Koliko puta ste ostavili podatke o sebi samo zato što je neko na šalteru rekao „takva je procedura“ ?
Nakon što je Bosna i Hercegovina usvojila novi Zakon o zaštiti ličnih podataka upravo ta „procedura“ mogla bi skupo koštati firme i institucije. Nekog već jeste i to „Vodovod“ Doboj, koji je zbog nezakonitog prikupljanja ličnih podataka građana kažnjen sa ukupno 20.000 KM, dok je njegov direktor kažnjen sa još 1.000 KM.
Naime, Agencija za zaštitu ličnih podataka BiH utvrdila je u pomenutom slučaju da su od građana prilikom podnošenja zahtjeva za priključak na vodovodnu mrežu traženi podaci i dokumenti za koje, prema ocjeni Agencije, uopšte nije postojao zakonski osnov, između ostalog, kopija lične karte, dokaz o vlasništvu objekta i potvrda o zaposlenju.
Kazne za sada nisu plaćene, jer je „Vodovod“ zatražio sudsko odlučivanje.
Slučaj iz Doboja pokazao je koliko institucija, javnih preduzeća, zdravstvenih ustanova, poslodavaca i privatnih kompanija u BiH svakodnevno prikuplja više podataka građana nego što im je zaista potrebno?
Pravnik i stručnjak za bezbjednost Danilo Bojanić upozorava da se greške ne svode samo na kopiranje ličnih karata.
– Problemi sežu od nepotrebnog traženja saglasnosti građana, preko nezakonitog video nadzora, do neimenovanja službenika za zaštitu podataka i nemogućnosti da kompanija dokaže da posluje u skladu sa zakonom- izjavio je Bojanić za Srpskainfo.
Nakon što je usvojen novi Zakon o zaštiti ličnih podataka kazne više nisu simbolične.
Za pojedine prekršaje pravnim licima prijete kazne koje mogu ići od 10.000 KM do 20 miliona KM ili do dva odsto godišnjeg prometa, dok za druge prekršaje gornja granica može doseći 40 miliona KM ili četiri odsto godišnjeg prometa, u zavisnosti od toga koji je iznos veći.
Ko i zašto prikuplja lične podatke građana ?
Agencija za zaštitu ličnih podataka BiH kaznila je preduzeće „Vodovod“ iz Doboja sa ukupno 20.000 KM, dok je njegov direktor kažnjen sa još 1.000 KM, zbog nezakonitog prikupljanja ličnih podataka prilikom sklapanja ugovora o isporuci i odvodnji vode.
Riječ je o četiri prekršajna naloga, ali nijedan od njih za sada nije plaćen, jer je u „Vodovodu“ zatraženo sudsko odlučivanje.
Problem je nastao zbog dokumentacije koju je preduzeće tražilo od građana prilikom podnošenja zahtjeva za priključak. Među traženim dokumentima bili su kopija lične karte, dokaz o vlasništvu objekta i potvrda o zaposlenju, a Agencija je ocijenila da za takvu obradu nije postojao odgovarajući zakonski osnov.
Slučaj je, međutim, mnogo ozbiljniji od kazne javnom preduzeću.
Pravnik i stručnjak za bezbjednost Danilo Bojanić upozorava da se u praksi ponavlja nekoliko ozbiljnih grešaka kada je riječ o zaštiti ličnih podataka.
-Jedna od najčešćih jeste traženje saglasnosti građana i onda kada za njom uopšte nema potrebe-naveo je Bojanić.
Kako objašnjava Bojanić, saglasnost je samo jedan od mogućih pravnih osnova za obradu ličnih podataka. Podaci se, u zavisnosti od konkretne situacije, mogu obrađivati i zbog izvršenja ugovorne obaveze, ispunjavanja zakonskih obaveza, legitimnog interesa ili zaštite ključnih interesa.
To je posebno važno u zdravstvenom sektoru, gdje se, prema njegovim riječima, u pojedinim ustanovama od pacijenata odmah traži potpisivanje saglasnosti za obradu podataka, iako za određene obrade već postoji drugi zakonski osnov.
Drugim riječima, nije svaka obrada podataka nešto za šta građanin mora posebno da „da saglasnost“.
