Način posredovanja OP zunanjim uporabnikom s strani upravne enote

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Pri Informacijskem pooblaščencu (IP) smo dne 4. 12. 2019 prejeli vaše zaprosilo za mnenje o tem, ali je posredovanje osebnih podatkov po e-poti z e-naslova upravne enote na naslov vlagatelja (npr@gmail.com) dovolj zavarovano oziroma dopustno z vidika varovanja osebnih podatkov. Upravne enote na različen način posredujete zahtevane osebne podatke, saj nekatere te posredujete po redni pošti z oznako priporočeno, druge pa po elektronski poti. V kolikor ima vlagatelj varen elektronski  naslov, ste si enotni, da mu osebne podatke pošljete po e-poti v njegov varen predal. Do razlik pa pride v primerih, ko vam vlagatelj (npr. odvetniki, izvršitelji,…) vlogo za posredovanje osebnih podatkov pošlje po e-poti, z navadnega oziroma »ne-varnega« predala ter vas pozove, da jim podatke posredujete kar po e-pošti v njihov »ne-varen« predal.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Pri pošiljanju osebnih podatkov zakonitim uporabnikom po e-pošti je, z vidika varnosti osebnih podatkov, treba paziti:

- da je prejemnik e-sporočila res uporabnik, ki je do osebnih podatkov upravičen, tj. da e-naslov res pripada osebi, za katero trdi, da je in je bilo zanjo ugotovljeno, da je do podatkov upravičena;

- da se občutljivi osebni podatki (po 19. točki 6. člena ZVOP-1) uporabniku posredujejo v šifrirani obliki (za druge osebne podatke to pravilo ne velja).

Splošna vprašanja glede vročanja po ZUP ne spadajo v pristojnost IP.

O b r a z l o ž i t e v:

Poleg uporabe varnega elektronskega predala, so možni in pogojni ukrepi za zagotovitev pošiljanja osebnih podatkov na pravi e-naslov uporabnika na primer:

• Upravna enota zahteva od uporabnika, da neposredno zahtevo vloži z varnim elektronskim podpisom. V tem primeru lahko uporabniku pošlje odgovor na naslov, ki ga navede v zahtevi;
• Upravna enota, ne glede na naslov, ki ga javi uporabnik, posreduje odgovor na javno objavljen uradni naslov e-pošte uporabnika, če gre za pravno osebo oziroma nosilca dejavnosti;
• Upravna enota posreduje odgovor na vnaprej dogovorjen naslov e-pošte uporabnika (v tem primeru se identifikacija uporabnika izvede predhodno ob dogovarjanju), če gre za redno oziroma pogosto izmenjavo podatkov;
• Upravna enota posreduje odgovor na e-naslov uporabnika, ki morebiti izhaja iz že obstoječih drugih zbirk osebnih podatkov pri upravni enoti (npr. v neki upravni zadevi) in je bilo v tistem postopku ugotovljeno, da gre za pravi naslov.

Če se ni možno prepričati, da je e-naslov res od upravičenega uporabnika, se odgovor pošlje po klasični pošti na način osebne vročitve po ZUP ali vsaj priporočeno.

Glede šifriranja oziroma kriptiranja občutljivih osebnih podatkov je na naši spletni strani že objavljenih več mnenj.

Lepo pozdravljeni,

Pripravil:
mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka