Varstvo pred nepoblaščenim dostopom pri delu z osebnimi podatki
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 22.03.2010Številka: 0712–2/2010/505
Kategorije: Zavarovanje osebnih podaktov Spoštovani,
Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je 19.3.2010 prejel vaše elektronsko sporočilo, v katerem nas sprašujete, na podlagi katerega zakona je določeno, ali je potrebno monitor, ki je na določenem ''okenskem'' delu oz. na področju kjer referenti v javni upravi delajo s strankami, na kateri referent obravnava osebne podatke, obrnjen tako, da ga stranka ne more videti? Ali gre morda samo za »dobro« prakso v tem primeru?
Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. tč. 1. odst. 49. čl. Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. čl. Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem:
Zavarovanje osebnih podatkov po prvem odstavku 24. člena ZVOP-1 obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki in ukrepi, da se nepooblaščenim osebam, tako nepooblaščenim zaposlenim kot tudi nepooblaščenim zunanjim osebam ali sodelavcem, prepreči dostop do osebnih podatkov. Torej ne gre samo za dobro prakso, gre za enega od ukrepov za zavarovanje osebnih podatkov, ki jih dolžan izvajati upravljavec.
O b r a z l o ž i t e v:
ZVOP-1 je sistemski zakon, ki ureja pravice, obveznosti, načela in ukrepe, s katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost in dostojanstvo posameznika oziroma posameznice pri obdelavi osebnih podatkov. To pomeni, da ZVOP-1 poizkuša v celoti urediti področje varstva osebnih podatkov v navedenih primerih.
Obdelava osebnih podatkov je v istem zakonu v 3. točki 6. člena definirana kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, sporočanje in podobno. Zbirka osebnih podatkov je vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.
Pooblaščenec poudarja, da tudi razkritje osebnih podatkov pomeni obdelavo osebnih podatkov v skladu z zgoraj omenjeno 3. točko 6. člena ZVOP-1, če gre za osebne podatke iz zbirke osebnih podatkov.
Vsekakor je potrebno opozoriti, da je upravljavec osebnih podatkov na podlagi 25. člena ZVOP-1 dolžan zagotoviti zavarovanje osebnih podatkov, kamor spada tudi to, da nepooblaščenim osebam, tako nepooblaščenim zaposlenim kot tudi nepooblaščenim zunanjim osebam ali sodelavcem, prepreči dostop do osebnih podatkov.
1. odstavek 24. člena ZVOP-1 namreč določa, da zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
1. varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
2. varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
3. preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
4. zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
5. omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.
Postavitev delovne postaje na način, da je stranki preprečen pogled na monitor referenta, torej ni samo dobra praksa, ampak eden od ukrepov za zavarovanje osebnih podatkov, ki jih dolžan izvajati upravljavec.
Prijazen pozdrav,
Informacijski pooblaščenec:
Nataša Pirc Musar, univ.dipl.prav.,
pooblaščenka