primenu samih odredbi člana 47 ZZPL, u vezi organizacionih i tehničkih mera zaštite podataka.

Razni dopisi

U dopisu PIO fonda Povereniku, br. 07-6572/13, od 25.10.2013., Fond je imao obavezu da odgovori na pitanja po kom pravnom osnovu i u koje svrhe vrši obradu podataka u vidu činjenja dostupnim podataka o ličnosti JP Srbija šume, RFZO-u i Upravnom sudu i konstatovao da u aktu Poverenika nije ukazano u čemu se konkretno sastoji neovlašćena obrada podataka, kao ni u čemu se konkretno sastoji nezakonitost obrade. Fond je dalje naveo da nije neovlašćeno dostavio podatke o ličnosti JP Srbija šume, RFZO-u i Upravnom sudu, ne navodeći konkretne detalje.

U dopisu Poverenika određenom licu, br. 164-00.00700/2013-07, od 13.11.2013., a povodom njegovog podneska sa zahtevom za pokretanje nadzora zbog neovlašćenog činjenja dostupnim njegovih podataka o ličnosti JP Srbija šume, RFZO-u, i Upravnom sudu, oštećeno lice se informiše da je postupak obustavljen jer nema dokaza za njegove tvrdnje. U dopisu se obrazlaže da lice nije dostavilo informacije koje tačno podatke je PIO fond neovlašćeno obrađivao (učinio dostupnim trećim licima) i gde su isti sadržani, kao i kojom tačno radnjom obrade su podaci učinjeni dostupnim trećim licima, što je onemogućilo utvrđivanje činjeničnog stanja. Takođe, uvid u podnetu dokumentaciju i izjave stranaka u postupku nisu ukazivale na to da je došlo do nezakonite obrade podataka, tako da nema mesta preduzimanju radnji i mera iz nadležnosti Poverenika u ovom slučaju.

Centar za socijalni rad

OPŠTI PODACI

Preuzmite pdf celog izveštaja

Podaci o osnovnoj delatnosti, sedištu, pravnim aktima, veb sajtu i slično

Gradski centar za socijalni rad Beograd osnovan je rešenjem Skupštine grada Beograda od 12. decembra 1991. godine kao jedinstvena ustanova za obavljanje socijalne zaštite i porodično-pravne zaštite građana Beograda.

Ključni propisi kojima se uređuje nadležnost Gradskog centra su: Porodični zakon (“Sl. glasnik RS”, br. 18/2005, 72/2011 – dr. zakon i 6/2015), Zakon o socijalnoj zaštiti (“Sl. glasnik RS”, br. 24/2011) i Odluka o pravima i uslugama socijalne zaštite (“Službeni list grada Beograda”, br. 55/2011, 8/2012, 42/2012, 65/2012, 31/2013, 57/2013 i 37/2014). Osim ovih, delatnost ustanove regulišu i Krivični zakon, Zakon o maloletnim učiniocima krivičnih dela i krivično-pravnoj zaštiti maloletnih učinilaca krivičnih dela, Zakon o medijaciji, Zakon o prekršajima, Zakon o finansijskoj podršci porodici sa decom.

Integracijom opštinskih centara za socijalni rad, Savetovališta za brak i porodicu i razvojno-istraživačkog Zavoda za proučavanje socijalnih problema, postavljen je organizacioni model Gradskog centra koji obuhvata 17 opštinskih odeljenja za socijalni rad, u čijoj je nadležnosti realizacija neposredne zaštite građana. U okviru Gradskog centra nalaze se Odeljenje za poslove planiranja i razvoja kojim se ostvaruje funkcija praćenja i proučavanja socijalnih problema i unapređivanja delatnosti; Savetovalište za brak i porodicu, kao odeljenje specijalizovano za savetodavno-terapijski, medijacijski, konsultativni i preventivni rad sa pojedincima, parovima i porodicama, kao i Odsek za opšte poslove i odsek za finansijsko-računovodstvene poslove.

U vršenju javnih ovlašćenja propisanih zakonom, Gradski centar odlučuje o pravima na novčanu socijalnu pomoć i na dodatak za pomoć i negu drugog lica, te na pomoć za osposobljavanje za rad. Takođe, u okviru nadležnosti Gradski centar pruža usluge smeštaja i neodložne intervencije, odlučuje o usvojenju, starateljstvu, određivanju i promeni ličnog imena deteta, te nadzoru nad vršenjem roditeljskog prava.

Dodatno u skladu sa Odlukom Skupštine grada Beograda o pravima i uslugama socijalne zaštite Gradski centar odlučuje o novčanoj pomoći, pomoći u kući, besplatnom obroku, stipendiji, privremenom smeštaju i stanovanju, uslugama podrške za samostalan život, socijalnom stanovanju, i drugim pitanjima iz svoje nadležnosti.

Na sajtu Gradskog centra nema opcije za pretragu. Među objavljenim dokumentima u rubrici ‘Propisi’ i odgovorima na česta pitanja, ne pominje se politika privatnosti ustanove ni pravni okvir za zaštitu podataka o ličnosti.

Adresa: Ruska 4, Beograd

E-mail: [email protected]

Internet sajt: www.gcsrbg.org

Informator o radu: http://www.gcsrbg.org/attachments/article/99/Informator%20o%20radu%20za%202015.pdf

PRAVNI ASPEKTI OBRADE PODATAKA

Zbirke podataka o ličnosti

U skladu sa ovlašćenjima i obavezama koje su propisane Porodičnim zakonom, Gradski centar vodi sledeće zbirke podataka o ličnosti:

Evidencija o usvojenoj deci
Evidencija o izdržavanim licima
Evidencija o licima prema kojima je izvršeno nasilje u porodici
Evidencija o licima koja su izvršila nasilje u porodici
Evidencija o maloletnim štićenicima
Evidencija o punoletnim štićenicima
Evidencija o hraniteljstvu
Korisnici prava na besplatni obrok
Korisnici prava na novčanu socijalnu pomoć

Prvih sedam navedenih zbirki ustanovljene su 2005. godine kada je Porodični zakon stupio na snagu. Sa druge strane evidencije o Korisnicima prava na besplatni obrok i Korisnicima prava na novčanu pomoć su ustanovljene Odlukom o pravima i uslugama socijalne zaštite grada Begrada. Budući da Gradski centar ima nadležnost samo na teritoriji grada Beograda, u ovim zbirkama se nalaze podaci samo onih lica koje imaju prebivalište na teritoriji Beograda.

Prema Centralnom registru Poverenika, Gradski centar vodi i evidenciju o zaposlenim licima u cilju izvršavanja ugovora o radu i drugih ugovornih odnosa, kao i evidenciju o video nadzoru u cilju obezbeđenja i povećanja bezbednosti zaposlenih i korisnika usluga Gradskog centra.

U vezi sa nadležnostima Gradskog centra koje su ustanovljene gradskom Odlukom o pravima i uslugama socijalne zaštite (novčana pomoć, privremeni smeštaj i drugo) nije poznato da li postoje faktičke evidencije podataka o ličnosti u vezi sa ovim poslovima, niti je obaveza vođenja ovih evidencija ustanovljena Odlukom. Ipak, Pravilnikom o organizaciji, normativima i standardima rada centra za socijalni rad (“Sl. glasnik RS”, br. 59/2008, 37/2010, 39/2011 – dr. pravilnik i 1/2012 – dr. pravilnik), član 85, propisano je vođenje Registra korisnika kao elektronske baze u kojoj se evidentiraju sva lica koja se prvi put obraćaju centru radi ostvarivanja prava, odnosno mera ili usluga socijalne zaštite, osim lica koja traže potvrde i uverenja.

Zbog velikog broja evidencija Gradskog centra, kao i njihovog različitog pravnog statusa i svrhe vođenja, kao reprezentativna uzeta je Evidencija o usvojenoj deci, te se dalja analiza svih aspekata obrade podataka o ličnosti odnosi samo na ovu zbirku podataka.

Pravni osnov

Pravni osnov za vođenje evidencije utvrđen je članom 327 Porodičnog zakona gde je navedeno da je Organ starateljstva (u ovom slučaju Gradski centar) dužan da vodi evidenciju i dokumentaciju o usvojenoj deci. Istim članom se u stavu 2 ističe da način vođenja evidencije i dokumentacije propisuje ministar nadležan za porodičnu zaštitu, što je uređeno Pravilnikom o načinu vođenja evidencije i dokumentacije o usvojenoj deci (“Sl. glasnik RS”, br. 63/2005). Ovim Pravilnikom utvrđena je svrha vođenja evidencije tako što je navedeno da se podaci koriste za jedinstveno evidentiranje usvojene dece.

Podaci o ličnosti

Podaci koji se upisuju u Evidenciju o usvojenoj deci su propisani članom 5 Pravilnika o načinu vođenja evidencije i dokumentacije o usvojenoj deci, i to su podaci o:

usvojeniku, pre i posle usvojenja (ime i prezime, datum i mesto rođenja, državljanstvo, jedinstveni matični broj građana, prebivalište);
usvojenikovim roditeljima (ime i prezime, datum rođenja, prebivalište, državljanstvo);
usvojiteljima (ime i prezime, datum rođenja, prebivalište, državljanstvo, bračni status usvojitelja – supružnici, vanbračni partneri, supružnik roditelja deteta, vanbračni partner roditelja deteta, lice koje samo živi);
vrsti srodstva sa usvojenikom (krvno srodstvo, očuh, maćeha, drugi srodnici po tazbini);
broju i datumu rešenja o usvojenju;
broju i datumu rešenja o novom upisu rođenja;
poništenju usvojenja (naziv suda, broj i datum presude i datum njene pravnosnažnosti);
nosiocu obaveze izdržavanja posle prestanka usvojenja;
drugim činjenicama (napomena).

U skladu sa nadležnostima Gradskog centra, u ovu evidenciju se unose podaci samo one dece koja imaju prebivalište, odnosno boravište u Beogradu i koja su usvojena odlukom Gradskog centra, kao i podaci roditelja i usvojitelja ove dece.

Pored Evidencije o usvojenoj deci postoji i Jedinstveni lični registar usvojenja, koji u skladu sa članom 316 Porodičnog zakona vodi ministarstvo nadležno za porodičnu zaštitu. Jedinstveni registar sadrži podatke o podobnim usvojiteljima i deci koja su podobna za usvojenje, i to u većem obimu nego što je to slučaj sa Evidencijom o usvojenoj deci, pa se tako u ovom registru, između ostalih, nalaze i podaci o zdravstenom stanju dece i potencijalnih usvojitelja. Jedinstveni registar se popunjava na osnovu podatka koje Organi starateljstva (pa i Gradski centar) dostavljaju u papirnom obliku Ministarstvu. Takođe, nakon usvojenja Gradski centar dostavlja rešenje o usvojenju Ministarstvu nadležnom za porodičnu zaštitu, ali zadržava i primerak za sebe, tako da se ovo rešenje kao i podaci o usvojenju koji se nalaze u njemu čuvaju i u Gradskom centru i u Ministarstvu.

Načini prikupljanja podataka o ličnosti

Konačno unošenje podataka u Evidenciju o usvojenoj deci vrši se na osnovu rešenja o usvojenju i rešenja o novom upisu rođenja, a u skladu sa članom 7 Pravilnika o načinu vođenja evidencije i dokumentacije o usvojenoj deci. Ipak, mnogi od ovih podataka se prikupljaju znatno ranije i to u postupku usvojenja koje vodi Gradski centar u skladu sa propisima, i to tako što sa jedne strane Gradski centar poseduje podatke o deci koja su podobna za usvojenje do kojih je došao u skladu sa svojim zakonskim nadležnostima, dok sa druge strane prikuplja podatke o potencijalnim usvojiteljima na osnovu njihovog pristanka. Ove podatke će Gradski centar uneti u obrazac USV-1 i obrazac USV-2 i preko njih će ih dostaviti Ministarstvu nadležnom za porodičnu zaštitu radi evidentiranja u Jedinstveni lični registar usvojenja. U daljem postupku usvojenja, Gradski centar koristi podatke iz Jedinstvenog registra koje vodi Ministarstvo, ali nema direktan pristup već sve podatke dobija od Ministarstva u papirnoj formi.

Centralni registar

Na samom početku istraživačkog procesa, tokom aprila 2015. godine, uočeno je da Gradski centar nije registrovao nijednu evidenciju o obradi u Centralnom registru zbirki podataka koji vodi Poverenik. Kasnije nam je, na sastanku sa sekretarom Gradskog centra, rečeno da je Poverenik skrenuo pažnu na ovaj propust, te je u maju registrovana Evidencija o zaposlenima u Gradskom centru, a zatim su tokom septembra registrovane i evidencije koje se odnose na podatke građana u vezi sa porodično-pravnom zaštitom, te ostale evidencije kao što su one o izdržavanim licima, hraniteljstvu, štićenicima i slično.

Tada je registrovana i Evidencija o usvojenoj deci, i to 7. septembra 2015. godine, iako je ova zbirka podataka uspostavljena još 2005. godine. Uvidom u informacije o ovoj zbirci podataka koje su objavljene u okviru Centralnog registra nisu uočene nelogičnosti i neslaganja sa ostalim informacijama koje su javno objavljene i do kojih smo došli tokom istraživačkog procesa.

Tokom septembra 2015. Gradski centar je registrovao i zbirku o video-nadzoru, koja se odnosi na kretanje lica u prostorijama Odeljenja GCSR u Beogradu.

Poslednje su registrovane evidencije o Korisnicima prava na besplatni obrok i Korisnicima prava na novčanu pomoć i to 11. februara 2016. godine.

Interni akti

Nismo došli do saznanja da postoje interni akti Gradskog centra koji uređuju zaštitu podataka o ličnosti ili načine obrade podataka o ličnosti.

Ministar nadležan za poslove socijalne zaštite je 2008. godine doneo Pravilnik o organizaciji, normativima i standardima rada Centra za socijalni rad, a koji se primenjuje u svim Centrima za socijalni rad na teritoriji Republike Srbije. Iako se u ovom aktu nigde ne pominje pojam ‘podatak o ličnosti’, u članu 14 se regulišu instituti poverljivosti i poverljivih informacija koji se mogu primeniti kako bi se zaštitile neke od vrednosti i principa koji se štite Zakonom o zaštiti podataka o ličnosti. Tako se poverljivim informacijama smatraju sve informacije o ličnim i porodičnim prilikama korisnika koje saznaju zaposleni u Gradskom centru, te imena i adrese korisnika i vrsta pružene usluge, podaci koji stoje u zahtevu korisnika, podaci koji stoje u izveštajima zdravstvenih ustanova za korisnika i sadržaj prepiske sa drugim ustanovama ili organizacijama, ako ta prepiska sadrži informacije o korisniku. Takođe, utvrđeno je da će se pristup podacima obezbediti nadležnom nadzornom organu, pravosudnim organima i policiji, korisniku na koga se podaci odnose, kao i njegovom zakonskom zastupniku, odnosno punomoćniku, dok je u ostalim situacijama neophodan pristanak korisnika kako bi se njegovi podaci učinili dostupni trećim licima.

Ovim Pravilnikom se u članu 32 definišu i obaveze voditelja slučaja koji je zadužen za konkretan slučaj i konkretnog korisnika, te je utvrđeno da ovo lice mora da poštuje privatnost korisnika i da čuva poverljivost informacija o korisniku.

Zahtev za ostvarivanje prava

Gradskom centru nismo uputili zahtev za ostvarivanje prava na obaveštenje, uvid i kopiju podataka o ličnosti. Budući da niko iz istraživačkog tima SHARE Fondacije nije bio korisnik usluga Gradskog centra, niti su se podaci bilo kog od naših članova obrađivali u okviru Gradskog centra, nije postojao osnov za upućivanje ovakvog zahteva.

Zaključak

Iako je po veličini, a naročito po tehničkim i organizacionim kapacitetima, Gradski centar najmanja od institucija koje su obuhvaćene ovim projektom, usled svojih brojnih nadležnosti predstavlja rukovaoca podataka koji vodi najveći broj zbirki podataka o ličnosti svojih korisnika. S obzirom na to da je nadležnost Gradskog centra ograničena na teritoriju Beograda, te da se u zbirkama podataka vode samo podaci užeg broja građana, tj. samo onih koji imaju potrebu za socijalnom i porodično-pravnom zaštitom, ove zbirke jesu manje obimom od ostalih zbirki koje smo analizirali, ali sa druge strane svaka od ovih zbirki sadrži različite podatke koji su po svojoj prirodi izuzetno osetljivi (podaci o usvojenju, podaci o nasilju u porodici, podaci o socijalnoj pomoći). U tom smislu, zaštita podataka o ličnosti bi morala biti jedan od prioriteta Gradskog centra, jer posledice usled povreda mogu biti daleko teže nego u drugim institucijama.

Imajući to u vidu, smatramo da je neophodno pristupiti izradi internog akta kojim bi se na detaljan način regulisala obrada podataka o ličnosti u zbirkama podataka koje vodi Gradski centar. Pravilnik o organizaciji, normativima i standardima rada Centra za socijalni rad, iako donekle reguliše pravila o poverljivosti podataka, suviše je uopšten i apstraktan akt da bi mogao da reguliše sve detalje u vezi obrade podataka o ličnosti, a pritom u potpunosti zanemaruje postojeći Zakon o zaštiti podataka o ličnosti i principe i pravila koji su njime uspostavljeni.

Pohvalna je činjenica da su u toku istraživačkog procesa po prvi put evidentirane zbirke podataka o ličnosti u Centralnom registru koji vodi Poverenik, te je ispunjena ova obaveza koja je propisana Zakonom o zaštiti podataka o ličnosti.

ORGANIZACIONI ASPEKTI OBRADE PODATAKA

Lice za zaštitu podataka o ličnosti

Postojeće stanje: U Gradskom centru za socijalni rad Beograd od decembra 2015. godine postoji lice zaduženo za zaštitu podataka o ličnosti.

Preporuka: S obzirom na delatnost kojom se bavi Gradski centar, a koja uključuje prikupljanje i obradu vrlo osetljivijih podataka o ličnosti, od presudne je važnosti da postoji i organizaciona odgovornost za zaštitu podataka o ličnosti.

Obim potencijalnih aktivnosti koje bi to lice trebalo da sprovodi verovatno ne opravdava formiranje posebnog radnog mesta za zaštitu podataka o ličnosti. Iz tih razloga, organizaciono rešenje problema bi trebalo tražiti u dodeli odgovornosti određenom licu, odnosno licima. Pored tako definisane odgovornosti, odnosno aktivnosti koje bi trebalo da obavlja, to lice bi trebalo da obavlja i druge poslove u skladu sa opisom svog radnog mesta.

Rešenjem direktora Gradskog centra postavljen je Sekretar Gradskog centra, po zanimanju diplomirani pravnik,kao lice zaduženo za zaštitu podataka o ličnosti, ali sa prilično uskim krugom odgovornosti koje obuhvataju postupanje sa zahtevima koji se odnose na informacije obrađivane u Kancelariji direktora, Odeljenju za poslove planiranja i razvoja i u Odseku za opšte poslove. U planu je proširivanje odgovornosti lica za zaštitu podataka o ličnosti.

U slučaju kršenja Zakona o zaštiti podataka o ličnosti, postoji odgovornost fizičkog lica i odgovornog lica kod pravnog lica, kao i odgovornost samog pravnog lica. Međutim, prilikom definisanja odgovornog lica za zaštitu podataka, akcenat je na organizacionoj odgovornosti. Na primer:

sprovođenje određene politike o zaštiti podataka o ličnosti među zaposlenima;
promovisanje zaštite podataka o ličnosti među zaposlenima radi razumevanja njihove uloge u zaštiti podataka;
organizovanje edukacije iz oblasti zaštite podataka o ličnosti za zaposlene;
izveštavanje rukovodstva o nivou zaštite podataka i predlaganje mera za podizanje nivoa zaštite i dr.

S obzirom na pobrojane odgovornosti, jasno je da bi lice zaduženo za zaštitu podataka u ovom smislu trebalo da bude lice koje se nalazi na pozicijama višeg hijerarhijskog nivoa. Praksa u privatnom sektoru ukazuje da bi to lice trebalo da bude član najvišeg menadžmenta. Međutim, s obzirom na specifičnu organizacionu strukturu Gradskog centra, u kojoj ne postoji najviši nivo menadžmenta, rešenje bi trebalo tražiti u uvođenju odgovornosti na dva nivoa. Na prvom nivou bi trebalo imenovati lice zaduženo za strateške stvari iz oblasti zaštite podataka o ličnosti na nivou Gradskog centra (Predlog – radno mesto sekretar Gradskog centra). Sa druge strane, budući da Gradski centar ima 17 opštinskih odeljenja sa statusom radnih jedinica, koje su i geografski i procesno, odnosno funkcionalno razdvojene, u svakom od opštinskih odeljenja bi trebalo da postoji lice zaduženo za zaštitu podataka o ličnosti, koje bi trebalo da ima neophodne odgovornosti za sprovođenje strateških odluka iz ove oblasti.

