← Slovenija

Iznos osebnih podatkov in računalništvo v oblaku - IPRS

Iznos osebnih podatkov in računalništvo v oblaku + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 21.09.2011 Številka: 0712-1/2011/2414 Kategorije:Iznos osebnih podatkov v tretje države --> Kategorije: Prenos osebnih podatkov v tretje države ali mednarodne organizacije Dne 7.9 2011 smo prejeli vašo prošnjo za pojasnila, ki se nanašajo na uporabo storitev t.i. računalništva v oblaku (angl. cloud computing). Pojasnili ste, da gre za situacijo, v kateri slovenska družba obdeluje raznovrstne podatke, med katerimi so tudi osebni podatki v smislu Zakona o varstvu osebnih podatkov (v nadaljevanju skupno »podatki«). Podatki se zbirajo preko poslovnega portala družbe, ki je lociran pri tujem ponudniku storitev gostovanja v oblaku (»cloud«). Sedež tujega ponudnika se sicer nahaja v ZDA, hkrati pa ta ponudnik za storitve oblaka uporablja strežnike v različnih državah (ZDA, EU in izven). Ob tem na podlagi pogodbe s ponudnikom ni mogoče vnaprej opredeliti, na katerem od strežnikov oz. kje se bodo podatki hranili, saj se lokacija podatkov lahko spreminja znotraj strežniške mreže ponudnika. Istočasno ponudnik izvaja tudi podporo z zagotavljanjem varnostne kopije podatkov, ki se nahaja na ločenem strežniku. V zvezi s tem imate naslednja vprašanja:
  3. Ali gre v zgornjem primeru hranjenja podatkov v oblaku za iznos podatkov v smislu ZVOP?
  4. V primeru pozitivnega odgovora na predhodno vprašanje, v katero državo se podatki iznašajo (konkretno, ali je za presojo merodajen sedež ponudnika oblaka ali fizična lokacija strežnikov)?
  5. Ali gre za iznos podatkov tudi v primeru, ko so le-ti kriptirani?
  6. Ali je s kriptiranjem podatkov mogoče vzpostaviti domnevo, da ne gre za iznos podatkov; če da, na kakšen način morajo biti podatki kriptirani?
  7. Ali je v vseh primerih hrambe podatkov v oblaku potrebno pridobiti vnaprejšnjo odločbo Informacijskega pooblaščenca (katere podatke in listine je potrebno v tem primeru predložiti) in kakšne so morebitne druge obveznosti upravljavca podatkov s tem v zvezi?
  8. Ali gre za iznos podatkov v primeru, ko po pogodbi s ponudnikom lahko do njih dostopa le slovenska družba?
  9. Kakšne (če sploh) so obveznosti slovenske in eventualno drugih družb v primeru, ko do podatkov v oblaku dostopa: - samo slovenska družba - poleg slovenske družbe tudi družba iz iste skupine, ki ima sedež v EU - poleg slovenske družbe tudi družba iz iste skupine s sedežem v ZDA? V nadaljevanju vam na podlagi predstavljenega dejanskega stanja in na podlagi
  10. točke prvega odstavka
  11. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – UPB1, v nadaljevanju ZVOP-1) ter
  12. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št 113/05 in 51/2007-ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. ad 1 Glede na to, da se v opisani situaciji osebni podatki obdelujejo oziroma se bodo obdelovali v t.i. tretjih državah (ZDA in morebitne druge države), ki niso na seznamu tistih držav iz
  13. člena ZVOP-1, za katere je ugotovljeno, da v celoti zagotavljajo ustrezno raven varstva osebnih podatkov, gre po mnenju Pooblaščenca v opisani situaciji za iznos osebnih podatkov, zato je treba upoštevati določbe
  14. poglavja ZVOP-1 (členi 63.-70.). ad 2 Ena od temeljnih značilnosti računalništva v oblaku oziroma oblik, ki jih štejemo za t.i. javni oblak, je odsotnost vezave podatkov na natančno opredeljeno fizično lokacijo. Glede na definicijo obdelave osebnih podatkov sodi kakršnokoli ravnanje z osebnimi podatki med obdelavo osebnih podatkov, zato lahko pride do obdelave osebnih podatkov v vseh tistih državah, v katerih se osebni podatki hranijo ali drugače obdelujejo. To pomeni, da gre dejansko za iznos osebnih podatkov v vse države, kjer poteka katerokoli ravnanje z osebnimi podatki. Če bi recimo ponudnik storitve računalništva v oblaku, ki je sicer ustanovljen in registriran v ZDA, uporabljal svoje podatkovne centre še v Indiji in v Avstraliji, osebni podatki pa bi se prenašali tudi v te države, bi v praksi upravljavec iz Slovenije sklenil pogodbo o pogodbeni obdelavi osebnih podatkov s ponudnikom storitev računalništva v oblaku v ZDA, hkrati pa bi v tej pogodbi moralo biti jasno določeno, ali in pod kakšnimi pogoji bo ponudnik storitev računalništva v oblaku podatke zaupal v hrambo (ki je tudi obdelava) svojim »pod-ponudnikom« (angl. subprocessors), kamor lahko prištevamo podatkovna centra v Indiji in Avstraliji. Upravljavec osebnih podatkov v Sloveniji mora imeti na podlagi pogodbe s ponudnikom storitev računalništva v oblaku iz ZDA natančen pregled nad tem, kje se bodo podatki hranili, torej ne samo, da bodo hranjeni v oblaku v ZDA, pač pa tudi, ali bo ponudnik oblaka podatke hranil drugje in kje. Potrebno je poudariti, da pogodbe oziroma splošni pogoji uporabe, ki jih običajno pripravijo ponudniki storitev računalništva v oblaku, ne zagotavljajo standardov, ki jih glede take vrste iznosa vzpostavlja ZVOP-1 in Direktiva 95/46, zato Pooblaščenec priporoča, da upravljavec iz Slovenije v tem primeru s ponudnikom storitev računalništva v oblaku iz ZDA sklene standardne pogodbene klavzule, ki vsebujejo tudi dogovore v zvezi s »pod-obdelavo« osebnih podatkov s stani ponudnika oblaka. Standardne pogodbene klavzule so dosegljive na tej povezavi: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/iznos-osebnih-podatkov-v-tretje-drzave/. Pooblaščenec posebej opozarja, da je sestavni del tovrstnih klavzul (Dodatek 2) tudi konkretiziran dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov, ki mora zagotavljati raven, kot jo zahtevata
  15. in
  16. člen ZVOP-
  17. Če upravljavec ne sklene standardnih pogodbenih klavzul, pač pa drugo obliko pogodbe, in če bo ponudnik storitev računalništva v oblaku podatke hranil tudi v drugih državah, ne samo tam, kjer je registriran, mora biti v pogodbi opredeljeno tudi omenjeno vprašanje pod-obdelave in obveznosti pogodbenega obdelovalca v zvezi s tem. ad 3,4 Kriptiranje osebnih podatkov predstavlja zgolj metodo, ki jo lahko uvrstimo med postopke in ukrepe za zavarovanje osebnih podatkov v smislu zagotavljanja zaupnosti informacij (preprečevanje seznanitve nepooblaščenim osebam), ne smemo pa je enačiti z anonimizacijo osebnih podatkov. Tu je treba poudariti, da gre tudi v situacijah, ko pogodbeni obdelovalec (npr. ponudnik storitev računalništva v oblaku) sploh ne ve, na koga se podatki nanašajo (npr. nudi zgolj storitev gostovanja prostora za hrambo podatkov), za obdelavo osebnih podatkov. Še več – tudi če upravljavec osebnih podatkov te podatke hrani pri zunanjemu ponudniku hrambe in na njegovih diskovnih zmogljivostih hrani svoje podatke v kriptirani, zunanjemu ponudniku hrambe neberljivi obliki, tudi takrat gre za hrambo osebnih podatkov, s tem pa za obdelavo osebnih podatkov in zakonske dolžnosti tako upravljavca osebnih podatkov kot ponudnika storitve. Navedeno poudarjamo zato, ker se pojavljajo napačne interpretacije, da je za varstvo osebnih podatkov poskrbljeno s šifriranjem podatkov. Šifriranje podatkov je le eden od mehanizmov zaščite osebnih podatkov – v izrazoslovju ZVOP-1 gre za zavarovanje osebnih podatkov (angl. data security), skratka za enega od ukrepov s katerim ščitimo celovitost, zaupnost in razpoložljivost podatkov, varstvo osebnih podatkov (angl. data protection) pa je precej širši pojem. Drugače povedano, podatke imamo lahko odlično »zaklenjene«, pa lahko vseeno pride do kršitve varstva osebnih podatkov – morda nimamo pravne podlage za obdelavo osebnih podatkov, morda jih uporabljamo za nezakonite namene, morda jih predolgo hranimo. Pri računalništvu v oblaku nam zanašanje zgolj na metode, kot je kriptiranje, lahko izboljša varnost podatkov, ne moremo pa se s tem izogniti zakonodaji na področju varstva osebnih podatkov. ad 5 V primeru, da pri uporabi storitev računalništva v oblaku ne pride do iznosa osebnih podatkov v tretje države (npr. da vsa ravnanja z osebnimi podatki, vključno npr. s hrambo in varnostnimi kopijami, potekajo znotraj teritorija članic EU ali EGS), potem ne gre za iznos osebnih podatkov v tretje države in odločba Informacijskega pooblaščenca ni potrebna. Iznos osebnih podatkov ureja V. del ZVOP-
  18. V primeru iznosa osebnih podatkov odločba Informacijskega pooblaščenca ni potrebna: - če je tretja država na seznamu tistih držav iz
  19. člena tega zakona, za katere je ugotovljeno, da v celoti zagotavljajo ustrezno raven varstva osebnih podatkov (
  20. odstavek
  21. člena ZVOP-1) - če je tretja država na seznamu tistih držav iz
  22. člena tega zakona, za katere je ugotovljeno, da delno zagotavljajo ustrezno raven varstva osebnih podatkov, če se posredujejo tisti osebni podatki in za tiste namene, za katere je ugotovljena ustrezna raven varstva (
  23. odstavek
  24. člena ZVOP-1). Po določbi prvega odstavka
  25. člena ZVOP-1 državni nadzorni organ vodi seznam tretjih držav za katere je ugotovil, da imajo v celoti ali delno zagotovljeno ustrezno raven varstva osebnih podatkov, ali da te nimajo zagotovljene. Če je ugotovljeno, da tretja država le delno zagotavlja ustrezno raven varstva osebnih podatkov, se v seznamu navede tudi, v katerem delu je ustrezna raven zagotovljena. Seznam držav in obrazec vloge sta dostopna naslovu: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/iznos-osebnih-podatkov-v-tretje-drzave/ Odločba nadzornega organa je v primeru iznosa osebnih podatkov iz države torej potrebna takrat, ko države, v katero se osebni podatki nanašajo, ni na seznamu iz
  26. člena ZVOP-1 ter v primeru, če se iznos izvede na podlagi
  27. točke
  28. odstavka
  29. člena ZVOP-1 (podrobneje glej odgovor na
  30. vprašanje). Upravljavec osebnih podatkov mora po pridobitvi odločbe poskrbeti tudi za obveznosti, ki mu jih glede pogodbene obdelave osebnih podatkov nalaga
  31. člen ZVOP-1 (pogodbena obdelava osebnih podatkov) ter dolžnosti v zvezi s posredovanjem in zavarovanjem osebnih podatkov (več v odgovoru na
  32. vprašanje). ad 6 Tudi če do osebnih podatkov dostopa samo slovenska družba, gre za pogodbeno obdelavo osebnih podatkov in v opisani situaciji za iznos osebnih podatkov. V situaciji, ki ste jo opisali, namreč ponudnik storitve računalništva v oblaku za upravljavca osebnih podatkov opravlja določena opravila v zvezi z osebnimi podatki (npr, hramba in varnostno kopiranje), s tem pa nastopa v vlogi pogodbenega obdelovalca. Glede na to, da gre za ponudnika iz ZDA, gre za iznos osebnih podatkov v tretje države. ad 7 V prvi vrsti je treba ugotoviti, ali imajo navedene družbe sploh pravno podlago za dostop do osebnih podatkov.
