Đorđe Đokić, LL.M.
Ekspert za privatnost i zaštitu podataka o ličnosti, Pravni savetnik za privatnost pri INTERPOL-u, Ekspert-evaluator Evropske komisije, Master prava EU, autor knjige ”Zaštita privatnosti na Internetu i Savet Evrope”, Privacy by Design Ambassador.
uvod
U ovom tekstu biće reči o procesu identifikacije rizika u okviru sprovođenja studije uticaja na privatnost. Prethodno objavljeni tekstovi koji opisuju prethodne faze u procesu upravljanja rizicima u oblasti privatnosti i zaštite podataka o ličnosti odnose se na:
- osnovne elemente studije uticaja na privatnost,
- opis preliminarne i prve faze sprovođenja studije, kao i
- pojam rizika za privatnost.
Nakon identifikacije rizika biće reči o načinu na koji se rizici procenjuju, odnosno njihovoj evaluaciji, kao i o pronalaženju odgovarajućih solucija za njihovo izbegavanje ili svođenje na prihvatljiv nivo.
kontekst
Podsećanja radi, u prethodnim fazama postupka upravljanja rizicima u oblasti privatnosti i zaštite podataka o ličnosti objasnili smo kako, kada i zašto se sprovodi studija uticaja na privatnost, kao i koje je korake neophodno preduzeti za njeno kvalitetno sprovođenje. Istakli smo značaj kolaborativnog pristupa, odnosno neophodnosti saradnje svih aktera projekta.
Kada je reč o samoj strukturi studije, opisali smo preliminarnu fazu, koja je usmerena na donošenje argumentovane odluke o neophodnosti sprovođenja i opsegu studije. U ovoj fazi tražili smo odgovor na pitanje: ”Da li je, u okviru datog projekta, neophodna obrada podataka o ličnosti?”
U slučaju pozitivnog odgovora prelazi se na drugu fazu – opis projekta, odnosno konteksta u kojem dolazi do obrade podataka o ličnosti. Rezultat ove faze skup informacija o životnom ciklusu podataka o ličnosti u okviru projekta: od toga kako se do podataka dolazi, preko načina i vrste njihove obrade, do čuvanja odnosno brisanja. Naravno, uz ove, rezultat prve faze su mnoge druge informacije koje se odnose na pitanja kao što su svrha obrade, mere postupanja u slučaju incidenta i slično. O ovome je prethodno već bilo reči, tako da se ovom prilikom nećemo ponovo upuštati u detalje.
Po završetku opisa projekta sa stanovišta zaštite podataka o ličnosti, vreme je da se pažnja usmeri na identifikaciju rizika koji se u datom kontekstu mogu pojaviti.
identifikacija rizika
U toku ove faze tim evaluatora treba da ustanovi postojanje rizika koji mogu ugroziti privatnost ili podatke o ličnosti pojedinaca u okviru datog projekta. Cilj odnosno konkretan rezultat je dobijanje detaljne liste svih rizika koji proizlaze iz obrade podataka na kojoj se dati projekat zasniva.
Pojam rizika u smislu zaštite privatnosti i podataka o ličnosti smo prethodno već objasnili. Isto tako, u prethodnom tekstu smo dali preglednu tabelu najučestalijih rizika do kojih dolazi kod obrade podataka o ličnosti.
Ova lista nije iscrpna, i treba da posluži evaluatorskom timu samo kao polazna tačka za identifikaciju rizika koji su specifični za dati projekat.
Zbog činjenice da su projekti u oblasti informaciono-komunikacionih tehnologija po prirodi multidisciplinarni kao i da su rizici koji iz ovih projekata proizlaze raznorodni, u postupak identifikacije rizika neophodno je uključiti sve aktere u projektu.
To konkretno znači da je neophodno organizovati seriju formalnih i neformalnih radnih sesija usmerenih na razmenu informacije u cilju identifikacije rizika, u kojima treba da učestvuju menadžeri, pravnici, informatičari i slično. Ukratko, svi ključni akteri u okviru projekta.
Rizici za privatnost mogu biti tehničke, pravne ili organizacione prirode, i upravo zbog toga je neophodan multidisciplinaran, kolaborativan pristup njihovom prevazilaženju.
