Krađa identiteta

Krađa identiteta za većinu je apstraktna prijetnja, nešto o čemu su načuli, možda vidjeli u nekom holiwoodskom akcijskom filmiću. To se događa drugima, nesretnicima koji žive negdje daleko od nas. Jer zaboga, nikad nam na vrata nije pokucala policija tvrdeći da smo počinili kazneno djelo dok smo spavali, nije nam nestao novac s računa u banci, niti nam je došla na naplatu rata kredita koji nismo podigli.

Najgore što se meni osobno dogodilo bile su dvije čudne kazne za pogrešno parkiranje. Jednom iz Pule, gdje sam navodno davnih dana ostavio auto gdje nisam smio, iako te godine uopće nisam bio u tom gradu. Nakon pismenog prigovora nitko mi se više nije javio. Drugi puta mi je moj ljubljeni Grad Zagreb poslao čestitku, jer je auto registriran na mene uhvaćen pogrešno parkiran ispred autobusnog kolodvora, pazite sad, prije gotovo pet mjeseci. Nije bila priložena fotografija, samo je redar zabilježio registraciju. U kući imamo tri vozača, nitko se ne sjeća da je prije toliko vremena išao po nekoga na kolodvor. Ako priznaš krivicu kazna je blaga, samo 150 kn, a ako se ne plati na vrijeme, "slučaj" ide pred suca za prekršaje, što će trošak znatno povećati. Kad se stavi na vagu gnjavaža s pisanjem žalbe, svjedočenjem pred sucem i ogromna vjerojatnost da će sudac u "he say she say" situaciji povjerovati redaru, 150 kn je prava sitnica. Iako u ustima ostaje gorak okus, jer se čovjek osjeća kao da mu je nanesena nepravda. Je li netko krivo zapisao registraciju? Ili mu je rukopis nečitak, pa je činovnik u uredu krivo pročitao zapis? Ili je, a to je najtmurnija misao, netko krivotvorio registarske tablice? Koliko je uopće teško štancati te limene pločice? Ili je netko od nas zaista krivo parkirao, ali tko se toga više sjeća nakon toliko vremena? Zašto uplatnice šalju s tolikim zakašnjenjem? Je li to namjerno?

No sve je to prava sitnica prema slučaju koji se dogodio tu, u našem susjedstvu, prijateljima mojih prijatelja. Netko je na njihovo ime digao kredit u banci, zbrisao s lovom, a od njih se sada očekuje da redovito otplaćuju rate. Treba li uopće opisivati detalje poremećaja koji je to unijelo u njihove živote? Osim novčanih neprilika, tu je živciranje, uništen kreditni rejting, teret dokazivanja koji je na njihovom plećima (za njih ne vrijedi presumpcija nevinosti). Dodajte na to sumnju u banku, jer teško da se tako nešto može izvesti bez suradnje ili barem nepažnje nekoga iznutra. Osobne dokumente sve je teže krivotvoriti, no vjerojatno nije nemoguće. Čovjek koji razmišlja "do kraja" mogao bi otkriti još jedan potencijalni problem: možda netko u policiji štanca lažne dokumente? Sve je moguće, a kad čovjeka uhvati paranoja, svuda vidi prijetnju.

Pa što je to zapravo krađa identiteta? Definicija kaže da se radi o namjernom korištenju tuđeg identiteta, najčešće radi stjecanja financijske koristi, a na štetu osobe čiji se identitet koristi. Pri tome se koriste informacije koje potvrđuju identitet druge osobe, poput imena, fotografije, OIB-a, broja kreditne kartice. Termin krađa identiteta skovan je 1964.

