Posredovanje osebnih podatkov preko sistema UJP

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje, v katerem navajate, da morate kot javni zavod preko UJP sistema (Uprava za javna plačila) na Ministrstvo posredovati račune, hkrati pa tudi zahtevane priloge k računom (kopije osebnih dokumentov, dopise socialnih služb ali drugih socialno varnostnih ustanov, odpustna pisma, dokazila o poskusu izterjave idr) na podlagi katerih se odobri plačilo zdravstvenih storitev za nekatere dolžnike. Zanima vas, če je pošiljanje navedenih prilog preko sistema UJP varno oziroma dovoljeno po taki poti, saj priložena dokumentacija poleg kontaktnih podatkov vsebuje tudi nekatere druge osebne oziroma občutljive podatke.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 in 177/20, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem, pri čemer pojasnjujemo, da IP izven konkretnega inšpekcijskega postopka posameznim poslovnim subjektom ne more in ne sme svetovati, kako organizirati konkretne poslovne procese in v tem okviru obdelovati osebne podatke, niti ne more vnaprej potrjevati posameznih rešitev z vidika skladnosti s Splošno uredbo o varstvu podatkov.

Drugi odstavek 14. člena ZVOP-1 določa, da se lahko občutljivi osebni podatki preko telekomunikacijskih omrežij ustrezno zavarovani pošiljajo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom. Dostop do  aplikacije UJP eRačun se vrši preko varne spletne povezave https, ki zagotavlja, da je ves pretok podatkov med brskalnikom in obiskano spletno stranjo kodiran, poleg tega pa je dostop do aplikacije mogoč zgolj z veljavnim kvalificiranim digitalnim potrdilom, ki med drugim predstavlja elektronski podpis.

O b r a z l o ž i t e v:

Trenutno še vedno veljavni 14. člena ZVOP-1 določa, da morajo biti občutljivi osebni podatki (osebni podatki posebne vrste) pri obdelavi posebej označeni in zavarovani tako, da se nepooblaščenim osebam onemogoči dostop do njih, razen ko za to obstaja ustrezna pravna podlaga (prvi odstavek). Pri prenosu občutljivih osebnih podatkov preko telekomunikacijskih omrežij se šteje, da so podatki ustrezno zavarovani, če se posredujejo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom (drugi odstavek).

Zahteve drugega odstavka 14. člena naslavljajo upravljavca osebnih podatkov. Pri vsakem pošiljanju posebnih vrst osebnih podatkov po elektronski pošti oz. preko drugega sistema za elektronsko izmenjavo sporočil in dokumentov, mora ta paziti, da so osebni podatki tudi pri prenosu ustrezno zavarovani, in sicer z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom.

Portal UJP eRačun je spletna aplikacija, ki je namenjena pravnim in fizičnim osebam za pripravo in pošiljanje e-računov prejemnikom v javnem sektorju oziroma proračunskim uporabnikom. Dostop do  aplikacije UJP eRačun se vrši preko varne spletne povezave https in z veljavnim kvalificiranim digitalnim potrdilom enega od slovenskih izdajateljev. HTTPS protokol pomeni, da je ves pretok podatkov med brskalnikom in obiskano spletno stranjo kodiran. S kvalificiranim digitalnim potrdilom pa se v elektronskem poslovanju izkazuje identiteto, jamči se za vsebino elektronsko posredovanih informacij in predstavlja elektronski podpis.

Na podlagi navedenih pogojev dostopa in uporabe portala UJP eRačun je mogoče sklepati o skladnosti z zahtevami 14. člena ZVOP-1, dokončno pa lahko IP zakonitost konkretne obdelave osebnih podatkov oziroma konkretnih postopkov za zagotavljanje varnosti osebnih podatkov presoja le v okviru inšpekcijskega postopka oziroma drugega upravnega postopka.

Lep pozdrav.

Pripravila:

mag. Eva Kalan Logar,

vodja državnih nadzornikov

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka