Hranjenje podatkov URL - IPRS

Hranjenje podatkov URL + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 25.07.2012 Številka: 0712-1/2011/3455 Kategorije:Svetovni splet --> Kategorije: Svetovni splet Prejeli smo vašo prošnjo za mnenje o hranjenju spletnih naslovov (v nadaljevanju URL naslovi), do katerih dostopajo zaposleni. Kot navajate, sumite, da je delodajalec na strežnik namestil sledilno napravo za beleženje vseh spletnih naslovov, s katerimi se zaposleni povezujejo iz svojih službenih računalnikov. Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
5. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji. Pri hranjenju prometnih podatkov, generiranih na požarnih pregradah, je sporno hranjenje IP in URL naslovov z vidika varovanja osebnih podatkov. ZVOP-1 v
6. členu namreč določa, da je osebni podatek katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen. To pomeni, da je IP naslov (številka) lahko tudi osebni podatek. IP številka, ki je bila dodeljena posamezniku oziroma njegovi terminalski opremi (torej se nanaša nanj), je lahko osebni podatek, če je ta posameznik vsaj določljiva fizična oseba; fizična oseba je določljiva, če se jo lahko (ne)posredno identificira, predvsem s sklicevanjem na identifikacijsko številko, pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa. V primeru hranjenja IP in URL naslovov Informacijski pooblaščenec priporoča, da delodajalec o tem predhodno sestavi pisni dokument (interni akt), tako da bodo pravila vnaprej jasna. Ta dokument naj med drugim vsebuje naslednja določila: - kakšen je namen zbiranja in hranjenja podatkov, - katere osebne podatke bo ta naprava obdelovala (ali bodo to IP naslovi obiskanih strani, IP uporabnika, datum, čas itd.), - kdo bo imel dostop do teh podatkov in v katerih primerih (natančno opredeliti), - kakšen bo postopek obravnave teh podatkov (npr. ob preiskovanju vdora, kdo kaj stori...). Obdelovalec osebnih podatkov je dolžan o zbiranju in načinu obdelovanja osebnih podatkov obvestiti posameznika, katerega osebni podatki se obdelujejo (
7. člen Zakona o varstvu osebnih podatkov). Kljub takšnemu vnaprejšnjemu dogovoru pa mora biti poseg v komunikacijsko zasebnost (pregleda URL strani z določenega IP naslova v primeru varnostnega incidenta) utemeljen za vsak konkreten primer posebej. O b r a z l o ž i t e v: Zakon o delovnih razmerjih (Uradni list RS, št. 42/02 s spremembami in dopolnitvami; ZDR) varuje delavca kot šibkejšo stranko v delovnem razmerju z delodajalcem, zato tudi omejuje delodajalca, da zbira zgolj tiste podatke, ki jih nujno potrebuje za izvrševanje pravic in obveznosti iz pogodbe o zaposlitvi ali v zvezi z delovnim razmerjem (
8. člen ZDR). Obenem delodajalcu ZDR in ZVOP-1 preprečujeta, da bi določila teh dveh zakonov razlagal široko. Načela obeh (predvsem načelo sorazmernosti) mu takšno ravnanje močno omejujeta. Klasičen primer je npr. videonadzor delovnih prostorov, ki se lahko uvede v res izjemnih primerih, kadar je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi. V primeru hranjenja URL naslovov IP priporoča, da delodajalec o tem predhodno pripravi interni akt, tako, da so pravila vnaprej jasna. Kljub takšnemu vnaprejšnjemu informiranju pa mora biti poseg delodajalca v komunikacijsko zasebnost (pregleda URL strani z določenega IP naslova v primeru varnostnega incidenta) utemeljen za vsak konkreten primer posebej. Osebni podatki se morajo obdelovati zakonito. ZVOP-1 v
9. členu določa, da se lahko osebni podatki obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon, ali če je za obdelavo osebnih podatkov podana osebna privolitev posameznika. Torej je pri presojanju ali obdelava določenega podatka predstavlja kršitev z vidika ZVOP-1, najprej potrebno ugotoviti ali sploh gre za osebni podatek. Glede hranjenja URL naslovov pa je mnenje Informacijskega pooblaščenca naslednje. Če rok hrambe in dopusten nabor osebnih podatkov ni natančno opredeljen, kot je v tem primeru, mora upravljavec v prvi vrsti presoditi, ali določene osebne podatke resnično potrebuje, za kakšen namen jih potrebuje in kako dolgo jih lahko za na namen najdlje hrani. Navedeno mora biti sposoben upravljavec trdno argumentirati. Po tako izvedeni presoji pa mora posameznike, katerih osebni podatki bodo obdelovani o zbiranju in načinu obdelovanja osebnih podatkov obvestiti ustrezno informirati (
10. člen ZVOP-1). V primeru, da je hramba podatkov o obiskanih spletnih naslovih utemeljena in nujno potrebna, npr.. zaradi obravnave varnostnih incidentov, preprečevanja zlorab in napadov na informacijski sistem in podobno, Informacijski pooblaščenec priporoča, da upravljavec o tem predhodno sestavi ali ustrezno dopolni pisni dokument (npr. interni akt, politiko ali pravilnik), v katerem bo natančno opredeljen namen obdelave osebnih podatkov, nabor osebnih podatkov, dostopne pravice do podatkov in opredelitev postopka uporabe osebnih podatkov. Ta dokument naj tako med drugim vsebuje naslednja določila: - kakšen je namen zbiranja in hranjenja podatkov, - nabor osebnih podatkov, t.j. katere osebne podatke bo ta naprave obdelovala (ali bodo to IP naslovi obiskanih strani, IP uporabnika, datum, čas itd.), - kdo bo imel dostop do teh podatkov in v kakšnih primerih (natančno opredeliti), - kakšen bo postopek obravnave teh podatkov (npr. ob preiskovanju vdora, kdo kaj stori...). Glede dobe hranjenja osebnih podatkov ZVOP-1 v
11. členu navaja, da: