Najčešće postavljana pitanja i odgovori

 

PUT OD HILjADU KILOMETARA POČINjE PRVIM KORAKOM - IMPLEMENTIRAJTE ZAKON O TAJNOSTI PODATKA

 

 

Sertifikat za pravna lica - podnošenje zahteva

Podizanje bezbednosne svesti i kulture - Zaštitite vaše tajne podatke

Podizanje bezbednosne svesti i kulture

 

PITANjE: Šta je to tajni podatak?

ODGOVOR: Tajni podatak je štićeni podatak <videti više> u skladu sa Zakonom o tajnosti podataka <videti više> i odnosi se na javne politike iz oblasti nacionalne bezbednosti, odbrane, spoljnih i unutrašnjih poslova, obaveštajno-bezbednosnih poslova, vođenje istraga, kao i na poverljive nabavke. <videti više> Ne uspostavljanje sistema zaštite tajnih podataka u organu javne vlasti predstavlja ugrožavanje nacionalne bezbednosti i krivično delo. <Vodič za implementaciju Zakona o tajnosti podataka>

PITANjE: Kako se sprovodi procedura označavanja i određivanja stepena tajnosti u organima javne vlasti u Republici Srbiji, uzimajući u obzir uticaj, potencijalnu štetu i posledice nepoštovanja procedura?

ODGOVOR: Označavanje i određivanje stepena tajnosti podataka predstavljaju ključni korak u zaštiti osetljivih informacija i očuvanju interesa Republike Srbije. Ova procedura ima za cilj da obezbedi bezbednost podataka, uz transparentnost i odgovornost organa javne vlasti. Postupak označavanja i određivanja stepena tajnosti u organima javne vlasti u Republici Srbiji regulisan je Zakonom o tajnosti podataka i podzakonskim aktima, i obuhvata sledeće korake:

  1. Donošenje formalne odluke o tajnosti: Organ javne vlasti je u obavezi da donese generičnu ili pojedinačnu pismenu odluku o određivanju stepena tajnosti podataka, uz procenu uticaja i potencijalne štete po interese Republike Srbije u slučaju otkrivanja, zloupotrebe ili uništenja podataka.
  2. Identifikacija kategorija podataka: Podaci se analiziraju kako bi se utvrdilo da li ispunjavaju uslove za označavanje kao tajni, uključujući propisima predivđene kategorije podataka, kao i procenu mogućeg uticaja na nacionalnu bezbednost, javni interes, teritorijalni integritet i ekonomske interese.
  3. Određivanje stepena tajnosti: Na osnovu procene, podaci se kategorišu u jedan od sledećih stepena tajnosti: državna tajna, strogo poverljivo, poverljivo ili interno, uzimajući u obzir ozbiljnost potencijalne štete.
  4. Označavanje podataka: Podaci dobijaju jasnu oznaku koja uključuje stepen tajnosti, datum označavanja, naziv organa koji je doneo odluku i pravnu osnovu. Oznaka mora biti vidljiva i u skladu sa propisanim standardima.
  5. Evidencija i kontrola: Tajni podaci se upisuju u registar i evidenciju tajnih podataka radi praćenja i kontrole. Organ javne vlasti je u obavezi da obezbedi adekvatnu administrativnu, fizičku i informacionu bezbednost.
  6. Revizija i ažuriranje: Oznake tajnosti se periodično preispituju i revidiraju kako bi se utvrdilo da li je potrebno zadržati, promeniti ili ukinuti stepen tajnosti.
  7. Posledice nepoštovanja procedura: Nepoštovanje propisanih procedura označavanja i zaštite tajnih podataka može dovesti do ozbiljnih posledica, uključujući:
  • Kaznene mere: Organi javne vlasti i odgovorna lica mogu biti sankcionisani u skladu sa Zakonom o tajnosti podataka (prekršajno i krivično).
  • Ugrožavanje bezbednosti: Otkrivanje ili zloupotreba tajnih podataka može naneti štetu nacionalnoj bezbednosti, odbrani, unutrašnjim i spoljnim poslovima, javnim interesima ili ekonomskom integritetu Republike Srbije.
  • Gubitak poverenja: Nedostatak adekvatne zaštite podataka može narušiti ugled i kredibilitet organa javne vlasti.
  • Pravne implikacije: Za kršenje procedura mogu se pokrenuti sudski i prekršajni postupci protiv odgovornih lica, kao i postupci zbog povreda radne discipline.

Poštovanje ove procedure nije samo zakonska obaveza, već i moralna odgovornost svih zaposlenih u organima javne vlasti kako bi se osigurala zaštita interesa Republike Srbije i jačanje nacionalne bezbednosti. Adekvatna primena ovih koraka je temelj poverenja, sigurnosti i profesionalnosti u rukovanju tajnim podacima. Pored toga, ova procedura je ključna za održavanje visokog nivoa bezbednosti, sigurnosti i integriteta tajnih podataka.

Tajni podaci, javna politika i bezbednosna politika kao stubovi nacionalne bezbednosti Republike Srbije

 

PITANjE: Šta je Plan zaštite tajnih podataka u organu javne vlasti?

ODGOVOR: Plan zaštite tajnih podataka u organu javne vlasti - predstavlja ključni dokument organizacione bezbednosti koji definiše sve mere i postupke za zaštitu tajnih podataka koje organ javne vlasti poseduje ili obrađuje. Kao takav, on je presudan za očuvanje integriteta informacija i nacionalne bezbednosti. Plan ima za cilj da osigura da se tajni podaci obrađuju, čuvaju, prenose i uništavaju u skladu sa najvišim standardima bezbednosti.

Ključne komponente Plana zaštite tajnih podataka:

  •     Odgovorna lica: Osobe zadužene za određivanje stepena tajnosti podataka, rukovaoci tajnim podacima i onih koji su zaduženi za unutrašnju kontrolu.
  •     Mere zaštite: Obuhvataju fizičku, personalnu, informacionu (tehnološku), industrijsku, administrativnu i organizacionu zaštitu.
  •     Procedure: Određuju način obrade, čuvanja i uništavanja tajnih podataka, kao i bezbednosne mere koje se preduzimaju pri svakom koraku.
  •     Evidencije: Organi javne vlasti vode evidencije u skladu sa propisima o tajnosti podataka, koje omogućavaju nadzor i reviziju.
  •     Plan postupanja u vanrednim situacijama: Obuhvata procedure i mere koje treba preduzeti u slučaju napada, zloupotrebe ili drugih vanrednih situacija koje ugrožavaju bezbednost podataka.
  •     Praćenje stanja sertifikata: Obuhvata praćenje izdatih sertifikata za fizička i pravna lica, uključujući proveru valjanosti sertifikata u kontekstu njihovog pristupa tajnim podacima.
  •     Rad sa pravnim licima: Uprava i saradnja sa pravnim licima kod poverljivih nabavki, posebno u oblasti industrijske bezbednosti, koji uključuju bezbednost informacija i tehnologija u proizvodnim i servisnim procesima.

Obaveze koje proizlaze iz Plana:

  •     Usaglašenost sa standardima bezbednosti: Obaveza organa da se usaglasi sa nacionalnim i međunarodnim standardima u oblasti informacione bezbednosti, posebno u oblasti bezbednosti IT sistema koji obrađuju tajne podatke.
  •     Obavezna obuka: Redovna obuka zaposlenih koji imaju pristup tajnim podacima, kako bi se osiguralo da su svi usklađeni sa najnovijim merama i procedurama.
  •     Sistem monitoringa i revizije: Sistem za praćenje i reviziju koji osigurava da se sve mere zaštite primenjuju na adekvatan način.
  •     Redovna revizija i ažuriranje: Revizija i ažuriranje plana u skladu sa novim pretnjama, tehnološkim napredcima i promenama u zakonodavstvu.

Plan zaštite tajnih podataka je osnovni stub organizacione bezbednosti u svakom organu javne vlasti. On omogućava pravilno upravljanje tajnim podacima i osigurava njihovu zaštitu, što je od ključnog značaja za očuvanje nacionalne bezbednosti. Iako sam Plan nije direktno propisan Zakonom o tajnosti podataka, on se smatra implicitno obaveznim kao deo kompletnog sistema zaštite tajnih podataka, koji mora biti u skladu sa važećim zakonima i propisima.

 

PITANjE: Šta podrazumeva procena pretnje za bezbednost tajnog podatka (samoprocena)?

ODGOVOR: Procena pretnje za bezbednost tajnog podatka, poznata kao samoprocena, predstavlja kontinuiran proces koji obuhvata sledeće aspekte:

  1. Procena mera bezbednosti, rizika i usaglašenost sa propisima: Procena uključuje utvrđivanje efikasnosti postojećih mera zaštite tajnih podataka, identifikaciju potencijalnih rizika i proveru usklađenosti sa propisima.
  2. Razlika između procena pretnje i procena štete: Postoji jasna razlika između procene pretnje (član 30. Zakona o tajnosti podataka) i procene moguće štete (član 10, stav 3. istog zakona):
  • Procena pretnje: Fokusira se na analizu rizika i mere bezbednosti.
  • Procena štete: Razmatra potencijalne posledice otkrivanja tajnih podataka po interese Republike Srbije, uključujući nacionalnu bezbednost, odbranu, unutrašnje i spoljne poslove, javnu bezbednosti i ekonomsku stabilnost.
  1. Ključni kriterijumi za procenu pretnje: U proceni pretnje uzimaju se u obzir stepen tajnosti podataka, priroda dokumenta, identifikacija konkretnih pretnji i predlog mera zaštite.
  2. Odgovornost starešine organa: Starešina organa javne vlasti je odgovoran za sprovođenje procene (samoprocene), uz mogućnost angažovanja zaposlenih, komisije ili stručnih tela radi sveobuhvatnog pristupa.
  3. Unutrašnja kontrola: Proces uključuje redovno praćenje i proveru sprovođenja procena i procedura, za šta je odgovoran rukovodilac organa javne vlasti.
  4. Obuka i edukacija zaposlenih: Kontinuirana obuka zaposlenih je od suštinskog značaja za razvoj svesti o zaštiti tajnih podataka, minimizaciju ljudskih grešaka i adekvatan odgovor na pretnje. Obuka uključuje teme kao što su rad sa tajnim podacima, sajber higijena i informaciona kultura.

Procena pretnji je neprekidan proces koji podrazumeva integraciju obuke, tehnoloških rešenja i saradnje kako bi se obezbedila maksimalna bezbednost i sigurnost tajnih podataka i očuvali interesi Republike Srbije.

 

PITANjE: Ko može biti rukovalac tajnim podacima?

ODGOVOR: Rukovalac tajnim podacima može biti fizičko lice ili organizaciona jedinica organa javne vlasti koja preduzima mere zaštite tajnih podataka u skladu sa Zakonom o tajnosti podataka. Rukovalac ima obavezu da upravlja i štiti tajne podatke, kao i da preduzima sve potrebne mere za njihovu zaštitu. Rukovalac može biti određen u skladu sa specifičnim potrebama organa i prirodom podataka.

Važno: Lice ovlašćeno kao rukovalac tajnim podacima ne može istovremeno obavljati poslove unutrašnje kontrole. Takođe, neophodno je razlikovati sledeća ovlašćenja:

  • Lice ovlašćeno za određivanje stepena tajnosti podataka: Lice koje određuje stepen tajnosti podataka (npr. 'poverljivo', 'strogo poverljivo') u skladu sa propisima.
  • Rukovalac tajnim podacima: Lice ili organizaciona jedinica zadužena za upravljanje, skladištenje i zaštitu tajnih podataka.
  • Unutrašnja kontrola: Lice ili jedinica zadužena za nadzor nad primenjivanjem mera zaštite tajnih podataka i proveru usaglašenosti sa propisima.

Modeli i odluke:

Preporuke za određivanje rukovaoca tajnim podacima:

  • Ministarstva: Sekretarijati ili kabineti ministara
  • Jedinice lokalne samouprave: Organizacione jedinice zadužene za poslove planiranja odbrane (ili sekretarijati tih jedinica)
  • Sudovi: Sekretari sudova
  • Tužilaštva: Lica određena odlukom glavnog tužioca
  • Javna preduzeća: Organizacione jedinice zadužene za poslove planiranja odbrane

Primer iz prakse: U jednom organu javne vlasti, kako bi se obezbedila zaštita tajnih podataka, imenovan je rukovalac tajnim podacima koji je odgovoran za upravljanje, skladištenje i zaštitu tajnih podataka. Nakon imenovanja rukovaoca tajnim podacima, organ je odredio lice ovlašćeno za određivanje stepena tajnosti podataka, koje je, u skladu sa propisima, odredilo da se određeni podaci, dokumenti i informacije označavaju stepenom tajnosti kao „POVERLjIVO” i „STROGO POVERLjIVO”. Takođe, za potrebe nadzora nad primenjivanjem mera zaštite tajnih podataka, imenovana je jedinica za unutrašnju kontrolu, koja je zadužena za redovnu proveru i usaglašenost sa propisima.

Napomena:

  • Odluka o određivanju rukovaoca tajnim podacima ne uključuje ovlašćenje za kreiranje tajnih podataka.
  • Ukoliko se ne odrede rukovalac tajnim podacima i unutrašnja kontrola, rukovodilac organa javne vlasti je odgovoran i za te funkcije.

Dužnosti rukovaoca tajnim podacima: Rukovodilac organa javne vlasti ima obavezu da vrši dužnosti rukovaoca tajnim podacima do stupanja na snagu odluke o određivanju rukovaoca tajnim podacima.

U manjim organima javne vlasti: U manjim organima javne vlasti, kao što su opštine ili manje državne agencije, rukovodilac može istovremeno obavljati i funkciju rukovaoca tajnim podacima, ako je to propisano posebnom odlukom organa. Ovo je moguće u slučajevima kada organ nema posebno određenog rukovaoca tajnih podataka.

 

PITANjE: Da li je isto rukovalac tajnih podataka i rukovalac ličnih podataka? Da li jedno lice može biti i rukovalac tajnih podataka i rukovalac ličnih podataka u organu javne vlasti?

ODGOVOR:

1. Rukovalac tajnih podataka i rukovalac ličnih podataka nisu iste funkcije i ne treba ih mešati, jer se odnose na različite vrste podataka i različite pravne regulative.

·         Rukovalac tajnih podataka je odgovorna osoba ili organizaciona jedinica koja upravlja i štiti podatke koji su označeni kao tajni (poverljivi, strogo poverljivi ili državna tajna), u skladu sa propisima o tajnosti podataka. Ova funkcija je usmerena na obezbeđivanje sigurnosti i zaštite tajnih podataka od neovlašćenog otkrivanja, promena ili uništavanja.

·         Rukovalac ličnim podacima je lice ili organizaciona jedinica koja upravlja i štiti lične podatke (podaci koji se odnose na identifikovanu ili identifikujivu fizičku osobu), u skladu sa propisima Zakona o zaštiti ličnih podataka i drugih relevantnih propisa. Ova funkcija podrazumeva obavezu da se lični podaci obrađuju na pravilan način, uz poštovanje prava lica na zaštitu ličnih podataka i njihovu privatnost.

2. Da li jedno lice može biti i rukovalac tajnih podataka i rukovalac ličnih podataka?

Da, jedno lice može biti i rukovalac tajnih podataka i rukovalac ličnih podataka u organu javne vlasti, ali je važno da ova osoba razume različite obaveze koje proizilaze iz oba aspekta. Međutim, važno je da se funkcije upravljanja tajnim podacima i ličnim podacima ne mešaju, te da se preduzmu sve mere kako bi se osiguralo da oba tipa podataka budu adekvatno zaštićena u skladu sa relevantnim zakonima.

Ukoliko organ javne vlasti odluči da jedno lice obavlja obe funkcije, potrebno je osigurati odvojenost u obradi podataka, kao i uvođenje odgovarajućih mera kontrole i bezbednosti.

Štićeni podaci u Republici Srbiji

 

PITANjE: Ko može biti određen za unutrašnju kontrolu za rad sa tajnim podacima u organu javne vlasti?

ODGOVOR:

  • Unutrašnju kontrolu u organu javne vlasti može obavljati i unutrašnja organizaciona jedinica u organu javne vlasti, koja je za te poslove određena aktom o unutrašnjem uređenju i sistematizaciji radnih mesta.
  • Neposrednu kontrolu može obavljati zaposleni u toj unutrašnjoj organizacionoj jedinici pod uslovom da ima odgovarajući sertifikat za pristup tajnim podacima.