  33. člen ZVOP-1 določa, da se ne glede na prvi odstavek
  34. člena tega zakona lahko iznesejo osebni podatki in posredujejo v tretjo državo, če:
  35. tako določa drug zakon ali obvezujoča mednarodna pogodba;
  36. je podana osebna privolitev posameznika, na katerega se nanašajo osebni podatki in je seznanjen s posledicami takšnega posredovanja;
  37. je iznos potreben za izpolnitev pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem osebnih podatkov ali za izvršitev predpogodbenih ukrepov, sprejetih kot odgovor na zahtevo posameznika, na katerega se nanašajo osebni podatki;
  38. je iznos potreben za sklenitev ali izvršitev pogodbe, ki je v korist posameznika, na katerega se nanašajo osebni podatki, sklenjeno med upravljavcem osebnih podatkov in tretjo stranko;
  39. je iznos potreben, da se pred hujšim ogrožanjem zavaruje življenje ali telo posameznika, na katerega se nanašajo osebni podatki;
  40. se iznos opravi iz registrov, javnih knjig ali uradnih evidenc, ki so po zakonu namenjene zagotavljanju informacij javnosti in so na voljo za vpogled javnosti na splošno ali katerikoli osebi, ki lahko izkaže pravni interes, da so v posameznem primeru izpolnjeni pogoji, ki jih za vpogled določa zakon;
  41. upravljavec osebnih podatkov zagotovi ustrezne ukrepe zavarovanja osebnih podatkov ter temeljnih pravic in svoboščin posameznikov in navede možnosti njihovega uresničevanja ali varstva, predvsem v določbah pogodb ali v splošnih pogojih poslovanja. V primeru iznosa osebnih podatkov po
  42. točki
  43. odstavka
  44. člena ZVOP-1 mora oseba, ki namerava iznesti osebne podatke, pridobiti posebno odločbo državnega nadzornega organa, ki dovoljuje iznos osebnih podatkov (
  45. odstavek
  46. člena ZVOP-1). Oseba sme iznesti osebne podatke šele po prejemu odločbe iz prejšnjega odstavka, s katero je iznos dovoljen (
  47. odstavek
  48. člena ZVOP-1). Kadar gre za iznos osebnih podatkov v tretje države, za katere ni ugotovljena enaka raven varstva osebnih podatkov, se v zvezi z iznosom po
  49. točki
  50. odstavka
  51. člena ZVOP-1 uporabljajo zlasti t.i. zavezujoča poslovna pravila (angl. Binding Corporate Rules ) in standardne pogodbene klavzule (angl. Standard Contractual Clauses), v primeru iznosa po
  52. odstavku
  53. člena ZVOP-1 pa zaveze v okviru dogovora Varni pristan (t.i. Safe Harbor ). Uporaba načel Varnega pristana v praksi pomeni, da je organizacija, ki želi prenesti osebne podatke v tretjo državo, najprej zavezana nacionalni zakonodaji, da zagotovi, da se podatki obdelujejo pravično in zakonito; organizacija iz Slovenije, ki želi prenesti osebne podatke v tretje države je tako najprej zavezana načelom ZVOP-1, v katerem so implementirane zahteve Direktive 95/46/EC. Odločba Informacijskega pooblaščenca v tem primeru ni potrebna, vendar pa Pooblaščenec v zvezi z dogovorom Varni pristan opozarja, da članstvo v omenjenem dogovoru sicer predstavlja enega od pogojev, pod katerimi je tudi brez odločbe Pooblaščenca dopusten iznos osebnih podatkov v tretje države, a morata tako upravljavec osebnih podatkov kot njegovi pogodbeni obdelovalci osebnih podatkov zagotoviti spoštovanje določbe prvega odstavka
  54. člena ZVOP-1, po katerem so upravljavci osebnih podatkov in pogodbeni obdelovalci dolžni zagotoviti zavarovanje osebnih podatkov na način iz
  55. člena tega zakona. V zvezi s tem trčimo na odprta vprašanja v povezavi z zavarovanjem osebnih podatkov pri iznosu osebnih podatkov v (zlasti) javne oblike računalništva v oblaku in ustreznosti zagotovil, ki naj bi jih nudil dogovor Varni pristan. Pooblaščenec je mnenja, da če upravljavec in pogodbeni obdelovalec osebnih podatkov ne moreta izpolniti zahtev, ki jih glede zavarovanja osebnih podatkov zahteva
