Procena uticaja na zaštitu podataka o ličnosti

1. Opšti podaci

Ova procena uticaja na zaštitu podataka o ličnosti (u daljem tekstu: procena) izrađuje se u skladu sa članom 54 Zakona o zaštiti podataka o ličnosti („Službeni glasnik RS“, broj 87/2018; u daljem tekstu: ZZPL). Izrazi iz Pravilnika o KOLO sistemu imaju isto značenje u ovoj proceni. Procena obuhvata sve radnje obrade iz Registra radnji obrade podataka o ličnosti (u daljem tekstu: Registar); kategorije lica i podataka, primaoci i rokovi čuvanja utvrđeni su u Registru i ovde se ne ponavljaju. Procena utvrđuje rizike po prava i slobode lica i mere za njihovo umanjenje.

Procena se menja istovremeno sa svakom novom radnjom obrade u Registru i pri: izmeni pravila za maloletne korisnike; izmeni mehanizma potvrde u programima podrške ili uvođenju novih kategorija podataka; izmeni nadzora integriteta koja uvodi nove podatke ili automatsko preduzimanje radnji; izmeni obima podataka zadrugara ili kruga lica koja im pristupaju; izmeni prikaza gazdinstva na mapi, a posebno pri ispisu adrese bez izjave ili prikazu imena članova; proširenju slučajeva upisa u evidenciju identiteta ili prikazu imena van slučajeva iz tačke 5.16; proširenju prikaza vaučera uz pseudonim; proširenju prikaza preporuka preko broja; proširenju kruga kome su dostupni ime i broj sa spiska za poziv, kruga lica koja na spisak dolaze ili izmeni beleženja otvaranja; objavljivanju pojedinačnih glasova u Gornjem Kolu; značajnoj promeni infrastrukture, obrađivača ili pravnog okvira; a najkasnije 12 meseci od poslednje izmene.

2. Opis obrade

2.1. Sistem i rukovalac

KOLO sistem je platforma za evidenciju doprinosa zajedničkom dobru. Protokol, kao tehničko sredstvo obrade, evidentira doprinose u POEN-ima. Rukovalac je Fondacija, jer određuje svrhe i sredstva obrade (član 4 tačka 8 ZZPL-a); obrađivači iz Registra postupaju na osnovu ugovora o obradi (član 45 ZZPL-a). Podaci o ličnosti čuvaju se na infrastrukturi koju obezbeđuje Fondacija, kod obrađivača sa ugovorom o obradi (član 15 stav 2 Pravilnika o KOLO sistemu).

2.2. Dizajnerske odluke za zaštitu podataka

Zaštita podataka zasnovana je na zaštiti po dizajnu i po podrazumevanoj vrednosti (član 42 ZZPL-a) i na tri odluke:

1. pseudonimnost evidencije: zapisi su vezani za pseudonime; ime i prezime vodi se samo u evidenciji identiteta, odvojeno od evidencije doprinosa, upisuje se samo u pet slučajeva (član 31 Pravilnika o KOLO sistemu) i ne prikazuje se drugim korisnicima, osim u slučajevima iz tačke 5.16. Pseudonimnost nije anonimnost: pseudonimizovani podaci ostaju podaci o ličnosti;

2. razdvajanje podataka: identifikacioni podaci vode se odvojeno od obračunskih, a bankovna dokumentacija donacija odvojeno od podataka Platforme;

3. minimizacija: prikupljaju se samo podaci neophodni za funkcionisanje sistema; to je granica zajedničkog dobra koja se ne može ukinuti nijednom upravljačkom odlukom (članovi 10 i 15 Pravilnika o KOLO sistemu).

2.3. Pregled radnji obrade

Registar sadrži dvadeset sedam aktivnih radnji obrade (br. 1–28; radnja br. 15 je prestala i njen broj se ne dodeljuje ponovo).

2.4. Obrađivači i prenos

Aplikacija se izvršava i baza se nalazi u Evropskoj uniji (region Frankfurt), koja obezbeđuje primereni nivo zaštite, pa za podatke u bazi prenos u smislu Glave V ZZPL-a ne postoji; ostaje mogućnost administrativnog pristupa iz Sjedinjenih Američkih Država, jer su Vercel Inc. i Neon Inc. društva iz te zemlje. Prenos u Sjedinjene Američke Države stvarno se vrši za rezervnu kopiju baze (GitHub Inc., Google LLC), slike i priloge (Cloudflare, Inc.), elektronsku poštu koju Platforma šalje (Resend, Inc.), upozorenja Fondaciji (Telegram Messenger Inc.) i merenje posećenosti po pristanku (Google). Kartično plaćanje obrađuju poslovna banka Fondacije i njen posrednik u Republici Srbiji.

3. Neophodnost i srazmernost

3.1. Obrade po osnovu ugovora (br. 1, 2, 4, 14, 16, 17, 20, 21, 22, 23, 25, 26, 27)

Registracija (pseudonim, adresa, lozinka) je najmanji skup za postojanje naloga: bez pseudonima nema evidencije, bez adrese nema oporavka pristupa. Dokaz stvarnosti (evidencija lanca potvrda, vrsta verifikacije, potvrđenost) neophodan je za načelo jedna osoba, jedan nalog; podatak o vrsti verifikacije i o tome ko je člana bez potvrde potvrdio potreban je da bi se primenila ograničenja člana bez potvrde i da bi potvrda mogla da podleže nadzoru i odgovornosti kao verifikacija. Evidencija doprinosa je suština Protokola; anonimizacija bi onemogućila sistem, pa je pseudonimizacija najblaža mera koja svrhu ostvaruje.

