Državna revizorska institucija (DRI) sprovela je reviziju informacionih sistema, fokusirajući se na usklađenost procedura za zaštitu podataka iz Centralnog registra stanovništva (CRS) u Ministarstvu za digitalnu transformaciju, za period od 2019. do 2024. godine.

Na osnovu sprovedene revizije, DRI je zaključila da, izuzev situacija vezanih za kapacitet ljudskih resursa, nedefinisane osetljive pozicije, odsustvo procedura za aktivnosti vezane za funkcionisanje CRS-a, za utvrđivanje ispunjenosti standarda kvaliteta podataka, nedostatak definisanih standarda za primenu IT bezbednosti, sistematske kontrole za razmenu podataka između institucija koje bi sprečile zaobilaženje CRS-a, aktivnosti za funkcionisanje CRS-a u svim materijalnim aspektima su u skladu sa relevantnim zakonskim i podzakonskim aktima, strateškim dokumentima, standardima, smernicama, sporazumima i utvrđenim politikama.

Centralni registar stanovništva je integrisana baza podataka o ličnim podacima koja se vodi u elektronskom obliku u Ministarstvu za digitalnu transformaciju, na osnovu automatske integracije podataka iz pojedinačnih baza podataka koje vode nadležni organi, uključujući Ministarstvo unutrašnjih poslova, Matičnu službu i organ za vođenje registra adresa.

Prema reviziji, utvrđeno je odsustvo stručnog i kvalifikovanog osoblja, posebno u odeljenju za standardizaciju i sertifikaciju u ministarstvu, kao i odsustvo procedura za utvrđivanje ispunjenosti standarda kvaliteta podataka, što utiče na kvalitet podataka u CRS-u.

Takođe, sinhronizacija podataka iz izvora sa CRS-om je na dnevnom nivou, što ostavlja mogućnost za česte promene podataka na izvorima tokom 24 sata, zbog čega postoje razlike između podataka u CRS-u i podataka u izvoru.

U izveštaju se naglašava da nedostatak pisanih procedura za upravljanje CRS-om nije u skladu sa zakonskim propisima i standardima i može dovesti do nedoslednog tumačenja zakonskih nadležnosti za odobravanje pristupa CRS-u, bez revizorskog traga i dvostruke kontrole.

DRI je utvrdila da u 2024. godini 11 nadležnih organa i drugih subjekata ima dozvolu za pristup i korišćenje podataka iz CRS-a i realizovalo je 1.634.415 poziva, od kojih je 23.658 neuspešno. Objavljeni registar ovih subjekata sadrži nepotpune podatke, kao i podatke o tome kojim podacima građana imaju dozvolu da pristupe, a takođe je primećena i razmena podataka mimo CRS-a.

Nedostatak kontrole od strane Ministarstva nad izvorima podataka u ispunjavanju minimalnih standarda za administrativnu bezbednost stvara rizik za bezbednost podataka, navodi DRI, dodajući da to može smanjiti poverenje u sistem.

Preporuke uključuju preduzimanje mera i aktivnosti za poboljšanje situacije sa ljudskim kapacitetima, pripremu i odobravanje pisanih procedura za CRS i druge sisteme, pripremu priručnika i uvođenje mehanizama za proveru standarda kvaliteta podataka, detaljne kontrole za proveru minimalnih uslova fizičke i administrativne bezbednosti, uvođenje sistematskih kontrola za razmenu podataka između institucija i uvođenje automatizovanog i koordinisanog mehanizma za praćenje obaveštenja o nepodudarnostima ličnih podataka.

Ministarstvo za digitalnu transformaciju dostavilo je komentare na Nacrt izveštaja, a DRI potvrđuje da su oni razmotreni i utvrđeno je da dva komentara predstavljaju obaveštenje o preduzetim aktivnostima.