  56. člen ZVOP-1, ima upravljavec s pridobitvijo odločbe sicer pravno podlago za iznos osebnih podatkov, lahko pa s samim iznosom osebnih podatkov pride do kršitve določb
  57. člena ZVOP-
  59. člen ZVOP-1 določa, da zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
  60. varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
  61. varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
  62. preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
  63. zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
  64. omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. V primeru obdelave osebnih podatkov, ki so dostopni preko telekomunikacijskega sredstva ali omrežja, morajo strojna, sistemska in aplikativno programska oprema zagotavljati, da je obdelava osebnih podatkov v zbirkah osebnih podatkov v mejah pooblastil uporabnika osebnih podatkov. Postopki in ukrepi za zavarovanje osebnih podatkov morajo biti ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo. Funkcionarji, zaposleni in drugi posamezniki, ki opravljajo dela ali naloge pri osebah, ki obdelujejo osebne podatke, so dolžni varovati tajnost osebnih podatkov, s katerimi se seznanijo pri opravljanju njihovih funkcij, del in nalog. Dolžnost varovanja tajnosti osebnih podatkov jih obvezuje tudi po prenehanju funkcije, zaposlitve, opravljanja del ali nalog ali opravljanja storitev pogodbene obdelave. Upravljavci, ki razmišljajo o uporabi storitev računalništva v oblaku, morajo torej biti posebej pozorni na naslednje dolžnosti po ZVOP-1: - pogodbena obdelava osebnih podatkov (
  65. člen), - posredovanje osebnih podatkov (
  66. člen), - zavarovanje osebnih podatkov (24.,
  67. člen), - iznos osebnih podatkov v tretje države (63.-
  68. člen). Pooblaščenec posebej opozarja, da glede na trenutno stanje marsikateri ponudnik storitev računalništva v oblaku po oceni Pooblaščenca ne zagotavlja vseh postopkov in ukrepov, ki jih opredeljuje
  69. člen ZVOP-1, kljub temu da velja na njihovi strani prepričanje, da z vključenostjo v Varni pristan to zagotavljajo, upravljavci osebnih podatkov pa pogosto nimajo vseh informacij o tem, kako ponudnik zagotavlja nekatere bistvene elemente zavarovanja osebnih podatkov, kot so sledljivost obdelave, uničevanje podatkov po izpolnitvi namena obdelave ter informacije o dejanskih lokacijah osebnih podatkov. Upravljavci osebnih podatkov v takšni situaciji težko izvedejo ustrezne analize tveganj pred samo odločitvijo o uporabi teh storitev. Prav tako prihaja do težav s splošnimi pogoji uporabe storitev, pri katerih je upravljavec osebnih podatkov pogosto stranka z manjšo pogajalsko močjo, ki lahko običajno zgolj sprejme ali zavrne splošne pogoje uporabe storitev, ki mu jih je predložil ponudnik storitev računalništva v oblaku, čeprav naj bi bil upravljavec osebnih podatkov tisti, ki določa namene, okoliščine in sredstva obdelave ter zahtevano raven zavarovanja osebnih podatkov. Pooblaščenec mnenje zaključuje z informacijo o tem, da Delovna skupina iz člena 29 (Article 29 Working Party) trenutno pripravlja mnenje na temo računalništva v oblaku , mnenji o konkretnem primeru uporabe storitev računalništva v oblaku pa sta izdala danski nadzorni organ (Datatilsynet ) ter nadzorni organ nemške zvezne dežele Schleswig-Holstein (ULD ). S spoštovanjem, Informacijski pooblaščenec; Nataša Pirc Musar, univ. dipl. prav, pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.