Број: 073-15-1741/2019-02 Датум: 12.11.2019. године
МИНИСТАРСТВО УНУТРАШЊИХ ПОСЛОВА
Секретаријат
БЕОГРАД
Бул. Михајла Пупина бр. 2
Поверенику за информације од јавног значаја и заштиту података о личности, дописом 02/4. бр. 072/2-28/19-30 од 23.9.2019. године, који је примљен у Служби Повереника 26.09.2019. године, доставили сте акт – Процена утицаја обраде на заштиту података о личности коришћењем система видео надзора, а ради давања мишљења Повереника у складу са чланом 55. Закона о заштити података о личности („Службени гласник РС“, број 87/19).
Тим поводом, обавештавамо вас о следећем:
I
Одредбама члана 54. став 1. Закона о заштити података о личности прописано је да ако је вероватно да ће нека врста обраде, посебно употребом нових технологија и узимајући у обзир природу, обим, околности и сврху обраде, проузроковати висок ризик за права и слободе физичких лица, руковалац је дужан да пре него што започне са обрадом изврши процену утицаја предвиђених радњи обраде на заштиту података о личности.
Сагласно одредбама ст. 2. и 3. истог члана, ако више сличних радњи обраде могу проузроковати сличне високе ризике за заштиту података о личности, може се извршити заједничка процена, а приликом процене утицаја руковалац је дужан да затражи мишљење лица за заштиту података о личности, ако је оно одређено.
Такође, одредбама става 4. истог члана прописано је да се процена утицаја из става 1. овог члана обавезно врши у случају:
1) систематске и свеобухватне процене стања и особина физичког лица која се врши помоћу аутоматизоване обраде података о личности, укључујући и профилисање, на основу које се доносе одлуке од значаја за правни положај појединца или на сличан начин значајно утичу на њега;
2) обраде посебних врста података о личности из члана 17. став 1. и члана 18. став 1. или података о личности у вези са кривичним пресудама и кажњивим делима из члана 19. овог закона, у великом обиму;
3) систематског надзора над јавно доступним површинама у великој мери.
Сагласно одредбама члана 54. став 6. Закона о заштити података о личности процена утицаја најмање мора да садржи:
1) свеобухватан опис предвиђених радњи обраде и сврху обраде, укључујући и опис легитимног интереса руковаоца, ако он постоји;
2) процену неопходности и сразмерности вршења радњи обраде у односу на сврхе обраде;
3) процену ризика за права и слободе лица на које се подаци односе из става 1. овог члана;
4) опис мера које се намеравају предузети у односу на постојање ризика, укључујући механизме заштите, као и техничке, организационе и кадровске мере у циљу заштите податка о личности и обезбеђивања доказа о поштовању одредби овог закона, узимајући у обзир права и легитимне интересе лица на које се подаци односе и других лица.
Одредбама члана 54. став 8. Закона о заштити података о личности прописано је да процена утицаја обраде коју врше надлежни органи у посебне сврхе најмање мора да садржи свеобухватан опис предвиђених радњи обраде, процену ризика по права и слободе лица на које се подаци односе, опис мера које се намеравају предузети у односу на постојање ризика, укључујући механизме заштите, као и техничке, организационе и кадровске мере у циљу заштите податка о личности и обезбеђивања доказа о поштовању одредби овог закона, узимајући у обзир права и легитимне интересе лица на које се подаци односе и других лица.
Сагласно одредби члана 55. став 1. Закона, ако процена утицаја на заштиту података о личности, која је извршена у складу са чланом 54. овог закона, указује да ће намераване радње обраде произвести висок ризик ако се не предузму мере за умањење ризика, руковалац је дужан да затражи мишење Повереника пре започињања радње обраде.
Одредбом члана 55. став 3. Закона прописано је да ако обраду врши надлежни орган у посебне сврхе, руковалац, односно обрађивач је дужан да затражи мишљење Повереника пре започињања радњи обраде које ће довести до стварања нове збирке података у случају да:
1) процена утицаја на заштиту података о личности, која је извршена у складу са чланом 54. овог закона, указује да ће намераване радње обраде произвести висок ризик ако се не предузму мере за умањење ризика;
2) врста обраде, а посебно ако се користе нове технологије, механизми заштите или поступци, представљају висок ризик за права и слободе лица на које се подаци односе.
