Menjava gesla za dostop do predala e-pošte + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 21.06.2017 Številka: 0712-1/2017/1294 Kategorije:Elektronska pošta, Moderne tehnologije, Zavarovanje osebnih podatkov --> Kategorije: Elektronska pošta, Moderne tehnologije, Zavarovanje osebnih podaktov Spoštovani,Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje, ki se nanaša na način menjave gesla pri operaterju elektronskih komunikacij, in sicer za dostop do predala e-pošte. Kot ste pojasnili in kot izhaja iz vašega priloženega dopisovanja s tehnično podporo operaterja, zaradi težave v portalu operaterja trenutno za samostojne poštne predale ni možnosti spremembe gesla na tak način, da nihče ne bo o tem seznanjen, temveč lahko geslo lahko spremenite samo s klicem na klicni center. Pojasnili ste, da nikakor nočete svojega gesla deliti z delavci tehnične podpore, pa naj bo to telefonsko ali na kakšen drug način in nas sprašujete za mnenje.Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.Informacijski pooblaščenec (IP) odgovarja pritrdilno na vaše stališče, da postopanje operaterja ni ustrezno. V preteklosti je IP izdal več mnenj na temo ravnanja z gesli, ki predstavljajo pomemben element v zagotavljanju varnosti podatkov, s tem pa tudi varstva informacijske in komunikacijske zasebnosti[1].IP ugotavlja, da je pri konkretni presoji bistveno, kdo je ustvaril geslo (ali ga je ustvaril posameznik sam ali mu je bilo dodeljeno). Povsem nerealno je pričakovati, da se posamezniki zvesto držijo priporočil s področja varovanja informacij, kar potrjujejo tudi številne raziskave, in da uporabljajo povsem različna gesla za različne storitve, temveč je utemeljeno pričakovati, da posamezniki gesla oblikujejo po določenem ustaljenem postopku oziroma večinoma podobne oblike (npr. ime in številka ipd.). Geslo, ki ga je ustvaril posameznik sam, inherentno vsebuje določeno informativno vrednost o posamezniku, medtem ko geslo, ki je posamezniku zgolj dodeljeno (npr. da ga je ustvarila aplikacija) in si ga lahko kasneje spremeni, te informativne vrednosti o posamezniku ne vsebuje. Oseba, ki pozna način tvorjenja gesel posameznika, je pri potencialni zlorabi tega podatka v precejšnji prednosti, saj se ji občutno zmanjša trud za ugotovitev gesla, kar velja tako za strojno (računalniško podprto) ugibanje gesla kot za ugibanje s strani človeka. Z drugimi besedami – oseba, ki pozna naš način tvorjenja gesel, o nas pridobi zelo pomembno informacijo in lahko s to informacijo poskuša uganiti in posledično zlorabiti gesla, ki jih uporabljamo za druge storitve, kot so recimo dostop do e-banke, uporabniških računov na različnih spletnih storitvah, dostop do profila na spletnih družbenih omrežjih in podobno. Potencialno lahko tako pride do precejšnjega posega v informacijsko (in komunikacijsko) zasebnost posameznika, saj se lahko z zlorabo gesla nepooblaščena oseba seznani z velikim številom naših osebnih podatkov, vsebino naše komunikacije in v določenih primerih tudi z našimi občutljivimi osebnimi podatki. Po določbi
- točke
- člena ZVOP-1 se za osebni podatek šteje katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen, ob tem da je posameznik v skladu z
- točko
- člena ZVOP-1 določena ali določljiva fizična oseba, na katero se nanaša osebni podatek; fizična oseba je določljiva, če se jo lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa. IP ugotavlja, da je v konkretnem primeru treba tudi podatek o izbranem geslu šteti za osebni podatek, saj se nanaša na fizično in določljivo osebo, ki si je ta podatek izbrala, razkritje tega podatka pa lahko temu posamezniku z zlorabo podatka povzroči resne posege v njegovo informacijsko (in komunikacijsko) zasebnost. IP poudarja, da je uporabljeno argumentacijo neprimerno posploševati na druge situacije, podobno kot je neprimerno posploševati presojo, ali je določena kategorija podatkov vedno varovan osebni podatek (npr. telefonska številka), saj je ključen kontekst in to terja presojo od primera do primera in ponavlja, da je navedeno argumentacijo možno uporabiti za gesla, ki si jih je izbral posameznik. Povsem razumljiv je pogled konkretnega uporabnika, ki ga zelo skrbi, kdo in kdaj se lahko seznani z njegovim geslom za dostop do e-pošte. V času informacijske družbe imajo gesla, ki si jih izberejo posamezniki (za razliko od gesel, ki jih generirajo naprave), še posebno težo in upravičeno terjajo ustrezno varovanje. Posameznik je v informacijski družbi soočen s številnimi storitvami, ki jih omogočajo informacijsko-komunikacije tehnologije, in nastopa v velikem številu vlog, v katerih se mora identificirati in avtenticirati; nekatere od teh vlog so poslovne narave, druge predvsem zasebne narave, kljub temu pa v vseh teh vlogah, kjer si posameznik lahko sam izbere geslo, tega določi predvsem kot posameznik, kot človek, s tem pa razkritje gesla veliko pove o načinu tvorjenja gesel in občutno zniža varnost, ki naj bi jih takšna gesla zagotavljala. Glede na veliko število gesel, ki jih uporablja povprečni