Gazdinstvo (br. 20) se prikazuje na mapi zato što je ponuda domaće hrane vidljiva po mestu svrha zbog koje gazdinstvo pristupa sistemu; obrađuje se samo ono što prikaz i uslovi doprinosa traže, adresa se ispisuje na osnovu izjave koja je deo prijave, a BPG nije javan.

Evidencija identiteta (br. 21) služi načelu jedna osoba, jedan nalog, koje lanac potvrda sam ne može da proveri: verifikator ne zna koliko naloga lice ima. Ime se zato upisuje samo tamo gde ga sistem po prirodi stvari dobija ili gde je proverljivo: kod javne donacije (banka je identifikovala uplatioca), zadrugara (zadruga ga poznaje), gazdinstva (ime upisuje sam član, uz izjavu o tačnosti), pokroviteljstva (ime zastupnika poredi se sa registrom privrednih subjekata) i spiska za poziv (ime upisuje sam korisnik). Blaža alternativa (da se ime ne vodi uz nalog) ne ostvaruje svrhu, jer se isto lice sa dva naloga tada ne može prepoznati.

Vaučeri (br. 22) obrađuju samo ono što raspodela traži; prikaz zapisa o poništenju uz pseudonim počiva na pristanku datom pri uzimanju, a korisnik koji prikaz ne želi vaučer ne uzima. Preporuke (br. 23) obrađuju samo par ko je koga preporučio i kada, što je najmanje što omogućava pravilo jedne preporuke po paru i povlačenje.

Kolektivna nabavka (br. 16) obrađuje samo naziv dobra u predlogu i podatke o redu i preuzimanju; broj POEN-a se očitava iz evidencije, a ne prikuplja iznova. Pored verifikacije kriterijumi učešća se ne postavljaju, da se ne bi prikupljali podaci o delatnosti i prilikama korisnika.

Glasanje u Gornjem Kolu (br. 25) traži da se uz glas zna glasačka moć glasača u tom periodu i da se jednom licu ne dozvoli dva glasa; pojedinačni glas se zato čuva, ali se ne objavljuje, a javni su samo zbirovi i ishod. Operativni doprinos (br. 26) traži plan i dokaz izvršenja, jer bez njih lice koje potvrđuje ne može utvrditi da je posao obavljen; dokaz se odnosi na izvršen posao, a ne na lice. Prigovori i prijave (br. 27) traže podatke o predmetu i o licu na koje se odnose, jer se bez njih o stvari ne može odlučiti; podnosilac prijave oglasa se ne otkriva oglašivaču.

Zaključak: obrade su neophodne za svrhu i srazmerne uz mere iz tačke 5.

3.2. Obrade po osnovu pristanka (br. 3, 9, 13, 19, 24)

Dobrovoljno uneti podaci su neobavezni i ne uslovljavaju nijednu funkciju. Objava oglasa je pristanak dat uz upozorenje da je oglas javan i povlači se uklanjanjem oglasa. Ime uz javnu donaciju objavljuje se samo po izboru donatora, za svaku donaciju posebno, i povlači se u svakom trenutku; anonimna donacija je stvarna alternativa, a POEN se za nju ne evidentira zato što se upis koji se ne može pripisati nijednom licu ne može proveriti, a ne zato što je objava uslov. Podaci zadrugara dostavljaju se samo uz pristanak i svedeni su na ime, pseudonim i naziv zadruge; bez imena broj zadrugara se ne može pouzdano utvrditi, jer pseudonim ne dokazuje članstvo u zadruzi.

Spisak za poziv (br. 24) obrađuje broj telefona samo uz izričit pristanak korisnika, koji ga sam ostavlja. Blaži oblik od onoga koji svrha traži ne postoji: lice koje ne poznaje nikoga u mreži može biti upoznato samo ako ga neko kontaktira, a razgovor telefonom je najmanji korak kojim se to postiže. Ime je pozivaocu potrebno da proveri da razgovara sa licem koje je na spisak dospelo, a ne sa nekim ko se za njega izdaje. Ime i broj ne prikazuju se uz spisak, nego tek otvaranjem, kod jednog člana Kola u isto vreme.

3.3. Obrade po osnovu zakonske obaveze (br. 5, 18)

Dinarski zapisi o donacijama i pokroviteljstvu čuvaju se 10 godina po Zakonu o računovodstvu i poreskim propisima; identitet uplatioca obezbeđuje banka, pa blaže sredstvo ne postoji. Zapis o pristanku ispunjava teret dokazivanja iz člana 15 stav 1 ZZPL-a, bez ikakvog dodatnog identifikatora.

3.4. Obrade po osnovu legitimnog interesa (br. 6, 7, 12 i delovi br. 4, 11, 21, 24, 25, 26, 27)

Podaci o zastupniku pokrovitelja ograničeni su na ono što valjan ugovor traži; na rang-listi se objavljuje samo naziv, jer bi adresa sedišta preduzetnika često bila njegova kućna adresa. Tehnički podaci i dnevnici neophodni su za bezbednost i čuvaju se 12 meseci.

Nadzor integriteta (br. 12) ne prikuplja nove podatke, radi nad pseudonimima, ne odlučuje i podleže ljudskom pregledu i prigovoru; interes Fondacije i poštenih korisnika za verodostojnu evidenciju i glasanje preteže nad minimalnim zadiranjem.

Zadržavanje numeričke istorije posle prestanka statusa (br. 4) služi odbrani pravnih zahteva i integritetu evidencije, jer je svaki zapis ujedno deo zapisa druge strane i protivzapisa Protokola; brisanje bi menjalo tuđu istoriju. Zadržavaju se samo brojevi uz pseudonim koji ne upućuje na ime, a slobodan tekst se briše. Zakonska obaveza postoji samo za dinarske zapise o donacijama i pokroviteljstvu.

Ostali delovi (br. 11, 21, 24, 25, 26, 27) procenjuju se u tačkama 5.10, 5.16, 5.19, 5.20, 5.21 i 5.22, a Kutija želja (br. 28) u tački 5.23.

3.5. Automatizovano odlučivanje (br. 8)

Evidentiranje POEN-a, obračunski koeficijent i raspodela u okviru dnevnog limita automatizovane su obrade koje mogu značajno uticati na lice u smislu člana 38 ZZPL-a. Status lica se nikad ne menja automatski: nema automatske potvrde lanca, a ako potvrda postojanja deteta ne stigne, roditelju se ništa ne oduzima. Formula je javna i deterministička; lice ima pravo na objašnjenje logike, ljudski uvid i prigovor. Zaključak: obrada je neophodna, uz garancije iz tačke 5.8.

4. Rizici po prava i slobode lica

Rizik se ocenjuje kao proizvod verovatnoće i ozbiljnosti, svake na skali 1–4 (zanemarljiva, niska, srednja, visoka): nizak (1–4), srednji (5–9), visok (10–16).

Visokih rizika nema u sadašnjem stanju sistema.

5. Mere za umanjenje rizika

5.1. Tehničke mere

Pseudonimizacija evidencije; ime i prezime samo u evidenciji identiteta (tačka 5.16); jedinstveni matični broj građana se ne obrađuje. Razdvajanje identifikacionih od obračunskih podataka. TLS enkripcija najmanje verzije 1.2. Enkripcija u mirovanju na nivou infrastrukture. Integritet evidencije: pravilo nultog zbira sa automatskom proverom, atomaran upis i vremensko označavanje; odstupanja su vidljiva i proveravaju se. Heširanje lozinki. Revizijski dnevnik administrativnih radnji. Zbirni pokazatelji stanja sistema i koncentracije ne iskazuju se kada obuhvataju manje od pet lica, a dnevni snimak pokazatelja ne sadrži podatke o ličnosti.

5.2. Organizacione mere

Kontrola pristupa po načelu najmanje neophodnosti (član 50 ZZPL-a). Višefaktorska autentifikacija za pristup infrastrukturi. Obaveza poverljivosti za sva lica sa pristupom podacima, a za člana Kola koji otvara poziv i za zadružnog administratora i izjava o poverljivosti. Obuka lica sa pristupom. Bezbednosne provere i penetraciono testiranje. Postupak za povredu podataka, sa obaveštavanjem Poverenika u roku od 72 sata (član 52 ZZPL-a). Godišnja provera rokova čuvanja.

5.3. Rezervna kopija i oporavak

Kopija cele baze pravi se svakog sata i čuva kod GitHub Inc. 14 dana i na Google Drive nalogu Fondacije 30 dana. Obuhvata evidenciju i identifikacione podatke; pristup imaju samo lica sa administratorskim pristupom infrastrukturi. Šifrovanje kopije i redovno testiranje oporavka uvode se pre punog pokretanja sistema.

5.4. Mere za prekogranični prenos

Obrada u Evropskoj uniji: aplikacija se izvršava i baza se nalazi u regionu Frankfurt, pa evidencija Protokola, podaci iz prijava na programe podrške, poruke i podaci maloletnih korisnika ostaju u krugu sa primerenim nivoom zaštite. Uzak obim onoga što izlazi: rezervna kopija, slike i prilozi, elektronska pošta, upozorenja i podaci o posećenosti. Kanal upozorenja sveden na najmanju meru: pseudonim i vrsta događaja, bez podataka iz prijave na program i bez sadržaja poruka. Ugovor kao uslov prenosa: samo obrađivaču sa standardnim ugovornim klauzulama ili drugim merama iz člana 65 ZZPL-a. Fondacija čuva primerak svakog ugovora i najmanje jednom godišnje proverava da li je na snazi i da li se spisak podobrađivača promenio; prikupljanje primeraka je u toku. Google Analytics se ne učitava pre pristanka, a merenje bez kolačića ne prati posetioca između sajtova.

5.5. Mere za nadzor integriteta

Bez novih podataka: nadzor radi nad podacima koji se već obrađuju, u pseudonimnom obliku. Bez automatskog odlučivanja: sistem samo označava naloge ili grupe za pregled; meru donosi ovlašćeno lice. Težina na odsustvu aktivnosti, ne na gustini veza, da zbijena stvarna zajednica ne bi bila tretirana kao zloupotreba. Nalaz se može odbaciti, posle čega se nalog određeno vreme ne obeležava ponovo. Pravo na prigovor (član 37 ZZPL-a). Nalazi su dostupni samo superadministratorima; kanal upozorenja nosi samo zbirne brojeve. Rešeni nalazi brišu se najkasnije posle 12 meseci. Provera zatvorene grupe ne proizvodi dejstvo prema korisniku; Fondacija članove grupe može pozvati na razgovor, a razgovor nije mera.

5.6. Mere za nadzorni predmet

Predmet nastaje iz procene nadzornika nad zapisom koji se već obrađuje. Zatvoren šifarnik: slobodan tekst samo uz razlog „ostalo“, čime se sprečava upis proizvoljnih zapažanja o čoveku. Bez sukoba interesa: nadzor ne obavlja onaj ko je u verifikaciji učestvovao, niti isti nadzornik dvaput nad istim zapisom. Bez odlučivanja: predmet je evidencija; lažnu verifikaciju utvrđuje Fondacija odlukom, pa nema automatizovanog odlučivanja. Predmet vidi samo superadministrator; verifikator i verifikovani ga ne vide. Neosnovana sumnja briše se 90 dana po zatvaranju predmeta, bez zahteva lica. Prigovor po članu 37 ZZPL-a i prigovor na odluku po Uslovima korišćenja.

