Jedno od ključnih pitanja 21. veka svakako je: Ko sve danas ima pristup našim podacima?
Ako ništa, makar znamo da je dovoljno da samo jednom pomenemo da želimo da kupimo nove patike i eto nam oglasa na svakom koraku. Međutim, kako algoritmi zapravo rade, prosečnom korisniku društvenih mreža teško je da dopre do svih informacija. Da li nas prisluškuju ili jednostavno pomno prate svaki naš korak, pretragu, lajk i dopisivanje? Šta god da je u pitanju, danas je prilično teško sačuvati čak i neke najrandom stvari za sebe.
Svakako, mnoge stvari nismo ni svesni da smo podelil, a jako malo ljudi zaista uspeva da se odupre današnjem (online) načinu života. Za sada znam da to za rukom polazi jedino mom tati, koji nikada nije imao ni mejl adresu, a smartfon je nešto što uporno odbija. Ipak, ni on nije ostao imun na sveopštu digitalizaciju. Možda ne direktno, jer aloritmi ne dopiru do njega, ali sigurno u bazi podataka postoje njegovi zdravstveni podaci, kao i podaci svih nas.
A šta se desi kada ti podaci, protiv naše volje, postanu javni? Šta kada neko ipak pristupi našem zdravstvenom kartonu i ono što smo možda rekli samo lekaru ili psihoterapeutu odjednom postane dostupno nekome ko nema nikakve veze sa našim životom?
Zdravstveni podaci spadaju u posebno osetljivu kategoriju podataka o ličnosti. Stoga se postavlja pitanje sta građani u Srbiji mogu da urade kada saznaju ili posumnjaju da su njihovi zdravstveni podaci procureli? Saradnica SHARE Fondacije i advokatica sa ekspertizom u oblasti zaštite podataka o ličnosti Jelena Aćimović objašnjava da građani svakako mogu da se obrate prvo samom rukovaocu, odnosno zdravstvenoj ustanovi kod koje se eventualno dogodila povreda. Međutim, ukoliko tu ne dobiju povratne informacije, procedura je sledeća:
„Nezavisno od toga, mogu da se obrade Povereniku koji je zadužen da vrši nadzor nad primenom Zakona o zaštiti podataka o ličnosti. Poverenik po prijavi građana, ili sopstvenoj inicijativi, ima inspekcijska ovlašćenja na osnovu kojih može da istraži šta se zapravo dogodilo”, navodi ona.
Zaštita naših ličnih podataka na internetu neretko se provuče kao tema, nažalost, tek kada se dogodi neki slučaj njihove zloupotrebe. A jedan takav slučaj dogodio se nedavno kod nas.
Kada zdravstveni karton završi na dark webu
U aprilu ove godine na dark webu pojavili su se fajlovi sa hakovanim zdravstvenim podacima građana Srbije. Prema informacijama koje su tada objavljene na sajtu N1, u bazi su se nalazili ime i prezime, adresa, broj telefona, ali i lekarski izveštaji sa dijagnozama, rezultatima testova i propisanim terapijama, kao i podaci o bračnom stanju i zaposlenju. Među imenima lekara koji su se pojavljivali u bazi bili su i lekari Narodnog fronta, KBC Dragiša Mišović, Kliničkog centra Srbije, VMA i drugih zdravstvenih ustanova. Posebno je zabrinjavajuće to što se veliki deo podataka odnosio na ginekološke pacijentkinje, pa su u javnosti potencijalno završile informacije koje ljudi često ne dele ni sa kim osim sa svojim lekarom.
Upravo zato, ovakav slučaj nije samo još jedan hakerski napad u nizu. Kada procure podaci o tome da je neko bio kod ginekologa, zbog čega je došao, koju je dijagnozu dobio ili kakvu je terapiju koristio, posledice mogu biti mnogo ozbiljnije od običnog curenja imena ili broja telefona. I dok o zaštiti ličnih podataka uglavnom počnemo da govorimo tek kada oni već procure, ostaje pitanje koliko zapravo znamo o tome gde se naši podaci čuvaju, ko im ima pristup i šta se dešava kada zaštita jednom zakaže?
Zakon o zaštiti podataka o ličnosti ima opštu odredbu prema kojoj je obaveza rukovaoca da mere zaštite prilagode konkretnom slučaju, vrsti podataka i mogućim rizicima, navodi Jelena Adamović ispred Share fondacije.
