Da li vaša organizacija od klijenata, korisnika ili zaposlenih traži kopije ličnih karata, potvrde o zaposlenju, dokaze o vlasništvu ili drugu dokumentaciju zato što je to predviđeno internim pravilnikom ili zato što se takva praksa primenjuje godinama?
Nedavni slučaj iz Bosne i Hercegovine pokazuje da interna procedura i ustaljena praksa same po sebi nisu dovoljan pravni osnov za obradu ličnih podataka.
Prema informacijama objavljenim u medijima, Agencija za zaštitu ličnih podataka Bosne i Hercegovine izdala je četiri prekršajna naloga preduzeću „Vodovod“ iz Doboja i njegovom direktoru, u ukupnom iznosu od 21.000 KM.
Preduzeću su izrečene dve kazne od po 10.000 KM, dok su direktoru izrečene dve kazne od po 500 KM.
Prekršajni nalozi još nisu izvršeni, jer je preduzeće zatražilo sudsko odlučivanje. Ipak, ovaj postupak predstavlja veoma važan signal svim kompanijama, javnim preduzećima i institucijama koje obrađuju lične podatke građana.
U konkretnom slučaju, od građana je prilikom podnošenja zahteva za priključak traženo da dostave:
• kopiju lične karte
• dokaz o vlasništvu nad objektom
• potvrdu o zaposlenju
Agencija je zauzela stav da Zakon o komunalnim delatnostima ne daje pružaocu komunalne usluge pravo da od korisnika zahteva navedenu dokumentaciju.
Posebno je ukazano na razliku između identifikacije korisnika i prikupljanja kopije njegovog identifikacionog dokumenta.
Nije sporno da pružalac usluge prilikom zaključenja ugovora treba da utvrdi identitet korisnika. Međutim, identitet se može proveriti uvidom u ličnu kartu i upoređivanjem podataka sa podacima navedenim u zahtevu.
Sama potreba za identifikacijom ne znači automatski da organizacija ima pravo da kopira ličnu kartu, zadrži njenu kopiju i čuva sve podatke koji se na njoj nalaze.
Agencija je takođe ukazala da zaposlenje korisnika nije zakonski uslov za zaključenje ugovora o pružanju komunalne usluge, zbog čega ni potvrda o zaposlenju ne može biti zahtevana bez odgovarajućeg pravnog osnova.
„Vodovod“ je, prema navodima iz članka, svoju praksu obrazložio internim pravilnikom kojim su uređeni uslovi za zaključivanje ugovora o isporuci vode.
Preduzeće je navelo i da mu je potvrda o zaposlenju potrebna radi lakše naplate eventualnih potraživanja u izvršnom postupku.
Međutim, poslovni interes organizacije, praktičnost naplate ili odredba internog pravilnika ne predstavljaju sami po sebi dovoljan pravni osnov za prikupljanje ličnih podataka.
Posebno ozbiljan deo ovog slučaja jeste činjenica da se ne radi samo o prvobitno utvrđenoj nezakonitoj obradi podataka.
Prema objavljenim informacijama, prvi set prekršajnih naloga izdat je zbog nezakonite obrade ličnih podataka, dok je drugi izdat zato što preduzeće i odgovorno lice nisu postupili po rešenju Agencije i nisu obustavili spornu praksu.
To znači da rizik ne prestaje donošenjem rešenja nadležnog organa.
Ukoliko organizacija ne postupi po izrečenoj meri, ne otkloni nepravilnosti ili nastavi sa spornom obradom, može se izložiti dodatnim postupcima i novim sankcijama.
Ovaj slučaj pokazuje nekoliko važnih stvari:
• interni pravilnik nije dovoljan pravni osnov za obradu ličnih podataka
• nije dozvoljeno prikupljati podatke samo zato što bi organizaciji mogli biti korisni
• za svaku kategoriju podataka mora postojati jasna svrha i odgovarajući pravni osnov
• mogu se prikupljati samo podaci koji su neophodni za ostvarenje konkretne svrhe
• identifikacija lica ne podrazumeva automatski kopiranje identifikacionog dokumenta
• rukovodilac može snositi odgovornost zajedno sa pravnim licem
• nepostupanje po rešenju nadležnog organa može predstavljati dodatni prekršaj
Slični rizici mogu postojati i u vašoj organizaciji, naročito ukoliko:
• kopirate lične karte klijenata, korisnika ili zaposlenih
• koristite obrasce koji godinama nisu pravno proveravani
• prikupljate podatke „za svaki slučaj“
• tražite više podataka nego što je potrebno za zaključenje ugovora
• nemate jasno utvrđene pravne osnove za svaku obradu
• nemate definisane rokove čuvanja dokumentacije
• nemate evidencije radnji obrade
• niste uredili odnose sa knjigovodstvenim agencijama, IT kompanijama i drugim obrađivačima
• nemate procedure za postupanje po zahtevima lica čiji se podaci obrađuju
• zaposleni nisu obučeni da pravilno postupaju sa ličnim podacima
Važno je naglasiti da posedovanje pravilnika ili politike privatnosti ne znači automatski da je poslovanje usklađeno.
Dokumentacija mora da odgovara stvarnim procesima u organizaciji, a svakodnevna praksa zaposlenih mora biti u skladu sa pravilima zaštite ličnih podataka.
Kec grupa pruža stručnu podršku kompanijama, ustanovama i drugim organizacijama u proveri i usklađivanju poslovanja sa propisima o zaštiti ličnih podataka.
Podrška može obuhvatiti:
• mapiranje svih procesa u kojima se obrađuju lični podaci
• utvrđivanje kategorija podataka i lica na koja se podaci odnose
• proveru svrhe i pravnog osnova svake obrade
• analizu postojećih obrazaca, ugovora i internih procedura
• izradu evidencija radnji obrade
• izradu pravilnika, politika privatnosti i obaveštenja
• proveru zakonitosti kopiranja identifikacionih dokumenata
• definisanje rokova čuvanja i procedura brisanja podataka
• uređenje odnosa sa obrađivačima podataka
• izradu procedura za ostvarivanje prava fizičkih lica
• proveru usklađenosti video-nadzora i evidencija zaposlenih
• obuku zaposlenih i rukovodilaca
• stručnu podršku u slučaju pritužbe, nadzora ili zahteva nadležnog organa
Cilj usklađivanja nije samo da organizacija poseduje određene dokumente.
Organizacija mora biti u stanju da dokaže koje podatke prikuplja, zašto ih prikuplja, na kom pravnom osnovu ih obrađuje, koliko dugo ih čuva, kome ih dostavlja i koje mere zaštite primenjuje.
Nemojte čekati da nepravilnost prvi otkriju korisnik, zaposleni, udruženje za zaštitu potrošača ili nadležni organ.
Preventivna analiza poslovanja može na vreme otkriti rizične procedure i sprečiti novčane kazne, obustavljanje poslovnih procesa, odgovornost rukovodilaca i narušavanje ugleda organizacije.
Kontaktirajte Kec grupu kako bismo izvršili procenu postojećeg stanja, identifikovali ključne rizike i pripremili konkretan plan usklađivanja prilagođen vašem poslovanju.
Procenite usklađenost sa Zakonom o zaštiti podataka o ličnosti.