(Ne)ustrezno zavarovanje kopiranja sms sporočil v okviru storitve Moj telekom - IPRS

(Ne)ustrezno zavarovanje kopiranja sms sporočil v okviru storitve Moj telekom + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 20.10.2011 Številka: 0712-1/2011/2758 Kategorije:Telekomunikacije in pošta --> Kategorije: Telekomunikacije in pošta Informacijski pooblaščenec je 11.10.2011 po elektronski pošti prejel vaš dopis v katerem opozarjate, da naj bi družba Mobitel v okviru spletne storitve Moj telekom uvedla možnost kopiranja in posredovanja sms sporočil, ki jih uporabnik prejme ali pošlje na oziroma iz svoje telefonske številke. Opozorili ste, da je mogoče to storitev aktivirati s fiktivnim uporabniškim profilom in se na ta način dokopati do kopij sms sporočil poljubnega uporabnika Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke
4. odstavka
5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter
6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Zasebnost telefonskih komunikacij (sem sodijo tako telefonski klici kakor tudi kratka »sms« sporočila) je v Republiki Sloveniji varovana že z ustavo, natančneje pa s posameznimi zakoni: ZEKom, ZVOP-1 in KZ. Prestrezanje telefonske komunikacije brez ustrezne zakonske podlage predstavlja kršitev
7. člena KZ, kar pomeni, da posameznik nikakor ne sme – tudi če bi bila ta možnost zaradi malomarnosti telefonskega operaterja omogočena – prisluškovati tujim telefonskim pogovorom ali prestrezati sms sporočil. Neustrezna zaščita telefonske komunikacije s strani operaterja kot upravljavca osebnih podatkov pa predstavlja kršitev
8. člena ZVOP-
9. Pooblaščenec je z reproduciranjem okoliščin, ki ste jih navedli, natančno preučil vaš primer in pri tem ugotovil, da zaščita osebnih podatkov s strani upravljavca z vidika
10. člena ZVOP-1 sicer ni optimalna, je pa zadostna, saj je za vstop v uporabnikov profil in za posledično aktivacijo funkcije, ki pošilja kopije smsjev na poljubno telefonsko številko, potrebno razpolagati z uporabnikovo telefonsko številko in njegovim geslom, razen tega pa uporabnik ob aktivaciji omenjene storitve prejme na svoj telefon obvestilo. Prijava v poljuben uporabnikov profil s funkcijo »nimam gesla« je sicer mogoča, vendar zgolj pod pogojem, da v tistem trenutku fizično posedujemo uporabnikov prenosni telefon, saj se rezervno geslo (za reaktivacijo) pošlje neposredno na uporabnikov prenosni telefon (geslo se skratka pošlje na telefonsko številko, ki jo vnesemo in omogoča prijavo v tisti uporabniški profil, na katerega je telefonska številka registrirana). Več o samem procesu prijave in spornih točkah si lahko preberete spodaj v obrazložitvi. Preizkus: Zaradi vašega opozorila o neustreznem varovanju osebnih podatkov s strani družbe Mobitel, bolj konkretno, o neustrezni zaščiti uporabniških profilov in posledično nezakoniti aktivaciji storitve pošiljanja kopij kratkih sporočil na poljubne telefonske številke, je Pooblaščenec izvedel preizkus, s katerim je skušal ugotoviti ali lahko storitev zares aktivira poljuben uporabnik za tako rekoč kogarkoli, ki ima pri Mobitelu zakupljeno telefonsko številko. Pooblaščenec je izvedel naslednje korake:
11. Prijavil se je v spletno storitev moj.telekom.si, kar je predpogoj uporabe ostalih storitev, mdr. kopiranja in posredovanja kratkih sporočil.
12. Pri tem je ugotovil, da je prijava v spletno storitev moj.telekom.si mogoča s fiktivnimi podatki.
13. Vendar pa storitev moj.telekom.si predstavlja šele prvi korak do ostalih storitev, in sicer Moj Telekom, Servisne strani Siol in Moj Mobitel.