Edukacija

Postojeće stanje: U Gradskom centru za socijalni rad Beograd nije sprovođena formalna obuka zaposlenih o postojećoj regulativi (Zakon; standardi) iz oblasti zaštite podataka.

Preporuka: Svoju osnovnu delatnost Gradski centar obavlja kroz prikupljanje i obradu najosetljivijih podataka o ličnosti, te je od izuzetne važnosti uvesti kontinuiranu edukaciju zaposlenih iz ove oblasti. Takođe, trebalo bi definisati vremenske intervale u kojima bi trebalo organizovati testiranja znanja zaposlenih iz ove oblasti, kako bi Gradski centar konstantno imao uvid u stanje sistema u pogledu zaštite podataka o ličnosti.

Pristup zaposlenih reprezentativnoj zbirci podataka

Postojeće stanje: U Gradskom centaru za socijalni rad Beograd svi zaposleni na radnim mestima rukovodilaca odeljenja i službi, supervizora, voditelja slučaja, prijemnih i administrativnih radnika imaju pristup svim podacima koji se nalaze u elektronskoj zbirci podataka. Pristup je određen kombinacijom korisničkog imena i šifre, koja je vezana za svakog zaposlenog. Svaka promena učinjena nad podacima u bazi se beleži, ali se ne beleži pregled podataka u bazi, kao ni osnov pristupa podacima.

Pristup svim korisničkim imenima i lozinkama ima zaposleni na radnom mestu stručnog saradnika na poslovima primene i održavanja informacionog sistema.

Preporuka: Analizom procesa u Gradskom centru, došlo se do zaključka da je pristup podacima nepotrebno raširen među zaposlenima na različitim radnim mestima. Osnovni problem je nepostojanje sistema rola u informacionom sistemu, već svaki pristup informacionom sistemu znači i pristup svim podacima u sistemu, što je u slučaju delatnosti kojom se bavi Gradski centar nedopustivo.

Istovremeno, ceo sistem je potpuno decentralizovan, tako da zaposleni u upravnoj zgradi nemaju pristup podacima iz opštinskih odeljenja, bez obzira što se bave osnovnom delatnošću i postoji velika mogućnost da su im podaci realno potrebni. Dolazi se do paradoksalne situacije da, sa druge strane, svi zaposleni lokacijski raspoređeni u okviru nekog od opštinskih odeljenja mogu da pristupe svim podacima u bazi podataka, bez obzira na to što možda ni jedan od procesa rada u kojima učestvuju ne zahteva pristup podacima (npr. računovođa). Faktički, jednom godišnje se „izvlače“ podaci iz opštinskih odeljenja, ali samo u svrhu izrade statističkih izveštaja, kao osnove za planiranje i razvoj.

Prvi, krucijalni, korak unapređenja zaštite podataka o ličnosti u Gradskom centru za socijalni rad bi trebalo da bude promena informacionog sistema, u dva smera:

uvođenje sistema korisničkih uloga, koje su direktno u vezi sa procesima rada. Pristup svim podacima iz baze podataka bi trebalo ograničiti na rukovodioca odeljenja i službi u Gradskom centru, kao i
povezivanje opštinskih odeljenja u jedinstveni informacioni sistem.

Unapređenje bi trebalo sprovesti i u pogledu pristupa korisničkim imenima i šiframa. Naime, zaposleni na odgovornom radnom mestu bi trebalo da ima mogućnost da pristupa korisničkim imenima, dok bi u domenu korisničkih šifara trebalo samo da ima mogućnosti kreiranja i resetovanja, bez pregleda u svakom trenutku.

Dalje, u informacioni sistem bi trebalo obavezno implementirati funkciju automatskog prestanka sesije nakon određenog vremenskog intervala neaktivnosti korisnika (npr. zbog izlaska iz kancelarije; session timeout). Vremenski interval bi trebalo da bude određen tako da ne predstavlja preveliku smetnju zaposlenima u obavljanju radnih aktivnosti (predlog – 30 minuta).

Takođe, jedan od prioriteta bi trebalo da bude rešavanje situacije u kojoj zaposleni iz firme koja je kreirala postojeći informacioni sistem imaju pristup svim podacima u bazi, a sa tom firmom Gradski centar nema potpisan ugovor o poverljivosti podataka.

Na kraju, informacioni sistem mora beležiti i sve pristupe bazi podataka (preglede podataka), a ne samo promene. Neophodno je čuvati logove o tome koji korisnik je pristupio bazi, sa kog računara, kada i koju je akciju preduzeo nad kojim podacima.

Sektor za održavanje informacionog sistema

Postojeće stanje: U Gradskom centru za socijalni rad Beograd je sistematizovano radno mesto stručnog saradnika na poslovima primene i održavanja informacionog sistema, u okviru Službe za opšte poslove. Gradski centar ima potpisan ugovor sa firmom za održavanje računara, računarske mreže, reprografskih uređaja, telefaks uređaja i perifernih računarskih uređaja. Održavanje softverskog dela informacionog sistema u Gradskom centru je odgovornost firme koja je projektovala sistem.

Preporuka: Obim poslova održavanja mreže i računara ne opravdava postojanje posebnih radnih mesta za taj posao, te je angažovanje firme za obavljanje te delatnosti ekonomski i organizaciono opravdano.

Međutim, kao i u slučaju firme koja je projektovala informacioni sistem, u ugovoru o održavanju računara i računarske mreže ne postoji tačka koja se tiče poverljivosti podatka kojima zaposleni te firme pristupe prilikom obavljanja aktivnosti održavanja u Gradskom centru.

Evidencija u papirnoj formi

Postojeće stanje: U Gradskom centru postoji suštinska razlika između dokumentacije koja se čuva elektronski i dokumentacije koja se čuva u papirnoj formi. Naime, u elektronskoj formi se čuvaju samo dokumenti koje kreiraju stručna lica Gradskog centra (mišljenja, rešenja, odluke…), dok se svi drugi dokumenti (eksterni) koji predstavljaju ulaze u procese rada Gradskog centra čuvaju isključivo u papirnoj formi, u okviru dosijea.

Dosijei, u papirnoj formi, se čuvaju u improvizovanim arhivama, po opštinskim odeljenjima. Ne postoje radna mesta arhivara, niti na drugi način određena lica koja imaju odgovornost za čuvanje dosijea. Takođe, ne postoji procedura za pristupanje dosijeima, odnosno nisu definisana pravila zaštite dosijea, već su odluke o načinu zaštite ostavljene opštinskim odeljenjima. Takav pristup je doveo do situacije da u većini opština odluke, procedure i pravila za zaštitu dosijea uopšte nisu usvojene. Ovo pitanje trenutno određuju infrastrukturni uslovi u opštinskim odeljenjima, pa je tamo gde je „arhiva“ fizički smeštena iza leđa zaposlenih, pristup ograničen samo tom činjenicom, a tamo gde je „arhiva“ odvojena pristup uopšte nije ograničen.

Posmatrajući usvojenje dece, kao najosetljiviji proces rada Gradskog centra, čuvanje papirnih dokumenata odlikuje viši nivo zaštite podataka o ličnosti. Naime, kada se završi postupak usvojenja, dosije se stavlja u sef, a ključ od sefa ima samo rukovodilac službe i jedan radnik (ne radno mesto) koga rukovodilac odredi. Međutim, efekti ovakvog rešenja su zanemarljivi kada pristup elektronskom delu dokumentacije u sistemu imaju svi zaposleni u tom opštinskom odeljenju.

ISO standardi

Postojeće stanje: U Gradskom centru za socijalni rad Beograd nije implementiran nijedan standard iz ISO serije standarda.

Preporuka: U narednom periodu bi trebalo uvesti standard ISO 9001 – Sistem upravljanja kvalitetom, kao bazni standard, dok bi u sledećoj iteraciji trebalo težiti uvođenju standarda ISO 27001 Sistem upravljanja bezbednošću informacija koji, s obzirom na delatnost Gradskog centra predstavlja najbitniji standard ISO serije.

Nelogičnosti i propusti u organizacionoj strukturi

U toku analize procesa rada, sa fokusom na zaštitu podataka o ličnosti, utvrđene su i određene organizacione i procesne nelogičnosti. Na početku procesa, zaposleni na radnom mestu prijemni radnik (koji je stručno lice) pregleda dokumentaciju, unosi neophodne podatke u informacioni sistem, i na osnovu prirode slučaja, određuje dalji tok procesa, odnosno kretanje predmeta među odgovarajućim stručnim licima Gradskog centra. Međutim, u tom delu procesa prijemni radnik slučaj predaje administrativnom radniku koji unosi dokument nazvan „Zahtev“ u informacioni sistem Gradskog centra i povezuje sve papirne dokumente u košuljicu, odnosno formira dosije. Automatski, administrativni radnik vidi sve podatke o korisniku usluga Gradskog centra, a ne učestvuje ni u jednom stručnom delu procesa. Slučaj dalje, kroz dostavnu knjigu, dolazi do rukovodioca službe koji određuje voditelja slučaja.

Kao jedno od organizacionih rešenja, koje bi moglo da redukuje nepotreban pristup podacima o ličnosti, trebalo bi razmotriti uvođenje šifara. Prijemni radnik formira šifru slučaja, a administrativni radnik unosi Zahtev u informacioni sistem pod šifrom, bez uvida o osnovne podatke o korisniku usluge (ime i prezime, JMBG, drugi podaci nepotrebni za njegov deo procesa, a na osnovu kojih je moguće izvršiti identifikaciju korisnika). Rukovodilac službe ima pristup bazi u kojoj se nalaze podaci o ličnosti korisnika povezani sa šiframa slučaja (ukoliko je potrebno), i može nastaviti obavljanje svog dela procesa.

Zaključak

Gradski centar za socijalni rad Beograd predstavlja ključni element sistema socijalne zaštite i kao takav u svojim aktivnostima prikuplja, obrađuje i kreira dokumentaciju sa najosetljivijim podacima o ličnosti korisnika.

Međutim, trenutno stanje sistema zaštite podataka o ličnosti u Gradskom centru za socijalni rad Beograd nije na zadovoljavajućem nivou. Da bi se unapredilo stanje sistema, potrebno je sprovesti korenite promene u nekoliko oblasti, pre svega:

Unapređenje informacionog sistema (uvođenje korisničkih rola, povezivanje opštinskih odeljenja, ograničenje pristupa korisničkim šiframa, vremensko ograničenje trajanja sesije, i drugo);;
Unapređenje zaštite podataka u papirnom obliku (definisanje procedura, odgovornosti, poboljšanje infrastrukture);
Ugovorno regulisanje zaštite podataka sa eksternim pravnim i fizičkim licima koja imaju pristup podacima;
Organizaciona i procesna rešenja – redizajn procesa u Gradskom centru, kako bi se iz određenih delova procesa isključili zaposleni koji nisu stručna lica, i kao takvi ne bi trebalo da imaju ni uvid u podatke o ličnosti korisnika.

Pored ovoga, potrebno je odrediti lice/lica odgovorna za zaštitu podataka o ličnosti, uvesti edukaciju zaposlenih u cilju podizanja znanja iz ove oblasti, kao i razumevanja važnosti zaštite podataka o ličnosti u Gradskom centru za socijalni rad Beograd.

TEHNIČKI ASPEKTI OBRADE PODATAKA

Opšte tehničke informacije i struktura sistema

Gradski centar u svom vlasništvu ima 18 servera za obradu podataka (data serveri). Svi serveri se nalaze u Beogradu, jedan je u upravnoj zgradi, a ostatak je raspoređen po opštinskim odeljenjima (jedan server po opštinskom odeljenju). Centralni informacioni sistem koji se koristi za obradu podataka se zove Integral i koristi se duže od 8 godina. Informacioni sistem (IS) je razvila firma „PC COM“. Serveri u ovom trenutku nisu međusobno povezani, pa među njima ne postoji sinhronizacija. Planirano je unapređenje sistema, odnosno integrisanje svih opštinskih odeljenja međusobno, i sa centralnom upravom, čime bi se iz upravne zgrade moglo pristupiti svim opštinskim odeljenjima.

Imajući u vidu organizacionu strukturu Gradskog centra, u svakom opštinskom odeljenju nalaze se podaci o ličnosti (Evidencija o usvojenoj deci) koje se odnose na konkretnu opštinu. Kada se sistem bude nadograđivao, ovi podaci će takođe biti čuvani u upravnoj zgradi Gradskog centra.

Preporuka:Prilikom centralizacije sistema važno je povesti računa o načinu uspostavljanja veze između opštinskih odeljenja i upravne zgrade kao centralne tačke sistema. Važni segmenti su enkripcija veze i centra za skladištenje podataka.

Pristup internetu

Kao odgovor na treći zahtev za pristup informacijama od javnog značaja, dobili smo informaciju da se sajt Gradskog centra hostuje na serverima kompanije SBB i da je ugovor o hostingu zaključilo Ministarstvo za rad, zapošljavanje, boračka i socijalna pitanja. Na sastanku sa predstavnicima Gradskog centra, na isto pitanje smo dobili drugačiji odgovor, odnosno da se sajt Gradskog centra hostuje na serverima kompanije Orion Telekom. Tu informaciju smo tehničkom analizom utvrdili kao tačnu (upitom na sajt http://www.whoishostingthis.com/). Internet provajder Gradskog centra je takođe Orion Telekom. Ugovor je zaključen kroz javnu nabavku, tj. raspisivanjem tendera. Opseg IP adresa koji koristi Gradski centar je 15.51.16.0-255. Internet sajt Gradskog centra se nalazi na posebnom serveru, koji nije povezan sa serverom na kojem se čuva evidencija o usvojenoj deci.

*Opšte informacije*
*Naziv ustanove*	Gradski centar za socijalni rad u Beogradu
*URL*	http://www.gcsrbg.org/
*Datum vršenja analize*	27.04.2015.
*WHOIS pretraga*
*Ime i prezime*	Branislav Simonović
*Provider*	Orion Telekom Tim Hosting pool
*URL provajdera*	http://www.oriontelekom.rs/privatni_korisnici.130.html
*Registrator*	PDR Ltd.
*URL registratora*	http://www.publicdomainregistry.com/
*Država*	Srbija
*Nmap*
*Broj otvorenih portova*	10
*Broj filtriranih portova*	959
*Broj zatvorenih portova*	31
OS	Linux 2.6.18
*Bezbedan (Nmap)*	Ne
*IP v4*	77.105.36.104
*IP v6*	/
*MAC*	/

VPN i Cloud usluge

Iz dosadašnjeg istraživanja smo utvrdili da Gradski centar ne koristi ni Cloud ni VPN usluge. Planiranom nadogradnjom sistema predviđeno je uvođenje i korišćenje VPN-a.

Serverska podešavanja

Kako serveri nisu međusobno povezani, ne postoji nikakav oblik sinhronizacije među opštinskim odeljenjima. Svako opštinsko odeljenje ima svoj IS Integral koji beleži svaki pristup sistemu (sve logove). Ukoliko korisnik izvrši izmenu nekog predmeta, u sistemu će ostati zabeleženi datum poslednje izmene i korisničko ime pod kojim je uneta izmena. U elektronskoj evidenciji sistema određeni akt može izbrisati samo korisnik koji ga je inicijalno izradio. Unutar baze podataka, podaci su zaštićeni enkripcijom.

Informacije o merama zaštite podataka u Centralnom registru Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti koje smo pronašli, ne razlikuju se od onih do kojih smo došli tokom istraživanja. Ove mere zaštite podataka opisane su na sledeći način: informacije se čuvaju u dosijeima korisnika koji se u odeljenjima čuvaju u kasama (sefovima), čije ključeve imaju rukovodilac odeljenja i još jedan zaposleni; takođe, podaci se čuvaju i u elektronskom obliku na serverima odeljenja; pristup podacima imaju stručni radnici koji imaju korisničko ime i šifru.

Pristup trećih lica

U Gradskom centru direktan pristup evidencijama imaju isključivo zaposleni. Podacima koji se nalaze u evidencijama mogu pristupiti pravosudni organi, nadzorni organ, štićenik i policija. Gradski centar je u obavezi da postupa po zahtevu pravosudnih i nadzornih organa, kao što su Sekretarijat za socijalnu zaštitu grada Beograda u vezi prava iz gradske Odluke o pravima i uslugama socijalne zaštite, zatim nadležno Ministarstvo u vezi prava i obaveza iz Zakona o socijalnoj zaštiti, kao i policija u skladu sa svojim nadležnostima. Organi pristupaju dosijeima tako što u pisanoj formi podnose zahtev za pristup. Gradski centar odgovara na taj zahtev takođe u pisanoj formi, a odgovor se uručuje lično odnosno preporučenim kurirom. Štićenik u skladu sa pravnim okvirom Republike Srbije ima pravo na uvid u vlastiti dosije, kao i na kopiju konkretnog predmeta. Niko sem zaposlenih u Gradskom centru nema direktan pristup dosijeima, kao ni elektronskoj evidenciji.Kada je reč o zahtevu po predmetu o usvojenju deteta, zahtev se podnosi lično.

Za održavanje i implementaciju informacionog sistema Gradskog centra zadužen je jedan zaposleni iz opšte službe za svih 18 opština. On je administrator na sistemu koji kreira i kontroliše korisničke naloge. Usluge celokupnog održavanja sistema, softvera i tehničke infrastrukture pruža DOO “Milenijum sistemi”. U ugovoru koji je sklopljen sa “Milenijum sistemima” nije navedena odredba o tajnosti podataka. Takođe, programer iz firme „PC COM“ koji je izradio IS Integral nema potpisan ugovor o poverljivosti, niti bilo koji drugi dokument sa Gradskim centrom, ali je reorganizacijom predviđeno da se to promeni. Programer nema stalan pristup IS Gradskog centra, već isključivo prilikom dolaska u neko od opštisnkih odeljenja Gradskog centra vrši izmene u sistemu.

Preporuka: Režim evidentiranja pristupa može se poboljšati time što se neće beležiti isključivo poslednja izmena datog predmeta, već će se beležiti sve izmene, čime bi se formirala istorija izmena za svaki predmet. Takođe, sistem pristupa pomoću korisničkog imena i lozinke može se upotpuniti implementacijom digitalnih sertifikata ili dvostruke verifikacije u cilju preciznije identifikacije korisnika. Nepostojanje NDA ili druge pravne zaštite podataka o ličnosti u poslovanju Gradskog centra otvara mogućnost za zloupotrebe od strane trećih lica.

Zaključak

Arhitektura sistema nije loša, ali bi je trebalo unaprediti. Najslabija tačka sistema nalazi se u nepostojanju ugovora o poverljivosti, ili drugim oblikom pravne zaštite tajnosti podataka u poslovanju sa licima koji održavaju sistem. Kad je reč o tehničkoj zaštiti sistema, potrebno je poboljšati procedure logovanja, tj. da se ne beleži samo poslednja izmena i rad u sistemu , već i sve prethodne. Proceduru autentifikacije bi trebalo zameniti sistemom dvostruke verifikacije, tj. logovanja pomoću lozinke i digitalnog sertifikata.

Potencijalna poteškoća leži u zavisnosti sistema od osobe koja ga je kreirala i koja ga održava, što je klasična vendor lock-in situacija, te se preporučuje da odgovorne osobe zaposlene u Gradskom centru bude upućene u održavanje sistema, da se u slučaju raskida ugovora sa firmom „PC COM“ poslovanje ne bi zaustavilo dok se sistem ne promeni iz korena. S druge strane, ograničen broj tehničkog osoblja i veza poverenja između Gradskog centra i kompanije „PC COM“ predstavljaju dobru praksu, s tim što je korisno podstaći nezavisnost sistema Gradskog centra.

Potencijalni bezbednosni problemi se mogu javiti prilikom unapređenja i centralizacije sistema. Neophodno je povesti računa o bezbednosti veze između opštinskih odeljenja i upravne zgrade, te da se centralna tačka sistema (centar za skladištenje podataka) dodatno obezbedi fizički i tehnički, sa jačom restrikcijom pristupa.

MEDIJSKA POKRIVENOST

Uvodna napomena

Sa druge strane, aktivno učešće institucija državne uprave u javnom dijalogu posvećenom zaštiti privatnosti i ličnih podataka koje prikupljaju i obrađuju, moglo bi se pokazati kao ključni doprinos daljem uređenju ove oblasti ali i sopstvenoj promociji kao značajnog aktera u zaštiti interesa građana.

Opšta percepcija ustanova socijalne zaštite u medijima

Pregled arhive dnevne i nedeljne štampe govori u prilog utisku da su, tokom poslednje decenije, socijalne teme postale nepresušni rudnik za tabloidnu pornografizaciju bede i nasilja u društvu.

Za socijalne centre širom zemlje u medijima je u prethodnom periodu uglavnom rezervisana rubrika ‘crne hronike’, u kontekstu pojedinačnih slučajeva ubistava, otmica, seksualnog zlostavljanja, zanemarivanja itd. u kojima su žrtve deca ili stare i nemoćne osobe. Tekstovi po pravilu iznose informacije o žrtvama i osumnjičenima, detalje iz privatnog života i porodičnog okruženja. Ako su žrtve i osumnjičeni iz romske zajednice, bezobzirnost prema privatnom životu aktera gotovo da nema granica.

U senzacionalističkim izveštajima, centri za socijalni rad pretežno su na meti društvene osude zbog neefikasnosti u prevenciji i zaštiti žrtava. Sudeći po vrsti podataka koje tabloidi iznose o žrtvama i počiniocima, novinarima su ovi centri, uz policiju, primarni izvor informacija.

Narušavanje privatnosti se u tim slučajevima vrlo retko dovodi u pitanje; tabloidi se kriju iza opravdanog interesa javnosti, institucije su pasivne ili u defanzivi.

Institucionalni rad ovih centara retko je tema od medijskog interesa. Krajem 2009. zabeležen je epilog inicijative jednog od sindikata za ocenu ustavnosti Pravilnika o organizaciji, normativima i standardima rada centara za socijalni rad. Ustavni sud tom prilikom nije prihvatio osporavanje niza odredbi Pravilnika među kojima se, po oceni sindikata, pojedinim odredbama „dovodi u pitanje zaštita poverljivih podataka“. Mediji, po pravilu, ne pružaju širi kontekst za ova pitanja.

Gradski centar za socijalni rad Beograd

Beogradski centar za socijalni rad uživa nešto povoljniji tretman od srodnih ustanova u unutrašnjosti i u medijima često figurira kao partner različitih državnih organa u programima pomoći najugroženijim kategorijama građana (narodne kuhinje, subvencije, kampanje protiv trgovine ljudima, nasilja u porodici i slično). Među takvim slučajevima, mediji beleže i narušavanje privatnosti ugroženih kategorija među korisnicima Gradskog centra, što politički zvaničnici utilitarizuju u promotivne svrhe.

Čak i kada ga mediji posredno označe kao jednog od odgovornih aktera u eskalaciji osetljivih slučajeva (nasilje, zanemarivanje), Gradski centar uspeva da se izdigne iz preovlađujuće slike o ovoj vrsti institucija.

U prethodnom periodu, zabeleženi su slučajevi gotovo rutinskog iznošenja privatnih podataka vezanih za događaje koji se nađu u fokusu javne pažnje. Ilustrativan je medijski istup direktorke jednog opštinskog ogranka Gradskog centra, povodom slučaja zlostavljanja deteta 2006. godine, koja iznosi niz detalja o psihičkom i fizičkom zdravlju žrtve.

Ovakvi istupi u medijima podstiču štetan medijski utisak da su predstavnici institucija doprineli stvaranju opšte predstave u javnosti, da su se korisnici državne pomoći na neki način odrekli pune zaštite Ustavom garantovanih prava, pre svega prava na privatnost.

Uspostavljanjem nove pravne regulative, instituta Ombudsmana i različitih poverenika (za zaštitu podataka o ličnosti, za ravnopravnost), Gradski centar se vremenom osetno zatvara za ovu vrstu javnih komentara, dok se za senzacionalističke detalje iz privatnih života korisnika Centra mediji sada obraćaju isključivo „anonimnim izvorima“.

S druge strane, formalno zatvaranje ne uspeva uvek da dovede u balans opravdan interes javnosti da zna, kao u slučaju iz 2013. godine kada su jednom udruženju građana uskraćeni statistički podaci na nacionalnom nivou o broju dece koja su zbog bezbednosti privremeno izmeštena iz svojih porodica. Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti reagovao je tada podsećajući da anonimizovani podaci nisu podaci o ličnosti.

Pregledom štampe iz protekle decenije, stiče se utisak o institucionalnom nerazumevanju prava na privatnost, nejasnim i nedovoljno definisanim procedurama za njegovu zaštitu, usled čega je istovremeno moguće da se u tabloidima nađu osetljivi podaci o žrtvama dok se javnosti uskraćuju podaci za koje postoji opravdan interes.

Komentar Gradskog centra

Po uvidu u interni izveštaj o obradi podataka u ovoj instituciji, predstavnici Gradskog centra za socijalni rad u Beogradu ogradili su se od dela izveštaja o medijskog pokrivenosti, smatrajući da ne daje pravu sliku o načinu postupanja institucije u odnosu na Zakon o zaštiti podataka o ličnosti kao i u odnosu prema korisnicima.

U komentarima se ističe da je, u periodu od 2013. do 2015. godine, Gradski centar za socijalni rad u Beogradu imao 507 medijskih objava. “U velikom broju slučajeva novinarima koji upućuju zahtev GCSR-u već su poznati lični podaci korisnika, a GCSR u Beogradu nije u mogućnosti da kontroliše ono što će mediji objaviti”, navodi se u komentarima.

Dodaje se i da se Gradski centar za socijalni rad u Beogradu u svojim odgovorima na novinarska pitanja ne izjašnjava o konkretnim slučajevima, napominju predstavnici ove institucije, već odgovor uvek ima informativan sadržaj i odnosi se na postupanja i nadležnosti GCSR-a i statističke podatke, koje se vezuju za konkretan slučaj. Takođe u nekoliko navrata Gradski centar za socijalni rad u Beogradu uputio je demanti urednicima dnevnih listova zbog objavljivanja natačnih informacija ili usled pozivanja na informacije koje su navodno dobili iz GCSR u Beogradu. U svojim saopštenjima i odgovorima, GCSR novinarima koji iznose privatne podatke socijalno ugroženih kategorija društva, skreće pažnju na štetno postupanje, pre svega u cilju zaštite najboljiih interesa naših korisnika, a posebno dece.

“Gradski centar za socijalni rad u Beogradu nastoji da bude dobar partner medijima koji u znatnoj meri utiču na atmosferu u socijalnoj sredini, ali na sadržaj objava u kojima se ne poštuju prava građana ili grupe o kojoj mediji izveštavaju, kao i na profesionalnost novinara, nismo u prilici da utičemo”, konstatuje se u dostavljenim komentarima.

“Zbog svega navedenog smatramo da prilikom ocene medijske pokrivenosti treba uzeti u obzir sve podatke i činjenice pa tek onda doneti zaključak. Takođe smatramo da mešanje dva zakona, Zakona o zaštiti podataka o ličnosti i slobodnom pristupu informacijama od javnog značaja i predstavljanje Gradskog centra za socijalni rad u Beogradu kao organa koji na konto poštovanja jednog zakona ne poštuje drugi jednostavno nije tačno i smatramo da navedenom nije mestu u izveštaju. Smatramo da je u potpunosti neopravdan zaključak da se narušavanje privatnosti korisnika GCSR-a ‘utilitarizuje u političke promocije’”, zaključeno je u komentarima predstavnika Gradskog centra za socijalni rad u Beogradu.

DOKUMENTACIJA KOJA JE DOBIJENA OD POVERENIKA U VEZI SA OBRADOM PODATAKA

Nadzor

Zapisnik o izvršenom nadzoru broj 164-00-00583/2015-07 od 28.08.2015. godine je sačinen od ovlašćenih lica Poverenika nakon izvršenog nadzora nad sprovođenjem i izvršavanjem ZZPL-a, od strane Gradskog centra za socijalni rad u Beogradu, odeljenje Vračar. Predmet nadzora je bio utvrđivanje činjenica vezanih za evidencije zbirki podataka o ličnosti koje Gradski centar vodi u okviru obavljanja poslova iz okvira svoje nadležnosti, odnosno utvrđivanje vrste i obim podataka o ličnosti sadržanih u tim zbirkama, kao i preduzete mere zaštite ovih podataka o ličnosti u smislu odredbi člana 47. ZZPL. Ono što je prvobitno utvrđeno je da je Gradski centar do navedenog datuma Centralnom registru Poverenika prijavo samo jednu evidenciju zbirki podataka iako je nadzorom utvrđeno da Gradski centar vodi mnoge druge zbirke podataka. Gradski centar je kao razlog za nepostupanje u skladu sa ZZPL-om u vezi zbirki podataka naveo nedovoljno poznavanje propisa i nedostatatak tehničkih mogućnosti zbog specifične organizacione strukture. Nadzorom je utvršeno i da se zbirke podataka vode u papirnom i elektronskom obliku, te da se u drugom slučaju podaci se vode u ‘’Integralu’’, programu koji koristi većina centara za socijalni rad u Srbiji. Navedene su i brojne tehničke karakteristike ‘’Integrala’’ kao i pojašnjenje prava pristupa, beleženje promena. Detaljno je utvrđen način čuvanja dokumentacije koja sadrži podatke o ličnosti u papirnom obliku. Kao korisnici podataka o ličnosti Gradskog centra navedeni su resosno Ministarstvo i resorni Sekretarijat grada Beograda. Na kraju je utvrđeno da u na ulazu u prostorije Gradskog centra za socijalni rad, odeljenje Vračar, postoji video nadzor te je ovaj zapisnik dopunjen 04.09.2015. godine nakon vršenja dopunskog nadzora povodom utvrđivanja činjenica vezanih za obradu podataka o ličnosti lica putem video nadzora od strane Gradskog centgra, kao i radi predočavanja predstavnicima Gradskog centra na obaveze koje imaju.

CROSO

OPŠTI PODACI

Preuzmite pdf celog izveštaja

Podaci o osnovnoj delatnosti, sedištu, pravnim aktima, veb sajtu i slično

Centralni registar osnovan je 2010. godine, Zakonom o Centralnom registru obaveznog socijalnog osiguranja, kao mehanizam efikasnije kontrole naplate doprinosa od kojeg se očekuje redovna mesečna analiza i usaglašavanje podataka. Takođe, registar treba da poveže institucije u sistemu socijalnog osiguranja, kao što su Republički fond za penzijsko i invalidsko osiguranje, Republički fond za zdravstveno osiguranje, Nacionalna služba za zapošljavanje i Poreska uprava. Povezanost ovih institucija preko Centralnog registra ogleda se pre svega u razmeni podataka o ličnosti obveznika odnosno osiguranika.

Centralni registar je s radom počeo 2013. godine.

Politika privatnosti ne tretira se kao zasebna tema na sajtu, niti se zaštita podataka o ličnosti pominje u Statutu Centralnog registra. U sekciji ’Pravni aspekti’, odeljak ’Najčešća pitanja’, zaštita podataka nalazi se u odgovoru na pitanje broj 16, gde se navodi da je Centralni registar „odgovoran za sigurnost, zaštitu i obezbeđenje tajnosti podataka“, te da je obavezan da preduzima “mere protiv neovlašćenog ili slučajnog pristupa Jedinstvenoj bazi, menjanja, uništavanja ili gubitka podataka, neovlašćenog prenosa i drugih oblika nezakonite obrade podataka, kao i mere protiv zloupotrebe ličnih podataka, u skladu sa propisima koji uređuju zaštitu elektronskog dokumenta”.

Adresa: Omladinskih Brigada 1, 11000 Beograd

E-mail: [email protected]

Internet sajt: http://www.croso.gov.rs

Portal: http://www.portal.croso.gov.rs

Informator o radu: http://www.croso.gov.rs/cir/Informator_o_radu/index.php

PRAVNI ASPEKTI OBRADE PODATAKA

Zbirke podataka o ličnosti

Centralni registar obaveznog socijalnog osiguranja registrovao je 6 zbirki podataka o ličnosti u Centralni registar zbirki podataka koji vodi Poverenik.

Od toga 5 zbirki podataka se odnosi podatke o ličnosti osoba koje su zaposlene u Centralnom registru ili obavaljaju poslove u Centralnom registru po drugom osnovu, a to su su kadrovska evidencija, evidencija o platama, evidencija o prisunosti na radu, evidencija rešenja o godišnjim odmorima i evidencija o isplatama naknada za prevoz.

Najvažniju zbirku podataka o ličnosti koju vodi Centralni registar predstavlja Jedinstvena baza podataka osiguranika i osiguranih lica (u daljem tekstu ‘’Jedinstvena baza’’). Ova zbirka podataka predstavlja samu svrhu postojanja Centralnog registra i sadrži podatke o ličnosti svih osiguranika i osiguranih lica u Srbiji, a uspostavljena je u avgustu 2013. godine u skladu sa Zakonom o Centralnom registru obaveznog socijalnog osiguranja.

Iz tih razloga odlučili smo se da Jedinstvenu bazu uzmemo kao reprezentativnu, te se dalja analiza svih aspekata obrade podataka o ličnosti odnosi samo na Jedinstvenu bazu.

Pravni osnov

Pravni osnov za vođenje Jedinstvene baze utvrđen je članom 29a Zakona o Centralnom registru obaveznog socijalnog osiguranja, gde se navodi da Centralni registar vodi Jedinstvenu bazu. Dalje se u istom članu ističe na koji način se podaci pribavljaju te se precizno navode podaci o ličnosti koji se vode u Jedinstvenoj bazi.

Treba istaći da je član 29a unešen u tekst Zakona tek izmenama i dopunama iz 2014. godine, te da je razlog za njegovo donošenje bilo usklađivanje sa odredbom člana 42 stav 2 Ustava Republike Srbije, kojom je utvrđeno da se prikupljanje, držanje, obrada i korišćenje podataka o ličnosti uređuje zakonom, kao i usklađivanje sa Zakonom o zaštiti podataka o ličnosti iz koga jasno proizlazi da osnov obrade podataka o ličnosti mora biti zakon ili pristanak lica čiji se podaci obrađuju.

Dakle, iako je Odredbama Zakona o Centralnom registru definisan pravni okvir za početak funkcionisanja Centralnog registra te da je saglasno odredbama tog zakona doneto više podzakonskih akata kojima se reguliše materija prikupljanja, držanja, obrade i korišćenja podataka o ličnosti, zakonodavac je smatrao da se Zakonom moraju precizno definisati podaci o ličnosti koji se vode u Jedinstvenoj bazi.

Podaci o ličnosti

U Jedinstvenoj bazi se vode i obrađuju podaci o ličnosti:

Osiguranika, odnosno fizičkih lica koja su obavezno osigurana prema zakonima koji uređuju sistem obaveznog socijalnog osiguranja i to:

jedinstveni matični broj građana – lični broj osiguranika;
prezime i ime;
pol;
ime jednog roditelja;
evidencioni broj za strane državljane;
jedinstveni broj dodeljen od strane Centralnog registra;
dan, mesec i godina rođenja;
opština, mesto i adresa prebivališta;
državljanstvo;
zanimanje, prema klasifikaciji zanimanja, koje se zahteva za radno angažovanje na određenim poslovima, odnosno radnom mestu;
vrsta i stepen stručne spreme, odnosno obrazovanja koji su uslovi za radno angažovanje na određenim poslovima, odnosno radnom mestu;
vrsta i stepen stručne spreme, odnosno obrazovanja koje lice ima;
datum početka osiguranja;
osnov osiguranja;
radno vreme (puno, nepuno ili skraćeno);
broj časova provedenih na radu nedeljno;
vrsta radnog angažovanja (radni odnos i rad van radnog odnosa);
podatak o zaposlenju kod više poslodavaca;
podaci o stažu osiguranja sa uvećanim trajanjem, o vremenu provedenom na tim poslovima i stepenu uvećanja staža;
datum i osnov promene u toku osiguranja;
datum i osnov prestanka osiguranja;
posebni podaci o osiguraniku;
da li je osiguranik korisnik prava iz penzijskog i invalidskog osiguranja;
prekid osiguranja zbog mirovanja;
osnovice doprinosa za obavezno socijalno osiguranje, visina uplaćenih doprinosa za obavezno socijalno osiguranje i period na koji se ta uplata odnosi;
podaci o uplati doprinosa po osnovu ugovorene naknade;

2 . Osiguranih lica, to jest osiguranika i članova porodica osiguranika koji ostvaruju prava iz obaveznog socijalnog osiguranja u skladu sa zakonima koji uređuju zdravstveno osiguranje, penzijsko i invalidsko osiguranje i osiguranje za slučaj nezaposlenosti i to:

prezime i ime;
jedinstveni matični broj građana – lični broj osiguranika
pol;
dan, mesec i godina rođenja
srodstvo sa osiguranikom
adresa prebivališta

Jedinstvna baza koju vodi Centralni registar predstavlja najsveobuhvatniju bazu podataka o ličnosti koja se odnosi obavezno socijalno osiguranje u Srbiji. U njoj se nalaze podaci svih građana Republike Srbije, kao i stranaca koji su po nekom osnovu socijalno osigurani u našoj zemlji, bilo da je u pitanju zdravstveno, penzijsko invalidsko ili osiguranje za slučaj nezaposlenosti, tako da se u ovoj bazi ne nalaze samo podaci onih lica koja ni po jednom od ovih osnova nisu osigurani, niti su bili osigurani.

Obzirom da je Centralni registar uspostavljen upravo radi razmene podataka sa drugim institucijama, svi podaci koji se nalaze u Jedinstvenoj bazi se razmenjuju sa drugim državnim institucijama u skladu sa članom 18 Zakona o centralnom registru, u kome se navodi da organizacije obaveznog socijalnog osiguranja preuzimaju iz Jedinstvene baze podatke neophodne za vođenje matične evidencije, odnosno druge evidencije propisane zakonom koji uređuje penzijsko i invalidsko osiguranje, zdravstveno osiguranje i osiguranje za slučaj nezaposlenosti.

Tako se osnovni podaci o osiguranicima nalaze i u RFZO-u, PIO fondu, Nacionalnoj službi za zapošljavanje i Poreskoj upravi, dok se ostali podaci razmenjuju sa ovim institucijama u skladu sa njihovim nadležnostima. Od Poreske uprave se dobijaju podaci o plaćenim doprinosima za socijalno osiguranje, te se iznosi plaćenih doprinosa za zdravstveno osiguranje razmenjuju sa RFZO-om a iznosi plaćenih doprinosa za penzijsko invalidsko osiguranje sa PIO fondom.

Načini prikupljanja podataka o ličnosti

Podaci koji se vode u Jedinstvenoj bazi inicijalno su prikupljeni preuzimanjem podataka iz postojećih baza koje vode RFZO, PIO fond, Nacionalna služba za zapošljavanje i Poreska uprava. Ova migracija je započeta krajem 2011. godine, u skladu sa Uredbom Vlade Srbije koja detaljno definiše postupak preuzimanja podataka, te utvrđuje 31.12.2019. godine kao krajnji rok za migraciju podataka. Doduše, ovaj rok se odnosi samo na iznose osnovica doprinosa za penzijsko invalidsko osiguranje i periode na koje se ta uplata odnosi, dok je migracija ostalih podataka već izvršena.

Nakon inicijalnog pikupljanja podataka i uspostavljanja Jedinstvene baze, podaci se prikupljaju podnošenjem jedinstvene elektronske prijave, isključivo u elektronskom obliku preko portala Centralnog registra. Ove jedinstvene prijave u većini slučajeva podnose poslodavci za svoje zaposlene, ili sama fizička lica. U oba slučaja mora postojati kvalifikovani elektronski sertifikat kako bi mogla da se podnese jedinstvena prijava. Izuzetno za fizička lica koja nemaju tehničke mogućnosti za prijavu u elektronskom obliku, prijavu može podneti neka od organizacija obaveznog socijalnog osiguranja (RFZO, PIO fond). Tada fizička lica na šalteru predaju potrebne dokaze o statusu osiguranika, a ovlašćeni službenik na šalteru za njih popunjava jedinstvenu elektronsku prijavu i podnosi je Centralnom registru.

Forma jedinstvene elektronske prijave je propisana Uredbom o sadržini, obrascu i načinu podnošenja jedinstvene prijave na obavezno socijalno osiguranje, jedinstvenim metodološkim principima i jedinstvenom kodeksu šifara za unos podataka u jedinstvenu bazu centralnog registra obaveznog socijalnog osiguranja („Službeni glasnik RS”, br. 54/10, 124/12 и 119/13) i data je na Obrascu M koje odštampan uz ovu uredbu i čini njen sastavni deo.

Takođe u skladu sa članom 15 Zakona o Centralnom registru, organi i organizacije nadležni za registraciju pravnih i fizičkih lica koja obavljaju određenu delatnost (Agencija za privredne registre, privredni sudovi, advokatske komore) dostavljaju Centralnom registru podatke o obveznicima doprinosa – poslodavcima i isplatiocima prihoda. Iako ovo nisu podaci o osiguranicima ili osiguranim licima koje smo do sada analizirali, oni mogu sadržati neke podatke o ličnosti (npr. lično ime i JMBG zastupnika obveznika doprinosa, ili isti podaci preduzetnika). Ipak, kod APR-a situacija u izvesnoj meri odstupa od ovog pravila. Naime, u slučaju preduzetnika APR dostavlja Centralnom registru sve podatke koji su potrebni za prijavu na obavezno socijalno osiguranje, a na osnovu podataka iz registracione prijave preduzetnika u APR-u. Samim tim, preduzetnik nema obavezu da samostalno podnosi jedinstvenu regsitracionu prijavu.

Dodatno, u skladu sa članom 16 Zakona o Centralnom registru, Poreska uprava dostavlja Centralnom registru podatke o iznosima obračunatih i naplaćenih doprinosa za obavezno socijalno osiguranje, i to pojedinačne podatke za svakog osiguranika. U razgovoru sa direktorkom Centralnog registra, obavešteni smo da se ovi podaci dostavljaju jednom nedeljno.

Centralni registar

Jedinstvena baza je registrovana kao zbirka podataka o ličnosti u Centralnom registru koji vodi Poverenik od aprila 2015. godine. Pored ove, Centralni registar je registrovao još 5 zbirki podataka o ličnosti.

Podaci i informacije koji su registrovani u vezi Jedinstvene baze su ažurni i u svemu u skladu sa zakonima i uredbama koje uređuju ovo pitanje.

Interni akti

Zaposleni u Centralnom registru su upoznati sa svojim pravima i nadležnostima u vezi obrade podataka o ličnosti, i to internim aktom o zaštiti podataka i bezbednosti sistema koji su svi potpisali.

Imajući u vidu da Centralni registar ima svega 24 zaposlena, dok pristup Jedinstvenom registru ima daleko veći broj lica, od mnogo većeg značaja su akti koji regulišu pristup bazi i korišćenje i obradu podataka od strane brojnih korisnika ove baze, i to:

Uredba o načinu dodeljivanja korisničkih dozvola, metodologiji unosa i ažuriranja podataka i načinu pristupa i korišćenja podataka iz jedinstvene baze centralnog registra obaveznog socijalnog osiguranja, kojuje donela Vlada Republike Srbije 2013. godine i od tada je na snazi. Uredbom je regulisano da osiguranici i osigurana lica imaju pravo pristupa samo svojim podacima o ličnosti koji su sadržani u jedinstvenoj prijavi. Sa druge strane obveznici doprinosa (poslodavci) mogu pregledati podatke samo za svoje zaposlene i samo za period osiguranja koji je zaposleni ostvario kod tog poslodavca. Takođe, definisana je i odgovornost Centralnog registra za obezbeđenje zaštite ličnih podataka, prilikom omogućavanja prava pristupa podacima registrovanim u Jedinstvenoj bazi. Zaštita ličnih podataka se obezbeđuje primenom mera zaštite od neovlašćenog pristupa i čuvanja podataka u skladu sa propisima kojima se uređuje čuvanje, zaštita i sigurnost podataka u okviru Informacionog sistema Centralnog registra.

Pravilnik o čuvanju, zaštiti i sigurnosti podataka u okviru informacionog sistema centralnog registra obaveznog socijalnog osiguranja koji je doneo Ministar rada, zapošljavanja i socijalne politike 2013. godine i od tada je na snazi. Pravilnik uređuje procedure čuvanja, zaštite i sigurnosti podataka informacionog sistema Centralnog registra.

Uredba o sadržini, obrascu i načinu podnošenja jedinstvene prijave na obavezno socijalno osiguranje kojuje donela Vlada Republike Srbije 2010. godine i od tada je dva puta izmenjena i dopunjena, poslednji put 2013. godine. Ovom uredbom propisani su sadržina i obrazac jedinstvene prijave, način podnošenja jedinstvene prijave, dokazi koji se uz prijavu podnose, jedinstveni metodološki principi i jedinstveni kodeks šifara za unos podataka u Jedinstvenu bazu.

Zahtev za ostvarivanje prava

Tokom istraživačkog procesa, član našeg tima je u skladu sa članom 19 ZZPL-a pisanim putem od Centralnog registra tražio obaveštenje o obradi svojih podataka o ličnosti i to:

Koje podatke o meni obrađujete?
Koje vrste obrade podataka sprovodite?
Od koga su prikupljeni podaci o meni, odnosno ko je izvor podataka?
U koje svrhe se podaci obrađuju?
U kojim zbirkama podataka se nalaze podaci o meni?
Ko su korisnici podataka o meni? Koji podaci o meni se koriste? Po kom pravnom osnovu i u koje svrhe se podaci o meni koriste?
Da li se moji podaci prenose (ustupaju) drugim licima, i koja su to lica? Po kom pravnom osnovu i za koje potrebe se ti podaci prenose?
U kom vremenskom periodu se podaci obrađuju, odnosno da li je predviđena obustava obrade mojih podataka u određenom trenutku?

Centralni registar je odgovorio na zahtev za ostvarivanje prava u zakonom predviđenom roku, na sva pitanja i u skladu sa ZZPL i Zakonom o centralnom registru obaveznog socijalnog osiguranja.

Nabrojani su svi podaci koje obrađuje, pojedinačno za osiguranike, osigurana lica i obveznike doprinosa koji se vode u Jedinstvenoj bazi. Konstatovano je da su obrade vezane za obavezno socijalno osiguranje i da se podaci prikupljaju podnošenjem jedinstvene prijave i ažuriranjem podataka iz postojećih nadležnih registara, baza podataka i službenih evidencija, koje se vode u Srbiji. Navedeno je da se podaci obrađuju u svrhu ostvarivanja osnovnih delatnosti Centralnog registra i nabrojan je veliki broj delatnosti, kao što su uspostavljanje i vođenje Jedinstvene baze, registracija osiguranika i osiguranih lica, dodeljivanje jedinstvenog broja, itd. Što se korisnika podataka Jedinstvene baze tiče, organizacije obaveznog socijalnog osiguranja – RFZO, PIO fond, Nacionalna služba za zapošljavanje, organ nadležan za poslove javnih prihoda, Republički zavod za statistiku – razmenjuju podatke sa Centralnim registrom. Podaci uneti u Jedinstvenu bazu ne mogu se brisati i čuvaju se trajno.

Zaključak

Regulisanje obaveze vođenja Jedinstvene baze kao i precizno definisanje podataka o ličnosti koji se vode u Jedinstvenoj bazi zakonskom odredbom, u ovom slučaju članom 29a Zakona o Centralnom registru, predstavlja izuzetno dobro rešenje, čime je u potpunosti poštovana odredba člana 42 stav 2 Ustava Republike Srbije, kojom je utvrđeno da se obrada podataka uređuje zakonom. Značajno je napomenuti da ovo nije bio slučaj u vreme kada je Zakon o centralnom registru donet, već da je zakonodavac tek naknadno uvideo neophodnost kako bi obrada podataka o ličnosti u Centralnom registru bila u potpunosti zakonita. Ovo iskustvo bi moglo poslužiti kao primer i drugim institucijama da utiču na donosioce odluka kako bi se propisi iz njihove nadležnosti dopunili, u cilju obezbeđeivanja pravnog okvira koji će im omogućiti da obrada podataka o ličnosti bude u potpunosti zakonita.

ORGANIZACIONI ASPEKTI OBRADE PODATAKA

Lice za zaštitu podataka o ličnosti

Postojeće stanje: U Centralnom registru obaveznog socijalnog osiguranja, za zaštitu podataka o ličnosti zaduženo je lice koje je ovlašćeno lice za postupanje po zahtevima za pristup informacijama u Centralnom registru.

Preporuka: Uzimajući u obzir model organizacione strukture Centralnog registra kao visoko centralizovanog sistema bez teritorijalno dislociranih organizacionih jedinica, kao i broj zaposlenih, sasvim je dovoljno da postoji jedno lice zaduženo za zaštitu podataka o ličnosti. Obim posla u ovom domenu ne zahteva formiranje posebnog radnog mesta za ove potrebe, tako da je postojeća organizacija, koja predviđa da ovo lice obavlja i druge poslove u Centralnom registru, a da mu je zaštita podataka o ličnosti samo jedno od zaduženja, potpuno pogodna.

Kako u slučaju kršenja Zakona o zaštiti podataka o ličnosti postoji odgovornost i fizičkog lica, i odgovornog lica kod pravnog lica, i odgovornost samog pravnog lica, neophodno je da ovo lice ima organizacionu odgovornost, na primer, za:

sprovođenje određene politike o zaštiti podataka o ličnosti među zaposlenima;
promovisanje zaštite podataka o ličnosti među zaposlenima radi razumevanja vlastite uloge u zaštiti podataka
organizovanje edukacije iz oblasti zaštite podataka o ličnosti za zaposlene;
izveštavanje rukovodstva o nivou zaštite podataka i predlaganje mera za podizanje nivoa zaštite i dr.

Takođe, preporuka je i da se opisu posla ovog lica dodaju aktivnosti edukacije ostalih zaposlenih u Centralnom registru o zaštiti podataka o ličnosti.

Edukacija

Postojeće stanje: Zaposleni u Centralnom registru su upoznati sa svojim nadležnostima i pravima, koja su regulisana internim aktom o zaštiti podataka i bezbednosti sistema koji su svi potpisali. Ne sprovode se obuke zaposlenih o postojećoj regulativi (Zakon; standardi) iz oblasti zaštite podataka.

Preporuka: Svoju osnovnu delatnost Centralni registar obavlja kroz prikupljanje i obradu najosetljivijih podataka o ličnosti, zbog čega je izuzetno važno što postoji interni akt o zaštiti podataka i bezbednosti sistema koji su potpisali svi zaposleni. Međutim, poželjno bi bilo uvesti kontinuiranu edukaciju zaposlenih iz oblasti zaštite podataka o ličnosti, radi podizanja svesti o osetljivosti ovih podataka i konstantnom usaglašavanju sa važećim propisima iz ove oblasti. Takođe, trebalo bi definisati vremenske intervale u kojima bi trebalo organizovati testiranja znanja zaposlenih iz ove oblasti, kako bi Centralni registar konstantno imao uvid u stanje sistema u pogledu zaštite podataka o ličnosti.

Pristup zaposlenih reprezentativnoj evidenciji

Postojeće stanje: Pristup elektronskoj bazi podataka “Evidencija podataka osiguranika, osiguranih lica i evidenciju obveznika doprinosa” koja je u nadležnosti Centralnog registra imaju tri kategorije korisnika:zobveznici,

fizička lica,
zaposleni u Centralnom registru.

Svi korisnici pristupaju bazi podataka preko kvalifikovanog elektronskog sertifikata. Za svaku od kategorija korisnika postoje različita ovlašćenja. Takođe, za zaposlene u Centralnom registru definisan je sistem rola, koji im omogućava ograničen pristup podacima u zavisnosti od poslova koje obavljaju. Jedino određeni zaposleni u Odelјenju za informacione tehnologije mogu pristupiti podacima bez kvalifikovanog elektronskog sertifikata.

Svaki pristup bazi pomoću kvalifikovanog elektronskog sertifikata se beleži kroz logove. Pritom, logovi sadrže informaciju o osnovu pristupa, pošto svaki korisnik mora odabrati neku od mogućih akcija u sistemu koju želi da sprovede. Logovi se čuvaju godinu dana.

Preporuka: Zaštita podataka o ličnosti koje prikuplja i obrađuje Centralni registar je na izuzetno visokom nivou, s obzirom da ne postoje dokumenta u papirnoj formi, a da se elektronskoj bazi podataka pristupa isključivo preko kvalifikovanog elektronskog sertifikata, osim u slučaju fizičkih lica, o čemu će kasnije biti više reči.

Zaposleni u Centralnom registru imaju odgovarajuće pravo pristupa u zavisnosti od posla koji obavljaju. Tu se pre svega misli na zaposlene u Odelјenju za rad sa osiguranicima, obveznicima i registrom, koji rade sa ovim podacima. Sistem rola je takav da se svakom zaposlenom definišu odgovarajuća prava pristupa. Ovaj sistem je trenutno održiv zbog malog broja zaposlenih u Centralnom registru. On je istovremeno i najpogodniji za zaštitu, i trebalo bi ga zadržati sve dok organizacioni sistem može da podnese taj nivo detaljnosti bez negativnog uticaja na efikasnost sistema. Ukoliko broj zaposlenih u Centralnom registru bude značajno porastao, preporuka je da se role dodeljuju radnom mestu, u skladu sa opisom posla, umesto konkretnom zaposlenom, radi čuvanja efikasnosti. Kako se bazi pristupa isključivo preko elektronskog sertifikata, beleži se i pohranjuje svaki pristup, uključujući i osnov pristupa.

Međutim, dva zaposlena u Odelјenju za informacione tehnologije mogu direktno pristupiti podacima bez upotrebe elektronskog sertifikata, pošto podaci u bazi podataka nisu maskirani. Ovo predstavlja problem, iako trenutno može delovati beznačajno zbog malog broja zaposlenih sa takvim mogućnostima, ali već sada treba razmišljati o njegovom rešavanju. Preporuka je da se izvrši maskiranje podataka, kako administratori baze podataka koji mogu direktno da joj pristupe ne bi imali uvid u podatke koji se u njoj nalaze bez odgovarajućeg logovanja preko elektronskog sertifikata.

Fizička lica mogu pristupiti bazi podataka i videti isključivo svoje podatke, ali prethodno moraju da dobiju odgovarajući mehanizam pristupa od Centralnog registra. Kako je JMBG kompromitovan, ne može se omogućiti pristup bazi podataka fizičkim licima samo njegovim unošenjem, tako da je ovo dobar sistem zaštite. Fizička lica trenutno mogu pristupiti bazi na tri načina:

preko kvalifikovanog elektronskog sertifikata,
pomoću lične karte,
unošenjem korisničkog imena i lozinke.

U sva tri slučaja prethodno moraju na neki način zatražiti od Centralnog registra pravo pristupa. Problem je što se korisničko ime i lozinka, nakon podnetog zahteva u Centralnom registru, fizičkim licima šalju putem mejla, što može dovesti do kompromitovanja pristupnih parametara, samim tim i podataka o ličnosti. Zato je preporuka ili da se uvede neka vrsta direktnog izdavanja pristupnih parametara, poput PIN koda u bankama, ili da se pristup bazi omogućuje isključivo izdavanjem elektronskih sertifikata ili pomoću lične karte.

Obveznici mogu preko elektronskog sertifikata pristupiti elektronskoj bazi podataka i sprovoditi različite akcije u sistemu, poput prijave i odjave zaposlenih. Obveznik doprinosa, odnosno njegov zakonski zastupnik ili ovlašćeno lice, može uneti nove i izmeniti postojeće podatke koji se odnose na korisnički nalog, pregledati podatke za svoje zaposlene samo za period osiguranja kod njega i na portalu Centralnog registra vršiti predaju prijave, odjave, odnosno promene na obavezno socijalno osiguranje. Međutim, prijava i odjava se vrše preko JMBG-a, koji je kompromitovan podatak. Problem je što bilo koji obveznik može videti različite podatke o ličnosti bilo kog fizičkog lica za koje u sistem unese JMBG. Ovaj problem se može rešiti izdavanjem posebnih identifikacionih podataka koji će se koristiti za potrebe Centralnog registra, što nije efikasno rešenje, pošto bi morale da ih primene i sve institucije sa kojima Centralni registar razmenjuje podatke. Problem koji se tiče JMBG ne može se rešiti interno, već se mora rešavati na državnom nivou. Zbog toga preporuka u ovom domenu može da bude da fizička lica na svom nalogu, nakon što se uloguju, mogu da vide ko je sve pristupao njihovim podacima i da u slučaju eventualnih neosnovanih pristupa obaveste Centralni registar.

Trenutno se svaki pristup bazi podataka beleži, i svi logovi se čuvaju godinu dana. Preporuka je da se razmotri mogućnost čuvanja logova duže od godinu dana, kako bi se u slučaju potrebe mogle izvršiti sve odgovarajuće identifikacije u dužem vremenskom periodu.

Sektor za održavanje informacionog sistema

Postojeće stanje: U Centralnom registru jedna od tri organizacione jedinice jeste Odelјenje za informacione tehnologije, koje obavlјa poslove koji se odnose na: održavanje nivoa kvaliteta IT sistema; rad informacionog sistema Centralnog registra; dodelјivanje jedinstvenog broja; usaglašavanje podataka o obveznicima doprinosa i osiguranim licima kojima raspolažu Poreska uprava, organizacije za obavezno socijalno osiguranje i drugi organi i organizacije; organizovanje i nadzor održavanja i unapređenja baze podataka i postojećih programa u saradnji sa dobavlјačima softvera i zahtevima ili potrebama Centralnog registra; obezbeđivanje tehničkih uslova za međusobno povezivanje i usklađivanje rada subjekata povezanih u sistem Centralnog registra u vezi sa dostavlјanjem podataka; obezbeđivanje elektronske povezanosti sa drugim registrima i bazama podataka koje se vode u Republici Srbiji, a imaju značaja za obveznike doprinosa i osigurana lica; evidentiranje hardverskih i softverskih resursa Centralnog registra; organizovanje programiranja ili prilagođavanja aplikacija i programskih modula; definisanje zahteva, projektovanje, realizaciju i testiranje programa; kompleksnu i sveobuhvatnu analizu unetih i obrađenih podataka u rokovima predviđenim zakonom i ukazivanje nadležnim organima na uočene nepravilnosti.

U postojećem pravilniku sistematizovano je 8 različitih radnih mesta, sa ukupno 9 izvršilaca, kao što se može videti na sledećoj slici.

Nisu sva sistematizovana radna mesta popunjena. Tokom istraživanja, u Centralnom registru je bio zaposlen Načelnik Odeljenja za informacione tehnologije i još jedan izvršilac u Odeljenju.

Preporuka: Usled popularnosti i traženosti stručnjaka iz ove oblasti na tržištu rada sa jedne strane, i relativno niskim platama na ovim pozicijama u Centralnom registru u odnosu na privatni sektor sa druge strane, Centralnom registru je izuzetno teško da zadrži stručnjake iz ove oblasti. Ovo će predstavljati potencijalni problem u poslovanju, ali on ne može biti rešen interno, već po ovom pitanju nešto treba biti preduzeto na državnom nivou.

Osnovna preporuka za interna unapređenja u ovom domenu je da se izvrši maskiranje podataka, kako administratori sistema ne bi imali pristup “živim” već maskiranim podacima, čime bi značajno bila unapređena zaštita podataka o ličnosti. S obzirom na delatnost koju obavlja Centralni registar i osetljivost podataka o ličnosti koji se prikupljaju i obrađuju, svaki pristup podacima bi morao biti evidentiran, i to je na izuzetno dobar način već urađeno u Centralnom registru, ali postoji prostor za unapređenje pošto dva zaposlena na informatičkim poslovima mogu pristupiti direktno podacima bez ikakve evidencije tog pristupa. Preporuka je i da se uvedu procedure koje regulišu pristup i upravljanje podacima iz elektronske baze.

Evidencija u papirnoj formi

Postojeće stanje: Centralni registar ne čuva podatke u papirnoj formi.

ISO standardi

Postojeće stanje: Prema podacima dostupnim u Registru sertifikovanih privrednih društava koji vodi Privredna komora Srbije, u Centralnom registru nije primenjen nijedan standard iz ISO serije standarda.

Preporuka: U narednom periodu trebalo bi primeniti standard ISO 9001 – Sistem upravljanja kvalitetom, kao bazni standard, dok bi u sledećoj iteraciji trebalo težiti uvođenju standarda ISO 27001 Sistem upravljanja bezbednošću informacija, koji s obzirom na delatnost Centralnog registra predstavlja najbitniji standard ISO serije. Standardima bi trebalo formalno regulisati pristup i upravljanje podacima u elektronskoj formi.

Zaključak

Centralni registar je institucija koja je najviše učinila u pogledu zaštite podataka o ličnosti od svih institucija koje su analizirane u okviru projekta. Uzimajući u obzir da su analizirane najreprezentativnije institucije iz javnog sektora u Srbiji, može se pretpostaviti da je ovo jedan od najuređenijih sistema u državi u ovom pogledu, ako ne i najuređeniji. Kako Centralni registar predstavlja sistem koji objedinjuje podatke koje prikupljaju i obrađuju Republički fond za penzijsko i invalidsko osiguranje, Republički fond za zdravstveno osiguranje, Nacionalna služba za zapošljavanje i Poreska uprava, uvođenje elektronskih sertifikata u ovoj instituciji je izuzetno bitan faktor koji je učinjen u cilju zaštite podataka, između ostalih i podataka o ličnosti. Upravo zbog toga bi trebalo raditi na dodatnom unapređenju sistema zaštite i uklanjanju nedostataka koji su uočeni tokom analize.

Što se tiče maskiranja podataka u bazi, to je problem koji je poznat rukovodiocima u Centralnom registru i na čijem rešavanju bi trebalo započeti rad čim budu obezbeđena odgovarajuća finansijska sredstva.

