Šifrant fizičnih oseb - IPRS

Šifrant fizičnih oseb + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 09.12.2010 Številka: 0712-545/2010 Kategorije:Pridobivanje OP iz zbirk --> Kategorije: Pridobivanje OP iz zbirk Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je 26.11.2010 prejel vaše elektronsko sporočilo, v katerem nas sprašujete za mnenje glede dopustnosti uporabe šifranta fizičnih oseb v okviru vaše aplikacije (dokumentni sistem s podporo tokokrogov dokumentov), ki je primarno namenjena uporabi v okviru organov javne uprave. Iz priloženega opisa rešitve glede šifranta subjektov izhajajo naslednje bistvene lastnosti predlagane rešitve: Evidenca fizičnih oseb v okviru šifranta subjektov je del šifranta subjektov, ki komunicirajo z organizacijo (prejemniki oziroma pošiljatelji pošte). V evidenco so vpisani samo podatki, ki jih posreduje pošiljatelj in ki so potrebni, da se mu lahko odgovori (ime, priimek, naslov, kraj, država). Podatki o zaposlenih niso del te evidence, razen če z organizacijo komunicirajo preko vhodno/izhodne pošte. V tem primeru se podatki zabeležijo na podlagi njihove pošte in ne iz kadrovske evidence. V evidenco se ne vpisujejo nobeni dodatni identifikatorji. Omejitev dostopa glede na uporabnika ni mogoča, saj lahko vsi strokovni delavci rešujejo zadevo in posledično opremljajo dokumente z meta podatki iz evidence. Dostop do prikaza trojčka (ime, priimek, kraj) se ne beleži, saj bi v nasprotnem primeru dnevnik dostopov prehitro naraščal, odzivnost aplikacije pa bi bila močno upočasnjena, ko pa se dodatno prikaže še naslov, se to zabeleži. Po preteku rokov za hrambo se podatki anonimizirajo (pobrišejo se podatki o naslovu in kraju). Vsi vpogledi se zabeležijo v dnevnik dostopov. Zgodovina sprememb podatkov se ne beleži, saj je ocena, da naslov ne predstavlja takšnega tveganja, da bi se morala ohraniti zgodovina sprememb. Uporabniku se med samim tipkanjem prikazujejo zadetki (prvih nekaj zadetkov), ki ustrezajo iskalnim kriterijem. Kadar iskalnim kriterijem ustrezajo tudi fizične osebe, se na seznamu izpisujejo samo podatki o imenu, priimku in kraju. Informacija o vpogledu se v tej fazi (še) NE beleži v dnevnik. Kadar se število zadetkov fizičnih oseb zmanjša pod neko vnaprej omejeno število, se na seznamu dodatno prikaže tudi NASLOV subjekta. V tem primeru se dostop do podatkov ZABELEŽI v dnevnik dostopov. Izbira subjekta prav tako prikaže NASLOV subjekta in to se posledično ZABELEŽI v dnevnik. Zabeleži se tudi namen vpogleda (npr. vpis pošiljatelja vhodne pošte). Obnašanje naprednega iskalnika je isto kot pri osnovnem iskalniku. V primeru, da število zadetkov pade pod mejo, ki jo tokrat določi uporabnik, se vrnejo vsi podatki in dostop do podatkov se zabeleži. Administrator ima možnost iskanja subjektov. Vsako iskanje, kjer se vrne tudi naslov fizične osebe, se zabeleži na enak način kot pri delu uporabnikov aplikacije. Administrator ima možnost izvoza subjektov. Ker je to zelo občutljiva operacija (kopiranje evidence), se administratorja dodatno vpraša po razlogu izvoza. V tem primeru se izvoz, skupaj z razlogom, ZABELEŽI v dnevnik dostopov kot dostop do podatka o fizični osebi za vsako osebo na izvoženem seznamu. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. tč.
4. odst.
5. čl. Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
6. čl. Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Osebni podatek po določbah
7. tč.
8. čl. ZVOP-1 pomeni katerikoli podatek, ki se nanaša na določeno ali določljivo fizično osebo, torej posameznika, na glede na obliko, v kateri je izražen. Posameznik pa je določena ali določljiva fizična oseba, na katero se nanaša osebni podatek, pri čemer je določljiva, če se jo lahko neposredno ali posredno identificira s pomočjo njenih identifikacijskih številk (npr. EMŠO, davčna številka, številka zdravstvenega zavarovanja, telefonska številka, registrska številka vozila), ali s sklicevanjem na dejavnike, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto (npr. zaposlitev, naslov, funkcijo, položaj ali status v določenem subjektu, ipd.), pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa. Obdelava osebnih podatkov je v
9. tč.
10. čl. ZVOP-1 definirana kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, sporočanje in podobno. Zbirka osebnih podatkov je v skladu s
11. tč.
12. čl. ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Pravne podlage za obdelavo osebnih podatkov v javnem sektorju opredeljuje
13. člen ZVOP-
14. Ta določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Nosilci javnih pooblastil lahko obdelujejo osebne podatke tudi na podlagi osebne privolitve posameznika brez podlage v zakonu, kadar ne gre za izvrševanje njihovih nalog kot nosilcev javnih pooblastil. Zbirke osebnih podatkov, ki nastanejo na tej podlagi, morajo biti ločene od zbirk osebnih podatkov, ki nastanejo na podlagi izvrševanja nalog nosilca javnih pooblastil. Ne glede na prvi odstavek tega člena se lahko v javnem sektorju obdelujejo osebni podatki posameznikov, ki so z javnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe. Ne glede na prvi odstavek tega člena se lahko v javnem sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Uvodoma je treba ugotoviti, ali gre pri šifrantu fizičnih oseb, ki komunicirajo z organizacijo, za zbirko osebnih podatkov, za katero zbirko osebnih podatkov dejansko gre in na kakšni pravni podlagi se vodi. Fizične osebe, ki komunicirajo z organizacijo, ki sodi v okvir javnega sektorja, lahko glede na delovno področje in pristojnosti organizacije komunicirajo z organizacijo v različnih svojstvih - lahko so prijavitelji, stranke v postopku, priče, prosilci za mnenja, kršitelji itd. Organi javne uprave so se pri svojem poslovanju vsekakor dolžni držati določb zakonodaje, ki ureja upravno poslovanje, kot so Zakon o splošnem upravnem postopku, Uredba o upravnem poslovanju in seveda določb materialnih predpisov, ki urejajo njihove pristojnosti in področje delovanja. Šifrant fizičnih oseb, ki komunicirajo z organizacijo, v obliki, kot ste nam jo predstavili, gotovo ustreza definiciji zbirke osebnih podatkov, saj gre za strukturiran niz podatkov, ki se nanašajo na določene oziroma določljive posameznike. Vsaka organizacija tako ali drugače obdeluje podatke o tem, s katerimi fizičnimi osebami komunicira. Praviloma se osebni podatki teh oseb vodijo v sklopu posamezne zadeve oziroma dosjeja (npr. evidenca mnenj, inšpekcijske zadeve, evidenca izdanih odločb, prekrškovna evidenca itd.). Bistveno vprašanje, ki se pri tem postavlja, je, ali je dovoljeno osebne podatke teh oseb (v mislih imamo zgolj kontaktne podatke), v zasledovanju cilja večje učinkovitosti in hitrosti poslovanja prenesti v ločeno evidenco, torej v neke vrste šifrant. Glede na to, da je izbira prejemnikov/pošiljateljev zelo pogosta operacija zlasti v administrativnem delu organizacije, lahko takšen šifrant omogoči bolj učinkovito izbiro pravih subjektov. Po eni strani lahko ugotovimo,da organizacija s tem ne obdeluje nobenih drugih podatkov, ki jih že ne bi imela v svojih zbirkah. Hkrati lahko z veliko verjetnostjo ocenimo, da ima tudi brez šifranta možnost poiskati kontaktne podatke fizičnih oseb, s katerimi komunicira; morda bo sicer to morala storiti v večjem številu zbirk oziroma evidenc, a gotovo te podatke nekje ima. Lahko bi celo trdili, da že sedaj razpolaga z neke vrste šifrantom, le da je ta razpršen po različnih zbirkah in posledično manj učinkovit od enotnega. Po drugi strani pa bi lahko rekli, da je organizacija s tem, ko je osebne podatke fizičnih oseb vnesla v novo evidenco (torej šifrant), dejansko ustvarila novo zbirko osebnih podatkov z novim namenom. Dodatne pomisleke pri takšnih šifrantih sprožajo vprašanja točnosti in ažurnosti ter zavarovanja osebnih podatkov v takšni evidenci. Oseba, ki je z organizacijo komunicirala npr. v dveh postopkih, in je vmes spremenila naslov prebivališča, bo po vsej verjetnosti v šifrant zavedena dvakrat. Podobno velja za osebo, ki je enkrat komunicirala z organizacijo samo prek elektronske pošte, drugič pa prek naslova stalnega prebivališča. Administrativni delavci bodo le stežka ugotovili, kdaj gre za isto osebo in kdaj ne. To seveda odpira dodatne dileme – kako zagotoviti točnosti in ažurnost osebnih podatkov v takšni zbirki? Kako preprečiti pomote pri izbiri posameznika, če je oseba z istim imenom in priimkom večkrat zavedena v šifrantu? Pooblaščenec je mnenja, da gre v konkretnem primeru za izvedeno zbirko osebnih podatkov iz obstoječih zbirk osebnih podatkov, za katere organizacija že razpolaga s pravno podlago v predpisih, ki urejajo upravno poslovanje in v materialnih predpisih, ki urejajo področje dela in pristojnosti organizacije. Po mnenju pooblaščenca sicer gre za novo zbirko osebnih podatkov, ki pa ima pravno podlago, ki je relevantna za osnovne, torej izvirne zbirke osebnih podatkov, namen obdelave podatkov pa je dejansko