5.7. Mere za oglase

Za objavu se traži sadržinski minimum o dobru ili usluzi, a ne o osobi; fotografija lica i ime nisu traženi. Broj telefona dostupan je samo učesnicima. Vidljiva oznaka da oglašivač nije u Kolu štiti drugu stranu. Uklanjanje oglasa u svakom trenutku povlači i pristanak. Oglas maloletnog korisnika vidi samo onaj kome je dostupan po Pravilniku o učešću dece.

5.8. Mere za automatizovano odlučivanje

Javna deterministička formula koju svaki korisnik može proveriti; pravo na objašnjenje logike; pravo da odluku preispita ovlašćeno lice; prigovor (član 38 ZZPL-a). Status lica se ne menja automatski.

5.9. Mere za programe podrške

Izričit pristanak: prijava i traženje potvrde pokreću se samo uz izričit pristanak, dat pre nego što se od bilo koga zatraži potvrda. Pristanak navodi koliko će lica biti zamoljeno; da ta lica saznaju o kom je programu reč i da im to može otkriti pripadnost posebnoj kategoriji; da se evidentiranje prikazuje učesnicima uz pseudonim, naziv programa i iznos, a neprijavljenim licima i korisnicima koji nisu u Kolu samo kao dnevni zbir po programu; šta se iz iznosa može izvesti kod Podrške starijima i Podrške majkama; i da se osnov ne prikazuje nijednom korisniku. Tekst pristanka se snima, jer je broj zamoljenih lica za svakog podnosioca drugačiji.

Minimizacija prema onima koji potvrđuju: ne vide sadržaj prijave; potvrđuju na osnovu ličnog poznavanja. Uzak krug: zahtev prima samo član Kola, odnosno osnivač, koji podnosioca lično zna; član bez potvrde i član Kola koji je podnosioca uveo u Kolo, odnosno potvrdio, posle razgovora telefonom ne potvrđuju. Posebne vrste podataka vidi samo superadministrator, koji o prijavi i odlučuje. Bez spoljnih kanala: obaveštenje o zahtevu samo unutar Platforme; elektronska pošta i poruka na uređaj ne nose naziv programa ni pseudonim. Povlačenje pristanka uz sam program, bez razloga, uz prekid postupka i brisanje unetih podataka. Brisanje unetih podataka i pri odbijanju, obustavi i prestanku statusa; ponovna prijava traži ponovan unos i ponovnu potvrdu. Zatvaranje postupka: po okončanju se zahtevi i obaveštenja uklanjaju iz naloga onih od kojih je potvrda tražena.

Minimizacija posebnih vrsta podataka: od rešenja o invaliditetu uzima se samo njegovo postojanje i datum; stepen, ocena radne sposobnosti, dijagnoza i medicinska dokumentacija se ne prikupljaju, jer bi to bilo nesrazmerno zadiranje u posebnu vrstu podataka za svrhu kojoj je dovoljno postojanje rešenja. Kod bolesti, gubitka doma i studiranja dokaz je izjava, ne isprava.

Gradiran prikaz i izostavljanje osnova: pojedinačni zapis prikazuje se učesnicima uz pseudonim, naziv programa i iznos; neprijavljenim licima i korisnicima koji nisu u Kolu samo dnevni zbir, a dan sa jednim primaocem podrške u programu ne objavljuje se, jer bi zbir bio jednak pojedinačnom iznosu. Nosiva mera je izostavljanje osnova: osnov se ne prikazuje nijednom korisniku, pa naziv Posebne podrške, koja obuhvata i smanjenu sposobnost i gubitak doma, ne kazuje koji je osnov u pitanju: prikaz osnova bio bi prikaz podatka o zdravlju, odnosno o prinudnoj raseljenosti, koja je blizu podatka o nacionalnoj pripadnosti. Kod Podrške starijima i Podrške majkama iznos se izvodi iz podataka na osnovu kojih je pravo utvrđeno i odaje ih (godinu rođenja, odnosno broj i uzrast dece); iznos se ipak prikazuje, jer je proverljivost evidencije prema zajednici pretežniji interes, a podnosilac na to izričito pristaje. Kod Posebne podrške i Podrške studentima iznos je fiksan i ne odaje ništa. Proverljivost ostaje potpuna, jer zbir dnevnih iznosa sa ostalim kanalima daje promenu ukupnog broja POEN-a. Opis zapisa ne imenuje program: naziv se izvodi iz prijave, a ne iz opisa zapisa. Razlaganje po osnovu vidi samo primalac podrške i superadministrator.

Saglasnost roditelja za podatak o detetu: kod Podrške majkama obrađuje se samo datum rođenja deteta koje nije korisnik, bez imena, uz saglasnost roditelja (član 16 ZZPL-a) koju daje podnosilac; briše se kada prijava prestane.

Prihvaćena posledica: pripadnost programu ostaje poznata onima od kojih je potvrda tražena i posle prestanka prijave. To se ne može ukloniti bez ukidanja potvrde, koja štiti program od neistinitih prijava. Umanjenje je u tome što se pristanak daje pošto je ta posledica izričito saopštena, uz jedinu alternativu: da se korisnik ne prijavi.

