Piše Damir Paladin, stručnjak za informacijsku sigurnost

Je li osobni identifikacijski broj zaista osobni podatak ili se samo tako zove? Iako se prosječni građanin i vlasnik OIB-a ne opterećuje ovom dilemom, stvari baš nisu tako bezazlene.

Što je, zapravo, osobni podatak?

Krenimo od definicije koju nam daje Zakon o zaštiti osobnih podataka. Osobni podatak je svaka informacija koja se odnosi na pojedinu fizičku osobu, a sadrži obilježja specifična za njen fizički, psihološki, mentalni, gospodarski, kulturni ili socijalni identitet. Prema tome osobni je podatak svaka informacija kojom banke opisuju vaš financijski status ili svaka informacija o plaćenim računima u vašem omiljenom trgovačkom centru. Osobni podaci mogu biti i vremena o ulasku i izlasku s autoputa koje je zabilježio ENC uređaj, kao i popis knjiga koje ste posudili u knjižnici.

No, time nije iscrpljena definicija osobnog podataka. Razdoblje intenzivne digitalizacije donosi još jednu važnu kategoriju osobnog podataka, a proizlazi iz načina obrade podataka i tehnike rada računalnih programa. Naime, suvremena obrada podataka temelji se na upotrebi baza podataka. Zahvaljujući nekim polaznim principima funkcioniranja baza podataka zapisi o našim transakcijama u pravilu ne prikazuju naša imena i prezimena u čitljivom obliku. Baze podataka zapravo se koriste specifičnim, uglavnom numeričkim, oznakama koje zamjenjuju naša imena i prezimena. Te specifične oznake obično se zovu matični brojevi, identifikatori, šifre ili nekako slično. Kompjutorima je lakše, a nama svejedno, glavno da nam bankomat preda novce. Naravno, ti identifikatori nisu bezazleni i suhoparni brojevi već imaju izuzetno veliku specifičnu težinu koja proizlazi iz činjenice da se obično isti identifikator koristi u svim aplikacijama nekog informacijskog sustava ili čak cijelog organizacijskog entiteta. Dakle, podaci o stanju svih bankarskih proizvoda nekog klijenta se, u konačnici, vrlo jednostavno vezuju za njegove matične podatke. Stoga je funkcija tih brojeva itekako obuhvaćena definicijom osobnih podataka, pa ih takvima svakako treba kategorizirati.

OIB pripada upravo toj kategoriji podatka. Njime se označava, ili će vrlo brzo označavati, svi podaci o našim financijskim transakcijama, o posjetima liječniku, o našim prodajama i kupnjama i o tko zna čemu već? Čak ga treba imati i kod tehničkog pregleda osobnog vozila i kod potpisivanja ugovora za upotrebu ENC uređaja. Nimalo ne sumnjam u buduću popularnost OIB-a, u danima koji slijede možemo očekivati da će mnoge, pa i aplikacije minornog značenja, uključivati OIB.

No, uz puno poštovanje prema dobrim namjerama koje su prethodile uvođenju OIB-a (uštimavanje državnog aparata, bolji nadzor i pravedniji priljev poreznog novca, jednostavnija komunikacija s državnim aparatom...), ipak moramo ukazati na činjenicu da OIB nije proglašen povjerljivim brojem i osobnim podatkom te da u javnosti ne postoji ni minimalna svijest o njegovom neodavanju. Ministarstvo financija izdalo je čak i službenu uputu o tome da građani moraju sa sobom imati službenu potvrdu o dodijeljenom OIB-u, valjda kako bi lakše izrecitirali taj broj na svaki upit.

Kako bi se prikazao nemaran odnos prema povjerljivosti tog broja dovoljno je reći da se do OIB-a bilo koje osobe može doći vrlo lako, npr. preko weba ministarstva financija - dovoljno je znati njegov MBG.

A kako nam je dobro poznato MBG je odavno postao opće dobro. Nadalje činjenica je da se OIB nekontrolirano šalje faksom, mailom ili direktno priopćava, najčešće nepoznatim osobama, čime se ubrzava trošenje komponente povjerljivosti OIB-a i širi njegova dostupnost. Na taj način i bez potrebe OIB postaje javni podatak.

Ovakav neprihvatljiv status OIB-a rezultirat će neželjenim posljedicama, prije svega sve češćim krađama podataka.

OIB olakšava data mining

Naime, ako je nekada trebalo imati specifične matične brojeve iz pojedinih banaka, osiguravajućih društava ili zdravstvenih ustanova kako bi se došlo do povjerljivih osobnih podataka, od danas će to biti puno jednostavnije - potrebno je imati samo OIB. Njegovo će postojanje ubuduće samo olakšati krađu povjerljivih osobnih podataka i takvih će slučajeva biti sve više.

Vrlo brzo možemo očekivati i razvoj nelegalne uslužne djelatnosti koja će se baviti prikupljanjem i prodajom osobnih podataka o pojedinim osobama. U svijetu je to već razvijeno, a OIB će potaknuti takvu djelatnost i kod nas. Uskoro možemo očekivati crno tržište na kojemu će se prodavati popisi - slično listama e-mail adresa namijenjenih za slanje spam poruka - koji će povezivati OIB brojeve s imenima njihovih nositelja.

OIB znatno olakšava data mining po osobnim podacima. Tržišni interes će samo pojačati tu djelatnost. Korisnika za tu djelatnost neće nedostajati: banke će moći provjeravati zdravstvene podatke klijenata prije izdavanja dugoročnih kredita, a osiguravajuća društva prije ugovaranja polica zdravstvenog ili životnog osiguranja, tvrtke će htjeti provjeriti podatke o potencijalnim zaposlenicima, privatni detektivi će pružiti vrijedne informacije u brakorazvodnim parnicama, a o ucjenjivačima da i ne govorimo...

Moram naglasiti da ovdje ne vidim povećanu opasnost od zloupotrebe OIB-a u samim državnim institucijama, ali isključivo iz razloga što država može te informacije prikupiti i bez OIB-a. No, i njima će sada biti puno lakši pristup do svih informacija.

Na kraju, možemo očekivati i slučajeve krađe identiteta tj. lažno predstavljanje uz tuđi OIB. To neće biti nimalo teško, primjeri će se vrlo lako naći. Poticanje intenzivne upotrebe OIB-a bez da se nalazi u vjerodostojnoj osobnoj ispravi (recimo, osobnoj iskaznici) postavlja upitnim davanje tog broja kod javnog bilježnika.

Raj za hakere

Protivnici ovakvih negativnih scenarija reći će da cijela stvar ne mora biti tako crna. Do zloupotrebe tih podataka, smatraju oni, može se doći samo ako se posjeduje dobro tehničko predznanje i ako institucija gdje su podaci pohranjeni nedovoljno brine o sigurnosti informacijskog sustava. No, informatičari, a naročiti stručnjaci za informacijsku sigurnost, mogu vrlo lako dokazati kako to i nije baš tako teško. Pođimo samo od znatiželje činovnika koji svakodnevno rade s tim podacima, bez obzira na to imao on maliciozne ili banalne motive. Jedna od najtežih zaštitnih mjera je primjena principa uvida u samo neophodne podatke i ugrađivanje kontrolnih mjera kojima bi se sprečavalo tog činovnika da nepotrebno zabada nos u tuđe podatke. To je teže nego obraniti se od kineskih hakera.

U javnosti se često pojavljuje i pitanje je li zaista trebalo ulaziti u projekt OIB-a? Zašto nismo zadržali MBG? Pitanje je donekle na mjestu zato što je MBG eliminiran s pogrešnim argumentima. Naime, smatram da je pogrešno protumačena neprikladnost MBG-a. Smatralo se da je neprimjeren zato što u sebi sadrži datum rođenja, spol i (u mnogim slučajevima, ali ne svim) mjesto rođenja, dakle sve sami osobni podaci. No, suština neprimjerenosti MBG-a je zapravo proizlazila iz njegove opće dostupnosti i činjenice da je njime bilo označeno bezbroj osjetljivih podataka koji su, zbog opće dostupnosti MBG-a, tako i sami postali dostupni. Mi smo, dakle, izbacili MBG, ali ne zbog njegove opće dostupnosti, i uvodimo OIB koji će jednako tako postati opće dostupan i zapravo neprimjeren za namijenjenu ulogu.

Loša poruka Ministarstva financija

Osvrnimo se, ukratko, i na europsko iskustvo. Europska unija ne propisuje jedinstveni okvir za digitalnu identifikaciju građana već tu problematiku prepušta zemljama-članicama. Praksa je raznolika: od zemalja koje uopće ne primjenjuju te brojeve ili koriste neke njihove surogate, preko država u kojima je taj broj izveden na nama sličan način, pa do onih koje upotrebljavaju više različitih brojeva za različite segmente javne administracije. Zanimljivo je i da su neke zemlje-članice formirale identifikacijski broj tako da uključuje i datume rođenja, spol, pa čak i mjesto rođenja - dakle, iste one parametre zbog kojih smo mi prokazali i prognali naš MBG.

No, bez obzira na raznolikosti u pristupu, identifikacijski broj se posvud kategorizira kao osobni podatak, državne institucije obavještavaju svoje građane o primjerenom čuvanju tog broja, striktno se uređuje tko ga smije koristiti, a primjena Zakona o zaštiti podataka je neizbježna i strogo kontrolirana.

U isto vrijeme naše Ministarstvo financija zauzima suprotne pozicije. Na sporadične upite o zaštiti privatnosti pri korištenju OIB-a Ministarstvo odgovara kako se taj broj “ne smatra osobnim podatkom”, uz obrazloženje da se “... određuje slučajnim odabirom te na taj način ne pokazuje vezu s osobom kojoj je broj dodijeljen”. Zanemaruje se i činjenica da sam Zakon o osobnom identifikacijskom broju kaže kako je “osobni identifikacijski broj stalna identifikacijska oznaka obveznika osobnoga identifikacijskog broja koju korisnici osobnoga identifikacijskog broja koriste u službenim evidencijama, u svakodnevnom radu i kod razmjene podataka”. Problem je, naizgled, riješen guranjem pod tepih.

