Koji nivo pristupa podacima o ličnosti treba dozvoliti različitim interesnim grupama?

Neophodno je osigurati da pristup prikupljenim podacima o ličnosti bude omogućen samo onima koji imaju pravni osnov za njihovu obradu, uz odgovarajuću evidenciju svakog pristupa i eventualnog ažuriranja. Zbog toga je u svakom organu vlasti koja prikuplja i obrađuje podatke o ličnosti neophodno implementirati sistem korisničkih rola, kojim će biti definisani odgovarajući nivoi prava pristupa prikupljenim podacima o ličnosti. Sistem rola mora precizno da definiše najpre kojim podacima korisnik kome je dodeljena određena rola uopšte može da pristupi, a zatim i na koji sve način može da ih obrađuje.

Zaposleni u organu vlasti

• Neophodno je usaglasiti korisničke role koje su namenjene zaposlenima sa njihovim ulogama u poslovnim procesima, odnosno sa opisima njihovih poslova;
• potrebno je zaposlenima omogućiti pristup isključivo onim podacima o ličnosti koji su im potrebni za realizaciju aktivnosti koje obavljaju;
• ažuriranje podataka o ličnosti, odnosno izmenu i brisanje podataka, treba omogućiti samo onim zaposlenima kojima to spada u opis posla;
• sistemom rola mora biti definisano koji korisnici mogu unositi nove podatke o ličnosti u elektronsku zbirku podataka, u skladu sa ulogama u poslovnim procesima;
• izvoz i štampanje podataka o ličnosti takođe moraju biti kontrolisani i omogućeni samo onim zaposlenima čiji opis posla to zahteva;

 

Dakle, korisničke role namenjene zaposlenima treba da imaju dve dimenzije:

 

1. prva se odnosi na radno mesto i usaglašavanje prava pristupa i obrade podataka o ličnosti sa opisom posla radnog mesta i sistemom menadžmenta kvalitetom, ukoliko je implementiran u organu vlasti;
2. druga se odnosi na konkretnog zaposlenog, kako bi se omogućio dodatni nivo zaštite i eventualno onemogućili zaposleni da pristupe podacima o ličnosti koji se ne odnose na predmete koji su im dodeljeni, ukoliko postoji potreba za tim.

 

PRIMER: U Republičkom fondu za zdravstveno osiguranje je razvijen sistem korisničkih uloga sa različtim pravima pristupa. Pristup je određen kombinacijom korisničkog imena i šifre, koja je vezana za svakog zaposlenog. Svaki pristup bazi (akcija) se beleži (ko je pristupio, kada, šta je radio…).

S obzirom da je baza podataka “Matična evidencija o osiguranim licima i korišćenju prava iz obaveznog zdravstvenog osiguranja” (MEOP) distribuirana po filijalama, pristup je ograničen na podatke samo iz jedne filijale, u smislu da zaposleni u jednoj filijali ne mogu da pristupe podacima iz druge filijale. U svakoj od filijala postoji jedno ili više lica koje su zaduženo za izdavanje korisničkih imena i šifara za pristup MEOP sistemu, samo zaposlenima u toj filijali i za pristup podacima konkretne filijale. Takođe, administrator može da vidi samo korisničko ime zaposlenog. Kada kreira lozinku za zaposlenog, od zaposlenog se traži da je odmah promeni, nakon čega administrator više ne može da vidi novu lozinku.

Pristup podacima iz matične evidencije je omogućen svim zaposlenima čije radne aktivnosti to zahtevaju. Obim prava pristupa zavisi od vrste posla kojim se bave zaposleni. Među korisnicima koji imaju pristup Matičnoj evidenciji, javljaju se zaposleni na 4 radna mesta u okviru Direkcije. Istovremeno, pristup matičnoj evidenciji je omogućen i zaposlenima na 13 radnih mesta u filijalama i ispostavama. Zaposleni imaju različita prava pristupa.

U Republičkom fondu za zdravstveno osiguranje postoji Matrica privilegija sa 26 različitih nivoa pristupa – korisničkih uloga. U Matrici privilegija su navedeni svi korisnici sa jasno definisanim privilegijama, kao i svi sistemi/aplikacije. Matrica privilegija prisutna u RFZO svakako predstavlja primer dobre prakse, s tim što je preporuka da ona sadrži nazive radnih mesta umesto imena korisnika, kako bi se standardizovao pristup bazi širom organizacije.

U skladu sa navedenim, razvijena je jasna procedura za uvođenje novih korisnika u sistem, po zahtevima standarda ISO 27001. U sistemu u kojem su definisane korisničke role, ključan je proces dodeljivanja korisničkih uloga, odnosno kreiranja novih korisnika. Ključne aktivnosti u procesu uvođenja novog korisnika su prikazane na sledećoj slici:

 

SAVET

Ukoliko organ vlasti ima implementiran standard SRPS:ISO 9001:2015, i u okviru njega razvijene procedure i radna uputstva za obavljanje osnovne delatnosti, odnosno osnovnih procesa, to može predstavljati osnovu za optimizaciju sistema korisničkih rola u informacionom sistemu i podizanje nivoa zaštite podataka o ličnosti. Naime, izuzetno je bitno uskladiti korisničke role u informacionom sistemu sa pozicijama radnih mesta u radnim procesima, što bi trebalo da bude adekvatno predstavljeno upravo u procedurama.