Dodatni detalji:

  • Ukoliko u organu javne vlasti nema uspostavljen sistem unutrašnje kontrole u smislu člana 84. stav 2. (npr. Ministarstvo odbrane, Ministarstvo unutrašnjih poslova, Ministarstvo spoljnih poslova, Bezbednosno-informativna agencija i slično), potrebno je proširiti nadležnosti interne revizije ili FUK-a (Finansijsko Upravljanje Kontrole) u segmentu bezbednosti informacija - unutrašnje kontrole za rad sa tajnim podacima.
  • Da bi se uspostavila unutrašnja kontrola, potrebno je otpočeti proces implementacije Zakona o tajnosti podataka, odrediti rukovaoca tajnih podataka i doneti sve potrebne odluke.
  • Rukovalac tajnim podacima nikako ne može biti i unutrašnja kontrola.
  • Rukovodilac organa javne vlasti je ujedno i unutrašnja kontrola dok ne uspostavi sistem unutrašnje kontrole.
  • Sva lica uključena u proces rada sa tajnim podacima, bilo da obavljaju poslove rukovaoca ili unutrašnje kontrole, ili su samo korisnici tajnih podataka u organu javne vlasti, moraju posedovati odgovarajući sertifikat i proći edukaciju za rad sa tajnim podacima.

UNUTRAŠNjA KONTROLA NAD RADOM SA TAJNIM PODACIMA - PRIRUČNIK


PITANjE: Da li je potreban sertifikat za rad sa tajnim podacima?

ODGOVOR: Da, u skladu sa članom 42. Zakona o tajnosti podataka, fizička i pravna lica koja imaju pristup tajnim podacima moraju da poseduju bezbednosni sertifikat. Ovaj sertifikat se izdaje na osnovu stepena tajnosti podataka koji su im potrebni za obavljanje funkcija, dužnosti i poslova iz njihovog delokruga, odnosno za potrebe ugovornog odnosa. <Personalna bezbednost - infolist>

Sertifikat za pristup tajnim podacima je neophodan za rad sa podacima koji su oznake "POVERLjIVO", "STROGO POVERLjIVO" ili "DRŽAVNA TAJNA", u zavisnosti od prirode posla. Za podatke oznake "interno" nije potreban sertifikat, već je dovoljna izjava.

Bezbednosni sertifikat je obavezan za koji imaju pristup tajnim podacima:

  • Rukovodioce organa javne vlasti
  • Ovlašćena lica za određivanje stepena tajnosti
  • Rukovaoce tajnim podacima (svi zaposleni koji rade sa tajnim podacima)
  • Članove unutrašnje kontrole
  • Šefove kabineta, zaposlene u kabinetima, i državne službenike na visokim položajima
  • Državne službenike i nameštenike u organu javne vlasti
  • Pravna lica koja imaju ugovorni odnos sa organom javne vlasti (sertifikuje se pravno lice, zaposleni u tom pravnom licu, ali i prostor za čuvanje tajnih podataka u tom pravnom licu)

Takođe, fizička lica koja imaju pristup tajnim podacima moraju biti na listi "Potrebno da zna", dok pravna lica koja imaju ovlašćenje za rad sa tajnim podacima treba da budu na listi "Potrebno podeliti sa".

Ovaj sertifikat je važan za:

  • Obezbeđivanje bezbednosti i zaštite tajnih podataka
  • Sprečavanje neovlašćenog pristupa tajnim podacima u skladu sa Zakonom o tajnosti podataka
  • Sprečavanje ugrožavanja nacionalne bezbednosti

PITANjE: Kako se podnosi zahtev za izdavanje sertifikata za pristup tajnim podacima?

ODGOVOR: Zahtev za izdavanje sertifikata za pristup tajnim podacima u Srbiji podnosi se u skladu sa Zakonom o tajnosti podataka („Sl. glasnik RS”, br. 104/2009) i podzakonskim aktima kojima se uređuje ova oblast.

Zahtev za izdavanje sertifikata za pristup tajnim podacima može podneti samo organ javne vlasti u kojem je lice zaposleno, angažovano ili ima neki ugovorni odnos, a ne fizičko lice samostalno, niti pravno lice koje nema status organa javne vlasti.

Izuzetak su pravna lica koja imaju status organa javne vlasti u skladu sa Zakonom o tajnosti podataka, što znači da su ovlašćena da obavljaju poslove u vezi sa zaštitom tajnih podataka i imaju propisane obaveze u tom domenu.

  1. Ko podnosi zahtev?
  • Zahtev može podneti samo organ javne vlasti u kojem je lice zaposleno, angažovano ili ima ugovorni odnos.
  • Fizičko i pravno lice NE MOŽE samostalno podnositi zahtev.
  1. Kome se podnosi zahtev?
  • Zahtev se podnosi Kancelariji Saveta za nacionalnu bezbednost i zaštitu tajnih podataka.
  • Organi nadležni za provere, Ministarstvo unutrašnjih poslova i BIA, kao i VBA za zaposlene u Ministarstvu odbrane, NE primaju zahteve direktno – bezbednosne provere vrše nakon što ih zatraži Kancelarija Saveta.
  1. Šta se prilaže uz zahtev?
  • Bezbednosni upitnik – lice za koje se traži sertifikat mora ga samostalno popuniti (za pravna lica moguće je dostaviti i dodatna dokumenta).
  • Zahtev organa javne vlasti u kojem se navodi stepen tajnosti podataka kojima će lice pristupati.
  1. Bezbednosna provera
  • Kancelarija Saveta prosleđuje zahtev nadležnim bezbednosnim službama (npr. BIA, MUP, VBA).
  • Provera uključuje podatke iz upitnika:
    • Krivičnu evidenciju, finansijsku situaciju, kontakte lica, imovinsku kartu, lične podatke, zdravstveno stanje itd.
    • druge metode u zavisnosti od stepena tajnosti.
  1. Izdavanje sertifikata
  • Ako je provera uspešna, Kancelarija Saveta izdaje prvo rešenje, a potom i sertifikat.
  • Sertifikat važi za: poverljivo – 10 godina; strogo poverljivo – 5 godina i državnu tajnu – 3 godine i može biti opozvan.
  1.  Obaveze nosioca sertifikata

 

PITANjE: Da li fizičko/pravno lice može direktno da podnese zahtev Kancelariji Saveta za nacionalnu bezbednost i zaštitu tajnih podataka?

ODGOVOR: Ne, fizičko ili pravno lice ne može direktno podneti zahtev Kancelariji Saveta za nacionalnu bezbednost i zaštitu tajnih podataka. Kancelarija Saveta za nacionalnu bezbednost i zaštitu tajnih podataka je stručna služba Vlade Republike Srbije sa statusom pravnog lica, i prema propisima o državnoj upravi, ona ne radi direktno sa građanima i pravnim licima, već samo sa organima javne vlasti.

Postoje određeni uslovi i procedure koje se moraju poštovati:

·         Fizička lica: Zahtev za izdavanje sertifikata može podneti samo rukovodilac organa javne vlasti za zaposlene u tom organu.

·         Pravna lica: Zahtev za sertifikaciju pravnih lica ili fizičkih lica zaposlenih u pravnom licu može podneti samo organ javne vlasti koji planira ugovornu saradnju sa tim pravnim licem.

·         Pravna lica osnivana od strane države: Ova pravna lica pre podnošenja zahteva moraju dobiti mišljenje Ministarstva pravde da bi se smatrala organom javne vlasti u smislu Zakona o tajnosti podataka.

Za više informacija: Pogledajte model zahteva i mišljenje Ministarstva pravde.

 

PITANjE: Koja dokumentacija se dostavlja uz zahtev za izdavanje sertifikata?

ODGOVOR: Uz zahtev za izdavanje sertifikata za pristup tajnim podacima, neophodno je dostaviti popunjene bezbednosne upitnike za fizička ili pravna lica.

Pored bezbednosnog upitnika, može se priložiti dodatna dokumentacija koja potvrđuje ili objašnjava relevantne promene u podacima navedenim u upitniku.

Za fizička lica:

  • Venčani list
  • Rešenje o razvodu braka
  • Izvod iz katastra nepokretnosti
  • Rešenje o nasleđivanju
  • Izvod iz matične knjige rođenih
  • Akt o usvojenju
  • Akt o hraniteljstvu
  • Druga dokumenta u vezi sa podacima iz upitnika

Za pravna lica:

  • Izvod iz APR-a
  • Bilans stanja i bilans uspeha
  • Finansijski i revizorski izveštaj
  • Dokument o promeni vlasničke strukture
  • Dokument o promeni direktora pravnog lica
  • Ostala relevantna dokumentacija

Napomena: Ovi dokumenti se dostavljaju ukoliko je došlo do promene okolnosti koje nisu unete u upitnik. Podnosilac zahteva samostalno procenjuje koje dokumente će priložiti, a dodatna dokumentacija se može dostavljati sve do prijema bezbednosnog upitnika u Kancelariji Saveta.

Kancelarija Saveta ili nadležni organ mogu zahtevati dopunu dokumentacije tokom procesa obrade i bezbednosne provere.

Za više informacija: 

1. Zakon o upravnom postupku

2. Postupak izdavanja bezbednosnog sertifikata - skripta


PITANjE: Gde mogu da preuzmem bezbednosne upitnike?

ODGOVOR: Bezbednosni upitnici, uključujući osnovni i posebni bezbednosni upitnik, dostupni su za preuzimanje na veb sajtu Kancelarije Saveta za nacionalnu bezbednost i zaštitu tajnih podataka. Mogu se naći u  sekciji : ,,DOKUMENTA/ Obrasci".

Fizička lica mogu da preuzmu upitnike i dostave ih svom poslodavcu, koji će zatim podneti zahtev u njihovo ime.

Pravna lica treba da kontaktiraju organ javne vlasti koji planira ugovornu saradnju, kako bi podneli zahtev za sertifikaciju.

 

PITANjE: Koji bezbednosni upitnici se popunjavaju za fizička lica zaposlena u organu javne vlasti?

ODGOVOR: Fizička lica zaposlena u organu javne vlasti popunjavaju osnovni bezbednosni upitnik za pristup tajnim podacima stepena tajnosti ,,POVERLjIVO“ (OBU-1 do OBU-1­_08), ako se sertifikat zahteva za pristup tajnim podacima stepena tajnosti ,,STROGO POVERLjIVO“ i ,,DRŽAVNA TAJNA“ popunjava se i poseban bezbednosni upitnik (PBU-1).

PITANjE: Koji bezbednosni upitnici se popunjavaju za pravna lica i fizička lica zaposlena u pravnom licu?

ODGOVOR: Za pristup tajnim podacima stepena tajnosti „POVERLjIVO“, „STROGO POVERLjIVO“ i „DRŽAVNA TAJNA“, popunjavaju se sledeći bezbednosni upitnici:

Pravna lica:

  • Za pristup podacima stepena tajnosti „POVERLjIVO“ – zakonski zastupnik popunjava Osnovni bezbednosni upitnik za pravna lica (OBU-2 do OBU-2_01).
  • Za pristup podacima stepena tajnosti „STROGO POVERLjIVO“ i „DRŽAVNA TAJNA“ – pored osnovnog, popunjava se i Poseban bezbednosni upitnik za pravna lica (PBU-2).

Fizička lica zaposlena u pravnom licu:

  • Za pristup podacima stepena tajnosti „POVERLjIVO“ – zaposleni popunjavaju Osnovni bezbednosni upitnik za fizička lica (OBU-1 do OBU-1_08).
  • Za pristup podacima stepena tajnosti „STROGO POVERLjIVO“ i „DRŽAVNA TAJNA“ – pored osnovnog, popunjava se i Poseban bezbednosni upitnik za fizička lica (PBU-1).

Modeli bezbednosnih upitnika:

 

PITANjE: Kako se popunjava osnovni bezbednosni upitnik za fizičko/pravno lice?

ODGOVOR: Osnovni i posebni bezbednosni upitnik za fizička/pravna lica popunjavaju se u skladu sa Uputstvom za popunjavanje. Uputstvo za popunjavanje nalazi se na sajtu Kancelarije Saveta za nacionalnu bezbednost i zaštitu tajnih podataka u rubrici: Uputstvo za popunjavanje upitnika

 

PITANjE: Šta podrazumeva postupak izdavanja sertifikata?

ODGOVOR: Postupak izdavanja sertifikata, u skladu sa Zakonom o tajnosti podataka, uključuje nekoliko koraka i primenjuje se Zakon o opštem upravnom postupku:

  1. Podnošenje zahteva: Prvi korak je podnošenje zahteva za izdavanje sertifikata.
  2. Pokretanje bezbednosne provere: Nakon podnošenja zahteva, pokreće se proces bezbednosne provere.
  3. Vršenje bezbednosne provere: Nadležni organi vrše bezbednosnu proveru.
  4. Donošenje rešenja: Nakon provere, donosi se rešenje o izdavanju sertifikata.
  5. Izdavanje sertifikata: Na kraju, izdaje se sertifikat za pristup tajnim podacima.

Pored toga, postupak izdavanja sertifikata pravnim licima uključuje promenu poslovne politike radi uspostavljanja sistema zaštite tajnih podataka i ispunjavanje posebnih mera zaštite tajnih podataka. Ove mere uključuju utvrđivanje ispunjenosti organizacionih i tehničkih uslova za čuvanje tajnih podataka koji se dostavljaju pravnom ili fizičkom licu po osnovu ugovornog odnosa. Za utvrđivanje ispunjavanja ovih uslova, shodno stepenu tajnosti, odgovorna je Kancelarija Saveta za nacionalnu bezbednost i zaštitu tajnih podataka.

 

PITANjE: Kako i gde se može preuzeti sertifikat za pristup tajnim podacima?

ODGOVOR: Sertifikat za pristup tajnim podacima se preuzima lično, nakon što lice odsluša bezbednosni brifing u prostorijama Kancelarije Saveta za nacionalnu bezbednost i zaštitu tajnih podataka. Adresa je Nemanjina br. 22-26, Beograd.

Lice koje preuzima sertifikat mora da potpiše izjavu da je lično preuzelo sertifikat i da mu je održan bezbednosni brifing. Ova izjava se popunjava u Kancelariji Saveta. Lice takođe mora biti upoznato sa minimalnim zahtevima za korišćenje i zaštitu tajnih podataka.

U skladu sa Zakonom o zaštiti podataka o ličnosti, nakon završetka procesa izdavanja sertifikata, licu se vraća njegov bezbednosni upitnik. Ako lice ne potpiše izjavu, postupak izdavanja sertifikata se obustavlja.

 

PITANjE: U kom roku se preuzima sertifikat nakon prijema rešenja?

ODGOVOR: Rok za preuzimanje bezbednosnog sertifikata nakon prijema rešenja nije eksplicitno naveden u Zakonu o tajnosti podataka, ali se primenjuju opšta pravila upravnog postupka i bezbednosne prakse.

Opšti rokovi i procedura:

  1. Obaveštenje o izdavanju rešenja
    • Kada se donese rešenje o izdavanju bezbednosnog sertifikata, podnosilac zahteva dobija obaveštenje.
  2. Rok za preuzimanje sertifikata
    • U praksi, sertifikat treba preuzeti u razumnom roku, koji obično iznosi 15 dana od dana obaveštenja.
    • Ako lice u tom roku ne preuzme sertifikat, nadležni organ može smatrati da je odustalo ili pokrenuti postupak poništavanja.
  3. Način preuzimanja
    • Sertifikat se preuzima lično, uz dokaz o identitetu, u prostorijama Kancelarije Saveta za NB i ZTP
    • Potpisuje se Izjava kojom se potvrđuje da je lice lično preuzelo sertifikat, da je upoznato sa miniamlnim uslovima za korišćenje i zaštitu tajnih podataka, kao i da je upoznato sa obavezom čuvanja tajnih podataka i nakon prestanka rada sa tajnim podacima.
  4. Posledice nepreuzimanja
    • Ako lice ne preuzme sertifikat u predviđenom roku i ne dostavi opravdan razlog, sertifikat može biti poništen ili proglašen nevažećim.

Iako zakon ne propisuje tačan rok, uobičajena praksa je 15 dana od prijema rešenja, uz mogućnost produženja ako postoje opravdani razlozi.

Nakon prijema rešenja i isteka roka za žalbu potrebno je kontaktirati Kancelariju Saveta za nacionalnu bezbednost i zaštitu tajnih podataka, radi zakazivanja termina za izdavanje sertifikata, email za zakazivanje termina je : termini.sertifikati@nsa.gov.rs

 

PITANjE: Da li se samo na osnovu rešenja može ostvariti pristup tajnim podacima?

ODGOVOR: Ne! Na osnovu rešenja kojim se utvrđuje pravo i odobrava izdavanje sertifikata za pristup tajnim podacima se ne može automatski ostvariti pristup tajnim podacima. Da bi neko lice imalo pristup tajnim podacima, moraju biti ispunjena tri osnovna uslova:

  1. Postojanje odgovarajućeg sertifikata za pristup tajnim podacima
    • Lice mora imati važeći sertifikat za pristup tajnim podacima odgovarajućeg stepena tajnosti (Poverljivo, Strogo poverljivo, Državna tajna).
  2. Postojanje liste „Potrebno da zna“ (need-to-know princip)
    • Posedovanje sertifikata za pristup tajnim podacima, ne podrazumeva pravo pristupa svim tajnim podacima. Lice može imati pristup samo onim tajnim podacima koji su neophodni za izvršavanje funkcije i obavavljanje poslova iz delokruga njegovog rada.
    • Ovo odobrenje daje starešina organa javne vlasti ili ovlašćeno lice u instituciji koja upravlja tim tajnim podacima.
  3. Potpisana izjava o čuvanju tajnosti
    • Lice mora pismeno prihvatiti obavezu čuvanja tajnih podataka i biti upoznato sa posledicama njenog neovlašćenog otkrivanja (disciplinska, krivična, materijalna odgovornost) koje se daje rukovacu tajnih podataka u organu javne vlasti ( za stepen tajnosti INTERNO), odnosno u prostorijama Kancelarije Saveta za NB i ZTP (za stepene POVERLjIVO, STROGO POVERLjIVO i DRŽAVNU TAJNU).

Pored iznetih uslova, edukacija je takođe obavezan uslov za pristup tajnim podacima u Republici Srbiji, pored sertifikata za pristup tajnim podacima, principa „Potreba da se zna“ i potpisane izjave o čuvanju tajnosti. Pre nego što lice dobije pristup tajnim podacima, mora proći obuku o zaštiti tajnih podataka. Ova obuka obuhvata:

  1. Pravne i normativne okvire – upoznavanje sa Zakonom o tajnosti, podzakonskim aktima, internim procedurama i međunarodnim sporazumima (ako se radi o stranim tajnim podacima).
  2. Određivanje i označavanje tajnih podataka – razlike između stepena tajnosti („Poverljivo“,  „Strogo poverljivo“, „Državna tajna“).
  3. Načine rukovanja tajnim podacima – čuvanje, prenos, korišćenje, umnožavanje, arhiviranje i uništavanje.
  4. Prepoznavanje bezbednosnih rizika – mere predostrožnosti, postupci u slučaju bezbednosnih incidenata, prijavljivanje sumnjivih aktivnosti.
  5. Odgovornosti i sankcije – disciplinska, krivična i materijalna odgovornost za zloupotrebu ili propuste u zaštiti tajnih podataka.

Sertifikat za pristup tajnim podacima je samo jedan od uslova za pristup tajnim podacima, ali sam po sebi ne daje pravo pristupa. Uz njega, moraju biti ispunjeni i princip „Potrebno da zna“ i formalno prihvatanje obaveze čuvanja tajne, kao i edukacija ili obuka o zaštiti tajnih podataka.

 <Personalna bezbednost - infolist>

 

PITANjE: Šta znači posedovati sertifikat za pristup tajnim podacima za pravna lica?

ODGOVOR: Posedovanje sertifikata za pristup tajnim podacima za pravna lica podrazumeva ispunjavanje određenih uslova i obaveza:

  • Bezbednosna provera: Pravno lice mora imati izvršenu bezbednosnu proveru za zakonskog zastupnika i zaposlene koji će imati pristup tajnim podacima.
  • Procedure za rad sa tajnim podacima: Pravno lice mora imati izrađene procedure za rad sa tajnim podacima koji su mu ustupljeni od organa javne vlasti.
  • Akreditovan prostor: Pravno lice mora imati akreditovan prostor za čuvanje tajnih podataka odgovarajućeg stepena tajnosti.

Pored ovih osnovnih uslova, organ javne vlasti može zahtevati i dodatne uslove za čuvanje tajnih podataka prilikom zaključivanja ugovora koji sadrži tajne podatke.

Sertifikovanje pravnih lica omogućava njihov nesmetan pristup tajnim podacima Republike Srbije i učešće na tenderima u državama sa kojima Srbija ima zaključene i ratifikovane međunarodne sporazume o razmeni i uzajamnoj zaštiti tajnih podataka.

Problem u praksi često predstavlja to što većina pravnih lica ima bezbednosne provere i sertifikate za zaposlene, ali za prostor imaju samo kapacitete za čuvanje tajnih podataka interno. U praksi, pravna lica često preuzimaju tajne podatke stepena tajnosti "strogo poverljivo" i čuvaju ih kao poslovnu tajnu, što predstavlja kršenje propisa o tajnosti podataka i ugrožavanje nacionalne bezbednosti, što je krivično delo.

PITANjE: Koji su najčešći razlozi za odbijanje izdavanja sertifikata za pristup tajnim podatima za fizička i pravna lica?

ODGOVOR: 

  1. Bezbednosne smetnje – Utvrđeno je da osoba predstavlja bezbednosni rizik (na primer, povezanost sa stranim obaveštajnim službama, radikalnim grupama, kriminalnim strukturama).
  2. Krivične presude – Lice je osuđivano za određena krivična dela, naročito ona vezana za nacionalnu bezbednost, korupciju ili zloupotrebu službenog položaja.
  1. Prekršajna odgovornost – Lice je osuđivano za prekršaj predviđen Zakonom o tajnosti podataka.
  1. Nepouzdanost i nestabilnost – Procena da kandidat nije dovoljno odgovoran, finansijski stabilan (dugovi, česte promene radnih mesta), ili da ima druge lične karakteristike koje ga čine podložnim pritisku ili uceni.
  2. Skrivanje podataka – Lice namerno ili nenamerno ne prijavi sve relevantne informacije u svrhu vršenja bezbednosne provere (neprijavljivanje kontakata sa stranim državljanima, skrivanje radnog ili kriminalnog dosijea,skrivanje medicinskih podataka, lažiranje informacija o obrazovanju..).
  3. Strani uticaj – Česti kontakti ili porodične veze sa stranim državljanima koji se mogu smatrati bezbednosnim rizikom.
  4. Nepovoljna istorija u radu sa tajnim podacima – Ranije povrede pravila o zaštiti tajnih podataka ili neodgovorno postupanje sa poverljivim informacijama (poslovna tajna, profesionalna tajna...)
  5. Gubitak državljanstva - Uslov za dobijanje sertifikata za pristup tajnim podacima podrazumeva da lice poseduje državljanstvo Republike Srbije.
  6. Negativna bezbednosna provera – Uslov za dobijanje sertifikata za pristup tajnim podacima podrazumeva prethodno pozitivnu bezbednosnu proveru.

Za pravna lica, razlozi za odbijanje izdavanja sertifikata obično uključuju:

  1. Nepouzdanost vlasničke strukture – Ako se utvrdi da su vlasnici ili osnivači povezani sa rizičnim subjektima, stranim uticajem ili kriminalnim grupama.
  2. Finansijska nestabilnost – Veliki dugovi, loša finansijska situacija ili neregularno poslovanje, pokretanje likvidacije odnosno stečaja.
  3. Krivični postupci protiv pravnog lica – Ako je pravno lice ili njeni odgovorni rukovodioci bili predmet krivičnih postupaka zbog zloupotrebe službenog položaja, korupcije, špijunaže ili drugih bezbednosno osetljivih dela.
  4. Osuđivanost pravnog lica za krivična dela i privredne prestupe – Ako je u prethodnom periodu doneta pravosnažna presuda protiv pravnog lica u krivičnom ostupku i  postupku za privredni prestup.
  5. Nedostatak odgovarajućih mera zaštite tajnih podataka – Ako pravno lice nema adekvatne tehničke i organizacione mere zaštite tajnih podataka, ili ih ima ali ih ne primenjuje u skladu sa propisima kojima se uređuje zaštita tajnih podataka.
  6. Poslovanje sa rizičnim partnerima – Saradnja sa firmama ili licima koji se nalaze na crnim listama ili su pod sankcijama.
  7. Skrivanje podataka - Pravno lice namerno ili nenamerno ne prijavi relavantne informacije u svrhu vršenja bezbednosne provere.  
  1. Negativna bezbednosna provera – Uslov za dobijanje sertifikata za pristup tajnim podacima podrazumeva prethodno pozitivnu bezbednosnu proveru za pravno lice i za zakonskog zastupnika.