„Kada su u pitanju zdravstveni podaci, svakako bi trebalo da se primenjuju stroge mere zaštite. Zdravstvene ustanove treba da konsultuju stručnjake iz domena informacione bezbednosti ako nemaju sami interne resurse da se merama zaštite posvete na odgovarajući način, i da odrede šta su za njihov konkretan slučaj mere koje su najprimerenije”, objašnjava Jelena.
A šta se dešava kada ovakvi podaci ne ostanu samo u nekoj bazi, već neko odluči da ih iskoristi za ucenu? Slučaj iz Finske pokazuje koliko daleko to može da ode, a ovo je ujedno jedna od većih zloupotreba zdravstvenih podataka. Još veći šok je što se dogodila u Finskoj, zemlji koju smatramo za jednu od najuređenijih i sa najvišim standardima u Evropi.
Od ukradenih podataka do ucene
Slučaj hakera koji je uspeo da upadne u sistem privatnog psihoterapijskog centra Vastaamo i iz njegove baze ukrade podatke više od 33.000 pacijenata pokazao je koliko daleko ovakvi napadi mogu da odu. Nisu ukradeni samo ime, prezime ili broj telefona, već i beleške sa terapijskih seansi, dakle, informacije o onome što su ljudi govorili svojim terapeutima, njihovim problemima, dijagnozama i drugim najintimnijim delovima života.
Sam upad u sistem dogodio se još 2018. godine, ali je slučaj postao javan tek 2020. Tada je haker prvo pokušao da iznudi novac od same kompanije. Tražio je oko 370.000 evra u zamenu za to da ne objavi ukradene podatke. Kada Vastaamo nije pristao da plati, ucena se proširila i na same pacijente.
Hiljade ljudi tada su dobile poruke u kojima im je traženo da plate prvo 200, a zatim 500 evra kako njihovi podaci ne bi bili javno objavljeni. Neki su platili, ali veliki broj ljudi nije. Ubrzo su podaci počeli da se objavljuju na Tor mreži, a na kraju je javno dostupna postala baza sa informacijama više od 33.000 ljudi.
I tu ovaj slučaj postaje mnogo strašniji od običnog curenja podataka. Kako se navodi u tekstu na sajtu BBC na Srpskom, advokatica Jeni Raiskio, koja zastupa 2.600 žrtava, na suđenju je rekla da su se njenoj kancelariji obratili ljudi čiji su rođaci izvršili samoubistvo nakon objave podataka na internetu. Nažalost, ovako veliki slučaj curenja ličnih zdravstvenih podataka imao je i kobne posledice.
Centar za psihoterapiju je u međuvremenu zatvoren, a osnivač je osuđen na uslovnu kaznu zatvora jer nije zaštitio podatke o pacijentima.
Za napad na Vastaamo osuđen je finski haker Aleksanteri Kivimäki, koji se još kao tinejdžer bavio hakerskim napadima i koristio pseudonim Zikil. Pre ovog slučaja već je bio osuđivan za više desetina hiljada hakerskih napada, ali je tada dobio samo uslovnu kaznu. Nakon napada na Vastaamo, policija ga je povezala sa krađom i ucenom putem digitalnih tragova, uključujući vezu njegovog bankovnog računa sa serverom korišćenim za preuzimanje ukradenih podataka. Kivimäki je 2024. godine proglašen krivim za tešku povredu bezbednosti podataka, tešku iznudu i pokušaj teške iznude, kao i niz drugih krivičnih dela povezanih sa napadom, i osuđen na šest godina i tri meseca zatvora.
Ako nam je ovaj slučaj pokazao šta može da se dogodi kada je krađa podataka potvrđena, najnoviji slučaj u Srbiji za sada ostavlja nešto drugačije pitanje: Šta ako još uvek ni sami ne znamo da li su naši podaci zaista kompromitovani?
Pet miliona zapisa, ali još bez potvrde
Pre nekoliko nedelja, neformalna zajednica Bezbedan Balkan objavila je da je Republički fond za zdravstveno osiguranje (RFZO) kompromitovan i da zlonamerni akter navodno nudi na prodaju baze sa ličnim podacima osiguranika. Prema njihovim navodima, akter tvrdi da je nakon uklanjanja duplikata i nevažećih zapisa došao do oko pet miliona validnih zapisa, od ukupno oko osam miliona koliko, kako tvrde, sadrže pojedine tabele.
„Neću postaviti kako je ušao jer mi nije poznato da li je propust saniran, ali mogu da kažem da navodni dokazi kompromitacije deluju autentično. Postavio je sledeće kao dokaz pristupa bazi gde se vidi i spisak svih tabela”, navodi jedan od korisnika foruma Bezbedan Balkan.