U svakom slučaju, naročito kada su veći projekti u pitanju, studija uticaja na privatnost može predstavljati prilično obiman poduhvat. Zbog ovo je bitno dokumentovati svaku fazu kroz koju se prolazi. Ovo je naročito značajno za fazu identifikacije rizika. Na osnovu rezultata ove faze, odnosno na osnovu liste identifikovanih rizika evaluacioni tim treba da pristupi sledećoj fazi u kojoj se ovi rizici procenjuju.
vrste rizika
Rizici za privatnost i zaštitu podataka o ličnosti mogu se podeliti u dve glavne kategorije. U prvu spadaju rizici čije ostvarenje predstavlja povredu prava pojedinaca. U drugu spadaju rizici za organizaciju (kompaniju, državni organ, itd.) koja sprovodi projekat.
Kada su pojedinci u pitanju, ostvarenje rizika se prevodi u gubitak odnosno narušavanje prava na privatnost ili zaštitu podataka o ličnosti. Konkretnije, radi se o zloupotrebi, uništenju ili gubitku ovih informacija.
Sa druge strane, u grupu rizika koji se odnose na samu organizaciju ubrajamo one rizike koji nastaju kao posledica
- odgovornosti za štetu izazvanu nepoštovanjem prava na privatnost ili zaštitu podataka o ličnosti pojedinaca,
- naknadnog usaglašavanja sa zakonskim obavezama,
- gubitka kredibiliteta u očima javnosti,
- gubitka poverenja korisnika proizvoda ili usluge,
- štete izazvane pokretanjem pravnih postupaka protiv organizacije,
- administrativnih i drugih kazni i zabrana u slučaju incidenta,
- itd.
Imajući ovo u vidu, važno je istaći da svaka obrada podataka o ličnosti može predstavljati rizičnu operaciju sa stanovišta privatnosti i zaštite podataka o ličnosti. Često, ovi rizici nisu očigledni i relativno ih je lako prevideti, pogotovo ako se upravljanje rizicima u okviru organizacije tretira jednostrano, kao isključivo pravnički ili isključivo tehnički posao.
Sa druge strane, ako su zaštita privatnosti i podataka o ličnosti pravilno uzete u obzir od samog početka projekta, navedene rizike je moguće u potpunosti izbeći ili svesti na prihvatljivu meru.
U ovom kontekstu naročito je značajan koncept Integrisane zaštite privatnosti (eng. Privacy by Design) koji se odnosi na neophodnost integrisanja privatnosti i zaštite podataka o ličnosti u informaciono-komunikacione tehnologije rano u razvoju, u fazi koncepcije.
efikasnost postupka
Efikasnost procesa identifikacije rizika za privatnost zavisi od nekoliko glavnih faktora. Među njima su iskustvo učesnika u evaluatorskom timu, kao i učešće i zainteresovanost rukovodilaca projekta za uspešno sprovođenje studije uticaja na privatnost.
Ovde treba imati u vidu postojanje više, često suprotstavljenih, interesa u okviru iste organizacije. Neophodno je izbeći situaciju u kojoj bi moglo doći do veštačkog prilagođavanja rezultata studije odnosno prilagođavanja njenih rezultata. Ovu situaciju moguće je izbeći angažovanjem nezavisnog konsultanta koji bi samostalno sproveo studiju. Problem kod ove opcije je njena nepraktičnost sa stanovišta troškova. Isto tako, kod nas trenutno ne postoji puno lica osposobljenih za upravljanje rizicima u oblasti privatnosti i zaštite podataka o ličnosti.
Šire gledano, efikasnost postupka identifikacije rizika zavisi i od opšte kulture unutar same organizacije, naročito kada je u pitanju upućenost zaposlenih u problematiku vezanu za privatnost i zaštitu podataka o ličnosti.
sledeći korak
Faza identifikacije završava se izradom detaljne liste rizika koji mogu nastati u okviru datog konteksta. Na osnovu ovih rezultata pristupa se sledećoj fazi, odnosno proceni ovih rizika na osnovu nekoliko kriterijuma. O ovome će biti više reči u sledećem tekstu.