14. Za prijavo v storitev Moj Mobitel, ki omogoča spreminjanje posameznih uporabniških nastavitev za konkretno telefonsko številko, in tudi kopiranje kratkih »sms« sporočil in njihovo posredovanje na poljubne telefonske številke, je potreben vnos konkretne telefonske številke Mobitelovega uporabnika in gesla, ki ga ima ta uporabnik.
15. Pooblaščenec je ob soglasju sodelavcev, ki jih uporabljajo, poskusil vnesti nekaj lastnih službenih telefonskih številk, vendar brez ustreznega gesla dostop v storitev Moj Mobitel ni bil mogoč.
16. Pooblaščenec je nato uporabil funkcijo »nimam gesla«, ki pošlje petmestno geslo (kombinacija črk in številk) na vneseno telefonsko številko. Z vnosom novega gesla, ki ga uporabnik prejme v obliki kratkega sporočila na svoj telefon oziroma na svojo telefonsko številko, je dostop v storitev Moj Mobitel omogočen.
17. Vendar novo geslo v obliki kratkega sporočila prispe na tisti telefon/telefonsko številko, ki je bila vnesena. Če npr. uporabnik vnese telefonsko številko svojega znanca, bo tisti znanec (njegov telefon) prejel novo geslo, ne pa uporabnik, ki je vnesel telefonsko številko svojega znanca. Če pa uporabnik vnese svojo telefonsko številko, bo geslo prejel on sam.
18. Profil v uvodni storitvi moj.telekom.si je sicer lahko fiktiven, vendar ne omogoča izvajanja nobenih sprememb v nastavitvah konkretnih uporabnikov – za te spremembe je potrebno poznati telefonsko številko uporabnika in njegovo geslo.
19. Do tega gesla bi se sicer nek fiktiven uporabnik lahko dokopal le tako, da bi v trenutku reaktivacije gesla (uporaba storitve »pozabil sem geslo«) fizično posedoval relevanten telefon (oziroma sim kartico) in iz njega odčital novo petmestno geslo. Brez fizičnega posedovanja (lahko sicer zgolj za nekaj minut) telefona oz. sim kartice na katero se nanaša telefonska številka, novega (reaktiviranega) gesla v smislu izigravanja Mobitelove spletne storitve ni mogoče pridobiti.
20. Razen tega aktivacija možnosti pošiljanja kopij kratkih sporočil na druge telefonske številke, ki jo je mogoče izvajati le znotraj storitve moj.telekom.si, uporabniku samodejno pošlje kratko sporočilo in ga s tem opozori, da je storitev omogočena.
21. člen ZVOP-1 zahteva od obdelovalcev osebnih podatkov (v tem primeru družbe Mobitel), da zagotovi ustrezne organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov. Pooblaščenec je s praktičnim preizkusom ugotovil, da je storitev pošiljanja kopij kratkih sporočil na poljubne telefonske številke lahko aktivirana le iz uporabniškega računa znotraj storitve Moj Mobitel, do katerega se lahko dostopa le z ustreznim geslom in telefonsko številko. Reaktivacijo gesla lahko sicer izvede katerikoli fiktivni uporabnik storitve moj.telekom.si, vendar pa se novo geslo pošlje na tisto telefonsko številko na katero se nanaša uporabniški račun storitve Moj Mobitel, in ne moj.telekom.si (ta profil je, kot je bilo večkrat povedano, lahko fiktiven)! Novo geslo tako prejme imetnik relevatne telefonske številke na svoj telefon – brez posedovanja telefona konkretnega uporabnika v času reaktivacije gesla pa fiktivni uporabnik ne more vstopiti v profil na storitvi Moj Mobitel in s tem aktivirati možnosti pošiljanja kopij kratkih sporočil na druge telefonske številke ali naslove elektronske pošte. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026