Učestala praksa traženja ličnih dokumenata i osjetljivih podataka poput JMBG-a, broja lične karte ili CIPS prijave u bankama, javnim institucijama i prodavnicama često se sprovodi rutinski, iako građani nisu u obavezi da ustupe podatke bez jasnog zakonskog osnova.
Ključno pitanje je da li onaj ko traži lične podatke za to ima jasno zakonsko uporište ili dobrovoljnu saglasnost građanina.
Iz Agencije za zaštitu ličnih podataka u BiH za BL portal objašnjavaju ko smije da prikuplja podatke, kada građani mogu da ih odbiju i kako da reaguju ukoliko posumnjaju da se njihovi podaci traže bez valjanog razloga.
Pravo na prikupljanje ličnih podataka nemaju svi. To mogu činiti samo fizička ili pravna lica koja imaju odgovarajući pravni osnov. Zakon ih definiše kao kontrolore podataka.
Drugim riječima, nije dovoljno da banka, institucija, trgovac ili pružalac neke usluge jednostavno kaže da mu je određeni podatak potreban. Mora biti jasno zbog čega ga traži i na osnovu kojeg propisa, piše BL portal.
“Pravo na prikupljanje osobnih podataka nemaju ‘svi’, već isključivo subjekti koji za to imaju pravni temelj. Ti subjekti se nazivaju kontrolori. Prema navedenim osobni podaci od građana se mogu tražiti ukoliko je to propisano posebnim zakonima ili drugim propisima donesenima na temelju tih zakona ili na temelju suglasnosti“, navode iz Agencije.
To znači da zahtjev za kopiju lične karte, pasoša ili potvrde o prebivalištu mora imati opravdanje u zakonu ili propisu donesenom na osnovu zakona.
Pojedine institucije i privatne kompanije, poput banaka, u određenim postupcima imaju zakonsku obavezu da utvrde identitet klijenta i prikupe određene podatke. Međutim, takva obaveza ne može se automatski prenijeti na svakoga ko pruža robu ili uslugu.
Ako prikupljanje podataka nije propisano zakonom, kompanija ili druga organizacija podatke može obrađivati na osnovu saglasnosti građanina.
Takve situacije najčešće se odnose na direktni marketing, slanje promotivnih ponuda i obavještenja o proizvodima ili uslugama.
Građanin, međutim, ima pravo da saglasnost povuče.
“Ukoliko obrada nije regulirana zakonom ili propisom donesenim na temelju tog zakona, postoji mogućnost da građani daju određene vlastite osobne podatke na temelju suglasnosti… Međutim, ukoliko povuče suglasnost, kompanija je dužna obrisati njegove osobne podatke“, ističu iz Agencije.
Pristanak, dakle, ne bi trebalo da bude samo formalnost skrivena među drugim uslovima, već odluka građanina koji zna koje podatke ustupa i za koju namjenu.
Građani imaju pravo da prije ustupanja podataka pitaju ko ih prikuplja, zbog čega ih traži i koliko dugo će ih čuvati.
Mogu zatražiti informacije o identitetu i kontaktima kontrolora, svrsi i pravnom osnovu obrade, mogućim primaocima podataka, roku čuvanja, kao i svojim pravima na pristup, ispravku, brisanje ili ulaganje prigovora.
“Kontrolori su na zahtjev građana dužni im dostaviti informaciju u koju svrhu, te po kom pravnom temelju se traže određeni njihovi osobni podaci“, poručuju iz Agencije.
U praksi to znači da građanin može postaviti sasvim jednostavno pitanje: na osnovu kojeg zakona ili moje saglasnosti tražite ovaj podatak?
Ako nema jasnog odgovora, građanin ima razlog da dodatno provjeri da li je zahtjev opravdan prije nego što dostavi dokument ili podatak.
Posebno je problematično kada neko pružanje usluge uslovljava dostavljanjem ličnih podataka koji za tu uslugu nisu neophodni niti postoji propis koji nalaže njihovo prikupljanje.
Ukoliko građanin smatra da se od njega podaci traže nezakonito, može podnijeti prigovor Agenciji za zaštitu ličnih podataka u BiH.
“U slučaju nezakonitog traženja ili prikupljanja osobnih podataka od strane kontrolora, građanin čiji se podaci uzimaju može podnijeti prigovor Agenciji za zaštitu osobnih podataka koja će pokrenuti postupak utvrđivanja utemeljenosti prigovora, te u slučaju nezakonite obrade postupiti po nadležnostima i ovlaštenjima“, navode iz Agencije.
Najvažnije je da građani ne daju podatke po automatizmu. Prije nego što ostave JMBG, broj lične karte, kopiju dokumenta, CIPS prijavu ili broj telefona, imaju pravo da znaju ko podatke uzima, zbog čega su mu potrebni i šta će sa njima dalje raditi.