Bezbedan Balkan objavio je uzorak od 342.732 zapisa iz tabele „izjave“, koja navodno sadrži LBO i JMBG osiguranika, specijalizaciju lekara, naziv zdravstvene ustanove i ime i prezime izabranog lekara. Time se dodatno potvrđuje kao dokaz da su podaci kompromitovani. Prema navodima ove zajednice, napadač je do podataka došao preko SQL injection propusta na jednoj od stranica za proveru podataka na sajtu RFZO. Objavljeni su i snimci ekrana i spisak tabela za koje se tvrdi da su preuzete, kao svojevrsni dokaz pristupa bazi.
Ipak, za razliku od slučajeva koje smo već pomenuli, ovde još uvek ne možemo sa sigurnošću reći da je baza RFZO zaista ukradena u obimu koji se navodi. Kako Tanjug navodi, sam RFZO je saopštio da je preduzeo preventivne mere i da sprovodi detaljnu proveru informacionih sistema i bezbednosti podataka, u saradnji sa nadležnim institucijama i stručnim službama. Iz Fonda su naglasili da u ovom trenutku nije moguće potvrditi ni obim ni sadržaj eventualnog incidenta, niti autentičnost materijala koji se objavljuju na internetu.
I upravo je to možda i najproblematičniji deo cele priče. Čak i pre nego što saznamo da li je napad na RFZO uspeo i koliko je podataka eventualno kompromitovano, samo postojanje ovakvih navoda otvara pitanje koliko su naše zdravstvene informacije zaista bezbedne.
Naše ime, adresa ili broj telefona jesu lični podaci, ali JMBG, podaci o izabranom lekaru, dijagnoze, terapije i informacije o zdravstvenom stanju nose potpuno drugu težinu. Kada takvi podaci jednom napuste sistem koji bi trebalo da ih štiti, da li je moguće vratiti ih u privatnost?
O tome govori i naša sagovornica Jelena Adamović, saradnica SHARE Fondacije i advokatica sa ekspertizom u oblasti zaštite podataka o ličnosti.
„Sama zakonska definicija „posebne vrste podataka o ličnosti“, ili kolokvijalno „posebno osetljivi podaci”, među koje spadaju i zdravstveni podaci, ukazuje na to da zakonodavac ovim podacima daje poseban pravni tretman. Zbog same vrste podataka jasno je da su i pitanju informacije o licu koje se tiču usko lične i privatne sfere pojedinca, i da njihovo neovlašćeno otkrivanje može izazvati ozbiljne posledice”, navodi ona.
Ko nas onda zapravo štiti?
Problem je u tome što mi kao građani uglavnom nemamo način da znamo koliko su sistemi u kojima se naši podaci čuvaju zaista bezbedni.
„U ovom smislu, građani nemaju stvarnu kontrolu ni nad kojim podacima koje obrađuju bilo koji rukovaoci i obrađivači. Jedino što mogu da imaju je adekvatna pravna zaštita prema merodavnim propisima. Kada je ta zaštita neefikasna kao što je trenutno slučaj u Srbiji, to je ono što omogućava rukovaocima da snižavaju standarde zaštite ili čak da direktno ne poštuju svoje zakonske obaveze”, zaključuje Jelena Adamović.
Možemo da pazimo šta objavljujemo, koje aplikacije koristimo, kome dajemo dozvole i koliko informacija ostavljamo na internetu. Ali kada podatke jednom predamo zdravstvenoj ustanovi ili instituciji koja ih čuva u naše ime, bezbednost više nije samo naša odgovornost. Ona postaje odgovornost onih koji te podatke prikupljaju, čuvaju i obrađuju.
Zato pitanje nije samo ko sve ima naše podatke, već i ko je odgovoran kada do njih dođe neko ko ne bi smeo da ih ima. Digitalizacija zdravstvenog sistema znači da danas u jednoj bazi može da postoji ogroman deo našeg života, a ako je dovoljno da jedan propust, jedna loša zaštita ili jedna bezbednosna rupa omogući pristup tim informacijama, onda pitanje koliko smo zaista zaštićeni nije više samo pitanje tehnologije, već pitanje našeg prava na privatnost.
Ilustracije: Tamara Bogovac
Ovaj sadržaj nastao je u okviru ugovora sa Evropskom unijom. Stavovi izraženi u sadržaju isključiva su odgovornost
Oblakodera i ne predstavljaju zvaničan stav Evropske unije niti Delegacije Evropske unije u Srbiji.
0 Comments