Mnenje glede določenih varnostnih orodij in postopkov - IPRS

Mnenje glede določenih varnostnih orodij in postopkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 14.01.2021 Številka: 07121-1/2021/55 Kategorije:Elektronska pošta, Zavarovanje osebnih podatkov --> Kategorije: Elektronska pošta, Zavarovanje osebnih podatkov Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje, v katerem nas prosite za usmeritev glede nekaterih podatkov, ki so vezane na Splošno uredbo o varstvu podatkov. V delu in storitvah, ki jih opravlja vaše podjetje, je kot navajate ogromno specifičnih podatkov, za katere morate skrbeti, da vam ne “uidejo”, zato postavljate naslednja vprašanja: Kako preveriti, če so na računalniku nameščeni vsi programi za varovanje in pa, da niso nameščeni kakšni “sporni” programi? Uporaba kriptiranega diska? Datoteke shranjene na strežniku in ne na računalniku (v primeru odpovedi diska izgubiš podatke)? Narejena varnostna kopija elektronske pošte na strežnik? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da je izbira ustreznih tehničnih in organizacijskih postopkov za zagotovitev varnosti osebnih podatkov na upravljavcu podatkov, pri tem pa mora izhajati iz tveganj, ki lahko ogrozijo osebne podatke. Splošna uredba je glede varnosti podatkov tehnološko nevtralna in ne predpisuje točno določenega nabora varnostnih rešitev. Člen 32 Splošne uredbe določa, da upravljavec in obdelovalec ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotovita ustrezno raven varnosti glede na tveganje, vključno med drugim z naslednjimi ukrepi, kot je ustrezno: (

1. a)psevdonimizacijo in šifriranjem osebnih podatkov; (
2. b)zmožnostjo zagotoviti stalno zaupnost, celovitost, dostopnost in odpornost sistemov in storitev za obdelavo; (
3. c)zmožnostjo pravočasno povrniti razpoložljivost in dostop do osebnih podatkov v primeru fizičnega ali tehničnega incidenta; (
4. d)postopkom rednega testiranja, ocenjevanja in vrednotenja učinkovitosti tehničnih in organizacijskih ukrepov za zagotavljanje varnosti obdelave. Pri določanju ustrezne ravni varnosti se upoštevajo zlasti tveganja, ki jih pomeni obdelava, zlasti zaradi nenamernega ali nezakonitega uničenja, izgube, spremembe, nepooblaščenega razkritja ali dostopa do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani. Izbira ustreznih postopkov in orodij je tako v pretežni meri odvisna od velikega števila dejavnikov: sektorja, v katere deluje podjetje, količine in občutljivosti osebnih podatkov, ki jih obdeluje, števila zaposlenih ter vrst dostopov do podatkov, nabora različnih tveganj, kompleksnosti informacijskega sistema itd. V proizvodnem podjetju npr. so okoliščine glede varnosti podatkov lahko zelo drugačne kot v zdravstveni ustanovi, pri operaterju elektronskih komunikacij, pri trgovcu ali drugih podjetjih. Zaradi številnih možnih okoliščin in dejavnikov je tako nemogoče podati enoten nabor postopkov in orodij, vsekakor pa je primerno upoštevati standarde informacijske varnosti in dobre prakse. Več o zagotovitvi varnosti osebnih podatkov si lahko preberete v naših smernicah, ki so dostopne na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_zavarovanju_OP.pdf V njih najdete tudi na samo-ocenitveni vprašalnik in seznam osnovnih varnostnih kontrol. Glede vaših konkretnih vprašanj pa pojasnjujemo, da med minimalne priporočene zahteve glede programske opreme na delovnih postajah sodi posodobljen operacijski sistem ter protivirusna programska oprema. Posodobljene verzije omenjenega so ključen element varnosti za delovne postaje (osebne računalnike), z rednim posodabljanjem in uporabo pa praviloma zaznajo pojav škodljive programske kode vključno z nevarnimi programi in omogočajo ustrezno ravnanje z njimi. Odvisno od namena uporabe delovne postaje in povezav s strežniki ter preostalimi elementi informacijskega okolja lahko med nabor osnovnih orodij sodi tudi anti-spam fillter, programska oprema za šifriranje podatkov ter programska oprema za izdelavo varnostnih kopij podatkov. Glede na to, da so podatki na prenosnih nosilcih podatkov, kot so prenosniki, prenosni diski, USB ključki ipd., bolj izpostavljeni tveganjem, saj se lahko hitreje izgubijo, ukradejo oziroma odtujijo, je priporočljivo njihovo šifriranje. V ta namen obstajajo številna orodja, ki omogočajo varno šifriranje prenosnih nosilcev podatkov, vključno s celotnimi diski delovnih postaj; nekatera takšna orodja so že vključena v najbolj pogosto uporabljane operacijske sisteme. Bistven element zagotavljanja varnosti podatkov je tudi zagotovitev njihove razpoložljivosti, ki je lahko ogrožena v primeru odpovedi diskov oziroma drugih nosilcev podatkov, zato je potrebno zagotoviti njihovo redno varnostno kopiranje. Diski lahko odpovedo tako na delovnih postajah kot na strežnikih, zato je varnostno kopiranje podatkov ključno. Tudi za na trgu obstajajo številna orodja, z vidika nadzornega organa po ne moremo priporočati ali zahtevati točno določene rešitve. Podobno velja tudi za varnostno kopiranje elektronske pošte – kolikor obstaja samo en nosilec podatkov, potem je njihova razpoložljivost in s tem varnost ogrožena. Opozarjamo še, da tudi v primeru zagotovitve večjega števila kopij podatkov to še ne pomeni nujno varnosti podatkov – pomembno je tudi obvladovati tveganja v primeru poplav, požarov, tatvin in drugih groženj, če so vsi podatki na istem mestu in po potrebi razmisliti o hrambi podatkov na več lokacijah, pri izdelavi varnostnih kopij pa je pomembno tudi redno preverjanje uporabnosti izdelanih kopij, sej se včasih zgodi, da izdelane kopije niso uporabne in nam v primeru izgube primarnega vira podatkov ne zagotovijo razpoložljivosti podatkov. Slednje je zlasti pomembno v zadnjem času, saj so v porastu okužbe s škodljivo programsko kodo, ki podatke zašifrira in jih tako naredi nedostopne, za dostop do podatkov pa napadalci običajno zahtevajo odkupnino (t.i. ransomware). Priporočamo vam tudi spletno stran varninainternetu.si, kjer se nahajajo varnostni nasveti za mala podjetja: https://www.varninainternetu.si/za-podjetja/ S spoštovanjem, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
5. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026