U slučaju odbijanja zahteva, fizičko i pravno lice može uložiti žalbu ili ponovo podneti zahtev nakon određenog vremena, zavisno od prirode razloga za odbijanje.

 

PITANjE: Koji su prvi koraci u implementaciji Zakona o tajnosti podataka u organu javne vlasti koji prethode otpočinjanju procesa sertifikacije?

ODGOVOR: Prvi koraci u implementaciji Zakona o tajnosti podataka u organu javne vlasti podrazumevaju donošenje Plana zaštite tajnih podataka, kao i sledećih pravnih akata: <videti više>

Pored donošenja navedenih odluka, potrebno je da organ javne vlasti ustroji evidencije u skladu sa čl. 82. Zakona o tajnosti podataka i čl. 8. Uredba o sadržini, obliku i načinu vođenja evidencija za pristup tajnim podacima <videti više>, čl. 10. i 13. Uredba o načinu i postupku označavanja tajnosti podataka, odnosno dokumenata <videti više> , čl. 17. st. 2.  Uredba o posebnim merama fizičko-tehničke zaštite tajnih podataka. <videti više>

 

PITANjE: Da li je dovoljno preduzeti samo prvi korak u implementaciji Zakona o tajnosti podataka, da bi se smatralo da je Zakon implemetiran?

ODGOVOR: Ne. Da bi se Zakon smatrao implementiranim potrebno je doneti plan zaštite tajnih podataka , odnosno čitav niz odluka, akreditovati prostor za čuvanje tajnih podataka <videti više>, uspostaviti IKT sistem od posebnog značaja za rad sa tajnim podacima <videti više> , redovno sprovoditi unutrašnju kontrole <videti više> , da zaposleni prođu odgovarajuće obuke i da se radi na podizanju bezbednosne svesti i kulture u organu javne vlasti. <videti više>

PITANjE: Šta podrazumeva akreditacija IKT sistema za rad sa tajnim podacima i zašto je ona važna?

ODGOVOR: Akreditacija IKT sistema predstavlja zvanični proces kojim se utvrđuje da sistem ispunjava stroge tehničke, bezbednosne i regulatorne uslove za obradu i čuvanje tajnih podataka. U Republici Srbiji, ovaj proces sprovodi Kancelarija Saveta za nacionalnu bezbednost i zaštitu tajnih podataka, koja vrši stručnu proveru u skladu sa domaćim propisima i međunarodnim standardima.

Značaj akreditacije:

  • Obezbeđuje zaštitu poverljivih informacija od sajber napada i neovlašćenog pristupa.
  • Garantuje da sistemi rade u skladu sa zakonima i bezbednosnim procedurama.
  • Olakšava usklađivanje sa međunarodnim normativima, što je ključno za saradnju sa drugim državama i organizacijama.

<Akreditacija IKT sistema za rad sa tajnim podacima u Republici Srbiji - infolist>

 

PITANjE:Da li je dozvoljeno korišćenje javnih AI alata, cloud servisa ili privatne IKT opreme za rad sa tajnim podacima?

ODGOVOR: Ne. U skladu sa Zakonom o tajnosti podataka, Zakonom o informacionoj bezbednosti, kao i propisima koji uređuju zaštitu tajnih podataka u informaciono-komunikacionim sistemima, nije dozvoljeno unositi, otpremati, čuvati, obrađivati, analizirati ili prenositi tajne podatke bilo kog stepena tajnosti („DRŽAVNA TAJNA“, „STROGO POVERLjIVO“, „POVERLjIVO“ i „INTERNO“) korišćenjem javno dostupnih alata zasnovanih na veštačkoj inteligenciji (npr. ChatGPT, Copilot, Claude, Gemini i drugi), javnih cloud servisa (npr. Google Drive, Dropbox, OneDrive, iCloud, WeTransfer i drugi), lokalno instaliranih AI modela koji nisu akreditovani, kao ni putem privatnih računara, mobilnih telefona, USB memorija ili drugih neakreditovanih informaciono-komunikacionih (IKT) sistema.

Tajni podaci mogu se kreirati, obrađivati, čuvati i prenositi isključivo u akreditovanim IKT sistemima, u kojima su primenjene propisane organizacione, kadrovske, fizičke, tehničke i kriptografske mere zaštite, u skladu sa propisima kojima se uređuju zaštita tajnih podataka i informaciona bezbednost.

Postupanje suprotno navedenim pravilima predstavlja bezbednosni rizik i, u zavisnosti od okolnosti konkretnog slučaja, može dovesti do krivične, prekršajne, disciplinske i bezbednosne odgovornosti, u skladu sa zakonom.

Napomena: Zabrana se odnosi i na delimične unose, anonimizovane verzije, testne primere, fotografije dokumenata, metapodatke i druge informacije koje, samostalno ili u kombinaciji sa drugim raspoloživim podacima, mogu omogućiti otkrivanje, identifikaciju ili rekonstrukciju tajnog podatka.

Važno: Ako postoji i najmanja sumnja da li je određeni sistem, aplikacija, AI alat, cloud servis ili drugi digitalni proizvod dozvoljen za rad sa tajnim podacima, smatrajte da nije dozvoljen dok ne dobijete pismenu potvrdu od rukovaoca tajnim podacima u organu javne vlasti. Ne pretpostavljajte da je neki alat bezbedan samo zato što je široko dostupan, komercijalno popularan ili se koristi u poslovne svrhe.

Zaštita tajnih podataka u digitalnoj sferi zabranjene prakse

Zaštita tajnih podataka pri korišćenju veštačke inteligencije i informaciono-komunikacionih sistema

 

PITANjE: Da li organi javne vlasti, sudovi i tužilaštva u radu sa tajnim podacima mogu da koriste e-kancelarijsko poslovanje u obradi dokumenata koji su određeni kao tajni podaci u skladu sa Zakonom o tajnosti podataka?

ODGOVOR: Ne, u konkretnom slučaju isključivo se primenjuje:

  • Zakon o tajnosti podataka ("Službeni glasnik RS", br. 104/2009),
  • Uredba o načinu i postupku označavanja tajnosti podataka odnosno dokumenata (Službeni glasnik RS", br. 8/2011),
  • Uredba o posebnim merama fizičko-tehničke zaštite tajnih podataka (Službeni glasnik RS", br. 97/11).

Ukazujemo da:

  • Uredba o kancelarijskom poslovanju organa javne vlasti, kao i Uputstvo o kancelarijskom poslovanju organa državne uprave (Službeni glasnik RS", br. 10/93, 14/93-ispr., 67/2016, 3/2017 i 20/2022-dr.uputstvo) uređuje prijem, otvaranje, evidentiranje i arhiviranje tajnih podataka u organima državne uprave.
  • Sudski poslovnik (Službeni glasnik RS", br. 110/2009, 70/2011, 19/2012, 89/2013, 96/2015, 104/2015, 113/2015-ispr., 39/2016, 56/2016, 77/2016, 16/2018, 43/2019, 93/2019 i 18/2022), kao i Pravilnik o upravi u javnim tužilaštvima (Službeni glasnik RS", br. 110/2009, 87/2010, 5/2012, 54/2017, 14/2018 i 57/2019) uređuju postupanje sa tajnim podacima u sudovima i tužilaštvima.

 

PITANjE: Kako se postupa u slučaju gubitka, krađe, oštećenja, uništenja ili neovlašćenog otkrivanja tajnih podataka i stranih tajnih podataka?

ODGOVOR : Kada dođe do saznanja da je došlo do gubitka, krađe, oštećenja, uništenja ili neovlašćenog otkrivanja tajnih podataka i stranih tajnih podataka, starešina organa javne vlasti ili ovlašćeno lice dužno je da bez odlaganja preduzme sve potrebne mere za utvrđivanje okolnosti zbog kojih je došlo do gubitka, krađe, oštećenja, uništenja ili neovlašćenog otkrivanja tajnog podatka i stranog tajnog podatka, izvrši procenu prouzrokovane štete, kao i da preduzme potrebne mere u cilju otklanjanja štete i sprečavanja ponovnog gubitka, krađe, oštećenja, uništenja ili neovlašćenog otkrivanja tajnog podatka i stranog tajnog podatka.

