Obvezna hramba gesel od zaposlenih + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 30.09.2015 Številka: 0712-1/2015/2458 Kategorije:Delovna razmerja, Moderne tehnologije, Razno --> Kategorije: Delovna razmerja, Moderne tehnologije, Razno Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem navajate, da kot informatik pripravljate interna pravila o rabi službenih računalnikov. Pravilnik naj bi vključeval tudi določbo, da delodajalec vodi seznam vseh uporabniških imen in gesel za dostop do službenih računalnikov, ter da se mora kopija tekočih gesel hraniti v zapečatenih kuvertah v ognjevarni omari, kjer bo na voljo zaradi »zavarovanja uporabe« oz. za primere, če bi bilo kaj narobe in bi bilo treba »dostopati do vsebin na uporabniških računalnikih«. Nato bi se s pravilnikom seznanilo vse zaposlene, ki bi to tudi potrdili s svojim podpisom. Prosite za mnenje IP glede dopustnosti določbe o obvezni hrambi osebnih gesel, s katerimi uporabniki dostopajo do službenih računalnikov (oz. do službene pošte in do drugih storitev, do katerih so upravičeni) v pravilniku o rabi službenih računalnikov.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke
- odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Določitev obvezne hrambe uporabniških gesel v izvorni obliki (t.i. mandatory key escrow) s strani delodajalca, razen v posebej utemeljenih primerih, predstavlja kršitev določb ZVOP-1 o sorazmernosti in namenskosti obdelave osebnih podatkov oz. o zavarovanju osebnih podatkov. Prav tako je takšna določitev nesprejemljiva s stališča informacijske varnosti, kot jo določajo veljavni mednarodni in domači standardi.Posledično ni mogoče šteti, da bi bila hramba gesel zaposlenih v surovi obliki potrebna za izvrševanje pravic in obveznosti iz delovnega razmerja oz. v zvezi z delovnim razmerjem (
- člen ZDR-1), zavoljo česar organizacije zanjo tudi nimajo pravne podlage. Zato je treba šteti, da pridobivanje izjav o seznanitvi zaposlenih s takšno določbo, ali celo soglasij zaposlenih k tej določbi, ne more imeti pravnega učinka.IP posledično močno odsvetuje določitev obvezne hrambe uporabniških gesel v surovi obliki.Obrazložitev:IP je v preteklosti že presojal obveznosti upravljavca osebnih podatkov (tukaj delodajalca) pri upravljanju z uporabniškimi gesli. Tako je IP v primeru presojanja dolžnih ukrepov ponudnika določene spletne storitve glede hrambe uporabniških gesel odločil, da so gesla, še zlasti, če so jih določili zaposleni sami oz. če so jih imeli pravico sami spremeniti, osebni podatek v smislu
- in
- tč.
- člena ZVOP-1, ker se nanašajo na določenega posameznika (fizično osebo, kot uporabnika). To drži še toliko bolj, ker ta gesla omogočajo pridobitev dostopa do nadaljnjih osebnih podatkov, ki se nanašajo na njegovega imetnika in ki so dosegljivi skozi informacijsko sredstvo (računalnik, e-poštni račun, idr.), ki je zavarovano z geslom. To pomeni, da ni dovoljena hramba uporabniških gesel v surovi obliki, upoštevajoč konkretne okoliščine, pa je lahko sprejemljiva hramba gesel, ki so s pomočjo kriptografskih metod pretvorjena v neberljivo obliko.Določila mednarodno veljavni standardov na področju varovanja informacij in uveljavljene dobre prakse na tem področju, kot so ISO/IEC 27002:2005 (točki 11.2.3 in 11.5.5), COBiT 4.1 (točki DS5.3 in DS5.4) ter PCI DSS v1.2 (kontrolna točka 8.4), ki so oblikovani na podlagi dolgoletnih in mednarodno potrjenih raziskav, analiz tveganj, priporočil, standardov in dobrih praks, ugotavljajo in zahtevajo, da se gesla v podatkovnih bazah hranijo v takšni obliki, ki onemogoča neposredno seznanitev z geslom. Gesla morajo biti shranjena v takšni obliki, da gesla nihče ne more prebrati, razkriti ali posredovati naprej, ne glede na njegova pooblastila. Mogoče je zgolj preveriti, ali določeno geslo, ki ga je vnesel uporabnik, ustreza tistemu, ki je shranjeno v podatkovni bazi, in sicer tako, da se to geslo spusti skozi isti kriptografski algoritem in potem primerja s shranjenim geslom. Dalje, v primeru pozabljenega ali izgubljenega gesla lahko pooblaščena oseba (npr. sistemski administrator ali administrator podatkovne baze), obstoječe geslo povozi in uporabniku dodeli novega, ne sme pa imeti možnosti pozabljenega gesla prebrati v bazi in ga posredovati uporabniku.Navedeni argumenti se sicer v prvi vrsti nanašajo na neposrednega upravljavca gesel (se pravi, informatika, oz. upravljavce drugih informacijskih sistemov, ki zaposlenim dodeljujejo gesla), vendar pa smiselno (argumentum a simili ad simile) velja tudi za delodajalca kot takega, saj prepovedujejo, da bi organizacija poleg opisanega sistema hrambe gesel ustvarila še ločene in vzporedne zbirke dodeljenih uporabniških gesel, oz. zahtevala, da zaposleni in informatiki v to zbirko sporočajo tudi morebitne kasnejše spremembe gesel. Skratka, navedeni tehnični standardi na splošno prepovedujejo politiko obvezne hrambe kopije surovih gesel (angl. mandatory key escrow, https://en.wikipedia.org/wiki/Key_escrow).Obvezna hramba je sicer lahko smiselna v določenih, omejenih primerih, npr. kar zadeva dostope do razvojnih in produkcijskih strežnikov, API ključev in podobnih sredstev, ki prvenstveno pripadajo organizaciji, ne posameznemu njenemu uporabniku. Ni pa smiselna na splošno, in še posebej ne v okoljih, kjer iz narave dela zaposlenih ne izhajajo posebna varnostna tveganja.Splošna obvezna hramba surovih gesel zatorej po mnenju IP predstavlja kršitev določb ZVOP-1 o sorazmernosti obdelave osebnih podatkov (
- člen), namenskosti obdelave (
- člen), oz. o zavarovanju osebnih podatkov (
- člen). Tretji člen ZVOP-1 tako določa, da morajo biti osebni podatki, ki se zbirajo oz. ki se obdelujejo, »ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo«. Upoštevaje navedena mednarodna priporočila in standarde, ki vsi govorijo proti hrambi surovih gesel, tako po mnenju IP nikakor ni mogoče šteti, da bi bila takšna hramba primerna. Dalje, namen hrambe, ki ga navaja pravilnik, je namreč »zavarovanje uporabe« oz. dostop do uporabniških podatkov, če bi šlo kaj »narobe«. Vse navedeno je mogoče zagotoviti z milejšim ukrepom asistence administratorja in ob spoštovanju ustreznih postopkov (več o tem si lahko preberete v mnenjih IP glede pravice delodajalca do nadzora službenih računalnikov oz. e-pošte, https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/) in torej brez neposrednega dostopa do gesla. V kolikor bi bil namen delodajalca v pridobitvi neposrednega in nenadzorovanega dostopa do službenih računalnikov nekaterih zaposlenih, je to v neposrednem nasprotju z določbo
- člena ZVOP-1, ki določa, da se osebni podatki lahko zbirajo »le za določene in zakonite namene«. Končno
- člen ZVOP-1 upravljavcu nalaga številne ukrepe zavarovanja osebnih podatkov, med katerimi je eden ključnih prav politika gesel. Ta politika (oz. postopki in ukrepi v zvezi z njo) morajo biti v skladu s
- odst. tega člena »ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo«. Upoštevaje zgoraj navedena mednarodna priporočila, pa so ustrezni ukrepi kvečjemu tisti, ki upravljavcu preprečujejo vodenje glavne ali stranske zbirke gesel v surovi obliki.Upoštevaje torej, da hramba gesel v surovi obliki na splošno ni v skladu z ZVOP-1, je treba šteti tudi, da ne predstavlja obdelave, ki bi bila potrebna za izvrševanje pravic in obveznosti delodajalca do zaposlenih. Posledično tudi ni mogoče šteti, da bi Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr. in 47/15 – ZZSDT, v nadaljevanju ZDR-1) predstavljal veljavno pravno podlagi za zbiranje in obdelavo teh gesel, s tem pa tudi ni mogoče šteti, da bi delodajalec imel veljavno pravno podlago (
- člen v primeru javnega oziroma
- člen ZVOP-1 v primeru zasebnega sektorja) za sprejem takšne določbe pravilnika. Iz tega razloga bi bile morebitne izjave zaposlenih o seznanitvi s to politiko, ali celo izjave o soglasju s to politiko, brez pravnega učinka.Iz navedenih razlogov številnih kršitev tako ZVOP-1, ZDR-1 kot tudi pripadajočih mednarodnih standardov s področja informacijske varnosti IP torej meni, da bi bilo določilo internega pravilnika o obvezni hrambi uporabniških gesel za dostop do službenih računalnikov v surovi obliki v neskladju z domačo zakonodajo. Organizacija, ki bi sprejela takšen pravilnik oz. bi ga izvajala, pa bi tvegala inšpekcijsko oz. prekrškovno ukrepanje IP, v skladu z zakonodajo.S pozdravi,Informacijski pooblaščenec:Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenkaPripravil:Igor Kolar, informatik pri IP. O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026