Takođe treba raditi i na rešavanju opšteg problema koji se odnosi na JMBG, a koji potencijalno može stvoriti dosta problema. Centralni registar, kao institucija koja prikuplja najviše podataka o ličnosti, ali i kao institucija koja je najviše uradila po pitanju zaštite podataka u elektronskoj bazi, treba da preduzima inicijative u cilju unapređenja čitavog sistema i povećanja zaštite podataka o ličnosti. Rešavanje problema sa JMBG može rešiti i nedostatke koji su uočeni kod pristupa fizičkih lica, gde je onemogućeno njihovo logovanje pomoću nekih parametara koje imaju već moraju tražiti pristupne podatke, dok obveznici mogu pretraživati podatke o bilo kom fizičkom licu ukoliko znaju njegov JMBG.

Preporuka je i da se uvede edukacija zaposlenih u cilju podizanja znanja i svesti iz oblasti zaštite podataka o ličnosti, ali i o posebnoj važnosti te zaštite u Centralnom registru, usled delatnosti koju obavlja i obima podataka koje prikuplja i obrađuje.

Takođe je preporuka i da se uvede sistem upravljanja kvalitetom ISO 9001 kojim će biti definisane procedure sa jasno preciziranim nadležnostima pristupa i obrade podataka o ličnosti koje poseduje Poreska uprava. Njima bi takođe trebalo predvideti osnove pristupa i obrade podataka, i potom to primeniti na korisničke role u informacionom sistemu.

Centralni registar je implementirao izuzetno visok nivo zaštite elektronske baze podataka, u smislu prava i evidencije pristupa. Međutim, s obzirom na obim, važnost i osetljivost podataka koji se prikupljaju i obrađuju u Centralnom registru, preporuka je da se standardizuje način na koji se obezbeđuje bezbednost podataka, i to kroz ISO 27001 sistem upravljanja bezbednošću informacija.

TEHNIČKI ASPEKTI OBRADE PODATAKA

Opšte tehničke informacije i struktura sistema

Ceo informacioni sistem (IS) Centralnog registra izrađen je interno, a u saradnji sa drugim organizacijama i državnim organima. U okviru IS postoje dva databaza servera za prikupljanje, obradu i skladištenje podataka o ličnosti, veb i bezbednosni serveri. Svi serveri se nalaze u server sali u prostorijama Centralnog registra, i u vlasništvu su Centralnog registra. Centralni registar nije distribuiran, već je sistem centralizovan na jednom mestu. Reprezentativna evidencija, Jedinstvena baza Centralnog registra, nalazi se na databaza serverima. Cela platforma Centralnog registra izrađena je na Oracle bazi podataka (objektno-orijentisana baza koja predstavlja identifikator alfanumeričkog sistema).

Pristup internetu

Internet servis provajder Centralnog registra je kompanija Orion Telekom koji takođe pruža usluge hostinga za statični deo internet prezentacije (http://www.croso.gov.rs/). Sve ove usluge Centralni registar ugovara samostalno, uz fiksni opseg IP adresa.

OPŠTE INFORMACIJE
Naziv ustanove	Centralni registar obaveznog socijalnog osiguranja
URL	http://www.croso.gov.rs/
Datum vršenja analize	22.02.2016..
WHOIS pretraga
Ime i Prezime	RNIDS
Adresa	Žorža Klemansoa 18a, Beograd
Provider	UZZPRO
URL Provajdera	www.uzzpro.gov.rs
Registrator	RNIDS
URL Registratora	https://www.rnids.rs
Država	Srbija
Nmap
Broj otvorenih portova	2
Broj filtriranih portova	998
Broj zatvorenih portova	0
OS	Linux 2.4.20
Bezbedan (Nmap)	Da
IP v4	195.222.96.163.
IP v6	/
MAC	/

VPN i Cloud usluge

Prema sadašnjoj infrastrukturi sistema, Centralni registar ne koristi Cloud usluge a kako se navodi u odgovorima na FOI zahtev, to se u budućnosti neće menjati. Cela infrastruktura postavljena je interno i planiranim proširenjem sistema Centralnog registra eksponiranje na Cloud neće postojati.

Komunikacija Centralnog registra sa organima i organizacijama koji su uključeni u razmenu podataka sa Centralnim registrom (RFZO, PIO fond, Nacionalna služba za zapošljavanje, APR, Poreska uprava, MUP, PTT) odvija se putem VPN-a, maksimalno zaštićenim mehanizmima za elektronsku razmenu podataka dostupnim u entitetima koji razmenjuju podatke i vrši se putem Web, odnosno FTP servisa. VPN veza između svih institucija je deo mreže Uprave za zajedničke poslove republičkih organa (UZZPRO).

Serverska podešavanja

Zaposleni u Centralnom registru pristupaju Jedinstvenoj bazi podataka osiguranika i osiguranih lica putem Portala Centralnog registra i putem specijazovanih aplikacija uz obavezno korišćenje kvalifikovanih elektronskih sertifikata, na osnovu dodeljenih rola i privilegija. Broj pristupa bazi smanjen je time što su svakom zaposlenom dodeljenje pojedinačne privilegije. Dodeljivanje privilegija vrši se prema odluci direktora Centralnog registra.

U prostorijama Centralnog registra postoji posebna server sala u kojoj se nalaze svi serveri, sinhronizacija između njih vrši se u realnom vremenu. Na serverima na kojima se nalaze evidencije čuvaju se sistemski logovi, u kojima se evidentira svaki pojedinačni pristup sistemu. Imajući u vidu važnost podataka kojima se pristupa, za njihov pregled neophodno je posedovati kvalifikovani elektronski sertifikat. Pristup ovoj kategoriji zaposlenih je omogućen isključivo putem namenske aplikacije i putem portala Centralnog registra. U oba slučaja neophodno je posedovanje kvalifikovanog elektronskog sertifikata, a sami sertifikati se odnose isljučivo na pojedinca, dok se sistemom rola i privilegija definišu prava pristupa sistemu, odnosno podacima. Pristup spoljnih korisnika se uredno loguje i beleži, kao i pristup bazi sistemskih korisnika.

Prema važećim pravilima u organizaciji niko ne može izbrisati podatke, a periodično se pravi rezervna kopija svih podataka u sistemu. Podaci u Jedinstvenoj bazi u ovom trenutku nisu enkriptovani, ali je planiranom izmenom infrastrukture predviđeno da se to promeni.

U Centralnom registru Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti, navedene su sledeće mere zaštite podataka: Zaštita podataka obezbeđuje se kroz zaštitu pristupa računarskoj opremi i mreži putem specijalizovanih hardverskih komponenti uz upotrebu definisanog protokola zaštite. Zaštita IT sistema bazirana je na arhitekturi javnih ključeva i podrazumeva obaveznu primenu kvalifikovanih elektronskih sertifikata, digitalno potpisivanje transakcija kao i autentifikaciju pristupa sistemu.

Pravilnik o čuvanju, zaštiti i sigurnosti podataka u okviru informacionog sistema Centralnog registra obaveznog socijalnog osiguranja, propisuje sledeće mere zaštite pristupa informacionom sistemu Centralnog registra:

1) autentifikacija – koja predstavlja proces utvrđivanja identiteta osobe koja želi da pristupi informacionom sistemu Centralnog registra;

2) autorizaciju – koja predstavlja pravo pristupa i dozvoljenih operacija za autentifikovano lice;

3) zaštita tajnosti – što podrazumeva šifrovanje podataka u cilju sprečavanja neovlašćenog uvida;

4) neporicanje odgovornosti – što podrazumeva obezbeđenje dokaza da je neko izvršio određenu radnju, odnosno transakciju.

Autentifikacija pristupa servisima od strane državnih organa i organizacija, sa kojima Centralni registar vrši razmenu podataka podrazumeva i obaveznu primenu serverskih sertifikata.

Radi obezbeđenja neprekidnog funkcionisanja informacionog sistema, Centralni registar obezbeđuje fizičku zaštitu podataka primarnog informacionog sistema, formiranjem sekundarne baze podataka i sekundarnog računarskog sistema. Sekundarna baza podataka i sekundarni računarski sistem moraju biti udaljeni od mesta na kome se nalazi primarni informacioni sistem.

Centralni registar obezbeđuje održavanje računarske opreme za informacioni sistem a, u slučaju popravki, prethodno sprema bezbednosne kopije podataka, kako bi se sprečio gubitak podataka. U slučaju povlačenja računarske opreme iz informacionog sistema, svi podaci prethodno moraju biti trajno i sigurno izbrisani.

Preporuka: Smatramo da se enkriptovanjem baze podataka, podaci štite od zloupotreba u slučaju krađe ili curenja.

Pristup Trećih lica

Pristup evidenciji definiše se Zakonom o Centralnom registru, a pristup se ostvaruje uz posedovanje kvalifikovanih elektronskih sertifikata.

Kada je reč o održavanju sistema, Centralni registar ima ugovor sa izvođačem koji je zadužen za tehničko održavanje sistema. Za manje tehničke kvarove zaduženi su zaposleni iz Centralnog registra kojima su te aktivnosti u nadležnosti. Centralni registar poseduje autorska prava na softver. Svaki pristup servisu se beleži i čuva godinu dana, a ostvaruje se isključivo po potrebi preko namenskog računara ili zvaničnog zahteva putem kvalifikovanog elektronskog sertifikata. Neophodno je doći u Centralni registar da bi se ostvario pristup sistemu. Lica koja održavaju sistem nemaju pristup celom sistemu, već samo određenim delovima, odnosno isključivo testnom sistemu. Obaveze koje ostvaruju su regulisane ugovorom o poverljivosti.

Uredbom o načinu dodeljivanja korisničkih dozvola, metodologiji unosa i ažuriranja podataka i načinu pristupa i korišćenja podataka iz jedinstvene baze Centralnog registra obaveznog socijalnog osiguranjadefinisana je komunikacija između Centralnog registra i organa i organizacija, koji su uključeni u razmenu podataka sa Centralnim registrom, maksimalno je zaštićena mogućim mehanizmima za elektronsku razmenu podataka dostupnim u entitetima koji razmenjuju podatke i vrši se putem Veb, odnosno FTP servisa, koji su svrstani u tri grupe, zavisno od namene:

1) servisi za prijem podataka o registraciji osiguranika i osiguranih lica;

2) servisi za ažuriranje podataka u Jedinstvenoj bazi, na osnovu podataka dobijenih iz postojećih registara i baza podataka i službenih evidencija o ličnom stanju građana koji se vode u Republici Srbiji;

3) servisi kojima se pristupa, vrši prenos i koriste podaci iz Jedinstvene baze Centralnog registra.

Takođe, servisi kojima se vrši prijem podataka o registraciji osiguranika, odnosno osiguranih lica, slanje poruke o grešci, slanje digitalno potpisanog dokumenta jedinstvene prijave i slanje potvrde o uspešnoj registraciji su: veb servis S01REG, kojim se prihvataju podaci o registraciji osiguranika i osiguranih lica u Informacioni sistem Centralnog registra; veb servis S02POT, kojim se šalju podaci iz jedinstvene prijave nakon uspešne registracije.

Servisi za ažuriranje podataka u Jedinstvenoj bazi Centralnog registra na osnovu podataka dobijenih iz postojećih registara, služe za ažuriranje podataka o obveznicima doprinosa – poslodavcima i osiguranicima, kao i o osiguranim licima. Podaci o obveznicima plaćanja doprinosa se ažuriraju više puta u toku dana od strane nadležnih registara APR i Poreske uprave, servisima posebno razvijenim za ove namene, i to:

1) Veb servisom S13APR se vrši prijem podataka o obveznicima plaćanja doprinosa iz baze APR preuzimanjem informacije o svim novim obveznicima registrovanim u APR, kao i sve promene podataka nad postojećim, čime se omogućava ažuriranje evidencije obveznika plaćanja doprinosa u Jedinstvenoj bazi Centralnog registra iz baze APR-a;

2) Veb servisom S13APR PPush APR će dostavljati Centralnom registru jednom dnevno odmah po dobijanju PIB-a iz Poreske uprave podatke o novoosnovanim preduzetnicima;

3) FTP servisom S14PU se vrši prijem podataka o obveznicima plaćanja doprinosa iz baze Poreske uprave, a njime se od Poreske uprave preuzimaju informacije o svim novim obveznicima registrovanim u Poreskoj upravi, koji nisu registrovani u APR-u, kao i sve promene podataka nad ovim skupom podataka;

4) Veb servisom S15FL se vrši provera podataka od Ministarstva unutrašnjih poslova preko jedinstvenog matičnog broja građana (u daljem tekstu: JMBG) ili evidencionog broja, a Ministarstvo unutrašnjih poslova za poslati JMBG odnosno evidencioni broj može dati informaciju da isti ne postoji, da je zamenjen drugim i dostaviti zamenjen JMBG, odnosno evidencioni broj;

5) FTP servisom S16PTT se vrši redovno ažuriranje baze adresa Centralnog registra. Baza adresa Centralnog registra se redovno usklađuje sa šifarnikom adresa iz baze PTT-a, a on će obuhvatiti podatke o ulici, naselju, opštini, okrugu, PAK-u, poštanskom broju i vezama između njih;

6) Veb servisom S18PEN se dobijaju podaci o vrsti priznatog prava iz penzijskog i invalidskog osiguranja, koja osiguranik uživa, na osnovu rešenja RFPIO. U procesu registracije ovim servisom se u bazi RFPIO proverava da li osiguranik, za koga se podnosi jedinstvena prijava, ostvaruje neko pravo iz penzijskog i invalidskog osiguranja osiguranika;

7) Veb servisom S22LBO vrši se ažuriranje ličnog broja osiguranika (u daljem tekstu: LBO) koji je osiguraniku dodeljen od strane RFZO. RFZO šalje informacije o promenama nastalim na već postojećim vezama JMBG – LBO kao i novoformiranim vezama JMBG – LBO;

8) FTP servisom S23UL se preuzimaju podaci o upisanoj činjenici smrti, kao i svakoj naknadnoj zabelešci ili ispravci greške od Ministarstva pravde i državne uprave, a podatak koji se preuzima je JMBG umrlog – dan, mesec, godina i čas smrti.

Zaključak

Podaci u sistemu Centralnog registra su koncentrisani u jednoj server sali. Pristup trećih lica, odnosno unos podataka vrši se kroz VPN UZZPRO-a. Da bi se pristup ostvario, neophodno je korišćenje elektronskog sertifikata. Politike logovanja su detaljne čime se smanjuje rizik od zloupotrebe, odnosno olakšava se monitoring aktivnosti u okviru sistema.

Potencijalnom bezbednosnom pretnjom može se smatrati neenkriptovanost baze podataka.

MEDIJSKA POKRIVENOST

Uvodna napomena

Sa druge strane, aktivno učešće institucija državne uprave u javnom dijalogu posvećenom zaštiti privatnosti i ličnih podataka koje prikupljaju i obrađuju, moglo bi se pokazati kao ključni doprinos daljem uređenju ove oblasti ali i sopstvenoj promociji kao značajnog aktera u zaštiti interesa građana.

CROSO – Istorijski pregled

U godini osnivanja, mediji uglavnom ukratko i kroz izjave nadležnih najavljuju usvajanje zakona i uspostavljanje sistema Centralnog registra koji će „omogućiti bolji uvid građana, ali i poreskih organa, u to da li poslodavci redovno uplaćuju doprinose“. Od Centralnog registra se očekuje efikasna kontrola naplate doprinosa, dok zakon predviđa postojanje zbirne poreske prijave o obračunatim i naplaćenim doprinosima, ali i pojedinačne podatke za svakog osiguranika po svim osnovama. U medijskim izveštajima se napominje da će Poreska uprava imati obavezu da pojedinačne podatke svakog osiguranika dostavlja Centralnom registru koji kontroliše podatke i njihovu usaglašenost s podacima iz Jedinstvene baze.

Medije posebno zanima broj socijalnog osiguranja, koji se najavljuje kao „nevidljivi broj“ koji neće moći da pročita niko osim ovlašćenih lica, jer neće biti zapisan nigde u dokumentima građana.

Registar počinje s radom tri godine nakon donošenja zakona, a u medijskim izveštajima težište se ponovo stavlja na obećanje lakog uvida građana u svoj bilans doprinosa, ali i lakši nadzor poslodavaca koji krše zakon.

Ukrštanje baza podataka različitih institucija u Centralnom registru posmatra se isključivo u kontekstu bolje kontrole obveznika i efikasnijeg popunjavanja budžeta. Tajnost podataka i zaštita privatnosti nisu teme od interesa.

Početkom 2015. godine, mediji su izvestili da Centralni registar još nije u potpunosti operativan, usled procesa usaglašavanja baza podataka sa Poreskom upravom.

Najavljeno je da će inspektori inspekcije rada na terenu koristiti posebnu aplikaciju preko koje će moći da utvrde da li su zaposleni prijavljeni a njihovi doprinosi redovno plaćani. I ova vest se prati iz ugla funkcionalnosti, dok se pitanje zaštite podataka ni ne otvara.

DOKUMENTACIJA DOBIJENA OD POVERENIKA

Razni dopisi

Centralni registar je dopisom broj 021-02-2/2012-01 od 12.01.2012. godine Povereniku uputio zahtev za mišljenje povodom pitanja da li podnosiocu elektronske prijave mogu biti dostupni svi podaci jedinstvene prijave, odnosno koji je set podataka o osiguraniku/osiguranom licu koji mu može biti dostupan i da li se na taj način krše odredbe ZZPL-A, a takođe, kako će Centralni registar po uspostavljenoj bazi biti i elektronski servis za građane, mogu li razmotriti mogućnost da se za identifikaciju korisnika za pristup sistemu koristi JMBG ili LBO uz određene kontrole. Poverenik je dopisom broj 011-00-00059/2012-05 od 02.02.2012. godineistakao da je potrebno da se poslodavcima omogući pristum svim podacima o ličnosti, a povodom pitanja korišćenja elektronskog servisa za građane, istaknuto je da je potrebno onemogućiti pristup tuđim podacima i to već prilikom prijavljivanja konektovanja u Centralni registar te da je nužno da se sprovedu i druge, oštrije kontrole, pored korišćenja JMBG i/ili LBO.

Centralni registar je dopisom broj 011-00-2/2012-01 od 30.05.2012. godine Povereniku izneo zatev Poreske uprave da joj se omogući upit u Jedinstvenu bazu, a koji se odnosi na fizčko lice, odnosno osiguranika. Postavljeno je pitanje da li je Centralnom registru obaveznog socijalnog osiguranja dozvoljeno da ovlašćenim licima Poreske uprave omoguće korišćenje podataka o ličnosti zaposleni u svrhu izvršenja zakonske obaveze Poreske Uprave da proveri da li poslodavci tih lica redovno izmiruju obavezu uplate doprinosa za socijalno osiguranje i poreza iz zarade zaposlenih, obzirom na zakonsku obavezu da se kontrola vrši preko od Poreske Uprave određenog poreskog identifikacionog broja poslodavca, a ne preko podataka o ličnosti zaposleni, kao i da li bi uvidom u tražene podatke došlo do povrede Ustavom zagarantovanog ljudskog prava na zaštitu podataka o ličnosti. Poverenik je dopisom broj 011-00-00427/2012-05 od 20.06.2012. godineistakao davanje navedenih podataka na korišćenje ovlašćenim licima Poreske Uprave ne predstavlja povredu prava na zaštitu podataka o ličnosti.

Centralni registar se dopisom broj 030-03-4/2013-01 od 24.01.2013. godine obratio Povereniku sa zahtevom za mišljenje o tome da li postoje pravne smetnje i povreda prava na zaštitu podataka o ličnosti ukoliko se izvrši elektronsko povezivanje Centralnog registra sa registrom Ministarstva pravde i državne uprave u pogledu korišćenja podataka iz matične knjige umrlih, odnosno činjenice smrti, a kako bi se obezbedila tačnost jedinstvene baze Centralnog registra. Poverenik je dopisom broj 011-00-00063/2013-05 od 11.02.2013. godine izneo stav da u obavljanju svojih poslova Centralni registar može potrebne podatke od značaja za osiguranike i osigurana lica, pa samim tim i podatke o činjenici smrti iz matični knjiga umrlih, da prikupljla iz registara i baza podataka koje vode drugi organi, što bi u konkretnom slučaju bio drugi primerak matičnih knjiga umrlih. Međutim, moraju se imati u vidu i druga načela iz člana 8. ZZPL- načelo svrsishodnosti i načelo srazmernosti obrade. U slučaju povezivanja Centralnog registra sa drugim registrima i bazama podataka, to znači da se iz njih mogu preuzimati samo oni podaci o obveznicama doprinosa i osiguranim licima koji su neopodni za opavljanje poslova Centralnog registra. U protivnom postojala bi prekomerna obrada podataka o ličnosti, a to je nedozvoljena obrada prema članu 8. ZZPL-a.

