Poreska uprava

PU

OPŠTI PODACI

Preuzmite pdf celog izveštaja

Podaci o osnovnoj delatnosti, sedištu, pravnim aktima, veb sajtu i slično

Osnovna delatnost Poreske uprave (PU), organa uprave u sastavu Ministarstva finansija, između ostalog jeste registracija poreskih obveznika. Za ove svrhe, PU vodi jedinstven registar poreskih obveznika. Pored ovog, PU vodi i registre u oblasti menjačkog poslovanja i registre u oblasti igara na sreću.

PU takođe vrši poresku kontrolu i utvrđivanje poreza u skladu sa zakonom, vrši redovnu i prinudnu naplatu poreza i sporednih poreskih davanja, otkriva poreska krivična dela i njihove izvršioce. U ovoj oblasti, PU pokreće i vodi prvostepeni poreski prekršajni postupak i izriče kazne za poreske prekršaje, odlučuje o žalbama izjavljenim protiv rešenja donetih u poreskom postupku od strane organizacionih jedinica Poreske uprave.

Organizaciono, PU je podeljena u dva osnovna segmenta, Centar za velike poreske obveznike (CVPO) i Centralu, u čijoj su nadležnosti filijale i ekspoziture u zemlji. U okviru Centrale PU deluje deset sektora.

Veb portal Poreske uprave je ažuran u svim najvažnijim oblastima delatnosti. Na sajtu nema posebnog segmenta posvećenog politikama privatnosti, odnosno zaštiti podataka o ličnosti.

U okviru odeljka “O nama”, stranica za pravilnike, objavljen je “Pravilnik o pravilima ponašanja poreskih službenika i nameštenika u Ministarstvu finansija – Poreskoj upravi”, gde se u članu 9 navodi da je zaposleni u PU dužan “da se prema poreskom obvezniku ophodi sa poštovanjem i uvažavanjem, poštujući njegovu privatnost”.

Integrisan deo sajta čini portal eporezi.poreskauprava.gov.rs, kao objedinjen skup elektronskih usluga PU, namenjen svim poreskim obveznicima. Na ovaj način je moguća onlajn dostava elektronski potpisanih obrazaca poreskih prijava, praćenje statusa poslatih obrazaca i uvid u poresku karticu poreskog obveznika. U opisu usluga, na sajtu se navodi da ovaj sistem “zadovoljava visoke standarde bezbednosti koji omogućava siguran i nekompromitovan prenos podataka elektronskim putem”.

Adresa: Save Maškovića 3-5, 11 000 Beograd

E-mail: [email protected]

Internet prezentacija:www.purs.gov.rs

Informator o radu: http://www.purs.gov.rs/sw4i/download/files/cms/attach?id=3107

PRAVNI ASPEKTI OBRADE PODATAKA

Zbirke podataka o ličnosti

Poreska uprava je registrovala 28 zbirki podataka o ličnosti u Centralni registar zbirki podataka koji vodi Poverenik.

Od toga, 21 zbirka podataka se odnosi podatke o ličnosti osoba koje su zaposlene u Poreskoj upravi ili obavaljaju poslove u Poreskoj upravi po drugom osnovu, kao što su Kadrovska evidencija, Evidencija o prisutnosti na radu, Izveštaj o ocenjivanju državnog službenika, zbirka podataka – disciplinski spis i druge slične zbirke podataka.

Preostalih 7 zbirki podataka se odnose na podatke o ličnosti lica koja u većini slučajeva nisu zapsolena u Poreskoj upravi, već se ove zbirke podataka vode po nekom drugom osnovu, i to su:

  1. Evidencija o ovlašćenim serviserima fiskalnih kasa (podaci o serviserima fiskalnih kasa)
  2. Pregled pravosnažnih rešenja o prenosu nepokretnosti u svojinu Republike Srbije dostavljenih Direkciji za imovinu (podaci o poreskim obveznicima – fizičkim licima)
  3. Pregled pravosnažnih rešenja o prenosu pokretnih stvari u svojinu Republike Srbije dostavljenih Direkciji za imovinu (podaci o poreskim obveznicima – fizičkim licima)
  4. Pregled pravosnažnih rešenja o otpisu poreske obaveze usled zastarelosti (podaci o poreskim obveznicima – fizičkim licima)
  5. Evidencija izdatih sertifikata za obavljanje menjačkih poslova (podaci o fizičkim licima koja kao preduzetnici obavljaju menjačke poslove)
  6. Rešenja o izdavanju ovlašćenja za obavljanje menjačkih poslova (podaci o fizičkim licima koja kao preduzetnici obavljaju menjačke poslove)
  7. Rešenja o oduzimanju ovlašćenja za obavljanje menjačkih poslova (podaci o fizičkim licima koja kao preduzetnici obavljaju menjačke poslove)

Nijedna od 7 navedenih zbirki podataka ne predstavlja neku sveobuhvatniju zbirku podataka o ličnosti, već se odnosi na usko definisana lica o kojima se vode podaci.

Pored ovih zbirki, Poreska uprava vodi Jedinstveni registar poreskih obveznika (u daljem tekstu “Jedinstveni registar”) kao najznačajniju bazu podataka, imajući u vidu da se u njoj nalaze podaci svih poreskih obveznika u Republici Srbiji, te je u tom smislu uporediva sa zbirkama podataka koje vode preostale institucije obuhvaćene ovim Projektom.

Kao reprezentativnu zbirku podataka odabrali smo Jedinstveni registar, te se dalja analiza svih aspekata obrade podataka o ličnost prvenstveno odnosi na Jedinstveni registar. Dodatno, imajući u vidu različite pravne okvire u zavisnosti od vrste poreskog obveznika, naša analiza se prvenstveno odnosila na deo Jedinstvenog registra koji se odnosi na podatke o preduzetnicima koji su obveznici paušalnog poreza.

Pravni osnov

Zakonom o poreskom postupku i poreskoj administraciji, član 160 stav 1 tačka 1, utvrđeno je da Poreska uprava vodi Jedinstveni registar. Nijednom odredbom Zakona nisu navedeni podaci koji će se voditi u Jedinstvenom registru, niti je preciznije definisano podaci kojih lica će se nalaziti u Registru kao ni koja je svrha vođenja Jedinstvenog registra.

Ovo je značajno iz razloga što je članom 42 Ustava Republike Srbije između ostalog utvrđeno da se prikupljanje, držanje, obrada i korišćenje podataka o ličnosti uređuje zakonom. U skladu sa tim, podaci o ličnosti koji se vode u Jedinstvenom registru, kao i svrha zbog koje se vode bi trebalo da budu definisani zakonom.

Podaci o ličnosti

Zakon o poreskom postupku i poreskoj administraciji ne definiše direktno koji se podaci vode u Jedinstvenom registru, kao ni drugi zakoni i podzakonski akti iz ove oblasti. Ipak, uvidom u PIB registar koji je javno dostupan na sajtu Poreske uprave, a koji pretragom po zadatom PIB-u prikazuje sve osnovne podatke iz Jedinstvenog registra, kao i analizom Jedinstvene registracione prijave osnivanja pravnih lica i drugih subjekata i registracije u jedinstveni registar poreskih obveznika (Jedinstvene registracione prijave), te poreske prijave PPDG – 1P obrasca, došli smo do zaključka koji se podaci nalaze u ovoj Jedinstvenom registru. Radi celovitog metodološkog pristupa radili smo samo analizu podataka koji se odnose na preduzetnike.

Podaci koji se nalaze u Jedinstvenom registru, a javno su dostupni na sajtu uvidom u PIB registar,  nakon unošenja PIB-a određenog preduzetnika su:

 

  1. Ime i prezime preduzetnika
  2. JMBG preduzetnika
  3. Poslovni naziv preduzetnika
  4. Poslovni matični broj preduzetnika
  5. Sedište preduzetnika
  6. Status preduzetnika (aktivan/neaktivan)
  7. Početak obavljanja delatnosti

 

Ovi podaci zapravo predstavljaju podatke iz Jedinstvene registracione prijave koje preduzetnici podnose APR-u. Nakon toga APR elektronskim servisom dostavlja te podatke Poreskoj upravi  u svrhu dodeljivanja PIB-a kao i evidentiranja u Jedinstvenom registru.

Dodatno, podaci koje se pored pomenutih podataka popunjavaju u Poreskoj prijavi PPDG – 1P a koje Poreska uprava poseduje te se u skladu sa tim mogu nalaziti u Jedinstvenom registru su:

  1. Prebivalište preduzetnika
  2. Lični telefon preduzetnika
  3. Poslovni telefon
  4. e-mail adresa
  5. pretežna delatnost
  6. podaci o računu u banci
  7. podaci za utvrđivanje poreza (podaci o prihodima) – opciono
  8. Broj zaposlenih – opciono
  9. Podaci o poslovnom prostoru – opciono
  10. Podaci o osnovnim sredstvima – opciono

U Jedinstvenom registru se vode podaci svih preduzetnika na teritoriji Republike Srbije. Zapravo  ovi podaci iz Jedinstvenog registra se i kvalitativno i kvantitativno u potpunosti podudaraju sa podacima koji se nalaze u Registru privrednih subjekata – Preduzetnici koji vodi Agencija za privredne registre. Jedina razlika se može odnositi na podatke koje je direktno prikupila Poreska  Uprava preko PPDG – 1P obrasca.

Na sastanku koji smo imali u Poreskoj upravi rečeno nam je da se podaci fizičkih lica, ne uzimajući u obzir preduzetnike, mogu naći u Jedinstvenom registru jedino kada su fizička lica postali obveznici poreza na prenos apsolutnih prava (npr. prodali su stan) ili kada su postali obveznici poreza na registrovano oružje. Zašto samo u ovim slučajevima a ne i nekim sličnim, ostaje nejasno.

Radi dodatnog pojašnjenja treba istaći da se u Jedinstvenom registru ne nalaze finansijski podaci preduzetnika (npr. podaci o obračunatom i plaćenom porezu). Ovi podaci su se do skoro vodili na lokalnom nivou, odnosno svaka filijala je vodila podatke za preduzetnike sa svoje teritorije, međutim od sada se finansijski podaci vode centralizovano u data centru Poreske uprave, a svaka filijala ima pristup samo podacima preduzetnika sa svoje teritorije.

U Jedinstvenom registru se ne obrađuju naročito osetljivi podaci iz člana 16 Zakona o zaštiti podataka o ličnosti.

Načini prikupljanja podataka o ličnosti

U skladu sa jednošalterskim sistemom registracije koji omogućava privrednim subjektima da na jednom mestu podnesu jedinstvenu registracionu prijavu, Poreska uprava podatke koji se nalaze u Jedinstvenom registru dobija od APR-a putem elektronskog servisa.

Dakle, APR prikuplja podatke podnošenjem Jedinstvene registracione prijave čija je sadržina propisana Pravilnikom o dodeli poreskog identifikacionog broja pravnim licima, preduzetnicima, te ih dostavlja Poreskoj upravi u svrhu dodeljivanja PIB-a kao i evidentiranja u Jedinstvenom registru.

Iako je Zakonom o postupku registarcije u APR-u u članu 11 propisana mogućnost podnošenja elektronske prijave putem korisničke aplikacije za prijem elektronske prijave, takva mogućnost i dalje ne postoji u praksi, već se jedinstvene registracione prijave i prateća dokumentacija podnose isključivo u pisanom obliku, u prostorijama APR-a ili poštom.

Uprkos jednošalterskom sistemu registracije podnošenjem prijave APR-u, koji zatim dostavlja podatke Poreskoj Upravi, preduzetnici su ipak dužni da Poreskoj upravi, odnosno svojoj filijali podnesu i Poresku prijavu na obrascu PPDG – 1P.

Centralni registar

Jedinstveni registar nije prijavljen kao zbirka podataka o ličnosti u Centralnom registru koji vodi Poverenik. U skladu sa Zakonom o zaštiti podataka o ličnosti, moglo bi se uvažiti tumačenje da Poreska uprava zapravo i nema obavezu prijavljivanja Registra imajući u vidu član 48 stav 2 koji između ostalog reguliše da Rukovalac podataka nije dužan da obrazuje i vodi evidenciju obrade podataka koji se obrađuju radi vođenja registara čije je vođenje zakonom propisano ili podataka za zbirku podataka koju čine samo javno objavljeni podaci.

Uvidom u Centralni registar Poverenika uočeno je da je Poreska Uprava registrovala 28 zbirki podataka o ličnosti, od čega se 21 zbirka podataka odnosi na podatke o ličnosti osoba koje su zaposlene u Poreskoj upravi ili obavaljaju poslove u Poreskoj upravi po drugom osnovu, dok se preostalih 7 zbirki podataka vodi po nekom drugom osnovu.

Interni akti

 

U odgovoru na Zahtev za pristup informacijama Poreska uprava nije dostavila odgovor na pitanje da li postoje interni akti koji regulišu pristup i upravljanje podacima o ličnosti, niti smo uvidom u propise koji su objavljeni na sajtu Poreske uprave pronašli takve akte.

Zahtev za ostvarivanje prava

Tokom istraživačkog procesa, član našeg tima je u skladu sa članom 19 ZZPL-a pisanim putem od Poreske uprave tražio obaveštenje o obradi svojih podataka o ličnosti i to:

  1. Koje podatke o meni obrađujete?
  2. Koje vrste obrade podataka sprovodite?
  3. Od koga su prikupljeni podaci o meni, odnosno ko je izvor podataka?
  4. U koje svrhe se podaci obrađuju?
  5. U kojim zbirkama podataka se nalaze podaci o meni?
  6. Ko su korisnici podataka o meni? Koji podaci o meni se koriste? Po kom pravnom osnovu i u koje svrhe se podaci o meni koriste?
  7. Da li se moji podaci prenose (ustupaju) drugim licima, i koja su to lica? Po kom pravnom osnovu i za koje potrebe se ti podaci prenose?
  8. U kom vremenskom periodu se podaci obrađuju, odnosno da li je predviđena obustava obrade mojih podataka u određenom trenutku?

Poreska uprava je odgovorila na zahtev za ostvarivanje prava, u zakonom predviđenom roku.

Osim delimičnih odgovora u vezi izvora prikupljanja podataka, odnosno da se  podaci o poreskim obveznicima preuzimaju od nadležnih državnih organa za registraciju privrednih subjekata ili za vođenje evidencije o prebivalištu poreskih obveznika, i svrhe obrade podataka, tj. da se podaci o poreskim obveznicima koji se preuzimaju od drugih državnih organa koriste isključivo za potrebe Poreske uprave u postupku utvrđivanja, naplate i kontrole javnih prihoda, Poreska uprava nije dostavila obaveštenje u vezi ni sa jednim drugim pitanjem sadržanim u zahtevu.

Dodatno, istim zahtevom član našeg tima je tražio da mu se omogući uvid u podatke kao i da bude obavešten na koji način i kada će mu biti omogućen uvid. Na ovaj zahtev Poreska uprava nije odgovorila.

Zaključak

 

Iako je Zakonom o poreskom postupku i administraciji regulisano da Poreska uprava vodi Jednistveni registar, propušteno je da se utvrdi koje grupe podataka o ličnosti će se voditi u Jednistvenom registru, te u tom smislu i svrha obrade ovih podataka može biti nejasna. Iako je na sajtu Poreske uprave dostupan PIB registar koji daje uvid u podatke o preduzetnicima, ostaje nejasno da li su to jedini podaci koji se vode u Jedinstvenom registru imajući u vidu da preduzetnici svojim lokalnim filijalama podnose i obrazac PPDG – 1P koji sadrži podatke koji nisu dostupni u PIB registru. Takođe smo dobili informaciju da se i podaci nekih fizičkih lica nalaze u ovom registru.

Poreska uprava nije registrovala Jedinstveni registar u Centralnom registru koji vodi Poverenik. Iako bi se moglo opravdano tvrditi da takva obaveza ne postoji, jer prema Zakonu o zaštiti podataka rukovalac nije dužan da prijavi zbirku podataka koji se obrađuju radi vođenja registara čije je vođenje zakonom propisano ili podataka za zbirku podataka koju čine samo javno objavljeni podaci, ovi uslovi nisu sasvim zadovoljeni, jer sa jedne strane Zakon nije utvrdio koji podaci se vode u Jedinstvenom registru a sa druge strane moguće je da ovu zbirku podataka ne čine samo javno objavljeni podaci.

Sličan je slučaj i sa ostalim zbirkama podataka koje o građanima Republike Srbije vodi Poreska uprava. Naime ostalo je nejasno u kojim se sve zbirkama podataka vode podaci o ličnosti građana Srbije, imajući u vidu da su u Centralnom registru prijavljene samo zbirke koje se odnose na podatke o ličnosti zaposlenih u Poreskoj upravi ili koje se odnose na uske kategorije građana. Sa druge strane, u skladu sa svojim nadležnostima, Poreska uprava poseduje obimne zbirke podataka građana Srbije. Dok je vođenje Jedinstvenog registra predviđeno Zakonom (uz sve nedostatke koje smo naveli), to je jedina zbirka podataka Poreske uprave čije je vođenje zakonski uređeno.

Zahtevom za ostvarivanje prava na obaveštenje o obradi podataka koji smo u skladu sa Zakonom o zaštiti podataka o ličnosti uputili Poreskoj upravi, nismo uspeli da dođemo do odgovora na ova pitanja.

Ovakav ishod navodi na zaključak da princip transparentnosti obrade podataka o ličnosti nije na visokom nivou u Poreskoj upravi, te bi preporuka svakako bila da se iniciraju izmene Zakona čime bi se precizno utvrdilo zakonsko ovlašćenje za vođenje zbirki podatala, a da se Centralnom registru koji vodi Poverenik prijave sve zbirke podataka koje Poreska uprava vodi o građanima.

 

ORGANIZACIONI ASPEKTI OBRADE PODATAKA

Lice za zaštitu podataka o ličnosti

Postojeće stanje: U Poreskoj upravi u okviru Ministarstva finansija Republike Srbije ne postoji lice zaduženo za zaštitu podataka o ličnosti. Postoji samo lice ovlašćeno za postupanje po zahtevima za slobodan pristup informacijama od javnog značaja.

Preporuka: S obzirom na delatnost kojom se bavi Poreska uprava, a koja uključuje prikupljanje i obradu najosetljivijih podataka o ličnosti, gde se pre svega misli na lična primanja, od krucijalne je važnosti da postoji sistemsko rešenje i organizaciona odgovornost za zaštitu podataka o ličnosti.

Obim potencijalnih aktivnosti koje bi to lice trebalo da sprovodi ne opravdava formiranje posebnog radnog mesta isključivo za potrebe poslova zaštite podataka o ličnosti. Iz tih razloga organizaciono rešenje navedenog problema bi trebalo tražiti u dodeli odgovornosti određenom licu, odnosno licima, kroz odgovarajuće odluke . Pored tako definisane odgovornosti, odnosno aktivnosti koje bi trebalo da obavlja, to lice bi trebalo da obavlja i druge poslove u skladu sa opisom radnog mesta.

U slučaju kršenja Zakona o zaštiti podataka o ličnosti postoji odgovornost i fizičkog lica, i odgovornog lica kod pravnog lica, i odgovornost samog pravnog lica. Međutim, prilikom definisanja odgovornog lica za zaštitu podataka akcenat je na organizacionoj odgovornosti za, na primer:

  • sprovođenje određene politike o zaštiti podataka o ličnosti među zaposlenima;
  • promovisanje zaštite podataka o ličnosti među zaposlenima radi shvatanje njihove uloge u zaštiti podataka
  • organizovanje edukacije iz oblasti zaštite podataka o ličnosti za zaposlene;
  • izveštavanje rukovodstva o nivou zaštite podataka i predlaganje mera za podizanje nivoa zaštite i dr.

Na sastanku sa predstavnicima Poreske uprave projektnom timu je predočeno da se radi na uvođenju lica ovlašćenog za postupanje po zahtevima iz Zakona o zaštiti podataka o ličnosti i definisanju njegovih odgovornosti, što pokazuje da postoji svest o značaju adekvatnog upravljanja podacima o ličnosti.

S obzirom na navedene odgovornosti, jasno je da bi lice zaduženo za zaštitu podataka u ovom smislu trebalo da bude lice koje se nalazi na pozicijama višeg hijerarhijskog nivoa. U kompanijama je praksa pokazala da bi to lice trebalo da bude deo najvišeg menadžmenta. Uzimajući u obzir postojeći model organizacije, odnosno teritorijalnu razgranatost filijala i ekspozitura, rešenje bi trebalo tražiti u uvođenju odgovornosti na dva nivoa. Preporuka je da lice zaduženo za strateška pitanja iz oblasti zaštite podataka o ličnosti na nivou Poreske uprave bude iz Centrale. Posmatrajući postojeću podelu rada, predlog je da to bude Direktor Sektora za obrazovanje, komunikaciju i međunarodnu saradnju. Sa druge strane, s obzirom da Poreska uprava ima veliki broj filijala i ekspozitura, koje su i geografski i procesno razdvojene, u svakoj organizacionoj jedinici koja obavlja osnovnu delatnost bi trebalo da postoji lice zaduženo za zaštitu podataka o ličnosti, koje bi trebalo da ima minimalnu odgovornost za sprovođenje strateških odluka iz ove oblasti, donetih na centralnom nivou.

Edukacija

 

Postojeće stanje: U Poreskoj upravi nije sprovođenja formalna obuka zaposlenih o postojećoj regulativi (Zakon; standardi) iz oblasti zaštite podataka.

Preporuka: Svoju osnovnu delatnost Poreska uprava obavlja kroz prikupljanje i obradu najosetljivijih podataka o ličnosti te je od izuzetne važnosti uvesti kontinuiranu edukaciju zaposlenih iz ove oblasti. Takođe, trebalo bi definisati vremenske intervale u kojima bi trebalo organizovati testiranja znanja zaposlenih iz ove oblasti, kako bi Poreska uprava konstantno imala saznanja o stanju sistema u pogledu zaštite podataka o ličnosti.

Pristup zaposlenih reprezentativnoj evidenciji

 

Postojeće stanje: U Poreskoj upravi svi zaposleni na radnim mestima koja obavljaju osnovnu delatnost (državni službenici) imaju pristup elektronskoj bazi podataka “Jedinstveni registar poreskih obveznika”. Nivoi pristupa su definisani sistemom rola, a role se vezuju za radno mesto (zaposleni na istom random mestu imaju ista prava pristupa). Takođe, zaposleni na različitim radnim mestima mogu imati ista prava pristupa bazi podataka, ukoliko imaju istu rolu.  Pristup bazi je određen kombinacijom korisničkog imena i šifre, koja je vezana za svakog zaposlenog. Šifra je poznata isključivo zaposlenom;šifre ističu nakon tri meseca, a neaktivni korisnici se blokiraju. Svaki pristup bazi se beleži na novijim sistemima, dok se na starim sistemima ne čuvaju logovi. Plan je da se do kraja 2016. godine svi stari sistemi pogase i da se u potpunosti pređe na nove. Ne evidentira se razlog, odnosno osnov pristupa podacima.Pristup svim korisničkim imenima imaju zaposleni na radnim mestima vodećeg sistem administratora i sistem administratora. Pritom, oni ne mogu videti pristupne šifre drugih korisnika, ali mogu resetovati šifru određenom korisniku po potrebi, nakon čega taj korisnik sam sebi definiše novu šifru.

Preporuka: Analizom poslova koji pripadaju osnovnoj delatnosti Poreske uprave utvrđeno je da su oni međusobno dosta različiti, usled širine opsega delatnosti koju Poreska uprava obavlja. Sa druge strane, u sistemu rola postoji svega nekoliko različitih rola, što navodi na zaključak da zaposleni koji obavljaju različite poslove imaju ista prava pristupa. Kako projektni tim nije imao uvid u sistem rola, nije bilo moguće analizirati prava pristupa po radnim mestima i izvršiti poređenje sa opisima poslova i realnim potrebama posla. Međutim, uzimajući u obzir vrstu posla koja se obavlja u Poreskoj upravi, može se pretpostaviti da zaposleni koji obavljaju osnovnu delatnost zaista imaju potrebu za pristupom velikom delu podataka u elektronskoj bazi, možda i celokupnoj bazi. Zbog toga je veći problem što se ne evidentira osnov pristupa podacima. Efikasnost sistema bi bila znatno narušena kada bi se prava pristupa definisala tek nakon dodeljivanja konkretnih poslova zaposlenima, zbog čega to nije preporuka. Ipak, poznato je koji zaposleni su zaduženi za određene poslove, i pošto se čuvaju logovi o svakom pristupu bazi, kada bi oni sadržali osnov pristupa bilo bi moguće, u slučaju da se javi potreba, utvrditi da li je zaposleni koji je pristupio podacima zaista imao osnov za takav pristup u evidentiranom trenutku pristupa.

Opšti zaključak je da se u Poreskoj upravi vodi računa o usaglašenosti prava pristupa i poslovnih procesa, u smislu dodeljivanja prava pristupa podacima samo onim zaposlenima koji imaju realnu potrebu za tim zbog opisa posla. Ovo se najbolje ogleda u postojanju sistema rola, ali i činjenici da zaposleni koji obavljaju funkcije podrške nemaju pravo pristupa Jedinstvenom registru poreskih obveznika. Takođe, zaposleni mogu štampati samo određene materijale iz elektronske baze podataka. Nivo usaglašenosti prava pristupa i opisa poslova nije bio predmet ovog izveštaja.

Što se tiče zaštite podataka u bazi, ona je na vrlo visokom nivou. Novi podaci se dodaju pomoću veb servisa, konekcije su sigurne, o čemu će više reči biti u delu izveštaja koji se odnosi na tehničke aspekte.

Trenutno postoji problem koji se odnosi na čuvanje logova na starim sistemima, ali je plan da oni do kraja 2016. godine budu povučeni iz upotrebe.

Sektor za održavanje informacionog sistema

 

Postojeće stanje: Poreska uprava u svojoj centrali ima Sektor za informacione i komunikacione tehnologije, koji obavlja poslove planiranja, projektovanja, razvoja i integracije informacionog sistema i sistema veza Poreske uprave.

Preporuka: S obzirom da se svi informatički poslovi obavljaju interno, jedina preporuka u ovom domenu je da se uvedu procedure koje regulišu pristup i upravljanje podacima iz elektronske baze.

Evidencija u papirnoj formi

Postojeće stanje: U Poreskoj upravi postoji određena dokumentacija koja se čuva u papirnoj formi. Takva dokumenta se čuvaju u arhivi, i sa njima se postupa u skladu sa važećom zakonskom regulativom. Zaposleni u Poreskoj upravi mogu preko arhive tražiti uvid u neki dokument. Evidentira se svaki zahtev tog tipa.

Preporuka: Može se razmotriti opcija provere osnova pristupa papirnoj dokumentaciji od strane zaposlenih u poreskoj upravi.

ISO standardi

Postojeće stanje: Prema podacima dostupnim u Registru sertifikovanih privrednih društava koji vodi Privredna komora Srbije, u Poreskoj upravi nije implementiran nijedan standard iz ISO serije standarda.

