Dostopanje do zbirk MNZ s strani drugih - IPRS

Dostopanje do zbirk MNZ s strani drugih + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.04.2009 Številka: 0712-184/2009/2 Kategorije:Pridobivanje OP iz zbirk --> Kategorije: Pridobivanje OP iz zbirk Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je prejel vaše zgoraj navedeno zaprosilo, v katerem navajate, da sta Ministrstvo za notranje zadeve (v nadaljevanju MNZ) in Slovenska obveščevalno varnostna agencija (v nadaljevanju SOVA) 19.3.2009 sklenila Pogodbo o obdelavi in dostopanju do osebnih podatkov, s katerimi upravlja MNZ. Aplikacija e-RISK, s pomočjo katere lahko uporabniki SOVE dostopajo do osebnih podatkov v evidencah MNZ, je omejena tako, da je potreben tako natančen vnos iskalnih pogojev, da aplikacija vrne le osebne podatke ene osebe. Po mnenju SOVE pa ravno zaradi tega gre za pomanjkljivost pri uporabi aplikacije, ki omejuje učinkovitost in celovitost izvajanja zakonskih nalog na operativnem nivoju oziroma za nemoteno delovanje SOVE. Pomembna pomanjkljivost pri iskanju oziroma dostopanju do podatkov o osebah je namreč nezmožnost iskanja oseb po delnih oziroma posameznih podatkih o osebi, ne glede na to, koliko oseb ustreza iskalnim pogojem (npr. iskanje po imenu in priimku, rojstnih podatkih, kraju prebivališča…). Zato menijo, da so upravičeni obdelovati osebne podatke tudi na način razširjenega iskanja oziroma iskanja po delnih podatkih. Glede na to, da so interes po t.i. razširjenem iskanju izrazili tudi drugi uporabniki podatkov iz evidenc MNZ, Pooblaščenca prosite za mnenje o ustreznosti tovrstnega dostopanja oz. razširjenega iskanja osebnih podatkov v evidencah MNZ. V nadaljevanju vam na podlagi predstavljenega stanja ter na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1-UPB1) in
5. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje glede neposrednega dostopanja uradnih oseb SOVE do osebnih podatkov v zbirkah MNZ:
6. ZVOP-1-UPB1 ne določa iskalnih pogojev za pridobivanje osebnih podatkov iz zbirk osebnih podatkov ter tako ne omejuje možnosti iskanja osebnih podatkov po različnih kriterijih. Pooblaščenec zato meni, da v primeru, ko kriteriji iskanja v področnem zakonu niso izrecno določeni, upravljavec osebnih podatkov pooblaščenim uporabnikom osebnih podatkov lahko zagotovi možnost iskanja oziroma pridobivanja osebnih podatkov po različnih kriterijih. Pri določitvi kriterijev iskanja je potrebno uporabniku osebnih podatkov primarno vedno dati možnost iskanja na način, ki ob vnosu določenih podatkov praviloma vrne le osebne podatke ene osebe (npr. vnos imena in priimka ter EMŠO, vnos imena in priimka ter datuma rojstva, vnos imena in priimka ter naslova prebivališča, ipd.). V primeru pridobivanja osebnih podatkov s strani pooblaščenih uradnih oseb državnih organov Pooblaščenec meni, da je ob upoštevanju njihovih z zakonom določenih pooblastil, dopustno določenim pooblaščenim uradnim osebam (zlasti tistim s preiskovalnimi pooblastili) dodatno omogočiti tudi iskanje na način razširjenega iskanja oziroma iskanja po kriterijih, ko aplikacija izpiše osebne podatke večjega števila oseb, ki ustrezajo določenim kriterijem (npr. izpis vseh oseb z določenim: imenom in priimkom, datumom rojstva, naslovom prebivališča, ipd.). Kriterije iskanja oziroma pridobivanja osebnih podatkov je torej potrebno določiti za vsakega uporabnika posebej in sicer po skrbni proučitvi zakonsko določenih pooblastil posameznega uporabnika osebnih podatkov ter ob upoštevanju načela sorazmernosti, kar pomeni, da morajo biti iskalni kriteriji ustrezni in primerni glede na zakonska pooblastila posameznega uporabnika ter namene, za katere se osebni podatki iščejo oz. pridobivajo. V primeru, ko se določenemu uporabniku osebnih podatkov omogoči razširjeno iskanje, mora takšen uporabnik osebnih podatkov predhodno še posebej utemeljiti, zakaj svojih zakonsko določenih nalog oz. pooblastil ne bo mogel učinkovito izvajati brez zagotovitve možnosti razširjenega iskanja.