Centralni registar se dopisom broj 011-00-1/2015-01 od 26.01.2015. godine obratio Povereniku sa zahtevom za mišljenje u vezi sa dozvoljenošću dostavljanja podataka iz Jedinstvene baze podataka iz oblasti socijalnog osiguranja organima i organizacijama, a konkretno Ministarstvu pravde Republike Srbije i Komunalnoj policiji Grada Beograda. Poverenik je dopisom broj 011-00-00100/2015-02 od 10.02.2015. godine izneo stav da jedino ako postoji zakonska odredba, sadržana u Zakonu o Centralnom registru obaveznog socijalnog osiguranja ili drugom zakonu, koja mu to izričito nalaže ili omogućava ili pak ako samo fizičko lice na koje se podaci odnose za to da svoj pristanak, Centralni registar bi mogao da omogući Ministarstvu pravde, odnosno Gradu Beogradu opisano korišćenje podataka.

AGENCIJA ZA PRIVREDNE REGISTRE

OPŠTI PODACI

Preuzmite pdf celog izveštaja

Podaci o osnovnoj delatnosti, sedištu, pravnim aktima, veb sajtu i slično

Agencija za privredne registre (APR) osnovana je 2004. godine Zakonom o Agenciji za privredne registre. Organi Agencije su upravni odbor i direktor.

APR trenutno vodi 20 statusnih i finansijskih registara kao jedinstvene, centralizovane, javne elektronske baze podataka i to: Registar privrednih subjekata (koji čine Registar privrednih društava, Registar preduzetnika i Registar stranih predstavništava), Registar medija, Registar turizma, Registar stečajnih masa, Registar komora, Registar ponuđača, Registar finansijskog lizinga, Registar založnog prava na pokretnim stvarima i pravima, Registar sudskih zabrana, Registar faktoringa, Registar ugovora o finansiranju poljoprivredne proizvodnje, Registar udruženja, Registar stranih udruženja, Registar zadužbina i fondacija, Registar predstavništava stranih zadužbina i fondacija, Registar udruženja, društava i saveza u oblasti sporta, Registar finansijskih izveštaja, Registar mera i podsticaja regionalnog razvoja, Centralnu evidenciju privremenih ograničenja prava lica registrovanih u Agenciji za privredne registre i Centralnu evidenciju objedinjenih procedura (iz oblasti izdavanja građevisnkih dozvola).

Organizacionu šemu Agencije čine još i Sektor zajedničkih poslova, Sektor informatike i razvoja, Sektor pravnih i opštih poslova, Sektor ekonomsko finansijskih poslova i Interna revizija.

Sedište Agencije je u Beogradu, dok u većim gradovima Srbije radi 13 organizacionih jedinica. Na internet portalu objavljeni su detaljni podaci o strukturi i nadležnim osobama u pojednim sektorima, integralni godišnji izveštaji o radu kao i niz zakona, uredbi, pravilnika i odluka kojim se bliže reguliše rad Agencije, uključujući nekoliko propisa vezanih za rukovanje i ustupanje podataka.

Posebnim informacionim sistemom, Agencija omogućava onlajn sastavljanje i dostavljanje godišnjih finansijskih izveštaja. Metodologijom za davanje podataka u elektronskoj formi definisane su vrste podataka u pojedinim registrima, način podnošenja zahteva i visina naknade za njihovo izdavanje.

Lista kategorija dokumentarnog materijala definiše rokove i načine čuvanja preuzete i sopstvene građe. Odeljenje arhive po zahtevu daje na uvid originalnu ili skeniranu dokumentaciju i izdaje kopije dokumenata. Upućivanje zahteva i isporuka traženih dokumenata mogu se vršiti elektronskim putem.

Postupak elektronske registracije još uvek nije moguć, pa se registracija obavlja lično odnosno preko punomoćnika, ili pisanim putem, u sedištu Agencije u Beogradu ili u organizacionim jedinicama u unutrašnjosti.

U Uslovima korišćenja sajta navedene su napomene o sigurnosti i praćenju podataka, gde se ističe da zvanični sajt APR zadržava pravo da sakuplja podatke o pristupu sajtu: ime domena sa kog se pristupa, datum i vreme pristupa kao i adresa sa koje je kliknuto na link za pristup sajtu. Dalje se precizira da se pristup pojedinaca sajtu i računarskom sistemu prati i evidentira od strane ovlašćenog osoblja.

Adresa: Brankova 25, 11000 Beograd

E-mail: [email protected]

Internet sajt: http://www.apr.gov.rs/

Informator o radu: http://www.apr.gov.rs/Portals/0/interna%20dokumenta/Informator_o_radu%20251215.doc?ver=2015-12-28-142747-523

PRAVNI ASPEKTI OBRADE PODATAKA

Zbirke podataka o ličnosti

Članom 4 Zakona o agenciji za privredne registre definisano je 15 registara a drugim zakonima definisano je još 5 registara koje APR vodi kao jedinstvene centralizovane elektronske baze. To su između ostalih Registar privrednih subjekata, Registar udruženja, Registar zadužbina i fondacija, Registar turizma i drugi. Ovi registri prvenstveno sadrže podatke i informacije o pravnim licima (poslovno ime, sedište, poreski identifikacioni broj – PIB, osnovni kapital i slično) ali sadrže i podatke koji se odnose na fizička lica kao što su lično ime ili matični broj zastupnika pravnog lica.

Imajući u vidu da je Registar privrednih subjekata (u daljem tekstu ‘’Registar’’) najveći od svih registara koje vodi APR te da se u njemu na dan 08.03.2016. godine vode podaci o 120.892 privrednih društava i podaci o 217.035 preduzetnika, odabrali smo ovaj registar kao reprezantivnu zbirku podataka te se dalja analiza svih aspekata obrade podataka odnosi samo na ovaj Registar. Dodatno, imajući u vidu različite pravne okvire u zavisnosti od vrste privrednog subjekta, naša analiza se prvenstveno odnosila na deo ovog Registra koji se odnosi na podatke o preduzetnicima, naslovljen kao ‘’Registar privrednih subjekata – Preduzetnici’’

U Centralnom registru Poverenika APR poseduje 3 zbirke podataka o ličnosti, i to Kadrovsku evidenciju, koja se odnosi na podatke lica koja su zaposlena ili na drugi način radno angažovana u APR-u, Evidenciju o kretanju lica u poslovnoj zgradi u Brankovoj 25 i Video nadzor u poslovnoj zgradi u Brankovoj 25.

Pravni osnov

Pravni osnov za vođenje Registra privrednih subjekata je ustanovljen 2004. godine na osnovu Zakona o Agenciji za privredne registre kojim je u članu 4 je utvrđeno da APR vodi ovaj Registar kao jedinstvenu centralizovanu elektronsku bazu podataka. Iste godine stupio je na snagu i Zakon o registraciji privrednih subjekata kojim su se uređivali se uslovi, predmet i postupak registracije u Registar privrednih subjekata, te su u članu 6 bili definisani svi podaci koji se obrađuju u ovom Registru.

Zakon o registraciji privrednih subjekata važio je do 2012. godine kada je zamenjen savremenijim Zakonom o postupku registracije u Agenciji za privredne registre. Ono što je bila novina je da novi Zakon nije diretkno naveo podatke koji se obrađuju u registrima koje vodi APR, ali je u članu 44 propisano da ministri nadležni za sprovođenje zakona kojima je propisano vođenje registara, bliže propisuju sadržinu registara i evidencija, kao i dokumenta koja se prilažu uz prijavu za registraciju i evidenciju. U skladu sa tim u toku 2012. godine donet je Pravilnik o sadržini registra privrednih subjekata i dokumentaciji potrebnoj za registraciju koji je detaljno uredio setove podataka koji se obrađuju u Registru privrednih subjekata. U vezi sa ovim pitanjem oglasila se kancelarija Poverenika i u u obrazloženju Upozorenja APR-u broj 164-00-00119/2012-07 od 31.07.2012. godine izneto je mišljenje da podaci o ličnosti koji se vode u Registru bi trebalo da budu definisani zakonom a ne podzakonskim aktom kao što je Pravilnik, na šta je APR u Odgovoru na ovo upozorenje BD 107931/2012 od 23.08.2012. godine naveo da će inicirati izmene i dopune postojećih zakona u vezi sa ovim problemom.

Ono što je veoma bitno istaći u vezi sa ovim pitanjem je da pored Zakona o postupku registracije u Agenciji za privredne registre postoji čitav niz drugih važećih zakona koji na posredan ili neposredan način definišu setove podataka koji se moraju registrovati i obrađivati od strane APR-a.

Primera radi, navodimo:

Član 265 Zakona o privrednim društvima navodi da osnivački akt akcionarskog društva (koji je predmet registracije u APR-u) sadrži između ostalog ime, jedinstveni matični broj i prebivalište akcionara;
Član 39 Zakona o javnom informisanju i medijima propisuje sadržinu Registra medija i predmet registracije od kojih je jedan JMBG domaćeg fizičkog lica koji je urednik medija;
Član 18 Zakona o zadrugama navodi da osnivački akt zadruge (koji je predmet registracije u APR-u) sadrži između ostalog lično ime, prebivalište i jedinstveni matični broj svakog osnivača
Član 28 Zakona o udruženjima propisuje sadržinu Registra udruženja i predmet registracije od kojih je jedan JMBG fizičkog lica koji je zastupnik udruženja.

Ono što nam govori primer APR-a je da pravni osnov i zakonsko ovlašćenje za obradu podataka nije uvek sadržano u par povezanih odredbi jednog zakona, već da postoje složeniji primeri kada se mora sistematski pristupiti tumačenju pravne regulative u potrazi za zakonskim ovlašćenjem za obradu podataka o ličnosti.

Podaci o ličnosti

U delu Registra koji se odnosi na preduzetnike vode se podaci o svim preduzetnicima koji su registrovani na teritoriji Republike Srbije, kojih na dan 08.03.2016 ima 217.035. Iako se veći deo ovih podataka odnosi na podatke o preduzetniku kao privrednom subjektu te se u tom smislu ne smatraju podacima o ličnosti, ipak smo izdvojili sledeće podatke kao nesumnjivo lične:

Podaci koji se vode u elektronskom Registru i koji su objavljeni na sajtu APR-a:

ime i prezime preduzetnika
JMBG preduzetnika
broj pasoša i država izdavanja za preduzetnika stranca
ime i prezime prokuriste
JMBG prokuriste
broj pasoša i država izdavanja za prokuristu stranca

Podaci koji su sadržani u dokumentima na osnovu kojih je izvršena registracija,:

fotokopija lične karte preduzetnika
fotokopija pasoša preduzetnika stranca

Podaci o podnosiocu registracione prijave (koji može biti lice različito od preduzetnika), koji se nalaze u Registracionoj prijavi:

ime i prezime
JMBG
broj pasoša za strance
adresa
telefon
e-pošta

Radi boljeg razumevanja obima i vrsta podataka koji se vode u Registru preduzetnika, navešćemo neke od podataka koji se vode u Registru a koje nismo kvalifikovali kao lične: poslovno ime, sedište, poreski identifikacioni broj (PIB), datum osnivanja i slično. Kao opcioni u Registru se mogu nalaziti, te biti javno objavljeni kontakt podaci preduzetnika (telefon i email adresa). Iako po svojoj prirodi ovi podaci treba da predstavljaju kontakt podatke koji se odnose na poslovanje preduzetnika, te postoji racio za njihovo objavljivanje, treba napomenuti da obzirom da preuzetnici često registruju sedište u svom privatnom stanu oni neretko predstavljaju i podatke koji bi se u drugom kontekstu mogli smatrati ličnim.

Podaci iz elektronskog Registra koji su javno dostupni sa sajtu APR-a, takođe se dostavljaju brojnim državnim organima ali i privatnim kompanijama. Svi podaci iz Registra koje smo kvalifikovali kao lične (izuzev kopije lične karte ili pasoša), dakle ime i prezime, JMBG, i eventualno kontakt podaci, nalaze se u evidencijama svih ostalih institucija koje smo analizirali u okviru ovog projekta.

Svi podaci koje smo naveli a koji nisu dostupni pretragom Registra na sajtu APR-a, javno su dostupni u skladu sa načelima javnosti i dostupnosti iz člana 3 Zakona o postupku registracije u APR-u. U skladu sa tim, podacima i dokumentaciji o izvršenoj registraciji može pristupiti svako lice neposrednim uvidom u Registar u prostorijama APR-a.

U Registru se ne obrađuju naročito osetljivi podaci iz člana 16 Zakona o zaštiti podataka o ličnosti.

Načini prikupljanja podataka o ličnosti

Podaci koji se vode u Registru se prikupljaju podnošenjem Jedinstvene registracione prijave osnivanja pravnih lica i drugih subjekata registracije u jedinstveni registar poreskih obveznika ( u daljem tekstu JRPPS) čija je sadržina propisana Pravilnikom o dodeli poreskog identifikacionog broja pravnim licima i preduzetnicima. Uz prijavu se podnosi i zakonom propisana dokumentacija kao npr. fotokopija lične karte.

Iako je Zakonom o postupku registracije u APR-u u članu 11 propisana mogućnost podnošenja elektronske prijave putem korisničke aplikacije za prijem elektronske prijave, takva mogućnost i dalje ne postoji u praksi, pre svega zbog nemogućnosti da se eksterno elektronski potpišu neki od obaveznih priloga uz prijavu. Jedinstvena registraciona prijava i prateća dokumentacija stoga se još uvek podnose isključivo u pisanom obliku, u prostorijama APR-a ili putem pošte.

Centralni registar

Registar privrednih subjekata nije prijavljen kao zbirka podataka o ličnosti u Centralnom registru koji vodi Poverenik. Po Zakonu o zaštiti podataka o ličnosti, APR zapravo i nema obavezu prijavljivanja Registra imajući u vidu član 48 stav 2 koji između ostalog reguliše da Rukovalac podataka nije dužan da obrazuje i vodi evidenciju obrade podataka koji se obrađuju radi vođenja registara čije je vođenje zakonom propisano ili podataka za zbirku podataka koju čine samo javno objavljeni podaci.

APR je u Centralni registar Poverenika registrovao 3 zbirke podataka o ličnosti i to Kadrovsku evidenciju koja se odnosi na podatke lica koja su zaposlena ili na drugi način radno angažovana u APR-u, Evidenciju o kretanju lica u poslovnoj zgradi u Brankovoj 25 i Video nadzor u poslovnoj zgradi u Brankovoj 25.

Interni akti

U odgovoru na Zahtev za pristup informacijama APR nije dostavio odgovor na pitanje da li postoje interni akti koji regulišu pristup i upravljanje podacima iz Registra. Pregledom propisa objavljenih na sajtu APR-a, izdvojili smo sledeće akte koji regulišu ova pitanja:

Pravilnik o sadržini Registra privrednih subjekata i dokumentaciji potrebnoj za registraciju koji je doneo nadležni Ministar 2011. godine, a na snazi je od 2012. godine. Pravilnik detaljno uređuje koji se podaci vode u Registru preduzetnika, kao i koja dokumentacija je potrebna da bi se izvršio upis u Registar. Propisano je da sva dokumentacija predstavlja sastavni deo Registra. Takođe, propisano je da se za brisanje preduzetnika iz Registra podnosi prijava brisanja i prilaže dokument o nastupanju činjenice na osnovu koje je došlo do prestanka obavljanja delatnosti.

Metodologija za davanje podataka u elektronskoj formi koju je doneo Upravni odbor APR-a u julu 2012. godine i od tada je na snazi. Ona uređuje način razvrstavanja podataka iz Registra, određivanje visine naknada, način podnošenja zahteva i način preuzimanja podataka u elektronskoj formi. Uz Metodologiju su kao prilozi dati svi obrasci zahteva za davanje podataka.

Odluka o vrsti, obimu i načinu isporuke podataka i dokumenata koji se ustupaju bez naknade državnim organima i organizacijama, organima autonomnih pokrajina i jedinicama lokalne samouprave koju je doneo Upravni odbor APR-a u aprilu 2012. godine a koja je izmenjena i dopunjena u oktobru 2015. godine. Ova odluka uređuje da se isporuka podataka vrši samo ukoliko se utvrdi da su traženi podaci od značaja za obavljanje poslova iz nadležnosti državnog organa koji je podatke tražio. Takođe, državni organ je dužan da dobijene podatke koristi samo u svrhu navedenu u zahtevu kojim je tražio podatke, kao i da preduzme sve raspoložive mere za sprečavanje neovlašćenog korišćenja dokumenata i podataka. Ti podaci se ne smeju umnožavati i distribuirati u komercijalne i druge svrhe.

Odluka o načinu, uslovima i naknadama za preuzimanje podataka u elektronskoj formi o statusnim i drugim promenama pravnih i fizičkih lica registrovanih u APR-u koju je doneo Upravni odbor APR-a u julu 2011. godine i od tada je na snazi. Odlukom se pre svega uređuje odnos sa poslovnim bankama koje su u obavezi da svakog radnog dana preuzimaju ove podatke. Propisano je da će APR sa bankama zaključiti poseban sporazum o preuzimanju podataka, kao i da se podaci preuzeti od APR-a mogu koristiti samo za obavljanje delatnosti banke u skladu sa zakonom, bez prava ustupanja trećim licima i dalje distribucije.

Zahtev za ostvarivanje prava

Tokom istraživačkog procesa, član našeg tima je u skladu sa članom 19 ZZPL-a pisanim putem od APR-a tražio obaveštenje o obradi svojih podataka o ličnosti i to:

Koje podatke o meni obrađujete?
Koje vrste obrade podataka sprovodite?
Od koga su prikupljeni podaci o meni, odnosno ko je izvor podataka?
U koje svrhe se podaci obrađuju?
U kojim zbirkama podataka se nalaze podaci o meni?
Ko su korisnici podataka o meni? Koji podaci o meni se koriste? Po kom pravnom osnovu i u koje svrhe se podaci o meni koriste?
Da li se moji podaci prenose (ustupaju) drugim licima, i koja su to lica? Po kom pravnom osnovu i za koje potrebe se ti podaci prenose?
U kom vremenskom periodu se podaci obrađuju, odnosno da li je predviđena obustava obrade mojih podataka u određenom trenutku?

APR je odgovorio na zahtev za ostvarivanje prava, u zakonom predviđenom roku.

U odgovoru se konstatuje da osim javno objavljenih podataka na internet stranici, APR vodi podatke o tome da je podnosilac zahteva registrovan kao podnosilac registracione prijave za osnivanje određenog privrednog društva i da je uz registracionu prijavu priloženo overeno Punomoćje za zastupanje. Detaljan odgovor izostaje kada su u pitanju konkretni podaci o ličnosti koje APR obrađuje.

Ostali odgovori zapravo predstavljaju citate odredbi Zakona o privrednim društvima, Zakona o postupku registracije u Agenciji za privredne registre, Zakona o Agenciji za privredne registre i Pravilnika o sadržini Registra privrednih subjekata i dokumentaciji potrebnoj za registraciju, koji iako pružaju odgovore na neka pitanja nisu sasvim određeni i precizni. Tako, recimo, na pitanje u koje svrhe APR obrađuje podatke, APR navodi da je članom 12 ZZPL propisano da je obrada podataka o ličnosti dozvoljena u svrhu izvršenja obaveza određenih zakonom ili aktom donetim u skladu sa zakonom, dok na pitanje o vremenskom periodu u kojem se podaci o podnosiocu zahteva obrađuju i da li je predviđena obustava obrade podataka u određenom trenutku, odgovor u potpunosti izostaje.

Zaključak

APR predstavlja sprecifičnu instituciju u domenu zaštite podataka o ličnosti jer se svi registri koje vodi zasnivaju na načelima javnosti i dostupnosti, pa su registrovani podaci i dokumenti javni i dostupni svim licima, preko internet strane APR-a i neposrednim uvidom u Registre. To znači da u ovom slučaju interes javnosti za pristup podacima preteže nad interesom prava na zaštitu podataka o ličnosti. Dodatno, većina podataka koji se nalaze u Registrima koje vodi APR ne predstavljaju podatke o ličnosti, već poslovne podatke privrednih društava. No, treba imati u vidu da se, naročito u slučaju preduzetnika, poslovni podaci mogu u potpunosti podudarati sa podacima o ličnosti fizičkih lica, naročito u slučaju naziva preduzetnika, a često i adrese, broja telefona, elektronske pošte i slično. Čak i ono malo podataka iz Registra koji nesporno imaju karakter podataka o ličnosti, ne uživaju punu zaštitu iz Zakona o zaštiti podataka o ličnosti, a u skladu sa članom 5 stav 1 tačka 1 Zakona o zaštiti podataka o ličnosti u kom se navodi da se pojedine odredbe o uslovima za obradu, kao i o pravima i obavezama u vezi sa obradom, ne primenjuju na obradu podataka koji su dostupni svakome.

ORGANIZACIONI ASPEKTI OBRADE PODATAKA

Lice za zaštitu podataka o ličnosti

Postojeće stanje: U Agenciji za privredne registre Republike Srbije ne postoji lice zaduženo za zaštitu podataka o ličnosti. Zaposlenima na radnim mestima stručnog saradnika za ljudske resurse i likvidatora kontrolora dato je ovlašćenje da prikupljaju, obrađuju, koriste u službene svrhe i dostavljaju trećim licima lične podatke zaposlenih u APR, ali to ne znači da su ova lica odgovorna za zaštitu podataka o ličnosti koje APR prikuplja i obrađuje. Takođe, prema Zakonu o agenciji za privredne registre, Registratori su nezavisna lica, odgovorna za podatke, i kao takvi ne podležu bilo kakvom uticaju, ali nisu formalno imenovani za zaštitu podataka o ličnosti na nivou čitavog APR-a, već su zaduženi za zaštitu svih podataka isključivo u svom domenu rada.

Preporuka: S obzirom na delatnost koju obavlja APR, a koja uključuje prikupljanje i obradu velikog broja podataka o ličnosti, važno je da postoji sistemsko rešenje i organizaciona odgovornost za zaštitu podataka o ličnosti. Neophodno je da rad APR i usluge koje pruža, što se naročito odnosi na internet servise za pretragu baze podataka, budu konstantno usaglašeni sa zakonskom regulativom u ovoj oblasti.

Obim potencijalnih aktivnosti koje bi to lice trebalo da sprovodi ne opravdava formiranje posebnog radnog mesta isključivo za potrebe poslova zaštite podataka o ličnosti. Iz tih razloga organizaciono rešenje problema bi trebalo tražiti u dodeli odgovornosti određenom licu, kroz odgovarajuće odluke. Pored tako definisane odgovornosti, odnosno aktivnosti koje bi trebalo da obavlja, to lice bi trebalo da obavlja i druge poslove u skladu sa opisom radnog mesta.

U slučaju kršenja Zakona o zaštiti podataka o ličnosti, postoji odgovornost i fizičkog lica, i odgovornog lica kod pravnog lica, i odgovornost samog pravnog lica. Međutim, prilikom definisanja odgovornog lica za zaštitu podataka akcenat je na organizacionoj odgovornosti za, na primer:

sprovođenje određene politike o zaštiti podataka o ličnosti među zaposlenima;
promovisanje zaštite podataka o ličnosti među zaposlenima radi razumevanja vlastite uloge u zaštiti podataka
organizovanje edukacije iz oblasti zaštite podataka o ličnosti za zaposlene;
izveštavanje rukovodstva o nivou zaštite podataka i predlaganje mera za podizanje nivoa zaštite i dr.

S obzirom na navedene odgovornosti, jasno je da bi lice zaduženo za zaštitu podataka u ovom smislu trebalo da bude lice koje se nalazi na pozicijama višeg hijerarhijskog nivoa. U kompanijama je praksa pokazala da bi to lice trebalo da bude deo najvišeg menadžmenta. Uzimajući u obzir postojeći model organizacije, odnosno teritorijalnu rasprostranjenost APR-a, rešenje bi trebalo tražiti u uvođenju odgovornosti na dva nivoa. Preporuka je da lice zaduženo za strateške stvari iz oblasti zaštite podataka o ličnosti na nivou APR bude neko iz sedišta. Na osnovu analize trenutnog načina rada i modela organizacione strukture APR, predlog je da to bude Rukovodilac odeljenja za isporuke podataka. Sa druge strane, s obzirom da APR ima organizacione jedinice koje su geografski razdvojene, u svakoj organizacionoj jedinici bi trebalo da postoji lice zaduženo za zaštitu podataka o ličnosti, koje bi trebalo da ima minimalnu odgovornost za sprovođenje strateških odluka iz ove oblasti, donetih na centralnom nivou.

Dakle, Direktor, u saradnji sa licem za zaštitu podataka o ličnosti (Rukovodiocem odeljenja za isporuke podataka) i Registratorima, kao vlasnicima ključnih poslovnih procesa, treba detaljno da propišu operativna zaduženja u ovom smislu, i da osmisle na koji način da pojedinim ljudima u filijalama, naročito većim, daju posebna zaduženja u ovoj oblasti. Svakako je potrebno da se internim aktima ova zaduženja i procedure rada preciznije propišu, u pravcu uvođenja standarda.

Edukacija

Postojeće stanje: Obaveštenje o odredbama Zakona o zaštiti podataka o ličnosti dostavljeno je svim licima koja su zaposlena u APR po osnovu ugovora o radu, licima koja obavljaju privremene i povremene poslove ili imaju zaključene ugovore o delu, ili obavljaju poslove po drugom ugovoru, kao i licima na dopunskom radu, stručnom osposobljavanju i usavršavanju. Nije sprovođena formalna obuka zaposlenih o postojećoj regulativi (Zakon; standardi) iz oblasti zaštite podataka o ličnosti.

Preporuka: Svoju osnovnu delatnost APR obavlja kroz prikupljanje i obradu velikog broja podataka o ličnosti, zbog čega je izuzetno važno što se svima koji su uključeni u ove procese dostavlja obaveštenje o odredbama Zakona o zaštiti podataka o ličnosti. Međutim, poželjno bi bilo uvesti kontinuiranu edukaciju zaposlenih iz oblasti zaštite podataka o ličnosti, pogotovo za zaposlene koji obavljaju osnovnu delatnost, radi podizanja svesti o osetljivosti ovih podataka i konstantnog usaglašavanja sa važećim propisima iz ove oblasti. Takođe, trebalo bi organizovati testiranja znanja zaposlenih iz ove oblasti, u definisanim vremenskim intervalima, kako bi APR konstantno imala uvid u stanje sistema u pogledu zaštite podataka o ličnosti.

Pristup zaposlenih reprezentativnoj evidenciji

Pristup Registru privrednih subjekata se, u načelu, omogućava bez ograničenja svima koji žele da mu pristupe, osim u zakonom propisanim slučajevima, u cilju zaštite podataka o ličnosti . Postoji ograničena enkripcija unutar baze podataka. Pristup bazi podataka putem internet stranice APR nije direktan, već se vrši kroz aplikacije koje pristupaju bazi podataka u realnom vremenu.

Zaposleni u APR mogu pristupiti bazi podataka kroz aplikaciju za unos podataka i, u zavisnosti od prava pristupa, imati uvid i/ili mogućnost obrade podataka koji su vidljivi preko internet stranice. Direktan pristup bazi podataka imaju dva administratora sistema i četiri administratora baze podataka, dok ostali zaposleni informacionom sistemu APR i bazi podataka pristupaju kroz aplikaciju, unošenjem korisničkog imena i lozinke koja je samo njima poznata. Administrator baze podataka ima pristup svim korisničkim imenima, ali ne i lozinkama.

Aplikacija za unos podataka je programirana tako da zaposleni u APR, u zavisnosti od procesa registracije u kojem učestvuju, imaju diferencirani nivo prava pristupa informacionom sistemu, u zavisnosti od radnog mesta i opisa posla. Pristup podacima, kada je reč o korisnicima, moguć je isključivo kroz aplikacije u kojima su korisnici sa definisanim ulogama, kroz sistem rola, a samim tim i ograničenjima. Matrica uloga (privilegija) u informacionom sistemu APR, sadrži sledeća radna mesta i definisana prava pristupa:

Rola: Administrator – vrši administraciju same aplikacije, dodaje nove korisnike, briše stare korisnike i dodeljuje prava i uloge.
Rola: Registrator – poseduje sva prava osim prava dodele i brisanja korisnika.
Rola: Operater za obradu predmeta – ima mogućnost obrade predmeta samo do trenutka odobravanja i štampanja rešenja.
Rola: Operater za obradu i odobravanje predmeta – ima mogućnost obrade predmeta i konačnog odobravanja i štampanja rešenja.
Rola: Operater za prijem i dodelu predmeta – ima mogućnost prijema i dodele predmeta na dalju obradu.
Rola: Operater za ekspedicuju i štampu rešenja – ima mogućnost štampanja rešenja i njegove dalje ekspedicije.
Rola: Pregled rešenja – ima mogućnost pregleda rešenja već odobrenіh predmeta.
Rola: Arhivar – ima mogućnost pregleda i dodele predmeta Službi arhive.

Samim tim što korisnik pristupa bazi podataka kroz aplikacije, koje su predodređene za sprovođenje određenih akcija, poznat je i osnov pristupa prilikom svakog pristupa. Sistemski se na serveru beleži svaki pristup bazi podataka, kretanje predmeta i štampanje. Takođe se za svaki predmet vezuju i podaci o vlasniku, odnosno obrađivaču predmeta.

APR određenim institucijama dostavlja delove baze podataka u skladu sa upitom koji je poslat, sa ili bez naknade.

Sektor za održavanje informacionog sistema

Postojeće stanje: Organizaciona jedinica za održavanje i implementaciju informacionog sistema APR je Sektor informatike i razvoja, u kom je trenutno zaposleno 25 osoba različitih kvalifikacija.

Preporuka: Preporuka je da se detaljnije propišu i kompletiraju procedure koje regulišu pristup i upravljanje podacima iz elektronske baze, o čemu će više biti reči u tački izveštaja koja se odnosi na ISO standarde.

Evidencija u papirnoj formi

Postojeće stanje: Svi podaci iz registra, kao i sva dokumentacija koja je predata prilikom registracije vode se u parirnoj formi i dostupni su javnosti u prostorijama APR. Ova dokumenta sadrže veći broj podataka o ličnosti od onog koji se može pronaći u elektronskoj bazi podataka Registar privrednih subjekata. U pitanju je cela registraciona prijava, u kojoj su sadržani lični podaci podnosioca prijave, koji ne mora biti preduzetnik, kao i fotokopija njegove lične karte. Sam pristup se potpuno slobodno ostvaruje, bez ikakve identifikacije ili beleženja pristupa.

Preporuka: S obzirom da su podaci koji se čuvaju u papirnoj formi javno dostupni, i da je omogućen pristup javnosti svakom od dokumenata, ne postoji prostor za unapređenje rada APR u ovom domenu.

ISO standardi

Postojeće stanje: Prema podacima dostupnim u Registru sertifikovanih privrednih društava koji vodi Privredna komora Srbije, u Agenciji za privredne registre nije implementiran nijedan standard iz ISO serije standarda.

Sa druge strane, u Sektoru informatike i razvoja, Odeljenju za isporuke podataka i registrima postoji dobra praksa upravljanja podacima, koja je dobrim delom dokumentovana kroz procedure definisane u dva važna tekuća projekta:

Uvođenje ITIL preporuka za upravljanje IT uslugama;
“Sistem finansijskog upravljanja i kontrole” (SFUK), u okviru kog su u svim delovima APR opisane procedure rada, pre svega iz perspektive opšteg upravljanja rizicima.

Preporuka: U narednom periodu bi trebalo raditi na usaglašavanju postojeće prakse sa zahtevima standarda, kao i na daljem uvođenju procedura za sve ključne procese. Takođe bi trebalo uvesti standard ISO 9001 – Sistem upravljanja kvalitetom, kao bazni standard, dok bi u sledećoj iteraciji trebalo težiti uvođenju standarda ISO 27001 Sistem upravljanja bezbednošću informacija, koji s obzirom na delatnost APR predstavlja najbitniji standard ISO serije. Standardima bi trebalo formalno regulisati pristup i upravljanje podacima u elektronskoj formi, kao i pristup dokumentima koji se čuvaju u papirnoj formi. Precizno definisane i u punoj meri primenjene procedure za kontrolu pristupa i upravljanje podacima u elektronskoj formi, kao i pristup dokumentima koji se čuvaju u papirnoj formi, predstavljaće dobru osnovu za formalno uvođenje navedenih standarda.

Zaključak

Obzirom da su podaci o ličnosti koji se nalaze u Registru privrednih subjekata, ali i drugim registrima koje vodi APR javno dostupni, mogućnosti za zloupotrebu podatka od strane zaposlenih su svedene na minimum. Ipak i pored toga u APR postoji sistem rola koji daje različita ovlašćena zaposlenima u odnosu na opis radnog mesta, a takođe se na serveru beleži svaki pristup bazi podataka, kretanje predmeta i štampanje, što je veoma dobro rešenje. U tom smislu za APR najveći rizik može predstavljati očuvanje integriteta celokupne baze podataka. Činjenica da direktan pristup bazi podataka imaju samo dvaadministratora sistema i četiri administratora baze podataka, te da neovlašćeni pristupi bazama podataka do sada nisu zabeleženi, svakako predstavljaju pokazatelj da je ovaj rizik sveden na minimum.

Opšte tehničke informacije i struktura sistema

U okviru informacionog sistema APR postoji veći broj servera i drugih uređaja koji na različite načine učestvuju u prikupljanju, obradi, skladištenju i obezbeđenju podataka o fizičkim licima. Svi serveri su u vlasništvu APR-a i nalaze se u sedištu u Beogradu, u Brankovoj ulici broj 25.

Namena veb servera, mejl servera i skladištenja odnosi se na hostovanje aplikacija i internet sadržaja, komunikaciju i skladištenje podataka. Na aplikativnim serverima i serverima baze podataka koji su u klasteru nalazi se Registar privrednih subjekata, zbog raspoloživosti i bezbednosti podataka. Baza podataka Registra privrednih subjekata je na Microsoft SQL serveru.

Pristup internetu

Statični deo internet prezentacije APR-a sa opštim informacijama hostuje se kod provajdera EUNET doo Beograd. Sve javne pretrage podataka i jedinstvene elektronske centralne baze podataka se nalaze na serverima u APR-u koja je samostalno ugovorila uslugu hostinga.

Internet provajderi čije usluge koristi APR su Telekom Srbija i Pošta Srbije. Opseg Telekomovih IP adresa je 195.178.56.17/29, dok je opseg PTT IP adresa 212.62.49.194/30.

*Opšte informacije*
*Naziv ustanove*	Agencija za privredne registre
*URL*	http://www.apr.gov.rs/
*Datum vršenja analize*	27.04.2015.
*WHOIS pretraga*
*Ime i Prezime*	Dragan Dragović
*Adresa*	Brankova 25, Beograd
*Provider*	Mainstream D.O.O Beograd
*URL Provajdera*	http://www.mainstream.rs/
*Registrator*	CRI DOMAINS
*URL Registratora*	http://cridomains.rs/
*Država*	Srbija
*Nmap*
*Broj otvorenih portova*	16
*Broj filtriranih portova*	0
*Broj zatvorenih portova*	984
OS	Linux 2.4.36
*Bezbedan (Nmap)*	Ne
*IP v4*	87.237.200.6
*IP v6*	/
*MAC*	/

VPN i Cloud usluge

APR koristi privatnu VPN vezu koja administratorima služi za prustup bazi podataka, dok ne koristi VPN usluge trećih lica. Cloud usluge se u ovom momentu ne koriste jer za tim ne postoji potreba. Implementacija Cloud usluga nije planirana u bliskoj budućnosti.

Serverska podešavanja

Onlajn pretraživa baza na sajtu APR-a se sa izvornom, matičnom bazom podataka sinhronizuje u realnom vremenu putem standardne transakcione replikacije. Replikuju se svi podaci pa i podaci o licima koji su takođe dostupni na sajtu Agencije i čije je objavljivanje propisano Zakonom o privrednim društvima i Zakonom o postupku registracije u APR.

Razlog pristupanja Registru se ne evidentira jer je radni proces u kojem zaposleno lice učestvuje povezano sa njegovim nalogom/korisničkim imenom, odnosno svaki nalog ima pristup određenom delu Registra prema vrsti posla kojim se zaposleni bavi.

APR ne dozvoljava direktan pristup bazama podataka preko veb sajta. Korisnici pristupaju posebnim aplikacijama preko kojih se pristupa bazi podataka u Registru privrednih subjekata, koja se standardnom transakcionom replikacijom sinhronizuje sa izvornom bazom podataka u realnom vremenu.

Informacionom sistemu Registra se pristupa unosom korisničkog imena i lozinke (Windows autentifikacija), jedino poznate zaposlenom licu koji unosi lozinku u sistem. Evidencija korisničkih imena bez lozinki vezana je za radno mesto glavnog administratora sistema. Transcakcioni logovi čuvaju se nekoliko nedelja.

Postoji ograničena enkripcija unutar baza podataka. Pristup podacima, kada je reč o korisnicima, moguć je isključivo kroz aplikacije u kojima su korisnici sa definisanim ulogama a samim tim i ograničenjima.

Iz Centralnog registra Poverenika za informacije od javnog značaja i zaštitu podataka od ličnosti preuzeli smo sledeće mere zaštite podataka koje se ne odnose na Registar privrednih subjekata već na kadrovsku evidenciju: podaci se obrađuju i čuvaju u elektronskom obliku, u posebnom računaru, gde je zbirka osigurana sistemom lozinki za autorizaciju i identifikaciju koji omogućava utvrđivanje kada su pojedini podaci bili korišćeni ili uneti u zbirku i ko je to uradio, s tim da podatke mogu obrađivati samo ovlašćena lica.

Preporuka: Potencijalni bezbednosni nedostatak u sistemu je režim logovanja, odnosno nepostojanje drugostepene verifikacije ili elektronskog sertifikata kao mehanizma za utvrđivanje autentičnosti identiteta korisnika. Takođe, time što se razlog pristupa zaposlenog ne evidentira, nije moguće prepoznati i pratiti zloupotrebe koje mogu nastati unutar organizacije. Stoga preporučujemo strožiji mehanizam evidentiranja pristupa.

Pristup trećih lica

APR ima zaključene sporazume o pristupu podacima putem veb servisa ili redovnih, standardizovanih preuzimanja, sa većim brojem državnih organa i zainteresovanih pravnih lica. Način pristupa definiše se posebno za svaku od pojedinih organizacija, tako što se naknada za pristup podacima ne naplaćuje državnim organima i organizacijama, kao ni organima pokrajina i lokalnih samouprava, a naplaćuje se ostalim korisnicima podataka, u skladu sa važećim propisima.

Na osnovu Sporazuma o saradnji koji APR ima zaključen sa Centralnim registrom obaveznog socijalnog osiguranja (CROSO), ustupanje podataka između njih vrši se elektronskim putem, preko zaštićene mreže UZZPRO-a. Centralni registar više puta dnevno preuzima podatke o obveznicima doprinosa – poslodavcima i isplatiocima prihoda. Takođe, APR obezbeđuje Centralnom registru punu raspoloživost organizaciono-tehnoloških usluga za korišćenje veb servisa 24 časa dnevno, gde Centralni registar ima obavezu da u okviru svog informacionog sistema obezbedi integraciju podataka preuzetih sa veb servisa APR-a. Podatke iz svojih baza međusobno će ustupati:

razmenom struktuiranih podataka raspoloživim veb servisima;
na osnovu obrazloženog zahteva u pisanoj formi, sa specifikacijom potrebnih podataka, u skladu sa Odlukom o vrsti, obimu i načinu isporuke podataka i dokumenata koji se ustupaju bez naknade državnim organima i organizacijama, organima autonomnih pokrajina i jedinicama lokalne samouprave.

Sva obaveštenja i zahtevi koji su od značaja za realizaciju ovog sporazuma razmenjuju se pisanim putem, uključujući i elektronsku poštu sa zvaničnih domena. APR i Centralni registar su u obavezi da pri ustupanju podataka poštuju operativne i bezbednosne procedure druge strane, kao i da obezbede najviši nivo unutrašnje funkcionalnosti i bezbednosti. To podrazumeva:

kontrolu prava pristupa podacima preuzetim od druge strane;
bezbedno čuvanje ustupljenih podataka;
organizaciju posla kojom se obezbeđuje redovno izvršavanje ovog sporazuma.

Veb servisi APR-a definisani su korišćenjem standarnih protokola, alata i metoda programiranja i korisničkih pristupa (interfejsa). Standardni formati isporučenih podataka su MDB format (MS Access file), XLS/XSLX format (MS Excel file) ili CSV, kao i DOC/DOCX format (MS Word file), dok se veb servis, ali i sve veći broj pojedinačnih preuzimanja, zasniva na standardu XML.

U tehničkom smislu, pristup se može ostvariti ili preko veb servisa, ili u drugačijem formatu, shodno sporazumu. Takođe, APR omogućava pristup testnim bazama podataka razvojnim timovima partnerskih kompanija isključivo putem izolovanih wlan-ova.

APR koristi usluge trećih lica u oblasti održavanja infrastrukture, gde su sva prava i obaveze propisane ugovorom. Predstavnici kompanije koja pruža usluge održavanja hardvera – IBM, pristupaju isključivo po potrebi i pozivu.

