Beleženja revizijskih sledi (sledljivost obdelave osebnih podatkov) - IPRS

Beleženja revizijskih sledi (sledljivost obdelave osebnih podatkov) + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.04.2021 Številka: 07121-1/2021/107 Kategorije: --> Kategorije: Pogodbena obdelava podatkov, Rok hrambe OP, Vgrajeno in privzeto varstvo podatkov, Zavarovanje osebnih podatkov Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše sporočilo, v katerem nas prosite za mnenje. Kot pojasnjujete pripravljate predlog rešitve za zagotavljanje revizijskih sledi izvedenih aktivnosti / sprememb na oddaljenih sistemih naročnikov. Cilj je imeti ustrezne revizijske sledi za morebitno kasnejše ugotavljanje odgovornosti v primeru, če bi prišlo do napake ali incidenta na sistemu naročnika. Govora je o storitvah vzdrževanja informacijskega sistema na daljavo za vaše naročnike. Storitve zajemajo vzdrževanje (nastavitve sistema, programiranje, aplikativne nadgradnje, ...), izvajate jih na zahtevo, oz. v dogovoru z naročnikom. Izvedene storitve so kritične za poslovanje naročnikov, saj gre za vzdrževanje sistemov, ki zagotavljajo podporo ključnim poslovnim procesom. Želite zagotoviti revizijske sledi aktivnosti lastnih zaposlenih in pogodbenih izvajalcev, ki izvajajo storitve preko oddaljenega dostopa (VPN dostopa) na sistemih naročnika (ali lastnih sistemih). Pri naročnikih pa zato, ker običajno ni zagotovljeno ustrezno beleženje revizijskih sledi in dostopov. Izvajalci bi se povezovali do sistemov naročnika preko delovnih postaj lociranih na vaši lokaciji. Uporabile bi se namenske delovne postaje z omejenim dostopom, samo za delo na kritičnih sistemih naročnikov. Na teh delovnih postajah bi se izvajalo snemanje aktivnosti. Revizijske sledi bi omogočale reprodukcijo posnetka aktivnosti in sistemsko beleženje aktivnosti. V praksi je to podobno snemanju ekranske slike in sistemskih logov izvedenih aktivnosti. Primeri takih produktov so vsi PAM sistemi (ObserveIT, Oneidentity, CyberArc,...). Zaposleni in pogodbeni izvajalci bi bili ustrezno seznanjeni z ukrepom in obveščeni o postopkih ter namenih snemanja terminalskih sej. Vse revizijske sledi bi se hranile v šifrirani obliki in bi bile dostopne samo komisijsko (postopek bi bil opredeljen v internem pravilniku). Preverjanje revizijske sledi bi se izvedlo samo v primeru, če bi prišla zahteva s strani naročnika (v primeru incidenta). V dogovoru s stranko pa bi se revizijske sledi hranili pri njih, saj lahko posnetki osebne podatke iz zbirk osebnih podatkov naročnika. Revizijske sledi bi se hranile za določeno obdobje (6 mesecev do 6 let, odvisno za kakšne sisteme gre). Prosite nas za mnenje glede predlaganega načina izvajanja beleženja aktivnosti izvajalcev. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da morajo zavezanci zagotavljati sledljivost obdelave osebnih podatkov glede na določbe
8. člena ZVOP-
10. točka
11. odstavka
12. člena ZVOP-1 določa, da mora omogočati poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.
13. odstavek
14. člena ZVOP-1 določa, da morajo postopki in ukrepi za zavarovanje osebnih podatkov biti ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo. Več o zavarovanju osebnih podatkov in sledljivosti si lahko preberete v smernicah IP: https://ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_zavarovanju_OP.pdf Ko smo pojasnili v smernicah se sledljivost obdelave osebnih podatkov nanaša na širok pojem »obdelava osebnih podatkov«, ki po pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave). Z drugimi besedami to pomeni, da je glede na tveganje in naravo podatkov, ki se bodo obdelovali, potrebno zagotoviti popolno revizijsko sled, torej tudi beleženje vsakega dostopa do podatkov. Takšno raven sledljivosti morajo zagotoviti upravljavci, ki: obdelujejo večje število osebnih podatkov (npr. večji klubi zvestobe, državni registri, zbirke transakcijskih in demografskih podatkov o komitentih, zavarovancih, naročnikih elektronskih komunikacij ipd.), obdelujejo občutljive osebne podatke (kot so npr. zdravstveni podatki), obdelujejo osebne podatke, katerih zloraba bi lahko imela hujše posledice za posameznika. Odstopanje od tega načela je možno le na podlagi ustrezne analize in obravnave tveganj. ZVOP-1 po mnenju Informacijskega pooblaščenca po drugi strani ne zahteva takšne ravni sledljivosti, ki bi beležila celotni življenjski cikel podatkov (torej stare in nove vrednosti podatkov), saj bi tovrstna zahteva lahko pomenila nesorazmerno obremenitev za informacijski sistem upravljavca.
15. člen ZVOP-1 prav tako formalno ne zahteva beleženja namena dostopa do osebnih podatkov. Kot preventivni ukrep posebej poudarjamo, da naj bodo osebe, ki obdelujejo osebne podatke, obveščene o tem, da se njihovi dostopi beležijo. S tem ukrepom se lahko bistveno pripomore k večji ozaveščenosti uporabnikov in k preprečevanju nezakonitih vpogledov v osebnih podatke. Beleženje dostopov mora biti takšno, da omogoča naknadno preverjanje, kdo je, kdaj in do katerih osebnih podatkov dostopal; identifikacija osebe, ki je stopila v stik s podatki, mora biti enolična, torej se mora nanašati na posamezno konkretno osebo (uporabnika, zaposlenega ali osebe pri zunanjem izvajalcu. Sledljivost obdelave osebnih podatkov se nanaša tako na notranjo kot na zunanjo sledljivost. Notranjo sledljivost obdelave opredeljuje že omenjeni
16. člen ZVOP-1, zunanjo sledljivost ali sledljivost posredovanja pa narekuje
17. odstavek
18. člena ZVOP-1, ki določa, da mora upravljavec osebnih podatkov za vsako posredovanje osebnih podatkov zagotoviti, da je mogoče pozneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov. Zagotavljanje sledljivosti je lahko pri pogodbeni obdelavi osebnih podatkov predmet dogovora med upravljavcem (naročnikom) in pogodbenim obdelovalcem (zunanjim izvajalcem). Če se npr. upravljavec odloči uporabljati oblačno rešitev za obdelavo osebnih podatkov (npr. oblačno rešitev za upravljanje odnosov s strankami), lahko sledljivost obdelave osebnih podatkov za upravljavca zagotavlja ponudnik storitve, torej (pogodbeni) obdelovalec. Upravljavec se mora o tem vnaprej prepričati in dogovoriti s pogodbenim obdelovalcem. Zahteve glede sledljivosti so manjše, če je bilo pri postavljanju določene informacijske rešitve striktno upoštevano načelo sorazmernosti oziroma pristop vgrajenega varstva podatkov (angl. data protection by design). Že pri oblikovanju poizvedb in iskalnikov (kakšni so možni iskalni kriteriji, kaj se izpiše pri rezultatih iskanja – več prikazanih podatkov na zaslonu namreč pomeni večje zahteve za sledljivost dostopov do podatkov), pri oblikovanju uporabniškega vmesnika (kaj se nahaja na posameznem zaslonu, zavihku ipd.) in pri drugih elementih informacijske rešitve, se lahko z omejitvijo obdelave na nujno potrebno bistveno zmanjšajo obremenitve z vidika zagotavljanja sledljivosti. Sledljivost dostopov se lahko hrani ločeno od izvornih baz podatkov in ni nujno, da je dostopna »na klik«, temveč mora biti dostopna v razumnem roku. Zagotovljena mora biti celovitost in avtentičnost zapisov. Glede roka hrambe sledljivosti pojasnjujemo, da
19. točka
20. odstavka
21. člena ZVOP-1 upravljavca oz. pogodbenega obdelovalca osebnih podatkov obvezuje k vzpostavitvi sistema sledljivosti oz. revizijske sledi obdelave osebnih podatkov, točneje, da povzameta »organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se [..]
22. omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. Obdobje, ko je še mogoče zakonsko varstvo pravic posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov, določa materialno pravo. Splošni zastaralni rok za uveljavljanje terjatev določa Obligacijski zakonik (Uradni list RS, št. 97/07-UPB1, v nadaljevanju OZ) v
23. členu, in sicer pet let, ki v skladu z določbo
24. odstavka
25. člena OZ začne teči »prvi dan po dnevu, ko je upnik imel pravico terjati izpolnitev obveznosti, če za posamezne primere ni z zakonom določeno kaj drugega«, kar bo prvi dan po nedopustni obdelavi ali posredovanju osebnih podatkov. V primeru, da je bilo s takšno nedopustno obdelavo storjeno tudi kaznivo dejanje, je pri določitvi zastaralnega roka potrebno upoštevati določbe
26. člena OZ, kjer je v prvem odstavku določeno: »Če je bila škoda povzročena s kaznivim dejanjem, za kazenski pregon pa je predpisan daljši zastaralni rok, zastara odškodninski zahtevek proti odgovorni osebi, ko izteče čas, ki je določen za zastaranje kazenskega pregona.« V tem primeru torej velja rok, predpisan za zastaranje kazenskega pregona. Ta rok določa
27. člen KZ-1 in je odvisen od dolžine zagrožene kazni zapora. Za najpogostejši obliki kaznivega dejanja zlorabe osebnih podatkov po
28. in
29. odstavku
30. členu KZ-1 je zagrožena denarna kazen ali zapor do enega leta, zatorej kazenski pregon v skladu s
31. točko
32. odstavka
33. člena KZ-1 zastara po poteku šest let od storitve kaznivega dejanja. Za kvalificirane oblike po sledečih odstavkih ter za nekatera druga kazniva dejanja je to obdobje seveda tudi ustrezno daljše. IP ocenjuje, da je glede večine obdelav osebnih podatkov sprejemljivo revizijsko sled obdelave osebnih podatkov po
34. točki
35. odstavka
36. člena hraniti za obdobje šestih