7. V primeru neposrednega pridobivanja osebnih podatkov s strani pooblaščenih oseb posameznih uporabnikov osebnih podatkov, je z vidika določb ZVOP-1-UPB1 potrebno zagotoviti predvsem sledeče: • Strojna, sistemska in aplikativna programska oprema morajo zagotoviti, da bo dostop do podatkov v mejah pooblastil posameznega uporabnika, kar pomeni, da lahko posamezni uporabniki dostopajo le do tistih osebnih podatkov, za pridobivanje katerih so pooblaščeni z zakonom; • Za vsako posredovanje oz. razkritje osebnih podatkov je potrebno zagotoviti, da je mogoče pozneje ugotoviti, kateri osebni podati so bili posredovani, komu, kdaj in na kakšni podlagi; • Zagotoviti je potrebno popolno sledljivost obdelave osebnih podatkov, kar pomeni, da bo morala biti zagotovljena možnost naknadnega ugotavljanja, katere pooblaščene osebe (zaposleni pri uporabniku osebnih podatkov) so v določenem času vpogledovale oz. pridobivale osebne podatke določenega posameznika; • Osebni podatki, ki so uporabnikom dostopni po telekomunikacijskih sredstvih in omrežjih, morajo biti pri prenosu vedno zavarovani z uporabo kriptografskih metod in metod za avtentikacijo in avtorizacijo uporabnikov tako, da je zagotovljen varen dostop do podatkov in njihova nečitljivost oziroma neprepoznavnost med prenosom; • Kadar se osebni podatki pridobivajo iz zbirk osebnih podatkov s področja zdravstva, policije, obveščevalno-varnostne dejavnosti države, obrambe države, sodstva in državnega tožilstva ter kazenske evidence in prekrškovnih evidenc, ni dovoljena uporabo istega povezovalnega znaka na način, da se za pridobitev osebnega podatka uporabi samo ta znak. Navedeno pomeni, da morajo biti aplikacija oz. iskalni kriteriji izvedeni tako, da bo morala pooblaščena oseba pri pridobivanju osebnih podatkov iz prej navedenih zbirk poleg vnosa npr. enotne matične številke občana (EMŠO), obvezno uporabiti oz. vnesti še nek drug osebni podatek, npr. osebno ime. Izjema je dopustna le v primerih in pod pogoji iz drugega odstavka
8. člena ZVOP-1-UPB
9. O b r a z l o ž i t e v: Po določbi prvega odstavka
10. člena ZVOP-1-UPB1 se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. V drugem odstavku je nadalje določeno, da mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. Pravne podlage za obdelavo osebnih podatkov v javnem sektorju, kamor po določbi
11. točke
12. člena ZVOP-1-UPB1 spadajo državni organi, so podrobneje razdelane v
13. členu ZVOP-1-UPB1, iz katerega izhaja, da se osebni podatkov v javnem sektorju primerno obdelujejo na podlagi zakona. Obdelava osebnih podatkov po določbi
14. točke
15. člena ZVOP-1-UPB1 pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje. Upravljavci osebnih podatkov na področju javnega sektorja lahko neposredni elektronski dostop do osebnih podatkov v svojih zbirkah omogočijo le tistim uporabnikom osebnih, ki so za pridobivanje določenih osebnih podatkov pooblaščeni z zakonom. Kot uporabnik osebnih podatkov se po določbi
16. točke
17. člena ZVOP-1-UPB1 šteje pravna ali fizična oseba ali druga oseba javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrivajo osebni podatki. ZVOP-1-UPB1 ne določa iskalnih pogojev za pridobivanje osebnih podatkov iz posameznih zbirk osebnih podatkov ter tako ne omejuje možnosti iskanja osebnih podatkov po različnih kriterijih. Pooblaščenec zato meni, da v primeru, ko kriteriji iskanja v področnem zakonu niso izrecno določeni, upravljavec osebnih podatkov pooblaščenim uporabnikom osebnih podatkov lahko zagotovi možnost iskanja oziroma pridobivanja osebnih podatkov po različnih kriterijih. Pri določitvi kriterijev iskanja je potrebno uporabniku osebnih podatkov