isti. V izvirnih zbirkah osebnih podatkov je namreč namen obdelave teh podatkov (torej razlog, zakaj se ti podatki v teh zbirkah sploh vodijo) predvsem omogočanje komunikacije s posameznikom, kar pa je tudi (edini legitimni) namen šifranta, s tem, da šifrant kot tak omogoča bolj učinkovito delo. Iz navedenega razloga je pooblaščenec tudi mnenja, da se lahko v šifrant fizičnih oseb vnesejo tudi osebe, ki so zaposlene pri upravljavcu, če te nastopijo v vlogi prejemnika pošte upravljavca (npr. v situaciji, ko se delavcu zaradi odsotnosti po pošti pošlje plačilni list na dom). Glede na to, da vseeno gre za novo zbirko osebnih podatkov, in da je treba preprečiti možnost zlorab osebnih podatkov, mora upravljavec poskrbeti za ustrezno zavarovanje šifranta fizičnih oseb. Določiti mora odgovorno osebo (npr. vodja glavne pisarne) in osebe, ki lahko zaradi narave njihovega dela dostopajo do osebnih podatkov v šifrantu fizičnih oseb (npr. osebe, ki so zaposlene v administraciji, glavni pisarni ipd.). Strokovni delavci, ki niso zaposleni v administraciji, praviloma ne bi smeli imeti dostopa do takšnega šifranta fizičnih oseb, razen izjemoma, če je proces odpreme pošte organiziran tako, da mora vsak strokovni delavec poskrbeti za odpremo lastne pošte in da tega ne počne administrativni delavec. Upravljavec zbirk osebnih podatkov je prav tako dolžan poskrbeti za zagotovitev ustrezne sledljivosti obdelave osebnih podatkov (
15. točka
16. odstavka
17. člena ZVOP-1). Pristop, ki ga opisujete v vašem predlogu in kot je povzet zgoraj, je po mnenju pooblaščenca ustrezen glede na tveganje in naravo konkretnih osebnih podatkov. Pooblaščenec odsvetuje uporabo šifranta na način, ki omogoča vpogled v celoten šifrant (prikaz v obliki tabele, po kateri se je možno poljubno premikati), saj je v takšnem primeru nemogoče zagotoviti sledljivost – torej ugotoviti, ali in kdaj se je nekdo seznanil oziroma pridobil določene osebne podatke. Kljub temu, da se v tej zbirki praviloma ne nahajajo podatki, ki bi bili občutljive narave (ime, priimek, naslov), pa je realno pričakovati, da se v takšnem šifrantu nahaja veliko število posameznikov (prav gotovo več tisoč oseb), zato možnost vpogleda v celoten šifrant s strani uporabnikov odsvetujemo. Svetujemo vam še, da razmislite o možnosti, da bi za posamezen subjekt ob vnosu v šifrant zabeležili še podatek o tem, ali gre za pravno ali fizično osebo, saj bi na ta način lahko ločevali med tema dvema skupinama – za pravne osebe namreč ne veljajo takšne varovalke kot za fizične osebe. Prikaz pravnih oseb v obliki tabele namreč ni sporen in ima določene praktične prednosti ravno pri pravnih osebah - zlasti pri iskanju subjektov, ki imajo dolge in podobne nazive, kot so npr. dolgi nazivi ministrstev in številni organi v sestavi. Oznaka o vrsti osebe bi namreč lahko znižala zahteve glede sledljivosti ter omogočila prikaz v obliki tabele pri pravnih osebah. Posebno vprašanje pa se nanaša na zagotavljanje točnosti in ažurnosti podatkov v tej novi zbirki osebnih podatkov. Pooblaščenec je mnenja, da ni sporno, da se v takšni zbirki lahko pojavi več zapisov o enem posamezniku (npr., če je posameznik v času med dvema postopkoma spremenil prebivališče ali pa, če je enkrat organizacijo kontaktiral po e-pošti, drugič pa z naslova stalnega prebivališča). Vsak posamezen zapis zase je namreč v trenutku komunikacije (bil) ažuren in točen, vsekakor pa mora uporabnik zbirke z dolžno skrbnostjo zagotoviti, da pri odpremi pošte ne izbere napačnega prejemnika. Pooblaščenec je prav tako mnenja, da je vaš predlog, da se tudi vsak dostop administratorja ter vsak izvoz zabeleži, pravilen, saj gre za dejanja oziroma posameznike, kjer je stopnja tveganja večja. Podobno podpiramo vaš predlog, da je treba za izvoz podatkov vnesti tudi namen izvoza podatkov ter da se oboje zabeleži v dnevnik dostopov kot dostop do podatka o fizični osebi za vsako osebo na izvoženem seznamu. Kot zaključno misel bi radi podarili, da gre za lep primer t.i. vgrajene zasebnosti (angl. Privacy By Design), kjer se lahko s premišljenimi in učinkovitimi postopki zagotovi ustrezno varstvo osebnih podatkov, obenem pa ne žrtvuje učinkovitosti doseganja zasledovanih ciljev z vidika učinkovitosti, praktičnosti ali varnosti. Rezultat vašega dela na konkretnem problemu kaže na to, da se z znanjem in trudom da zagotoviti ustrezno varstvo osebnih podatkov, če se o tem pravočasno razmišlja v začetnih fazah, ko se oblikuje rešitev za obdelavo osebnih podatkov, zato vaše napore pozdravljamo in podpiramo. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026