Preporuka Kancelarije Saveta za nacionalnu bezbednost i zaštitu tajnih podataka u skladu sa čl. 35. st. 3. Zakona o tajnosti podataka sastoji se u ispunjavanju sledećih koraka:

  1. Hitno obavestiti organ javne vlasti od kojeg je dobijen tajni podatak;
  2. Pokrenuti postupak unutrašnje kontrole u organu javne vlasti (vanredna kontrola);
  3. Obavestiti nadležno tužilaštvo i Kancelariju Saveta za nacionalnu bezbednost i zaštitu tajnih podataka;
  4. Obavestiti nadležnu službu bezbednosti, odnosno Bezbednosno-informativnu agenciju.

Vodič za postupanje u slučaju incidenta sa tajnim podacima

 

PITANjE: Da li nosioci Plana odbrane, organi jedinica lokalne samouprave i lokalna javna preduzeća koja učestvuju u izradi i realizaciji Plana odbrane Republike Srbije, imaju obavezu da implementiraju Zakon o tajnosti podataka i dostave godišnji Izveštaj o radu sa tajnim podacima Kancelariji Saveta za nacionalnu bezbednost i zaštitu tajnih podataka?

ODGOVOR : DA! Kod Plana odbrane, postoji dualizam propisa o odbrani i zaštiti tajnih podataka. Zakon o tajnosti podataka propisuje obaveze organa javne vlasti i pravnih lica koja rade sa tajnim podacima, uključujući i one koji se odnose na odbranu. Svi koji rade sa tajnim podacima moraju poštovati propisane standarde i procedure zaštite tajnih podataka.

  • Ovaj zakon takođe nalaže dostavljanje izveštaja Kancelariji Saveta za nacionalnu bezbednost i zaštitu tajnih podataka, koja je zadužena za nadzor nad implementacijom bezbednosnih mera u vezi sa tajnim podacima.
  • Svi subjekti koji učestvuju u izradi i realizaciji Plana odbrane Republike Srbije dužni su da poštuju pored propisa o odbrani i Zakon o tajnosti podataka, sprovode propisane mere zaštite tajnih podataka i dostavljaju godišnji Izveštaj o radu sa tajnim podacima Kancelarije Saveta za nacionalnu bezbednost i zaštitu tajnih podataka.

Nepoštovanje i neimplementacija Zakona o tajnosti podataka predstavlja kršenje nacionalne bezbednosti i nanošenje štete interesima Republike Srbije.

<INFOLIST GODIŠNjI IZVEŠTAJ>  <Primeri loše prakse sistema rada sa tajnim podacima>

PITANjE: Kako fizička i pravna lica, koja su nosioci Plana odbrane na nivou opštine i lokalne samouprave, podnose zahtev za dobijanje sertifikata za pristup tajnim podacima?

ODGOVOR: Fizička i pravna lica koja su nosioci Plana odbrane na nivou opštine i lokalne samouprave ne podnose zahtev direktno Kancelariji Saveta za nacionalnu bezbednost. Zahtev se podnosi preko nadležne opštine ili organa lokalne samouprave koja je odgovorna za objedinjavanje i izradu Plana odbrane. Ovi organi javne vlasti zatim podnose zahtev Kancelariji Saveta za nacionalnu bezbednost za izdavanje sertifikata za pristup tajnim podacima.

Kancelarija Saveta je jedini ovlašćeni organ za izdavanje sertifikata koji omogućava pristup tajnim podacima u skladu sa propisima o zaštiti tajnih podataka. Zahtev se podnosi preko organa javne vlasti, a Kancelarija Saveta inicira bezbednosnu proveru preko nadležnih službi (BIA ili Ministarstvo unutrašnjih poslova) i izdaje sertifikat na osnovu opravdanosti potrebe za pristupom tajnim podacima u okviru izrade i realizacije Plana odbrane.

U praksi, fizička i pravna lica su se direktno obraćala Kancelariji Saveta za nacionalnu bezbednost ili čak Bezbednosno-informativnoj agenciji sa zahtevima za izdavanje sertifikata za pristup tajnim podacima. Ova praksa je sporna, jer Kancelarija Saveta, kao stručna služba Vlade Republike Srbije, nije ovlašćena po propisima o državnoj upravi da direktno sarađuje sa fizičkim i pravnim licima koja nisu organi javne vlasti.

Pored toga, neke opštine i organi lokalne samouprave još uvek nisu implementirali Zakon o tajnosti podataka, pa stoga ponekad upućuju fizička i pravna lica na Ministarstvo odbrane ili direktno na Kancelariju Saveta sa zahtevima za izdavanje sertifikata. Ova situacija može dovesti do nedoumica i problema u postupku planiranja odbrane na nivou opština i organa lokalne samouprave, a naročito ukoliko opštine i organi lokalne samouprave nisu implementirali Zakon o tajnosti podataka.

PITANjE: Šta je stručni nadzor u sistemu zaštite tajnih podataka, ko ga sprovodi i po kom postupku?

Šta je stručni nadzor?

ODGOVOR: Stručni nadzor u sistemu zaštite tajnih podataka predstavlja proces stručne procene i verifikacije primene Zakona o tajnosti podataka kod organa javne vlasti, sa ciljem osiguranja usklađenosti propisa i efikasnosti mera zaštite. Ovaj proces omogućava identifikaciju potencijalnih rizika i slabosti, pružajući stručne preporuke za unapređenje sistema zaštite tajnih podataka.

Njegov osnovni cilj je:

  • Utvrđivanje stepena implementacije zakona;
  • Procena mera zaštite tajnih podataka;
  • Davanje preporuka za unapređenje sistema zaštite.

Važno je napomenuti da stručni nadzor nije inspekcijski nadzor, koji je isključiva nadležnost Ministarstva pravde. Ovaj vid nadzora zamišljen je kao mehanizam podrške organima javne vlasti u primeni propisa.

Ko sprovodi stručni nadzor i kako se postupak pokreće? Stručni nadzor sprovodi Kancelarija Saveta za nacionalnu bezbednost i zaštitu tajnih podataka, na osnovu pisanog zahteva organa javne vlasti. Ovaj vid nadzora omogućava organima javne vlasti da verifikuju svoje postignute rezultate u primeni Zakona o tajnosti podataka.

Kako se sprovodi stručni nadzor? Nadzor se vrši nakon što je organ javne vlasti:

  1. Dostigao određeni nivo implementacije Zakona o tajnosti podataka;
  2. Sproveo unutrašnju kontrolu.

Obuhvata analizu ključnih aspekata sistema zaštite tajnih podataka, kao što su:

  • Implementacija Zakona: analiza odluka i dokumentacije (uključujući „potrebno da zna” liste, plan zaštite tajnih podataka i godišnje izveštaje);
  • Osoblje: provera kvalifikacija, obuka i odgovornosti lica zaduženih za rukovanje tajnim podacima;
  • Infrastruktura: uvid u kapacitete za smeštaj i zaštitu podataka;
  • Tehnički sistemi: testiranje funkcionalnosti zaštitnih mera i sistema za obradu podataka;
  • Primenjena regulativa: provera usklađenosti sa zakonskim i podzakonskim aktima.

Primer: Stručni nadzor u radu sa stranim tajnim podacima Stručni nadzor takođe obuhvata rad sa stranim tajnim podacima, gde je po zakonu obavezan jedanput godišnje. Ovaj nadzor ima za cilj da osigura usklađenost sa međunarodnim standardima i zaštitu stranih tajnih podataka, koji moraju biti zaštićeni na istom nivou kao i domaći tajni podaci.

Šta se dešava nakon sprovedenog stručnog nadzora? Po završetku nadzora:

  • Utvrđuje se činjenično stanje;
  • Sačinjava se Izveštaj o izvršenom stručnom nadzoru, koji sadrži nalaze i preporuke za unapređenje.

Organ javne vlasti se poziva da otkloni nedostatke identifikovane tokom nadzora i uskladi svoje postupanje sa preporukama iz izveštaja.

Procenu ispunjenosti zakonom predviđenih uslova vrši isključivo Kancelarija Saveta za nacionalnu bezbednost i zaštitu tajnih podataka, u skladu sa članom 86 Zakona o tajnosti podataka.

 

PITANjE: Šta znači prekomerno određivanje i označavanje stepena tajnosti podataka (over-classification) i da li je to regulisano u pravnom okviru Republike Srbije?

