Prestrezanje podatkov v javnih telekomunikacijskih omrežjih
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 06.03.2011Številka: 0712-1/2011/433
Kategorije: Telekomunikacije in pošta Informacijski pooblaščenec je 21.2.2011 prejel vaš dopis, v katerem navajate, da želite v diplomskem delu preučiti pojavljanje t.i. fast-flux DNS zapisov v Sloveniji. Dodajate, da se tovrstne podatke lahko zbira le s prestrezanjem telekomunikacij. Čeprav je potrebno podatke nadalje obdelati in celo shraniti, navajate, da je prestrezanje telekomunikacij mogoče izvesti na način, ki onemogoča identifikacijo osebe, zato menite, da shranjeni podatki ne bi imeli narave osebnih podatkov. Kljub temu vas zanima ali gre za poseg v (telekomunikacijsko) zasebnost.
Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke 1. odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
Pooblaščenec meni, da je prestrezanje telekomunikacij dopustno zgolj pod restriktivno določenimi zakonskimi pogoji, sicer pa gre za grob poseg v komunikacijsko zasebnost, ki se po kazenskem zakoniku lahko kaznuje celo z zaporno kaznijo. Prestrezanje podatkov v javnih omrežjih z namenom raziskovanja fast-flux dns zapisov je zato vsekakor nedopustno, četudi pri tem v fazi raziskovanja ne pride do obdelave osebnih podatkov (npr. zato, ker bi se podatki zajeli v anonimizirani obliki), saj vam samim možnost prestrezanja podatkov ni dana, operater pa ima za takšno ravnanje tudi zelo omejene možnosti.
ZVOP-1 v 6. členu opredeljuje osebne podatke kot katerekoli podatke, ki se nanašajo na posameznika, ne glede na obliko v kateri so izraženi. V skladu s to opredelitvijo obdelava (zajem, hranjenje, analiza in druge oblike manipulacije) popolnoma anonimiziranih podatkov načeloma ne prestavlja kršitve ZVOP-1, saj ne gre za osebne podatke. Vprašanje pa je, kako bi prišli do anonimiziranih podatkov. Če bi za ta namen sami obdelovali osebne podatke, je zadeva problematična tudi s stališča ZVOP-1.
Vendar pa je po mnenju Pooblaščenca vaš predlog sporen predvsem z vidika KZ-1 (kazenski zakonik) in z vidika ZEKom (Zakon o elektronskih komunikacijah) – torej z vidika t.i. širše pravice do zasebnosti posameznika. 221. člen KZ-1 v prvem odstavku navaja, da se vdor v informacijski sistem ali neupravičeno prestrezanje podatkov ob nejavnem prenosu v informacijski sistem ali iz njega, kaznuje z zaporom do enega leta. Iz tega je razvidno, da je prestrezanje podatkov (razen v nekaterih izjemnih primerih, npr. če to izvede policija s sodno odredbo) nedopustno in kaznivo. V petem odstavku 103. člena ZEKom pa je zapisano, da so vse oblike nadzora oziroma prestrezanja komunikacij prepovedane, razen če je možnost takšnega nadzora predhodno opredeljena v pogodbi, ki jo naročnik sklene z operaterjem, ali če tak nadzor s sodno odredbo zahteva pristojni državni organ.
Razen tega četrti odstavek 104. člena ZEKom določa, da mora operater v splošnih pogojih določiti katere prometne podatke se bo hranilo, obdelovalo in koliko časa, ter izjaviti, da se bo z njimi ravnalo v skladu z zakonom, ki ureja varstvo osebnih podatkov. ZVOP-1 (zakon, ki ureja varstvo osebnih podatkov) pa v 8. členu navaja, da je obdelava osebnih podatkov zakonita in dopustna le tedaj, če je v skladu z zakonom (če takšno obdelavo določa in dopušča nek zakon) ali če je za obdelavo podana osebna privolitev posameznikov, katerih osebni podatki naj bi se obdelovali. V tem primeru takšne privolitve uporabnikov, ki naj bi pristali na to, da se bo njihove podatke prestrezalo in obdelovalo z namenom analize fast-flux dns zapisov, najbrž ni.
Pooblaščenec zato meni, da je prestrezanje podatkov nezakonito (razen pod natančno določenimi zakonskimi pogoji), prav tako pa za morebitno obdelavo osebnih podatkov v opisanem primeru najverjetneje ni podana privolitev posameznikov. Pooblaščenec predlaga, da se morebitno raziskavo, če sploh, izvede v zelo omejenem obsegu in sicer na način, ki ne bi predstavljal neposrednega prestrezanja telekomunikacij. Ena od možnost bi bila, da se določi vzorec 1000 uporabnikov, se jih obvesti o raziskavi, vpraša, če so pripravljeni sodelovati na način, da na svoj računalnik namestijo aplikacijo, ki zbira npr. določene prometne podatke v zvezi z njihovimi komunikacijami, nato pa ob koncu raziskave aplikacije odstranijo, shranjene podatke pa vam posredujejo v obdelavo. Vendar Pooblaščenec poudarja, da je možnost pristanka uporabnikov na pogoje takšne raziskave malo verjetna in da zaradi občutljivosti podatkov, ki se obdelujejo, pa tudi metod zbiranja podatkov, zelo verjetno lahko nastopi kršitev katerega od prej omenjenih zakonov. Končno vam samim niti ni dana možnost prestrezanja podatkov, operater pa sme to storiti le pod zelo omejenimi pogoji.
Prijazen pozdrav,
Informacijski pooblaščenec:
Nataša Pirc Musar,