Kamera ne smije gledati baš sve
Drugi vrlo čest problem je nepravilan video nadzor.
Bojanić upozorava da se u praksi dešava da kamere zahvate javnu ili tuđu površinu, što može predstavljati problem sa stanovišta propisa o zaštiti ličnih podataka.
Problem može biti i obavijest o video nadzoru.
Nije dovoljno samo postaviti naljepnicu sa natpisom „Objekat je pod video nadzorom“. Obavijest mora sadržavati i informacije o kontroloru, odnosno subjektu koji vrši video-nadzor.
Ko čuva lične podatke građana, dok ih svi ostali prikupljaju?
Još jedna greška odnosi se na neimenovanje službenika za zaštitu ličnih podataka.
Agencija njegovo imenovanje preporučuje svim subjektima, dok je za određene kategorije kontrolora to i zakonska obaveza. Među njima su, između ostalih, subjekti koji vrše obimniju obradu posebnih kategorija ličnih podataka, poput zdravstvenih ustanova.
Službenik može biti zaposlen u samoj organizaciji, ali može biti angažovan i eksterno. Ključno je da posjeduje odgovarajuće znanje prava i prakse u oblasti zaštite ličnih podataka.
„Dajte sve što imate“ više nije pravilo
Poseban problem predstavlja prikupljanje nepotrebnih podataka.
Jedan od osnovnih principa zaštite ličnih podataka jeste svođenje obrade na ono što je neophodno za konkretnu svrhu.
Ako neki podatak nije potreban, onda ga, pojednostavljeno rečeno, ne bi trebalo ni prikupljati.
Koliko ozbiljna može biti posljedica suvišne obrade podataka pokazuje i slučaj kompanije H&M, koja je u Evropi kažnjena sa 35 miliona evra zbog nezakonite obrade podataka o zaposlenima.
Kazna može stići i bez “provaljenih” podataka
Posebno važna stvar jeste da za sankciju ne mora nužno prethoditi konkretna šteta građaninu ili incident u kojem su podaci procurili.
Bojanić ukazuje da je kod novog zakona veoma važan princip prevencije. Subjekti moraju biti sposobni da pokažu da su svoje poslovanje uskladili sa zakonskim obavezama.
To znači da nije dovoljno reći: „Nikome se ništa nije desilo.“
Potrebno je imati procedure, interne akte, evidencije i ostalu dokumentaciju kojom se može dokazati usklađenost sa zakonom.
Slično kao kod zaštite na radu, pitanje nije samo šta se dogodilo nakon incidenta, već i šta je poslodavac ili odgovorno lice uradilo da se incident ne dogodi.
Milioni maraka kao upozorenje
Kazne predviđene propisima o zaštiti ličnih podataka na terotiriji BiH mogu biti izuzetno visoke.
Za određene prekršaje pravna lica mogu biti kažnjena od 10.000 do 20.000.000 KM ili do dva odsto godišnjeg prometa, dok za druge prekršaje kazne mogu iznositi od 20.000 do 40.000.000 KM ili četiri odsto godišnjeg prometa, zavisno od toga koji je iznos veći.
Odgovorna lica, poput direktora, mogu biti kažnjena iznosom od 5.000 do 70.000 KM, dok se za zaposlenog koji napravi konkretan prekršaj predviđaju kazne od 500 do 5.000 KM.
Evropska praksa pokazuje da zaštita podataka odavno nije samo administrativna obaveza.
Najveća pojedinačna kazna izrečena u okviru GDPR režima iznosi 1,2 milijarde evra, a izrečena je kompaniji Meta zbog pitanja povezanih sa prenosom podataka u inostranstvo.
Zato slučaj „Vodovoda“ Doboj nije tek puka priča o 21.000 KM kazne.
Pomenuti slučaj je upozorenje svima koji od građana traže lične podatke i kako nije dovoljno reći da je nešto „praksa“ ili „procedura“.
Za svaki uzeti lični podatak građana sada mora postojati razlog, pravni osnov i odgovornost onoga ko ga prikuplja.
Saznajte sve o najvažnijim vijestima i događajima, pridružite se našoj Viber zajednici ili čitajte na Google News.