5.10. Mere za maloletne korisnike

Uzrast se ne proverava: provera bi tražila uvid u ispravu ili datum rođenja svakog punoletnog korisnika, što je nesrazmerno svrsi i protivno načelu minimizacije (član 5 ZZPL-a). Maloletno lice nema razloga da o uzrastu neistinito izjavi, jer punoletni nalog ne daje ništa što bi ga privuklo, a izjava da je dete vodi u prijateljstva, dečji prostor i evidentiranje doprinosa. Preostali rizik je R25.

Minimizacija pre saglasnosti: do preuzimanja naloga obrađuju se pseudonim, podaci za pristup, adresa roditelja i prijateljstva sklopljena u tom razdoblju; datum rođenja upisuje roditelj i posle upisa se ne menja. Zatvorene funkcije: Pričaonica, škola, oglasi, komunikacija sa punoletnima i evidentiranje POEN-a nisu dostupni dok nalog nije preuzet, jer iza naloga na čekanju ne stoji nijedno punoletno lice koje odgovara za radnje deteta, a roditelj razgovore između dece ne čita; prijateljstvo se sklapa samo skeniranjem koda uživo. Sopstveni izlaz maloletnog korisnika: nalog koji čeka preuzimanje dete može samo obrisati, bez roditelja i bez obraćanja Fondaciji. Rok kao mera: nalog koji niko ne preuzme u roku od 14 dana briše se bez zahteva lica. Bez identifikujućih podataka u poruci trećem licu: u poruci roditelju stoji samo pseudonim, jer tačnost adrese nije proverena. Dva izlaza bez prijave: primalac poruke može izjaviti da nije roditelj i može obrisati nalog.

Procena srazmernosti za obradu po legitimnom interesu: obrada adrese roditelja i podataka deteta do preuzimanja naloga služi pribavljanju saglasnosti koju zakon traži: bez kontakta sa roditeljem saglasnost se ne može ni zatražiti. Blažeg sredstva nema: adresa roditelja je jedini podatak kojim dete raspolaže, a bez zapisa o nalogu poziv se ne bi mogao vezati ni za koga. Prava deteta pretežu gde god mogu: obim je sveden na neophodno, razdoblje na 14 dana, funkcije koje bi dete izložile punoletnima su zatvorene, poruka sadrži samo pseudonim, primalac ima dva izlaza, a dete sopstveni. Obradu pokreće samo dete, unosom adrese svog roditelja, a jedini ishod je poruka tom roditelju. Adresa se ne upisuje kao adresa naloga deteta i ne otvara put za prijavu. Prihvaćena posledica: nalog se može obrisati jednokratnim ovlašćenjem iz poruke, pa ga može obrisati i onaj ko nije roditelj; alternativa je da nalog i dalje koristi adresu lica koje sa detetom nema veze, a jedini koga sistem tada može pitati jeste onaj ko poruku drži.

Tri stanja deteta i posredna provera roditeljstva: pun pristup i evidentiranje doprinosa (dete Kola) tek kada je roditelj član Kola, odnosno osnivač, i kada postojanje deteta potvrdi član Kola, odnosno osnivač, koji roditelja lično zna; tada su i roditelja i postojanje deteta potvrdila treća lica u stvarnom svetu. Do tada dete ne objavljuje oglase, ne prepisuje POEN, ne piše onima koji mu nisu prijatelji i ne ulazi u pregled po školi. Potvrda postojanja deteta ne donosi POEN, a za lažnu potvrdu odgovara se kao za lažnu verifikaciju; zahtev se članovima Kola prikazuje samo uz pseudonim roditelja, bez podataka o detetu: da pseudonim pripada roditelju, punoletnima je već vidljivo iz obaveštenja koje stoji umesto profila deteta. Ako potvrda ne stigne, roditelju se ništa ne oduzima.

Sužen uvid roditelja: roditelj ne čita razgovore između dece, jer bi uvid dodirnuo i drugo dete, čiji roditelj ga nije dao; vidi prijateljstva i spisak razgovora bez sadržaja. Razgovor sa punoletnim licem roditelj čita, a punoletnom sagovorniku se to prikazuje. Roditelj deteta Kola dobija obaveštenje kada se dete sprijatelji sa detetom koje nije dete Kola, bez sadržaja. Filtriranje dečje Pričaonice prijateljstvima, bez odgovora sa citatom, da se filter ne bi zaobišao. Nejavnost grafa: prijateljstva ne ulaze u javne prikaze ni agregate. Zatvoren profil: punoletnima se umesto profila deteta prikazuje obaveštenje sa pseudonimom roditelja. Zapis u kome je strana maloletni korisnik ne prikazuje se nijednom posmatraču.

Škola: javno se objavljuju samo brojevi i udeli po školama, bez podataka o ličnosti. Pregled dece jedne škole obuhvata samo decu Kola i dostupan je samo detetu Kola iste škole: stanje „dete Kola“ traži se zato što bi se inače punoletno lice moglo predstaviti kao dete i pribaviti pregled sa pseudonimima i iznosima, a ograničenje na sopstvenu školu zato što pregled služi zajednici u kojoj se deca i inače poznaju. Sa pregleda se ne pristupa profilu. Čuva se samo tekuća škola, uz najviše jednu promenu u 30 dana.

Sopstvena adresa deteta: upisuje se tek po potvrdi otvaranjem veze, pa omaška u kucanju ne predaje nalog trećem; na nju se ne šalju obaveštenja; kada adrese nema, novu lozinku postavlja roditelj, uz obaveštenje detetu.

Prijava lažnog roditeljstva: dete se obaveštava o svakom preuzimanju naloga, uz pseudonim lica koje ga je preuzelo; dete, drugi roditelj ili bilo koji korisnik može prijaviti da lice nije roditelj; veza se odmah privremeno zaustavlja, pa lice do odluke nema uvid ni ovlašćenja roditelja; odlučuje ovlašćeno lice Fondacije, a licu na koje se prijava odnosi ne otkriva se ko ju je podneo; ako dete ostane bez roditelja, nalog prelazi u stanje dete na čekanju i rok od 14 dana teče iznova. Odluku donosi čovek.