Preporuka: U narednom periodi bi trebalo uvesti standard ISO 9001 – Sistem upravljanja kvalitetom, kao bazni standard, dok bi u sledećoj iteraciji trebalo težiti uvođenju standarda ISO 27001 Sistem upravljanja bezbednošću informacija, koji s obzirom na delatnost Poreske uprave predstavlja najbitniji standard ISO serije. Standardima bi trebalo formalno regulisati pristup i upravljanje podacima u elektronskoj formi, kao i pristup dokumentima koji se čuvaju u papirnoj formi.

Zaključak

Poreska uprava predstavlja ključni element poreskog sistema i kao takav u svojim aktivnostima prikuplja, obrađuje i kreira dokumentaciju sa osetljivim podacima o ličnosti korisnika koji su fizička lica, gde se pre svega misli na podatke o ličnim primanjima, ali i o drugim podacima o ličnosti koji se mogu pronaći u bazama podataka Poreske uprave, bilo u elektronskoj ili u papirnoj formi.

Zbog toga je potrebno definisati lice/lica odgovorna za zaštitu podataka o ličnosti, uvesti edukaciju zaposlenih u cilju podizanja znanja iz ove oblasti, ali i važnosti zaštite podataka o ličnosti u Poreskoj upravi. Pozitivno je što je u Poreskoj upravi ovo prepoznato i što se već radi na imenovanju lica ovlašćenog za postupanje po zahtevima iz Zakona o zaštiti podataka o ličnosti.

Takođe, preporuka je da se uvede sistem menadžmenta kvalitetom ISO 9001 kojim će biti definisane procedure sa jasno preciziranim nadležnostima pristupa i obrade podataka o ličnosti koje poseduje Poreska uprava. Njima bi takođe trebalo predvideti osnove pristupa i obrade podataka, i potom to implementirati u korisničke role u informacionom sistemu i u procedure za upravljanje arhivom.

Poreska uprava je implementirala izuzetno visok nivo zaštite elektronske baze podataka, u smislu elektronskog i fizičkog pristupa. Međutim, s obzirom na obim, važnost i osetljivost podataka koji se prikupljaju i obrađuju, preporuka je da se standardizuje način na koji se obezbeđuje bezbednost podataka, i to kroz ISO 27001 Sistem upravljanja bezbednošću informacija.

TEHNIČKI ASPEKTI OBRADE PODATAKA

Opšte tehničke informacije i struktura sistema

 

U okviru informacionog sistema Poreske uprave nalazi se veliki broj servera, dok se za prikupljanje, obradu i skladištenje podataka o fizičkim licima koristi 7 fizičkih servera. Serveri su u vlasništvu Poreske uprave i nalaze se na jednom centralizovanom mestu, u data centru Poreske uprave. U server sale je moguće ući isključivo uz kartice koje omogućavaju ulaz. Data centar je osiguran protivpožarnom zaštitom. Prenos podataka i učitavanje među serverima izvršava se periodično, a reč je o database serverima (serveri na kojima se nalaze baze podataka). Vrsta baze podataka Jedinstvenog registra je Oracle baza, objektno-orijentisana baza podataka koja predstavlja identifikator alfanumeričkog sistema.

Pristup internetu

 

Poreska uprava svoju veb prezentaciju (http://www.poreskauprava.gov.rs/) hostuje samostalno, dok usluge internet provajdera koristi od Telekoma Srbije. Svi objekti Poreske Uprave kojih ima preko 190 širom zemlje povezani su putem VPN mreže Telekoma Srbije. Opseg IP adresa nam nije dostavljen u odgovoru na FOI zahtev. Na sajtu Poreske uprave postoji samo uvid u PIB registar, što znači da evidencija podataka o ličnosti i sajt nisu na istom serveru. Sajt je izolovan i nalazi se na namenskom serveru.

 

Opšte informacije
Naziv ustanove Poreska uprava
URL http://www.poreskauprava.gov.rs/
Datum vršenja analize 27.04.2015.
WHOIS pretraga
Ime i Prezime RNIDS
Adresa Žorža Klemansoa 18a, Beograd
Provider TELEKOM SRBIJA A.D.
URL Provajdera http://www.telekom.rs/
Registrator RNIDS
URL Registratora http://www.rnids.rs/en/
Država Srbija
Nmap
Broj otvorenih portova 3
Broj filtriranih portova 997
Broj zatvorenih portova 0
OS Linux 2.6.5
Bezbedan (Nmap) Da
IP v4 195.178.50.150
IP v6 /
MAC /

 

VPN i Cloud usluge

Iz dosadašnjeg istraživanja smo utvrdili da Poreska uprava za sada koristi samo sopstvene VPN usluge, u svrhu održavanja sistema. Uspostavljena je infrastruktura koja omogućava rad na daljinu kroz virtuelne privatne mreže. Planiranom nadogradnjom sistema nije predviđeno uvođenje i korišćenje Cloud-a.

Serverska podešavanja

Svi serveri se nalaze na jednom mestu, u data centru Poreske uprave u Ustaničkoj ulici. Serveri su povezani a sinhronizacija se vrši periodično. Data centar je veoma dobro osiguran i obezbeđen bezbednosnim procedurama sa najnovijim standardima koji se primenjuju, kako u tehničkom tako i u fizičkom aspektu. Pristup data centru moguć je isključivo uz kartice i odobrenje naoružanog osoblja iz obezbeđenja. Takođe, data centar je osiguran i protivpožarnim sistemom u slučaju nezgoda, kao i protivprovalnim sistemom. Pristup liftom do data centra nije moguć bez kartice. Do ulaska u centar postoji trostruka provera i autentifikacija. Prilikom implementacije bezbednosnih procedura praćeni su standardi ali je formiran i interni dokument.

Pristup Jedinstvenom registru uslovljen je unosom korisničkog imena i lozinke, koji su vezani za konkretnog korisnika. Sistemski se evidentira pristup bazi. Radna mesta sistem administrator i vodeći sistem administrator imaju pristup korisničkim imenima ali ne i lozinkama. Lozinku mogu resetovati, ali je ne mogu i videti. Lozinka ističe nakon 3 meseca i korisnik je mora promeniti.

Sektor za informacione i komunikacione tehnologije nije upoznat da li postoje dokumenti koji regulišu pristup i upravljanje podacima iz baze podataka. Na osnovu sistematizacije mesta zaposleni imaju, odnosno nemaju određena prava na sistemu Jedinstvenog registra.

Reprezentativna baza Poreske uprave nije registrovana u Centralnom registru Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti.

Preporuka:Način logovanja može se poboljšati upotrebom digitalnih sertifikata ili drugostepene verifikacije i detaljnijeg monitoringa aktivnosti korisnika u okviru sistema, čime se preventivno deluje na mogućnost zloupotrebe unutar organizacije.

Pristup trećih lica

Pristup evidencijama podataka o ličnosti imaju samo zaposlena i ovlašćena lica u Poreskoj upravi – radna mesta kontrole i naplate, poreska policija i unutrašnja kontrola, što čini skoro 90% zaposlenih.

Prilikom preuzimanja i korišćenja podataka o poreskim obveznicima, postupa se u skladu sa članom 7 Zakona o poreskom postupku i administraciji (o službenoj tajni i čuvanju službene tajne).

Kompanije sa kojima posluje Poreska uprava su izradile aplikativna rešenja sistema koje Poreska uprava koristi. Aplikativni nivo je postavljen na već postojeće baze podataka Oracle, MySQL, Cisco, IBM. Kada je reč o održavanju hardvera, perifernu opremu održavaju interno. Kroz javne nabavke biraju se kompanije koje su dobavljači serverske opreme i koji istu održavaju.

Lica koja održavaju sistem Poreske uprave nemaju stalan pristup bazi. Ne postoji ugovor o poverljivosti ili neki drugi dokument koji lica potpisuju, ali postoje interno pripisana pravila o zaštiti podataka koja se poštuju. Lica koja sistemu pristupaju putem VPN-a potpisuju ugovor o poverljivosti i beleži se njihov svaki pristup sistemu.

Sa državnim organima koji su deo mreže Uprave za zajedničke poslove komunikacija se odvija putem VPN-a UZZPRO mreže.

Službe bezbednosti i drugi državni organi nemaju direktan pristup podacima iz Jedinstvenog registra ili podacima iz drugih zbirki podataka koje vodi Poreska Uprava, ali na zahtev uz odgovarajući pravni osnov mogu dobiti samo konkretne podatke određenih lica. Ti podaci se dostavljaju u pisanom obliku.

Samo mali deo podataka je enkriptovan, a to je informativna poreska prijava koja je u celosti enkriptovana jer sadrži najveći broj osetljivih podataka o ličnosti. Informativna poreska prijava je poslednji put korišćena dve godine, u javnosti poznata pod nazivom “Lov na milionere”.

Preporuka:Ključna slaba tačka ovog sistema jeste nepostojanje ugovora o poverljivosti ili drugog sporazuma o zaštiti tajnosti podataka sa licima koji održavaju sistem.

Zaključak

Postoje dva ključna potencijalna problema informacionog sistema Poreske uprave. Prvi leži u odsustvu standardnog dokumenta o regulisanju tajnosti podataka sa trećim licima, dok je za zaposlene ta obaveza definisana Zakonom o poreskom postupku i administraciji. Drugi problem odnosi se na izostanak primene digitalnog sertifikata zaposlenih prilikom pristupa sistemu. Obe situacije su lako rešive i preporučujemo da budu uzete u razmatranje prilikom nadogradnje infrastrukture sistema Poreske uprave.

 

MEDIJSKA POKRIVENOST

Uvodna napomena

 

Pregled novinskih izveštaja o pojedinačnim institucijama obuhvaćenih analizom, odnosi se na period od početka 2000-tih do 2015. godine, na osnovu pretraživih digitalnih arhiva celovitog teksta članaka štampanih dnevnih i nedeljnih izdanja, posebno iz perspektive zaštite ličnih podataka.

Domaća regulativa ove oblasti relativno je nova – zakon iz 1998. nudio je nedovoljna i prevaziđena rešenja, da bi nestankom saveznih instanci praktično postao nesprovodiv. Novijeg datuma je i pažnja globalne javnosti za aspekte privatnosti u digitalnom okruženju. Stoga je očekivano da interes štampe za zaštitu podataka o ličnosti u organima državne uprave, tokom proteklih petnaestak godina, bude oskudan i gotovo po pravilu vođen incidentima, odnosno događajima koji svedoče o kršenju prava građana što je, konačno, i suštinska uloga medija u savremenim demokratijama.

Sa druge strane , aktivno učešće institucija državne uprave u javnom dijalogu posvećenom zaštiti privatnosti i ličnih podataka koje prikupljaju i obrađuju, moglo bi se pokazati kao ključni doprinos daljem uređenju ove oblasti ali i sopstvenoj promociji kao značajnog aktera u zaštiti interesa građana.

Poreska uprava – istorijski pregled

Sezonska nagađanja o desetinama i stotinama miliona dinara koje raznovrsni tajkuni duguju državi na ime poreza, karakterišu pretežni interes štampanih medija za rad Poreske uprave u protekloj deceniji. Izvrdavanje obaveza preko ‘fantomskih firmi’, spekulacije o političkim interesima koji se prelamaju kroz domen poreskih vlasti, te raznovrsne afere koje povremeno izbiju na sličnom fonu, ukazuju na medijski uslovljen ograničen uvid javnosti u rad jednog od ključnih državnih organa i gubitak kontrole same institucije nad percepcijom koje društvo ima o Poreskoj upravi.

Unapređenje tehničkog okruženja i razvoj pravnih standarda, vremenom je jednu od najstarijih državnih struktura izveo iz nejasnog lavirinta birokratije na svetlo javnosti, gde je štampa suviše često svedočila o posledicama konfuzije načela transparentnosti i zaštite privatnosti.

Čak i kada bi bilo zatraženo mišljenje Poverenika o planovima za objavljivanje liste poreskih dužnika, na primer, Poreska uprava bi se potom našla u prekoračenju zakonskih ovlašćenja, dok se planirani gest transparentnosti u medijima svodio na javno sramoćenje bez pravnog epiloga.

Najkrupnija afera vezana za zaštitu podataka o ličnosti izbila je krajem 2014. u vezi sa neovlašćenim uvidom, obradom i iznošenjem baza podataka iz Poreske uprave. Mediji su preneli optužbe o špijunaži i korupciji u senzacionalističkom tonu, bez posebne pažnje za aspekt zaštite podataka o ličnosti, dok je čitava priča ubrzo pala u zaborav.

Povremena Poverenikova upozorenja i najave nadzora nad radom Poreske uprave, najsigurniji su izvor medijskih napisa o kršenju propisa iz oblasti zaštite privatnosti, odnosno zaštite podataka o ličnosti, ali u napisima po pravilu izostaje suštinsko razjašnjenje prirode ovih prava i značaja njihove zaštite za građane.

U percepciji javnosti, Poreska uprava opterećena je sumnjama o korupciji, netransparentnosti i diskrecionom pravu na prikupljanje i obradu ličnih podataka građana.

Uspešna priča o brzoj reakciji Poreske uprave na upozorenje Poverenika povodom načina dostavljanja poreskih rešenja i akata sa vidljivim podacima o ličnosti, ostaje redak primer dobre prakse u medijskim izveštajima.

 

DOKUMENTACIJA KOJA JE DOBIJENA OD POVERENIKA

Postupci nadzora

Na osnovu anonimne predstavke u kojoj se navodi da isporučilac usluge Poreskoj upravi na nezakonit način kopira baze podataka i da njeni radnici iznose iste bez kontrole i ičijeg odobrenja, u Zapisniku o izvršenom nadzoru, br. 164-00-00097/2011-07, od 26.05.2011., konstatovano je da su organizacione i tehničke mere propisane članom 47 ZZPL ispunjene, tako što se podaci Poreske uprave fizički nalaze na serverima koji su smešteni na izdvojenoj lokaciji Centrale Poreske uprave, u prostoru koji ima posebno obezbeđenje i podrazumeva neprekidno 24-časovno fizičko obezbeđenje i video nadzor. Bez posebne najave i dozvole, u navedeni prostor je nemoguće ući, a u serversku salu ulazi se isključivo sa dozvolom rukovodioca i u pratnju zaposlenog lica. Tvrdnje iz anonimne predstavke su odbačene od strane Poreske Uprave, koja je istakla da je infrastruktura u Sistem sali organizovana tako da se za nove projekte određuje izolovani deo opreme koji je potpuno fizički i mrežno odvojen od ostalih sistema, uključujući i produkciono okruženje Poreske uprave, i da predmetna organizaciona celina predstavlja komunikaciono razvojno testno okruženje, budući da se na tom mestu vrši razvoj i testiranje aplikacija, bez mogućnosti pristupa produkcionim bazama podataka.

Dalje, u Ugovoru o nabavci integrisanog informacionog sistema za potrebe Poreske uprave, br. 2480/1-10, od 29.11.2010., članom 7 je propisano da je Isporučilac dužan da sve podatke do kojih dođe analizom čuva kao službenu tajnu Naručioca, da je odgovoran za tajnost podataka i da je dužan sa njima postupati u skladu sa propisima o zaštiti podataka o ličnosti. Takođe je Isporučilac dužan čuvati kao službenu tajnu sva tehnička rešenja do kojih dođe u izvršenju ugovornih obaveza i sva prava intelektualne svojine na postojećim informacionim sistemima ima Poreska uprava i iste je zabranjeno kopirati i koristiti kao svoje.

U Upozorenju nakon obavljenog nadzora, br. 164-00-00167/2012-07, od 26.06.2012., Poverenik je utvrdio da Poreska uprava na svom vebsajtu vrši nedozvoljenu obradu podataka poreskih obveznika, bez zakonskog ovlašćenja ili pristanka lica čije podatke obrađuje tako što javno objavljuje podatke o ličnosti najvećih dužnika – fizičkih lica, i to njihovih imena i prezimena, naziva opštine, visine iznosa duga i datih napomena. U Upozorenju, Poverenik ne spori da su Zakon o poreskom postupku i poreskoj administraciji i ZZPL pravni akti iste pravne snage, ali i navodi da ZPPPA nije lex specialis u odnosu na pitanje obrade bilo kojih podataka o ličnosti. Poreski zakon ne može predstavljati pravni osnov za objavljivanje podataka o ličnosti, kao što ni poreski obveznici nisu dali saglasnost u pisanom obliku da se njihovi podaci objave na veb sajtu Poreske uprave. Na kraju, ovlašćenje za objavljivanje podataka se ne može izvesti ni iz odbredbe člana 13. ZZPL (obrada od strane organa vlasti).

Poverenik je pokrenuo postupak nadzora nad sprovođenjem i izvršavanjem ZZPL od strane Grada Subotice – Gradske uprave, br. 164-00-00092/2014-07, od 18.02. 2014., postupajući po saznanjima iz podnete predstavke u kojoj se tvrdi da je Služba lokalne poreske administracije objavila spisak 1.292 dužnika za porez koja se nalazi na veb sajtu i koja sadrži od podataka ime, prezime, mesto stanovanja i iznos duga, kao i da nije tačna u obliku kakvom je navedena. Poverenik je zatražio od Službe lokalne poreske administracije da se izjasni po kom pravnom osnovu obrađuje podatke u vidu objavljivanja na veb sajtu i koja je svrha obrade tih podataka.

U Izjašnjenu Službe lokalne poreske administracije Subotica, br. IV-01/II-070-5/2014, od 24.02.2014., konstatovano je da je Zakonom o poreskom postupku i poreskoj administraciji propisano pravo na objavljivanje podataka o ličnosti i da je utvrđena obaveza da se ti podaci objave odredbom člana 7 ZPPPA, a u skladu sa članom 11 stav 3 ZPPPA je utvrđena obaveza jedinica lokalne samouprave da kvartalno na svom veb sajtu objave obaveštenje u iznosu poreskog duga svih obveznika. U izjašnjenju se na kraju ističe da nisu ovlašćeni razmatrati svrsishodnost objavljivanja spornih podataka budući da postoji obaveza primenjivanja zakona. Prekršajni postupak je pokrenut pred Prekršajnim sudom u Subotici, protiv načelnice Gradske uprave, kao odgovornog lica za nedozvoljenu obradu podataka i sud je presudom, br. PR 4-2606/14, od 04.12.2014. našao odgovornom. Po žalbi okrivljene, Prekršajni apelacioni sud u Novom Sadu, presuda br. III-303 Prž. broj 1087/15, od 03.02.2015., je uvažio žalbu i preinačio prvostepenu presudu i okrivljenu oslobodio odgovornosti.

Identičan slučaj se dogodio kada je Služba lokalne poreske uprave u Subotici objavila na veb sajtu spisak 12.532 poreskih obveznika – dužnika i njihove lične podatke (ime, prezime i iznos duga), kada je Poverenik doneo Rešenje, br. 164-00-00230/2014-07, od 05.05.2014., kojim se nalaže otklanjanje nepravilnosti u obradi podataka o ličnosti i uklanjanje dokumenta sa veb sajta. Poverenik je takođe podneo Zahtev za pokretanje postupka pred Prekršajnim sudom u Subotici, br. 164-00-00230/2014-07, od 14.05.2014., protiv načelnice Gradske uprave kao odgovornog lica za vršenje obrade podataka bez pravnog osnova. Sud je okrivljenu našao odgovornom (presuda br. PR-5-2607/14, od 17.11.2014.), dok je Prekršajni apelacioni sud, po žalbi okrivljene, preinačio presudu i okrivljenu oslobodio odgovornosti (presuda br. III-306 Prž. br. 23952/14, od 15.01.2015.).

Poverenik je izvršio nadzor nad Poreskom upravom (Zapisnik o izvršenom nadzoru, br. 164-00-00660/2014-07, od 07.11.2014.) povodom slučaja koji je stekao veliki publicitet u javnosti, po prijavi Milice Bisić, kada je u nedeljniku “Afera” u okviru teksta o njoj objavljena sadržina njene pojedinačne poreske prijave za poreze i doprinose po odbitku (PPP-PD), u kojoj su vidljivi kako podaci o ličnosti podnosioca pojedinačne poreske prijave (JMBG i personalizovana adresa elektronske pošte), tako i njeni podaci o ličnosti (JMBG, ime i prezime, bruto prihod i osnovica za porez). U prijavi se takođe navodi da je prikaz detalja PPP-PD, koji je objavljen u novinama, moguće dobiti isključivo neposrednim pristupom elektronskoj bazi podataka Poreske uprave.

Povodom navoda u prijavi, predstavnici Rukovaoca naveli su da su Milica Bisić, sa Ivanom Posavcem i ostatkom tima, mogli sami objaviti izvod u novinama obzirom da su bili angažovani u Poreskoj upravi po nalogu bivšeg ministra finansija, Lazara Krstića da vrše reformu, unapređenje i kadriranje u Poreskoj upravi, iako u njoj nisu bili zaposleni, kao ni u Ministarstvu finansija, i bili su ovlašćeni da koristi službene resurse. Takođe su istakli da su baze podataka kojima su imala pristup, a koje omogućuju pretrage po različitim parametrima i tako nesmetan pristup svim podacima o građanima RS pa tako i bazi podataka PPP-PD, svojevoljno prisvojili tako što su ih kopirali na hard diskove laptop računara i prenosive USB i DVD medije, a zatim ih iznosili iz prostorija Poreske uprave, pa i van teritorije Republike Srbije. Dodatno, predstavnici Rukovaoca su naveli da nisu obavestili Poverenika o ovom jako ozbiljnom problemu.

Dalje, od strane predstavnika Rukovaoca je konstatovano nezadovoljavajuće stanje u oblasti zaštite podataka i u Centrali i u filijalama, i da se ubrzano preduzimaju organizacione, tehničke i kadrovske mere za njegovo popravljanje, kao i za implementaciju Zakona o tajnosti podataka. Na pitanje ovlašćenih lica Poverenika da li Ministarstvo finansija ima pristup bazi podataka PPP-PD, odgovorili su da ne znaju.

U drugom delu nadzora, razmatrajući tehničke aspekte navoda u prijavi, utvrđeno je da se informacioni sistem Poreske uprave deli po poreskim oblicima, da ima četiri core sistema, koji obrađuju pojedinačne poreske oblike i da je u toku proces objedinjavanja obrade svih poreskih oblika kroz uspostavljanje jedinstvenog sistema, koji bi trebalo da bude u potpunosti u funkciji tokom 2015. godine. Na pitanje ovlašćenih lica Poverenika na koji način je uspostavljen sistem sa kojeg su sporni podaci odštampani, ko istim ima pristup i na koji je način zaštićen, utvrđeno je da je u pitanju centralizovana baza podataka, koja funkcioniše na intranetu i da postoje različiti nivoi pristupa istoj. Svi poreski inspektori u RS (oko 700 inspektora) imaju pristup bazi podataka i podacima o ličnosti koji su sadržani u prikazu PPP-PD koji se pojavio u novinama. Pristup aplikaciji se ostvaruje aktivacijom operativnog sistema radne jedinice, tj. računara, putem unosa korisničkog imena i lozinke. Korisničko ime dodeljuje se zaposlenima, dok lozinku kreiraju sami. Pristup samoj aplikaciji, međutim, nije uslovljen unosom korisničkog imena i lozinke. Nakon kraćeg perioda neaktivnosti, računar se zaključava i zahteva ponavljanje unosa korisničkog imena i lozinke.

Dalje, posebno pisano uputstvo sa procedurama za upotrebu baza podataka ne postoji, ali se organizuju obuke za zaposlene, na kojima se obaveštavaju o svojim obavezama i odgovornostima u vezi sa istim. Na pitanje ovlašćenih lica Poverenika da li lica koja su preuzela baze podataka, pa i PPP-PD bazu, imaju tehničke mogućnosti da odštampaju predmetni izvod, u formi u kojoj se pojavio u novinama, utvrđeno je da je Ivan Posavec imao mogućnost pristupa bazama podataka. Takođe je utvrđeno da do danas nije uspostavljeno sistemsko beleženje pristupa aplikaciji i da log server ne postoji, na kojem se pohranjuju podaci o pristupu bazama podataka. Zabeleženi zapisi o pristupu aplikaciji PPP-PD, na osnovu kojih se može utvrditi koje lice i kada je vršilo pretragu podataka za Milicu Bisić za sporni period je moguće utvrditi proverom log fajlova na svakoj pojedinačnoj radnoj jedinici, odnosno na svakom pojedinačnom računaru korisnika aplikacije na teritoriji RS, što bi zahtevalo neracionalni utrošak vremena i sredstava.

U nadzoru je dalje utvrđeno da je Poreska uprava, uočivši činjenicu da su neovlašćena lica u posedu svih informacionih baza podataka Poreske uprave, o tome dostavila raspoloživu dokumentaciju Prvom osnovnom javnom tužilaštvu u Beogradu. Tužilaštvo je naložilo policiji da pribavi potrebna obaveštenja radi utvrđivanja krivične odgovornosti u vezi sa odlivom podataka i neovlašćenom upotrebom baza podataka, među kojima su i baze MUP, koje su klasifikovane oznakom “strogo poverljivo”. U istom predmetu je tužilaštvo zahtevalo podatke od Ministarstva finansija, koje je odgovorilo da je u spornom periodu Ivan Posavec radio za Ujedinjene nacije i da je i po prestanku angažmana u Poreskoj upravi, nastavio da korsiti službenu e mail adresu Ministarstva finansija, laptop računar Poresku uprave i više diskova sa podacima. Takođe je utvrđeno je da su navedena lica imala nesmetan samostalan pristup data centru Poreske uprave, što ukazuje na nepostojanje bezbednosti predmetnih podataka. Odgovornost za odliv podataka, prema tvrdnjama zamenika direktora Poreske uprave, kao i odgovornost za sve što je u Poreskoj upravi učinjeno pre njegovog stupanja na dužnost snosi bivši direktor Poreske uprave, kao odgovorno lice.

Uz Zapisnik o izvršenom nadzoru je dostavljena i Službena beleška o aktivnostima Ivana Posaveca vezanim za delokrug rada Sektora za informacione i komunikacione tehnologije, br. 000-031-00-00016/2014-I0136, od 25.08.2014., koja je sačinjena na osnovu zahteva zamenika direktora Poreske uprave, u kojoj se navodi da je za potrebe rada grupe kojom je rukovodio Ivan Posavec formiran poseban server, nezavisno od postojeće produkcije. Neki od velikog broja podataka iz Registra poreskih obveznika dostavljenih grupi uključuju podatke o obveznicima koji su u mirovanju i obveznicima koji su ispali iz mirovanja; podatke o uplatama obveznika sa teritorije Zaječara u periodu 01.11.2013 – 28.02.2014. po fiskalnim grupama; spisak 250 najvećih platiša; zaduženja vlasnika igraonica i stomatologa u 2013. po dokumentima na osnovu dostavljenih PIB-ova; podaci iz PPP-PD, podaci o svim JMBG-ovima i prijavljenim isplatama, itd.

