Zaposleni u ANB-u podnijeli krivičnu prijavu zbog nezakonitog nadzora

Dio zaposlenih u Agenciji za nacionalnu bezbjednost (ANB) podnio je, krajem aprila, anonimnu krivičnu prijavu Specijalnom državnom tužilaštvu (SDT), tvrdeći da su svi radnici te agencije nezakonito pod stalnim nadzorom ANB-a, putem aplikacije instalirane na službenom mobilnom telefonu.

Oni su se, takođe anonimno, obratili i Agenciji za zaštitu ličnih podataka (AZLP) i Odboru za bezbjednost i odbranu. Iz SDT-a, AZLP-a, kao i predsjedavajući skupštinskog Odbora Nikola Zirojević potvrdili su za Centar za istraživačko novinarstvo Crne Gore (CIN-CG) da su dobili ove dopise.

Prema krivičnoj prijavi koju je CIN-CG imao na uvid, službenici tvrde da postoji osnov sumnje da je “u ANB-u tokom 2025, najkasnije od juna, uspostavljen sistemski, masovni i neselektivni GPS, odnosno nadzor lokacije zaposlenih putem aplikacije ‘Hexnode for work’, instalirane na službenim mobilnim uređajima, koji je prema raspoloživim saznanjima i dalje aktivan u vrijeme podnošenja prijave, suprotno ustavnim i zakonskim garancijama prava na privatnost i zaštitu ličnih podataka”. Više nepovezanih izvora iz bezbjednosnog sektora sa kojima je CIN-CG razgovarao, potvrdilo je da je ova vrsta nadzora zaposlenih uspostavljena tokom 2025. godine.

Aplikacija “Hexnode For Work” predstavlja MDM (Mobile Device Management) sistem, odnosno rješenje za centralizovano upravljanje službenim uređajima, koje omogućava administratorima da daljinski instaliraju ili ograničavaju aplikacije, upravljaju određenim funkcijama uređaja i, zavisno od konfiguracije, prate podatke poput lokacije uređaja.

Sistem nadzora se, kako se navodi u dokumentaciji, primjenjuje “prema svim službenicima ANB-a, bez konkretnog i pojedinačno utvrđenog osnova ili sumnje u odnosu na određene osobe, bez jasnog razgraničenja radnog i van radnog vremena, bez valjano i transparentno saopštene svrhe obrade, te bez poznatog internog akta kojim bi unaprijed bili precizno uređeni pravni osnov, obim primjene, rokovi čuvanja podataka, krug ovlašćenih korisnika i odgovarajuće zaštitne garancije”, piše, između ostalog, u krivičnoj prijavi SDT-u, u koju je CIN-CG imao uvid.

Ističe se da je “određenim kategorijama zaposlenih, naročito operativnom kadru, nalagano da službeni mobilni telefon nose i van radnog vremena radi stalne dostupnosti za službene potrebe”. Praćenje zaposlenih u tom periodu “moglo bi obuhvatati i privatni život zaposlenih, njihovo kretanje, mjesto stanovanja, navike, kontakte i druge osjetljive okolnosti”, navodi grupa službenika ANB-a u krivičnoj prijavi.

Iz SDT-a su za CIN-CG kazali da je po ovoj krivičnoj prijavi formiran predmet i da je u toku izviđaj. U dopisu Odboru za bezbjednost i odbranu, koji je CIN-CG imao na uvid, navodi se da “posebno zabrinjava mogućnost da je među zaposlenima stvoren osjećaj stalnog nadzora, psihološkog pritiska, nesigurnosti i nepovjerenja, što može dovesti do autocenzure, narušavanja profesionalne autonomije i odvraćanja od internog prijavljivanja eventualnih nezakonitosti i zloupotreba”.

Podnosioci prijave traže od SDT-a da provjeri da li su određeni ljudi u ANB-u uspostavljanjem ovakvog sistema nadzora počinili krivična djela neovlašćenog prikupljanja i korišćenja ličnih podataka, zloupotrebe službenog položaja i nesavjesnog rada u službi. Od AZLP-a traže da se utvrdi da li je došlo do kršenja Zakona o zaštiti ličnih podataka, dok od Odbora zahtijevaju da se ova tema ispita u domenu nadležnosti Parlamenta Crne Gore.

Iz AZLP-a su potvrdili za CIN-CG da su pokrenuli postupak u vezi sa ovim predmetom, ali da u ovoj fazi ne mogu dati više informacija. “Kao predsjedavajući Odbora dobio sam prijavu službenika ANB-a, upoznat sam sa slučajem, ali Odbor još nije razmatrao ova pitanja”, rekao je predsjedavajući Odbora za bezbjednost i odbranu Nikola Zirojević u razgovoru za CIN-CG. Dodao je da će se Odbor posvetiti ovim ozbiljnim optužbama.

Novinarke CIN-CG-a su postavile više pitanja ANB-u o ovom slučaju, ali nijesu dobile odgovore do objave teksta.

Sistem, kako se navodi na oficijalnom sajtu proizvođača “Hexnode”, omogućava podešavanje periodičnog praćenja lokacije u intervalima od 15 minuta do 24 časa, trenutno očitavanje lokacije kroz opciju “Scan Location” i pregled istorije lokacija uređaja. Takođe se opisuju funkcije daljinskog upravljanja i nadzora uređaja, uključujući i mogućnost pregleda ekrana uređaja u realnom vremenu.