primarno vedno dati možnost iskanja na način, ki ob vnosu določenih podatkov praviloma vrne le osebne podatke ene osebe. Gre za način, ko mora pooblaščeni uporabnik obvezno vnesti npr. ime in priimek ter EMŠO posameznika, katerega osebne podatke želi pridobiti, ime in priimek ter datuma rojstva ali ime in priimek ter naslov prebivališča. V primeru pridobivanja osebnih podatkov s strani pooblaščenih uradnih oseb državnih organov Pooblaščenec meni, da je ob upoštevanju njihovih z zakonom določenih pooblastil, dopustno določenim pooblaščenim uradnim osebam (zlasti tistim s preiskovalnimi pooblastili) dodatno omogočiti tudi iskanje na način razširjenega iskanja oziroma iskanja po kriterijih, ko aplikacija izpiše osebne podatke večjega števila oseb, ki ustrezajo določenim kriterijem. O takšnem načinu iskanja govorimo takrat, ko se nam npr. z vnosom imena in priimka prikažejo vse osebe s tem imenom in priimkom, ko se nam z vnosom datuma rojstva prikažejo vse osebe, ki so rojene na ta dan, ko se nam z vnosom naslova prebivališča (ulica, hišna številka in pošta) prikažejo vse osebe, ki imajo na tem naslovu prijavljeno stalno ali začasno prebivališče, ipd.. Pooblaščenec torej meni, da je potrebno kriterije iskanja oziroma pridobivanja osebnih podatkov določiti za vsakega uporabnika posebej, in sicer po skrbni proučitvi zakonsko določenih pooblastil posameznega uporabnika osebnih podatkov ter ob upoštevanju načela sorazmernosti. Skladno z načelom sorazmernosti iz
18. člena ZVOP-1-UPB1 morajo osebni podatki, ki se obdelujejo, biti ustrezni in po obsegu primerni glede na namene, za katere se obdelujejo. Da bi zadostili temu načelu, je potrebno za vsakega uporabnika osebnih podatkov definirati v zakonu določen namen obdelave osebnih podatkov ter njegova z zakonom določena pooblastila, naloge in pristojnosti. V primeru, ko se določenemu uporabniku osebnih podatkov omogoči razširjeno iskanje, mora takšen uporabnik osebnih podatkov predhodno še posebej utemeljiti, zakaj svojih zakonsko določenih nalog, pooblastil in pristojnosti ne bo mogel učinkovito izvajati brez zagotovitve možnosti razširjenega iskanja. Na podlagi definiranega namene obdelave osebnih podatkov, definiranih zakonskih pooblastil, nalog in pristojnosti posameznega uporabnika, ter utemeljenih razlogov za eventualno potrebo po zagotovitvi razširjenega iskanja, se za tem kriterije iskanja za vsakega uporabnika izdela na način, da se mu omogoči učinkovito izvajanje zakonsko določenih nalog, pooblastil in pristojnosti. Pri zagotavljanju neposrednega pridobivanja osebnih podatkov s strani pooblaščenih oseb posameznih uporabnikov osebnih podatkov, mora upravljavec zbirke osebnih podatkov upoštevati zlasti določbe 8., 14., 20., 22.,
19. in
20. člena ZVOP-1-UPB
21. Ob upoštevanju
22. člena ZVOP-1-UPB1, ki določa splošne pravne podlage za obdelavo osebnih podatkov ter ob upoštevanju določb drugega odstavka
23. člena ZVOP-1-UPB1, ki določa, da v primeru obdelave osebnih podatkov, ki so dostopni preko telekomunikacijskega sredstva ali omrežja, morajo strojna, sistemska in aplikativno programska oprema zagotavljati, da je obdelava osebnih podatkov v zbirkah osebnih podatkov v mejah pooblastil uporabnika osebnih podatkov, mora upravljavec osebnih podatkov zagotoviti, da bo dostop do osebnih podatkov v mejah pooblastil posameznega uporabnika. Po določbah tretjega odstavka
