Smiju li se fotografije rana slati preko WhatsAppa? Šta kažu propisi u BiH

Scena koju zna svaki dom. Sestra u popodnevnoj smjeni zatekne dekubitus koji jučer nije bio takav. Slika ga mobitelom i pošalje u WhatsApp grupu “Medicinari” — onu koju ima svaki dom i u kojoj je pola doma. Glavna sestra odgovori za dvadeset minuta: “Vidim, javi doktoru ujutro.”

Niko nije mislio ništa loše. Naprotiv — to je bio najbrži način da informacija dođe do prave osobe, a briga o korisniku i jest bila poanta.

Pa ipak, u tom trenutku dom je uradio nešto što mu propisi Bosne i Hercegovine ne dozvoljavaju. I to ne zato što je fotografija snimljena, nego zato gdje je završila.

Odmah da se razjasni: umjesto WhatsAppa može stajati Viber, Messenger, e-mail ili SMS — za propis je to potpuno svejedno. Nije riječ o jednoj aplikaciji nego o tome da je fotografija izašla iz sistema ustanove u privatne poruke osoblja.

Iz istog razloga problem ne rješava ni službeni mobitel doma, što je prva pomisao većine uprava. Ako fotografija i dalje ide u grupu, ona i dalje nigdje nije zavedena, ne zna se na kojeg se korisnika odnosi, koliko se čuva ni ko joj je sve pristupio — a usput prolazi kroz firmu s kojom dom nema nikakav ugovor. Službeni uređaj uklanja jedan rizik, i to stvaran: mobitel ne odlazi s radnikom kad da otkaz. Ostale ne dira. Isto vrijedi i obrnuto — snimanje privatnim mobitelom je u redu ako fotografija ide direktno u sistem ustanove i tu ostane.

Nije, dakle, stvar u tome čiji je mobitel, nego gdje fotografija završi.

Kratki odgovor glasi: fotografisati smijete i često trebate. Slati tu fotografiju kroz aplikacije za poruke — ne, ni sa službenog ni s privatnog mobitela.

Rok za usklađivanje nije pred vama. Istekao je prošle jeseni.

Ovo je dio s kojim većina domova u BiH još nije potpuno upoznata.

Novi Zakon o zaštiti ličnih podataka (Sl. glasnik BiH 12/25), usklađen s GDPR-om, u primjeni je od 4. oktobra 2025. Tog je dana stari zakon iz 2006. prestao vrijediti.

Riječ je o državnom zakonu. Obavezuje jednako domove u Federaciji BiH, u Republici Srpskoj i u Brčko distriktu — nema entitetske verzije ovog pravila, nema kantonalne, i nema prelaznog perioda koji još traje.

Zašto je fotografija rane poseban slučaj

Fotografija dekubitusa, hematoma, opekotine ili posljedica pada nije “obična slika”. To je podatak o zdravstvenom stanju konkretne osobe — a zdravstveni podaci spadaju u posebnu kategoriju ličnih podataka, onu s najstrožim režimom.

A sad ono što se u praksi najčešće pogrešno shvati. Zakon domu izričito dozvoljava obradu zdravstvenih podataka korisnika — među dozvoljenim svrhama doslovno navodi pružanje zdravstvene ili socijalne zaštite, dakle upravo ono što dom radi. Fotografija rane je zakonita. Ali uz tu dozvolu veže dva uslova: da podatkom rukuje osoba vezana obavezom čuvanja profesionalne tajne, i da se obrada odvija pod kontrolom ustanove, uz odgovarajuće mjere zaštite.

Drugim riječima: dozvola za obradu nije dozvola za bilo koji kanal. Fotografija je zakonita u evidenciji njege. Ista fotografija u privatnoj poruci na privatnom mobitelu nije.

”Ali te su poruke zaštićene”

Jesu — te aplikacije šifruju poruku dok putuje. Samo što regulatori na to uopšte nisu gledali.

Danska agencija za zaštitu podataka je 2021. kaznila zdravstvenu ustanovu s oko 80.000 eura jer je osoblju naložila da zdravstvene podatke razmjenjuje preko privatnih mobitela. U jednoj je grupi bilo 182 člana i 541 fotografija s ličnim podacima. (prikaz slučaja)

U obrazloženju se agencija nije bavila tehnologijom. Utvrdila je da ustanova nije provela nikakvu procjenu rizika, da su podacima pristupali ljudi kojima to za posao nije trebalo i — ovo je ključno — da bivši zaposlenici nisu uklonjeni iz grupa i podacima su i dalje imali pristup.

Tu je srž problema. Zaštićen je prenos, ne podatak. Kad poruka stigne, fotografija leži u galeriji uređaja koji ustanova ne posjeduje, ne administrira i ne može obrisati.

Britanski regulator je 2023. iz istog razloga izdao opomenu bolničkom sistemu NHS Lanarkshire: 26 radnika, grupa korištena dvije godine, podaci pacijenata uneseni više od 500 puta uključujući kliničke snimke — i osoba koja uopšte nije zaposlenik greškom dodana u grupu. Među preporukama je i ona koja se doma najviše tiče: da ustanova uvede siguran sistem za prenos kliničkih snimaka. (prikaz slučaja)

Ne odgovara sestra — odgovara dom. I direktor lično.