Aplikacija “Hexnode for work” ima i trajni pristup lokaciji uređaja, u režimu “allow all the time”, odnosno može da pristupa lokaciji i onda kada aplikacija nije otvorena, niti je korisnik aktivno koristi. U krivičnoj prijavi se navodi da je ova opcija bila administrativno nametnuta, što znači da zaposleni nijesu mogli sami da je isključe ili ograniče.

Uz prijavu su dostavljene fotografije ekrana službenih telefona, na kojima se vidi da je aplikacija pristupala lokaciji službenika više puta istog dana. U jednom drugom slučaju, vidi se i opcija “use precise location”, odnosno korišćenje precizne lokacije, kao i oznaka “enabled by admin”, iz koje proizlazi da podešavanja nijesu bila pod kontrolom korisnika uređaja, već određenog administratora sistema.

U prijavi AZLP-u navodi se i da aplikacija ima pristup kameri, kontaktima, lokaciji, obavještenjima, telefonu i uređajima u blizini. “Hexnode for work”, prema dokumentaciji u koju je CIN-CG imao uvid, posjeduje i mogućnost preuzimanja fajlova bez prikazivanja obavještenja korisniku. To, kako se ističe u krivičnoj prijavi, dodatno ukazuje na visok stepen administratorske kontrole nad uređajima zaposlenih.

“Hexnode” omogućava dostupnost istorije podataka administratoru u lako čitljivim formatima, kao što je PDF ili CSV (tekstualni tabelarni format). U prijavi se navodi da su zaposleni potpisivali samo interni dokument kojim potvrđuju da su upoznati sa pravilima korišćenja službenog telefona. U tom dokumentu, tvrde, piše da službenici ne smiju samoinicijativno instalirati ili brisati aplikacije, iznositi telefon iz države bez odobrenja ANB-a, niti vraćati uređaj na fabrička podešavanja bez saglasnosti.

U prijavi AZLP-u, grupa zaposlenih u ANB-u traži da se pokrene ispitivanje da li je došlo do kršenja odredbi Zakona o zaštiti podataka o ličnosti (Zakon), “naročito obaveze da se lični podaci obrađuju na pošten i zakonit način, svrhu za koju su prikupljeni i u obimu koji je neophodan”, što se ističe u Zakonu.

“Posebno se ukazuje da, prema raspoloživim saznanjima, zaposleni nijesu bili jasno obaviješteni o identitetu rukovaoca zbirke ličnih podataka, svrsi obrade, pravnom osnovu, korisnicima podataka, niti pravima koja im pripadaju, iako Zakon propisuje obavezu takvog informisanja”, navodi se u prijavi AZLP-u.

U ovom zakonu se navodi da rukovalac zbirkom ličnih podataka mora, osim ako posebnim zakonom nije drugačije propisano, “licu od kojeg neposredno prikuplja podatke dati obavještenje svom ličnom imenu, odnosno nazivu i adresi, svrsi i pravnom osnovu za obradu ličnih podataka, korisniku ličnih podataka i pravnom osnovu za davanje podataka na korišćenje”.

Prema Zakonu, osobe pod nadzorom moraju imati izbor na saglasnost o davanju ličnih podataka i biti obaviještene o mogućim posljedicama odbijanja davanja tih podataka, a moraju imati i pravo da pristupe svojim podacima. Rukovalac zbirkom ličnih podataka je dužan da obezbijedi tehničke, kadrovske i organizacione mjere zaštite, kao i automatske evidencije pristupa, korišćenja i obrade podataka u informacionom sistemu, što bi podrazumijevalo detaljnu obaviještenost službenika o pohranjenim podacima.

Zakon propisuje da se podaci koji omogućavaju utvrđivanje identiteta lica mogu čuvati samo onoliko dugo koliko je potrebno za svrhu, ali službenici ANB-a, tvrde, nemaju saznanja na koji način i na koji vremenski period se njihovi lični podaci čuvaju. Do kršenja Zakona dolazi i u slučajevima kada je nadzor lokacije korišćen radi ocjenjivanja ponašanja, pouzdanosti, rezultata rada na radnom mjestu ili drugih ličnih svojstava zaposlenih, jer se zabranjuje da se zaposleni ocjenjuju isključivo na automatskoj obradi podataka.

Zakon sadrži i ograničenje prema kojem se, izuzev odredbi koje se odnose na nadzor pokrenut pod odgovarajućim zakonskim uslovima, ne primjenjuje na obradu ličnih podataka za potrebe odbrane i nacionalne bezbjednosti, osim ako posebnim zakonom nije drugačije propisano.

“Ukoliko ANB tvrdi da je riječ o obradi podataka radi potreba nacionalne bezbjednosti, dužna je da ukaže na poseban zakon, precizno određenu svrhu, obim primijenjene mjere i odgovarajuće zaštitne garancije. Ukoliko je, sa druge strane, riječ o internoj organizacionoj, disciplinskoj, kadrovskoj ili drugoj kontroli zaposlenih, tada se primjenjuju redovna pravila Zakona koja se odnose na zakonitost obrade, transparentnost, vođenje evidencija, rokove čuvanja i prava lica na koje se podaci odnose”, navode podnosioci prijave.

MDM sistemi u EU pod strogim pravilima, Crna Gora još nema usklađen pravni okvir zaštite ličnih podataka. Iako bezbjednosne institucije imaju pravo da štite svoje podatke, komunikacije i opremu, to ne znači i da mogu nekontrolisano i masovno pratiti zaposlene. Evropski standardi u oblasti zaštite privatnosti i ličnih podataka nalažu da nadzor zaposlenih bude jasno pravno utemeljen, nužan, proporcionalan i transparentan, i da se preduzima samo u izuzetnim okolnostima.