Razni dopisi

U pismu Ministarstva finansija, Sektora za fiskalni sistem, Povereniku, br. 413-00-00259/2012-04, od 24.05.2012., tvrdi se da odredbama Zakona o poreskom postupku i poreskoj administraciji postoji pravni osnov za objavljivanje obaveštenja o iznosu poreskog duga svih poreskih obveznika i da nema osnova za stav Poverenika da ZPPPA ni ostali poreski zakoni ne obrađuju predmetna pitanja i da ne mogu da predstavljaju pravni osnov za objavljivanje podataka o ličnosti. U pismu se takođe ističe da obaveza čuvanja službene tajne nije povređena kada Poreska uprava izvršava svoju ustanovljenu obavezu prema ZPPPA i na svom vebsajtu objavljuje obaveštenje o iznosu poreskog duga svih poreskih obveznika, kao i da nije reč o objavljivanju podataka o ličnosti (JMBG, adresni kod, itd.), već ličnih imena poreskih obveznika – fizičkih lica i ukupan iznos. Poreska uprava na kraju zaključuje da je ZPPPA pravni akt iste pravne snage u odnosu na ZZPL i da ako se “objavljivanje podataka o poreskom dugu poreskih obveznika – fizičkih lica uopšte može smatrati korišćenjem podataka o ličnosti, neosporno je da se, saglasno članu 42. Ustava, to korišćenje uređuje zakonom, što podrazumeva pravni akt koji je kao zakon usvojila Narodna skupština a ne isključivo ZZPL.”[1]

Poverenik je uputio mišljenje na zahtev Poreske uprave, br. 011-00-00588/2012-05, od 10.09.2012., po pitanju kako bi Poreska uprava trebalo da postupa po zahtevima sredstava javnog informisanja za dostavljanje podataka o visini dugovanja fizičkih lica po osnovu javnih prihoda. Poverenik je naveo da Poreska uprava svakodnevno generiše i obrađuje značajan broj podataka od kojih neke predstavljaju podatke o ličnosti, a istovremeno podaci i informacije nastale u njenom radu imaju status informacija od javnog značaja. Tako da je dužna da se pridržava oba zakona. Poverenik je takođe naveo da svojstvo tražioca informacije nije od značaja prilikom odlučivanja po njegovom zahtevu, pa je irelevantno da li je zahtev podnet od strane sredstava javnog informisanja. Zaključeno je time da po Zakonu o slobodnom pristupu informacijama od javnog značaja, pravo javnosti da zna – ne može se ostvarivati na način kojim se ugrožava privatnost lica i vrši nezakonita obrada podataka o ličnosti, kao i da proaktivnost Poreske uprave u informisanju javnosti i anticipiranje interesa javnosti u pogledu činjenica koje se odnose na njen rad – nije prihvatljivo ukoliko se vrši nedozvoljenom obradom podataka o ličnosti u smislu odredbi ZZPL.

Poverenik je primio zahtev od Ministarstva finansija za mišljenje o tekstu Nacrta zakona o izmenama i dopunama Zakona o poreskom postupku i poreskoj administraciji. U pismu Ministarstvu, br. 011-00-00566/2014-05, od 20.06.2014., Poverenik je istakao da, sa aspekta nadležnosti uređene ZZPL-om, Poreska uprava i organi koji joj dostavljaju date podatke imaju obavezu da postupaju u skladu sa ZZPL i da prilika treba biti iskorišćena da se važeće odredbe Zakona o poreskom postupku i poreskoj administraciji usklade sa ustavnim i zakonskim standardima zaštite podataka o ličnosti.

Gradska poreska uprava Kragujevac se izjasnila povodom saznanja Poverenika da vrši distribuciju rešenja o porezu na imovinu za 2014. preko mesnih zajednica i mesnih kancelarija, a prema adresi prebivališta poreskog obveznika. U izjašnjenu u vezi dopisa Poverenika, br. 020-517/14-VIII, od 31.12.2014., je navedeno da se u skladu sa Zakonom o poreskom postupku i poreskoj administraciji poreski akt dostavlja poreskom obvezniku slanjem preporučene pošiljke, obične pošiljke ili preko službenog lica poreskog organa, da poreska uprava određuje način dostavljanja akta i da sekretari mesnih zajednica i šefovi mesnih kancelarija nisu vršili obradu podataka o ličnosti poreskih obveznika, već su vršili uručivanje poreskih rešenja kao službena lica organa Grada. Sekretari mesnih zajednica i šefovi mesnih kancelarija nisu dakle imali uvid u poresko rešenje i podatke koje ono sadrži. Gradska poreska uprava je takođe navela da je poreska rešenja pakovala u svojim službenim prostorijama na način da podaci, odnosno sadržina rešenja budu zaštićeni od neovlašćenog pristupa i drugih zloupotreba.

Takođe, u Odluci Gradskog veća, br. 436-3600/14-V, od 08.10.2014., istaknuto je da je ovakav pristup usvojen u cilju efikasnijeg dostavljanja i racionalizacije troškova, a da je pravni osnov za donošenje ove odluke sadržan u odredbama Statuta grada Kragujevca, Odluci o Gradskom veću, Poslovniku o radu Gradskog veća i u Zakonu o poreskom postupku i poreskoj administraciji.

RFZO

RFZO

 

 

OPŠTI PODACI

Preuzmite pdf celog izveštaja

Podaci o osnovnoj delatnosti, sedištu, pravnim aktima, veb sajtu i slično

Republički fond za zdravstveno osiguranje (RFZO) je pravno lice sa statusom organizacije za obavezno zdravstveno osiguranje čija je osnovna delatnost da osiguranim licima obezbedi ostvarivanje prava iz oblasti obaveznog zdravstvenog osiguranja.

Prava, obaveze i odgovornost RFZO-a utvrđene su Zakonom o zdravstvenom osiguranju (“Sl. glasnik RS”, br. 107/2005, 109/2005 – ispr., 57/2011, 110/2012 – odluka US, 119/2012, 99/2014, 123/2014 i 126/2014 – odluka US) i Statutom Republičkog fonda za zdravstveno osiguranje (“Sl. glasnik RS”, br. 81/2011, 57/2012, 89/2012, 1/2013, 32/2013 i 23/2015).

RFZO obavlja delatnost na čitavoj teritoriji Republike Srbije te ima nadležnost nad svim građanima naše zemlje, kao i stranim državljanima koji imaju zdravstveno osiguranje u skladu sa Zakonom o zdravstvenom osiguranju. U skladu sa tim postoji razgranata organizaciona struktura, te se poslovi RFZO-a obavljaju u:

  • Direkciji gde se organizuje, vrši kontrola i koordinacija rada filijala i Pokrajinskog fonda, zastupa RFZO, ustrojava i organizuje matična evidencija o osiguranim licima i korišćenju prava iz obaveznog zdravstvenog osiguranja, jedinstveno za teritoriju Republike, obavljaju poslovi ustrojavanja, razvoja, korišćenja i održavanja informacionog sistema zdravstvenog osiguranja kao dela integrisanog informacionog sistema Republike kao i mnogi drugi poslovi u skladu sa članom 28 Statuta RFZO-a;
  • Pokrajinskom fondu koji vrši koordinaciju rada filijala obrazovanih na teritoriji autonomne pokrajine i obavlja druge poslove u skladu sa članom 28 Statuta RFZO-a;
  • 31 filijali i njihovim ispostavama koje sprovode obavezno zdravstveno osiguranje i vode matičnu evidencija osiguranih lica na svom području, te obavljaju druge poslove u skladu sa članom 31 Statuta RFZO-a.

Pravilnik o načinu i postupku zaštite prava osiguranih lica Republičkog fonda za zdravstveno osiguranje, usvojen 2013. godine, u članu 4, stav 3, sadrži napomenu da je zaštitnik prava osiguranih lica obavezan da postupa u skladu sa propisima kojima se uređuje zaštita podataka o ličnosti.

Na sajtu Fonda, u rubrici ’O nama’, sekcija ’Upravljanje kvalitetom’, nalazi se segment posvećen politici upravljanja bezbednošću informacija u kojem su objašnjeni namena, ciljevi i načini zaštite informacija.

Adresa: Jovana Marinovića br. 2, 11040 Beograd

E-mail: public@rfzo.rs

Internet sajt: www.rfzo.rs

Informator o radu: http://www.rfzo.rs/download/informator/informator_o_radu_112015.pdf

PRAVNI ASPEKTI OBRADE PODATAKA

Zbirke podataka o ličnosti

RFZO je registrovao 18 zbirki podataka o ličnosti u Centralni registar Poverenika. Od toga, 12 zbirki podataka se odnosi na podatke o ličnosti osoba koje su zaposlene u RFZO-u ili obavaljaju poslove u RFZO-u po drugom osnovu kao što su evidencija o zaradama, evidencija adresa elektronske pošte zaposlenih, evidencija korisnika službenih mobilnih telefona i druge slične evidncije.

Preostalih 6 zbirki podataka se odnose na podatke o ličnosti osiguranih lica i članova njihovih porodica, građana Srbije i stranih državljana koji imaju obavezno zdravstveno osiguranje i to su:

  • Matična evidencija o osiguranim licima i korišćenju prava iz obaveznog zdravstvenog osiguranja;
  • Registracija izabranog lekara;
  • Evidencija izdatih recepata;
  • Evidencija o licima sa kojima RFZO vodi sudske sporove;
  • Evidencija o predmetima u upravnom postupku;
  • Digitalna bolnica – iskorišćenost bolničkih postelja.

Od svih nabrojanih, Matična evidencija o osiguranim licima i korišćenju prava iz obaveznog zdravstvenog osiguranja (u daljem tekstu “Matična evidencija”)  predstavlja najobimniju zbirku podataka koju vodi RFZO, i čini osnovni preduslov za obavljanje poslova iz nadležnosti RFZO-a, zbog čega su i pravila za vođenje ove evidencije detaljno regulisana Zakonom o zdravstvenom osiguranju i podzakonskim propisima. Ova evidencija je uspostavljena 2005. godine, nakon što je stupio na snagu važeći Zakon o zdravstvenom osiguranju.

Matičnu evidenciju smo odabrali kao reprezentativnu te se dalja analiza svih aspekata obrade podataka o ličnosti odnosi samo na Matičnu evidenciju.

Pravni osnov

Pravni osnov za vođenje Matične evidencije utvrđen je članom 115 Zakona o zdravstvenom osiguranju gde se navodi da se svojstvo osiguranog lica u obaveznom zdravstvenom osiguranju utvrđuje na osnovu podataka koji se vode u Matičnoj evidenciji koju jedinstveno za teritoriju Republike ustrojava i organizuje RFZO. Dalje, članovi 116-138 istog Zakona uređuju obradu podataka, precizno navode podatke o ličnosti koji se vode u Matičnoj evidenciji. Članom 138, stav 1, propisano je da se ti podaci koriste samo za potrebe obaveznog zdravstvenog osiguranja, ako zakonom nije drugačije određeno, dok se u stavu 2 navodi da podaci iz Matične evidencije koji se odnose na pojedino osigurano lice, odnosno na korišćenje prava iz obaveznog zdravstvenog osiguranja, jesu lični podaci i predstavljaju službenu tajnu, odnosno ne mogu se iznositi i objavljivati u javnosti.

Podaci o ličnosti

U matičnoj evidenciji se vode i obrađuju podaci o ličnosti:

  1. Osiguranika, to jest lica koja su osigurana u skladu sa Zakonom o zdravstvenom osiguranju i to:
  • prezime i ime;
  • jedinstveni matični broj građana i poreski identifikacioni broj;
  • pol;
  • dan, mesec i godina rođenja;
  • zanimanje;
  • školska sprema;
  • osnov osiguranja;
  • datum sticanja, odnosno prestanka svojstva osiguranika, kao i promene u toku osiguranja;
  • staž zdravstvenog osiguranja;
  • obveznik plaćanja doprinosa;
  • visina uplate doprinosa;
  • zarade, naknade zarada i druga primanja i naknade koje služe za utvrđivanje osnovice osiguranja na koju se obračunava i plaća doprinos;
  • visina uplaćenog doprinosa;
  • adresa prebivališta;
  • naziv poslodavca, registarski broj poslodavca, šifra delatnosti i adresa sedišta poslodavca;
  • opština na kojoj se nepokretnost nalazi;
  • državljanstvo.

 

  1. Članova porodice osiguranika i to:
  • prezime i ime;
  • jedinstveni matični broj građana;
  • pol;
  • dan, mesec i godina rođenja;
  • srodstvo sa osiguranikom;
  • adresa prebivališta;
  • zanimanje;
  • državljanstvo.

 

  1. O korišćenju prava iz obaveznog zdravstvenog osiguranja i to:
  • vrsti prava iz zdravstvenog osiguranja koja se obezbeđuju osiguranom licu;
  • pruženim zdravstvenim uslugama;
  • novčanim naknadama;
  • medicinsko-tehničkim pomagalima i implantatima;
  • lekovima izdatim na recept;
  • godišnjem iznosu plaćenih participacija;
  • izabranom lekaru osiguranog lica;
  • ostvarivanju prava pred lekarskim komisijama;
  • ostvarivanju prava u vezi sa profesionalnom bolešću ili povredom na radu osiguranika;
  • upućivanju na invalidsku komisiju u skladu sa ovim zakonom.

RFZO ima nadležnost nad celom teritorijom Republike Srbije pa se u Matičnoj evidenciji nalaze podaci o ličnosti većine građana Srbije, kao i stranaca koji su po nekom osnovu zdravstveno osigurani. U ovoj evidenciji se ne nalaze samo podaci onih građana koji ni po jednom osnovu nisu osigurani po Zakonu o zdravstvenom osiguranju.

Treba napomenuti da se gotovo identični podaci o osiguranicima nalaze i u Matičnoj evidenciji o osiguranim licima i korišćenju prava iz obaveznog zdravstvenog osgiuranja koju vodi Republički fond za penzijsko i invalidsko osiguranje kao i u jedinstvenoj bazi podataka osiguranika, osiguranih lica koju vodi Centralni registar obaveznog socijalnog osiguranja.

Podaci o korišćenju prava iz obaveznog zdravstvenog osiguranja kao podaci o zdravstvenom stanju predstavljaju naročito osetljive podatke u smislu člana 16 Zakona o zaštiti podataka o ličnosti, i ovi podaci se ne nalaze u evidencijama drugih državnih organa, niti se sa njima razmenjuju. Dodatno, članom 9 Uredbe o jedinstvenim metodološkim principima za vođenje matične evidencije uređeno je da ovi podaci predstavljaju službenu tajnu, da se vode odvojeno od drugih podataka, a te podatke može unositi odnosno njima rukovati za to posebno ovlašćeno lice RFZO-a.

Načini prikupljanja podataka o ličnosti

Od kada je uspostavljen i počeo sa radom Centralni registar obaveznog socijalnog osiguranja, podaci o osiguranicima i osiguranim licima koji se vode u Matičnoj evidenciji se prikupljaju preuzimanjem podataka od Centralnog registra a u skladu sa Zakonom o centralnom registru obaveznog socijalnog osiguranja. Naime, tim Zakonom je propisano da se registracija osiguranika i osiguranih lica vrši podnošenjem jedinstvene prijave isključivo u elektronskom obliku preko portala Centralnog registra. Ove jedinstvene prijave u većini slučajeva podnose poslodavci za svoje zaposlene ili sama fizička lica. U oba slučaja mora postojati kvalifikovani elektronski sertifikat kako bi mogla da se podnese jedinstvena prijava. Izuzetno za fizička lica koja nemaju tehničke mogućnosti za prijavu u elektronskom obliku, nju može podneti neka od organizacija obaveznog socijalnog osiguranja (RFZO, PIO fond). Tada fizička lica na šalteru predaju potrebne dokaze o statusu osiguranika, a ovlašćeni službenik na šalteru za njih popunjava jedinstvenu elektronsku prijavu i podnosi je Centralnom registru.

Podaci koji su navedeni u elektronskoj prijavi se unose u jedinstvenu bazu podataka osiguranika, osiguranih lica koju vodi Centralni registar. Nakon toga RFZO preuzima i koristi te podatke za potrebe vođenja Matične evidencije, a u skladu sa članom 18 Zakona o centralnom registru obaveznog socijalnog osiguranja koji propisuje da organizacije obaveznog socijalnog osiguranja preuzimaju iz Jedinstvene baze podatke neophodne za vođenje Matične evidencije

Forma jedinstvene elektronske prijave je propisana Uredbom o sadržini, obrascu i načinu podnošenja jedinstvene prijave na obavezno socijalno osiguranje, jedinstvenim metodološkim principima i jedinstvenom kodeksu šifara za unos podataka u jedinstvenu bazu centralnog registra obaveznog socijalnog osiguranja („Službeni glasnik RS”, br. 54/10, 124/12 и 119/13) i data je na Obrascu M koji je odštampan uz ovu uredbu i čini njen sastavni deo.

Centralni registar Poverenika

Matična evidencija je registrovana kao zbirka podataka o ličnosti u Centralnom registru koji vodi Poverenik od jula 2010. godine. Pored ove, RFZO je registrovao još 17 zbirki podataka o ličnosti.

Nakon registracije Matične evidencije došlo je do promene određenih aspekata obrade podataka o ličnosti, a naročito osnivanjem Centralnog registra obaveznog socijalnog osiguranja, te u tom smislu nisu ažurni podaci iz Centralnog registra koji se odnose na ‘’način prikupljanja i čuvanja podataka’’ i ‘’spoljne korisnike zbirke’’.

Interni akti

Prvim zahtevom za informacije od javnog značaja od RFZO-a su traženi interni akti koji regulišu upravljanje i pristup podacima iz Matične evidencije. U skladu sa tim dostavljena su nam dokumenta Sistema upravljanja kvalitetom (ISO 9001) i Sistema upravljanja bezbednošću informacija (ISO 27001)  koji reguliše određene aspekte upravljanja i pristupa podacima iz Matične evidencije i to:

  • Politika uloga i odgovornosti (ISO 27001) na opšti način reguliše uloge i odgovornost rukovodilaca i ostalih zaposlenih u RFZO u vezi sigurnošću informacija. Primera radi navešćemo neke uloge i odgovornosti. Opšta odgovornost za sigurnost informacija je na direktoru RFZO-a, dok je primarna odgovornost obazbeđivanja sigurnosti informacija na direktorima organizacionih jedinica RFZO-a (direktori sektora, direktori filijala i direktor pokrajinskog fonda). Sistem administratori su odgovorni za implementaciju sistema za kontrolu pristupa radi očuvanja poverljivosti kao i za bekap procedure. Svi zaposleni su odgovorni za poštovanje svih procedura i pozitivno pravnih propisa kao i za fizički pristup resursima koji su u njihovom vlasništvu. Poslednja verzija ovog dokumenta je iz juna 2013. godine.
  • Politika kontrole logičkog pristupa (ISO 27001) ima za cilj da ustanovi standard za kreiranje jakih lozinki za pristup informacionim sistemima RFZO-a, kao i zaštitu lozinki i učestalost njihovog menjanja kroz detaljno definisanje tri procesa a) Identifikacije, b) Autentifikacije i c) Autorizacije. Poslednja verzija ovog dokumenta je iz juna 2013. godine.
  • Politika upravljanja korisničkim ulogama (ISO 27001) ima za cilj da ustanovi pravila za upravljanje korisničkim nalozima i ovlašćenjima zaposlenih u RFZO-u na način kako bi se obezbedilo da samo ovlašćeni korisnici mogu da pristupe informacionim sistemima i da se na taj način spreči neovlašćeni pristup podacima. Poslednja verzija ovog dokumenta je iz juna 2013. godine.
  • Procedura za registraciju i odjavu korisnika (ISO 27001) ima za cilj da definiše postupak registracije i odjave korisnika informacionih sistema RFZO-a. Poslednja verzija ovog dokumenta je iz juna 2013. godine.
  • Procedura za održavanje, izveštavanje i pružanje podrške korisnicima IS (ISO 9001) ima za cilj da definiše način i postupak održavanja informacionog sistema RFZO-a. Poslednja verzija ovog dokumenta je iz februara 2013. godine.

Zahtev za ostvarivanje prava

Tokom istraživačkog procesa, član našeg tima je u skladu sa članom 19 ZZPL-a pisanim putem od RFZO-a tražio obaveštenje o obradi svojih podataka o ličnosti i to:

  1. Koje podatke o meni obrađujete?
  2. Koje vrste obrade podataka sprovodite?
  3. Od koga su prikupljeni podaci o meni, odnosno ko je izvor podataka?
  4. U koje svrhe se podaci obrađuju?
  5. U kojim zbirkama podataka se nalaze podaci o meni?
  6. Ko su korisnici podataka o meni? Koji podaci o meni se koriste? Po kom pravnom osnovu i u koje svrhe se podaci o meni koriste?
  7. Da li se moji podaci prenose (ustupaju) drugim licima, i koja su to lica? Po kom pravnom osnovu i za koje potrebe se ti podaci prenose?
  8. U kom vremenskom periodu se podaci obrađuju, odnosno da li je predviđena obustava obrade mojih podataka u određenom trenutku?

RFZO nije odgovorio na zahtev za ostvarivanje prava u zakonom predviđenom roku od 15 dana od dana podnošenja zahteva. Kada rukovalac nije u mogućnosti da postupi po zahtevu u propisanom roku, podnosilac zahteva se obaveštava o tome i određuje se novi rok za postupanje koji ne može biti duži od 30 dana od isteka prvog propisanog roka. U slučaju odbijanja zahteva, rukovalac je dužan da o tome donese rešenje sa poukom o pravnom sredstvu. Nijednu od propisanih obaveza RFZO nije ispunio.

Zaključak

Regulisanje obaveze vođenja Matične evidencije, te precizno definisanje podataka o ličnosti   koji se vode u Matičnoj evidenciji zakonskom odredbom, kao i jasno određena svrha obrade ovih podataka što je sve određeno Zakonom o zdravstvenom osiguranju, predstavlja dobro rešenje, koja je u skladu sa  članom 42 stav 2 Ustava Republike Srbije kojim je uređeno da se obrada podataka uređuje zakonom. Ipak čini se da je osnivanjem Centralnog registra obaveznog socijalnog osiguranja došlo do određenih promena u odnosu na grupe podataka o ličnosti koji se vode u Matičnoj evidenciji te bi član 115 Zakona o zdravstvenom osiguranju (koji reguliše grupe podataka o ličnosti) trebalo izmeniti i uskladiti sa novim okolnostima.

Matična evidencija je blagovremeno registrovana kao zbirka podataka o ličnosti u Centralnom registru koji vodi Poverenik ali obzirom da je od tada došlo do određenih promena u obradi podataka, a naročito osnivanjem Centralnog registra obaveznog socijalnog osiguranja, poželjno je da se ovi podaci ažuriraju.

Na zahtev za ostvarivanje prava na obaveštenje o obradi podataka o ličnosti koji smo uputili u svemu u skladu sa Zakonom o zaštiti podataka o ličnosti, RFZO ni na koji način nije odgovorio, niti doneo bilo kakvo rešenje čime se oglušio o svoje zakonom propisane obaveze. Ova činjenica svakako upućuje na zaključak da u RFZO ne postoje jasne procedure i odgovornost za odgovore na zahteve građana u skladu sa Zakonom o zaštiti podataka o ličnosti.

Interni akti, odnosno dokumenti Sistema upravljanja kvalitetom (ISO 9001) i Sistema upravljanja bezbednošću informacija koji regulišu određene aspekte upravaljanja i pristupa podacima iz Matične evidencije a koji su navedeni predstavljaju dobra rešenja u mnogim aspektima, jer na precizan način uspostavljaju procedure i pravila za unos, izvos, prenos, bekap podataka o ličnosti.

ORGANIZACIONI ASPEKTI OBRADE PODATAKA

Lice za zaštitu podataka o ličnosti

Postojeće stanje: U Republičkom fondu za zdravstveno osiguranje postoje lica zadužena za bezbednost informacija, što bi trebalo da uključuje i zaštitu podataka o ličnosti. Lica su određena rešenjima direktora Fonda i pored poslova i odgovornosti za bezbednost informacija obavljaju i druge poslove.

Kao primer dobre prakse u Republičkom fondu za zdravstveno osiguranje može se navesti distribucija odgovornosti za bezbednost informacija kroz organizaciju. Odgovornost za bezbednost informacija je distribuirana u skladu sa svim specifičnostima organizacione strukture Republičkog fonda za zdravstveno osiguranje. Naime, odgovornost za bezbednost informacija je na:

  • Direktorima sektora u Direkciji;
  • Direktorima filijala;
  • Direktoru pokrajinskog fonda.

Na ovaj način raspoređena odgovornost stvara osnovu za razvijanje odgovarajućeg nivoa bezbednosti informacija, među kojima su najznačajniji podaci o ličnosti korisnika. Analizom organizacione strukture RFZO može se jasno videti da je odgovornost za bezbednost informacija definisana na dva nivoa. U Direkciji RFZO, direktori sektora su na hijerarhijskom nivou koji obezbeđuje punu primenu njihovih zahteva u vezi sa zaštitom podataka, a sa druge strane su dovoljno uključeni u procese rada da bi uvideli sve probleme u ovoj oblasti. Takođe, direktori filijala su među ključnim učesnicima u procesu zaštite podataka o ličnosti, pre svega zbog geografske dislociranosti filijala, u kojima bi iz tog razloga moglo biti teže primeniti zahteve vezane za zaštitu podataka o ličnosti. Sa druge strane, u Autonomnoj pokrajini takođe  postoje dva nivoa, s tim što je prvi nivo odgovornosti na direktoru Pokrajinskog fonda, dok je drugi nivo ponovo na direktorima filijala u Autonomnoj pokrajini.

Zvanično, odgovornosti na ovaj način imenovanih lica uključuju:

  • Obezbeđivanje razvoja adekvatnih kontrola u skladu sa osetljivošću resursa kome se pristupa;
  • Obezbeđivanje da samo autorizovani korisnici imaju imaju pravo pristupa resursima koji su u njihovoj nadležnosti i poštovanje usvojenih procedura;
  • Obezbeđivanje da svi korisnici nakon promene radnog mesta ili prekida radnog odnosa prođu zvaničnu proceduru promene prava pristupa.

Preporuka: Pored  navedenih organizacionih i tehničkih odgovornosti imenovanih lica, u opis njihovih nadležnosti bilo bi poželjno dodati pitanja koja su vezana i za organizacionu kulturu zaposlenih u Fondu, kao što su:

  • sprovođenje određene politike o zaštiti podataka o ličnosti među zaposlenima;
  • promovisanje zaštite podataka o ličnosti među zaposlenima radi shvatanje njihove uloge u zaštiti podataka
  • organizovanje edukacije iz oblasti zaštite podataka o ličnosti za zaposlene;
  • izveštavanje rukovodstva o nivou zaštite podataka i predlaganje mera za podizanje nivoa zaštite i dr.

Deo ovih nadležnosti je trenutno dodeljen lokalnim koordinatorima, ali se tu postavlja pitanje hijerarhijskog nivoa na kome se nalaze lokalni koordinatori.