ODGOVOR: Prekomerno određivanje i označavanje stepena tajnosti podataka (over-classification) podrazumeva određivanje i označavanje podataka, informacija i dokumenata kao tajnih — odnosno kao „interno“, „poverljivo“, „strogo poverljivo“ ili „državna tajna“ — iako ti podaci, informacije ili dokumenti ne ispunjavaju pravne uslove predviđene članom 3. i članom 8. Zakona o tajnosti podataka („Službeni glasnik RS“, br. 104/2009), kao ni kriterijume iz podzakonskih akata. Najčešći oblik prekomernog određivanja i označavanja tajnosti jeste određivanje stepena tajnosti bez obavezne i formalne procene potencijalne štete po interese Republike Srbije u slučaju otkrivanja podataka, kako to izričito zahteva član 10. stav 3. istog zakona.

 

U praksi, ovaj problem se najčešće javlja kod podataka koji nisu u vezi sa nacionalnom bezbednošću, odbranom ili obaveštajno-bezbednosnim poslovima — kao što su ekonomski, urbanistički, administrativni ili finansijski podaci — ali se zbog zaštite „nacionalnog interesa“ ipak označavaju kao tajni isključivo zbog administrativne nepažnje ili nepoznavanja pravnih standarda. Takva praksa ne samo da krši duh i slovo zakona, već i slabi sam sistem zaštite tajnih podataka, jer dovodi do toga da stvarno osetljive informacije gube na značaju u masi nepotrebno određenih i označenih stepenom tajnosti sadržaja.

 

Iako pojam „prekomerna klasifikacija“ nije eksplicitno definisan u zakonu, pravni okvir Republike Srbije jasno zabranjuje neosnovano i prekomerno određivanje i označavanje tajnosti. Zakon insistira da stepen tajnosti mora biti zasnovan na konkretnoj, objektivnoj i dokumentovanoj proceni ozbiljnosti štete po interese države, na postojanju legitimnog državnog interesa, kao i na proceni da je zaštita tog interesa pretežnija od javnog interesa da se informacija učini dostupnom — uz dodatni uslov da je ograničavanje pristupa neophodno u demokratskom društvu. Određivanje tajnosti na osnovu pretpostavki, institucionalnih navika ili političke potrebe zaštite „nacionalnog interesa“ protivno je ovim standardima. U tom kontekstu, prekomerno određivanje ili označavanje tajnosti može se smatrati nesavesnim radom u službi, prekoračenjem ovlašćenja ili čak zloupotrebom službenog položaja, a u ekstremnim slučajevima — i ugrožavanjem nacionalne bezbednosti, ukoliko se tajnost koristi za nepoznavanje propisa, ali i prikrivanje nezakonitosti i nepravilnosti.

 

Dodatno, Zakon o slobodnom pristupu informacijama od javnog značaja snažno podstiče transparentnost i ograničava mogućnost proizvoljnog prikrivanja informacija pod izgovorom „tajnosti“. Stoga prekomerno određivanje stepena tajnosti predstavlja direktnu koliziju između dva osnovna principa javne uprave: potrebe za zaštitom nacionalne bezbednosti i prava građana na pristup informacijama od javnog značaja.

 

Iako propisi ne sadrže posebnu odredbu pod nazivom „over-classification“, praksa prekomernog određivanja i označavanja stepena tajnosti (klasifikovanja) jeste nepravna, neprihvatljiva i podložna nadzoru — kako preko Zakona o tajnsoti podataka kroz unutrašnju kontrolu i stručni nadzor Kancelarije Saveta, tako i kroz inspekcijski nadzor Ministarstva pravde, kao i kroz primenu Zakona o slobodnom pristupu informacijama od javnog značaja, odnosno rad Poverenika za slobodan pristup informacijama od javnog značaja i zaštitu podataka o ličnosti i sudova.

<Bezbednosne smetnje za pristup tajnim podacima>

<Sistem zaštite tajnih podataka - skripta>

<Postupak izdavanja sertifikata>

 

PITANjE: Šta je nadležnost Kancelarije Saveta za nacionalnu bezbednost i zaštitu tajnih podataka u pogledu izrade i sprovođenja Plana za postupanje u vanrednim i hitnim situacijama, u skladu sa članom 87. tačka 9. Zakona o tajnosti podataka?

ODGOVOR : U skladu sa članom 87. stav 1. tačka 9. Zakona o tajnosti podataka, Kancelarija Saveta za nacionalnu bezbednost i zaštitu tajnih podataka nadležna je za pripremu, koordinaciju i praćenje sprovođenja Plana za postupanje u vanrednim i hitnim situacijama u sistemu zaštite tajnih podataka.

Ova nadležnost podrazumeva:

·         izradu normativnog i metodološkog okvira za postupanje u uslovima vanrednog stanja, krize ili drugih okolnosti koje mogu ugroziti bezbednost tajnih podataka;

·         koordinaciju sa državnim organima i drugim obveznicima Zakona radi obezbeđivanja jedinstvenog i usklađenog delovanja;

·         definisanje procedura za zaštitu, izmeštanje, evakuaciju, uništavanje ili alternativno čuvanje tajnih podataka u uslovima neposredne opasnosti;

·         praćenje primene Plana i predlaganje mera za njegovo unapređenje.

Važno je napraviti razliku između:

1.      Sistemskog (centralnog) plana

2.      Pojedinačnih planova organa

 

Vlada, kao nosilac izvršne vlasti, po pravilu:

• ne usvaja pojedinačne planove svakog organa i pravnog lica,

• niti preuzima ulogu operativnog odobravanja svakog internog dokumenta.

Takav pristup bio bi nefunkcionalan i suprotan principu decentralizovane odgovornosti.

Pojedinačni planovi za vanredne i hitne situacije koje donose organi javne vlasti i pravna lica na osnovu Zakona, koji predstavljaju interne operativne dokumente. Njihova svrha je operativna zaštita tajnih podataka u vanrednim i hitnim situacijama.

Cilj Plana je obezbeđivanje kontinuiteta zaštite tajnih podataka i očuvanje funkcionalnosti sistema bezbednosti Republike Srbije u uslovima vanrednih i kriznih situacija, uz sprečavanje neovlašćenog otkrivanja, gubitka ili kompromitacije podataka.

PITANjE: Šta mogu da uradim ako dobijem rešenje kojim je odbijen zahtev za izdavanje bezbednosnog sertifikata?

ODGOVOR : Ukoliko Kancelarija Saveta donese rešenje kojim odbija zahtev, imate pravo da izjavite žalbu ministru nadležnom za pravosuđe, u skladu sa Zakonom o tajnosti podataka i Zakonom o opštem upravnom postupku. Vaše pravo na žalbu je garantovano zakonom.

PITANjE: Zašto u obrazloženju negativnog rešenja nisu navedeni svi razlozi i podaci iz bezbednosne provere?

ODGOVOR : Zakon o tajnosti podataka propisuje da obrazloženje ne sadrži tajne podatke niti podatke o izvorima bezbednosne provere. Na taj način štite se interesi nacionalne bezbednosti, metode rada nadležnih organa i izvori informacija.

PITANjE: Kako mogu da saznam razloge negativne bezbednosne provere?

ODGOVOR: Razloge negativne bezbednosne provere nije moguće u potpunosti dobiti, jer su podaci koji se koriste u postupku označeni kao tajni i ne mogu biti otkriveni. U obrazloženju rešenja navode se samo oni elementi koji nisu tajni, dok se ostali podaci štite radi očuvanja nacionalne bezbednosti i izvora informacija. Ukoliko smatrate da je rešenje nezakonito ili nepotpuno, imate pravo da uložite žalbu nadležnom ministru u skladu sa zakonom.

 

Neophodni koraci za implementaciju Zakona o tajnosti podataka u organu javne vlasti

Vodič za implementaciju ZTP 

Vodič za dobijanje sertifikata - Pravna lica-

 

 

Ukoliko imate potrebe za dodatnim informacijama iz oblasti zaštite tajnih podataka, stojimo vam na raspolaganju za svaku vrstu pomoći iz delokruga naše nadležnosti.

Adresa elektronske pošte za zakazivanje onlajn konsultacija: online.konsultacije@nsa.gov.rs

Adresa elektronske pošte za zakazivanje aktuelnih obuka: obuke@nsa.gov.rs

Adresa elektronske pošte za zakazivanje brifinga: termini.sertifikati@nsa.gov.rs