Pogodbena obdelava pri storitvah informacijske varnosti - IPRS

Pogodbena obdelava pri storitvah informacijske varnosti + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 19.05.2021 Številka: 07120-1/2021/290 Kategorije:Pogodbena obdelava podatkov, Skupni upravljavci --> Kategorije: Skupni upravljavci, Pogodbena obdelava podatkov Prejeli smo vaš dopis, v katerem nas zaprošate za podajo mnenja pogodbene obdelave pri storitvah informacijske varnosti. Kot ste pojasnili so v
3. členu Uredbe o informacijski varnosti v državni upravi (Uradni list RS, št. 29/18 in 131/20) določene naloge ministrstva (MJU) na področji informacijske varnosti. MJU pripravlja postopek izbire zunanjega izvajalca, z nalogo najem storitev s področja informacijske varnosti za projekt Podpora storitvam v operativno varnostnemu centru (SOC). Pri odzivanju na incidente informacijske varnosti se MJU lahko seznani z osebni podatki. Pogosto gre za ime in priimek, elektronski naslov, telefonska številka, IP naslov. Točen nabor osebnih podatkov je nemogoče vnaprej določiti. Zanima vas, kako v takem primeru popisati osebne podatke v evidenci dejavnosti obdelave. Prav tako vas zanima, kakšna je relacija ministrstva do zunanjega izvajalca. Zaprosilo za mnenje ste na podlagi telefonskega pogovora dopolnili z dodatnimi informacijami in sicer da MJU nekatere podatke lahko pridobi sam, predvsem tiste dnevnike prometnih podatkov, ki so vezani na omrežje HKOM, ki ga upravlja. Druge podatke pa pridobi bodisi s (prostovoljno) prijavo incidenta ali na zahtevo. Direktorat za informatiko MJU je tudi upravljalec nekaterih sistemov, ne pa vseh. Vseh sistemov ni mogoče v naprej predvideti, saj vsak dan nastajajo novi. Odgovornost za zbiranje in obdelavo teh podatkov je na skrbniku te zbirke. Pojasnili ste še, da je v vladni proceduri predlog, da se kadri in te naloge preselijo na Upravo RS za informacijsko varnost (URSIV). Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
4. točke prvega odstavka
5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Informacijski pooblaščenec (IP) poudarja, da v okviru nezavezujočih mnenj ne more podajati potrditev ali zavezujočih odločitev, saj se te lahko sprejemajo le v uradnih inšpekcijskih postopkih in ne v okviru nezavezujočih mnenj. Uvodoma ugotavljamo, da
7. člen Uredbe o informacijski varnosti v državni upravi (Uradni list RS, št. 29/18 in 131/20) določa, da izvaja Ministrstvo za javno upravo na področju informacijske varnosti naloge, ki obsegajo: izvajanje varnostnih pregledov in preizkusov informacijskih sistemov, zagotavljanje varnega izbrisa ali uničenja nosilcev podatkov, odzivanje na incidente informacijske varnosti v državni upravi, opravljanje dinamičnih analiz tveganja in incidentov informacijske varnosti ter spremljanje razmer, zagotavljanje usposabljanja in ozaveščanja na področju informacijske varnosti, odobravanje oddaljenega dostopa do državnega komunikacijskega omrežja uporabnikom informacijskih naprav, upravljanje sistema za pomoč in prijavo napak, spremljanje incidentov v organih in povezanih subjektih, zagotavljanje zgodnjega opozarjanja, obveščanja in razširjanja informacij o tveganjih in incidentih informacijske varnosti organom in povezanim subjektom ter izmenjevanje informacij o incidentih informacijske varnosti s skupinami za odzivanje na incidente informacijske varnosti v državi in tujini. Ministrstvo nalog od prve do pete alineje prvega odstavka 4.člena uredbe ne opravlja, če se nanašajo na informacijske sisteme s področja obrambe, varstva pred naravnimi in drugimi nesrečami, policije, obveščevalno-varnostne dejavnosti, preprečevanja in odkrivanja pranja denarja in financiranja terorizma ter opravljanja plačilnega prometa za proračunske uporabnike, razen v primerih, ko se ti sistemi povezujejo s centralnim komunikacijsko informacijskim sistemom državne uprave. IP meni, da relacija ministrstvo – zunanji izvajalec storitev operativno varnostnega centra (SOC) ustreza situaciji, ko upravljavec določene obdelave osebnih podatkov poveri zunanjemu, pogodbenemu obdelovalcu. Tovrstno »pogodbeno« obdelavo osebnih podatkov ureja člen 28 Splošne uredbe, ki določa pogoje, dolžnosti ter pravice in obveznosti upravljavca in obdelovalca ter morebitnih pod-obdelovalcev. Da gre pri tem praviloma za obdelavo osebnih podatkov, ki se izvaja v imenu