Podaci o licima su javni i dostupni na sajtu, na linku Pretrage podataka, u skladu sa zakonima koji uređuju oblast registracije i vođenja registara kao jedinstvenih elektronskih baza podataka.

Neovlašćen eksterni pristup bazi podataka do sada nije zabeležen, iako je bilo onemogućenih pokušaja uz pomoć mehanizma “zlonamernih automatizovanih pretraživača”. Internet stranicu APR-a dnevno posećuje više od 50.000 individualnih posetilaca, stoga ovo ne predstavlja neuobičajeni rizik. Ovaj sajt svrstava se u najposećenije sajtove među državnim organima zbog višemilionskog broja pregleda na mesečnom nivou.

Preporuka: APR prikuplja veliki broj podataka o ličnosti gde je određeni deo javno dostupan na sajtu dok se ostalo, kao što su fotokopije lične karte i pasoša, ne objavljuje na internetu. Iz tog razloga smatramo da se treba dosledno držati principa da jedino podaci koji su objavljeni na sajtu APR-a i dostupni svima mogu dostavljati prema sporazumu o ustupanju podataka. Naravno ovaj princip nikako nije primenljv na razmenu podataka te sporazume i protokole o ustupanju podataka sa institucijama kao što su na primer Poreska uprava ili CROSO za koje postoji zakonski osnov ali i zakonska obaveza za ustupanje i onih podataka koji nisu objavljeni na sajtu APR-a i dostupni svima.

Zaključak

APR je veoma specifična institucija, gde se na određeni deo podataka o ličnosti prema članu 5 Zakona o zaštiti podataka o ličnosti pojedine odredbe istog Zakona ne primenjuju, usled činjenice da se podaci objavljuju na zvačnom sajtu Agencije. S obzirom na to da su podaci javno dostupni, restriktivne mere zaštite nisu neophodne. Pored toga, integritet podataka je veoma važan, te se preporučuje upotreba mehanizama za zaštitu kao što su hešovanje i enkripcija.

S druge strane, način logovanja može se poboljšati upotrebom digitalnih sertifikata ili drugostepene verifikacije i detaljnijeg monitoringa aktivnosti korisnika u okviru sistema, čime se preventivno deluje na mogućnost zloupotrebe unutar organizacije.

MEDIJSKA POKRIVENOST

Uvodna napomena

Sa druge strane, aktivno učešće institucija državne uprave u javnom dijalogu posvećenom zaštiti privatnosti i ličnih podataka koje prikupljaju i obrađuju, moglo bi se pokazati kao ključni doprinos daljem uređenju ove oblasti ali i sopstvenoj promociji kao vodećeg aktera u zaštiti interesa građana.

Agencija za privredne registre

Prema istraživanju objavljenom u godišnjem izveštaju APR o odnosima institucije sa javnošću, Agencija se tokom prethodne godine nalazila u vrhu državnih organa i institucija u koje privrednici imaju najviše poverenja, kao značajnog aktera u unapređenju poslovnog okruženja. U skladu s tim je i odgovarajći interes medija za izveštaje i zbirne podatke koje Agencija objavljuje.

S tim u vezi, prema svedočenju predstavnika APR, prošle godine su mediji pokazali poseban interes za početak vođenje „liste loših direktora“, odnosno usvajanje Zakona o centralnoj evidenciji privremenih ograničenja prava lica registrovanih u Agenciji, kao i za podatke iz Registra medija.

Oktobra prošle godine je po prvi put objavljena dvojezična, srpsko-engleska publikacija „Godišnji bilten finansijskih izveštaja”, kao i „Saopštenje o poslovanju privrede u Republici Srbiji u 2014. godini“, koje se redovno objavljuje na sajtu Agencije. Obezbeđeno je i finansijsko izveštavanje za javno objavljivanje, uz potpunu transparentnost izveštaja. Objavljeni zbirni podaci pokazuju finansijski položaj i uspešnost poslovanja privrednih društava, ustanova i preduzetnika, za poslednje dve godine. Analiza ukazuje na trendove, osnovne finansijske performanse domaće privrede, na ukupnom nivou, kao i koncentraciju tih performansi po sektorima i veličini, sa posebnim osvrtom na odabrane segmente privrede, što je od posebnog značaja za medije.

Istorijski pregled

Osnivanje Agencije 2004. godine bilo je jedan od suštinskih preduslova za reformu državne uprave u pravcu uklanjanja administrativnih prepreka za poslovanje i objedinjavanja rasutih registara.

Pažnja medija u tom periodu najčešće je vezana za zloupotrebe privrednih subjekata prilikom preregistracije firmi u registar novoosnovane Agencije, posebno onih koje su se nalazile u spornom vlasništvu, postupku stečaja ili privatizacije.

Zaštita ličnih podataka dugo se ne postavlja kao posebno pitanje, već se podaci koje prikuplja i obrađuje Agencija u medijima pojavljuju uglavnom u svetlu pojedinih sporova. S druge strane, iako pretraživa baza podataka tada ne postoji a većina registara još nije ustanovljena, javnost podataka figurira kao prva i najvažnija prepreka sivoj ekonomiji, korupciji i slično, odnosno kao ključni mehanizam sprovođenja zakona.

Vremenom sprovi oko postupka registracije jenjavaju dok mediji stiču naviku da prebrojavanjem novoosnovanih i ugašenih preduzeća skiciraju opštu poslovnu klimu u zemlji.

U godinama nakon uspostavljanja odgovarajućeg pravnog okvira i institucije Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti, polako raste svest o potrebi da se ovi podaci tretiraju s više pažnje. U retkim medijskim napisima na ove teme, Agencija se pokazuje kao tačka u kojoj se prelamaju suprotstavljeni interesi javnosti – s jedne strane, jasna je potreba da se u državi razorenoj korupcijom rasvetli vlasništvo i poslovanje tzv fantomskih firmi i kompanija povezanih lica, dok se sa druge strane zahteva veća zaštita ličnih podataka. Najčešće se u ovom kontekstu govori o jedinstvenom matičnom broju građana (JMBG) koji se objavljuje u javno dostupnim bazama APR, a koji u sebi nosi niz podataka o ličnosti.

Kancelarija Poverenika pokrenula je krajem 2014. godine nadzor nad sprovođenjem Zakona o zaštiti podataka u APR, nakon što su se u medijima pojavile vesti da službenici Agencije prikupljaju i obrađuju podatke o novinarima i drugim istraživačima koji pristupaju dokumentaciji o pojedinim kompanijama. Rodoljub Šabić je na konferenciji za štampu koja je odražana neposredno nakon nadzora kancelarije Poverenika izjavio: ’’Nije bilo nikakve povrede zakona i nikakve informacije nisu curile iz APR-a’’.

DOKUMENTACIJA KOJA JE DOBIJENA OD POVERENIKA

Postupci nadzora

U Upozorenju Poverenika nakon obavljenog nadzora, br. 164-00-00119/2012-07, od 31.07.2012., utvrđeno je da je APR izvršio prekomernu obradu podataka i to objavljivanjem broja lične karte i adrese stanovanja osnivača privrednog društva na internet stranici APR-a, koji su u datom slučaju nepotrebni i nesrazmerni u odnosu na svrhu obrade. Do ovoga je došlo objavljivanjem Osnivačkog akta koji je sadržao pomenute podatke. Dodatno, skrenuta je pažnja APR-u na Odluku Ustavnog suda Srbije (“Sl. glasnik RS”, br. 68/12) kojom je utvrđeno da se isključivo Zakonom o zaštiti podataka o ličnosti može propisivati koji se podaci obrađuju, bez mogućnosti rešavanja zaštite podataka aktom niže pravne snage, u ovom slučaju Pravilnika o sadržini registra privrednih subjekata.

Takođe, u Obaveštenju APR-a u vezi sa Upozorenjem Poverenika, br. BD 107931/2012, od 23.08.2012., APR je izneo da su u skladu sa Zakonom o privrednim društvima i Zakonom o postupku registracije u Agenciji za privredne registre objavili osnivački akt, te da su u istom navedeni podaci koji nisu potrebni (broj lične karte i adresa) i da će preduzeti određene mere kako bi poučili korisnike da osnivački akt, kao i drugi dokumenti koji su predmet registracije i objave, ne moraju sadržavati podatke koji nisu predmet registracije, a posebno adresu stanovanja i broj lične karte domaćih fizičkih lica. U vezi druge primedbe Poverenika, APR je izneo da su pitanja obrade podataka o ličnosti u Registru privrednih subjekata bila regulisana Pravilnikom o sadržini Registra privrednih subjekata, koji je donet i stupio na snagu pre Odluke Ustavnog suda, te da će u skladu sa Odlukom Ustavnog suda, inicirati izmene i dopune postojećih zakona kojima će obrada podataka o ličnosti biti usklađena sa ZZPL. Do danas navedene izmene i dopune nisu inicirane.

U Upozorenju Poverenika nakon obavljenog nadzora, br. 164-00-00300/2012-07, od 03.10.2012., utvrđeno je da je APR objavio na svojoj veb stranici JMBG fizičkih lica, što predstavlja nedozvoljenu obradu obzirom da se vrši bez pristanka lica za obradu i bez zakonskog ovlašćenja. Takođe je utvrđeno da se Pravilnik o sadržini registra privrednih subjekata i dalje primenjuje i njim je propisana odredba koja određuje lične podatke koji se upisuju u Registar i koji se mogu objavljivati, a to ovlašćenje nije sadržano u Zakonu u skladu sa članom 42 Ustava i izmenama ZZPL-a, koji se odnose na obradu bez pristanka.

U Upozorenju Poverenika nakon obavljenog nadzora, br. 164-00-00679/2014-07, od 04.12.2014., konstatovano je da je APR prilikom zahteva za uvid u spise i izdavanje kopija dokumenata koji su u njenom posedu obrađivao podatke o ličnosti podnosilaca zahteva bez jasno određene svrhe. Utvrđeno je da lice može da podnese zahtev za uvid u spise i izdavanje kopija dokumenata u obliku neformalnog podneska, kao i putem elektronske pošte obzirom na to da obrazac zahteva APR nije obavezujući. U okviru postupanja po zahtevu, APR ne vrši uvid u lični dokument sa fotografijom lica koje podnosi taj zahtev, što znači da ovo lice može da se posluži tuđim ili izmišljenim imenom i prezimenom. Takođe, budući da se uz zahtev prilaže i dokaz o uplati naknade za izdavanje izvoda i kopija, ime i prezime uplatioca na uplatnici može da bude tuđe ili izmišljeno. Konačno, APR ne vrši ukrštanje imena i prezimena podnosioca zahteva i uplatioca. S obzirom da se upisano ime i prezime podnosioca zahteva, kao i uplatioca, može biti izmišljeno ili tuđe, postavlja se pitanje da li je to lice, bez drugih podataka o ličnosti, određeno ili odredivo, čime je dalje nejasna svrha prikupljanja ovih podataka, kao i eventualnog vršenja drugih radnji obrade od strane APR.

Naročito osetljivi podaci

Određeni podaci o ličnosti su “ličniji” od drugih, a njihovom obradom se dublje zadire u privatnost građana kao osnovno ljudsko pravo, te je stoga ovim podacima potrebno dati drugačiji status kako bi mere njihove zaštite bile strože u odnosu na ostale podatke o ličnosti. Jasno je da broj patika koje nosimo ne može biti podatak koji uživa istu zaštitu kao i naše versko uverenje.

ZZPL je u skladu sa tim definisao naročito osetljive podatke koje bismo mogli da podelimo u dve grupe:

Podaci koji se mogu obrađivati samo na osnovu pristanka lica, propisanog članom 17 ZZPL-a, i to samo onda kada zakonom nije zabranjena obrada ni uz pristanak. To su podaci koji se odnose na:
- nacionalnu pripadnost
- rasu
- jezik
- veroispovest
- seksualni život
- pol

Ovde se može postaviti pitanje svrsishodnosti označavanja pola kao naročito osetljivog podatka, imajući u vidu da se ovaj podatak može uvek saznati iz drugih podataka koji nemaju ovaj status, kao što je JMBG, a u najvećem broju slučajeva i lično ime. Sa druge strane naročito osetljiv bi bio podatak o promeni pola.

Podaci koji se mogu obrađivati bez pristanka lica, samo ako je to zakonom propisano. To su podaci koji se odnose na:
- pripadnost političkoj stranci
- sindikalno članstvo
- zdravstveno stanje
- primanje socijalne pomoći
- žrtvu nasilja
- osudu sa krivično delo

Ovde je bitno napomenuti da ZZPL ne navodi striktno da se podaci koji se odnose na žrtvu nasilja i osudu za krivično delo mogu obrađivati bez pristanka lica, ali to je previd zakonodavca, imajući u vidu da su određeni organi vlasti zakonom ovlašćeni da obrađuju naročito osetljive podatke. Tako je organ starateljstva (Centar za socijalni rad) dužan da vodi evidenciju i dokumentaciju o licima prema kojima je izvršeno nasilje u porodici.

U slučajevima kada organi vlasti obrađuju naročito osetljive podatke, trebalo bi da posebno označe ovu obradu i da primene posebne mere zaštite. Posebne mere zaštite naročito osetljivih podataka trebalo je da budu uređene Uredbom Vlade, u skladu sa ZZPL-om, ali ni više od 7 godina nakon stupanja na snagu ZZPL-a ova Uredba nije doneta. To ipak ne znači da ne postoji obaveza organa vlasti da naročito osetljive podatke zaštite posebnim merama, već to znači da u nedostatku konkretnih tehnika i principa koje bi bile propisane Uredbom, organi vlasti treba sami da ovakve mere propišu i primene.

Podaci na koje se ne primenjuju odredbe Zakona o zaštiti podataka o ličnosti

Postoje situacije u kojima podaci o ličnosti neće uživati zaštitu propisanu Zakonom, kada je kontekst i svrha obrade ne opravdavaju. Konkretno, ZZPL u članu 5 navodi da se odredbe ovog Zakona o uslovima za obradu, kao i o pravima i obavezama u vezi sa obradom, ne primenjuju na obradu:

podataka koji su dostupni svakome i objavljeni su u javnim glasilima i publikacijama, ili pristupačni u arhivama, muzejima i drugim sličnim organizacijama;
podataka koji se obrađuju za porodične i druge lične potrebe i nisu dostupni trećim licima;
podataka koji se o članovima političkih stranaka, udruženja, sindikata, kao i drugih oblika udruživanja obrađuju od strane tih organizacija, pod uslovom da član dâ pismenu izjavu da određene odredbe ovog zakona ne važe za obradu podataka o njemu za određeno vreme, ali ne duže od vremena trajanja njegovog članstva;
podataka koje je lice, sposobno da se samo stara o svojim interesima, objavilo o sebi.

Da ne bude zabune, svi ovi podaci i dalje zadržavaju status podataka o ličnosti, ali je jasno da ne postoji potreba da se na njih primenjuje strogi režim zaštite. Nije potrebno da se građani koji obrađuju podatke o ličnosti u vidu albuma porodičnih fotografija, telefonskih imenika svojih poznanika i slično, tretiraju kao rukovaoci, uz sve obaveze koje taj status sa sobom nosi, niti je potrebno da se dalje štiti tajnost podataka koji su javno objavljeni u publikacijama, ili ih je lice na koje se odnose samo objavilo.

Naravno, ukoliko očigledno pretežu interesi lica da se zaštita podataka ipak ostvari, i u netipičnim situacijama bi moglo da dođe do primene ZZPL-a. Pretežni interes osobe na koju se podaci odnose predstavlja temelj pravnog standarda koji treba tumačiti u svakom konkretnom slučaju i u skladu sa načelima Zakona, koji izviru iz ustavnog prava građana na privatnost.

PRIMER: Tabloid nezakonito, bez pravnog osnova i bez ičije saglasnosti, objavi slike iz bolnice, dijagnozu bolesti, spisak lekova i preporučenu terapiju estradne umetnice. Iako su ovi podaci objavljeni u javnom glasilu i na taj način postali dostupni javnosti, za šta će naravno postojati pravna odgovornost tabloida i lica koje je te podatke učinilo dostupnim, to ne znači da je dalja obrada tih podataka slobodna i da ne treba da uživaju dalju zaštitu. U tom smislu bi se i dalje objavljivanje takvih informacija, kao i komentarisanje stručnjaka za oblast medicine o konkretnoj bolesti, smatralo nedozvoljenom obradom podataka.

Uvod

Rad je započet u aprilu 2015. godine, obimnim istraživanjem o vrstama obrade i načinima zaštite podataka o ličnosti u javnom sektoru, čiji su procesi zatim analizirani sa pravnog, organizacionog i tehničkog aspekta, predstavljenim u ovom Vodiču. Istraživanje je obuhvatilo šest državnih institucija: Republički fond za zdravstveno osiguranje, Republički fond za penzijsko i invalidsko osiguranje, Centralni registar obaveznog socijalnog osiguranja, Poreska uprava, Agencija za privredne registre i Gradski centrar za socijalni rad Beograd. Metodološki je istraživanje zasnovano na javno dostupnim podacima, ali i podacima dobijenim putem zahteva za pristup informacijama od javnog značaja. Institucije su bile spremne na saradnju, te je sa predstavnicima održan niz sastanaka zahvaljujući kojima su istraživači bolje upoznavali i razumevali procese rukovanja podacima građana u javnom sektoru.

Tokom rada, istraživači SHARE Fondacije su imali neprocenjivu podršku službe Poverenika za pristup informacijama od javnog značaja i zaštitu podataka o ličnosti. Značajno iskustvo koje zaposleni u službi Poverenika imaju u ovoj oblasti bilo je dragoceno za rad istraživača, a posebno njihova dostupnost i spremnost za aktivnu razmenu znanja.

Kao krajnji rezultat istraživanja, Vodič obuhvata najbolje prakse i procedure zaštite podataka koje se primenjuju u analiziranim institucijama, ali i višegodišnje iskustvo službe Poverenika iz ove oblasti te znanje i inovativnost SHARE Fondacije koja se posebno bavi pitanjima privatnosti u digitalnom okruženju.

Vodič je namenjen pre svega organima vlasti, ali s obzirom na to da je zaštita podataka o ličnosti oblast uređena zakonom koji se tiče svih aktera, analize i preporuke iz istraživanja SHARE Fondacije biće od koristi i rukovaocima podataka iz privatnog sektora. Konačno, najvažnija svrha istraživanja predstavljenog u ovom Vodiču, jeste doprinos boljem razumevanju podataka o ličnosti, značaja njihove zaštite, kao i dužnosti rukovaoca i obrađivača podataka, te tehničkih i organizacionih mera koje su im na raspolaganju ili koje su u obavezi da primene kako bi zaštitili podatke o ličnosti građana Srbije.

U prvom delu Vodič razmatra osnovne pojmove ove, relativno nove oblasti. Zakon o zaštiti podataka o ličnosti pisan je u skladu sa celokupnim narativom domaćeg pravnog sistema, strukovnim jezikom neophodnim za efikasnu primenu, a koji ponekad može biti neprohodan manje upućenom čitaocu. Razjašnjenja pojedinih odredbi i termina kao što su ‘rukovalac’, ‘obrada podataka’, pa i sam ‘podatak o ličnosti’, data su kroz primere, stvarne ili hipotetičke. Bolje razumevanje smisla osnovnih pojmova i principa Zakona o zaštiti podataka o ličnosti, nužan je uslov za prepoznavanje prava na privatnost i zaštitu podataka o ličnosti kao otelotvorenja suštinske potrebe svakog građanina, a ne spoljašnjeg mehanizma nametnutog prolaznom pravnom normom.

U odeljku posvećenom organizacionim merama za zaštitu podataka izložene su analize i preporuke namenjene upravi i kadrovskoj službi organa vlasti, kao niz korisnih smernica za organizaciju zaposlenih u skladu sa načelom smanjenja rizika od povrede prava na zaštitu podataka o ličnosti. Posebno su obrađena pitanja poput odgovornosti za zaštitu podataka, lica koja se bave tim poslovima, edukacije zaposlenih, neophodnih internih akata i druga.

Tehničke mere za zaštitu podataka namenjene su prvenstveno tehničkim ekspertima u organima vlasti, a u tom delu su izložena iskustva i preporuke za adekvatnu strukturu informacionog sistema, te problemi pristupa, čuvanja i zaštite podataka u digitalnom okruženju.

Poslednji, četvrti deo Vodiča tretira praksu lica ovlašćenih da postupaju po zahtevima za ostvarivanje prava iz Zakona o zaštiti podataka o ličnosti. Tu su obrađene procedure i načini na koji organ vlasti treba da postupa po ovim zahtevima građana, uz poseban osvrt na nedoumice ili nejasnosti koje su uočene prilikom razlikovanja zahteva vezanih za zaštitu podataka od zahteva za pristup informacijama od javnog značaja.

SHARE Fondacija, mart 2016.