Mnenje glede varnih kanalov za komunikacijo z bolniki - IPRS

Mnenje glede varnih kanalov za komunikacijo z bolniki + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.04.2020 Številka: 07121-1/2020/510 Kategorije:Elektronska pošta, Moderne tehnologije, Posebne vrste, Svetovni splet, Zavarovanje osebnih podatkov --> Kategorije: Elektronska pošta, Moderne tehnologije, Posebne vrste, Svetovni splet, Zavarovanje osebnih podatkov Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis, v katerem nas prosite za mnenje in sicer glede modernih komunikacijskih tehnologij. Kot pojasnjujete se zdijo na prvi pogled še najbolj varne video konference, saj pogosto omogočajo privzeto "end to end" enkripcijo, medtem ko sta elektronska pošta in telefon problematična. Zanima vas, ali imate kako priporočilo glede primernosti različnih obstoječih aplikacij na trgu za prenos videa za potrebe izmenjave medicinskih osebnih podatkov. Menite, da ni dovolj samo transportna enkripcija, ki podatke izpostavlja samo ponudniku storitve in je za te namene nujna uporaba storitev, ki zagotavljajo striktno »end to end« enkripcijo. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP pojasnjuje, da se je v zadnjem času na nas obrnilo več posameznikov in organizacij s podobnimi vprašanji, zato smo tudi izdali nekaj mnenje, kjer najdete tudi odgovore na vaše vprašanje, objavljamo jih pa na spletni podstrani. Posameznega konkretnega orodja ali proizvajalca kot neodvisni nadzorni organ ne moremo priporočati ali podpirati, podajamo pa priporočila, po katerih se lahko upravljavci ustrezno odločijo oziroma izberejo, če povzamemo: Večina najbolj uveljavljenih orodij za spletno komuniciranje, omogoča t.i. šifriranje od vira do ponora komunikacije (angl. »end-to-end encryption«), ne pa nujno v vseh primerih (to najverjetneje npr. ne bo zagotovljeno, če je klic (deloma) opravljen preko navadne telefonske linije in ne preko podatkovnega prenosa) in ne nujno kot privzeto nastavitev, razlike med aplikacijami pa obstajajo tudi glede drugih vidikov varnosti in zasebnosti, zato vam priporočamo, da se glede teh vidikov pred uporabo posvetujete z vašimi sodelavci s področja informacijskih tehnologij. Pregled različnih vidikov varnosti in zasebnosti pri aplikacijah za spletno komuniciranje je med drugim dostopen tu: https://www.securemessagingapps.com/ Pozornost je treba nameniti tudi morebitnemu prenosu osebnih podatkov v tretje države[1], saj številni ponudniki tovrstnih rešitev prihajajo iz ZDA. Priporočamo, da preverite, ali je ponudnik rešitve na seznamu certificiranih organizacij po dogovoru Privacy Shield med EU in ZDA[2]: https://www.privacyshield.gov/welcome. V primeru potreb po pošiljanju občutljivih osebnih podatkov po elektronski pošti opozarjamo, da
8. odstavek
9. člena ZVOP-1 določa, da se pri prenosu občutljivih osebnih podatkov preko telekomunikacijskih omrežij šteje, da so podatki ustrezno zavarovani, če se posredujejo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom. Glede na inšpekcijsko prakso IP je bistveno zagotoviti, da so občutljivi osebni podatki med prenosom ustrezno šifrirani, konkretne rešitve oz. programske opreme pa ne moremo označiti kot ustrezne, temveč je bistveno, da izpolnjuje naslednja priporočila: Uporabljeni šifrirni mehanizmi morajo biti takšni, da se v času uporabe štejejo kot varni, t.j. da niso bile ugotovljene posebne ranljivosti (takšen šifrirni mehanizem je v času izdaje tega mnenja AES-256, ki ga podpira tudi večina orodij, ki izdeluje stisnjene datoteke, medtem ko so npr. za mehanizem MD5 že bile ugotovljene varnostne pomanjkljivosti in stroka odsvetuje njegovo uporabo). Izogibati se je treba uporabi »lastniških« šifrirnih rešitev, katerih trdnost ni bila javno preverjena. Geslo za odpiranje datotek, če se odločite za ta način posredovanja dokumentov, je treba posredovati po drugam kanalu (če se šifrirana datoteka pošlje po e-pošti, se geslo sporoči po telefonu, prek sms sporočila ali na drug ustrezen način, ne pa po e-pošti.). Gesla morajo ustrezati uveljavljenim standardom za varno izbiro gesel (nekaj koristnih priporočil najdete tu: https://www.varninainternetu.si/article/zavarujte-geslo/). Upoštevati je treba tudi vsa ostala klasična priporočila za varnost podatkov in opreme, kot je redno posodabljanje operacijskega sistema, protivirusnih programov ipd. S spoštovanjem, Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026