Primernost politike zasebnosti od oken 10 + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 06.08.2015 Številka: 0712-1/2015/2018 Kategorije:Moderne tehnologije --> Kategorije: Moderne tehnologije Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem navajate določene pomisleke glede splošnih pogojev za uporabo sveže izdanega Microsoftovega operacijskega sistema Windows 10 (t.i. EULA, angl. end-user license agreement). Menite namreč, da v delu, ki ureja obdelavo osebnih podatkov uporabnikov operacijskega sistema (povzeto na naslovu https://www.microsoft.com/en-us/privacystatement/default.aspx), vključuje določene člene, ki so zelo ohlapni, splošni, nedorečeni in omogočajo grob poseg v zasebnost uporabnikov, npr. v delih, ko si podjetje:- pridržuje pravico dostopa in obdelave uporabnikovih podatkov, vključno z e-poštnimi sporočili in datotekami, kadar bi bilo to potrebno zavoljo zadostitve zahtevkov policije ali drugih vladnih služb, zaščite drugih uporabnikov, zagotovitve varnosti svojih sistemov in storitev, ali zaščite svojih pravic;- zbiranja statističnih podatkov o rabi posameznih vrst datotek oz. aplikacij, zavoljo priprave izboljšav operacijskega sistema;- beleženja preko tipkovnice vnesenih črk, zavoljo priprave izboljšav svojega črkovalnika oz. funkcije autocomplete;- preko Cortane sprejetih govornih ukazov, zavoljo priprave izboljšav prepoznave govora;- zbiranja podatkov o drugih napravah, ki jih uporabnik priključi na računalnik, ter določenih podatkov na njih;- podatkov o brezžičnih in drugih omrežjih, na katere bo priklopljen računalnik;- dodelitve unikatne oglaševalske identifikacijske številke vsakemu uporabniku, ter posredovanja te številke aplikacijam in oglaševalskim omrežjem za namene personalizacije oglasov.Zavedate se sicer, da je večino navedenih obdelav sicer mogoče izklopiti v nastavitvah operacijskega sistema, oz. z nekaterimi dodatnimi ročnimi posegi.Sprašujete, ali lahko Microsoft, kot podjetje, ki naj bi imelo v danes segmentu monopolni položaj, izrablja ta položaj za vsiljevanje tako enostranskih in nesorazmernih pogojev uporabe svojim uporabnikom.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke
- odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Glede na določbe evropske zakonodaje s področja varstva osebnih podatkov ponudniki, kot v primeru, ki ga izpostavljate, osebne podatke uporabnikov običajno obdelujejo na podlagi posameznikove privolitve oziroma na podlagi pogodbe, sklenjene med ponudnikom in posameznikom, kjer naj bi bila obdelava osebnih podatkov potrebna in primerna za izvajanje te pogodbe. Pri tako obsežnih zbirkah osebnih podatkov, kot nastajajo pri združevanju in kombiniranju uporabniških podatkov multi-nacionalnih ponudnikov informacijskih rešitev pa se postavljajo upravičeni dvomi, ali je posameznik sposoben podati veljavno privolitev v tako obdelavo osebnih podatkov in ali je obdelava vsega nabora osebnih podatkov dejansko potrebna in primerna za izvajanje pogodbe o uporabi določene informacijske rešitve. Postavlja se tudi vprašanje, ali je pri tem spoštovano načelo sorazmernosti.V primeru multinacionalnih podjetij, ustanovljenih na teritoriju več držav članic EU, se postavlja tudi vprašanje pristojnosti nacionalnih organov za varstvo osebnih podatkov, hkrati pa je pri obravnavi zgoraj navedenih vprašanj potrebno sodelovanje med pristojnimi organi. IP bi pri morebitnem sodelovanju nadzornih organov v EU glede primera, ki ga izpostavljate, moral upoštevati omejitve glede svoje krajevne pristojnosti.IP vam v danem trenutku svetuje, da preverite nastavitve operacijskega sistema Windows 10 in v njih izklopite tiste možnosti zbiranja oz. obdelave vaših osebnih podatkov, s katerimi ne soglašate.Obrazložitev:Kot navajate, vas skrbi zakonitost politike zasebnosti nedavno izdanega operacijskega sistema