Na Internetu se događa mnoštvo provala na servere čija je posljedica gubitak osobnih podataka koje su tvrtke/organizacije koje ih posjeduju obavezne čuvati. No zanimljivo je da se samo mali dio tako ukradenih podataka koristi za krađe identiteta. Pri jednoj nedavnoj krađi napadači su se dočepali osobnih podataka oko četiri milijuna osoba, da bi na kraju se ispostavilo da je prijavljeno samo 1.800 zloupotreba. Međutim ne treba se opustiti, jer jedna druga statistika kaže da je u 2012. godini 15,000.000 Amerikanaca bilo žrtva krađe identiteta! Statistika samo pokazuje da osim provala na servere postoje i drugi putevi koji vode do krađe identiteta.

Svatko bi od nas trebao paziti gdje sve ostavlja osobne podatke. Na šalteru banke, bez obzira da li dižete ili ulažete novac, traže vas osobnu. Kad ulazite u zgrade gdje se nalaze državne institucije, na porti vas legitimiraju. Na mnogim su takvim mjestima ispod pulta skrivene kamere koje snime vaše dokumente. Kad u dućanu svog telekoma sklapate ugovor o pretplati, traže osobnu i naprave fotokopiju. Kad poželite promijeniti pretplatu, opet vam kopiraju osobnu. Čemu? Zar ne bi bilo dovoljno da službenik samo provjeri vaš identitet? Te se fotokopije spremaju u nezaključane vitrine, gdje ih se mogu dočepati neovlaštene osobe. Sve je više tvrtki koje pružaju financijske usluge i posluju preko Interneta. S obzirom da se ne pojavljujete na šalteru, a tvrtke imaju obavezu provjeriti vaš identitet, uobičajilo se da na njihov web site uploadate sliku osobne ili putovnice, a k tome još neki račun za režije, koji je na vaše ime i potvrđuje adresu koju ste prijavili u svom profilu. Treba li reći da to radite na svoj rizik, na vama je da pokušate provjeriti jesu li to legitimne tvrtke, koje ozbilno posluju i opstojnost im ovisi o reputaciji. Sretno s time! Tko uopće zna kako provjeriti kredibilitet neke tvrtke registrirane na drugom kraju svijeta?

S druge strane, ako ste paranoični, propustit ćete poneku priliku za zaradu samo radi toga što u svemu vidite varku i prijevaru. Ljudsko je društvo zasnovano na povjerenju, nemoguće je živjeti i poslovati ako nitko nikome ne vjeruje. To ne isključuje nužnu dozu opreza, povjerenje ne može biti apsolutno, zdravo je provjeriti s kim imate posla.

Krađom identiteta, vjerovali ili ne, bave se i benigni pojedinci koji samo žele biti anonimni, živjeti izvan mreže. To je, pretpostavljam, lakše u SAD, nego kod nas, gdje nam uzimaju otiske prsta i legitimiraju nas na svakom koraku.

Europska Unija naumila je postrožiti regulativu i još jače štiti privatnost svojih građana. Nakon velike rasprave donesena je nova General Data Protection Regulation (GDPR) u travnju 2016, koja stupa na snagu 25. svibnja 2018. i zamijeniti će Data Protection Directive 95/46/EC iz 1995. Najprije upada u oči da su povećali kazne za prekršitelje. Za prvi prekršaj tvrtke koje se poigravaju osobnim podacima klijenata mogu dobiti samo opomenu, ako sud prihvati da nije postojala loša namjera, ali kazne se s druge strane penju čak do 20,000.000 € ili do 4% prošlogodišnjeg bruto prihoda, zavisi koji iznos je veći. Zamislite da ste vlasnik tvrtke i da vam "nepažnja" odnese toliku količinu prometa! To vas može odvesti ravno u stečaj. Ne valja se šaliti s EU regulativom!

Osobnim podacima  smatraju se "sve informacije koje se odnose na pojedinca, bez obzira da li se odnose na njegov privatni, profesionalni ili javni život. To može biti ime, fotografija, e-mail adresa, bankovni podaci. postovi na društvenim mrežama, informacje o zdravlju ili IP adresa njegova računala."