Evidentiranje doprinosa prijateljstvima je primena objavljenih pravila i ne dira status, pa nema automatizovanog odlučivanja.

5.11. Mere za kolektivnu nabavku

Predlog sadrži samo naziv dobra. Registar predloga objavljuje se bez pseudonima. Pored verifikacije, kriterijumi učešća se ne postavljaju. Broj POEN-a za red očitava se iz evidencije. Dobavljač dobija samo spisak kodova. Uz spisak preuzimalaca objavljuju se pseudonim i mesto u redu, bez broja POEN-a. Red je primena objavljenih pravila, uz prigovor o kome odlučuje čovek. Predlog se briše izborom drugog naziva, uklanjanjem, sprovođenjem nabavke i najkasnije posle 12 meseci.

5.12. Mere za prestanak statusa i pravo na brisanje

Tačno imenovan postupak: prestankom statusa nalog se pseudonimizuje, a ne anonimizuje; zadržani zapisi ostaju podaci o ličnosti, a ograničenje brisanja stoji na članu 30 stav 3 ZZPL-a (pravni zahtev, a za dinarske zapise o donacijama i pokroviteljstvu i zakonska obaveza čuvanja). Brišu se elektronska adresa, dobrovoljno uneti podaci, ime i prezime iz evidencije identiteta, sadržaj i fotografije oglasa (oglasi se uklanjaju sa prostora za oglašavanje, fotografije iz skladišta), plan, opis i dokaz izvršenja operativnog doprinosa i slobodan tekst uz prepise, prigovore i prijave. Poruke u razgovoru brišu se kada bar jedna strana ugasi nalog. Ostaju numerički zapisi uz pseudonim koji ne upućuje na ime i osnov upisa; veze u evidenciji lanca potvrda se pseudonimizuju, a verifikacije koje je lice dalo ostaju. Ime uz javnu donaciju uklanja se iz liste i briše iz zapisa donacije. Ispravka netačnog podatka traži se u Platformi, prigovorom. Fondacija najmanje jednom godišnje proverava da li je za neku kategoriju istekao rok čuvanja. Pri prijavi smrti (Uslovi korišćenja) podaci lica koje je smrt prijavilo i dokaz o smrti, kada je zatražen, obrađuju se samo radi tog postupka i brišu se po njegovom okončanju.

5.13. Mere za dokaz pristanka

Za svaku obradu po pristanku i za prihvatanje Uslova korišćenja beleže se trenutak, verzija akta i prikazan tekst, na jeziku prikaza. Nalog se ne otvara bez zapisa, a provera je na serveru; zapis nastaje u istoj atomskoj radnji kojom i nalog. Prihvatanje Uslova i Politike privatnosti beleži se kao dve izjave (član 15 stav 2 ZZPL-a). Objavljena verzija akta se ne menja, pa zapis trajno upućuje na tekst koji je važio. Saglasnost roditelja na obradu podataka deteta beleži se odvojeno od zahteva za potvrdu postojanja deteta, da povlačenje saglasnosti ne obori tvrdnju o postojanju deteta. Uz zapis se ne beleže IP adresa, podaci o uređaju ni drugi identifikatori; za neprijavljenog posetioca odluka o kolačićima beleži se samo u kolačiću, uz verziju obaveštenja, a odluka po ranijoj verziji se ne prenosi na novu. Pristanak se povlači jednako jednostavno kao što je dat; zapis se pri tom ne briše, nego dobija trenutak povlačenja. Potvrda adrese linkom utvrđuje da adresa pripada licu koje je otvorilo nalog, a nije uslov za korišćenje naloga.

5.14. Mere za zadruge

Od zadrugara se obrađuju samo ime i prezime, pseudonim, naziv zadruge i trenuci povezivanja i prestanka; zadružni administrator uz to vidi broj telefona koji je zadrugar upisao na profilu. Isprave, adresa i matični broj se ne traže. Podatak se dostavlja samo za lica koja su pristala; povlačenjem svojstvo zadrugara prestaje, bez posledica po POEN u zapisu. Ime se ne prikazuje drugim korisnicima; zapisi zadruge prikazuju se pod nazivom zadruge, a zadrugari pod pseudonimom. Zadružni administrator ima zasebnu ulogu vezanu za jednu zadrugu, radi samo u njenom zapisu i sa njenim zadrugarima, ne vidi ostatak panela ni posebne vrste podataka i pre ovlašćenja potpisuje izjavu o poverljivosti; njegove radnje beleže se u revizijskom dnevniku. Maloletni nalozi nisu obuhvaćeni. Zadruga ne potvrđuje stvarnost, pa se evidencija lanca potvrda ne menja. Kada zadruga pomaže u sporu između korisnika, podatke joj daju same strane i za njih je rukovalac zadruga; Fondacija joj ne dostavlja podatke o korisnicima, pa nova radnja obrade ne nastaje.