Windows 10, saj si njegov proizvajalec, ameriško podjetje Microsoft, v njem pridružuje nesorazmerno široke možnosti za zbiranje in obdelavo podatkov o uporabnikih, uporabnikom o tem ne daje dovolj jasnih informacij, oz. ne omogoča zadostnih oz. zadosti enostavnih možnosti za izklop posameznih načinov obdelave njihovih informacij. Informacijski pooblaščenec glede opisane problematike uvodoma poudarja, da tako sam kot tudi skupaj s pristojnimi organi v drugih državah članicah EU (združenimi v Delovni skupini po členu 29[i]) že dalj časa spremlja trend spreminjanja pogojev uporabe nekaterih popularnih spletnih, mobilnih oz. drugih računalniških programov oz. storitev v smer združevanja in kombiniranja uporabniških podatkov po različnih storitvah oz. širjenja namenov uporabe zbranih podatkov. S tovrstnimi spremembami so v navedenih podjetjih nastale nove in obsežne zbirke osebnih podatkov, ki zadevajo zelo veliko število (evropskih) uporabnikov, zato je s stališča evropskih nadzornih organov ključno, da se njihovi upravljavci še naprej držijo zavez iz evropske zakonodaje za varstvo osebnih podatkov.Glede na določbe evropske zakonodaje s področja varstva osebnih podatkov ponudniki, kot v primeru, ki ga izpostavljate, osebne podatke uporabnikov običajno obdelujejo na podlagi posameznikove privolitve oziroma na podlagi pogodbe, sklenjene med ponudnikom in posameznikom, kjer naj bi bila obdelava osebnih podatkov potrebna in primerna za izvajanje te pogodbe. V Sloveniji so to določila prvega in drugega odstavka
- člena Zakona o varstvu osebnih podatkov. Pri tako obsežnih zbirkah osebnih podatkov, kot nastajajo pri združevanju in kombiniranju uporabniških podatkov multi-nacionalnih ponudnikov informacijskih rešitev pa se postavljajo upravičeni dvomi, da je posameznik sposoben podati veljavno privolitev v tako obdelavo osebnih podatkov, saj privolitev ne temelji na natančnih informacijah o obdelavi osebnih podatkov, pač pa na bolj ali manj pavšalnih pojasnilih ponudnika. Prav tako se poraja dvom, ali je obdelava vsega nabora osebnih podatkov dejansko potrebna in primerna za izvajanje pogodbe o uporabi določene informacijske rešitve.Eno temeljnih načel zakonodaje s področja varstva osebnih podatkov je tudi načelo sorazmernosti (v Sloveniji
- člen ZVOP-1), ki pravi, da morajo biti osebni podatki, ki se zbirajo in obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. V primeru obdelave osebnih podatkov, kot jo izpostavljate, se vsekakor postavlja vprašanje, ali je pri tem spoštovano načelo sorazmernosti.V tem smislu se IP pridružuje nedavnemu skupnemu stališču skupne Delovne skupine o pogojih za obdelavo velikih zbirk osebnih podatkov (t.i. big data) znotraj EU, ki je dostopno na naslovu http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp221_en.pdf oz. skupnemu stališču sorodne Mednarodne delovne skupine za varstvo osebnih podatkov v telekomunikacijah (IWGDPT), http://www.datenschutz-berlin.de/attachments/1052/WP_Big_Data_final_clean_675.48.12.pdf. Kot je pojasnjeno, okoliščina, da današnja informacijska tehnologija omogoča učinkovito in cenovno vzdržno obdelavo izjemne količine izjemno raznovrstnih podatkov in da je torej zdaj čim bolj podrobno zbiranje vseh in vsakršnih podatkov o posameznikovi uporabi informacijske tehnologije ne samo mogoče, ampak tudi smiselno, še ne sme pomeniti, da pri tovrstnih novih obdelavah ni potrebno spoštovati dosedanjih pravil varstva osebnih podatkov, ali da bi jih zato bilo potrebno posebej omiliti. Zgolj zato, ker je zbiranje in obdelovanje mogoče, še ne pomeni, da je tudi zakonito. Tako Delovna skupina vztraja pri stališču, da morajo za obdelavo velikih zbirk podatkov veljati istovrstna pravila, zlasti glede informiranja posameznika, pridobivanje njegove osebne privolitve, ter smiselnih namenskih in časovnih zamejitev obdelave