Koliko puta ste dali kopiju lične karte ili JMBG samo zato što vam je rečeno da je to „procedura“?
Novi Zakon o zaštiti ličnih podataka BiH takvu praksu može skupo koštati, a slučaj „Vodovoda“ Doboj već je pokazao da kazne nisu samo upozorenje na papiru.
„Vodovod“ Doboj kažnjen zbog podataka građana
Agencija za zaštitu ličnih podataka BiH kaznila je „Vodovod“ Doboj sa ukupno 20.000 KM, dok je njegov direktor kažnjen sa dodatnih 1.000 KM zbog nezakonitog prikupljanja ličnih podataka građana.
Problem je nastao prilikom podnošenja zahtjeva za priključak na vodovodnu mrežu, kada su od građana traženi kopija lične karte, dokaz o vlasništvu objekta i potvrda o zaposlenju.
Agencija je utvrdila da za takvu obradu podataka nije postojao odgovarajući zakonski osnov.
Kazne za sada nisu plaćene jer je „Vodovod“ zatražio sudsko odlučivanje.
Slučaj iz Doboja, međutim, otvara mnogo šire pitanje: koliko institucija, javnih preduzeća i privatnih kompanija od građana svakodnevno traži više podataka nego što im je zaista potrebno?
Nije svaka obrada podataka stvar saglasnosti
Pravnik i stručnjak za bezbjednost Danilo Bojanić upozorava da se problemi ne svode samo na kopiranje ličnih karata.
– Jedna od najčešćih jeste traženje saglasnosti građana i onda kada za njom uopšte nema potrebe – naveo je Bojanić za Srpskainfo.
Kako objašnjava, saglasnost je samo jedan od mogućih pravnih osnova za obradu ličnih podataka.
Podaci se, u zavisnosti od konkretne situacije, mogu obrađivati i zbog izvršenja ugovorne obaveze, ispunjavanja zakonskih obaveza, legitimnog interesa ili zaštite ključnih interesa.
To je posebno važno u zdravstvenom sektoru, gdje se, prema njegovim riječima, u pojedinim ustanovama od pacijenata odmah traži potpisivanje saglasnosti za obradu podataka, iako za određene obrade već postoji drugi zakonski osnov.
Drugim riječima, nije svaka obrada podataka nešto za šta građanin mora posebno da da saglasnost.
Kamera ne smije snimati baš sve
Drugi čest problem je nepravilan video-nadzor.
Bojanić upozorava da se u praksi dešava da kamere zahvate javnu ili tuđu površinu, što može predstavljati problem sa stanovišta propisa o zaštiti ličnih podataka.
Problem može biti i obavijest o video-nadzoru.
Nije dovoljno samo postaviti naljepnicu sa natpisom „Objekat je pod video nadzorom“. Obavijest mora sadržavati i informacije o kontroloru, odnosno subjektu koji vrši video-nadzor, piše Srpskainfo.
Ko čuva podatke dok ih svi prikupljaju?
Još jedna greška odnosi se na neimenovanje službenika za zaštitu ličnih podataka.
Agencija njegovo imenovanje preporučuje svim subjektima, dok je za određene kategorije kontrolora to i zakonska obaveza.
Među njima su, između ostalih, subjekti koji vrše obimniju obradu posebnih kategorija ličnih podataka, poput zdravstvenih ustanova.
Službenik može biti zaposlen u samoj organizaciji, ali može biti angažovan i eksterno. Ključno je da posjeduje odgovarajuće znanje prava i prakse u oblasti zaštite ličnih podataka.
„Dajte sve što imate“ više nije pravilo
Jedan od osnovnih principa zaštite ličnih podataka jeste svođenje obrade na ono što je neophodno za konkretnu svrhu.
Ako neki podatak nije potreban, onda ga, pojednostavljeno rečeno, ne bi trebalo ni prikupljati.
Koliko ozbiljne mogu biti posljedice suvišne obrade podataka pokazuje i slučaj kompanije H&M, koja je u Evropi kažnjena sa 35 miliona evra zbog nezakonite obrade podataka o zaposlenima.
Kazna može stići i bez curenja podataka
Posebno je važno što za sankciju ne mora prethoditi konkretna šteta građaninu niti incident u kojem su podaci procurili, piše Srpskainfo.
Bojanić ukazuje da je kod novog zakona veoma važan princip prevencije.
Subjekti moraju biti sposobni da pokažu da su svoje poslovanje uskladili sa zakonskim obavezama.
To znači da nije dovoljno reći: „Nikome se ništa nije desilo.“
Potrebno je imati procedure, interne akte, evidencije i drugu dokumentaciju kojom se može dokazati usklađenost sa zakonom.
Kazne mogu doseći 40 miliona KM
Kazne predviđene propisima o zaštiti ličnih podataka na teritoriji BiH mogu biti izuzetno visoke.
Za određene prekršaje pravna lica mogu biti kažnjena od 10.000 do 20 miliona KM ili do dva odsto godišnjeg prometa, dok za druge prekršaje kazne mogu iznositi od 20.000 do 40 miliona KM ili četiri odsto godišnjeg prometa, zavisno od toga koji je iznos veći.
Odgovorna lica, poput direktora, mogu biti kažnjena iznosom od 5.000 do 70.000 KM, dok se za zaposlenog koji napravi konkretan prekršaj predviđaju kazne od 500 do 5.000 KM.
Evropska praksa pokazuje da zaštita podataka odavno nije samo administrativna obaveza.
Najveća pojedinačna kazna izrečena u okviru GDPR režima iznosi 1,2 milijarde evra, a izrečena je kompaniji Meta zbog pitanja povezanih sa prenosom podataka u inostranstvo.
„Vodovod“ Doboj nije samo priča o 21.000 KM
Zato slučaj „Vodovoda“ Doboj nije samo priča o ukupno 21.000 KM kazni.
On je upozorenje svim institucijama, javnim preduzećima i kompanijama koje od građana traže lične podatke da više nije dovoljno objasniti takav zahtjev riječima „takva je procedura“.
Za svaki uzeti podatak mora postojati razlog, pravni osnov i odgovornost onoga ko ga prikuplja.
Besplatnu Android aplikaciju portala SrpskaCafe preuzmite ovdje.