Zaštita podataka i sigurnost

Sustav naplate cestarine za teretna vozila spada u službene zadatke za koji je odgovorna Savezna Republika Njemačka koju u tome zastupa Savezna uprava za robni promet (BAG). Tvrtka Toll Collect je kao vlasnik sustava naplate cestarine izvršitelj Savezne uprave za robni promet. U toj zakonski definiranoj ulozi tvrtka Toll Collect ispunjava zahtjeve koje propisuju Savezni zakon o cestarinama na magistralnim cestama (BFStrMG) i Uredba o naplati cestarine za teretna vozila (LKW-MautV) te Savezni zakon o zaštiti podataka. Savezna uprava za robni promet u ulozi naručitelja mora definirati zahtjeve za provedbu i može davati upute.

U tom je okviru već kao sastavni dio natječaja izrađen koncept zaštite podataka i sigurnosti koji se od tada usporedo s izgradnjom sustava aktualizirao i konkretizirao. Taj se koncept zaštite podataka neprestano usklađuje sa zahtjevima Savezne uprave za robni promet i saveznog službenika za zaštitu podataka koji predstavljaju nadležna nadzorna tijela. On je osnova za provedbu pravnih zahtjeva za zaštitom podataka u operativnom radu.

Dopuštenje za obradu podataka u sustavu naplate cestarine prvenstveno se temelji na Saveznom zakonu o cestarinama na magistralnim cestama i Uredbi o naplati cestarine za teretna vozila. Propisi ne dopuštaju samo obradu podataka, nego i propisuju strogo ograničavanje svrhe i kratke rokove brisanja za vlasnika sustava. Tvrtka Toll Collect obrađuje podatke u svrhu rada sustava naplate cestarine samo unutar navedenog zakonskog dopuštenja. Prikupljaju se samo podaci koji su zakonski navedeni u čl. 4. st. 3., čl. 7. st. 2. i čl. 8. Saveznog zakona o cestarinama na magistralnim cestama te u Uredbi o naplati cestarine za teretna vozila. Te podatke vlasnik kao službeni izvršitelj po nalogu Savezne uprave za robni promet obrađuje uz stroge propise i u skladu sa zakonom o zaštiti podataka isključivo u zakonski predviđene svrhe naplate cestarine.

Registriranje vozila na kontrolnom mostu vrši se točno u okviru zakonskih propisa. Savezni zakon o cestarinama na magistralnim cestama u skladu s čl. 7. st. 2. među ostalim dopušta izradu slika vozila te evidentiranje službene registarske oznake vozila isključivo u svrhu nadzora propisa iz zakona o naplati cestarine. U skladu s čl. 9. st. 5. Saveznog zakona o cestarinama na magistralnim cestama ti se podaci moraju izbrisati odmah nakon postupka kontrole ako vozilo nije pod obvezom plaćanja cestarine. Tvrtka Toll Collect obrađuje slike vozila i podatke sa službene registarske oznake vozila samo u okviru navedene zakonske svrhe i u skladu s propisima o brisanju. Vozači/-ice nisu prepoznatljivi/-e na slikama. Osim toga, za vozila koja ne podliježu plaćanju cestarine za koja je zbog njihovih dimenzija utvrđeno da ne postoji obveza plaćanja cestarine ne analizira se službena registarska oznaka vozila na izrađenoj slici, nego se ona briše za manje od sekunde.

Samo registrirani korisnik od tvrtke Toll Collect s obračunom dobiva informaciju po kojoj je dionici teretno vozilo u kojem trenutku vozilo i koji iznos cestarine korisnik mora platiti. Treće osobe ne mogu izraditi profile kretanja, jer samo Savezna uprava za robni promet i tvrtka Toll Collect GmbH imaju pristup obračunskim podacima. Na obračunu se navodi samo vrijeme polaska za svaku obračunatu dionicu puta. Na temelju toga ne može se utvrditi pravno upotrebljiva prosječna brzina. Mobilni uređaj za vozilo ne registrira podatke o brzini i tovaru teretnog vozila.

Tvrtka Toll Collect GmbH razvila je sveobuhvatni i integralni koncept zaštite podataka i sigurnosti za sustav naplate cestarine. Tehničke mjere odgovaraju suvremenim standardima sigurnosne tehnologije i neprestano se usavršavaju.

Za sve komponente provedena je analiza potrebne zaštite u skladu s priručnikom o osnovnoj IT zaštiti Savezne uprave za sigurnost informacijske tehnologije (BSI) koja je uzela u obzir rizike za dostupnost, cjelovitost i povjerljivost. Podaci koji se obrađuju moraju se klasificirati prema senzibilnosti i treba poduzeti tehničke i organizacijske mjere koje odgovaraju klasifikacijskoj shemi.

Na temelju ovog sigurnosnog koncepta za osobne se podatke provode sigurnosne mjere koje sprečavaju da se ti podaci upotrebljavaju u nedopuštene svrhe ili da dođu do neovlaštenih osoba.

Osobni se podaci prosljeđuju samo u obavijestima i u opsegu u kojem je to potrebno za ispunjavanje zakonskih obveza ili obveza definiranih u ugovoru s korisnikom sustava naplate cestarine. U sigurnosnom je konceptu uzeto u obzir da se komunikacija (SMS ili GPRS) odvija putem javnih mreža. U svrhu zaštite od neovlaštenog pristupa trećih osoba, obavijesti s mobilnog uređaja za vozilo prema centrali sustava Toll Collect šifriraju se posebnim postupkom šifriranja. Nakon toga slijedi autentifikacija komunikacijskih partnera. Uvijek se stvara zatvoreni sigurnosni lanac (sveobuhvatni) s kriptografskim funkcijama da bi se spriječila manipulacija podacima i isključilo „prisluškivanje” informacija.

Nije moguće očitati podatke s mobilnog uređaja za vozilo putem poziva. Upotrebljavaju se modificirane SIM kartice isključivo za podatkovnu komunikaciju. Nije moguća govorna komunikacija. Samo ovlaštene servisne radionice mogu održavati krajnji uređaj. Za očitavanje podataka iz mobilnog uređaja za vozilo potrebni su pristupni kodovi koji se ne prosljeđuju trećim osobama. Ako netko pokuša manipulirati mobilnim uređajem za vozilo ili ako ga netko ukrade i ponovno ugradi, to će utvrditi kontrolna tehnologija.

Postoji strukturirana organizacija za zaštitu podataka i sigurnost s koordinatorima za zaštitu podataka i sigurnost u određenim operativnim područjima. Analize potrebne zaštite i mjere dokumentiraju se u bazi podataka kojoj mogu pristupiti nadležni zaposlenici u organizaciji za zaštitu podataka i sigurnost.

Sustav naplate cestarine za teretna vozila radi uz visok sigurnosni standard sa sigurnosnom organizacijom koja može brzo reagirati na događaje koji ugrožavaju sigurnost. Sektori zaštite podataka i sigurnosti podataka tu blisko surađuju.

Pri obradi podataka o vožnji u režimu Saveznog zakona o cestarinama na magistralnim cestama (BFStrMG) ne radi se o obradi podataka u smislu Opće uredbe za zaštiti podataka (GDPR). Tvrtka Toll Collect obrađuje podatke o vožnji korisnika sustava za naplatu cestarine u okviru naplate cestarine kao samostalni voditelj obrade. Pravna osnova za obradu proizlazi iz čl. 4. st. 3. str. 3. Saveznog zakona o cestarinama na magistralnim cestama. Ova odredba dopušta vlasniku da obrađuje podatke o vožnji u svrhu rada sustava za naplatu cestarine.