Drugi organi vlasti koji koriste prikupljene podatke o ličnosti za obavljanje osnovne delatnosti i ostala pravna lica

• Ukoliko neko pravno lice ima pravni osnov za pristup podacima o ličnosti koje prikuplja i obrađuje neki od organa vlasti, taj organ vlasti treba da omogući pristup samo onim podacima o ličnosti na koje se odnosi taj pravni osnov, kroz odgovarajuću korisničku rolu;
• ovako definisana korisnička rola ne sme posedovati mogućnost izmene ili brisanja podataka o ličnosti, već isključivo pregleda i preuzimanja takvih podataka u propisanom formatu;
• u slučaju da postoji potreba, rukovaoci mogu pravnim licima koja imaju pravni osnov za pristup podacima koje oni obrađuju obezbediti više korisničkih naloga, ali svi oni moraju biti sa odgovarajućom korisničkom rolom, usklađenom sa pravnim osnovom po kom se vrši pristup podacima o ličnosti.

PRIMER: Elektronska baza podataka “Evidencija podataka osiguranika, osiguranih lica i evidencija obveznika doprinosa”, koja je u nadležnosti Centralnog registra obaveznog socijalnog osiguranja (CROSO), svakodnevno se sinhronizuje sa bazama podataka koje su u nadležnosti drugih organa vlasti, RFZO, PIO fonda, Nacionalne službe za zapošljavanje, APR i Poreske uprave. Ažuriranje se obavlja automatski, putem sigurnih kanala telekomunikacije, uz sve neophodne mere zaštite. Na ovaj način navedeni organi vlasti vrše razmenu podataka koje prikupljaju, uključujući i podatke o ličnosti.

Takođe,  druga pravna lica mogu preko elektronskog sertifikata pristupiti elektronskoj bazi podataka “Evidencija podataka osiguranika, osiguranih lica i evidencija obveznika doprinosa”, koja je u nadležnosti CROSO, i sprovoditi različite akcije u sistemu, poput prijave i odjave zaposlenih. Obveznik doprinosa, odnosno njegov zakonski zastupnik ili ovlašćeno lice, može uneti nove i izmeniti postojeće podatke koji se odnose na korisnički nalog, pregledati podatke za svoje zaposlene, samo za period osiguranja kod njega, i na portalu CROSO vršiti predaju prijave, odjave, odnosno promene na obavezno socijalno osiguranje.

Fizička lica

• Organ vlasti koja prikuplja i obrađuje podatke o ličnosti i koji ih čuva u elektronskoj bazi, treba da kroz odgovarajuću korisničku rolu omogući fizičkom licu pregled svih podataka o njemu koji su prikupljeni;
• korisnička rola za fizička lica bi trebalo da poseduje i mogućnost pregleda svih pristupa podacima koji su o njemu prikupljeni, kako bi fizičko lice imalo uvid u to ko je sve, kada, po kom osnovu i u koje svrhe pristupao njegovim podacima;
• korisnička rola za fizička lica treba da sadrži i mogućnost iniciranja izmene podataka o ličnosti koji se odnose na njega i prilaganja potrebne dokumentacije, koja se izvršava automatski ukoliko nije potrebna verifikacija izmena, ili nakon verifikacije od strane ovlašćenog lica iz organa vlasti, u zavisnosti od procedure.

 

PRIMER: Fizička lica mogu pristupiti bazi podataka “Evidencija podataka osiguranika, osiguranih lica i evidencija obveznika doprinosa”, koja je u nadležnosti CROSO, i videti isključivo svoje podatke, ali prethodno moraju da zatraže pravo pristupa bazi i da dobiju odgovarajući mehanizam pristupa od CROSO. Fizička lica trenutno mogu pristupiti ovoj bazi podataka na tri načina:

– preko kvalifikovanog elektronskog sertifikata,

– pomoću lične karte,

– unošenjem korisničkog imena i lozinke.

Javnost

• Ukoliko je zakonom predviđeno da je prilikom pristupa podacima o ličnosti koji su od javnog značaja, neophodno izvršiti identifikaciju pristupnika, organi vlasti koji prikupljaju takve podatke i čuvaju ih u elektronskoj bazi treba da kroz odgovarajuću korisničku rolu omoguće svim fizičkim licima pristup takvim podacima;
• ovako definisana korisnička rola ne sme posedovati mogućnost ažuriranja podataka, već isključivo pregleda, dok mogućnost preuzimanja ili štampanja treba da bude usaglašena sa zakonom;
• ako za podatke o ličnosti koji su od javnog značaja zakonom nije predviđena identifikacija pristupnika, organi vlasti koji ih prikupljaju i obrađuju treba da omoguće javno dostupnu pretragu i pregled takvih podataka bez autentifikacije korisnika.

PRIMER: Na zvaničnom sajtu APR se može vršiti pregled i pretraga kompletnog Registra privrednih subjekata, bez ograničenja, što podrazumeva i pregled prikupljenih podataka o ličnosti. Naravno, kompletan sistem je projektovan u skladu sa zakonskom regulativom, kojom je definisano da su podaci iz Registra privrednih subjekata javno dostupni.