Objava podatkov o zaščiti računalniškega sistema v medijih + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 06.09.2007 Številka: 0712-818/2007/2 Kategorije:Zavarovanje osebnih podatkov --> Kategorije: Zavarovanje osebnih podaktov Spoštovani, prejeli smo vašo elektronsko pošto z dne 5.9.
- Spraševali ste: Zanima me, ali je tretji osebi dovoljeno v medijih objaviti obliko zaščite računalniškega sistema v podjetju in ali je sporno objaviti ranljivosti dotičnih oblik zaščite, saj posledično to pomeni, da takšna objava omogoči pridobivanje osebnih informacij o udeležencih v omenjenem računalniškem sistemu vsem, ki jih to zanima. Povedali ste mi, da oblika zaščite ni osebna informacija, vendar nastaja problem, ker ravno s to zaščito podjetja varujejo osebne informacije uporabnikov sistema, z razkritjem načinov varovanja in ranljivosti teh oblik na določenemu sistemu, pa avtorji na široko odpirajo pot do osebnih informacij. Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/2004 in 113/2005, 51/07 – ZUstS-A in 67/07, v nadaljevanju ZVOP-1) ter
- člena Zakon o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Pooblaščenec uvodoma podaja obrazložitev členov ZVOP-1, ki urejajo zavarovanje zbirk osebnih podatkov.
- člen ZVOP-1 ureja zavarovanje zbirk osebnih podatkov, in sicer gre za organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
- varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
- varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
- preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
- zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
- omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.
- odstavek
- člena dalje določa, da morajo biti postopki in ukrepi za zavarovanje osebnih podatkov ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo.
- člen ZVOP-1 določa dolžnost zavarovanje in sicer so upravljavci osebnih podatkov in pogodbeni obdelovalci dolžni zagotoviti zavarovanje osebnih podatkov na način iz
- člena tega zakona. Upravljavci osebnih podatkov v svojih aktih predpišejo postopke in ukrepe za zavarovanje osebnih podatkov ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke. Pooblaščenec ugotavlja, da podatki o tem, kakšne varnostne mehanizme uporablja zavezanec in katere so ranljivosti teh mehanizmov, niso osebni podatki, zato ti podatki ne uživajo varstva po ZVOP-
- Osebni podatek je namreč v skladu s
- točko
- člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen. Posameznik je v skladu z
- tč.
- člena ZVOP-1 določena ali določljiva fizična oseba, na katero se nanaša osebni podatek. Fizična oseba je določljiva, če se jo lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa. Ne glede na navedeno pa se Pooblaščenec strinja z vašim mnenjem, da javna objava tovrstnih podatkov potencialno lahko omogoči napadalcem, da kompromitirajo varnostne mehanizme zavezanca s pomočjo takšnih informacij, vendar pa sta tu pomembni predvsem dve vprašanji. Prvič, na kakšen način je tisti, ki je te podatke objavil, do njih prišel in drugič, kdo je odgovoren v primeru, da na podlagi javno razkritih varnostnih pomanjkljivosti pride do zlorabe osebnih podatkov. Pooblaščenec pojasnjuje, da odgovor na prvo vprašanje ne sodi v njegovo pristojnost in sicer ne glede na to, ali je tisti, ki je podatke o varnostnih pomanjkljivostih javno objavil, do njih prišel do njih na zakonit ali nezakonit način. Pravni postopki, ki jih lahko sprožite, pa so odvisni predvsem od načina pridobitve teh podatkov. Kot primer lahko navedemo, da se neupravičen vstop v informacijski sistem po določbi
- člena Kazenskega zakonika (Ur.l. RS, št. 95/2004 - uradno prečiščeno besedilo; KZ-UPB1) šteje za kaznivo dejanje, za katerega je zagrožena denarna ali zaporna kazen. Lahko gre tudi za razkritje poslovne skrivnosti - če je oseba obravnavane podatke javno objavila in je s takšno objavo oškodovancu nastala škoda, lahko ta od povzročitelja, skladno z določbami
- in
- člena Obligacijskega zakonika (Uradni list RS, št. 83/01 s spremembami), zahteva tudi odškodnino. Glede drugega vprašanja pa je Pooblaščenec mnenja, da je skladno z zahtevami po zavarovanju osebnih podatkov, kot so opredeljene v
- členu ZVOP-1, upravljavec zbirk(e) osebnih podatkov dolžan poskrbeti za sprejem in izvajanje organizacijskih, tehničnih in logično-tehničnih postopkov in ukrepov, s katerimi se varujejo osebni podatki. Mednje vsekakor sodijo ukrepi, s katerimi se varujejo informacijski sistemi, v katerih oz. s pomočjo katerih se obdelujejo osebni podatki. V primeru, da upravljavec ni sprejel ustreznih ukrepov (ti morajo biti po določbi
- odstavka
- člena ZVOP-1 ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo), je kršil določbe omenjenega člena in je lahko na podlagi inšpekcijskega in prekrškovnega postopka sankcioniran v skladu z zakonom. Kršitev določb o zavarovanju osebnih podatkov določa
- člen ZVOP-1 in sicer se z globo od 4170 EUR do 12510 EUR kaznuje za prekršek pravna oseba, samostojni podjetnik posameznik ali posameznik, ki samostojno opravlja dejavnost, če v skladu s tem zakonom obdeluje osebne podatke in ne zagotovi zavarovanja osebnih podatkov (
- in
- člen), kaznujeta pa se tudi odgovorna oseba pravne osebe ali samostojnega podjetnika posameznika, odgovorna oseba državnega organa ali organa samoupravne lokalne skupnosti ali posameznik. Ne glede na navedeno je Pooblaščenec mnenja, da pri tistih, ki tovrstne podatke objavljajo, ostaja vsaj vprašanje moralne odgovornosti in meni, da je primerno, da se v takšnih primerih z ugotovitvami o varnostnih pomanjkljivostih najprej sooči posameznika ali organizacijo, pri kateri so bile odkrite pomanjkljivosti, in se mu omogoči, da napako pred javno objavo v razumnem rok odpravi. V dobi informacijsko-komunikacijskih tehnologij se namreč nove varnostne pomanjkljivosti pojavljajo zelo hitro in nekateri upravljavci zaradi kadrovskih omejitev ali pomanjkanja znanja enostavno ne uspejo slediti vsem novim pomanjkljivostim, zato je potrebno zlasti takšnim omogočiti, da ob opozorilu v razumnem roku te pomanjkljivosti odpravijo. Vsekakor pa se lahko izrazita malomarnost ali neodzivnost na tovrstna opozorila, v postopku inšpekcijskega nadzora ovrednoti kot nezadosten ukrep za zavarovanje osebnih podatkov in skladno z zakonom sankcionira. Priporočamo vam, da si ogledate tudi druga mnenja s področja varstva osebnih podatkov, ki so objavljena na spletni strani http://www.ip-rs.si/kazalo-kontakt-iskalnik/iskalnik/, po kateri lahko iščete s pomočjo naprednega iskalnika. Prijazen pozdrav, Informacijski pooblaščenec Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026