Srećom, na raspolaganju nam je i drugo mišljenje, i to od institucije koja bi trebala biti autoritet kad je riječ o zaštiti privatnosti - Agencije za zaštitu osobnih podataka, koja potvrđuje da je OIB osobni podatak u smislu Zakona o zaštiti osobnih podataka te da se za njegovo prikupljanje obradu i upotrebu moraju primijeniti sve odredbe koje jamče očuvanje povjerljivosti i tajnosti osobnih podataka (za prikaz razlike u poimanju privatnosti između AZOP-a i Ministarstva financija spomenimo da je AZOP i broj šasije motora osobnog vozila kategorizirao osobnim podatkom).

Ipak mišljenje Agencije za zaštitu osobnih podataka nije utjecalo na promjenu stava Ministarstva financija, što nas mora posebno zabrinuti s obzirom na to da bi Agencija trebala biti arbitar između nas građana i svih drugih institucija, uključujući i ministarstva. To je vrlo loša poruka koja ozbiljno narušava autoritet pa i smisao djelovanja Agencije za zaštitu osobnih podataka.

Tri prijedloga za OIB

Što bi, uz pretpostavku prihvaćanja mišljenja Agencije, trebalo napraviti kako bi se ojačala primjena OIB-a (ili barem spasilo što se spasiti može)?

Prvo, Ministarstvo financija bi trebalo objaviti pravilnike tko i pod kojim uvjetima smije zatražiti OIB od građana. Ovdje, prije svega, spornim vidim ulogu i ovlasti privatnih tvrtki za prikupljanjem OIB-a, što bi trebalo odobravati vrlo restriktivno.

Drugo, trebalo bi dosljedno primjenjivati principe koji su propisani Zakonom o zaštiti osobnih podataka, i to na sve institucije koje obrađuju i pohranjuju OIB. Ta načela obuhvaćaju obvezu primjerenog čuvanja osobnih podataka, obvezu brisanja osobnih podataka nakon razdoblja upotrebe, korištenje osobnih podataka samo u svrhu za koju su i prikupljeni, zabranu pružanja tuđih osobnih podataka drugim entitetima (ako to inače nije predviđeno početnom namjerom). Također, osobni podaci bi se morali brisati nakon što prestane potreba za njihovom upotrebom. Treće, trebala bi se uvesti i funkcija voditelja zbirke osobnih podataka koja uključuje i dodatne administrativne obveze, a tvrtka mora biti spremna da odgovori građanima na sva pitanja o upotrebi njihovih osobnih podataka.

Naravno, državne institucije i druge pravne osobe svakodnevno će nas uvjeravati kako su njihovi informacijski sustavi izuzetno sigurni i da nema opasnosti za osobne podatke. No, konačnu bi riječ morala dati revizija mjera zaštite osobnih podataka. To bi također trebao biti jedan od zadataka AZOP-a. Naime, Agencija bi trebala pokazati puno veću agilnost i kompetentnost u kontroli primjene Zakona o zaštiti osobnih podataka i primjeni tehničkih mjera, a sve skupa bi trebalo biti popraćeno i posljedicama za prekršitelja koje će biti ozbiljnije od onih predviđenih sadašnjim Zakonom o zaštiti osobnih podataka. Ipak, dosljedna primjena Zakona o zaštiti osobnih podataka znatno bi povećala troškove uvođenje i upotrebu OIB-a. Možda se upravo to želi izbjeći.

Banalizacija privatnosti

Na kraju, čini mi se da je priča o OIB-u zapravo priča o našoj svijesti za očuvanjem privatnosti i zaštiti osobnih podataka.

Iako je uspostavljen institucionalni okvir, tj. zakonska regulativa i Agencija za zaštitu osobnih podataka, nedostaje puno povjerenje javnosti u njenu djelotvornost. Bojim se da će mnoge zloupotrebe proći neprimijećeno i, naravno, nekažnjeno. Barem dok institucije koje preuzimaju, pohranjuju i obrađuju naš OIB ne osjete stvarni pritisak za primjerenu brigu o tim podacima, kao i teret potencijalnih sankcija.

Pokušavajući protumačiti ravnodušnost većine građana koji bez pogovora prihvaćaju nametnutu činjenicu da OIB nije osobni podatak, ne možemo se oteti dojmu da je to rezultat opće pod-educiranosti o pitanjima zaštite privatnosti. To je jednim dijelom posljedica urođene naviknutosti na birokratsku narav državnog aparata koju su (nešto) starije generacije stekle desetljećima unatrag, a drugim dijelom sveopće banalizacije privatnosti koju (nešto) mlađe generacije treniraju u proteklom desetljeću. Dakle, iz situacije kad smo propustili formirati kolektivnu svijest o značaju privatnosti u osamdesetim godinama prošloga stoljeća utrčali smo u brisani prostor u kojemu je privatnost samo roba za prodaju ili trampu.