*
Увидом у достављени акт – Процена утицаја обраде на заштиту података о личности коришћењем система видео надзора – Повереник је, у погледу структуре, констатовао да исти садржи, 7 одељака, и то: Увод, 1. Законска регулатива којом се уређује систем видео надзора од стране Министарства унутрашњих послова 1.1. Законом о евиденцијама и обради података у области унутрашњих послова 1.2. Закон о полицији; 2. Надзор Повереника за информације од јавног значаја и заштиту података о личности у вези са постављањем видео-камера од стране Министарства унутрашњих послова; 3. Уредба (ЕУ) 216/679 Европског парламента и Савета (GDPR) о заштити појединаца у вези са обрадом података о личности и о слободном протоку таквих података те о стављању ван снаге Директиве 95/46/ЕЗ (Општа уредба о заштити података) 3.1. Уредба о заштити података (GDPR) 3.2. Директива (EU) 2016/680 Европског парламента и Савета о заштити појединаца у вези са обрадом података о личности од стране надлежних органа у сврхе спречавања, истраге, откривања кривичних дела или извршавање кривичних санкција и о слободном преносу таквих података те о стављању ван снаге Оквирне одлуке Савета 2008/977/ПУП, 3.3. Закон о заштити података о личности; 4. Потреба и предности система видео-надзора, утицај људског фактора на употребу система видео-надзора у МУП-у, као највећи ризик, 4.1. Потреба за увођењем система видео-надзора, 4.2. Предности коришћења видео-надзора, 4.3 Утицај људског фактора на употребу система видео-надзора; 5. Хронологија увођења интегрисаног система видео надзора, 5.1. Спровођење пројекта “Сигурно друштво” од стране МУП-а, 5.2. Опис система видео надзора, 5.3 Администрација системом видео надзора и Закључак.
*
Садржину достављеног акта – Процена утицаја обраде на заштиту података о личности коришћењем система видео надзора – Повереник је разматрао у односу на члан 54. Закона о заштити података о личности, и констатовао следеће:
У достављеном акту није наведено на који конкретно систем/системе видео надзора се предметна процена утицаја на заштиту података о личности односи. Иако акт садржи наводе о одређеним пројектима, јасно навођење конкретног система видео надзора на који се достављена процена утицаја на заштиту података о личности односи је изостало. Наведене су поједине одредбе посебних закона којима су регулисана одређена питања обраде података о личности у области унутрашњих послова, евиденције у области видео-акустичног снимања, као и одредбе подзаконских аката који су још увек у фази израде. Међутим, није наведено који је правни основ и сврха обраде података о личности на коју се односи предметна процена утицаја, односно правни основи и сврхе обраде, као ни то да ли се ради о новој обради чије вршење још није отпочело. Уједно, изостало је и територијално одређење обраде података. Нејасно је да ли се систем видео надзора односи само на територију града Београда или територију Републике Србије.
Даље, изостао је свеобухватан опис предвиђених радњи обраде, у смислу цитиране одредбе члана 54. Закона о заштити података о личности. Наиме, свеобухватан опис предвиђених радњи обраде, имеђу осталог, подразумева да исте буду јасно, прецизно и систематично описане.
Јасно дефинисање конкретног система видео надзора, укључјући правни основ и сврху предметне обраде, а потом детаљан опис свих намераваних радњи обраде података о личности које ће се предузимати у оквиру истог, нужан су предуслов за правилно идентификовање свих околости такве обраде, а посебно ризика за права и слободе лица, а самим тим и за ваљану израду процене утицаја предвиђених радњи обраде на заштиту података о личности.
У погледу ризика за права и слободе лица на које се подаци односе, у достављеном акту руковалац је „људски фактор у употреби интелигентног видео надзора” препознао као највећи (стр. 19), али и једини ризик, будући да нису наведени други могући ризици.
Осим тога, на истој страни у достављеном акту, наводи се: „...приликом сваке даље обраде материјала не може се говорити о угрожавању права и слобода лица која се стицајем околности затекну на месту догађаја и на простору који је покривен видео надзором министарство је такав вид угрожавања приватности препознало као ризик у употреби видео надзора..”. Даље се наводи: „Важећом Обавезном инструкцијом о одржавању и коришћењу система видео надзора у Републици Србији прописане су процедуре у раду са прикупљеним подацима, а Упутством о условима изградње, коришћења и одржавања система видео надзора Републике Србије и Упутством о јединственом начину вођења евиденција у области видео акустичког снимања, који су у изради наведене процедуре ће бити детаљно објашњене а све у циљу смањивања могућности злоупотреба на најмању могућу меру.” На страни 32. наводи се: „Такође ваљаном едукацијом запослених у Министарству и подизањем свести о неопходности заштите података о личности па и ефикаснијим санкционисањем за учињене повреде на раду могуће је и највећи ризик по евентуално угрожавање права грађана који се по оцени министарства огледа у људском фактору, свести на најмању могућу меру”.
У погледу наведеног указујемо на то да, поред контрадикторности појединих навода у вези са могућим ризицима за права и слободе лица, не може се јасно утвдити који су тачно ризици идентификовани у конкретном случају. Наиме, тзв. „људски фактор” може само да указује на извор ризика, док конкретан ризик који у том случају може да наступи по права и слободе лица није дефинисан, нити је дат опис могућег утицаја ризика на права и слободе лица чији се подаци обрађују, као ни вероватноћа и озбиљности њиховог наступања.
У достављеном акту нису идентификовани и евентуални други ризици, а које би предметна обрада по својој природи, опсежности оваквог вида обраде и чињеници да је у питању употреба нових техолошких решења, подразумевала (нпр. ризик у вези са прикупљањем података о личности трећих лица која нису у вези са извршењем кривичног дела, ризик у погледу остваривања других права и слобода лица, ризици у погледу информационе безбедности и сл.). Ово посебно имајући у виду чињеницу да руковалац намерава да обрађује и посебне врсте података о личности из члана 17. Закона о заштити података о личности, као што су биометријски подаци у циљу јединствене идентификације лица. Дакле, други могући битни аспекти предметне обраде који очекивано представљају одређене ризике, а који се не односе само на тзв. „људски фактор”, нису разматрани у достављеном акту. Тачније, и из описа мера које руковалац планира да предузме, изводи се закључак да тзв. „људски фактор” није једини могући извор ризика у оквиру предметне обраде.
Тек у односу на јасно идентификовање свих ризика може се приступити њиховој анализи и процени утицаја предметне обраде на заштиту података о личности. Као што је већ истакнуто, нужан предуслов за правилно идентификовање свих ризика је претходно јасно дефинисање конкретног система видео надзора и детаљан опис свих намераваних радњи обраде података о личности.
Иако се већи део достављеног акта односи на мере заштите података о личности, исте нису одређене на систематичан начин тако да се разликују техничке, организационе и кадровске мере које руковалац намерава да предузме. Уједно, ове мере је могуће одредити тек по испуњавању већ наведених претходних захтева анализе.
Независно од наведеног, предложене мере уједно морају да буду и одређене. Примера ради, као једну од мера за ублажавање тзв. „људског фактора” као препознатог извора ризика, руковалац наводи да ће се истa спроводити, између осталог, и „ваљаном едукацијом запослених у Министарству и подизањем свести о неопходности заштите података о личности”. Међутим, изостављени су подаци о томе на који конкретно начин ће се наведено спроводити, којом динамиком и сл.
Такође, у погледу навода руковаоца да ће „у наредном периоду определити и „лице за заштиту података” у складу са новим Законом о заштити података о личности”, како је већ истакнуто, напомињемо да сагласно одредби члана 57. став 1. Закона о заштити података о личности руковалац и обрађивач дужни су да благовремено и на одговарајући начин укључе лице за заштиту података о личности у све послове који се односе на заштиту података о личности.
Обавезе лица за заштиту података о личности прописане су одредбама члана 58. Закона о заштити података о личности, па тако ово лице има најмање обавезу да: 1) информише и даје мишљење руковаоцу или обрађивачу, као и запосленима који врше радње обраде о њиховим законским обавезама у вези са заштитом података о личности; 2) прати примену одредби овог закона, других закона и интерних прописа руковаоца или обрађивача који се односе на заштиту података о личности, укључујући и питања поделе одговорности, подизања свести и обуке запослених који учествују у радњама обраде, као и контроле; 3) даје мишљење, када се то затражи, о процени утицаја обраде на заштиту података о личности и прати поступање по тој процени, у складу са чланом 54. овог закона; 4) сарађује са Повереником, представља контакт тачку за сарадњу са Повереником и саветује се са њим у вези са питањима која се односе на обраду, укључујући и обавештавање и прибављање мишљења из члана 55. овог закона.
С обзиром на наведено, потребно је да ово лице буде укључено у предметну процену утицаја на заштиту података о личности, и да његово мишљење, буде узето у обзир приликом израде исте.
Напомињемо да је процена утицаја на заштиту података о личности акт који, између осталог, треба да помогне руковаоцу да, пре него што започне намеравану обраду података о личности, на целовит начин сагледа радње обраде са аспекта ризика по права и слободе лица, како би своје поступање ускладио са Законом и уједно био у могућности да то предочи. Резултат процене утицаја на заштиту података о личности треба да помогне руковаоцу да преиспита све аспекте обраде и да, по потреби, предметну обраду прилагоди, или пак одустане од исте, узимајући у обзир ризике по права и слободе лица.
Дакле, процена утицаја на заштиту података о личности доприноси и остварењу начела „одговорности за поступање“ руковаоца, из члана 5. Закона о заштити података о личности, те првенствено треба да има практичну намену. Стога, овај акт не би требало оптерећивати преобимним цитирањем одредби како европских тако и националних прописа, посебно аката који су још увек у фази израде, нити академских радова.
II
Из свега наведеног произлази да достављени акт – Процена утицаја обраде на заштиту података о личности коришћењем система видео надзора – није сачињен у складу са Законом о заштити података о личности, јер исти не садржи неопходне елементе из члана 54. закона, те се из достављеног акта не може утврдити на који конкретно систем/системе видео надзора се односи, правни основ истог, планиране радње обраде, који су ризици за права и слободе физичких лица о чијим подацима о личности је реч, и последично, не може се утврдити да ли је руковалац на одговарајући начин проценио ризике по права и слободе лица и да ли је предвидео одговарајуће мере за њихово умањивање.
ПОВЕРЕНИК
Милан Мариновић