Ustreznost zavarovanja

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše elektronsko sporočilo, v katerem prosite za informacijo ali gre za kršitev varstva osebnih podatkov, ko je skozi okence s strani delodajalca poslane kuverte razvidno, da gre za obračun plače na vaše ime, in je tako vsakemu jasno, da ste zaposleni pri določenem delodajalcu. Prav tako je razvidno, koliko ur dela ste opravili v določenem mesecu.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07; v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, s spremembami in dopolnitvami; v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav in zavarovanja osebnih podatkov ne more presojati.

Osebni podatki morajo biti ves čas prenosa poštne pošiljke, od oddaje do vročitve naslovniku, zavarovani na način, da se prepreči nepooblaščena seznanitev z osebnimi podatki, ki se prenašajo. Postopki in ukrepi zavarovanja so odvisni od tveganja, ki ga predstavlja prenos in narave osebnih podatkov, ki se prenašajo.

OBRAZLOŽITEV

IP uvodoma pojasnjuje, da področje varnosti obdelave osebnih podatkov urejata tako Splošna uredba kot ZVOP-1 (ZVOP-1 v tem primeru uporablja izraz zavarovanje). Zavarovanje v skladu s še veljavnim prvim odstavkom člena 24 ZVOP-1 obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava tako, da se med drugim preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih (3. točka prvega odstavka 24. člena ZVOP-1). Pri čemer so v skladu s še veljavnim prvim odstavkom člena 25 ZVOP-1 upravljavci osebnih podatkov in pogodbeni obdelovalci dolžni zagotoviti zavarovanje osebnih podatkov na prej navedeni način. Poleg določb ZVOP-1 je potrebno upoštevati še člen 32 Splošne uredbe, da upravljavec in obdelovalec, ob upoštevanju narave, obsega, okoliščin in namenov obdelave, pa tudi tveganja za pravice in svoboščine posameznikov, z izvajanjem ustreznih tehničnih in organizacijskih ukrepov zagotavljata ustrezno raven varnosti glede na tveganje, in primeroma navaja ukrepe, s katerimi se zagotavlja varnost osebnih podatkov. Pri določanju ustrezne ravni varnosti se upoštevajo zlasti tveganja, ki jih pomeni obdelava, zlasti zaradi nenamernega ali nezakonitega uničenja, izgube, spremembe, nepooblaščenega razkritja ali dostopa do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani. Ob tem je potrebno upoštevati tudi načelo najmanjšega obsega podatkov (točka c prvega odstavka člena 5 Splošne uredbe). Sklano z omenjenim členom morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

To pomeni, da morajo biti osebni podatki ves čas prenosa poštne pošiljke, od oddaje do vročitve naslovniku, ustrezno zavarovani, pri čemer so postopki in ukrepi zavarovanja odvisni od tveganja, ki ga predstavlja prenos in narave osebnih podatkov, ki se prenašajo. Osebni podatki, ki se prenašajo s poštnimi pošiljkami, morajo biti zavarovani na način, da se prepreči nepooblaščena seznanitev z osebnimi podatki, ki se prenašajo, poleg tega pa morajo biti ovojnice izdelane in zlepljene na način, s katerim se zagotovi, da se ovojnice ob sortiranju, rokovanju in prenosu ne trgajo ali odpirajo.

Lep pozdrav,

Pripravil:

Žiga Veber

nadzornik pooblaščenca II

Mojca Prelesnik

informacijska pooblaščenka