I pored pozitivno istaknute distribucije odgovornosti za bezbednost informacija u RFZO, dodatno bi trebalo razmotriti uvođenje određene odgovornosti i na poslednjem organizacionom nivou, na nivou ispostava. Trenutno, svaka od filijala RFZO ima jednu ili više ispostava u manjim mestima. Opravdano je postaviti pitanje svesti zaposlenih o važnosti zaštite podataka o ličnosti u ispostavama RFZO, pre svega zbog dislociranosti i nedovoljnog kontakta sa direktorima filijala kao poslednjim nivoom na kojem je jasno definisana odgovornost za bezbednost informacija. Jasno je da ti zaposleni, posmatrajući tehnički aspekt, svakako rade u okviru koji je definisan na nivou celog RFZO i koji pruža odgovarajući nivo zaštite podataka o linosti, ali problem može predstavljati svest zaposlenih. Pitanje može biti posebno osetljivo na nivou ispostava u manjim mestima, gde je veća verovatnoća da zaposleni u RFZO lično poznaju korisnike, te i interes za neovlašćen pristup podacima o ličnosti može biti veći.

Edukacija

Postojeće stanje: U Republičkom fondu za zdravstveno osiguranje sprovedena je sistematska obuka zaposlenih za primenu zahteva standarda ISO 27001 – Sistem upravljanja bezbednošću informacija. Takođe, na internom portalu se nalaze određene instrukcije za postupanje u vezi sa bezbednošću informacija. Istraživačkom timu nije poznato u kojoj meri je akcenat prilikom obuka za uvođenje standarda ISO 27001 stavljen na zaštitu podataka o ličnosti, kao najosetljivijim podacima kojima upravlja RFZO, jer je standard generički i njegovi zahtevi se odnose na svu dokumentaciju u organizaciji.

Preporuka:  Republički fond za zdravstveno osiguranje upravlja velikom količinom podataka o ličnosti te je od izuzetne važnosti uvesti kontinuiranu edukaciju zaposlenih iz ove oblasti. Takođe, trebalo bi definisati vremenske intervale za testiranja znanja zaposlenih iz ove oblasti, kako bi rukovodstvo RFZO na svim nivoima imalo saznanja o stanju sistema u pogledu zaštite podataka o ličnosti.

Pristup zaposlenih Matičnoj evidenciji

Postojeće stanje: U Republičkom fondu za zdravstveno osiguranje je razvijen sistem korisničkih uloga sa različtim pravima pristupa. Pristup je određen kombinacijom korisničkog imena i šifre, koja je vezana za svakog zaposlenog. Svaki pristup bazi se beleži (ko je pristupio, kada, šta je radio), ali se ne evidentira razlog pristupa bazi.

S obzirom da je Matična evidencija (MEOP baza/sistem) distriburiana po filijalama pristup je ograničen na podatke samo iz jedne filijale, pa zaposleni iz jedne filijale ne mogu da pristupe podacima u drugoj filijali.

U svakoj od filijala postoji jedno ili više lica koje su zaduženo za izdavanje korisničkih imena i šifara za pristup MEOP sistemu, samo zaposlenima u toj filijali i za pristup podacima konkretne filijale. Takođe, administrator može da vidi samo korisničko ime zaposlenog. Kada kreira lozinku za zaposlenog, od zaposlenog se traži da je odmah promeni, koja tako ostaje nepoznata i za administratore.

Pristup podacima iz Matične evidencije je omogućen svim zaposlenima čije radne aktivnosti to zahtevaju. Obim prava pristupa zavisi od vrste posla kojim se bave zaposleni. Među korisnicima koji imaju pristup Matičnoj evidenciji, javljaju se, u okviru Direkcije: Pomoćnik direktora za razvoj i održavanje informacionog sistema, Načelnik Odeljenja za matičnu evidenciju i Pomoćnik načelnika Odeljenja za matičnu evidenciju. Istovremeno, pristup matičnoj evidenciji je omogućen i zaposlenima na 13 radnih mesta u filijalama i ispostavama. Zaposleni imaju različita prava pristupa. Jasno je da je princip bio da se pristup omogući samo licima čiji neposredni rad to zahteva, ali data podela odgovornosti ukazuje da pristup nije dovoljno disperzovan na najvišem hijerarhijskom nivou, te se javlja pitanje šta se dešava kada neko od rukovodilaca u Direkciji ima opravdanu potrebu da pristupi bazi, ili neko od zaposlenih u samom Odeljenju za matičnu evidenciju.

Razvijena je jasna procedura za uvođenje novih korisnika u sistem, po zahtevima standarda ISO 27001. U sistemu u kojem su definisane korisničke role, ključan je proces dodeljivanja korisničkih uloga, odnosno kreiranja novih korisnika i njemu je potrebno posvetiti posebnu pažnju. Proces uvođenja novog korisnika prikazan je šematski:

 

tablea 3-02

Preporuka: Na osnovu dostupne dokumentacije, i odgovora zaposlenih na postavljena pitanja, došlo se do modela procesa uvođenja novih korisnika u sistem. Opravdano je postaviti određena pitanja u vezi sa optmizacijom ovog procesa. Rukovodilac službe/sektora proverava zahteve za pristup podacima prema potrebama posla, nakon određenog iniciranja od strane Rukovodstva i tek onda izdaje nalog IT službi za kreiranje korisničkog naloga. Ovaj proces se odvija na lokalnom nivou.

Međutim, ukoliko je uveden sistem korisničkih rola, on bi trebalo da prepoznaje tipske role, koje su vezane isključivo za radna mesta zaposlenih. U tom slučaju, nakon angažovanja novog zaposlenog, ili promene radnog mesta postojećeg, zaposleni iz Sektora za ljudske resurse bi trebalo da obaveste IT službu o promeni i zaposleni bi po automatizmu (u skladu sa radnim mestom) trebalo da dobije određena prava pristupa. U tom slučaju, opisani proces bi se sprovodio samo prilikom promene sistematizacije, ukidanja, promene ili uvođenja novih radnih mesta. Takođe, na taj način se eliminiše rizik da zaposleni na istim radnim mestima imaju različite nivoe pristupa.

U Republičkom fondu za zdravstveno osiguranje postoji Matrica privilegija sa 26 različitih nivoa pristupa – korisničkih uloga. U Matrici privilegija su navedeni svi korisnici sa jasno definisanim privilegijama, kao i svi sistemi/aplikacije. Matrica privilegija prisutna u RFZO svakako predstavlja primer dobre prakse, s tim što bi trebalo da sadrži nazive radnih mesta umesto imena korisnika, kako bi se standardizovao pristup bazi širom organizacije.

Dalje, u informacionom sistemu bi trebalo da postoji funkcija automatskog prekida sesije ukoliko protekne određeni vremenski interval bez aktivnosti korisnika (npr. zbog izlaska iz kancelarije, session timeout). Vremenski interval bi trebalo da bude određen tako da ne predstavlja preveliku smetnju zaposlenima u obavljanju radnih aktivnosti (Predlog – 30 minuta).

Sektor za održavanje informacionog sistema

Postojeće stanje: Na nivou Direkcije Republičkog fonda za zdravstveno osiguranje postoji Sektor za razvoj i informacione tehnologije, u okviru kojeg postoje sledeće organizacione jedinice, vezane za održavanje informacionog sisema: Odsek za održavanje informacionog sistema, Odeljenje za održavanje informacionog sistema, Grupa za održavanje računarske mreže i sistemsko održavanje, Odeljenje za održavanje računarske mreže i sistemsko održavanje.

Trenutno se 26 zaposlenih u Direkciji bavi poslovima održavanja informacionog sistema, ali i u filijalama postoje zaposleni koji se bave održavanjem informacionog sistema. Razlikuju se prava pristupa sistemu između zaposlenih koji se bave održavanjem informacionog sistema u Direkciji, i zaposlenih koji obavljaju te poslove u filijalama.

Deo poslova održavanja informacionog sistema obavlja i Elektrotehnički fakultet Univerziteta u Beogradu (ETF), i ima pristup određenim podacima. Republički fond za zdravstevno osiguranje ima potpisan ugovor sa ETF-om, gde je jedna od odredbi poverljivost svih podataka. Elektrotehnički fakultet je jedini koji održava MEOP bazu (sistem). Međutim, druga pravna lica se bave održavanjem drugih softverskih podsistema u okviru Republičog fonda za zdravstveno i penziono osiguranje. Lica angažovana na ETF-u imaju ad hoc pristup bazi podataka, u smislu da bi pristup podacima trebalo da imaju samo iz prostorija RFZO.

Evidencija u papirnoj formi

Postojeće stanje: Iako je u poslednje vreme značajno smanjen obim papirnih dokumenata u Republičkom fondu za zdravstveno osiguranje, u svakoj od filijala postoje arhive dokumenata, koje su zaključane. S obzirom da su sva dokumenta u paprinoj formi unesena u sistem, i postoje i u elektronskoj formi, u najvećem broju slučajeva dokumentima u papirnoj formi nakon nastanka više niko i ne pristupa. Ne postoje dosijea korisnika, već samo prijave. Međutim, ukoliko neko od zaposlenih želi da pristupi podacima u papirnoj formi, ne evidentira se pristup, niti se beleži razlog pristupa.

Preporuka: Uvesti jasnu proceduru za čuvanje podataka u papirnoj formi, u kojoj će biti definisano: gde se čuvaju podaci, ko ima pravo pristupa, ko je odgovoran za čuvanje i za evidentiranje pristupa, i druga pitanja od najveće važnosti.

ISO standardi

Postojeće stanje:  U Republičkom fondu za zdravstveno osiguranje je uveden standard ISO 9001 – Sistem menadžmenta kvalitetom, kao bazni standard serije. Takođe, kao izuzetno bitno za potrebe istraživanja potrebno je istaći da je RFZO sertifikovan i po zahtevima standarda ISO 27001 Sistem menadžmenta bezbednošću informacija. Na osnovu dostavljene dokumentacije može se zaključiti da su zahtevi standarda ispunjeni u velikoj meri.

Zaključak

Republički fond za zdravstveno osiguranje predstavlja primer dobre prakse u upravljanju bezbednošću informacija i zaštitom podataka o ličnosti među ustanovama u Republici Srbiji. Informacioni sistem je osposobljen da omogući odgovarajući nivo zaštite podataka o ličnosti, a istovremeno da pruži dovoljno fleksibilnosti za obavljanje osnovne delatnosti RFZO. Preporuke date u ovom delu izveštaja su organizacione prirode i date su u cilju daljeg unapređenja sistema u oblasti zaštite podataka o ličnosti.

 

TEHNIČKI ASPEKTI OBRADE PODATAKA

Opšte tehničke informacije i struktura sistema

 

RFZO u svojoj celoj mreži ima ukupno 237 servera, vlasnik je celokupne IT opreme, uključujući i sve servere. Svaka ispostava ima svoju MEOP bazu podataka (Matičnu Evidenciju na lokalnom nivou), a tako distribuirana baza podataka se sa centralnom bazom u Direkciji fonda sinhronizuje na svakih 10 do 15 minuta od trenutka nastanka promene. To znači da postoji centralno mesto u mreži (Direkcija) gde u svakom trenutku stižu podaci o osiguranicima, ali ne u realnom vremenu. Ceo informacioni sistem RFZO povezan je privatnom komunikacionom mrežom (VPN). U toku su aktivnosti na reviziji informacionog sistema MEOP; tako da je planirano da se do kraja 2016. godine uspostavi jedinstveni, centralizovani MEOP informacioni sistem, odnosno da postoji samo jedna centralna MEOP baza podataka u Direkciji.

Postoje po jedan veb i server za elektronsku poštu, te 235 servera za baze podataka (MS SQL i Oracle) koji su distribuirani u Direkciji u Beogradu i u svim ispostavama i filijalama u Srbiji.  Matična evidencija se nalazi na serverima u ispostavama, replikacija svih baza na nivou filijale nalazi se na serverima u filijalama, a centralna kompletna matična evidencija na serverima u Direkciji. Matična evidencija koju aplikacije koriste za unos i obradu podataka je SQL baza (struktuisan prikaz podataka).

Napomena: Prilikom implementacije razvojnog plana, trebalo bi razmotriti bezbednosne politike centralne instance MEOP-a u smislu enkripcije, hešovanja i regulisanja fizičkog pristupa server sali. Takođe, važno je uspostaviti enkriptovane kanale komunikacije između direkcije i ispostava i filijala u Srbiji.

Pristup internetu

 

Sajt i matična evidencija RFZO-a nisu na istom serveru, već postoji poseban (namenski) server koji RFZO koristi samo za hostovanje sajta (http://www.rfzo.rs), što bi značilo da RFZO samostalno hostuje sajt, odnosno usluge hostinga se zakupljuju sa strane. Internet Servis Provajder je Telekom Srbija.

 

Opšte informacije
Naziv ustanove Republički fond za zdravstveno osiguranje
URL http://www.rfzo.rs/
Datum vršenja analize 27.04.2015.
WHOIS pretraga
Ime i Prezime Olivera Videnović
Adresa Jovana Marinovića 2, Beograd
Provider TELEKOM SRBIJA A.D.
URL Provajdera http://www.telekom.rs/
Registrator TELEKOM SRBIJA A.D.
URL Registratora http://www.telekom.rs/
Država Srbija
Nmap
Broj otvorenih portova 2
Broj filtriranih portova 998
Broj zatvorenih portova 0
OS Linux 2.6.18
Bezbedan (Nmap) Da
IP v4 212.200.153.146
IP v6 /
MAC /

 

VPN i Cloud usluge

Ceo informacioni sistem RFZO povezan je putem VPN-a, a provajder tih usluga je Telekom Srbija, kod kojeg imaju zakupljene IP adrese čiji opseg iz razloga bezbednosti nismo dobili. Cloud usluge se za sada ne koriste, te ne postoji plan da će se u doglednom periodu početi koristiti.

Serverska podešavanja

Svaka ispostava RFZO-a ima svoju MEOP bazu podataka (Matičnu Evidenciju na lokalnom nivou), a tako distribuirana baza podataka se sa centralnom bazom u Direkciji fonda sinhronizuje na svakih 10 do 15 minuta od trenutka nastanka promene.

Na aplikativnom nivou, u okviru MEOP aplikacije, čuvaju se transakcijski logovi, odnosno aktivno se beleže sve akcije korisnika u aplikaciji. Pristup bazi (MEOP) uslovljen je unosom korisničkog imena i lozinke. Ime i lozinka eksplicitno određuju prava pristupa bazi podataka za svakog zaposlenog na određenom radnom mestu. U log fajlu se evidentira i sa kog računara je izvršen pristup, pri čemu administratori vode evidenciju prava pristupa korisnika po sistemima/aplikacijama u tzv. matrici privilegija.

Interni akti RFZO-a koji regulišu mere zaštite su već navedeni: Politika uloga i odgovornosti, Politika kontrole logičkog  pristupa, Politika upravljanja korisničkim ulogama, Procedura za registraciju i odjavu korisnika, Procedura za održavanje, izveštavanje i pružanje podrške korisnicima IS.

Izdvajamo delove navedenih akata koji se odnese na tehničku bezbednost sistema:

Politika uloga i odgovornosti/ Sistem administrator

Sistem administratori su lica zaposlena u RFZO, koja upravljaju IS poverenim od strane RFZO. Svaka vrsta informacija i sistem može imati jedan ili više namenskih sistem administratora. Oni su odgovorni za zaštitu informacija, uključujući implementaciju sistema za kontrolu pristupa za očuvanje poverljivosti i sprovođenje back up procedure kako bi obezbedili očuvanje informacija od gubitka. Samostalni stručni saradnik sistem administrator u Direkciji RFZO, odnosno Načelnik odeljenja za održavanje IS i računarske mreže u filijalama RFZO i Pokrajinskom fondu odgovoran je za instalaciju, konfiguraciju, upravljanje i održavanje informacionih resursa u skladu sa usvojenim Politikama i drugim dokumentima u okviru ISO 27001:2005.

Politika uloga i odgovornosti/ IT zaposleni

IT zaposleni su odgovorni za instalaciju, konfiguraciju, upravljanje, održavanje informacionih resursa organizacije u skladu sa usvojenim Politikama i drugim dokumentima u okviru ISO 27001:2005. Takođe, odgovorni su za pomaganje (edukaciju) korisnika i predstavljaju osobe koje su zadužene za prijavljivanje incidenata vezano za sigurnost korisničkih naloga.

Politika upravljanja korisničkim nalozima/ Autorizacija za upravljanje korisničkim nalozima i privilegijama

Upravljanje nalozima i privilegijama za računare i softver je ograničeno na ovlašćeno i stručno osoblje. Ovlašćenje se može dobiti od rukovodstva ili od osobe koja je zadužena za određenu opremu ili softver.

Povezivanje ličnih računara ili opreme na računarsku mrežu organizacije je dozvoljeno samo kada postoji odobrenje od rukovodstva i/ili administratora mreže. Uslov za povezivanje ovakvih uređaja je da IT služba ima mogućnost pregledanja konfiguracije pre nego što uređaj bude povezan. Kada je povezivanje odobreno, sistem administrator odgovoran je da obezbedi samom konfiguracijom da korišćenje uređaja bude u skladu sa politikama sigurnosti organizacije.

Politika upravljanja korisničkim nalozima/ Upravljanje korisničkim nalozima i privilegijama

Lica koja su odgovorna za kreiranje korisničkih naloga moraju da obezbede da nalozi budu kreirani samo za one osobe koje su kvalifikovane da imaju nalog i čiji je identitet potvrđen. Privilegovani nalozi su oni nalozi kojima su dodeljene specijalne privilegije za IS i oni se obično dodeljuju sistem administratorima.

Politika upravljanja korisničkim nalozima/ Upravljanje lozinkama

Kada je odobren pristup sistemu ili aplikaciji, korisnik će biti obavešten o njihovoj privremenoj lozinci na bezbedan način. Ova privremena lozinka mora biti promenjena nakon prvog logovanja korisnika, kada sistem automatski traži od korisnika da promeni lozinku.

Politika kontrole logističkog pristupa/ Zahtevi politike

Sve lozinke na nivou sistema (root, admin i sl.) moraju biti promenjene najmanje jednom u 12 meseci. Sve lozinke za korisničke naloge na domenima moraju biti promenjene najmanje jednom u mesec dana.

Politika kontrole logističkog pristupa/ Korišćenje lozinki za autentifikaciju

Prilikom izbora i korišćenja lozinki moraju se poštovati sledeća uputstva:

  • sve šifre moraju biti lične i poverljive
  • korisnici moraju biti sigurni da njihova šifra nije poznata drugima
  • različito korisničko ime i lozinka moraju se izdati zamenicima ili asistentima
  • korisnici ne smeju držati svoju lozinku na papiru ili u nezaštićenoj elektronskoj formi
  • lozinka se mora promeniti kada postoji indikacija da se može zloupotebiti
  • lozinke ne bi trebalo da budu sastavljene tako da je neko drugi može lako pogoditi (ne treba da sadrže ime osobe, e-mail, naziv sektora, korisničko ime i sl.).
  • korisnici treba da budu u mogućnosti da sami biraju lozinku
  • lozinka se ne prikazuje prilikom unosa
  • automatska blokada korisničkog imena nakon maksimalnih 10 pogrešnih unosa
  • beleženje svakog pogrešnog unosa
  • korisnici mogu promeniti lozinku bilo kada
  • lozinke se daju korisnicima na bezbedan način, u zatvorenoj koverti.

Ukoliko je tehnički moguće, relevantni događaji vezani za bezbednost sistema su evidentirani u log fajlovima koji kasnije mogu biti korišćeni kao dokazi ukoliko se ukaže potreba za tim. Elektronske dnevnike (log fajlove) koji sadrže informacije klasifikovane kao poverljive, kontrolišu sistem administratori.

Pristup korisnika MEOP sistemu je kontrolisan i preispitan od strane odgovornih lica u cilju smanjenja sigurnosnih rizika:

  • korisnička prava moraju biti prilagođena na takav način koji obezbeđuje da korisnicima bude odobren samo neophodan i autorizovan nivo pristupa;
  • prilagođavanje treba izvoditi kada dođe do promena u zahtevima poslovanja, promene radnog mesta korisnika, prekida radnog odnosa i slično;
  • članovi svih privilegovanih grupa i njihovih uloga treba da se preispitaju periodično, a najmanje jednom godišnje;
  • periodično, opšte preispitavanje korisničkih naloga treba da obezbedi ukidanje pristupa na naloge koji nisu više potrebni ili su suvišni;
  • nalozi kojima je odobren privremeni pristup, treba da budu isključeni ili obrisani kada pristupsa tog naloga više nije potreban.

Pristup trećih lica

Pravo pristupa Matičnoj evidenciji imaju zaposleni sa ETF-a po Ugovoru o odžavanju i unapređenju MEOP sistema. Zbog poverljivosti podataka, ETF je u obavezi da primenjuje ISO standarde koji regulišu ovu oblast i tačka ugovora eksplicitno naglašava da ETF ove podatke neće koristiti u druge svrhe i da ih neće odavati trećim licima, osim ukoliko je to neophodno za izvršenje predmeta ugovora, uz saglasnost RFZO-a. Lica koja održavaju sistem, isključivo prilikom dolaska u RFZO mogu pristupiti Matičnoj evidenciji i MEOP sistemu, odnsono nemaju pristup iz svojih prostorija preko VPN-a.

Ugovoreni partneri i ugovoreni konsultanti moraju potpisati izjavu o poverljivosti informacija, pre pristupanja poverljivim informacijama. Zaposleni koji se bave informacionim tehnologijama su odgovorni za implementiranje izjave o poverljivosti.

Prilikom istraživanja i slanja zahteva za pristup informacijama od javnog značaja, jedno od postavljenih pitanja odnosilo se na pravo pristupa bazi podataka državnih i nadzornih organa, Ministarstva, policije, bezbednosnih agencija i sudova. Na ovo pitanje nismo dobili odgovor, niti smo pronašli odgovor u dokumentima i Politikama koje smo primili u sklopu odgovora ili koji su javno objavljeni.

Zaključak

S obzirom na to da se radi o disperziranom i kompleksnom sistemu, upravljanje podacima o ličnosti jeste izazov određene vrste. U svakom slučaju, može se reći da RFZO ima jasno definisana pravila po kojima se rukovode svi relevantni segmenti organizacije, a koja se tiču upravljanja informacionim sistemom na adekvatan način.

Kao odgovor na zahteve za pristup informacijama od javnog značaja, dobili smo interne akte koje je ova organizacija izradila, donela i koje primenjuje. Dokumenti ovog tipa nažalost nisu svakodnevica kod svih rukovaoca, stoga se može reći da je po pitanju dokumentacije bezbednog menadžmenta informacionog sistema, ovo jedan od primera dobre prakse u okviru ovog istraživanja.

Naravno, kao i u svakom sistemu postoje segmenti koji bi mogli da se reše na bolji ili bezbedniji način. Kao primer bismo izdvojili autentifikaciju prilikom pristupa MEOP bazi, zasnovanu na unosu korisničkog imena i šifre, dok i dalje ne postoji drugi stepen zaštite kao što bi recimo bio digitalni sertifikat. S obzirom na to da je autorizacija usko vezana sa autentifikacijom (pristupna prava su vezana za određenog korisnika, t.j. svaki korisnik nema istu “dubinu” pristupa), te da je integritet podataka u MEOP bazi od izuzetnog značaja, smatramo da je potrebno poboljšati način pristupa bazi.

MEDIJSKA POKRIVENOST

Uvodne napomene

 

Pregled novinskih izveštaja o pojedinačnim institucijama obuhvaćenih analizom, odnosi se na period od početka 2000-tih do 2015. godine, na osnovu pretraživih digitalnih arhiva celovitog teksta članaka štampanih dnevnih i nedeljnih izdanja, posebno iz perspektive zaštite ličnih podataka.

Domaća regulativa ove oblasti relativno je nova – zakon iz 1998. nudio je nedovoljna i prevaziđena rešenja, da bi nestankom saveznih instanci praktično postao nesprovodiv. Novijeg datuma je i pažnja globalne javnosti za aspekte privatnosti u digitalnom okruženju. Stoga je očekivano da interes štampe za zaštitu podataka o ličnosti u organima državne uprave, tokom proteklih petnaestak godina, bude oskudan i gotovo po pravilu vođen incidentima, odnosno događajima koji svedoče o kršenju prava građana što je, konačno, i suštinska uloga medija u savremenim demokratijama.

Sa druge strane, aktivno učešće institucija državne uprave u javnom dijalogu posvećenom zaštiti privatnosti i ličnih podataka koje prikupljaju i obrađuju, moglo bi se pokazati kao ključni doprinos daljem uređenju ove oblasti ali i sopstvenoj promociji kao vodećeg aktera u zaštiti interesa građana.

RFZO – ISTORIJSKI PREGLED

S obzirom na to da je Zakon o zaštiti podataka o ličnosti usvojen 2008. godine, u prethodnom periodu u medijima praktično nema izveštaja o ovom pravu. RFZO (do izmena zakona 2011. pod nazivom Republički zavod za zdravstveno osiguranje) često je u fokusu javne pažnje, ali u kontekstu ogromnih dugova Fonda, korupcije, zloupotreba, problema osiguranja pojedinih ranjivih grupa, subvencija i slično.

Zbirke podataka se ne pominju, ali da postoji potreba pažljive obrade i zaštite ličnih podataka može se naslutiti iz povremenih incidenata vezanih za krađu identiteta radi neovlašćenog ostvarivanja prava na zdravstveno osiguranje.

Takođe, iz medijskih izveštaja jasno je da se procedure za ostvarivanje prava komplikuju dok između pojedinih ustanova ne postoji ni osnovna razmena podataka o osiguranicima.

Sredinom 2000-tih, zbog učestalih optužbi za netransparentnost i zloupotrebe, Fond odlučuje da javno objavljuje liste čekanja za različite operacije. Kako se navodi, identitet pacijenata je bio delimično zaštićen.

Provera podataka o uplaćenim doprinosima za zdravstveno osiguranje zaposlenih takođe često figurira u napisima o RFZO, vezanim za podatke o ličnosti a u prilog javnosti podataka i objavljivanja pretraživih baza.

Početkom naredne decenije, na sajtu RFZO aktiviran je još jedan servis preko kojeg se može proveriti da li osiguranici imaju izabranog lekara. U javnosti se ni ovom prilikom zaštita podataka ne postavlja čak ni kao tehničko pitanje.

Višegodišnji planovi za uvođenje elektronske knjižice u medijima se prate u svetlu efikasnijeg ostvarivanja prava na osiguranje, transparentnosti i kontrole, dok se aspekti zaštite privatnosti potpuno izostavljaju.

Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti sproveo je nadzor nad sprovođenjem i izvršavanjem Zakona o zaštiti podataka o ličnosti u tadašnjem RZZO, i početkom 2011. upozorio na niz kršenja zakonskih odredbi prilikom prikupljanja i obrade podataka osiguranika. Četiri godine kasnije, RFZO je izvestio Poverenika o preduzetim merama u skladu sa upozorenjem. Retki mediji objavili su tim povodom kratke vesti u vidu saopštenja.

