Microsoft zahteva po pregledu programske opreme - IPRS

Microsoft zahteva po pregledu programske opreme + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 23.05.2016 Številka: 0712-1/2016/1127 Kategorije:Moderne tehnologije, Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP, Moderne tehnologije Informacijski pooblaščenec je prejel vaši sporočili, v katerih pojasnjujete, da ste dobili sporočilo družbe Microsoft, ki od poslovnih strank zahteva namestitev določene programske opreme za pregledovanje programske opreme. Pojasnjujete, da se informacije o pregledu nato posredujejo naprej drugemu podjetju, pri tem se ti podatki nalagajo nekam v oblak in ne ve se, ali se 'vohunska' oprema po končanem postopku odinštalira ali ne. Ne veste, kje se zbirajo ti podatki, niti kdo jih nadalje obdeluje, dobili pa ste pojasnilo predstavnice družbe Microsoft, da podatke naključno razdelijo partnerjem, ki imajo zlate SAM kompetence. Menite, da Microsoft SLO krši zakonodajo in da bi mu morali glede na mnenje https://www.ip-rs.si/vop/pricakovana-zasebnost-na-sluzbenih-racunalnikih-2046/preprečiti tak način pregledovanja računalniške in programske opreme v podjetjih.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke
4. odstavka
5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Z vidika zakonodaje o varstvu osebnih podatkov pri aktivnostih, kot jih opisujete, najverjetneje prihaja do obdelave osebnih podatkov, katerih upravljavec ste, kar pomeni, da je na vas odgovornost, da s ponudnikom Microsoft sklenete ustrezno pogodbo o pogodbeni obdelavi osebnih podatkov, ki bo jasno določala, da sme ponudnik osebne podatke obdelovati le v skladu z vašim pooblastilom in ne za svoje namene, da morajo biti podatki po obdelavi vrnjeni vam oziroma uničeni ter da mora pogodbeni partner izvajati primerne ukrepe zavarovanja osebnih podatkov. Posredovanje osebnih podatkov s strani pogodbenega partnerja tretjim strankam je dopustno, vendar pod pogojem, da ste vi kot upravljavec s tem seznanjeni in da ima pogodbeni partner vaše soglasje za posredovanje podatkov za točno določen namene, ter da je ohranjena raven varovanja osebnih podatkov tudi pri prenosu k pod-pogodbenim partnerjem.Sklepno vam torej predlagamo, da podrobno preučite pogodbena zagotovila, ki vežejo vas in ponudnika Microsoft in presodite, ali so ustrezna ter pred začetkom novih storitev, ki pomenijo obdelavo osebnih podatkov, pridobite natančna pojasnila o obdelavi in s ponudnikom sklenete ustrezno pogodbo. V Smernicah o računalništvu v oblaku so vam na voljo tudi napotki glede vsebine pogodbe za take storitve.Obrazložitev:Glede na vaš opis situacije razumemo, da v vašem podjetju uporabljate storitve družbe Microsoft, in sicer po vsej verjetnosti njeno programsko opremo. Kot izhaja iz vaših pojasnil, vas ponudnik obvešča o možnosti pregleda vašega IT okolja, pri čemer analizo pridobljenih podatkov smejo izvajati tretje stranke, ki imajo določene kompetence (SAM) in jih izbere ponudnik.Informacijski pooblaščenec uvodoma pojasnjuje, da gre v vašem primeru najprej razmejiti vaše odgovornosti (kot upravljavca osebnih podatkov vaših zaposlenih, ki jih s programsko opremo obdelujete) ter odgovornosti ponudnika programskih storitev Microsoft, ki je v tem odnosu po vsej verjetnosti vaš pogodbeni obdelovalec osebnih podatkov.Glede na določbo
7. točke
8. člena ZVOP-1 je upravljavec osebnih podatkov fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. V zvezi s konceptom upravljavca osebnih podatkov Delovna skupina iz člena 29 Direktive 95/46/ES (v kateri so združeni vsi nadzorni organi za varstvo osebnih podatkov iz EU) v svojem mnenju št. 1/2010 pojasnjuje, da je vloga upravljavca predvsem v tem, da določa, kdo je odgovoren za spoštovanje pravil varstva osebnih podatkov in kako lahko posamezniki v praksi uveljavljajo svoje pravice (do vpogleda, do izbrisa, itd.). Tak položaj upravljavca je posledica dejstva, da se je odločil obdelovati osebne podatke za svoj namen. Določanje namenov in sredstev obdelave pomeni določanje namenov in ciljev obdelave osebnih podatkov, nabora osebnih podatkov, načinov obdelave, kdaj bodo podatki izbrisani in kdo so osebe, ki naj imajo dostop do osebnih podatkov. Kadar o namenih in sredstvih obdelave odloča več entitet lahko govorimo tudi o več upravljavcih oziroma o skupnem upravljavcu. Nasprotje vloge upravljavca osebnih podatkov je vloga pogodbenega obdelovalca, ki jo ZVOP-1 definira v
9. členu. Pogodbeni obdelovalec osebne podatke obdeluje le v okviru pooblastil upravljavca. Upravljavec in pogodbeni obdelovalec morata skleniti pisno pogodbo, s katero se pogodbeni obdelovalec zaveže k upoštevanju ukrepov za zavarovanje osebnih podatkov. Pogodbeni obdelovalec osebnih podatkov ne sme obdelovati za svoje namene in jih mora po koncu pogodbene obdelave vrniti upravljavcu oz. jih izbrisati. V tem primeru vse dolžnosti glede uveljavljanja pravic posameznikov in skladnosti z zakonodajo še vedno nosi upravljavec, pogodbeni obdelovalec pa je predvsem dolžan spoštovani zahteve ZVOP-1 po zavarovanju osebnih podatkov.Iz vaših pojasnil je razumeti, da Microsoft v smislu zakonodaje o varstvu osebnih podatkov deluje kot vaš pogodbeni partner, in sicer vam zagotavlja programsko opremo ter povezane storitve (kamor bi lahko prišteli tudi pregled programskega okolja, za katerega ste prejeli poziv). Z vidika zakonodaje o varstvu osebnih podatkov pri takih pogodbenih storitvah najverjetneje prihaja do obdelave osebnih podatkov, katerih upravljavec ste vi, kar pomeni, da morate s ponudnikom Microsoft imeti sklenjeno ustrezno pogodbo o pogodbeni obdelavi osebnih podatkov, ki bo jasno določala, da sme ponudnik osebne podatke obdelovati le v skladu z vašim pooblastilom in ne za svoje namene, da morajo biti podatki po obdelavi vrnjeni vam oziroma uničeni ter da mora pogodbeni partner izvajati primerne ukrepe zavarovanja osebnih podatkov. Posredovanje osebnih podatkov s strani pogodbenega partnerja tretjim strankam je dopustno, vendar pod pogojem, da ste vi kot upravljavec s tem seznanjeni in da ima pogodbeni partner vaše soglasje za posredovanje podatkov za točno določen namene, ter da je ohranjena raven varovanja osebnih podatkov tudi pri prenosu k pod-pogodbenim partnerjem.Več pojasnil o pogodbeni obdelavi osebnih podatkov najdete v smernicah Informacijskega pooblaščenca, ki so dostopne tu https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_pogodbeni_obdelavi_web.pdf in v Smernicah glede uporabe računalništva v oblaku, ki so dostopne tu https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_Varstvo_osebnih_podatkov_in_racunalnistvo_v_oblaku_2016.pdf.Iz vaših pojasnil ne izhaja, ali imate s ponudnikom storitev Microsoft sklenjeno ustrezno pogodbo o pogodbeni obdelavi osebnih podatkov, niti ne izhaja, kakšne storitve natančno za vas ta ponudnik izvaja. Zato lahko v zaključku le opozorimo na to, da je odgovornost za zakonito obdelavo osebnih podatkov primarno na upravljavcu osebnih podatkov. Ta je tisti, ki mora zagotoviti, da s ponudnikom pogodbenih storitve (torej tudi pogodbene obdelave osebnih podatkov) sklene ustrezno pogodbo z vsemi zagotovili, ki jih zahteva slovenska zakonodaja. V primeru, da ponudnik v podpis ponudi tipsko pogodbo, je upravljavec tisti, ki mora presoditi, ali je pogodba z vidika zakonodaje, ki jo mora sam spoštovati ustrezna. Z vidika nadzora Informacijskega pooblaščenca pa je torej primarno upravljavec osebnih podatkov tisti, ki mora zagotavljati skladnost z zakonodajo. Sklepno vam torej predlagamo, da podrobno preučite pogodbena zagotovila, ki vežejo vas in ponudnika Microsoft in presodite, ali so ustrezna ter pred začetkom novih storitev, ki pomenijo obdelavo osebnih podatkov pridobite natančna pojasnila o obdelavi in s ponudnikom sklenete ustrezno pogodbo. V zgoraj omenjenih Smernicah o računalništvu v oblaku so vam na voljo napotki glede vsebine pogodbe za take storitve.Prijazen pozdrav.Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenkaPripravila Jelena Burnik, državna nadzornica za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026