Zavarovanje osebnih podatkov

Dobro zavarovanje osebnih podatkov je vsekakor eden od bistvenih pogojev za učinkovito varstvo osebnih podatkov oziroma varstvo posameznika, na katerega se podatki nanašajo. Podrobnejše organizacijske, tehnične in logično tehnične postopke in ukrepe za zavarovanje osebnih podatkov bi bilo v sistemskem zakonu zelo težko določiti, saj so odvisni od različnih okoliščin, v katerih se obdelujejo posamezni osebni podatki. Razlika je že samo v tem, ali se osebni podatki obdelujejo ročno, ali pa s pomočjo sredstev za avtomatsko obdelavo podatkov. Nadalje so postopki in ukrepi za zavarovanje podatkov odvisni tudi od uporabljene strojne in programske opreme, pa od tega, komu in na kakšen način se podatki posredujejo, upoštevati je potrebno tudi morebitno obdelavo posebno občutljivih osebnih podatkov (podatki o rasnem narodnem ali narodnostnem poreklu, političnem, verskem filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenske evidence ali prekrškovne evidence ter biometrične značilnosti), katerih obdelava mora biti skladno z določbami 14. člena Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 86/04 in 113/05) še posebej označena in zavarovana, itd.. Zaradi vsega navedenega so v 24. členu ZVOP-1 določene samo zahteve, ki jim morajo postopki in ukrepi za zavarovanje osebnih podatkov zadostiti, v 25. členu pa je določeno, da morajo  upravljavci osebnih podatkov postopke in ukrepe za zavarovanje osebnih podatkov predpisati v svojih aktih ter seveda zagotoviti njihovo izvajanje.

V notranjih aktih obdelovalcev osebnih podatkov predpisani organizacijski, tehnični in logično-tehnični postopki in ukrepi za zavarovanje osebnih podatkov morajo v prvi vrsti preprečiti nepooblaščeno obdelavo osebnih podatkov, poleg tega pa morajo preprečiti tudi slučajno ali namerno nepooblaščeno uničevanje podatkov ter njihovo spremembo ali izgubo. Da bi to dosegli, je potrebno v notranjih aktih predpisati, kako se:

1. varujejo prostori, oprema  in sistemska programska oprema, vključno z vzhodno-izhodnimi enotami;

2. varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;

3. preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih omrežjih;

4. zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;

5. omogoča poznejše ugotavljanje, kdaj so bili posamezni podatki vnešeni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.

V zvezi z zgoraj navedenim je potrebno opozoriti, da ni dovolj, da se postopki in ukrepi za zavarovanje osebnih podatkov zgolj predpišejo v notranjih aktih upravljavcev osebnih podatkov, ampak je potrebno poleg tega tudi zagotoviti, da se bodo predpisani postopki in ukrepi tudi dejansko izvajali. Da bi to dosegli, je potrebno z akti, ki predpisujejo postopke in ukrepe za zavarovanje osebnih podatkov, seznaniti vse zaposlene, poleg tega pa morajo obdelovalci osebnih podatkov skladno z določbami 25. člena ZVOP-1 določiti tudi osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki zaradi narave njihovega dela lahko obdelujejo določene osebne podatke. Navedeno pomeni, da morajo upravljavci osebnih podatkov poleg aktov, ki predpisujejo postopke in ukrepe za zavarovanje osebnih podatkov, voditi tudi ažuren seznam, iz katerega bo za vsako zbirko osebnih podatkov jasno razvidno, katera oseba je odgovorna za posamezno zbirko osebnih podatkov ter katere osebe lahko zaradi narave svojega dela obdelujejo osebne podatke, ki se nanašajo na posamezno zbirko osebnih podatkov.

Akti za zavarovanje so pravilnik za zavarovanje osebnih podatkov in organizacijski predpisi, ki lahko še podrobneje določajo izvedbo varovanja posameznih podatkov.

Eden od novejših pravilnikov, ki obdelovalcem osebnih podatkov lahko služi kot pomoč pri pripravi lastnega pravilnika, je  npr.  Pravilnik o ravnanju z osebnimi podatki in o načinu varovanja osebnih podatkov pri opravljanju detektivske dejavnost (Uradni list RS, št. 52/03). Novejši predpis, ki pa predpisuje predvsem način vodenja posameznih evidenc, pa je npr. Pravilnik o načinu vodenja policijskih evidenc  (Uradni list RS, št. 121/04).

Za vzorec pravilnika o zavarovanju osebnih podatkov kliknite tu.