24. člena ZVOP-1-UPB1 mora upravljavec osebnih podatkov za vsako posredovanje osebnih podatkov zagotoviti, da je mogoče pozneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov. Na takšen način se zagotavlja t.i. zunanja sledljivost obdelave osebnih podatkov, to je evidentiranje posredovanja ali razkrivanja osebnih podatkov drugim pravnim ali fizičnim osebam. Poleg zunanje sledljivosti je potrebno zagotoviti tudi t.i. notranjo sledljivost obdelave osebnih podatkov, to je evidentiranje obdelave osebnih podatkov znotraj upravljavca osebnih podatkov in znotraj uporabnika osebnih podatkov. Takšno sledljivost upravljavcem in uporabnikom osebnih podatkov nalaga
25. točka prvega odstavka
26. člena ZVOP-1-UPB1, kjer je določeno, da je potrebno s postopki in ukrepi za zavarovanje osebnih podatkov omogočati poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. Da bi zadostili tej določbi, ni dovolj, da se evidentirajo zgolj vnosi in spremembe osebnih podatkov v posamezni zbirki, pač pa je potrebno zagotoviti tudi možnost naknadnega ugotavljanja, katere pooblaščene osebe (zaposleni pri upravljavcu ali uporabniku osebnih podatkov) so v določenem času zgolj vpogledovale oz. pridobivale osebne podatke določenega posameznika. Takšno sledljivost je potrebno v primeru, ko lahko do osebnih podatkov v zbirki osebnih podatkov neposredno dostopajo tudi osebe, ki so zaposlene pri uporabniku osebnih podatkov, zagotoviti bodisi v okviru varnostne sheme upravljavca osebnih podatkov, ali pa v okviru varnostne sheme uporabnika osebnih podatkov. Po določbah
27. točke prvega odstavka
28. člena ZVOP-1-UPB1 je potrebno z organizacijskimi, tehničnimi in logično-tehničnimi postopki in ukrepi za zavarovanje osebnih podatkov preprečiti nepooblaščen dostop do osebnih podatkov tudi pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih. V drugem odstavku
29. člena ZVOP-1-UPB1 je v zvezi s prenosom občutljivih osebnih podatkov še določeno, da se pri prenosu občutljivih osebnih podatkov preko telekomunikacijskih omrežij šteje, da so podatki ustrezno zavarovani, če se posredujejo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom Pooblaščenec zaradi takšnih določb vztraja na stališču, da morajo biti osebni podatki, ki so uporabnikom dostopni po telekomunikacijskih sredstvih in omrežjih, pri prenosu vedno zavarovani z uporabo kriptografskih metod in metod za avtentikacijo in avtorizacijo uporabnikov tako, da je zagotovljen varen dostop do podatkov in njihova nečitljivost oziroma neprepoznavnost med prenosom. ZVOP-1-UPB1 v prvem odstavku
30. člena določa, da pri pridobivanju osebnih podatkov iz zbirk osebnih podatkov s področja zdravstva, policije, obveščevalno-varnostne dejavnosti države, obrambe države, sodstva in državnega tožilstva ter kazenske evidence in prekrškovnih evidenc, ni dovoljena uporaba istega povezovalnega znaka na način, da bi se za pridobitev osebnega podatka uporabil samo ta znak. Po definiciji iz
31. točke
32. člena ZVOP-1-UPB1 se med iste povezovalne znake štejejo EMŠO, davčna številka in številka zdravstvenega zavarovanja. Da bi zadostili zahtevi iz prvega odstavka
33. člena ZVOP-1-UPB1, je potrebno pri določitvi iskalnih kriterijev zagotoviti, da bo morala pooblaščena oseba pri pridobivanju osebnih podatkov iz prej navedenih zbirk poleg vnosa npr. EMŠO, obvezno uporabiti oz. vnesti še nek drug osebni podatek, npr. osebno ime. Izjema je dopustna le v primerih in pod pogoji iz drugega odstavka
34. člena ZVOP-1-UPB1, torej v izjemnem primeru, če je isti povezovalni znak edini podatek v konkretni zadevi, ki lahko omogoči, da se odkrije ali preganja kaznivo dejanje po uradni dolžnosti, da se zavaruje življenje ali telo posameznika ali da se zagotovi izvajanje nalog obveščevalnih in varnostnih organov, določenih z zakonom. O tem je potrebno brez odlašanja napraviti uradni zaznamek ali drug pisni zapis. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026