Krađa podataka građana: RFZO i Ministarstvo zdravlja duguju javnosti odgovore

Građanski pokret Solidarnost zahteva da Republički fond za zdravstveno osiguranje (RFZO) i Ministarstvo zdravlja bez odlaganja i u celosti obaveste javnost o mogućoj krađi ličnih podataka iz informacionih sistema Fonda, kao i da se pokrene nezavisna istraga.

Šta se dogodilo

Portal „Bezbedan Balkan" dokumentovao je 17. avgusta 2026. objavu nepoznatog aktera koji tvrdi da je pristupio bazama RFZO-a. Kao navodni dokaz prikazani su struktura baza i uzorci podataka — među njima JMBG i LBO osiguranika, podaci o izabranim lekarima, njihovim specijalizacijama i zdravstvenim ustanovama. U jednom uzorku navodno se nalazi 342.732 zapisa o izabranim lekarima.

Naglašavamo ono što još nije potvrđeno: da su izneti podaci svih osiguranika, niti da su kompromitovani nalazi, dijagnoze i terapije. Ali i ono što je već objavljeno dovoljan je razlog za hitnu reakciju. Ako se potvrdi da su JMBG, LBO i drugi identifikacioni podaci zaista izneti iz sistema RFZO-a, radilo bi se o jednom od najtežih incidenata u istoriji elektronske uprave Srbije. Takvi podaci se zloupotrebljavaju za krađu identiteta, prevare i lažno predstavljanje.

Zastareli sistemi i ranija upozorenja

Javno dostupne analize ukazuju da su na pojedinim serverima RFZO-a bile vidljive oznake veoma starih verzija softvera — CentOS 7 i PHP 5.4.16. CentOS 7 je ostao bez redovne bezbednosne podrške u junu 2024. godine, dok PHP 5.4 godinama nije podržan. Same oznake ne dokazuju kako je eventualni napad izveden, jer se pojedine ispravke mogu ugrađivati i bez promene oznake softvera. Ali one zahtevaju jasan odgovor: kada je infrastruktura poslednji put temeljno ažurirana i ko je bio zadužen za njeno održavanje.

Posebno zabrinjava to što se mogući bezbednosni problemi na internet stranicama RFZO-a navodno beleže godinama unazad — ranjivost zabeležena još 2021, tragovi mogućeg izvršavanja komandi na serveru iz 2023. i kompromitovani delovi sajta tokom februara 2025. godine. Ovi nalazi sami po sebi ne dokazuju vezu sa sadašnjim slučajem, ali otvaraju pitanje: da li je rukovodstvo bilo upoznato sa ranijim upozorenjima i šta je preduzelo.

Zašto dosadašnji odgovor nije dovoljan

RFZO se oglasio 18. avgusta 2026. i naveo da je pokrenuo proveru sistema, ali da u tom trenutku nije mogao da potvrdi da li je do incidenta došlo, niti da utvrdi obim ugroženih podataka. Glavni sajt i stranica javnih nabavki privremeno su bili nedostupni.

Privremeno isključivanje može biti opravdana mera zaštite, ali kratko saopštenje ne odgovara na ključna pitanja:

• Kada je RFZO prvi put saznao za mogući incident?

• Koji su sistemi bili ugroženi ili isključeni?

• Da li je utvrđeno da su podaci zaista izneti?

• Da li su obavešteni Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti, Nacionalni centar za prevenciju bezbednosnih rizika (CERT) i nadležno tužilaštvo?

Prema Zakonu o zaštiti podataka o ličnosti, potvrđena povreda se po pravilu prijavljuje Povereniku najkasnije u roku od 72 časa od saznanja. Ako povreda može proizvesti visok rizik po prava građana, rukovalac je dužan da bez nepotrebnog odlaganja obavesti i sama lica na koja se podaci odnose.

Kako reaguju odgovorne države

Ovo nije izolovan slučaj i nije samo problem Srbije. Ali način na koji druge države odgovaraju na iste incidente pokazuje šta bi i kod nas moralo da se uradi — brzo, javno i uz jasnu odgovornost.

Singapur (SingHealth, 2018). U najvećoj krađi podataka u istoriji te zemlje ukradeni su podaci 1,5 miliona pacijenata, uključujući i tadašnjeg premijera. Vlada je odmah formirala nezavisnu istražnu komisiju i objavila detaljan javni izveštaj sa konkretnim preporukama. Nadzorni organ za zaštitu podataka izrekao je do tada najveće kazne, a odgovornost je snosio i tehnički partner i sama zdravstvena ustanova — uz jasan stav da vlasnik baze ostaje odgovoran čak i kada posao poveri drugoj firmi. Više članova rukovodstva je sankcionisano, a pojedini su i smenjeni.

Finska (Vastaamo, 2018–2020). Iz baze psihoterapeutskog centra ukradeni su izuzetno osetljivi podaci oko 33.000 pacijenata. Ključna pouka tiče se kašnjenja sa obaveštavanjem: prikrivanje incidenta produbilo je štetu, a bivši direktor je pravosnažno osuđen jer nije zaštitio podatke klijenata. Slučaj je duboko potresao društvo, doveo do bankrota ustanove, a država je razmatrala i olakšavanje promene matičnog broja žrtvama. Napadač je kasnije osuđen na višegodišnju zatvorsku kaznu.

Irska (HSE, 2021). Ceo državni zdravstveni sistem pogođen je napadom, a podaci oko 100.000 ljudi su ukradeni. Nezavisni izveštaj pokazao je da su napadači nedeljama bili u sistemu neopaženo, da je na hiljadama računara radio zastareo softver i da više upozorenja nije shvaćeno ozbiljno — što je gotovo istovetno pitanje koje se sada postavlja RFZO-u. Država je odbila da plati otkup, javno objavila detaljan izveštaj o propustima, obavestila pogođene građane u skladu sa propisima i kasnije im ponudila naknadu.

Zajednička nit svih ovih slučajeva je jasna: nezavisna istraga, javni izveštaj, obaveštavanje regulatora i građana bez odlaganja, i imenovanje odgovornih. To je standard koji očekujemo i ovde.

Šta tražimo

1. Potpuno i istinito obaveštavanje javnosti o tome šta se dogodilo, kada je Fond saznao i koji su podaci ugroženi.

2. Nezavisnu bezbednosnu istragu i javni izveštaj o njenim nalazima.

3. Jasan odgovor ko je bio zadužen za održavanje i bezbednost sistema, ko je procenjivao rizike i koliko je ulagano u zaštitu podataka.

4. Potvrdu da su o slučaju obavešteni Poverenik, CERT i tužilaštvo, i da su građani obavešteni u skladu sa zakonom.

5. Utvrđivanje odgovornosti svih koji nisu blagovremeno postupali po ranijim upozorenjima.

Zaštita podataka nije pitanje odnosa s javnošću

Zaštita ličnih podataka nije tehnički problem koji se rešava iza zatvorenih vrata, niti simulacija komunikacije. To je zakonska obaveza države i pitanje lične bezbednosti svakog građanina. Kada državne institucije postanu zatvoreni sistemi bez stručne i javne kontrole, posledica nije samo politička — to je ugrožavanje privatnosti i bezbednosti miliona ljudi čije podatke je država dužna da čuva.

Građani Srbije imaju pravo da znaju ko čuva njihove podatke, kako ih čuva i ko odgovara kada zaštita zakaže.