Nadzor izvajalcev zamenljivih storitev glede ZVOP s strani Pošte po 32 ZPSto - IPRS

Nadzor izvajalcev zamenljivih storitev glede ZVOP s strani Pošte po 32 ZPSto + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.02.2012 Številka: 0712-1/2012/352 Kategorije:Razno --> Kategorije: Razno Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je
4. 2012 prejel vaše elektronsko sporočilo, v katerem navajate, da je Pošta Slovenije izvajalec univerzalne poštne storitve v RS. Iz
5. člena Zakona o poštnih storitvah (ZPSto-2) izhaja obveznost izvajalca univerzalne storitve, da nudi dostop do poštne infrastrukture ali storitev, zajetih v naboru univerzalne storitve izvajalcem zamenljivih storitev. V zvezi s tem je v letu 2010 Agencija za pošto in elektronske komunikacije RS (APEK) Pooblaščenca zaprosila za mnenje, in sicer, ali lahko oziroma ali mora izvajalec univerzalne storitve omogočiti dostop do poštnih predalov in informacij o spremembi naslova (de facto naj bi šlo za predajo baze osebnih podatkov v fizični in elektronski obliki). Pooblaščenec je v mnenjih št. 0712-321/2010/2 in št. 0712-317/2010/2 z dne 16.7.2010 zapisal, da mora izvajalec univerzalne storitve omogočiti dostop do navedenih baz, pri tem pa mora izvajalec zamenljivih storitev upoštevati vse pogoje, ki jih določi Pošta Slovenije v skladu z določili o tajnosti poštnih pošiljki iz ZPSto-2 in zavarovanju osebnih podatkov iz ZVOP-
6. Zato je Pošta Slovenije v Splošnih pogojih za dostop do poštnega omrežja določila pogoje, ki jih mora izpolnjevati izvajalec zamenljivih storitev (v celoti naj bi bili objavljeni na spletnem naslovu: http://www.posta.si/opis-storitve/495/Zakon-in-splosni-pogoji), citirali pa ste naslednje določbe: »Pošta omogoči dostop do poštnega omrežja oziroma do delov poštne infrastrukture, če: • nameravani dostop izvajalca ne ogroža izvajanja univerzalne poštne storitve, • z zahtevanim dostopom ni ogrožena zaupnost poštnih pošiljk ali varstvo osebnih podatkov . V primeru dostopa do baze imetnikov poštnih predalov Pošta omogoči dostop le v primeru, ko izvajalec izpolnjuje naslednje pogoje: • sam izvaja prenos pošiljk oziroma dostopa do omrežja na način določen v
7. alineji petega odstavka
8. člena teh splošnih pogojev, • ima sprejet interni akt, ki upoštevaje določila in vsebino tega in naslednjega odstavka tega člena, vsebuje konkretizirane postopke in ukrepe, s katerimi bo zavaroval osebne podatke, ki jih bo pridobil od Pošte na podlagi
9. člena ZPSto-2, sklenjene pogodbe in teh splošnih pogojev. Interni akt je priloga in sestavni del pogodb, sklenjenih med Pošto in izvajalci, • zagotavlja vsaj takšne postopke oziroma raven zavarovanja, kot jo za osebne podatke, ki so del baze imetnikov poštnih predalov zagotavlja Pošta oziroma jih predpisuje Zakon o varstvu osebnih podatkov, ki so konkretizirani v tem členu, • zagotavlja varovanje podatkov o dejstvih in okoliščinah poštnega prometa, povezanih s prenesenimi pošiljkami, v zvezi s katerimi pride do obdelovanja osebnih podatkov, pridobljenih na podlagi posredovane baze imetnikov poštnih predalov, v skladu s ZPSto-2 in Zakonom o varstvu osebnih podatkov. Izvajalec mora v primeru, da dostopa do baze imetnikov poštnih predalov, ki vsebuje osebne podatke, zagotavljati ustrezne ukrepe iz
10. člena Zakona o varstvu osebnih podatkov, ki obsegajo: • varovanje prostorov ter sistemske programske opreme, vključno z vhodno-izhodnimi enotami, v katerih se nahajajo osebni podatki, z organizacijskimi ter fizičnimi in tehničnimi ukrepi, ki onemogočajo nepooblaščenim osebam dostop do podatkov, s čimer se prepreči nepooblaščena obdelava, iznos, razkritje, spreminjanje ali uničenje osebnih podatkov, • varovanje aplikativne programske opreme, s pomočjo katere se obdelujejo osebni podatki, z omogočanjem dostopa do programske opreme samo za to vnaprej določenim pooblaščenim osebam pri izvajalcu oziroma vnaprej določenim pooblaščenim osebam, ki za izvajalca po pogodbi opravljajo servisiranje računalniške in programske opreme (uporaba gesel za dostop, nadzorovano spreminjanje, popravljanje in dopolnjevanje programske opreme, uporaba protivirusnih programov in podobno), • preprečevanje nepooblaščenega dostopa do osebnih podatkov pri njihovem prenosu, ne glede na način prenosa (fizičen ali s pomočjo telekomunikacijskih sredstev oziroma omrežij) z uporabo ustreznih organizacijskih ter fizičnih in tehničnih ukrepov, • zagotavljanje učinkovitega načina blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov, shranjenih na računalniških ali klasičnih medijih, z uporabo metod, ki onemogočijo ponovno restavracijo oziroma čitanje izbrisanih oziroma uničenih osebnih podatkov • omogočanje poznejše ugotavljanje, kdaj so bili posamezni osebnih podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov, z uporabo ustrezne aplikativne programske opreme oziroma vodenje ustreznih fizičnih evidenc, ki jih določa Zakon o varstvu osebnih podatkov. Pošta lahko na podlagi petega odstavka
11. člena ZPSto-2 zavrne dostop do poštnega omrežja oziroma poštne infrastrukture, če je z dejanji izvajalca ogroženo varstvo osebnih podatkov, z namenom izpolnjevati navedeno pravico lahko Pošta po predhodni najavi opravi pregled izpolnjevanja zakonskih zahtev po zavarovanju osebnih podatkov pri izvajalcu.« APEK je na Pošto Slovenije naslovil zahtevo po brisanju zadnjega dela povedi, ki glasi: »z namenom izpolnjevati navedeno pravico lahko Pošta po predhodni najavi opravi pregled izpolnjevanja zakonskih zahtev po zavarovanju osebnih podatkov pri izvajalcu.«, pod pretnjo globe. Svojo zahtevo je APEK utemeljil z navedbo, da Pošta Slovenije nima te pravice in da bi s tem tudi posegala v pristojnosti tako APEK, kot tudi Informacijskega pooblaščenca. Pošta Slovenije naj bi ustrezno spremenila besedilo splošnih pogojev, vendar se sprašujete, kako lahko izvajalec univerzalne storitve zavrne dostop na podlagi ogrožanja zaupnosti poštnih pošiljk ali varstva osebnih podatkov iz petega odstavka
12. člena ZPSto-2, če dejansko tega pri izvajalcu zamenljive storitve ne sme preveriti. Zakonodajalec je uporabil besedo »ogrožanje«, to je stanje, ko še ni kršitve predpisov, ki pa ga po vašem mnenju razen ob nadzornih pregledih ni mogoče ugotoviti. Menite, da je takšno določilo zakona vsebinsko prazno in pravzaprav neuporabno, čeprav menite, da tako jezikovna kot namenska razlaga te določbe dajeta izvajalcu poštnih storitev pooblastilo preverjati, ali je ravnanje izvajalcev s posredovanimi bazami skladno s predpisi. Pooblaščenca prosite za mnenje, ali je Pošta do takšnega preverjanja pri izvajalcih zamenljivih storitev upravičena (pri tem niti ne želite biti v vlogi nadzornika, ampak ste takšno besedilo splošnih pogojev zapisali zaradi večkrat citiranega zakonskega določila). Če do tega ni upravičena, Pooblaščenca prosite za mnenje, na kakšen način, naj Pošta izvaja določbo petega odstavka
13. člena in vsaj poskusi zagotoviti ustrezno ravnanje izvajalcev zamenljivih storitev s posredovanimi osebnimi podatki, ki hkrati predstavljajo tudi podatke, ki sodijo pod pisemsko tajnost. Menite, da bi bila morda ustrezna rešitev obvestilo Pooblaščencu, vsakič ko za tak dostop zaprosi nov izvajalec zamenljive storitve, saj gre pri bazi poštnih predalov in pri informacijah o spremembi naslovov za ogromne količine podatkov, ki se dnevno spreminjajo in je potrebno njihovo dnevno posredovanje. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
14. tč.
15. odst.
16. čl. Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
17. čl. Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Pooblaščenec meni, da izvajalec univerzalne storitve nima pooblastil niti dolžnosti, da bi izvajalca zamenljivih storitev nadzoroval pri obdelavi osebnih podatkov. Kadar izvajalec univerzalnih storitev meni, da bi omogočanje dostopa ogrozilo varnost osebnih podatkov, je upravičen in dolžan izvajalcu zamenljivih storitev zavrniti dostop do osebnih podatkov – bodisi trajno, bodisi začasno. O zavrnitvi dostopa je na podlagi
18. odst.
19. člena ZPSto-2 v 30 dneh od zavrnitve dostopa dolžan obvestiti APEK. V primeru, da zazna, da izvajalec zamenljivih storitev krši predpise s področja varstva osebnih podatkov, mora pri Pooblaščencu podati prijavo. O b r a z l o ž i t e v: Pooblaščenec uvodoma pojasnjuje, da se v tem mnenju omejuje zgolj na tiste vidike dostopa do delov poštne infrastrukture ali storitev, zajetih v naboru univerzalne storitve, ki so v zvezi z obdelavo osebnih podatkov, saj za obravnavanje drugih vidikov razmerij med izvajalcem univerzalnih storitev in izvajalci zamenljivih storitev ni pristojen. Odgovor na vaše vprašanje je najbolj nazorno mogoče podati predvsem preko opredelitve narave pogodbe, ki jo je na podlagi
20. odst.
21. člena ZPSto-2 izvajalec univerzalnih storitev dolžan skleniti z izvajalci zamenljivih storitev, ki zahtevajo dostop v okviru
22. odst.
23. člena ZPSto-
24. Pooblaščenec sicer ni pristojen za splošno razlago narave pogodbenega razmerja, ki na tak način nastane med izvajalcem univerzalne storitve in izvajalcem zamenljive storitve, vendar je glede presojanja obveznosti obeh izvajalcev po ZVOP-1 nujno opredeliti za kakšno razmerje sploh gre. Z vidika ZVOP-1 je namreč bistveno, kdo je upravljavec posredovanih osebnih podatkov – torej je bistveno vprašanje, ali izvajalec zamenljive storitve sam postane upravljavec osebnih podatkov, ali ga je morebiti treba šteti kot pogodbenega obdelovalca. V primeru, da je tako izvajalca univerzalne storitve kot tudi izvajalca zamenljive storitve treba šteti za upravljavca, vsak od njiju ločeno odgovarja za zakonitost obdelave osebnih podatkov. V tem primeru oba izvajalca po posredovanju osebnih podatkov glede obdelave osebnih podatkov nista več v nikakršnem razmerju. V primeru pa, da je za upravljavca osebnih podatkov treba šteti le izvajalca univerzalne storitve, izvajalec zamenljive storitve pa je le pogodbeni obdelovalec osebnih podatkov, velik del odgovornosti za zakonitost obdelave osebnih podatkov s strani izvajalca zamenljive storitve nosi tudi izvajalec univerzalne storitve, skladno s tem pa bi imel po določbah ZVOP-1 (
25. odst.
26. člena) izvajalec univerzalne storitve tudi pravico in dolžnost nadzorovati izvajalca zamenljivih storitev glede izvajanja postopkov in ukrepov iz
27. člena ZVOP-
28. Določbe
29. člena ZPSto-2 vsebinsko sicer nekoliko nakazujejo na vzpostavitev razmerja upravljavec – pogodbeni obdelovalec, vendar je ob natančnem pregledu zakonodaje (zlasti ob primerjavi določb ZPSto-2 z določbo
30. člena ZVOP-1) treba zaključiti, da je vsak od obeh izvajalcev (izvajalec univerzalnih storitev in izvajalec zamenljivih storitev) pri obdelavi osebnih podatkov povsem samostojen upravljavec. Ob primerjavi določb ZVOP-1, ki se nanašajo na pogodbeno obdelavo (
31. člena ZVOP-1), z določbami
32. člena ZPSto-2, hitro ugotovimo, da pri posredovanju osebnih podatkov v okviru dostopa do delov poštne infrastrukture ali storitev, zajetih v naboru univerzalne storitve, po
33. odst.
34. člena ZPSto-2 ne gre za razmerje pogodbene obdelave osebnih podatkov. Izvajalec zamenljive storitve namreč pridobljene osebne podatke obdeluje v lastnem imenu in za lasten račun, zato nosi odgovornost za zakonitost obdelave osebnih podatkov v celoti in izključno sam – tudi za lastno izvajanje postopkov in ukrepov iz
35. člena ZVOP-
36. Pooblaščenec meni, da je treba določbo
37. odst.
38. člena ZPSto-2 razumeti predvsem na način, da je izvajalec univerzalne storitve pri arbitrarnosti odločanja o dostopu do osebnih podatkov v okviru
39. odst.
40. člena ZPSto-2 izrazito omejen in lahko dostop do osebnih podatkov zavrne le v izjemnih primerih – torej takrat, ko bi takšen dostop do osebnih podatkov ogrozil njihovo varstvo. Varnost osebnih podatkov je lahko ogrožena na primer zaradi slabega zavarovanja na strani izvajalca zamenljivih storitev ali zaradi slabega zavarovanja med samim dostopom. Slabo zavarovanje je lahko trenutne (na primer izpad sistema) ali dolgotrajne narave (na primer neustrezna določitev postopkov), v določenih primerih pa je razlog za slabo zavarovanje pri dostopu lahko tudi na strani izvajalca univerzalne storitve (na primer izpad varnostnega programa, ki bi ogrozil varnost osebnih podatkov, če bi v času nedelovanja izvajalec zamenljivih storitev dostopal do osebnih podatkov). Pooblaščenec določbo
41. odst.
42. člena ZPSto-2 torej razume tako, da ima izvajalec univerzalne storitve pravico in dolžnost zavrniti dostop do podatkov takrat, kadar meni, da bi tak dostop lahko ogrozil varstvo osebnih podatkov (že ob sklenitvi pogodbe ali šele kasneje ob nastanku razlogov; dostop pa lahko zavrne za določen ali nedoločen čas), vendar pa nima nobenih zakonskih pooblastil ali dolžnosti, da bi izvajalca zamenljivih storitev pri obdelavi osebnih podatkov nadzoroval. Pri zavrnitvi dostopa do osebnih podatkov gre za preventivni ukrep, ki je usmerjen predvsem v zakonitost obdelave osebnih podatkov s strani samega izvajalca univerzalne storitve. Če izvajalec univerzalne storitve meni, da izvajalec zamenljivih storitev pri obdelavi osebnih podatkov krši predpise s področja varstva osebnih podatkov, lahko pri Pooblaščencu vloži prijavo. Vsekakor pa glede priprave splošnih pogojev in pogodbe še vedno veljajo priporočila, ki jih je Pooblaščenec podal že v mnenju št. 0712-321/2010/2 oziroma mnenju št. 0712-317/2010/
43. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026