5.15. Mere za gazdinstva i mapu domaćih proizvođača

Obrađuju se naziv, naselje, lokacija, opis proizvodnje, uloga podnosioca i pseudonimi članova; BPG se navodi kada je gazdinstvo upisano u registar i ne proverava se; izvod iz Registra poljoprivrednih gazdinstava se ne prilaže. Broj telefona uzima se samo od nosioca, za razgovor pre odobrenja, vidi ga samo administratorski tim i briše se odlukom o prijavi; sa ostalim članovima Fondacija po tom osnovu ne razgovara. Ime i prezime članova vodi se u evidenciji identiteta, ne uz gazdinstvo. Samo punoletni nalozi. Prijavu i svako pristupanje Fondacija pregleda pre prikaza. Adresa se ispisuje uz tačku na mapi na osnovu izjave podnosioca, koja je deo prijave, a prikaz prestaje brisanjem gazdinstva; prestankom gazdinstva tačka se uklanja, a naziv, opis, lokacija i BPG se brišu. Pretraga adrese ide iz pretraživača podnosioca. Zbirna procena: nosilac koji je korisnik dobija ponudu za spisak za poziv, pa član Kola koji otvori poziv vidi njegovo ime, mesto i broj, a mapa javno pokazuje gazdinstvo sa pseudonimima članova; spisak ne nosi adresu ni vezu ka gazdinstvu, a spajanje je moguće samo kod tog jednog člana Kola, uz beleženje i na osnovu pseudonima koji je i inače javan na Pijaci, pa zbirni rizik ne prelazi ocenu R20.

5.16. Mere za evidenciju identiteta

Zatvoren krug slučajeva upisa (član 31 Pravilnika o KOLO sistemu); proširenje traži izmenu Pravilnika i ove procene. Obrađuju se samo ime i prezime, pseudonim, slučaj i trenutak upisa; poređenje sa registrom privrednih subjekata beleži se samo kao činjenica. Ime se ne upisuje u evidenciju doprinosa, opis zapisa POEN-a, obaveštenja ni revizijski dnevnik. Ime ne izlazi u prikaze drugim korisnicima, uz dva izuzetka: član Kola koji poziva korisnika sa spiska za poziv, kome se ime otvara klikom dok je poziv otvoren i uz beleženje (tačka 5.19), i zadružni administrator, za zadrugare svoje zadruge (tačka 5.14); to se proverava automatskim testom izvornog koda. Upis ne potvrđuje stvarnost. Jedno ime po nalogu; ispravka samo po prigovoru. Pristup administratorskom timu, uz višefaktorsku autentifikaciju za infrastrukturu. Za maloletne se evidencija ne vodi. Zatečena imena se ne prenose retroaktivno. Briše se prestankom statusa.

5.17. Mere za vaučere

Pristanak pre uzimanja, uz izričito upozorenje da prikaz može otkriti podatke o imaocu, i o zdravlju; bez pristanka vaučer se ne uzima, a uzimanje je dobrovoljno. Prikaz ide uz pseudonim, nikad uz ime. Zapis vide samo oni kojima je evidencija dostupna. Vaučere potvrđuju samo lica koja je davalac odredio. Vaučer je imenski i neprenosiv. Povlačenjem pristanka opis dobra, odnosno usluge i naziv davaoca brišu se iz opisa zapisa o poništenju, a zapis ostaje. Fotografiju cenovnika vidi samo administratorski tim.

5.18. Mere za preporuke

Na profilu se prikazuje samo broj; ko je koga preporučio vidi samo onaj ko je preporuku dao. Preporuka se ne daje u negativnom obliku, pa sistem ne vodi nepovoljan sud ni o kome. Ne proizvodi zapis POEN-a i ne utiče na status, pristup, verifikaciju ni oglase. Jedna po paru, uz povlačenje. Maloletni je ne daje i ne prima; član bez potvrde je ne daje.

5.19. Mere za spisak za poziv, višestruke naloge i prostor odraslih

Ime i broj skriveni do otvaranja: otvaraju se klikom, samo članu Kola koji je poziv otvorio i dok je poziv otvoren; poziv je otvoren kod jednog člana Kola, a jedan član Kola drži jedan otvoren poziv. Beleženje ko je otvorio: zapis sadrži samo pseudonime i vreme, vidi ga samo administratorski tim, čuva se dok postoji nalog pozvanog, jer služi utvrđivanju zloupotrebe njegovih podataka dok učestvuje u sistemu; kroz Platformu se ne izvozi, a korisnik ga dobija na zahtev. Član Kola koji korisnika pozove i uvede u Kolo ujedno je njegov verifikator, pa je korisniku i inače poznat. Uži krug primalaca: spisak vide samo članovi Kola, čija je stvarnost potvrđena i koji za zloupotrebu odgovaraju po Uslovima korišćenja; zahtev radi potvrde vide samo čuvari Kola. Unapred obaveštenje i pristanak: korisnik zna da će ga pozvati član Kola i da će taj član videti ime i broj; broj ostavlja sam i pristanak povlači bez posledica po donaciju, pokroviteljstvo, gazdinstvo i doprinos po njima. Izjava o poverljivosti: pre prvog otvaranja član Kola jednom izjavljuje da podatke koristi samo za taj razgovor, da ih ne beleži i ne prosleđuje; bez izjave se ništa ne otvara. Član Kola podatke obrađuje po ovlašćenju Fondacije, ne kao samostalan primalac. Bez prenosa: ime i broj ne ulaze u obaveštenja, mejl ni revizijski dnevnik. Kratak rok: korisnik se uklanja sa spiska verifikacijom, odnosno potvrdom, povlačenjem i prestankom statusa.

Višestruki nalozi: ime, mesto i broj porede se sa podacima uz druge naloge; poređenje ništa ne blokira; pozivalac vidi samo oznaku poklapanja i mesto drugog naloga, nikad njegovo ime ni pseudonim; oba naloga vidi samo administratorski tim. Višestruki nalog utvrđuje Fondacija, uz obraćanje licu, obrazloženje i prigovor. Nadzorni predmet nad primaocima prepisa otvara se samo po utvrđenju, sa jedinim pitanjem da li je primalac isto lice ili su prepisi fiktivni, nema dejstvo na njihove naloge, a primalac se ne obaveštava dok mu se ne izrekne mera; to nije praćenje prepisa.

Prostor odraslih: dečji režim ostaje dostupan izjavom o uzrastu i nudi detetu više nego nalog odraslog; razgovor punoletnog sa maloletnim i dalje traži saglasnost roditelja; sadržaj u zajedničkom prostoru Fondacija uklanja kada sazna da krši pravila, a saznanje stiže preko elektronske adrese Fondacije i prigovora. Rizik R25 prihvaćen je odlukom rukovaoca kao posledica otvaranja razmene korisnicima.

5.20. Mere za glasanje u Gornjem Kolu

Pojedinačni glas i delegiranje se ne objavljuju; javni su samo predlozi, zbirovi glasačke moći i ishod. Glasačka moć je ⌊√a⌋ aktiviranog ZRNA, a objavljuju se samo zbirovi, pa se stanje pojedinca iz njih ne čita. Pseudonime predlagača i čuvara Kola koji su predlog podržali vide samo učesnici; javan je samo broj podrški. U aktu Upravnog odbora članovi Upravnog odbora navode se imenom i glasom, bez pseudonima. Ishod je primena objavljenih pravila, a odluku sprovodi Upravni odbor aktom, pa nema automatizovanog odlučivanja. Izlaskom iz sistema delegiranje prestaje.

5.21. Mere za operativni doprinos

Izvršilac i lice koje potvrđuje prikazuju se samo pod pseudonimom, a prijave, planovi i primedbe samo učesnicima. Dokaz se traži o izvršenom poslu, a ne o licu; uz polje za dokaz izvršilac se upozorava da fotografija ne prikazuje lica ni podatke trećih lica (mera se uvodi uz ekran za dokaz). Dokaz vide samo lica koja potvrđuju izvršenje i administratorski tim; fotografija se čuva pod nasumičnom adresom koja se nigde ne objavljuje. Kanal upozorenja nosi naziv zadatka, pseudonim i predloženi POEN, bez dokaza. Kod zadružnog doprinosa celinu ne potvrđuje lice koje ju je dodelilo. Prestankom statusa plan, opis i dokaz se brišu, a snimljena izjava i brojevi ostaju pod pseudonimom.

5.22. Mere za prigovore, prijave i moderaciju

O svakom prigovoru i prijavi odlučuje čovek, uz obrazloženje. Oglašivaču se ne otkriva ko je prijavio oglas; kod prijave razmene druga strana prepisa poziva se da se izjasni pre odluke, jer je ona i inače strana u prepisu. Razlozi prijave biraju se sa zatvorene liste. Sadržaj uklonjene poruke ne prepisuje se u revizijski dnevnik. Na svaku odluku dopušten je prigovor po Uslovima korišćenja. Prestankom statusa slobodan tekst se briše.

5.23. Mere za Kutiju želja

Predlog se pregleda pre prikaza i odbija bez prepravke kada sadrži podatak o ličnosti ili neprimeren sadržaj. Autor se ne prikazuje nikome, ni administratorskom timu; nema komentara ni rang-liste dece, a broj podrški odnosi se na predlog, ne na dete. Obaveštenja ne nose tekst predloga, a Google Analytics se ne učitava. Roditelj vidi samo tekst predloga svog deteta. Brisanjem naloga i sticanjem punoletstva briše se sve što je dete u Kutiji želja podnelo i podržalo.

5.24. Rezidualni rizik

Posle primene mera rezidualni rizik je prihvatljiv. Najviši su rizici na srednjem nivou: R1, R2, R11, R13, R16, R20, R21, R22, R24 i R25; R11 je na gornjoj granici tog nivoa. Rizici se dalje umanjuju nadzorom, testiranjem i ažuriranjem mera.

6. Prava lica

Prava lica i način njihovog ostvarivanja uređeni su Politikom privatnosti; Fondacija odgovara u roku od 30 dana, uz mogućnost produženja za još 60 dana u složenim slučajevima (član 21 ZZPL-a). Za ovu procenu bitna su ograničenja: pravo na brisanje ograničeno je pseudonimizacijom iz tačke 5.12; pravo na prigovor kod obrada po legitimnom interesu dovodi do prestanka obrade osim ako Fondacija dokaže pretežne zakonite razloge; kod automatizovanog odlučivanja lice ima pravo na objašnjenje, ljudski uvid i prigovor; pristanak se povlači u svakom trenutku, bez posledica po ostale funkcije naloga.

7. Procena odgovornog lica rukovaoca

Fondacija nije odredila lice za zaštitu podataka (tačka 1), pa se mišljenje iz člana 54 stav 5 ZZPL-a ne pribavlja; ta odredba obavezu vezuje za slučaj u kome je takvo lice određeno. Umesto njega procenu daje odgovorno lice rukovaoca i ona se kao takva označava.

8. Zaključak

Identifikovano je dvadeset osam rizika po prava i slobode lica; rizik R15 je prestao. Nijedan rizik nije ocenjen kao visok. Deset rizika je na srednjem nivou (R1, R2, R11, R13, R16, R20, R21, R22, R24, R25), a osamnaest na niskom (R3, R4, R5, R6, R7, R8, R9, R10, R12, R14, R17, R18, R19, R23, R26, R27, R28, R29).

Za svaki rizik primenjene su odgovarajuće mere, a rezidualni rizik je prihvatljiv. Obrada se može nastaviti. Prethodno mišljenje Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti (član 55 ZZPL-a) nije potrebno, jer nijedan rizik nije ocenjen kao visok.

Ova procena stupa na snagu danom donošenja.