Ovo je dio koji uprave najčešće previde.

Od trenutka kad korisnik uđe u dom, ustanova je pravno odgovorna za sve što se s njegovim podacima dešava — uključujući i ono što osoblje radi mimo sistema, mimo naloga i u dobroj namjeri. Sestrin privatni mobitel time postaje odgovornost ustanove.

Iz toga slijedi nekoliko posljedica koje se u praksi jave tek kad je kasno:

• Kad radnik da otkaz, fotografije odlaze s njim. To je neovlašteno otkrivanje podataka — a dom za njega neće ni saznati.
• Fotografija se s većine mobitela automatski sinhronizuje na privatni iCloud ili Google nalog radnika. Kopija zdravstvenog podatka time završava na nalogu koji dom nikada nije odobrio, ne vidi ga i ne može ga povući.
• Kad porodica zatraži uvid u podatke svog člana ili njihovo brisanje, dom mora odgovoriti. Za sadržaj tuđih privatnih telefona ne može ni odgovoriti ni garantovati.

I sad brojka koju treba znati. Zakon predviđa kazne do 40.000.000 KM, odnosno do 4 % godišnjeg prometa. Poštenja radi — ta je gornja granica pisana za multinacionalne kompanije i za dom sa 60 kreveta nije realan scenarij; ko vas time plaši, prodaje strah.

Realno je nešto drugo, i stoji u istom članu. Uz ustanovu se kažnjava i odgovorno lice — direktor — u rasponu od 5.000 do 70.000 KM. Kažnjava se i sam zaposlenik, od 500 do 5.000 KM. To više nije trošak ustanove nego privatni novčanik — i zato ovu temu ne treba delegirati “onome ko se bavi kompjuterima”.

Pet pitanja na koja dom neće znati odgovoriti

Propis od doma ne traži da bude savršen. Traži da zna i da može dokazati — a to se vidi tek u trenutku kad neko pita. Pet pitanja koja se u praksi postavljaju, i pet odgovora kojih nema dok fotografija živi u privatnim porukama:

1. “Gdje se sve nalazi ta fotografija?” — Ne zna se. Bila je u grupi od dvadesetak ljudi, dio njih više ne radi u domu, a broj kopija niko nikada nije brojao.
2. “Obrišite sve podatke o mojoj majci.” — Dom može obrisati svoju evidenciju. Tuđe telefone ne može.
3. “Ko je i kada snimio ovu fotografiju?” — Poruku je proslijedio neko treći, datum nije pouzdan, a potpisa nema.
4. “Pokažite nam evidenciju obrada.” — Ovog kanala u njoj nema. Fotografije zdravstvenih podataka godinama izlaze iz ustanove, a nigdje nije zapisano da postoje.
5. “Kad ste saznali za povredu podataka?” — Nikad. Povredu treba prijaviti u roku od 72 sata, ali dom nema način ni primijetiti da se dogodila.

Zajednički imenilac svih pet: problem nije u tome što je fotografija nesigurna, nego u tome što je izvan sistema — pa dom o njoj ne može ništa ni tvrditi ni dokazati. A propis, i inspektor, i sud traže upravo to.

A ako se stvar nađe pred sudom?

Ovo je pitanje koje uprave rijetko postave, a najviše ih se tiče. Kad porodica tvrdi da je rana nastala nemarom, fotografija s prijema često je jedini dokaz da dom nije kriv.

Dobra vijest je da se tu ne gubi na dopuštenosti. Zakon o elektronskom dokumentu (Sl. glasnik BiH 58/14) elektronskom dokumentu daje “istu pravnu snagu kao i dokument na papiru”.

Loša vijest je da se gubi na dokaznoj snazi. Da bi elektronski zapis nešto vrijedio, mora se moći provjeriti njegova vjerodostojnost, izvornost i nepromjenjivost — ko ga je stvorio, kada, i da nije naknadno mijenjan. Fotografija koja je prošla kroz nekoliko privatnih telefona nema ništa od toga: datum se može promijeniti, autor se ne zna, a suprotna strana treba samo reći “ne znamo kada je to snimljeno ni je li dirano” — i dom nema čime uzvratiti.

Zapis nastao unutar sistema nosi ime osobe, vrijeme unosa i provjeru cjelovitosti datoteke. Niko ne može garantovati kako će sud u konkretnom slučaju odlučiti. Ali razlika između zapisa iza kojeg dom može stati i datoteke s nečijeg mobitela je ogromna — a primijeti se tek kad zatreba.

Šta nadzor stvarno gleda

U Njemačkoj, gdje nadzor u ustanovama socijalne zaštite traje najduže, “fotografije rana na privatnim pametnim telefonima” stoje na standardnoj listi nalaza koju inspekcija u domu provjerava — uz nepotpunu evidenciju obrada, nepostojeće ugovore s dobavljačima softvera, otvorene ekrane u sestrinskim sobama i nedokumentovanu edukaciju osoblja. (pregled tipičnih nalaza)

Nadzor u BiH još nije na toj razini detalja. Ali okvir je od oktobra 2025. isti — novi zakon je usklađen s GDPR-om — pa je razumno pretpostaviti u kojem smjeru ide.

Uz to, jedna obaveza koju većina domova još nije ispunila: imenovanje službenika za zaštitu ličnih podataka. Zakon ga traži kad se osnovna djelatnost sastoji od obimne obrade posebnih kategorija podataka — a dom koji vodi zdravstvene podatke svih svojih korisnika upravo je takav slučaj.

Šta onda smijete — i šta sistem mora imati

Poanta nije da se rane ne fotografišu. Fotodokumentacija rana je dobra sestrinska praksa i često najbolji dokaz da je dom radio svoj posao — pogotovo kad je pritužba neosnovana. Poanta je da fotografija mora nastati i ostati unutar sistema ustanove.

Konkretno, sistem u koji dom snima takve fotografije treba imati:

1. Vezu sa zapisom njege. Fotografija koja stoji sama je datoteka; fotografija vezana uz evidenciju njege konkretnog korisnika je dokaz.
2. Atribuciju — ko je unio i kada, na nivou svakog pojedinačnog unosa.
3. Kontrolu pristupa — da fotografiju vidi osoblje kojem to treba za posao, a ne svako ko je u nekoj grupi.
4. Privatnu pohranu, odvojenu po ustanovi, izvan privatnih uređaja i izvan privatnih oblaka.
5. Ugovor o obradi podataka s dobavljačem softvera. Ovo je obaveza koju domovi najčešće preskoče: zakon traži da odnos doma i dobavljača bude uređen pisanim ugovorom. Bez njega je i uredna digitalna evidencija prekršaj — i to prekršaj doma, ne dobavljača.

Kako je to riješeno u DomPlusu

U DomPlusu se fotografija snima u aplikaciji, na licu mjesta, i veže se uz sam zapis njege — ne postoji kao zasebna datoteka koju neko negdje čuva. Uz nju stoji ime osobe koja ju je unijela i vrijeme unosa.

Datoteka ide u privatnu pohranu unutar EU, u prostor odvojen po ustanovi, i nije javno dostupna — prikazuje se samo kroz vremenski ograničene linkove unutar aplikacije. Pri unosu se računa i kriptografski otisak sadržaja, pa se naknadna izmjena ili oštećenje datoteke mogu utvrditi. Vidljivost je vezana uz ulogu radnika, pa zdravstveni dio evidencije ne vidi svako ko ima pristup sistemu.

Poštenja radi: softver ne čini dom usklađenim. Usklađenost je na ustanovi — evidencija obrada, službenik za zaštitu podataka, edukacija osoblja i interno pravilo o tome šta se smije slikati i gdje to ide. Ono što sistem rješava je jedan konkretan kanal curenja podataka — najčešći i najteže vidljiv — i tehnički dio obaveza, uz ugovor o obradi kao standardni dio uvođenja.

Umjesto zaključka

Nijedan dom nije došao u ovu situaciju iz nemara. Grupa “Medicinari” nastala je zato što je bila jedini alat koji je smjenama bio pri ruci — i dok drugog nema, osoblje će je koristiti, koliko god pravilnika uprava napisala. Zabraniti je bez zamjene znači samo da će se preseliti u privatne poruke, gdje je niko više neće ni vidjeti.

Zato ovo nije pitanje discipline nego alata. Ako sestra na mobitelu ima mjesto gdje fotografija ide u dva dodira i odmah se veže uz karton korisnika, grupa prestaje sama od sebe. Ako tog mjesta nema, nema ni pravila koje će je ugasiti.

Ako želite vidjeti kako to izgleda u stvarnom radu doma — ili vam samo treba drugo mišljenje o tome gdje vam podaci danas završavaju — pogledajte šta DomPlus pokriva i koliko košta, ili nam se javite. Razgovor od 20 minuta dovoljan je za konkretnu procjenu.

Srodno — Smije li se temperaturna lista voditi digitalno? Propisi za Federaciju BiH i Republiku Srpsku.

---

Ovaj tekst je informativni pregled propisa i ne predstavlja pravni savjet. Za primjenu na konkretan slučaj — posebno u postupku pred AZLP-om ili pred sudom — preporučujemo potvrdu nadležnog pravnika.

Navodi se temelje na Zakonu o zaštiti ličnih podataka BiH (“Sl. glasnik BiH”, br. 12/25), koji uređuje posebne kategorije podataka i uslove za zdravstvenu i socijalnu zaštitu, sigurnost obrade, rok od 72 sata za prijavu povrede, ugovor s obrađivačem, imenovanje službenika za zaštitu podataka te raspone novčanih kazni, i na Zakonu o elektronskom dokumentu BiH (“Sl. glasnik BiH”, br. 58/14).