Mnenje glede dostopa do centralnega registra psov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 26.01.2012 Številka: 0712-11/2012/2 Kategorije:Pridobivanje OP iz zbirk --> Kategorije: Pridobivanje OP iz zbirk Informacijski pooblaščenec (v nadaljevanju: Pooblaščenec) je dne 11.1.2012 prejel vaše zaprosilo za podajo mnenja glede predloga Uprave uniformirane policije pri Generalni policijski upravi (UUP GPU) za dodelitev generičnih dostopnih pravic posameznemu Operativno komunikacijskem centru (OKC; skupaj 8) za dostop do aplikacije CRPsi, v kateri se vodi Centralni register psov. Zanima vas, ali je dopustna uporaba generičnih uporabniških pooblastil. Ker avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) in
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Pooblaščenec uvodoma opozarja, da v konkretnem primeru, glede na informacije, ki ste nam jih podali, zlasti glede načina dostopa do aplikacije CRPsi, ne gre za povezovanje zbirk osebnih podatkov v smislu določb
- člena ZVOP-1, saj naj bi se po podanem opisu predstavniki OKC morali posebej prijaviti v aplikacijo CRPsi in naj ne bi šlo za avtomatsko povezavo zbirk osebnih podatkov policije in Centralnega registra psov. Ker so pogoji za povezovanje zbirk osebnih podatkov po določbah
- člena strožji kot pa za pridobivanje osebnih podatkov na način, kot ste ga opisali, smo uvodoma želeli opozoriti na to razliko. Glede generičnih uporabniških pooblastil uvodoma poudarjamo, da ta praviloma po določbah mednarodno sprejetih standardov s področja varovanja informacij niso dopustna, saj onemogočajo enolično identifikacijo uporabnika. Dopustna so le izjemoma, ko npr. zaradi narave dela in nujnosti dostopa do podatkov ni sorazmerno zahtevati enolične identifikacije posameznika z vnosom enoličnega uporabniškega imena in gesla (npr. delovna postaja znotraj varovanih prostorov urgence) oziroma ko je analiza tveganja pokazala, da je tveganje sprejemljivo.
- točka prvega odstavka
- člena ZVOP-1 določa, da morajo postopki in ukrepi za zavarovanje osebnih podatkov omogočati poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. Navedeno pomeni, da je treba zagotoviti enolično identifikacijo posameznika, ki je obdeloval osebne podatke, pri čemer pa ZVOP-1 ne določa načina, kako to zagotoviti. Posledično menimo, da je v konkretnem primeru dopustno uporabiti tudi generično uporabniško ime, če je to res potrebno in če obstajajo drugi postopki, s katerimi se lahko zagotovi enolična identifikacija posameznika, ki je dostopal do osebnih podatkov. Takšen postopek lahko npr. poteka tako, da za uporabo generičnega uporabniškega pooblastila odgovarja ena sama oseba, ki mora od drugih uporabnikov, ki bi želeli uporabiti generično uporabniško pooblastilo, zahtevati in zabeležiti datum in čas dostopa, identifikacijo uporabnika in namen dostopa (načelo »štirih oči«). Pri tem pa opozarjamo, da mora biti takšna sledljivost verodostojna, kar se lahko zagotoviti bodisi s tehničnimi ukrepi, s katerimi se preprečuje spremembe, brisanje ali neaktivnost sledenja, ali pa z organizacijskimi ukrepi (npr. ob vsaki uporabi s podpisom odgovorne osebe za generično geslo in osebe, ki je zahtevalo uporabno gesla, datum in čas dostopa, ime in priimek osebe, ki je dostopala in namen dostopa). Opozarjamo, da evidence sledljivosti, ki ne prestane testa avtentičnosti in celovitosti, ni mogoče šteti kot zadostno glede na zahteve
- točka prvega odstavka
- člena ZVOP-
- Običajna evidenca, kjer bi se vpisal samo posamezni uporabnik (ali pa tudi ne), temu ne zadosti. Kateri način bo izbran, je tako odvisno od dogovora med zadevnima strankama, kot smo pa opozorili, je generična uporabniška pooblastila dopustno uporabiti le v kombinaciji z avtentično in celovito revizijsko sledjo, ki omogoča verodostojno in enolično identifikacijo vsakega dostopa do osebnih podatkov in preprečuje tajenje dostopov. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026