Sarajevo – “Ne smijemo uzeti vaš JMBG zbog Zakona o zaštiti ličnih podataka.” Rečenica je koju građani Bosne i Hercegovine posljednjih godina sve češće čuju na šalterima, u privatnim kompanijama, bankama, telekom operaterima pa čak i kod pružalaca usluga koji su decenijama uredno evidentirali jedinstveni matični broj svojih korisnika.
Za mnoge je to postalo pravilo koje se ne dovodi u pitanje. Međutim, postavlja se logično pitanje – da li je Zakon o zaštiti ličnih podataka zaista zabranio korištenje JMBG-a ili smo svjedoci njegovog pogrešnog tumačenja?
Odgovor nije tako jednostavan kako se često predstavlja javnosti.
Zakon ne zabranjuje JMBG
Jedinstveni matični broj građana nesumnjivo predstavlja lični podatak. To znači da njegova obrada mora biti zakonita, opravdana i sigurna.
Ali nigdje u Zakonu o zaštiti ličnih podataka ne postoji odredba koja kaže da je JMBG zabranjeno prikupljati ili čuvati.
Suština zakona je potpuno drugačija – svaki lični podatak može se obrađivati kada postoji zakonski osnov ili druga pravna osnova za njegovu obradu, uz obavezu da organizacija podatke adekvatno zaštiti od zloupotrebe.
Drugim riječima, zakon ne zabranjuje JMBG. Zabranjuje njegovu nezakonitu obradu.
To je razlika koja se u svakodnevnoj praksi često zanemaruje.
Strah od kazni doveo do pretjeranog opreza
Sagovornici iz IT sektora, ali i brojni pravnici koji se bave zaštitom podataka, smatraju da je posljednjih godina kod mnogih organizacija zavladao svojevrstan “strah od JMBG-a”.
Umjesto da procijene postoji li zakonski osnov za obradu određenog podatka, mnoge kompanije odlučuju se za jednostavnije rješenje – uopšte ga ne prikupljati.
Takva praksa smanjuje mogućnost eventualnih pritužbi, ali istovremeno često otežava svakodnevno poslovanje.
Telekom operateri promijenili praksu
Jedan od zanimljivijih primjera može se primijetiti kod pojedinih telekom operatera.
Nekada je prilikom sklapanja ugovora JMBG bio standardni identifikacioni podatak. Danas se od korisnika često traži broj lične karte, dok se JMBG više ne evidentira.
Na prvi pogled, ovakva praksa može djelovati kao dodatna zaštita privatnosti.
Međutim, postavlja se pitanje da li je broj lične karte dugoročno pouzdaniji identifikator od JMBG-a.
Odgovor je prilično jasan.
Broj lične karte nije stalan. On se mijenja nakon isteka važenja dokumenta, njegovog gubitka, krađe ili izdavanja novog dokumenta.
JMBG, s druge strane, ostaje isti tokom cijelog života.
Kako pronaći starog dužnika?
Upravo tu nastaje zanimljiva dilema.
Zamislimo korisnika koji zaključi ugovor s telekom operaterom, ostavi dugovanja i nakon nekoliko godina ponovo zatraži novu uslugu.
U međuvremenu je promijenio ličnu kartu i dobio novi broj dokumenta.
Ako je operater u evidenciji imao samo broj tada važeće lične karte, kako će sa sigurnošću povezati novu prijavu s prethodnim korisnikom?
Naravno, savremeni informacioni sistemi koriste više različitih podataka – ime i prezime, datum rođenja, adresu prebivališta ili interne identifikacione brojeve.
Ali nijedan od tih podataka nije toliko stabilan i jedinstven kao JMBG.
To ne znači da bi svaka kompanija trebala automatski tražiti JMBG.
Naprotiv.
Pitanje je da li u određenim djelatnostima potpuno odustajanje od njegovog korištenja zaista doprinosi zaštiti privatnosti ili samo otežava pouzdanu identifikaciju korisnika.
Pravi problem krije se na drugom mjestu
Dok se mnogo pažnje posvećuje tome da li će neka organizacija evidentirati JMBG, stručnjaci upozoravaju da se daleko veći rizici često zanemaruju.
Slabo zaštićene baze podataka, neažurirani informacioni sistemi, jednostavne lozinke ili nedovoljna kontrola pristupa predstavljaju mnogo ozbiljniju prijetnju privatnosti građana nego sama činjenica da se u sistemu nalazi njihov JMBG.
Drugim riječima, nije problem u podatku.
Problem je u tome kako se taj podatak čuva.
Gdje je granica?
Zaštita privatnosti nesumnjivo mora biti jedan od prioriteta svakog savremenog društva.
Međutim, jednako je važno izbjeći situaciju u kojoj se zakon tumači toliko restriktivno da počinje otežavati sasvim legitimne poslovne procese.
Ako postoji zakonski osnov za obradu JMBG-a, njegovo korištenje nije protivno zakonu.
Ako takav osnov ne postoji, onda ga zaista ne bi trebalo prikupljati.
Razlika između te dvije situacije možda je upravo ono što se u javnosti najčešće izgubi.
Zaključak
Čini se da je najveći izazov primjene Zakona o zaštiti ličnih podataka pronaći ravnotežu između zaštite privatnosti i potrebe za pouzdanom identifikacijom građana.
JMBG nije “zabranjen podatak”, niti njegovo postojanje automatski predstavlja kršenje zakona.
Ono što zakon zahtijeva jeste da svaki lični podatak bude prikupljen samo kada za to postoji opravdan razlog i da bude zaštićen od zloupotrebe.
Možda bi upravo zbog toga raspravu trebalo pomjeriti s pitanja “smije li se koristiti JMBG?” na mnogo važnije pitanje – “da li organizacije dovoljno dobro štite podatke koje već posjeduju?”
Jer građanima će mnogo više značiti siguran informacioni sistem nego formalno izostavljanje jednog podatka iz obrasca.
About Author