njegovih podatkov.Navedeno pomeni, da velja tovrstne spremembe splošnih pogojev (oz. politik zasebnosti) pri velikih ponudnikih informacijske tehnologije obravnavati previdno in kritično, ter vztrajati, da se pri obdelavi osebnih podatkov o (evropskih) uporabnikih dosledno spoštujejo zahteve glede pravne podlage za obdelavo osebnih podatkov, da morajo biti uporabniki jasno informirani o obdelavi osebnih podatkov, ter da se spoštuje tudi načelo sorazmernosti.Pri uveljavljanju zakonodaje s področja varstva osebnih podatkov pri multi-nacionalnih ponudnikih storitev, kot je Microsoft, ki so ustanovljeni na teritoriju različnih držav članic EU in so njihove članice in podružnice na različno intenziven način povezane z obdelavo osebnih podatkov uporabnikov njihovih sistemov, je eno ključnih tudi vprašanje pristojnosti nadzornih organov v državah članicah. Načeloma so za nadzor pristojni organi tistih držav članic, kjer je Microsoft ustanovljen oz., glede na sodbo Sodišča EU v primeru Google prosti Španiji, tudi organi držav članic, kjer je delovanje tam ustanovljene družbe neločljivo povezano z obdelavo osebnih podatkov upravljavca. To pomeni, da je v primeru enega multi-nacionalnega ponudnika lahko pristojnih več nacionalnih organov v državah članicah EU.Glede na to, da spremembe splošnih pogojev poslovanja ponudnikov običajno zadevajo vse evropske uporabnike, pa uveljavljanje zakonodaje varstva osebnih podatkov terja sodelovanje pristojnih nadzornih organov iz več držav članic. Evropski nadzorni organi, združeni v Delovni skupini iz člena 29, smo tako v preteklosti že oblikovali delovno skupino pristojnih nadzornih organov šestih držav članic, ki presojajo ustreznost Googlove skupne politike zasebnosti[ii] in kjer so bili na nacionalnih ravneh Googlu že naloženi ukrepi glede spremembe politike zasebnosti, pridobivanja privolitve za kombiniranje podatkov oz. glede roka hrambe podatkov. S sodelovanjem pristojnih nadzornih organov v EU trenutno poteka tudi večje število nacionalnih postopkov glede politik upravljanja z uporabniškimi podatki pri omrežju Facebook.V okviru sodelovanja pristojnih evropskih nadzornih organov bi lahko v prihodnosti, v kolikor bi se izkazalo potrebno, stekel tudi proces presoje sprememb politike zasebnosti družbe Microsoft za novoizšel operacijski sistem Windows
- IP bo v tem primeru seveda presodil potrebo po tem, da se tudi sam vključi v ta postopek, skladno z omejitvami glede svoje krajevne pristojnosti, kot pojasnjeno zgoraj.Ne glede na pojasnjeno, pa vam lahko, glede zasebnosti prijazne uporabe sistema svetujemo, kot že sami izpostavljate v svojem dopisu, da v nastavitvah operacijskega sistema, pod rubriko zasebnost (»Privacy«) izklopite vse tam izpostavljene možnosti zbiranja in posredovanja vaših podatkov Microsoftu oz. njegovim partnerjem, ter da dodatno razmislite o izklopu nekaterih storitev oz. servisov na sistemu, ki v ozadju prav tako zbirajo in posredujejo vaše podatke (Cortana, OneDrive, Web search, Telemetrija, Windows Defender, idr). Prav tako lahko razmislite o zamenjavi priloženih programov za brskanje po spletu, ogled avdiovizualnih datotek, idr. s prostimi oz. odprtokodnimi alternativami, ki niso tako neposredno integrirane v Okna oz. njihov režim zbiranja podatkov o uporabniku. S pozdravi,Pripravil: Igor Kolar, informatik pri IP Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka [i] v okviru t.i. Skupine po členu 29 Direktive o varstvu osebnih podatkov, ki omogoča tako neposredno sodelovanje med pooblaščenci posameznih držav članic, kot tudi širše institucionalno sodelovanje in posvetovanje v okviru več različnih delovnih skupin. [ii] http://www.out-law.com/articles/2013/april/google-facing-regulatory-action-in-six-eu-countries-over-privacy-policy-issues/ O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026