in za račun naročnika (upravljavca), izhaja iz tega, ker upravljavec tretji osebi poveri podatke, ki jih je v določenem delu treba obravnavati za osebne podatke posameznika (kot so npr. IP naslov, elektronski naslov ipd.), saj so iz teh podatkov posamezniki praviloma določljivi, namen posredovanja pa je obdelava konkretnega varnostnega incidenta in pogosto tudi identifikacija kršitelja, povzročitelja oziroma napadalca, zunanji izvajalec pa samostojno nima upravičenja do pridobitve in obdelave zadevnih podatkov, temveč črpa podlago za obdelavo osebnih podatkov iz upravičenj upravljavca ter je oziroma bo v zvezi s samimi dejanji obdelave vezana na navodila upravljavca. Kot ugotavljamo iz zaprosila za mnenje ste že seznanjeni s smernicami glede pogodbene obdelave osebnih podatkov, ki so dostopne na: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-o-pogodbeni-obdelavi. Medsebojno razmerje med upravljavcem in zunanjim izvajalcem mora biti urejeno skladno z zahtevami člena 28 Splošne uredbe, objavljena je tudi vzorčna pogodba po členu 28, ki je dostopna na: https://www.ip-rs.si/?id=
8. Bolj kompleksno pa je vprašanje morebitnega skupnega upravljanja. Na podlagi informacij, ki ste nam jih predstavili in našega poznavanja problematike ocenjujemo, da gre lahko v določenih primerih za skupno upravljanje osebnih podatkov v smislu člena 26 Splošne uredbe. Z določenimi zbirkami osebnih in drugih podatkov, ki so potrebne za analizo konkretnega varnostnega incidenta, namreč upravljajo državni organi samostojno (npr. dnevniške datoteke spletnega strežnika v upravljanju državnega organa), v drugih primerih pa gre za zbirke podatkov, ki so v upravljanju Ministrstva za javno upravo, kot npr. dnevniške datoteke t.i. proxy strežnikov v omrežju HKOM ipd. Predvidevamo, da je pri določenih vrstah varnostnih incidentov potrebno obdelati oziroma povezati tako podatke, s katerimi upravlja posamezen državni organ, kot tudi podatke, s katerimi upravlja Ministrstvo za javno upravo, ključno pa je ugotoviti, kdo je opredelil oziroma določil namene in načine obdelave podatkov. Glede na določbe Splošne uredbe govorimo o skupnem upravljanju, ko dva ali več upravljavcev, ki skupaj določijo namene in načine obdelave. Skupni upravljavci na pregleden način z medsebojnim dogovorom določijo dolžnosti vsakega od njih z namenom izpolnjevanja obveznosti v skladu s to uredbo, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in nalogami vsakega od njih glede zagotavljanja informacij iz členov 13 in 14, razen če in kolikor so dolžnosti vsakega od upravljavcev določene s pravom Unije ali pravom države članice, ki velja za upravljavce. Dodatno pojasnilo v zvezi s skupni upravljanjem vsebujejo tudi smernice Evropskega odbora za varstvo podatkov (EDPB) št. 07/2020 o konceptih upravljavca in obdelovalca po Splošni uredbi (dostopno na: https://edpb.europa.eu/our-work-tools/documents/public-consultations/2020/guidelines-072020-concepts-controller-and_sl), glej str.16-
9. V njih je med drugim navedeno, da je pomemben kriterij, da obdelava osebnih podatkov ne bi bila mogoča brez sodelovanja obeh strank v smislu, da je obdelava vsake od strani neločljivo povezana glede na namen. Ne glede na navedeno pa to še ne pomeni, da gre v vseh takšnih primerih za skupno upravljanje (glej npr. primer statističnih analiz v javnem interesu na str. 23, kjer ima javni organ A zakonsko nalogo izdelave analiz in statistik glede deleža nezaposlenih v državi, pri čemer so drugi javni organi dolžni posredovati potrebne podatke). Smernice EDPB so vam lahko v izdatno pomoč, povsem primerljivega primera pa ne vsebujejo, zato IP meni, da bi moralo ministrstvo, ki ima kot tako najbolj celovit pregled nad izvajanjem nalog in delovanjem operativno varnostnega centra, opraviti podrobno analizo, pri katerih informacijskih storitvah oziroma pri obdelavi katerih zbirk osebnih podatkov v okviru obravnave varnostnih incidentov nastopa v relaciji do drugih državnih organov kot samostojni upravljavec in kdaj gre za skupno upravljavstvo ter temu primerno urediti stanje oziroma medsebojna razmerja glede na zahteve Splošne uredbe. Prav tako predlagamo, da v analizo vključite pri ministrstvu imenovano pooblaščeno osebo za varstvo osebnih podatkov, kolikor še ni bila. Lep pozdrav, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026