Rok hrambe logov - IPRS

Rok hrambe logov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 25.09.2020 Številka: 07121-1/2020/1701 Kategorije:Bančništvo, Rok hrambe OP, Zavarovanje osebnih podatkov --> Kategorije: Bančništvo, Rok hrambe OP, Zavarovanje osebnih podatkov Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede roka hranjenja t.i. logov (dnevnikov sledljivosti obdelav osebnih podatkov). Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
5. točko prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter
7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da v okviru mnenja ne more presojati ustreznosti določene programske rešitve, niti ne more vnaprej potrjevati posameznih rešitev z vidika skladnosti z obstoječimi predpisi s področja varstva osebnih podatkov. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega postopka. Zakonitost obdelav osebnih podatkov pri delovanju konkretne rešitve se torej lahko ugotovi le v okviru konkretnega inšpekcijskega postopka. IP tako splošno pojasnjuje, da je za zagotovitev ustreznih postopkov in ukrepov za varnost osebnih podatkov odgovoren vsak upravljavec posebej (v konkretnem primeru torej vaša organizacija). Gre za organizacijske in tehnične ukrepe, ki jih določata Splošna uredba o varstvu podatkov (
8. člen) in ZVOP-1 (
9. in
10. člen). Med temi ukrepi je tudi obveza upravljavca glede zagotavljanja t.i. notranje sledljivosti osebnih podatkov (
11. točka
12. odstavka
13. člena ZVOP-1). Upravljavec mora tako omogočiti poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil. To mora omogočiti za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. Glede slednjega obdobja IP pojasnjuje, da je v zvezi z njegovo določitvijo treba upoštevati določbe Obligacijskega zakonika (OZ; Uradni list RS, št. 97/07 - UPB, 64/16 – odl. US, 20/18 – OROZ631), ki v
14. členu določa splošni zastaralni rok za uveljavljanje terjatev - pet let. Ta rok začne teči prvi dan po dnevu, ko je upnik imel pravico terjati izpolnitev obveznosti, če za posamezne primere ni z zakonom določeno kaj drugega. Rok v konkretnem primeru torej začne teči prvi dan po storjeni nedopustni obdelavi osebnih podatkov. IP ob tem nadalje pojasnjuje, da je v primeru, da se s takšno nedopustno obdelavo stori tudi kaznivo dejanje, treba v skladu z določbo
15. člena OZ upoštevati rok, predpisan za zastaranje kazenskega pregona. Pri določitvi tega roka je treba upoštevati določbe Kazenskega zakonika (KZ-1; Uradni list RS, št. 55/08, 66/08 – popr., 39/09, 55/09 – odl. US, 91/11, 54/15, 38/16, 27/17, 23/20), ki zastaranje kazenskega pregona ureja v
16. členu. V skladu s tem členom je rok zastaranja kazenskega pregona odvisen od dolžine zagrožene (zaporne) kazni. Za najpogostejši obliki kaznivega dejanja zlorabe osebnih podatkov po
17. in
18. odstavku
19. členu KZ-1 je zagrožena denarna kazen ali zapor do enega leta, zato kazenski pregon v skladu s
20. točko
21. odstavka
22. člena KZ-1 zastara po poteku šest let od storitve kaznivega dejanja. IP ob tem pritrjuje vaši navedbi v zaprosilu za mnenje, da je za kvalificirane oblike po nadaljnjih odstavkih
23. člena KZ-1 (tudi za kaznivo dejanje kraje identitete) ter za nekatera druga kazniva dejanja to obdobje ustrezno daljše (npr. kazenski pregon za kaznivo dejanje goljufije zastara po 10 letih). IP tako splošno ocenjuje, da je glede večine obdelav osebnih podatkov sprejemljivo revizijsko sled obdelave osebnih podatkov (t.i. notranjo sledljivost) po
24. točki
25. odstavka
26. člena hraniti za obdobje šestih