posameznik v informacijski družbi, je povsem realno pričakovati, da bo posameznik gesla določal po nekem lastnem ključu, poznavanje tega ključa oziroma postopka, pa lahko predstavlja resno grožnjo za posameznika, četudi ne uporablja povsem istega gesla za dostop do različnih storitev. Gre torej za podatek, ki je inherentno povezan s posameznikom in vsak od nas se lahko vpraša, ali in komu si upa izdati gesla, ki jih je sam ustvaril. Glede na navedeno je skrb uporabnika, da mora določenemu tehničnemu osebju po telefonu zaupati svoje dejansko geslo povsem upravičena in – kot pojasnjujemo v nadaljevanju – temelji tudi na dobrih praksah na področju informacijske varnosti.Glede na ugotovitev, da je v konkretnem primeru gesla uporabnikov, ki so si jih sami izbrali, treba šteti za osebne podatke, v naslednjem koraku sledi presoja, ali je zavezanec zagotovil ustrezno varovanje osebnih podatkov. Ustreznost zavarovanja je treba ugotavljati na podlagi analize tveganj in z vidika mednarodno uveljavljanih priporočil, standardov in dobrih praks. Mednarodno veljavni standardi na področju varovanja informacij in uveljavljene dobre prakse na tem področju, kot so ISO/IEC 27002:2005 (točki 11.2.3 in 11.5.5), COBiT 4.1 (točki DS5.3 in DS5.4) ter PCI DSS v1.2 (kontrolna točka 8.4[2]) so že v prejšnjih verzijah zahtevali, da se gesla uporabnikov v podatkovnih bazah hranijo v takšni obliki, ki onemogoča seznanitev z geslom. Gesla morajo biti shranjena v takšni obliki, da gesla nihče ne more prebrati, razkriti ali posredovati naprej, ne glede na njegova pooblastila. V primeru pozabljenega ali izgubljenega gesla lahko pooblaščena oseba (npr. sistemski administrator ali administrator podatkovne baze), obstoječe geslo povozi in uporabniku dodeli novega, ne sme pa imeti možnosti pozabljenega gesla prebrati v bazi in ga posredovati uporabniku. Zahteva operaterja, da torej mora uporabnik svoje geslo tehnični podpori povedati po telefonu (ali z obiskom naročnika storitev v eni od poslovalnic operaterja) torej ni v skladu z standardi informacijske varnostiIP dodatno utemeljuje svojo argumentacijo z dejstvom, da so praviloma vsa gesla, ki so nam bila dodeljena, obravnavana kot začasna in da standardi varovanja informacij zahtevajo, da si ta gesla uporabniki naknadno (praviloma že ob prvi uporabi) spremenijo. Čemu takšna zahteva? Razlog za takšno zahtevo, ki je tudi v praksi pogosto spoštovana, očitno pa ne povsod, je ravno v tem, da gesla, ki so nam bila dodeljena, običajno pozna še nekdo drug (izdajatelj gesla), uporabnik pa naj bi si takšno začasno geslo zamenjal s svojim ravno iz razloga, da bo samo on vedel, kakšno geslo bo uporabljal. Takšna gesla, ki so si jih ustvarili uporabniki, pa uživajo varstvo po ZVOP-
- Nenazadnje takšna praksa operaterja omogoča resne kraje identitete. Velja namreč upoštevati tudi to, da je pri telefonskem pogovoru težko preveriti pravo identiteto kličočega in posamezniku bi lahko geslo za dostop do elektronske pošte prek telefona spremenil tudi nepridiprav, ki bi se zanj lažno izdajal in s tem pridobil dostop do posameznikove e-pošte, kar je že samo po sebi velik poseg v pravice posameznika, to bi pa dalje omogočalo dostop in spremembo tudi vseh ostalih dostopnih pravic, ki jih lahko spreminja kol lastnik predala. V primeru pozabljenih gesel je namreč pogosta (in nesporna) praksa, da se lahko zahteva ponastavitev ali novo začasno geslo ravno iz predala elektronske pošte, iz katerega je bila opravljena registracija na druge storitve, npr. družabna omrežja in druge spletne storitve. Kdor torej nekomu ukrade dostop do pomembnega predala e-pošte lahko vdre tudi v vse ostale storitve, v katere se je registriral z uporabo tega elektronskega naslova, zato je menjava gesel po telefonu slaba praksa.Glede na navedeno je IP mnenja, da je opisana praksa operaterja nesprejemljiva. V primeru, da gre za začasne tehnične težave bi bilo primerno, da uporabnike operater obvesti, koliko časa menjava gesla na varen način ne bo mogoča, prav gotovo pa ni primerna pot, da v vmesnem času zahteva menjavo gesla z obiskom poslovalnice ali po telefonu.S spoštovanjem,Pripravil:mag. Andrej Tomšič, namestnik informacijske pooblaščenkeInformacijski pooblaščenec:Mojca Prelesnik, univ. dipl. prav.,Informacijska pooblaščenka[1] Glej npr. mnenja:· https://www.ip-rs.si/vop/obvezna-hramba-gesel-od-zaposlenih-2643/?tx_jzvopdecisions_pi1%5BhighlightWord%5D=geslo· https://www.ip-rs.si/vop/podlaga-za-shranjevanje-preteklih-gesel-2900/?tx_jzvopdecisions_pi1%5BhighlightWord%5D=geslo· https://www.ip-rs.si/vop/uporaba-oddaljenega-dostopa-in-administracija-sluzbene-elektronske-poste-2507/?tx_jzvopdecisions_pi1%5BhighlightWord%5D=gesel[2] Kontrolna točka 8.4 zahteva, da se vsa gesla med prenosom in hrambo v vseh komponentah sistema nahajajo v neberljivi obliki s pomočjo t.i. močne kriptografije (v izvirniku: »Render all passwords unreadable during transmission and storage on all system components using strong cryptography«). O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026