Mnenje glede dostopa do centralnega registra psov
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 26.01.2012Številka: 0712-11/2012/2
Kategorije: Pridobivanje OP iz zbirk Informacijski pooblaščenec (v nadaljevanju: Pooblaščenec) je dne 11.1.2012 prejel vaše zaprosilo za podajo mnenja glede predloga Uprave uniformirane policije pri Generalni policijski upravi (UUP GPU) za dodelitev generičnih dostopnih pravic posameznemu Operativno komunikacijskem centru (OKC; skupaj 8) za dostop do aplikacije CRPsi, v kateri se vodi Centralni register psov. Zanima vas, ali je dopustna uporaba generičnih uporabniških pooblastil.
Ker avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) in 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.
Pooblaščenec uvodoma opozarja, da v konkretnem primeru, glede na informacije, ki ste nam jih podali, zlasti glede načina dostopa do aplikacije CRPsi, ne gre za povezovanje zbirk osebnih podatkov v smislu določb 84. člena ZVOP-1, saj naj bi se po podanem opisu predstavniki OKC morali posebej prijaviti v aplikacijo CRPsi in naj ne bi šlo za avtomatsko povezavo zbirk osebnih podatkov policije in Centralnega registra psov. Ker so pogoji za povezovanje zbirk osebnih podatkov po določbah 84. člena strožji kot pa za pridobivanje osebnih podatkov na način, kot ste ga opisali, smo uvodoma želeli opozoriti na to razliko.
Glede generičnih uporabniških pooblastil uvodoma poudarjamo, da ta praviloma po določbah mednarodno sprejetih standardov s področja varovanja informacij niso dopustna, saj onemogočajo enolično identifikacijo uporabnika. Dopustna so le izjemoma, ko npr. zaradi narave dela in nujnosti dostopa do podatkov ni sorazmerno zahtevati enolične identifikacije posameznika z vnosom enoličnega uporabniškega imena in gesla (npr. delovna postaja znotraj varovanih prostorov urgence) oziroma ko je analiza tveganja pokazala, da je tveganje sprejemljivo.
5. točka prvega odstavka 24. člena ZVOP-1 določa, da morajo postopki in ukrepi za zavarovanje osebnih podatkov omogočati poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. Navedeno pomeni, da je treba zagotoviti enolično identifikacijo posameznika, ki je obdeloval osebne podatke, pri čemer pa ZVOP-1 ne določa načina, kako to zagotoviti. Posledično menimo, da je v konkretnem primeru dopustno uporabiti tudi generično uporabniško ime, če je to res potrebno in če obstajajo drugi postopki, s katerimi se lahko zagotovi enolična identifikacija posameznika, ki je dostopal do osebnih podatkov. Takšen postopek lahko npr. poteka tako, da za uporabo generičnega uporabniškega pooblastila odgovarja ena sama oseba, ki mora od drugih uporabnikov, ki bi želeli uporabiti generično uporabniško pooblastilo, zahtevati in zabeležiti datum in čas dostopa, identifikacijo uporabnika in namen dostopa (načelo »štirih oči«). Pri tem pa opozarjamo, da mora biti takšna sledljivost verodostojna, kar se lahko zagotoviti bodisi s tehničnimi ukrepi, s katerimi se preprečuje spremembe, brisanje ali neaktivnost sledenja, ali pa z organizacijskimi ukrepi (npr. ob vsaki uporabi s podpisom odgovorne osebe za generično geslo in osebe, ki je zahtevalo uporabno gesla, datum in čas dostopa, ime in priimek osebe, ki je dostopala in namen dostopa). Opozarjamo, da evidence sledljivosti, ki ne prestane testa avtentičnosti in celovitosti, ni mogoče šteti kot zadostno glede na zahteve 5. točka prvega odstavka 24. člena ZVOP-1. Običajna evidenca, kjer bi se vpisal samo posamezni uporabnik (ali pa tudi ne), temu ne zadosti.
Kateri način bo izbran, je tako odvisno od dogovora med zadevnima strankama, kot smo pa opozorili, je generična uporabniška pooblastila dopustno uporabiti le v kombinaciji z avtentično in celovito revizijsko sledjo, ki omogoča verodostojno in enolično identifikacijo vsakega dostopa do osebnih podatkov in preprečuje tajenje dostopov.
Prijazen pozdrav,
Informacijski pooblaščenec:
Nataša Pirc Musar, univ.dipl.prav.,
pooblaščenka