DOKUMENTACIJA KOJA JE DOBIJENA OD POVERENIKA

Postupci nadzora

 

U Upozorenju Poverenika br. 164-01-00015/2010-07 od 31.03.2011. nakon obavljenog postupka nadzora nad RFZO, ustanovljene su nepravilnosti u sprovođenju i izvršavanju Zakona o zaštiti podataka o ličnosti, pogotovo kada su u pitanju prikupljanje i obrada naročito osetljivih podataka o ličnosti i primena tehničkih i organizacionih mera zaštite podataka. Tako je, između ostalog, pronađeno da se obrada naročito osetljivih podataka iz Kadrovske evidencije koji se tiču sindikalnog članstva, nacionalnosti, veroispovesti zaposlenih ne vrši u skladu sa Zakonom, dok raspoložive tehničke i organizacione mere zaštite podataka, koji se tiču povreda na radu i profesionalnih bolesti, ili lica sa kojima RFZO vodi sudske sporove, nisu preduzete u skladu sa članom 47 ZZPL.

Razni dopisi

 

Dopisom br. 011-00-00628/2015-05 od 15.05.2015 Poverenik se izjasnio povodom zahteva za mišljenje RFZO-a po pitanju da li je potreban pristanak odnosnog lica kako bi se Ministarstvu za rad, zapošljavanje, boračka i socijalna pitanja dostavlili podaci o ostvarenom pravu na medicinsko-tehničko pomagalo, a u svrhu priznavanja navedenog prava pred nadležnim organom uprave. Poverenik je dao odgovor načelne prirode ističući da RFZO može dostaviti sporni podatak Ministarstvu na njihov zahtev ukolilo postoji zakonsko ovlašćenja, a u nedostatku istog, samo na osnovu punovažnog pristanka lica. Poverenik je takođe istakao da podaci o zdravstvenom stanju, u ovom slučaju, invaliditetu lica, spadaju u kategoriju naročito osetljivih podatka i da su način i uslovi pristanka za njihovu obradu propisani posebnim članom ZZPL.

Dopisom br. 011-00-00628/2015-05 od 15.05.2015 Poverenik se izjasnio povodom zahteva za mišljenje RFZO-a u vezi sa zahtevom Gradske uprave Čačka za dostavljanje podataka iz Matične evidencije i to podataka o imenu, prezimenu, adresi, JMBG i nazivu i adresi poslodavca kod koga su zaposleni i prijaveljeni na zdravstveno osiguranje, a u svrhu utvrđivanja zaposlenih građana. Poverenik je istakao da nije jasno po kom pravnom osnovu je Gradska uprava tražila navedene podatke i da rukovalac mora proveriti da li postoji pristanak lica na koje se podaci odnose, ili zakonsko ovlašćenje koje se izričito odnosi na takvu vrstu podataka. Poverenik je takođe istakao da zakoni kojima se na uopšten način uređuje saradnja i razmena podataka između organa državne uprave, organa lokalne samouprave i drugih državnih organa se ne mogu smatrati pravnim osnovom koji navedenu obradu čini dozvoljenom.

U dopisu Poverenika RFZO-u, br. 011-00-00576/2013-05, od 09.09.2013., a povodom zahteva za mišljenje RFZO-a po pitanju traženja uvida i kopije zdravstvenog kartona osiguranog lica, a po zahtevu javnog tužilaštva u Nišu, Poverenik je zaključio da policija ima pravo uvida i pristupa dokumentaciji, jer kao organ vlasti može da obrađuje podatke bez pristanka lica, ako je obrada neophodna radi obavljanja poslova iz svoje nadležnosti određenih zakonom, u cilju sprečavanja, otkrivanja, istrage i gonjenja krivičnih dela, a u drugim slučajevima na osnovu pismenog pristanka lica, s tim da je na policiji i tužilaštvu odgovornost za zakonitost dalje obrade po njihovom pribavljanju.

Centar za socijalni rad

Centar

OPŠTI PODACI

Preuzmite pdf celog izveštaja

Podaci o osnovnoj delatnosti, sedištu, pravnim aktima, veb sajtu i slično

 

Gradski centar za socijalni rad Beograd osnovan je rešenjem Skupštine grada Beograda od 12. decembra 1991. godine kao jedinstvena ustanova za obavljanje socijalne zaštite i porodično-pravne zaštite građana Beograda.

Ključni propisi kojima se uređuje nadležnost Gradskog centra su: Porodični zakon (“Sl. glasnik RS”, br. 18/2005, 72/2011 – dr. zakon i 6/2015), Zakon o socijalnoj zaštiti (“Sl. glasnik RS”, br. 24/2011) i Odluka o pravima i uslugama socijalne zaštite (“Službeni list grada Beograda”, br. 55/2011, 8/2012, 42/2012, 65/2012, 31/2013, 57/2013 i 37/2014). Osim ovih, delatnost ustanove regulišu i Krivični zakon, Zakon o maloletnim učiniocima krivičnih dela i krivično-pravnoj zaštiti maloletnih učinilaca krivičnih dela, Zakon o medijaciji, Zakon o prekršajima, Zakon o finansijskoj podršci porodici sa decom.

Integracijom opštinskih centara za socijalni rad, Savetovališta za brak i porodicu i razvojno-istraživačkog Zavoda za proučavanje socijalnih problema, postavljen je organizacioni model Gradskog centra koji obuhvata 17 opštinskih odeljenja za socijalni rad, u čijoj je nadležnosti realizacija neposredne zaštite građana. U okviru Gradskog centra nalaze se Odeljenje za poslove planiranja i razvoja kojim se ostvaruje funkcija praćenja i proučavanja socijalnih problema i unapređivanja delatnosti; Savetovalište za brak i porodicu, kao odeljenje specijalizovano za savetodavno-terapijski, medijacijski, konsultativni i preventivni rad sa pojedincima, parovima i porodicama, kao i Odsek za opšte poslove i odsek za finansijsko-računovodstvene poslove.

U vršenju javnih ovlašćenja propisanih zakonom, Gradski centar odlučuje o pravima na novčanu socijalnu pomoć i na dodatak za pomoć i negu drugog lica, te na pomoć za osposobljavanje za rad. Takođe, u okviru nadležnosti Gradski centar pruža usluge smeštaja i neodložne intervencije, odlučuje o usvojenju, starateljstvu, određivanju i promeni ličnog imena deteta, te nadzoru nad vršenjem roditeljskog prava.

Dodatno u skladu sa Odlukom Skupštine grada Beograda o pravima i uslugama socijalne zaštite Gradski centar odlučuje o novčanoj pomoći, pomoći u kući, besplatnom obroku, stipendiji, privremenom smeštaju i stanovanju, uslugama podrške za samostalan život, socijalnom stanovanju, i drugim pitanjima iz svoje nadležnosti.

Na sajtu Gradskog centra nema opcije za pretragu. Među objavljenim dokumentima u rubrici ‘Propisi’ i odgovorima na česta pitanja, ne pominje se politika privatnosti ustanove ni pravni okvir za zaštitu podataka o ličnosti.

Adresa: Ruska 4, Beograd

E-mail: [email protected]

Internet sajt: www.gcsrbg.org

Informator o radu: http://www.gcsrbg.org/attachments/article/99/Informator%20o%20radu%20za%202015.pdf

PRAVNI ASPEKTI OBRADE PODATAKA

Zbirke podataka o ličnosti

U skladu sa ovlašćenjima i obavezama koje su propisane Porodičnim zakonom, Gradski centar vodi sledeće zbirke podataka o ličnosti:

Prvih sedam navedenih zbirki ustanovljene su 2005. godine kada je Porodični zakon stupio na snagu. Sa druge strane evidencije o Korisnicima prava na besplatni obrok i Korisnicima prava na novčanu pomoć su ustanovljene Odlukom o pravima i uslugama socijalne zaštite grada Begrada. Budući da Gradski centar ima nadležnost samo na teritoriji grada Beograda, u ovim zbirkama se nalaze podaci samo onih lica koje imaju prebivalište na teritoriji Beograda.

Prema Centralnom registru Poverenika, Gradski centar vodi i evidenciju o zaposlenim licima u cilju izvršavanja ugovora o radu i drugih ugovornih odnosa, kao i evidenciju o video nadzoru u cilju obezbeđenja i povećanja bezbednosti zaposlenih i korisnika usluga Gradskog centra.

U vezi sa nadležnostima Gradskog centra koje su ustanovljene gradskom Odlukom o pravima i uslugama socijalne zaštite (novčana pomoć, privremeni smeštaj i drugo) nije poznato da li postoje faktičke evidencije podataka o ličnosti u vezi sa ovim poslovima, niti je obaveza vođenja ovih evidencija ustanovljena Odlukom. Ipak, Pravilnikom o organizaciji, normativima i standardima rada centra za socijalni rad (“Sl. glasnik RS”, br. 59/2008, 37/2010, 39/2011 – dr. pravilnik i 1/2012 – dr. pravilnik), član 85, propisano je vođenje Registra korisnika kao elektronske baze u kojoj se evidentiraju sva lica koja se prvi put obraćaju centru radi ostvarivanja prava, odnosno mera ili usluga socijalne zaštite, osim lica koja traže potvrde i uverenja.

Zbog velikog broja evidencija Gradskog centra, kao i njihovog različitog pravnog statusa i svrhe vođenja, kao reprezentativna uzeta je Evidencija o usvojenoj deci, te se dalja analiza svih aspekata obrade podataka o ličnosti odnosi samo na ovu zbirku podataka.

Pravni osnov

Pravni osnov za vođenje evidencije utvrđen je članom 327 Porodičnog zakona gde je navedeno da je Organ starateljstva (u ovom slučaju Gradski centar) dužan da vodi evidenciju i dokumentaciju o usvojenoj deci.  Istim članom se u stavu 2 ističe da način vođenja evidencije i dokumentacije propisuje ministar nadležan za porodičnu zaštitu, što je uređeno Pravilnikom o načinu vođenja evidencije i dokumentacije o usvojenoj deci (“Sl. glasnik RS”, br. 63/2005). Ovim Pravilnikom utvrđena je svrha vođenja evidencije tako što je navedeno da se podaci koriste za jedinstveno evidentiranje usvojene dece.

Podaci o ličnosti

Podaci koji se upisuju u Evidenciju o usvojenoj deci su propisani članom 5 Pravilnika o načinu vođenja evidencije i dokumentacije o usvojenoj deci, i to su podaci o:

  • usvojeniku, pre i posle usvojenja (ime i prezime, datum i mesto rođenja, državljanstvo, jedinstveni matični broj građana, prebivalište);
  • usvojenikovim roditeljima (ime i prezime, datum rođenja, prebivalište, državljanstvo);
  • usvojiteljima (ime i prezime, datum rođenja, prebivalište, državljanstvo, bračni status usvojitelja – supružnici, vanbračni partneri, supružnik roditelja deteta, vanbračni partner roditelja deteta, lice koje samo živi);
  • vrsti srodstva sa usvojenikom (krvno srodstvo, očuh, maćeha, drugi srodnici po tazbini);
  • broju i datumu rešenja o usvojenju;
  • broju i datumu rešenja o novom upisu rođenja;
  • poništenju usvojenja (naziv suda, broj i datum presude i datum njene pravnosnažnosti);
  • nosiocu obaveze izdržavanja posle prestanka usvojenja;
  • drugim činjenicama (napomena).

U skladu sa nadležnostima Gradskog centra, u ovu evidenciju se unose podaci samo one dece koja imaju prebivalište, odnosno boravište u Beogradu i koja su usvojena odlukom Gradskog centra, kao i podaci roditelja i usvojitelja ove dece.

Pored Evidencije o usvojenoj deci postoji i Jedinstveni lični registar usvojenja, koji u skladu sa članom 316 Porodičnog zakona vodi ministarstvo nadležno za porodičnu zaštitu. Jedinstveni registar sadrži podatke o podobnim usvojiteljima i deci koja su podobna za usvojenje, i to u većem obimu nego što je to slučaj sa Evidencijom o usvojenoj deci, pa se tako u ovom registru, između ostalih, nalaze i podaci o zdravstenom stanju dece i potencijalnih usvojitelja. Jedinstveni registar se popunjava na osnovu podatka koje Organi starateljstva (pa i Gradski centar) dostavljaju u papirnom obliku Ministarstvu. Takođe, nakon usvojenja Gradski centar dostavlja rešenje o usvojenju Ministarstvu nadležnom za porodičnu zaštitu, ali zadržava i primerak za sebe, tako da se ovo rešenje kao i podaci o usvojenju koji se nalaze u njemu čuvaju i u Gradskom centru i u Ministarstvu.

Načini prikupljanja podataka o ličnosti

Konačno unošenje podataka u Evidenciju o usvojenoj deci vrši se na osnovu rešenja o usvojenju i rešenja o novom upisu rođenja, a u skladu sa članom 7 Pravilnika o načinu vođenja evidencije i dokumentacije o usvojenoj deci. Ipak, mnogi od ovih podataka se prikupljaju znatno ranije i to u postupku usvojenja koje vodi Gradski centar u skladu sa propisima, i to tako što sa jedne strane Gradski centar poseduje podatke o deci koja su podobna za usvojenje do kojih je došao u skladu sa svojim zakonskim nadležnostima, dok sa druge strane prikuplja podatke o potencijalnim usvojiteljima na osnovu njihovog pristanka. Ove podatke će Gradski centar uneti u obrazac USV-1 i obrazac USV-2 i preko njih će ih dostaviti Ministarstvu nadležnom za porodičnu zaštitu radi evidentiranja u Jedinstveni lični registar usvojenja. U daljem postupku usvojenja, Gradski centar koristi podatke iz Jedinstvenog registra koje vodi Ministarstvo, ali nema direktan pristup već sve podatke dobija od Ministarstva u papirnoj formi.

Centralni registar

Na samom početku istraživačkog procesa, tokom aprila 2015. godine, uočeno je da Gradski centar nije registrovao nijednu evidenciju o obradi u Centralnom registru zbirki podataka koji vodi Poverenik. Kasnije nam je, na sastanku sa sekretarom Gradskog centra, rečeno da je Poverenik skrenuo pažnu na ovaj propust, te je u maju registrovana Evidencija o zaposlenima u Gradskom centru, a zatim su tokom septembra registrovane i evidencije koje se odnose na podatke građana u vezi sa porodično-pravnom zaštitom, te ostale evidencije kao što su one o izdržavanim licima, hraniteljstvu, štićenicima i slično.

Tada je registrovana i Evidencija o usvojenoj deci, i to 7. septembra 2015. godine, iako je ova zbirka podataka uspostavljena još 2005. godine. Uvidom u informacije o ovoj zbirci podataka koje su objavljene u okviru Centralnog registra nisu uočene nelogičnosti i neslaganja sa ostalim informacijama koje su javno objavljene i do kojih smo došli tokom istraživačkog procesa.

Tokom septembra 2015. Gradski centar je registrovao i zbirku o video-nadzoru, koja se odnosi na kretanje lica u prostorijama Odeljenja GCSR u Beogradu.

Poslednje su registrovane evidencije o Korisnicima prava na besplatni obrok i Korisnicima prava na novčanu pomoć i to 11. februara 2016. godine.

Interni akti

Nismo došli do saznanja da postoje interni akti Gradskog centra koji uređuju zaštitu podataka o ličnosti ili načine obrade podataka o ličnosti.

Ministar nadležan za poslove socijalne zaštite je 2008. godine doneo Pravilnik o organizaciji, normativima i standardima rada Centra za socijalni rad, a koji se primenjuje u svim Centrima za socijalni rad na teritoriji Republike Srbije. Iako se u ovom aktu nigde ne pominje pojam ‘podatak o ličnosti’, u članu 14 se regulišu instituti poverljivosti i poverljivih informacija koji se mogu primeniti kako bi se zaštitile neke od vrednosti i principa koji se štite Zakonom o zaštiti podataka o ličnosti. Tako se poverljivim informacijama smatraju sve informacije o ličnim i porodičnim prilikama korisnika koje saznaju zaposleni u Gradskom centru, te imena i adrese korisnika i vrsta pružene usluge, podaci koji stoje u zahtevu korisnika, podaci koji stoje u izveštajima zdravstvenih ustanova za korisnika i sadržaj prepiske sa drugim ustanovama ili organizacijama, ako ta prepiska sadrži informacije o korisniku. Takođe, utvrđeno je da će se pristup podacima obezbediti nadležnom nadzornom organu, pravosudnim organima i policiji, korisniku na koga se podaci odnose, kao i njegovom zakonskom zastupniku, odnosno punomoćniku, dok je u ostalim situacijama neophodan pristanak korisnika kako bi se njegovi podaci učinili dostupni trećim licima.

Ovim Pravilnikom se u članu 32 definišu i obaveze voditelja slučaja koji je zadužen za konkretan slučaj i konkretnog korisnika, te je utvrđeno da ovo lice mora da poštuje privatnost korisnika i da čuva poverljivost informacija o korisniku.

Zahtev za ostvarivanje prava

Gradskom centru nismo uputili zahtev za ostvarivanje prava na obaveštenje, uvid i kopiju podataka o ličnosti. Budući da niko iz istraživačkog tima SHARE Fondacije nije bio korisnik usluga Gradskog centra, niti su se podaci bilo kog od naših članova obrađivali u okviru Gradskog centra, nije postojao osnov za upućivanje ovakvog zahteva.

Zaključak

Iako je po veličini, a naročito po tehničkim i organizacionim kapacitetima, Gradski centar najmanja od institucija koje su obuhvaćene ovim projektom, usled svojih brojnih nadležnosti predstavlja rukovaoca podataka koji vodi najveći broj zbirki podataka o ličnosti svojih korisnika. S obzirom na to da je nadležnost Gradskog centra ograničena na teritoriju Beograda, te da se u zbirkama podataka vode samo podaci užeg broja građana, tj. samo onih koji imaju potrebu za socijalnom i porodično-pravnom zaštitom, ove zbirke jesu manje obimom od ostalih zbirki koje smo analizirali, ali sa druge strane svaka od ovih zbirki sadrži različite podatke koji su po svojoj prirodi izuzetno osetljivi (podaci o usvojenju, podaci o nasilju u porodici, podaci o socijalnoj pomoći). U tom smislu, zaštita podataka o ličnosti bi morala biti jedan od prioriteta Gradskog centra, jer posledice usled povreda mogu biti daleko teže nego u drugim institucijama.

Imajući to u vidu, smatramo da je neophodno pristupiti izradi internog akta kojim bi se na detaljan način regulisala obrada podataka o ličnosti u zbirkama podataka koje vodi Gradski centar. Pravilnik o organizaciji, normativima i standardima rada Centra za socijalni rad, iako donekle reguliše pravila o poverljivosti podataka, suviše je uopšten i apstraktan akt da bi mogao da reguliše sve detalje u vezi obrade podataka o ličnosti, a pritom u potpunosti zanemaruje postojeći Zakon o zaštiti podataka o ličnosti i principe i pravila koji su njime uspostavljeni.

Pohvalna je činjenica da su u toku istraživačkog procesa po prvi put evidentirane zbirke podataka o ličnosti u Centralnom registru koji vodi Poverenik, te je ispunjena ova obaveza koja je propisana Zakonom o zaštiti podataka o ličnosti.

ORGANIZACIONI ASPEKTI OBRADE PODATAKA

Lice za zaštitu podataka o ličnosti

Postojeće stanje: U Gradskom centru za socijalni rad Beograd od decembra 2015. godine postoji lice zaduženo za zaštitu podataka o ličnosti.

Preporuka: S obzirom na delatnost kojom se bavi Gradski centar, a koja uključuje prikupljanje i obradu vrlo osetljivijih podataka o ličnosti, od presudne je važnosti da postoji i organizaciona odgovornost za zaštitu podataka o ličnosti.

Obim potencijalnih aktivnosti koje bi to lice trebalo da sprovodi verovatno ne opravdava formiranje posebnog radnog mesta za zaštitu podataka o ličnosti. Iz tih razloga, organizaciono rešenje problema bi trebalo tražiti u dodeli odgovornosti određenom licu, odnosno licima. Pored tako definisane odgovornosti, odnosno aktivnosti koje bi trebalo da obavlja, to lice bi trebalo da obavlja i druge poslove u skladu sa opisom svog radnog mesta.

Rešenjem direktora Gradskog centra postavljen je Sekretar Gradskog centra, po zanimanju diplomirani pravnik,kao lice zaduženo za zaštitu podataka o ličnosti, ali sa prilično uskim krugom odgovornosti koje obuhvataju postupanje sa zahtevima koji se odnose na informacije obrađivane u Kancelariji direktora, Odeljenju za poslove planiranja i razvoja i u Odseku za opšte poslove. U planu je proširivanje odgovornosti lica za zaštitu podataka o ličnosti.

U slučaju kršenja Zakona o zaštiti podataka o ličnosti, postoji odgovornost fizičkog lica i odgovornog lica kod pravnog lica, kao i odgovornost samog pravnog lica. Međutim, prilikom definisanja odgovornog lica za zaštitu podataka, akcenat je na organizacionoj odgovornosti. Na primer:

  • sprovođenje određene politike o zaštiti podataka o ličnosti među zaposlenima;
  • promovisanje zaštite podataka o ličnosti među zaposlenima radi razumevanja njihove uloge u zaštiti podataka;
  • organizovanje edukacije iz oblasti zaštite podataka o ličnosti za zaposlene;
  • izveštavanje rukovodstva o nivou zaštite podataka i predlaganje mera za podizanje nivoa zaštite i dr.

S obzirom na pobrojane odgovornosti, jasno je da bi lice zaduženo za zaštitu podataka u ovom smislu trebalo da bude lice koje se nalazi na pozicijama višeg hijerarhijskog nivoa. Praksa u privatnom sektoru ukazuje da bi to lice trebalo da bude član najvišeg menadžmenta. Međutim, s obzirom na specifičnu organizacionu strukturu Gradskog centra, u kojoj ne postoji najviši nivo menadžmenta, rešenje bi trebalo tražiti u uvođenju odgovornosti na dva nivoa. Na prvom nivou bi trebalo imenovati lice zaduženo za strateške stvari iz oblasti zaštite podataka o ličnosti na nivou Gradskog centra (Predlog – radno mesto sekretar Gradskog centra). Sa druge strane, budući da Gradski centar ima 17 opštinskih odeljenja sa statusom radnih jedinica, koje su i geografski i procesno, odnosno funkcionalno razdvojene, u svakom od opštinskih odeljenja bi trebalo da postoji lice zaduženo za zaštitu podataka o ličnosti, koje bi trebalo da ima neophodne odgovornosti za sprovođenje strateških odluka iz ove oblasti.

Edukacija

Postojeće stanje: U Gradskom centru za socijalni rad Beograd nije sprovođena formalna obuka zaposlenih o postojećoj regulativi (Zakon; standardi) iz oblasti zaštite podataka.

Preporuka: Svoju osnovnu delatnost Gradski centar obavlja kroz prikupljanje i obradu najosetljivijih podataka o ličnosti, te je od izuzetne važnosti uvesti kontinuiranu edukaciju zaposlenih iz ove oblasti. Takođe, trebalo bi definisati vremenske intervale u kojima bi trebalo organizovati testiranja znanja zaposlenih iz ove oblasti, kako bi Gradski centar konstantno imao uvid u stanje sistema u pogledu zaštite podataka o ličnosti.

Pristup zaposlenih reprezentativnoj zbirci podataka

Postojeće stanje: U Gradskom centaru za socijalni rad Beograd svi zaposleni na radnim mestima rukovodilaca odeljenja i službi, supervizora, voditelja slučaja, prijemnih i administrativnih radnika imaju pristup svim podacima koji se nalaze u elektronskoj zbirci podataka. Pristup je određen kombinacijom korisničkog imena i šifre, koja je vezana za svakog zaposlenog.  Svaka promena učinjena nad podacima u bazi se beleži, ali se ne beleži pregled podataka u bazi, kao ni osnov pristupa podacima.

Pristup svim korisničkim imenima i lozinkama ima zaposleni na radnom mestu stručnog saradnika na poslovima primene i održavanja informacionog sistema.

Preporuka: Analizom procesa u Gradskom centru, došlo se do zaključka da je pristup podacima nepotrebno raširen među zaposlenima na različitim radnim mestima. Osnovni problem je nepostojanje sistema rola u informacionom sistemu, već svaki pristup informacionom sistemu znači i pristup svim podacima u sistemu, što je u slučaju delatnosti kojom se bavi Gradski centar nedopustivo.

Istovremeno, ceo sistem je potpuno decentralizovan, tako da zaposleni u upravnoj zgradi nemaju pristup podacima iz opštinskih odeljenja, bez obzira što se bave osnovnom delatnošću i postoji velika mogućnost da su im podaci realno potrebni. Dolazi se do paradoksalne situacije da, sa druge strane, svi zaposleni lokacijski raspoređeni u okviru nekog od opštinskih odeljenja mogu da pristupe svim podacima u bazi podataka, bez obzira na to što možda ni jedan od procesa rada u kojima učestvuju ne zahteva pristup podacima (npr. računovođa). Faktički, jednom godišnje se „izvlače“ podaci iz opštinskih odeljenja, ali samo u svrhu izrade statističkih izveštaja, kao osnove za planiranje i razvoj.

Prvi, krucijalni, korak unapređenja zaštite podataka o ličnosti u Gradskom centru za socijalni rad bi trebalo da bude promena informacionog sistema, u dva smera:

  • uvođenje sistema korisničkih uloga, koje su direktno u vezi sa procesima rada. Pristup svim podacima iz baze podataka bi trebalo ograničiti na rukovodioca odeljenja i službi u Gradskom centru, kao i
  • povezivanje opštinskih odeljenja u jedinstveni informacioni sistem.

Unapređenje bi trebalo sprovesti i u pogledu pristupa korisničkim imenima i šiframa. Naime, zaposleni na odgovornom radnom mestu bi trebalo da ima mogućnost da pristupa korisničkim imenima, dok bi u domenu korisničkih šifara trebalo samo da ima mogućnosti kreiranja i resetovanja, bez pregleda u svakom trenutku.

Dalje, u informacioni sistem bi trebalo obavezno implementirati funkciju automatskog prestanka sesije nakon određenog vremenskog intervala neaktivnosti korisnika (npr. zbog izlaska iz kancelarije; session timeout). Vremenski interval bi trebalo da bude određen tako da ne predstavlja preveliku smetnju zaposlenima u obavljanju radnih aktivnosti (predlog – 30 minuta).

Takođe, jedan od prioriteta bi trebalo da bude rešavanje situacije u kojoj zaposleni iz firme koja je kreirala postojeći informacioni sistem imaju pristup svim podacima u bazi, a sa tom firmom Gradski centar nema potpisan ugovor o poverljivosti podataka.

Na kraju, informacioni sistem mora beležiti i sve pristupe bazi podataka (preglede podataka), a ne samo promene. Neophodno je čuvati logove o tome koji korisnik je pristupio bazi, sa kog računara, kada i koju je akciju preduzeo nad kojim podacima.

Sektor za održavanje informacionog sistema

Postojeće stanje: U Gradskom centru za socijalni rad Beograd je sistematizovano radno mesto stručnog saradnika na poslovima primene i održavanja informacionog sistema, u okviru Službe za opšte poslove. Gradski centar ima potpisan ugovor sa firmom za održavanje računara, računarske mreže, reprografskih uređaja, telefaks uređaja i perifernih računarskih uređaja. Održavanje softverskog dela informacionog sistema u Gradskom centru je odgovornost firme koja je projektovala sistem.

Preporuka: Obim poslova održavanja mreže i računara ne opravdava postojanje posebnih radnih mesta za taj posao, te je angažovanje firme za obavljanje te delatnosti ekonomski i organizaciono opravdano.

Međutim, kao i u slučaju firme koja je projektovala informacioni sistem, u ugovoru o održavanju računara i računarske mreže ne postoji tačka koja se tiče poverljivosti podatka kojima zaposleni te firme pristupe prilikom obavljanja aktivnosti održavanja u Gradskom centru.

Evidencija u papirnoj formi

Postojeće stanje: U Gradskom centru postoji suštinska razlika između dokumentacije koja se čuva elektronski i dokumentacije koja se čuva u papirnoj formi. Naime, u elektronskoj formi se čuvaju samo dokumenti koje kreiraju stručna lica Gradskog centra (mišljenja, rešenja, odluke…), dok se svi drugi dokumenti (eksterni) koji predstavljaju ulaze u procese rada Gradskog centra čuvaju isključivo u papirnoj formi, u okviru dosijea.

Dosijei, u papirnoj formi, se čuvaju u improvizovanim arhivama, po opštinskim odeljenjima. Ne postoje radna mesta arhivara, niti na drugi način određena lica koja imaju odgovornost za čuvanje dosijea. Takođe, ne postoji procedura za pristupanje dosijeima, odnosno nisu definisana pravila zaštite dosijea, već su odluke o načinu zaštite ostavljene opštinskim odeljenjima. Takav pristup je doveo do situacije da u većini opština odluke, procedure i pravila za zaštitu dosijea uopšte nisu usvojene. Ovo pitanje trenutno određuju infrastrukturni uslovi u opštinskim odeljenjima, pa je tamo gde je „arhiva“ fizički smeštena iza leđa zaposlenih, pristup ograničen samo tom činjenicom, a tamo gde je „arhiva“ odvojena pristup uopšte nije ograničen.

Preporuka: Uvesti jasnu proceduru za čuvanje podataka u papirnoj formi, u kojoj će biti definisano: gde se čuvaju podaci, ko ima pravo pristupa, ko je odgovoran za čuvanje i za evidentiranje pristupa, i druga pitanja od najveće važnosti.

Posmatrajući usvojenje dece, kao najosetljiviji proces rada Gradskog centra, čuvanje papirnih dokumenata odlikuje viši nivo zaštite podataka o ličnosti. Naime, kada se završi postupak usvojenja, dosije se stavlja u sef, a ključ od sefa ima samo rukovodilac službe i jedan radnik (ne radno mesto) koga rukovodilac odredi. Međutim, efekti ovakvog rešenja su zanemarljivi kada pristup elektronskom delu dokumentacije u sistemu imaju svi zaposleni u tom opštinskom odeljenju.

ISO standardi

Postojeće stanje: U Gradskom centru za socijalni rad Beograd nije implementiran nijedan standard iz ISO serije standarda.

Preporuka: U narednom periodu bi trebalo uvesti standard ISO 9001 – Sistem upravljanja kvalitetom, kao bazni standard, dok bi u sledećoj iteraciji trebalo težiti uvođenju standarda ISO 27001 Sistem upravljanja bezbednošću informacija koji, s obzirom na delatnost Gradskog centra predstavlja najbitniji standard ISO serije.

Nelogičnosti i propusti u organizacionoj strukturi

U toku analize procesa rada, sa fokusom na zaštitu podataka o ličnosti, utvrđene su i određene organizacione i procesne nelogičnosti. Na početku procesa, zaposleni na radnom mestu prijemni radnik (koji je stručno lice) pregleda dokumentaciju, unosi neophodne podatke u informacioni sistem, i na osnovu prirode slučaja, određuje dalji tok procesa, odnosno kretanje predmeta među odgovarajućim stručnim licima Gradskog centra. Međutim, u tom delu procesa prijemni radnik slučaj predaje administrativnom radniku koji unosi dokument nazvan „Zahtev“ u informacioni sistem Gradskog centra i povezuje sve papirne dokumente u košuljicu, odnosno formira dosije. Automatski, administrativni radnik vidi sve podatke o korisniku usluga Gradskog centra, a ne učestvuje ni u jednom stručnom delu procesa. Slučaj dalje, kroz dostavnu knjigu, dolazi do rukovodioca službe koji određuje voditelja slučaja.

Kao jedno od organizacionih rešenja, koje bi moglo da redukuje nepotreban pristup podacima o ličnosti, trebalo bi razmotriti uvođenje šifara. Prijemni radnik formira šifru slučaja, a administrativni radnik unosi Zahtev u informacioni sistem pod šifrom, bez uvida o osnovne podatke o korisniku usluge (ime i prezime, JMBG, drugi podaci nepotrebni za njegov deo procesa, a na osnovu kojih je moguće izvršiti identifikaciju korisnika). Rukovodilac službe ima pristup bazi u kojoj se nalaze podaci o ličnosti korisnika povezani sa šiframa slučaja (ukoliko je potrebno), i može nastaviti obavljanje svog dela procesa.

Zaključak

Gradski centar za socijalni rad Beograd predstavlja ključni element sistema socijalne zaštite i kao takav u svojim aktivnostima prikuplja, obrađuje i kreira dokumentaciju sa najosetljivijim podacima o ličnosti korisnika.

Međutim, trenutno stanje sistema zaštite podataka o ličnosti u Gradskom centru za socijalni rad Beograd nije na zadovoljavajućem nivou. Da bi se unapredilo stanje sistema, potrebno je sprovesti korenite promene u nekoliko oblasti, pre svega:

  • Unapređenje informacionog sistema (uvođenje korisničkih rola, povezivanje opštinskih odeljenja, ograničenje pristupa korisničkim šiframa, vremensko ograničenje trajanja sesije, i drugo);;
  • Unapređenje zaštite podataka u papirnom obliku (definisanje procedura, odgovornosti, poboljšanje infrastrukture);
  • Ugovorno regulisanje zaštite podataka sa eksternim pravnim i fizičkim licima koja imaju pristup podacima;
  • Organizaciona i procesna rešenja – redizajn procesa u Gradskom centru, kako bi se iz određenih delova procesa isključili zaposleni koji nisu stručna lica, i kao takvi ne bi trebalo da imaju ni uvid u podatke o ličnosti korisnika.

Pored ovoga, potrebno je odrediti lice/lica odgovorna za zaštitu podataka o ličnosti, uvesti edukaciju zaposlenih u cilju podizanja znanja iz ove oblasti, kao i razumevanja važnosti zaštite podataka o ličnosti u Gradskom centru za socijalni rad Beograd.

TEHNIČKI ASPEKTI OBRADE PODATAKA

Opšte tehničke informacije i struktura sistema

Gradski centar u svom vlasništvu ima 18 servera za obradu podataka (data serveri). Svi serveri se nalaze u Beogradu, jedan je u upravnoj zgradi, a ostatak je raspoređen po opštinskim odeljenjima (jedan server po opštinskom odeljenju). Centralni informacioni sistem koji se koristi za obradu podataka se zove Integral  i koristi se duže od 8 godina. Informacioni sistem (IS) je razvila firma „PC COM“.  Serveri u ovom trenutku nisu međusobno povezani, pa među njima ne postoji sinhronizacija. Planirano je unapređenje sistema, odnosno integrisanje svih opštinskih odeljenja međusobno, i sa centralnom upravom, čime bi se iz upravne zgrade moglo pristupiti svim opštinskim odeljenjima.

Imajući u vidu organizacionu strukturu Gradskog centra, u svakom opštinskom odeljenju nalaze se podaci o ličnosti (Evidencija o usvojenoj deci) koje se odnose na konkretnu opštinu. Kada se sistem bude nadograđivao, ovi podaci će takođe biti čuvani u upravnoj zgradi Gradskog centra.

Preporuka:Prilikom centralizacije sistema važno je povesti računa o načinu uspostavljanja veze između opštinskih odeljenja i upravne zgrade kao centralne tačke sistema. Važni segmenti su enkripcija veze i centra za skladištenje podataka.

Pristup internetu

Kao odgovor na treći zahtev za pristup informacijama od javnog značaja, dobili smo informaciju da se sajt Gradskog centra hostuje na serverima kompanije SBB i da je ugovor o hostingu zaključilo Ministarstvo za rad, zapošljavanje, boračka i socijalna pitanja. Na sastanku sa predstavnicima Gradskog centra, na isto pitanje smo dobili drugačiji odgovor, odnosno da se sajt Gradskog centra hostuje na serverima kompanije Orion Telekom. Tu informaciju smo tehničkom analizom utvrdili kao tačnu (upitom na sajt http://www.whoishostingthis.com/). Internet provajder Gradskog centra je takođe Orion Telekom. Ugovor je zaključen kroz javnu nabavku, tj. raspisivanjem tendera. Opseg IP adresa koji koristi Gradski centar je 15.51.16.0-255. Internet sajt Gradskog centra se nalazi na posebnom serveru, koji nije povezan sa serverom na kojem se čuva evidencija o usvojenoj deci.

 

Opšte informacije
Naziv ustanove Gradski centar za socijalni rad u Beogradu
URL http://www.gcsrbg.org/
Datum vršenja analize 27.04.2015.
WHOIS pretraga
Ime i prezime Branislav Simonović
Provider Orion Telekom Tim Hosting pool
URL provajdera http://www.oriontelekom.rs/privatni_korisnici.130.html
Registrator PDR Ltd.
URL registratora http://www.publicdomainregistry.com/
Država Srbija
Nmap
Broj otvorenih portova 10
Broj filtriranih portova 959
Broj zatvorenih portova 31
OS Linux 2.6.18
Bezbedan (Nmap) Ne
IP v4 77.105.36.104
IP v6 /
MAC /

 

VPN i Cloud usluge

Iz dosadašnjeg istraživanja smo utvrdili da Gradski centar ne koristi ni Cloud ni VPN usluge. Planiranom nadogradnjom sistema predviđeno je uvođenje i korišćenje VPN-a.

Serverska podešavanja

Kako serveri nisu međusobno povezani, ne postoji nikakav oblik sinhronizacije među opštinskim odeljenjima. Svako opštinsko odeljenje ima svoj IS Integral koji beleži svaki pristup sistemu (sve logove). Ukoliko korisnik izvrši izmenu nekog predmeta, u sistemu će ostati zabeleženi datum poslednje izmene i korisničko ime pod kojim je uneta izmena. U elektronskoj evidenciji sistema određeni akt može izbrisati samo korisnik koji ga je inicijalno izradio. Unutar baze podataka, podaci su zaštićeni enkripcijom.

Informacije o merama zaštite podataka u Centralnom registru Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti koje smo pronašli, ne razlikuju se od onih do kojih smo došli tokom istraživanja. Ove mere zaštite podataka opisane su na sledeći način: informacije se čuvaju u dosijeima korisnika koji se u odeljenjima čuvaju u kasama (sefovima), čije ključeve imaju rukovodilac odeljenja i još jedan zaposleni; takođe, podaci se čuvaju i u elektronskom obliku na serverima odeljenja; pristup podacima imaju stručni radnici koji imaju korisničko ime i šifru.

Pristup trećih lica

U Gradskom centru direktan pristup evidencijama imaju isključivo zaposleni. Podacima koji se nalaze u evidencijama mogu pristupiti pravosudni organi, nadzorni organ, štićenik i policija. Gradski centar je u obavezi da postupa po zahtevu pravosudnih i nadzornih organa, kao što su Sekretarijat za socijalnu zaštitu grada Beograda u vezi prava iz gradske Odluke o pravima i uslugama socijalne zaštite, zatim nadležno Ministarstvo u vezi prava i obaveza iz Zakona o socijalnoj zaštiti, kao i policija u skladu sa svojim nadležnostima. Organi pristupaju dosijeima tako što u pisanoj formi podnose zahtev za pristup. Gradski centar odgovara na taj zahtev takođe u pisanoj formi, a odgovor se uručuje lično odnosno preporučenim kurirom. Štićenik u skladu sa pravnim okvirom Republike Srbije ima pravo na uvid u vlastiti dosije, kao i na kopiju konkretnog predmeta. Niko sem zaposlenih u Gradskom centru nema direktan pristup dosijeima, kao ni elektronskoj evidenciji.Kada je reč o zahtevu po predmetu o usvojenju deteta, zahtev se podnosi lično.

Za održavanje i implementaciju informacionog sistema Gradskog centra zadužen je jedan zaposleni iz opšte službe za svih 18 opština. On je administrator na sistemu koji kreira i kontroliše korisničke naloge. Usluge celokupnog održavanja sistema, softvera i tehničke infrastrukture pruža DOO “Milenijum sistemi”. U ugovoru koji je sklopljen sa “Milenijum sistemima” nije navedena odredba o tajnosti podataka. Takođe, programer iz firme „PC COM“ koji je izradio IS Integral nema potpisan ugovor o poverljivosti, niti bilo koji drugi dokument sa Gradskim centrom, ali je reorganizacijom predviđeno da se to promeni. Programer nema stalan pristup IS Gradskog centra, već isključivo prilikom dolaska u neko od opštisnkih odeljenja Gradskog centra vrši izmene u sistemu.

Preporuka: Režim evidentiranja pristupa može se poboljšati time što se neće beležiti isključivo poslednja izmena datog predmeta, već će se beležiti sve izmene, čime bi se formirala istorija izmena za svaki predmet. Takođe, sistem pristupa pomoću korisničkog imena i lozinke može se upotpuniti implementacijom digitalnih sertifikata ili dvostruke verifikacije u cilju preciznije identifikacije korisnika. Nepostojanje NDA ili druge pravne zaštite podataka o ličnosti u poslovanju Gradskog centra otvara mogućnost za zloupotrebe od strane trećih lica.

Zaključak

Arhitektura sistema nije loša, ali bi je trebalo unaprediti. Najslabija tačka sistema nalazi se u nepostojanju ugovora o poverljivosti, ili drugim oblikom pravne zaštite tajnosti podataka u poslovanju sa licima koji održavaju sistem. Kad je reč o tehničkoj zaštiti sistema, potrebno je poboljšati procedure logovanja, tj. da se ne beleži samo poslednja izmena i rad u sistemu , već i sve prethodne. Proceduru autentifikacije bi trebalo zameniti sistemom dvostruke verifikacije, tj. logovanja pomoću lozinke i digitalnog sertifikata.

Potencijalna poteškoća leži u zavisnosti sistema od osobe koja ga je kreirala i koja ga održava, što je klasična vendor lock-in situacija, te se preporučuje da odgovorne osobe zaposlene u Gradskom centru bude upućene u održavanje sistema, da se u slučaju raskida ugovora sa firmom „PC COM“ poslovanje ne bi zaustavilo dok se sistem ne promeni iz korena. S druge strane, ograničen broj tehničkog osoblja i veza poverenja između Gradskog centra i kompanije „PC COM“ predstavljaju dobru praksu, s tim što je korisno podstaći nezavisnost sistema Gradskog centra.

Potencijalni bezbednosni problemi se mogu javiti prilikom unapređenja i centralizacije sistema. Neophodno je povesti računa o bezbednosti veze između opštinskih odeljenja i upravne zgrade, te da se centralna tačka sistema (centar za skladištenje podataka) dodatno obezbedi fizički i tehnički, sa jačom restrikcijom pristupa.

MEDIJSKA POKRIVENOST

Uvodna napomena

Pregled novinskih izveštaja o pojedinačnim institucijama obuhvaćenih analizom, odnosi se na period od početka 2000-tih do 2015. godine, na osnovu pretraživih digitalnih arhiva celovitog teksta članaka štampanih dnevnih i nedeljnih izdanja, posebno iz perspektive zaštite ličnih podataka.

Domaća regulativa ove oblasti relativno je nova – zakon iz 1998. nudio je nedovoljna i prevaziđena rešenja, da bi nestankom saveznih instanci praktično postao nesprovodiv. Novijeg datuma je i pažnja globalne javnosti za aspekte privatnosti u digitalnom okruženju. Stoga je očekivano da interes štampe za zaštitu podataka o ličnosti u organima državne uprave, tokom proteklih petnaestak godina, bude oskudan i gotovo po pravilu vođen incidentima, odnosno događajima koji svedoče o kršenju prava građana što je, konačno, i suštinska uloga medija u savremenim demokratijama.

Sa druge strane, aktivno učešće institucija državne uprave u javnom dijalogu posvećenom zaštiti privatnosti i ličnih podataka koje prikupljaju i obrađuju, moglo bi se pokazati kao ključni doprinos daljem uređenju ove oblasti ali i sopstvenoj promociji kao značajnog aktera u zaštiti interesa građana.

Opšta percepcija ustanova socijalne zaštite u medijima

Pregled arhive dnevne i nedeljne štampe govori u prilog utisku da su, tokom poslednje decenije, socijalne teme postale nepresušni rudnik za tabloidnu pornografizaciju bede i nasilja u društvu.

Za socijalne centre širom zemlje u medijima je u prethodnom periodu uglavnom rezervisana rubrika ‘crne hronike’, u kontekstu pojedinačnih slučajeva ubistava, otmica, seksualnog zlostavljanja, zanemarivanja itd. u kojima su žrtve deca ili stare i nemoćne osobe. Tekstovi po pravilu iznose informacije o žrtvama i osumnjičenima, detalje iz privatnog života i porodičnog okruženja. Ako su žrtve i osumnjičeni iz romske zajednice, bezobzirnost prema privatnom životu aktera gotovo da nema granica.

U senzacionalističkim izveštajima, centri za socijalni rad pretežno su na meti društvene osude zbog neefikasnosti u prevenciji i zaštiti žrtava. Sudeći po vrsti podataka koje tabloidi iznose o žrtvama i počiniocima, novinarima su ovi centri, uz policiju, primarni izvor informacija.

Narušavanje privatnosti se u tim slučajevima vrlo retko dovodi u pitanje; tabloidi se kriju iza opravdanog interesa javnosti, institucije su pasivne ili u defanzivi.

Institucionalni rad ovih centara retko je tema od medijskog interesa. Krajem 2009. zabeležen je epilog inicijative jednog od sindikata za ocenu ustavnosti Pravilnika o organizaciji, normativima i standardima rada centara za socijalni rad. Ustavni sud tom prilikom nije prihvatio osporavanje niza odredbi Pravilnika među kojima se, po oceni sindikata, pojedinim odredbama „dovodi u pitanje zaštita poverljivih podataka“. Mediji, po pravilu, ne pružaju širi kontekst za ova pitanja.

Gradski centar za socijalni rad Beograd

Beogradski centar za socijalni rad uživa nešto povoljniji tretman od srodnih ustanova u unutrašnjosti i u medijima često figurira kao partner različitih državnih organa u programima pomoći najugroženijim kategorijama građana (narodne kuhinje, subvencije, kampanje protiv trgovine ljudima, nasilja u porodici i slično). Među takvim slučajevima, mediji beleže i narušavanje privatnosti ugroženih kategorija među korisnicima Gradskog centra, što politički zvaničnici utilitarizuju u promotivne svrhe.

Čak i kada ga mediji posredno označe kao jednog od odgovornih aktera u eskalaciji osetljivih slučajeva (nasilje, zanemarivanje), Gradski centar uspeva da se izdigne iz preovlađujuće slike o ovoj vrsti institucija.

U prethodnom periodu, zabeleženi su slučajevi gotovo rutinskog iznošenja privatnih podataka vezanih za događaje koji se nađu u fokusu javne pažnje. Ilustrativan je medijski istup direktorke jednog opštinskog ogranka Gradskog centra, povodom slučaja zlostavljanja deteta 2006. godine, koja iznosi niz detalja o psihičkom i fizičkom zdravlju žrtve.

Ovakvi istupi u medijima podstiču štetan medijski utisak da su predstavnici institucija doprineli stvaranju opšte predstave u javnosti, da su se korisnici državne pomoći na neki način odrekli pune zaštite Ustavom garantovanih prava, pre svega prava na privatnost.

Uspostavljanjem nove pravne regulative, instituta Ombudsmana i različitih poverenika (za zaštitu podataka o ličnosti, za ravnopravnost), Gradski centar se vremenom osetno zatvara za ovu vrstu javnih komentara, dok se za senzacionalističke detalje iz privatnih života korisnika Centra mediji sada obraćaju isključivo „anonimnim izvorima“.

S druge strane, formalno zatvaranje ne uspeva uvek da dovede u balans opravdan interes javnosti da zna, kao u slučaju iz 2013. godine kada su jednom udruženju građana uskraćeni statistički podaci na nacionalnom nivou o broju dece koja su zbog bezbednosti privremeno izmeštena iz svojih porodica. Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti reagovao je tada podsećajući da anonimizovani podaci nisu podaci o ličnosti.

Pregledom štampe iz  protekle decenije, stiče se utisak o institucionalnom nerazumevanju prava na privatnost, nejasnim i nedovoljno definisanim procedurama za njegovu zaštitu, usled čega je istovremeno moguće da se u tabloidima nađu osetljivi podaci o žrtvama dok se javnosti uskraćuju podaci za koje postoji opravdan interes.

Komentar Gradskog centra

Po uvidu u interni izveštaj o obradi podataka u ovoj instituciji, predstavnici Gradskog centra za socijalni rad u Beogradu ogradili su se od dela izveštaja o medijskog pokrivenosti, smatrajući da ne daje pravu sliku o načinu postupanja institucije u odnosu na Zakon o zaštiti podataka o ličnosti kao i u odnosu prema korisnicima.

U komentarima se ističe da je, u periodu od 2013. do 2015. godine, Gradski centar za socijalni rad u Beogradu imao 507 medijskih objava. “U velikom broju slučajeva novinarima koji upućuju zahtev GCSR-u već su poznati lični podaci korisnika, a GCSR u Beogradu nije u mogućnosti da kontroliše ono što će mediji objaviti”, navodi se u komentarima.

Dodaje se i da se Gradski centar za socijalni rad u Beogradu u svojim odgovorima na novinarska pitanja ne izjašnjava o konkretnim slučajevima, napominju predstavnici ove institucije, već odgovor uvek ima informativan sadržaj i odnosi se na postupanja i nadležnosti GCSR-a i statističke podatke, koje se vezuju za konkretan slučaj. Takođe u nekoliko navrata Gradski centar za socijalni rad u Beogradu uputio je demanti urednicima dnevnih listova zbog objavljivanja natačnih informacija ili usled pozivanja na informacije koje su navodno dobili iz GCSR u Beogradu. U svojim saopštenjima i odgovorima, GCSR novinarima koji iznose privatne podatke socijalno ugroženih kategorija društva, skreće pažnju na štetno postupanje, pre svega u cilju zaštite najboljiih interesa naših korisnika, a posebno dece.

“Gradski centar za socijalni rad u Beogradu nastoji da bude dobar partner medijima koji u znatnoj meri utiču na atmosferu u socijalnoj sredini, ali na sadržaj objava u kojima se ne poštuju prava građana ili grupe o kojoj mediji izveštavaju, kao i na profesionalnost novinara, nismo u prilici da utičemo”, konstatuje se u dostavljenim komentarima.

“Zbog svega navedenog smatramo da prilikom ocene medijske pokrivenosti treba uzeti u  obzir sve podatke i činjenice pa tek onda doneti zaključak. Takođe smatramo da mešanje dva zakona, Zakona o zaštiti podataka o ličnosti i slobodnom pristupu informacijama od javnog značaja i predstavljanje Gradskog centra za socijalni rad u Beogradu kao organa koji na konto poštovanja jednog zakona ne poštuje drugi jednostavno nije tačno i smatramo da navedenom nije mestu u izveštaju. Smatramo da je u potpunosti neopravdan zaključak da se narušavanje privatnosti korisnika GCSR-a ‘utilitarizuje u političke promocije’”, zaključeno je u komentarima predstavnika Gradskog centra za socijalni rad u Beogradu.

 

DOKUMENTACIJA KOJA JE DOBIJENA OD POVERENIKA U VEZI SA OBRADOM PODATAKA

Nadzor

Zapisnik o izvršenom nadzoru broj 164-00-00583/2015-07 od 28.08.2015. godine je sačinen od ovlašćenih lica Poverenika nakon izvršenog nadzora nad sprovođenjem i izvršavanjem ZZPL-a, od strane Gradskog centra za socijalni rad u Beogradu, odeljenje Vračar. Predmet nadzora je bio utvrđivanje činjenica vezanih za evidencije zbirki podataka o ličnosti koje Gradski centar vodi u okviru obavljanja poslova iz okvira svoje nadležnosti, odnosno utvrđivanje vrste i obim podataka o ličnosti sadržanih u tim zbirkama, kao i preduzete mere zaštite ovih podataka o ličnosti u smislu odredbi člana 47. ZZPL. Ono što je prvobitno utvrđeno je da je Gradski centar do navedenog datuma Centralnom registru Poverenika prijavo samo jednu evidenciju zbirki podataka iako je nadzorom  utvrđeno da Gradski centar vodi mnoge druge zbirke podataka. Gradski centar je kao razlog za nepostupanje u skladu sa ZZPL-om u vezi zbirki podataka naveo nedovoljno poznavanje propisa i nedostatatak tehničkih mogućnosti zbog specifične organizacione strukture. Nadzorom je utvršeno i da se zbirke podataka vode u papirnom i elektronskom obliku, te da se u drugom slučaju podaci se vode u ‘’Integralu’’, programu koji koristi većina centara za socijalni rad u Srbiji. Navedene su i brojne tehničke karakteristike ‘’Integrala’’ kao i pojašnjenje prava pristupa, beleženje promena. Detaljno je utvrđen način čuvanja dokumentacije koja sadrži podatke o ličnosti u papirnom obliku. Kao korisnici podataka o ličnosti Gradskog centra navedeni su resosno Ministarstvo i resorni Sekretarijat grada Beograda. Na kraju je utvrđeno da u na ulazu u prostorije Gradskog centra za socijalni rad, odeljenje Vračar, postoji video nadzor te je ovaj zapisnik dopunjen 04.09.2015. godine nakon vršenja dopunskog nadzora povodom utvrđivanja činjenica vezanih za obradu podataka o ličnosti lica putem video nadzora od strane Gradskog centgra, kao i radi predočavanja predstavnicima Gradskog centra na obaveze koje imaju.

CROSO

CROSO

OPŠTI PODACI

Preuzmite pdf celog izveštaja

Podaci o osnovnoj delatnosti, sedištu, pravnim aktima, veb sajtu i slično

Centralni registar osnovan je 2010. godine, Zakonom o Centralnom registru obaveznog socijalnog osiguranja, kao mehanizam efikasnije kontrole naplate doprinosa od kojeg se očekuje redovna mesečna analiza i usaglašavanje podataka. Takođe, registar treba da poveže institucije u sistemu socijalnog osiguranja, kao što su Republički fond za penzijsko i invalidsko osiguranje, Republički fond za zdravstveno osiguranje, Nacionalna služba za zapošljavanje i Poreska uprava. Povezanost ovih institucija preko Centralnog registra ogleda se pre svega u razmeni podataka o ličnosti obveznika odnosno osiguranika.

Centralni registar je s radom počeo 2013. godine.

Politika privatnosti ne tretira se kao zasebna tema na sajtu, niti se zaštita podataka o ličnosti pominje u Statutu Centralnog registra. U sekciji ’Pravni aspekti’, odeljak ’Najčešća pitanja’, zaštita podataka nalazi se u odgovoru na pitanje broj 16, gde se navodi da je Centralni registar „odgovoran za sigurnost, zaštitu i obezbeđenje tajnosti podataka“, te da je obavezan da preduzima “mere protiv neovlašćenog ili slučajnog pristupa Jedinstvenoj bazi, menjanja, uništavanja ili gubitka podataka, neovlašćenog prenosa i drugih oblika nezakonite obrade podataka, kao i mere protiv zloupotrebe ličnih podataka, u skladu sa propisima koji uređuju zaštitu elektronskog dokumenta”.

Adresa: Omladinskih Brigada 1, 11000 Beograd

E-mail: [email protected]

Internet sajt: http://www.croso.gov.rs

Portal: http://www.portal.croso.gov.rs

Informator o radu: http://www.croso.gov.rs/cir/Informator_o_radu/index.php

 

PRAVNI ASPEKTI OBRADE PODATAKA

Zbirke podataka o ličnosti

Centralni registar obaveznog socijalnog osiguranja registrovao je 6 zbirki podataka o ličnosti u Centralni registar zbirki podataka koji vodi Poverenik.

Od toga 5 zbirki podataka se odnosi podatke o ličnosti osoba koje su zaposlene u Centralnom registru ili obavaljaju poslove u Centralnom registru po drugom osnovu, a to su su kadrovska evidencija, evidencija o platama, evidencija o prisunosti na radu, evidencija rešenja o godišnjim odmorima i evidencija o isplatama naknada za prevoz.

Najvažniju zbirku podataka o ličnosti koju vodi Centralni registar predstavlja Jedinstvena baza podataka osiguranika i osiguranih lica (u daljem tekstu ‘’Jedinstvena baza’’). Ova zbirka podataka predstavlja samu svrhu postojanja Centralnog registra i sadrži podatke o ličnosti svih osiguranika i osiguranih lica u Srbiji, a uspostavljena je u avgustu 2013. godine u skladu sa Zakonom o Centralnom registru obaveznog socijalnog osiguranja.

Iz tih razloga odlučili smo se da Jedinstvenu bazu uzmemo kao reprezentativnu, te se dalja analiza svih aspekata obrade podataka o ličnosti odnosi samo na Jedinstvenu bazu.

Pravni osnov

Pravni osnov za vođenje Jedinstvene baze utvrđen je članom 29a Zakona o Centralnom registru obaveznog socijalnog osiguranja, gde se navodi da Centralni registar vodi Jedinstvenu bazu. Dalje se u istom članu ističe na koji način se podaci pribavljaju te se precizno navode podaci o ličnosti koji se vode u Jedinstvenoj bazi.

Treba istaći da je član 29a unešen u tekst Zakona tek izmenama i dopunama iz 2014. godine, te da je razlog za njegovo donošenje bilo usklađivanje sa odredbom člana 42 stav 2 Ustava Republike Srbije, kojom je utvrđeno da se prikupljanje, držanje, obrada i korišćenje podataka o ličnosti uređuje zakonom, kao i usklađivanje sa Zakonom o zaštiti podataka o ličnosti iz koga jasno proizlazi da osnov obrade podataka o ličnosti mora biti zakon ili pristanak lica čiji se podaci obrađuju.

Dakle, iako je Odredbama Zakona o Centralnom registru definisan pravni okvir za početak funkcionisanja Centralnog registra te da je saglasno odredbama tog zakona doneto više podzakonskih akata kojima se reguliše materija prikupljanja, držanja, obrade i korišćenja podataka o ličnosti, zakonodavac je smatrao da se Zakonom moraju precizno definisati podaci o ličnosti koji se vode u Jedinstvenoj bazi.

Podaci o ličnosti

U Jedinstvenoj bazi se vode i obrađuju podaci o ličnosti:

  1. Osiguranika, odnosno fizičkih lica koja su obavezno osigurana prema zakonima koji uređuju sistem obaveznog socijalnog osiguranja i to:

 

  • jedinstveni matični broj građana – lični broj osiguranika;
  • prezime i ime;
  • pol;
  • ime jednog roditelja;
  • evidencioni broj za strane državljane;
  • jedinstveni broj dodeljen od strane Centralnog registra;
  • dan, mesec i godina rođenja;
  • opština, mesto i adresa prebivališta;
  • državljanstvo;
  • zanimanje, prema klasifikaciji zanimanja, koje se zahteva za radno angažovanje na određenim poslovima, odnosno radnom mestu;
  • vrsta i stepen stručne spreme, odnosno obrazovanja koji su uslovi za radno angažovanje na određenim poslovima, odnosno radnom mestu;
  • vrsta i stepen stručne spreme, odnosno obrazovanja koje lice ima;
  • datum početka osiguranja;
  • osnov osiguranja;
  • radno vreme (puno, nepuno ili skraćeno);
  • broj časova provedenih na radu nedeljno;
  • vrsta radnog angažovanja (radni odnos i rad van radnog odnosa);
  • podatak o zaposlenju kod više poslodavaca;
  • podaci o stažu osiguranja sa uvećanim trajanjem, o vremenu provedenom na tim poslovima i stepenu uvećanja staža;
  • datum i osnov promene u toku osiguranja;
  • datum i osnov prestanka osiguranja;
  • posebni podaci o osiguraniku;
  • da li je osiguranik korisnik prava iz penzijskog i invalidskog osiguranja;
  • prekid osiguranja zbog mirovanja;
  • osnovice doprinosa za obavezno socijalno osiguranje, visina uplaćenih doprinosa za obavezno socijalno osiguranje i period na koji se ta uplata odnosi;
  • podaci o uplati doprinosa po osnovu ugovorene naknade;

2 . Osiguranih lica, to jest osiguranika i članova porodica osiguranika koji ostvaruju prava iz obaveznog socijalnog osiguranja u skladu sa zakonima koji uređuju zdravstveno osiguranje, penzijsko i invalidsko osiguranje i osiguranje za slučaj nezaposlenosti i to:

  • prezime i ime;
  • jedinstveni matični broj građana – lični broj osiguranika
  • pol;
  • dan, mesec i godina rođenja
  • srodstvo sa osiguranikom
  • adresa prebivališta

Jedinstvna baza koju vodi Centralni registar predstavlja najsveobuhvatniju bazu podataka o ličnosti koja se odnosi obavezno socijalno osiguranje u Srbiji. U njoj se nalaze podaci svih građana Republike Srbije, kao i stranaca koji su po nekom osnovu socijalno osigurani u našoj zemlji, bilo da je u pitanju zdravstveno, penzijsko invalidsko ili osiguranje za slučaj nezaposlenosti, tako da se u ovoj bazi ne nalaze samo podaci onih lica koja ni po jednom od ovih osnova nisu osigurani, niti su bili osigurani.

Obzirom da je Centralni registar uspostavljen upravo radi razmene podataka sa drugim institucijama, svi podaci koji se nalaze u Jedinstvenoj bazi se razmenjuju sa drugim državnim institucijama u skladu sa članom 18 Zakona o centralnom registru, u kome se navodi da organizacije obaveznog socijalnog osiguranja preuzimaju iz Jedinstvene baze podatke neophodne za vođenje matične evidencije, odnosno druge evidencije propisane zakonom koji uređuje penzijsko i invalidsko osiguranje, zdravstveno osiguranje i osiguranje za slučaj nezaposlenosti.

Tako se osnovni podaci o osiguranicima nalaze i u RFZO-u, PIO fondu, Nacionalnoj službi za zapošljavanje i Poreskoj upravi, dok se ostali podaci razmenjuju sa ovim institucijama u skladu sa njihovim nadležnostima. Od Poreske uprave se dobijaju podaci o plaćenim doprinosima za socijalno osiguranje, te se iznosi plaćenih doprinosa za zdravstveno osiguranje razmenjuju sa RFZO-om a iznosi plaćenih doprinosa za penzijsko invalidsko osiguranje sa PIO fondom.

Načini prikupljanja podataka o ličnosti

Podaci koji se vode u Jedinstvenoj bazi inicijalno su prikupljeni preuzimanjem podataka iz postojećih baza koje vode RFZO, PIO fond, Nacionalna služba za zapošljavanje i Poreska uprava. Ova migracija je započeta krajem 2011. godine, u skladu sa Uredbom Vlade Srbije koja detaljno definiše postupak preuzimanja podataka, te utvrđuje 31.12.2019. godine kao krajnji rok za migraciju podataka. Doduše, ovaj rok se odnosi samo na iznose osnovica doprinosa za penzijsko invalidsko osiguranje i periode na koje se ta uplata odnosi, dok je migracija ostalih podataka već izvršena.

Nakon inicijalnog pikupljanja podataka i uspostavljanja Jedinstvene baze, podaci se prikupljaju podnošenjem jedinstvene elektronske prijave, isključivo u elektronskom obliku preko portala Centralnog registra. Ove jedinstvene prijave u većini slučajeva podnose poslodavci za svoje zaposlene, ili sama fizička lica. U oba slučaja mora postojati kvalifikovani elektronski sertifikat kako bi mogla da se podnese jedinstvena prijava. Izuzetno za fizička lica koja nemaju tehničke mogućnosti za prijavu u elektronskom obliku, prijavu može podneti neka od organizacija obaveznog socijalnog osiguranja (RFZO, PIO fond). Tada fizička lica na šalteru predaju potrebne dokaze o statusu osiguranika, a ovlašćeni službenik na šalteru za njih popunjava jedinstvenu elektronsku prijavu i podnosi je Centralnom registru.

Forma jedinstvene elektronske prijave je propisana Uredbom o sadržini, obrascu i načinu podnošenja jedinstvene prijave na obavezno socijalno osiguranje, jedinstvenim metodološkim principima i jedinstvenom kodeksu šifara za unos podataka u jedinstvenu bazu centralnog registra obaveznog socijalnog osiguranja („Službeni glasnik RS”, br. 54/10, 124/12 и 119/13) i data je na Obrascu M koje odštampan uz ovu uredbu i čini njen sastavni deo.

Takođe u skladu sa članom 15 Zakona o Centralnom registru, organi i organizacije nadležni za registraciju pravnih i fizičkih lica koja obavljaju određenu delatnost (Agencija za privredne registre, privredni sudovi, advokatske komore) dostavljaju Centralnom registru podatke o obveznicima doprinosa – poslodavcima i isplatiocima prihoda. Iako ovo nisu podaci o osiguranicima ili osiguranim licima koje smo do sada analizirali, oni mogu sadržati neke podatke o ličnosti (npr. lično ime i JMBG zastupnika obveznika doprinosa, ili isti podaci preduzetnika). Ipak, kod APR-a situacija u izvesnoj meri odstupa od ovog pravila. Naime, u slučaju preduzetnika APR dostavlja Centralnom registru sve podatke koji su potrebni za prijavu na obavezno socijalno osiguranje, a na osnovu podataka iz registracione prijave preduzetnika u APR-u. Samim tim, preduzetnik nema obavezu da samostalno podnosi jedinstvenu regsitracionu prijavu.

Dodatno, u skladu sa članom 16 Zakona o Centralnom registru, Poreska uprava dostavlja Centralnom registru podatke o iznosima obračunatih i naplaćenih doprinosa za obavezno socijalno osiguranje, i to pojedinačne podatke za svakog osiguranika. U razgovoru sa direktorkom Centralnog registra, obavešteni smo da se ovi podaci dostavljaju jednom nedeljno.

Centralni registar

Jedinstvena baza je registrovana kao zbirka podataka o ličnosti u Centralnom registru koji vodi Poverenik od aprila 2015. godine. Pored ove, Centralni registar je registrovao još 5 zbirki podataka o ličnosti.

Podaci i informacije koji su registrovani u vezi Jedinstvene baze su ažurni i u svemu u skladu sa zakonima i uredbama koje uređuju ovo pitanje.

Interni akti

Zaposleni u Centralnom registru su upoznati sa svojim pravima i nadležnostima u vezi obrade podataka o ličnosti, i to internim aktom o zaštiti podataka i bezbednosti sistema koji su svi potpisali.

Imajući u vidu da Centralni registar ima svega 24 zaposlena, dok pristup Jedinstvenom registru ima daleko veći broj lica, od mnogo većeg značaja su akti koji regulišu pristup bazi i korišćenje i obradu podataka od strane brojnih korisnika ove baze, i to:

  • Uredba o načinu dodeljivanja korisničkih dozvola, metodologiji unosa i ažuriranja podataka i načinu pristupa i korišćenja podataka iz jedinstvene baze centralnog registra obaveznog socijalnog osiguranja, kojuje donela Vlada Republike Srbije 2013. godine i od tada je na snazi. Uredbom je regulisano da osiguranici i osigurana lica imaju pravo pristupa samo svojim podacima o ličnosti koji su sadržani u jedinstvenoj prijavi. Sa druge strane obveznici doprinosa (poslodavci) mogu pregledati podatke samo za svoje zaposlene i samo za period osiguranja koji je zaposleni ostvario kod tog poslodavca. Takođe, definisana je i odgovornost Centralnog registra za obezbeđenje  zaštite ličnih podataka, prilikom omogućavanja prava pristupa podacima registrovanim u Jedinstvenoj bazi. Zaštita ličnih podataka se obezbeđuje primenom mera zaštite od neovlašćenog pristupa i čuvanja podataka u skladu sa propisima kojima se uređuje čuvanje, zaštita i sigurnost podataka u okviru Informacionog sistema Centralnog registra.
  • Pravilnik o čuvanju, zaštiti i sigurnosti podataka u okviru informacionog sistema centralnog registra obaveznog socijalnog osiguranja koji je doneo Ministar rada, zapošljavanja i socijalne politike 2013. godine i od tada je na snazi. Pravilnik uređuje procedure čuvanja, zaštite i sigurnosti podataka informacionog sistema Centralnog registra.
  • Uredba o sadržini, obrascu i načinu podnošenja jedinstvene prijave na obavezno socijalno osiguranje kojuje donela Vlada Republike Srbije 2010. godine i od tada je dva puta izmenjena i dopunjena, poslednji put 2013. godine. Ovom uredbom propisani su sadržina i obrazac jedinstvene prijave, način podnošenja jedinstvene prijave, dokazi koji se uz prijavu podnose, jedinstveni metodološki principi i jedinstveni kodeks šifara za unos podataka u Jedinstvenu bazu.

Zahtev za ostvarivanje prava

Tokom istraživačkog procesa, član našeg tima je u skladu sa članom 19 ZZPL-a pisanim putem od Centralnog registra tražio obaveštenje o obradi svojih podataka o ličnosti i to:

  1. Koje podatke o meni obrađujete?
  2. Koje vrste obrade podataka sprovodite?
  3. Od koga su prikupljeni podaci o meni, odnosno ko je izvor podataka?
  4. U koje svrhe se podaci obrađuju?
  5. U kojim zbirkama podataka se nalaze podaci o meni?
  6. Ko su korisnici podataka o meni? Koji podaci o meni se koriste? Po kom pravnom osnovu i u koje svrhe se podaci o meni koriste?
  7. Da li se moji podaci prenose (ustupaju) drugim licima, i koja su to lica? Po kom pravnom osnovu i za koje potrebe se ti podaci prenose?
  8. U kom vremenskom periodu se podaci obrađuju, odnosno da li je predviđena obustava obrade mojih podataka u određenom trenutku?

Centralni registar je odgovorio na zahtev za ostvarivanje prava u zakonom predviđenom roku, na sva pitanja i u skladu sa ZZPL i Zakonom o centralnom registru obaveznog socijalnog osiguranja.

Nabrojani su svi podaci koje obrađuje, pojedinačno za osiguranike, osigurana lica i obveznike doprinosa koji se vode u Jedinstvenoj bazi. Konstatovano je da su obrade vezane za obavezno socijalno osiguranje i da se podaci prikupljaju podnošenjem jedinstvene prijave i ažuriranjem podataka iz postojećih nadležnih registara, baza podataka i službenih evidencija, koje se vode u Srbiji. Navedeno je da se podaci obrađuju u svrhu ostvarivanja osnovnih delatnosti Centralnog registra i nabrojan je veliki broj delatnosti, kao što su uspostavljanje i vođenje Jedinstvene baze, registracija osiguranika i osiguranih lica, dodeljivanje jedinstvenog broja, itd. Što se korisnika podataka Jedinstvene baze tiče, organizacije obaveznog socijalnog osiguranja – RFZO, PIO fond, Nacionalna služba za zapošljavanje, organ nadležan za poslove javnih prihoda, Republički zavod za statistiku – razmenjuju podatke sa Centralnim registrom. Podaci uneti u Jedinstvenu bazu ne mogu se brisati i čuvaju se trajno.

Zaključak

Regulisanje obaveze vođenja Jedinstvene baze kao i precizno definisanje podataka o ličnosti   koji se vode u Jedinstvenoj bazi zakonskom odredbom, u ovom slučaju članom 29a Zakona o Centralnom registru, predstavlja izuzetno dobro rešenje, čime je u potpunosti poštovana odredba člana 42 stav 2 Ustava Republike Srbije, kojom je utvrđeno da se obrada podataka uređuje zakonom. Značajno je napomenuti da ovo nije bio slučaj u vreme kada je Zakon o centralnom registru donet, već da je zakonodavac tek naknadno uvideo neophodnost kako bi obrada podataka o ličnosti u Centralnom registru bila u potpunosti zakonita. Ovo iskustvo bi moglo poslužiti kao primer i drugim institucijama da utiču na donosioce odluka kako bi se propisi iz njihove nadležnosti dopunili, u cilju obezbeđeivanja pravnog okvira koji će im omogućiti da obrada podataka o ličnosti bude u potpunosti zakonita.

ORGANIZACIONI ASPEKTI OBRADE PODATAKA

Lice za zaštitu podataka o ličnosti

Postojeće stanje: U Centralnom registru obaveznog socijalnog osiguranja, za zaštitu podataka o ličnosti zaduženo je lice koje je ovlašćeno lice za postupanje po zahtevima za pristup informacijama u Centralnom registru.

Preporuka: Uzimajući u obzir model organizacione strukture Centralnog registra kao visoko centralizovanog sistema bez teritorijalno dislociranih organizacionih jedinica, kao i broj zaposlenih, sasvim je dovoljno da postoji jedno lice zaduženo za zaštitu podataka o ličnosti. Obim posla u ovom domenu ne zahteva formiranje posebnog radnog mesta za ove potrebe, tako da je postojeća organizacija, koja predviđa da ovo lice obavlja i druge poslove u Centralnom registru, a da mu je zaštita podataka o ličnosti samo jedno od zaduženja, potpuno pogodna.

Kako u slučaju kršenja Zakona o zaštiti podataka o ličnosti postoji odgovornost i fizičkog lica, i odgovornog lica kod pravnog lica, i odgovornost samog pravnog lica, neophodno je da ovo lice ima organizacionu odgovornost, na primer, za:

  • sprovođenje određene politike o zaštiti podataka o ličnosti među zaposlenima;
  • promovisanje zaštite podataka o ličnosti među zaposlenima radi razumevanja vlastite uloge u zaštiti podataka
  • organizovanje edukacije iz oblasti zaštite podataka o ličnosti za zaposlene;
  • izveštavanje rukovodstva o nivou zaštite podataka i predlaganje mera za podizanje nivoa zaštite i dr.

S obzirom na navedene odgovornosti, jasno je da bi lice zaduženo za zaštitu podataka u ovom smislu trebalo da bude lice koje se nalazi na pozicijama višeg hijerarhijskog nivoa. U kompanijama je praksa pokazala da bi to lice trebalo da bude deo najvišeg menadžmenta.

Takođe, preporuka je i da se opisu posla ovog lica dodaju aktivnosti edukacije ostalih zaposlenih u Centralnom registru o zaštiti podataka o ličnosti.

Edukacija

Postojeće stanje: Zaposleni u Centralnom registru su upoznati sa svojim nadležnostima i pravima, koja su regulisana internim aktom o zaštiti podataka i bezbednosti sistema koji su svi potpisali. Ne sprovode se obuke zaposlenih o postojećoj regulativi (Zakon; standardi) iz oblasti zaštite podataka.

Preporuka: Svoju osnovnu delatnost Centralni registar obavlja kroz prikupljanje i obradu najosetljivijih podataka o ličnosti, zbog čega je izuzetno važno što postoji interni akt o zaštiti podataka i bezbednosti sistema koji su potpisali svi zaposleni. Međutim, poželjno bi bilo uvesti kontinuiranu edukaciju zaposlenih iz oblasti zaštite podataka o ličnosti, radi podizanja svesti o osetljivosti ovih podataka i konstantnom usaglašavanju sa važećim propisima iz ove oblasti. Takođe, trebalo bi definisati vremenske intervale u kojima bi trebalo organizovati testiranja znanja zaposlenih iz ove oblasti, kako bi Centralni registar konstantno imao uvid u stanje sistema u pogledu zaštite podataka o ličnosti.

Pristup zaposlenih reprezentativnoj evidenciji

Postojeće stanje: Pristup elektronskoj bazi podataka “Evidencija podataka osiguranika, osiguranih lica i evidenciju obveznika doprinosa” koja je u nadležnosti Centralnog registra imaju tri kategorije korisnika:zobveznici,

  1. fizička lica,
  2. zaposleni u Centralnom registru.

Svi korisnici pristupaju bazi podataka preko kvalifikovanog elektronskog sertifikata. Za svaku od kategorija korisnika postoje različita ovlašćenja. Takođe, za zaposlene u Centralnom registru definisan je sistem rola, koji im omogućava ograničen pristup podacima u zavisnosti od poslova koje obavljaju. Jedino određeni zaposleni u Odelјenju za informacione tehnologije mogu pristupiti podacima bez kvalifikovanog elektronskog sertifikata.

Svaki pristup bazi pomoću kvalifikovanog elektronskog sertifikata se beleži kroz logove. Pritom, logovi sadrže informaciju o osnovu pristupa, pošto svaki korisnik mora odabrati neku od mogućih akcija u sistemu koju želi da sprovede. Logovi se čuvaju godinu dana.

Preporuka: Zaštita podataka o ličnosti koje prikuplja i obrađuje Centralni registar je na izuzetno visokom nivou, s obzirom da ne postoje dokumenta u papirnoj formi, a da se elektronskoj bazi podataka pristupa isključivo preko kvalifikovanog elektronskog sertifikata, osim u slučaju fizičkih lica, o čemu će kasnije biti više reči.

Zaposleni u Centralnom registru imaju odgovarajuće pravo pristupa u zavisnosti od posla koji obavljaju. Tu se pre svega misli na zaposlene u Odelјenju za rad sa osiguranicima, obveznicima i registrom, koji rade sa ovim podacima. Sistem rola je takav da se svakom zaposlenom definišu odgovarajuća prava pristupa. Ovaj sistem je trenutno održiv zbog malog broja zaposlenih u Centralnom registru. On je istovremeno i najpogodniji za zaštitu, i trebalo bi ga zadržati sve dok organizacioni sistem može da podnese taj nivo detaljnosti bez negativnog uticaja na efikasnost sistema. Ukoliko broj zaposlenih u Centralnom registru bude značajno porastao, preporuka je da se role dodeljuju radnom mestu, u skladu sa opisom posla, umesto konkretnom zaposlenom, radi čuvanja efikasnosti. Kako se bazi pristupa isključivo preko elektronskog sertifikata, beleži se i pohranjuje svaki pristup, uključujući i osnov pristupa.

Međutim, dva zaposlena u Odelјenju za informacione tehnologije mogu direktno pristupiti podacima bez upotrebe elektronskog sertifikata, pošto podaci u bazi podataka nisu maskirani. Ovo predstavlja problem, iako trenutno može delovati beznačajno zbog malog broja zaposlenih sa takvim mogućnostima, ali već sada treba razmišljati o njegovom rešavanju. Preporuka je da se izvrši maskiranje podataka, kako administratori baze podataka koji mogu direktno da joj pristupe ne bi imali uvid u podatke koji se u njoj nalaze bez odgovarajućeg logovanja preko elektronskog sertifikata.

Fizička lica mogu pristupiti bazi podataka i videti isključivo svoje podatke, ali prethodno moraju da dobiju odgovarajući mehanizam pristupa od Centralnog registra. Kako je JMBG kompromitovan, ne može se omogućiti pristup bazi podataka fizičkim licima samo njegovim unošenjem, tako da je ovo dobar sistem zaštite. Fizička lica trenutno mogu pristupiti bazi na tri načina:

  1. preko kvalifikovanog elektronskog sertifikata,
  2. pomoću lične karte,
  3. unošenjem korisničkog imena i lozinke.

U sva tri slučaja prethodno moraju na neki način zatražiti od Centralnog registra pravo pristupa. Problem je što se korisničko ime i lozinka, nakon podnetog zahteva u Centralnom registru, fizičkim licima šalju putem mejla, što može dovesti do kompromitovanja pristupnih parametara, samim tim i  podataka o ličnosti. Zato je preporuka ili da se uvede neka vrsta direktnog izdavanja pristupnih parametara, poput PIN koda u bankama, ili da se pristup bazi omogućuje isključivo izdavanjem elektronskih sertifikata ili pomoću lične karte.

Obveznici mogu preko elektronskog sertifikata pristupiti elektronskoj bazi podataka i sprovoditi različite akcije u sistemu, poput prijave i odjave zaposlenih. Obveznik doprinosa, odnosno njegov zakonski zastupnik ili ovlašćeno lice, može uneti nove i izmeniti postojeće podatke koji se odnose na korisnički nalog, pregledati podatke za svoje zaposlene samo za period osiguranja kod njega i na portalu Centralnog registra vršiti predaju prijave, odjave, odnosno promene na obavezno socijalno osiguranje. Međutim, prijava i odjava se vrše preko JMBG-a, koji je kompromitovan podatak. Problem je što bilo koji obveznik može videti različite podatke o ličnosti bilo kog fizičkog lica za koje u sistem unese JMBG. Ovaj problem se može rešiti izdavanjem posebnih identifikacionih podataka koji će se koristiti za potrebe Centralnog registra, što nije efikasno rešenje, pošto bi morale da ih primene i sve institucije sa kojima Centralni registar razmenjuje podatke. Problem koji se tiče JMBG ne može se rešiti interno, već se mora rešavati na državnom nivou. Zbog toga preporuka u ovom domenu može da bude da fizička lica na svom nalogu, nakon što se uloguju, mogu da vide ko je sve pristupao njihovim podacima i da u slučaju eventualnih neosnovanih pristupa obaveste Centralni registar.

Trenutno se svaki pristup bazi podataka beleži, i svi logovi se čuvaju godinu dana. Preporuka je da se razmotri mogućnost čuvanja logova duže od godinu dana, kako bi se u slučaju potrebe mogle izvršiti sve odgovarajuće identifikacije u dužem vremenskom periodu.