Tvrtke koje traže osobne podatke obavezne su klijentima objasniti u koje svrhe će se ti podaci koristiti, dobiti njihovo dopuštenje, a to se dopuštenje kasnije može i povući. Moja je omiljena zabava da trgovce koji traže osobne podatke pitam za što će te podatke koristiti? Njihovo neznanje i loša obučenost su zapanjujući i urnebesno zabavni u isto vrijeme. Većina će vam reći da su im tako naredili šefovi. Kupite vodokotlić i trgovac vam traži osobne podatke! Da ne bi! Pitam zašto, kažu zbog garancije. Pa garancija vrijedi uz račun, bez obzira na osobu koja je kupila proizvod! Mogu kotlić nekome pokloniti, zar on neće imati pravo na garanciju? Na ta pitanja nećete dobiti odgovor.

Naravno, zakonska regulativa obvezuje neke tvrtke na prikupljanje osobnih podataka. Na pr. banke ne bi otvarale račune svakom tko dođe s ulice, a i Telekomi imaju obveze prema državi. Isprva niste morali davati osobne podatke pri kupovini mobitela, ali kad se shvatilo da kriminalci koriste to pravo na anonimnost, od toga se potiho odustaje.

Svaki građanih EU ima "pravo da bude zaboravljen", kako se to trenutno naziva, a od 2018. se preimenuje u "pravo brisanja" (podataka). Imaju i pravo na prenošenje osobnih podataka drugoj pravnoj osobi, ako to požele.

Tvrtke moraju zaposliti Data Protection Officera, osobu zaduženu za zaštitu podataka. Moraju odrediti vrijeme čuvanja osobnih podataka, nakon čega se oni brišu. Moraju prijaviti DPO-a nacionalnom regulatornom tijelu - Data Protection Authorities (DPA). EU zahtijeva da u poslovne procese bude ugrađena Privacy by Design and by Default, odnosno da briga za osobne podatke bude dio projekta, a ne rezultat naknadnih krpanja. Radi zaštite prava i sloboda građana, obavezna je i procjena rizika, Data Protection Impact Assessments, a gubitak osobnih podataka mora se prijaviti unutar 72 sata, najprije DPA, a onda i oštećenim građanima.  

Regulativa EU dosad se odnosila na tvrtke koje posluju u EU, dok se nova regulativa bavi i tvrtkama izvan EU koje posluju s građanima EU.

Osim toga, građani EU imaju pravo osporavati odluke koje se o njima donose automatski, po nekom algoritmu!

Ispijajući kavu sa znancima i prijateljima, susrećem cijelu paletu različitih pristupa zaštiti osobnih podataka. Jedni o tome uopće ne brinu, na svom FB profilu objavljuju sve i svašta, dok su na drugom kraju oni koji bi najradije živjeli posve anonimno, ne koriste kreditne kartice, sve plaćaju gotovinom, nemaju profile na društvenim mrežama. Najradije bi plaću, kao nekada, dobivali u koverti! Užasava ih pomisao da ih netko prati i profilira. Dok one prve zabavlja da im pametni telefon stalno pišti i sugerira gdje da odu na kavu, gdje je neki popust, ovi drugi prodaju pametne telefone i kupuju obične, starinske, jer ih koriste samo za telefoniranje.

Gdje se smjestiti na toj ljestvici? O tome odlučuje svatko za sebe. Napredak se ne može zaustaviti, niti zloupotrebe novih tehnologija, a na nama je da pazimo na sebe u onoj mjeri u kojoj nas to ne ometa u normalnom življenju. Nije valjda baš tako strašno da su se svi urotili protiv nas, i lopovi, i država, i trgovci! Negdje nekome moramo i vjerovati. Sve dok nekoga u našoj neposrednoj blizini ne strefi nevolja, kao što je vraćanje kredita koji nisu tražili ni uzeli. Tada ćemo stati i zamisliti se, nadajući se da negdje usput nismo napravili pogrešan korak koji bi i nas mogao staviti u situaciju žrtve.