Sektor za održavanje informacionog sistema

Postojeće stanje: U Centralnom registru jedna od tri organizacione jedinice jeste Odelјenje za informacione tehnologije, koje obavlјa poslove koji se odnose na: održavanje nivoa kvaliteta IT sistema; rad informacionog sistema Centralnog registra; dodelјivanje jedinstvenog broja; usaglašavanje podataka o obveznicima doprinosa i osiguranim licima kojima raspolažu Poreska uprava, organizacije za obavezno socijalno osiguranje i drugi organi i organizacije; organizovanje i nadzor održavanja i unapređenja baze podataka i postojećih programa u saradnji sa dobavlјačima softvera i zahtevima ili potrebama Centralnog registra; obezbeđivanje tehničkih uslova za međusobno povezivanje i usklađivanje rada subjekata povezanih u sistem Centralnog registra u vezi sa dostavlјanjem podataka; obezbeđivanje elektronske povezanosti sa drugim registrima i bazama podataka koje se vode u Republici Srbiji, a imaju značaja za obveznike doprinosa i osigurana lica; evidentiranje hardverskih i softverskih resursa Centralnog registra; organizovanje programiranja ili prilagođavanja aplikacija i programskih modula; definisanje zahteva, projektovanje, realizaciju i testiranje programa; kompleksnu i sveobuhvatnu analizu unetih i obrađenih podataka u rokovima predviđenim zakonom i ukazivanje nadležnim organima na uočene nepravilnosti.

U postojećem pravilniku sistematizovano je 8 različitih radnih mesta, sa ukupno 9 izvršilaca, kao što se može videti na sledećoj slici.

Nisu sva sistematizovana radna mesta popunjena. Tokom istraživanja, u Centralnom registru je bio zaposlen Načelnik Odeljenja za informacione tehnologije i još jedan izvršilac u Odeljenju.

Preporuka: Usled popularnosti i traženosti stručnjaka iz ove oblasti na tržištu rada sa jedne strane, i relativno niskim platama na ovim pozicijama u Centralnom registru u odnosu na privatni sektor sa druge strane, Centralnom registru je izuzetno teško da zadrži stručnjake iz ove oblasti. Ovo će predstavljati potencijalni problem u poslovanju, ali on ne može biti rešen interno, već po ovom pitanju nešto treba biti preduzeto na državnom nivou.

Osnovna preporuka za interna unapređenja u ovom domenu je da se izvrši maskiranje podataka, kako administratori sistema ne bi imali pristup “živim” već maskiranim podacima, čime bi značajno bila unapređena zaštita podataka o ličnosti. S obzirom na delatnost koju obavlja Centralni registar i osetljivost podataka o ličnosti koji se prikupljaju i obrađuju, svaki pristup podacima bi morao biti evidentiran, i to je na izuzetno dobar način već urađeno u Centralnom registru, ali postoji prostor za unapređenje pošto dva zaposlena na informatičkim poslovima mogu pristupiti direktno podacima bez ikakve evidencije tog pristupa. Preporuka je i da se uvedu procedure koje regulišu pristup i upravljanje podacima iz elektronske baze.

Evidencija u papirnoj formi

Postojeće stanje: Centralni registar ne čuva podatke u papirnoj formi.

ISO standardi

Postojeće stanje: Prema podacima dostupnim u Registru sertifikovanih privrednih društava koji vodi Privredna komora Srbije, u Centralnom registru nije primenjen nijedan standard iz ISO serije standarda.

Preporuka: U narednom periodu trebalo bi primeniti standard ISO 9001 – Sistem upravljanja kvalitetom, kao bazni standard, dok bi u sledećoj iteraciji trebalo težiti uvođenju standarda ISO 27001 Sistem upravljanja bezbednošću informacija, koji s obzirom na delatnost Centralnog registra predstavlja najbitniji standard ISO serije. Standardima bi trebalo formalno regulisati pristup i upravljanje podacima u elektronskoj formi.

Zaključak

Centralni registar je institucija koja je najviše učinila u pogledu zaštite podataka o ličnosti od svih institucija koje su analizirane u okviru projekta. Uzimajući u obzir da su analizirane najreprezentativnije institucije iz javnog sektora u Srbiji, može se pretpostaviti da je ovo jedan od najuređenijih sistema u državi u ovom pogledu, ako ne i najuređeniji. Kako Centralni registar predstavlja sistem koji objedinjuje podatke koje prikupljaju i obrađuju Republički fond za penzijsko i invalidsko osiguranje, Republički fond za zdravstveno osiguranje, Nacionalna služba za zapošljavanje i Poreska uprava, uvođenje elektronskih sertifikata u ovoj instituciji je izuzetno bitan faktor koji je učinjen u cilju zaštite podataka, između ostalih i podataka o ličnosti. Upravo zbog toga bi trebalo raditi na dodatnom unapređenju sistema zaštite i uklanjanju nedostataka koji su uočeni tokom analize.

Što se tiče maskiranja podataka u bazi, to je problem koji je poznat rukovodiocima u Centralnom registru i na čijem rešavanju bi trebalo započeti rad čim budu obezbeđena odgovarajuća finansijska sredstva.

Takođe treba raditi i na rešavanju opšteg problema koji se odnosi na JMBG, a koji potencijalno može stvoriti dosta problema. Centralni registar, kao institucija koja prikuplja najviše podataka o ličnosti, ali i kao institucija koja je najviše uradila po pitanju zaštite podataka u elektronskoj bazi, treba da preduzima inicijative u cilju unapređenja čitavog sistema i povećanja zaštite podataka o ličnosti. Rešavanje problema sa JMBG može rešiti i nedostatke koji su uočeni kod pristupa fizičkih lica, gde je onemogućeno njihovo logovanje pomoću nekih parametara koje imaju već moraju tražiti pristupne podatke, dok obveznici mogu pretraživati podatke o bilo kom fizičkom licu ukoliko znaju njegov JMBG.

Preporuka je i da se uvede edukacija zaposlenih u cilju podizanja znanja i svesti iz oblasti zaštite podataka o ličnosti, ali i o posebnoj važnosti te zaštite u Centralnom registru, usled delatnosti koju obavlja i obima podataka koje prikuplja i obrađuje.

Takođe je preporuka i da se uvede sistem upravljanja kvalitetom ISO 9001 kojim će biti definisane procedure sa jasno preciziranim nadležnostima pristupa i obrade podataka o ličnosti koje poseduje Poreska uprava. Njima bi takođe trebalo predvideti osnove pristupa i obrade podataka, i potom to primeniti na korisničke role u informacionom sistemu.

Centralni registar je implementirao izuzetno visok nivo zaštite elektronske baze podataka, u smislu prava i evidencije pristupa. Međutim, s obzirom na obim, važnost i osetljivost podataka koji se prikupljaju i obrađuju u Centralnom registru, preporuka je da se standardizuje način na koji se obezbeđuje bezbednost podataka, i to kroz ISO 27001 sistem upravljanja bezbednošću informacija.

TEHNIČKI ASPEKTI OBRADE PODATAKA

Opšte tehničke informacije i struktura sistema

Ceo informacioni sistem (IS) Centralnog registra izrađen je interno, a u saradnji sa drugim organizacijama i državnim organima. U okviru IS postoje dva databaza servera za prikupljanje, obradu i skladištenje podataka o ličnosti, veb i bezbednosni serveri. Svi serveri se nalaze u server sali u prostorijama Centralnog registra, i u vlasništvu su Centralnog registra. Centralni registar nije distribuiran, već je sistem centralizovan na jednom mestu. Reprezentativna evidencija, Jedinstvena baza Centralnog registra, nalazi se na databaza serverima. Cela platforma Centralnog registra izrađena je na Oracle bazi podataka (objektno-orijentisana baza koja predstavlja identifikator alfanumeričkog sistema).

Pristup internetu

Internet servis provajder Centralnog registra je kompanija Orion Telekom koji takođe pruža usluge hostinga za statični deo internet prezentacije (http://www.croso.gov.rs/). Sve ove usluge Centralni registar ugovara samostalno, uz fiksni opseg IP adresa.

 

OPŠTE INFORMACIJE
Naziv ustanove Centralni registar obaveznog socijalnog osiguranja
URL http://www.croso.gov.rs/
Datum vršenja analize 22.02.2016..
WHOIS pretraga
Ime i Prezime RNIDS
Adresa Žorža Klemansoa 18a, Beograd
Provider UZZPRO
URL Provajdera www.uzzpro.gov.rs
Registrator RNIDS
URL Registratora https://www.rnids.rs
Država Srbija
Nmap
Broj otvorenih portova 2
Broj filtriranih portova 998
Broj zatvorenih portova 0
OS Linux 2.4.20
Bezbedan (Nmap) Da
IP v4 195.222.96.163.
IP v6 /
MAC /

 

VPN i Cloud usluge

Prema sadašnjoj infrastrukturi sistema, Centralni registar ne koristi Cloud usluge a kako se navodi u odgovorima na FOI zahtev, to se u budućnosti neće menjati. Cela infrastruktura postavljena je interno i planiranim proširenjem sistema Centralnog registra eksponiranje na Cloud neće postojati.

Komunikacija Centralnog registra sa organima i organizacijama koji su uključeni u razmenu podataka sa Centralnim registrom (RFZO, PIO fond, Nacionalna služba za zapošljavanje, APR, Poreska uprava, MUP, PTT) odvija se putem VPN-a, maksimalno zaštićenim mehanizmima za elektronsku razmenu podataka dostupnim u entitetima koji razmenjuju podatke i vrši se putem Web, odnosno FTP servisa. VPN veza između svih institucija je deo mreže Uprave za zajedničke poslove republičkih organa (UZZPRO).

Serverska podešavanja

Zaposleni u Centralnom registru pristupaju Jedinstvenoj bazi podataka osiguranika i osiguranih lica putem Portala Centralnog registra i putem specijazovanih aplikacija uz obavezno korišćenje kvalifikovanih elektronskih sertifikata, na osnovu dodeljenih rola i privilegija. Broj pristupa bazi smanjen je time što su svakom zaposlenom dodeljenje pojedinačne privilegije. Dodeljivanje privilegija vrši se prema odluci direktora Centralnog registra.

U prostorijama Centralnog registra postoji posebna server sala u kojoj se nalaze svi serveri, sinhronizacija između njih vrši se u realnom vremenu. Na serverima na kojima se nalaze evidencije čuvaju se sistemski logovi, u kojima se evidentira svaki pojedinačni pristup sistemu. Imajući u vidu važnost podataka kojima se pristupa, za njihov pregled neophodno je posedovati kvalifikovani elektronski sertifikat. Pristup ovoj kategoriji zaposlenih je omogućen isključivo putem namenske aplikacije i putem portala Centralnog registra. U oba slučaja neophodno je posedovanje kvalifikovanog elektronskog sertifikata, a sami sertifikati se odnose isljučivo na pojedinca, dok se sistemom rola i privilegija definišu prava pristupa sistemu, odnosno podacima. Pristup spoljnih korisnika se uredno loguje i beleži, kao i pristup bazi sistemskih korisnika.

Prema važećim pravilima u organizaciji niko ne može izbrisati podatke, a periodično se pravi rezervna kopija svih podataka u sistemu. Podaci u Jedinstvenoj bazi u ovom trenutku nisu enkriptovani, ali je planiranom izmenom infrastrukture predviđeno da se to promeni.

U Centralnom registru Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti, navedene su sledeće mere zaštite podataka: Zaštita podataka obezbeđuje se kroz zaštitu pristupa računarskoj opremi i mreži putem specijalizovanih hardverskih komponenti uz upotrebu definisanog protokola zaštite. Zaštita IT sistema bazirana je na arhitekturi javnih ključeva i podrazumeva obaveznu primenu kvalifikovanih elektronskih sertifikata, digitalno potpisivanje transakcija kao i autentifikaciju pristupa sistemu.

Pravilnik o čuvanju, zaštiti i sigurnosti podataka u okviru informacionog sistema Centralnog registra obaveznog socijalnog osiguranja, propisuje sledeće mere zaštite pristupa informacionom sistemu Centralnog registra:

1) autentifikacija – koja predstavlja proces utvrđivanja identiteta osobe koja želi da pristupi informacionom sistemu Centralnog registra;

2) autorizaciju – koja predstavlja pravo pristupa i dozvoljenih operacija za autentifikovano lice;

3) zaštita tajnosti – što podrazumeva šifrovanje podataka u cilju sprečavanja neovlašćenog uvida;

4) neporicanje odgovornosti – što podrazumeva obezbeđenje dokaza da je neko izvršio određenu radnju, odnosno transakciju.

Autentifikacija pristupa servisima od strane državnih organa i organizacija, sa kojima Centralni registar vrši razmenu podataka podrazumeva i obaveznu primenu serverskih sertifikata.

Radi obezbeđenja neprekidnog funkcionisanja informacionog sistema, Centralni registar obezbeđuje fizičku zaštitu podataka primarnog informacionog sistema, formiranjem sekundarne baze podataka i sekundarnog računarskog sistema. Sekundarna baza podataka i sekundarni računarski sistem moraju biti udaljeni od mesta na kome se nalazi primarni informacioni sistem.

Centralni registar obezbeđuje održavanje računarske opreme za informacioni sistem a, u slučaju popravki, prethodno sprema bezbednosne kopije podataka, kako bi se sprečio gubitak podataka. U slučaju povlačenja računarske opreme iz informacionog sistema, svi podaci prethodno moraju biti trajno i sigurno izbrisani.

Preporuka: Smatramo da se enkriptovanjem baze podataka, podaci štite od zloupotreba u slučaju krađe ili curenja.

Pristup Trećih lica

Pristup evidenciji definiše se Zakonom o Centralnom registru, a pristup se ostvaruje uz posedovanje kvalifikovanih elektronskih sertifikata.

Kada je reč o održavanju sistema, Centralni registar ima ugovor sa izvođačem koji je zadužen za tehničko održavanje sistema. Za manje tehničke kvarove zaduženi su zaposleni iz Centralnog registra  kojima su te aktivnosti u nadležnosti. Centralni registar poseduje autorska prava na softver. Svaki pristup servisu se beleži i čuva godinu dana, a ostvaruje se isključivo po potrebi preko namenskog računara ili zvaničnog zahteva putem kvalifikovanog elektronskog sertifikata. Neophodno je doći u Centralni registar da bi se ostvario pristup sistemu. Lica koja održavaju sistem nemaju pristup celom sistemu, već samo određenim delovima, odnosno isključivo testnom sistemu. Obaveze koje ostvaruju su regulisane ugovorom o poverljivosti.

Uredbom o načinu dodeljivanja korisničkih dozvola, metodologiji unosa i ažuriranja podataka i načinu pristupa i korišćenja podataka iz jedinstvene baze Centralnog registra obaveznog socijalnog osiguranjadefinisana je komunikacija između Centralnog registra i organa i organizacija, koji su uključeni u razmenu podataka sa Centralnim registrom, maksimalno je zaštićena mogućim mehanizmima za elektronsku razmenu podataka dostupnim u entitetima koji razmenjuju podatke i vrši se putem Veb, odnosno FTP servisa, koji su svrstani u tri grupe, zavisno od namene:

1) servisi za prijem podataka o registraciji osiguranika i osiguranih lica;

2) servisi za ažuriranje podataka u Jedinstvenoj bazi, na osnovu podataka dobijenih iz postojećih registara i baza podataka i službenih evidencija o ličnom stanju građana koji se vode u Republici Srbiji;

3) servisi kojima se pristupa, vrši prenos i koriste podaci iz Jedinstvene baze Centralnog registra.

Takođe, servisi  kojima se vrši prijem podataka o registraciji osiguranika, odnosno osiguranih lica, slanje poruke o grešci, slanje digitalno potpisanog dokumenta jedinstvene prijave i slanje potvrde o uspešnoj registraciji su: veb servis S01REG, kojim se prihvataju podaci o registraciji osiguranika i osiguranih lica u Informacioni sistem Centralnog registra;  veb servis S02POT, kojim se šalju podaci iz jedinstvene prijave nakon uspešne registracije.

Servisi za ažuriranje podataka u Jedinstvenoj bazi Centralnog registra na osnovu podataka dobijenih iz postojećih registara, služe za ažuriranje podataka o obveznicima doprinosa – poslodavcima i osiguranicima, kao i o osiguranim licima. Podaci o obveznicima plaćanja doprinosa se ažuriraju više puta u toku dana od strane nadležnih registara APR i Poreske uprave, servisima posebno razvijenim za ove namene, i to:

1) Veb servisom S13APR se vrši prijem podataka o obveznicima plaćanja doprinosa iz baze APR preuzimanjem informacije o svim novim obveznicima registrovanim u APR, kao i sve promene podataka nad postojećim, čime se omogućava ažuriranje evidencije obveznika plaćanja doprinosa u Jedinstvenoj bazi Centralnog registra iz baze APR-a;

2) Veb servisom S13APR PPush APR će dostavljati Centralnom registru jednom dnevno odmah po dobijanju PIB-a iz Poreske uprave podatke o novoosnovanim preduzetnicima;

3) FTP servisom S14PU se vrši prijem podataka o obveznicima plaćanja doprinosa iz baze Poreske uprave, a njime se od Poreske uprave preuzimaju informacije o svim novim obveznicima registrovanim u Poreskoj upravi, koji nisu registrovani u APR-u, kao i sve promene podataka nad ovim skupom podataka;

4) Veb servisom S15FL se vrši provera podataka od Ministarstva unutrašnjih poslova preko jedinstvenog matičnog broja građana (u daljem tekstu: JMBG) ili evidencionog broja, a Ministarstvo unutrašnjih poslova za poslati JMBG odnosno evidencioni broj može dati informaciju da isti ne postoji, da je zamenjen drugim i dostaviti zamenjen JMBG, odnosno evidencioni broj;

5) FTP servisom S16PTT se vrši redovno ažuriranje baze adresa Centralnog registra. Baza adresa Centralnog registra se redovno usklađuje sa šifarnikom adresa iz baze PTT-a, a on će obuhvatiti podatke o ulici, naselju, opštini, okrugu, PAK-u, poštanskom broju i vezama između njih;

6) Veb servisom S18PEN se dobijaju podaci o vrsti priznatog prava iz penzijskog i invalidskog osiguranja, koja osiguranik uživa, na osnovu rešenja RFPIO. U procesu registracije ovim servisom se u bazi RFPIO proverava da li osiguranik, za koga se podnosi jedinstvena prijava, ostvaruje neko pravo iz penzijskog i invalidskog osiguranja osiguranika;

7) Veb servisom S22LBO vrši se ažuriranje ličnog broja osiguranika (u daljem tekstu: LBO) koji je osiguraniku dodeljen od strane RFZO. RFZO šalje informacije o promenama nastalim na već postojećim vezama JMBG – LBO kao i novoformiranim vezama JMBG – LBO;

8) FTP servisom S23UL se preuzimaju podaci o upisanoj činjenici smrti, kao i svakoj naknadnoj zabelešci ili ispravci greške od Ministarstva pravde i državne uprave, a podatak koji se preuzima je JMBG umrlog – dan, mesec, godina i čas smrti.

Zaključak

Podaci u sistemu Centralnog registra su koncentrisani u jednoj server sali. Pristup trećih lica, odnosno unos podataka vrši se kroz VPN UZZPRO-a. Da bi se pristup ostvario, neophodno je korišćenje elektronskog sertifikata. Politike logovanja su detaljne čime se smanjuje rizik od zloupotrebe, odnosno olakšava se monitoring aktivnosti u okviru sistema.

Potencijalnom bezbednosnom pretnjom može se smatrati neenkriptovanost baze podataka.

 

MEDIJSKA POKRIVENOST

Uvodna napomena

Pregled novinskih izveštaja o pojedinačnim institucijama obuhvaćenih analizom, odnosi se na period od početka 2000-tih do 2015. godine, na osnovu pretraživih digitalnih arhiva celovitog teksta članaka štampanih dnevnih i nedeljnih izdanja, posebno iz perspektive zaštite ličnih podataka.

Domaća regulativa ove oblasti relativno je nova – zakon iz 1998. nudio je nedovoljna i prevaziđena rešenja, da bi nestankom saveznih instanci praktično postao nesprovodiv. Novijeg datuma je i pažnja globalne javnosti za aspekte privatnosti u digitalnom okruženju. Stoga je očekivano da interes štampe za zaštitu podataka o ličnosti u organima državne uprave, tokom proteklih petnaestak godina, bude oskudan i gotovo po pravilu vođen incidentima, odnosno događajima koji svedoče o kršenju prava građana što je, konačno, i suštinska uloga medija u savremenim demokratijama.

Sa druge strane, aktivno učešće institucija državne uprave u javnom dijalogu posvećenom zaštiti privatnosti i ličnih podataka koje prikupljaju i obrađuju, moglo bi se pokazati kao ključni doprinos daljem uređenju ove oblasti ali i sopstvenoj promociji kao značajnog aktera u zaštiti interesa građana.

CROSO – Istorijski pregled

U godini osnivanja, mediji uglavnom ukratko i kroz izjave nadležnih najavljuju usvajanje zakona i uspostavljanje sistema Centralnog registra koji će „omogućiti bolji uvid građana, ali i poreskih organa, u to da li poslodavci redovno uplaćuju doprinose“. Od Centralnog registra se očekuje efikasna kontrola naplate doprinosa, dok zakon predviđa postojanje zbirne poreske prijave o obračunatim i naplaćenim doprinosima, ali i pojedinačne podatke za svakog osiguranika po svim osnovama. U medijskim izveštajima se napominje da će Poreska uprava imati obavezu da pojedinačne podatke svakog osiguranika dostavlja Centralnom registru koji kontroliše podatke i njihovu usaglašenost s podacima iz Jedinstvene baze.

Medije posebno zanima broj socijalnog osiguranja, koji se najavljuje kao „nevidljivi broj“ koji neće moći da pročita niko osim ovlašćenih lica, jer neće biti zapisan nigde u dokumentima građana.

Registar počinje s radom tri godine nakon donošenja zakona, a u medijskim izveštajima težište se ponovo stavlja na obećanje lakog uvida građana u svoj bilans doprinosa, ali i lakši nadzor poslodavaca koji krše zakon.

Ukrštanje baza podataka različitih institucija u Centralnom registru posmatra se isključivo u kontekstu bolje kontrole obveznika i efikasnijeg popunjavanja budžeta. Tajnost podataka i zaštita privatnosti nisu teme od interesa.

Početkom 2015. godine, mediji su izvestili da Centralni registar još nije u potpunosti operativan, usled procesa usaglašavanja baza podataka sa Poreskom upravom.

Najavljeno je da će inspektori inspekcije rada na terenu koristiti posebnu aplikaciju preko koje će moći da utvrde da li su zaposleni prijavljeni a njihovi doprinosi redovno plaćani. I ova vest se prati iz ugla funkcionalnosti, dok se pitanje zaštite podataka ni ne otvara.

 

DOKUMENTACIJA DOBIJENA OD POVERENIKA

Razni dopisi

Centralni registar je dopisom broj 021-02-2/2012-01 od 12.01.2012. godine Povereniku uputio zahtev za mišljenje povodom pitanja da li podnosiocu elektronske prijave mogu biti dostupni svi podaci jedinstvene prijave, odnosno koji je set podataka o osiguraniku/osiguranom licu koji mu može biti dostupan i da li se na taj način krše odredbe ZZPL-A, a takođe, kako će Centralni registar po uspostavljenoj bazi biti i elektronski servis za građane, mogu li razmotriti mogućnost da se za identifikaciju korisnika za pristup sistemu koristi JMBG ili LBO uz određene kontrole. Poverenik je dopisom broj 011-00-00059/2012-05 od 02.02.2012. godineistakao da je potrebno da se poslodavcima omogući pristum svim podacima o ličnosti, a povodom pitanja korišćenja elektronskog servisa za građane, istaknuto je da je potrebno onemogućiti pristup tuđim podacima i to već prilikom prijavljivanja konektovanja u Centralni registar te da je nužno da se sprovedu i druge, oštrije kontrole, pored korišćenja JMBG i/ili LBO.

Centralni registar je dopisom broj 011-00-2/2012-01 od 30.05.2012. godine Povereniku izneo zatev Poreske uprave da joj se omogući upit u Jedinstvenu bazu, a koji se odnosi na fizčko lice, odnosno osiguranika. Postavljeno je pitanje da li je Centralnom registru obaveznog socijalnog osiguranja dozvoljeno da ovlašćenim licima Poreske uprave omoguće korišćenje podataka o ličnosti zaposleni u svrhu izvršenja zakonske obaveze Poreske Uprave da proveri da li poslodavci tih lica redovno izmiruju obavezu uplate doprinosa za socijalno osiguranje i poreza iz zarade zaposlenih, obzirom na zakonsku obavezu da se kontrola vrši preko od Poreske Uprave određenog poreskog identifikacionog broja poslodavca, a ne preko podataka o ličnosti zaposleni, kao i da li bi uvidom u tražene podatke došlo do povrede Ustavom zagarantovanog ljudskog prava na zaštitu podataka o ličnosti. Poverenik je dopisom broj 011-00-00427/2012-05 od 20.06.2012. godineistakao davanje navedenih podataka na korišćenje ovlašćenim licima Poreske Uprave ne predstavlja povredu prava na zaštitu podataka o ličnosti.

Centralni registar se dopisom broj 030-03-4/2013-01 od 24.01.2013. godine obratio Povereniku sa zahtevom za mišljenje o tome da li postoje pravne smetnje i povreda prava na zaštitu podataka o ličnosti ukoliko se izvrši elektronsko povezivanje Centralnog registra sa registrom Ministarstva pravde i državne uprave u pogledu korišćenja podataka iz matične knjige umrlih, odnosno činjenice smrti, a kako bi se obezbedila tačnost jedinstvene baze Centralnog registra. Poverenik je dopisom broj 011-00-00063/2013-05 od 11.02.2013. godine izneo stav da u obavljanju svojih poslova Centralni registar može potrebne podatke od značaja za osiguranike i osigurana lica, pa samim tim i podatke o činjenici smrti iz matični knjiga umrlih, da prikupljla iz registara i baza podataka koje vode drugi organi, što bi u konkretnom slučaju bio drugi primerak matičnih knjiga umrlih. Međutim, moraju se imati u vidu i druga načela iz člana 8. ZZPL- načelo svrsishodnosti i načelo srazmernosti obrade. U slučaju povezivanja Centralnog registra sa drugim registrima i bazama podataka, to znači da se iz njih mogu preuzimati samo oni podaci o obveznicama doprinosa i osiguranim licima koji su neopodni za opavljanje poslova Centralnog registra. U protivnom postojala bi prekomerna obrada podataka o ličnosti, a to je nedozvoljena obrada prema članu 8. ZZPL-a.

Centralni registar se dopisom broj 011-00-1/2015-01 od 26.01.2015. godine obratio Povereniku sa zahtevom za mišljenje u vezi sa dozvoljenošću dostavljanja podataka iz Jedinstvene baze podataka iz oblasti socijalnog osiguranja organima i organizacijama, a konkretno Ministarstvu pravde Republike Srbije i Komunalnoj policiji Grada Beograda. Poverenik je dopisom broj 011-00-00100/2015-02 od 10.02.2015. godine izneo stav da jedino ako postoji zakonska odredba, sadržana u Zakonu o Centralnom registru obaveznog socijalnog osiguranja ili drugom zakonu, koja mu to izričito nalaže ili omogućava ili pak ako samo fizičko lice na koje se podaci odnose za to da svoj pristanak, Centralni registar bi mogao da omogući Ministarstvu pravde, odnosno Gradu Beogradu opisano korišćenje podataka.