Ravnanje z najdenimi nosilci podatkov - IPRS

Ravnanje z najdenimi nosilci podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 03.01.2017 Številka: 0712-1/2016/2665 Kategorije:Policijski postopki, Razno, Zavarovanje osebnih podatkov --> Kategorije: Policijski postopki, Razno, Zavarovanje osebnih podaktov Spoštovani,Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje glede pravilnega ravnanja policije, ki je pri operativnem delu z najdenimi predmeti zaznala težavo glede ravnanja z najdenimi predmeti, na katerih se nahajajo podatkovne zbirke z osebnimi podatki in drugimi podatki. Kot pojasnjujete, gre za najdene predmete, na katerih želi najditelj po preteku enega leta pridobiti lastninsko pravico, predmeti pa so nosilci osebnih podatkov (računalniki, fotoaparati, prenosni telefoni, spominske kartice, prenosni diski ipd). Podobna težava se pojavi tudi v primerih, ko se najditelj odpove pridobitvi lastninske pravice po poteku enega leta, s čimer nastopijo pogoji za prodajo omenjenih predmetov na dražbi. Prosite za mnenje, ali je policija dolžna posegati v nosilce podatkov najdenih predmetov in podatke brisati pred oddajo novemu lastniku?V nadaljevanju vam na podlagi informacij, ki ste nam jih posredovali, na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/2004 s spremembami in dopolnitvami; v nadaljevanju: ZVOP-1) ter
5. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju: ZInfP), posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.IP se strinja, da ima tudi Policija v času, ko so v njenem 'varstvu' najdeni predmeti dolžnost zagotoviti, da osebni podatki na njih ne bodo posredovani nepooblaščenim osebam in bodo posledično uničeni, ko ni več razloga za njihovo hrambo (torej s prodajo oz. predajo nosilcev tretji osebi). To lahko izvede bodisi z odstranitvijo pomnilniškega dela naprave npr. SD kartice, trdega diska ipd. (in njenim uničenjem ali izbrisom podatkov na njem) ali nepovratnim izbrisom podatkov iz same naprave, če pa to ni mogoče, predaja/prodaja takšnega nosilca naprej po mnenju IP ne bi smela biti dopustna. Informacijski pooblaščenec (v nadaljevanju IP) se vsekakor strinja, da Policija, kot organ, ki so mu z zakonom zaupane določene naloge v zvezi z obravnavo najdenih predmetov posledično nosi tudi določeno stopnjo odgovornosti za varovanje osebnih podatkov, ki se nahajajo na teh najdenih predmetih. Ne glede na to, da v opisanih primerih ne gre za klasične zbirke osebnih podatkov, kot so sicer določene npr. z Zakonom o nalogah in pooblastilih policije, in katerih upravljavec je Policija, ni mogoče prezreti dejstva, da je Policiji vendarle naloga ravnanja z najdenimi predmeti, iz katere izhaja posledično in posredno tudi ustrezno zavarovanje osebnih podatkov na teh predmetih, naložena z zakonom.V tem primeru se zato IP strinja, da ima tudi Policija v času, ko so v njenem 'varstvu' najdeni predmeti dolžnost zagotoviti, da osebni podatki na njih ne bodo posredovani nepooblaščenim osebam in bodo posledično uničeni, ko ni več razloga za njihovo hrambo (torej s prodajo oz. predajo nosilcev tretji osebi). IP meni, da bi bilo s tehničnega vidika izvedbe ustreznega zavarovanja pri tem v prvi vrsti lahko v pomoč ločevanje med napravami (fotoaparat, prenosnik, telefon) in pomnilniškimi napravami/mediji, ki so vstavljene v njih (trdi diski, SD diski, SD kartice ipd.). Prav slednji so načeloma nosilci osebnih podatkov. Pragmatična rešitev bi bila naprej (pre/pro)dati samo napravo brez podatkov(nih medijev). Dobesedno to pomeni, da se iz naprave odstrani disk, kartica ipd[1]. Samo pomnilniško napravo/medij pa bi bilo zatem treba zavarovati oz. zapečatiti za določen čas, če bi se kasneje vendarle našel lastnik[2], po preteku tega obdobja pa popolnoma izbrisati (odvisno od uporabljenega standarda gre lahko za enkraten ali večkraten prepis z naključnim nizom znakov). Kadar to ni mogoče, ni enostavno ali je tehnično neizvedljivo, npr. pri pametnih telefonih, ali v primerih, ko nosilca podatkov oz. podatkov na nosilcu ni mogoče izbrisati, bi bilo primerno sprejeti odločitev, da se takšnega nosilca podatkov ne predaja/prodaja naprej, saj prevlada pravica do zasebnosti.V nobenem primeru pa se IP ne strinja z rešitvijo, ki bi pomenila, da policija naprej preda ali proda najdeni podatkovni medij, ki bi lahko vseboval osebne podatke, ne da bi prej ta medij ustrezno 'formatirala' oziroma na drug ustrezen način nepovratno izbrisala morebitne osebne podatke na njem. Zavedati se je namreč treba, da se podatki na njem lahko nanašajo tudi na tretje osebe in ne le na posameznika, ki je (bil) lastnik samega nosilca podatkov.V tem primeru zato po mnenju IP prav tako ni mogoče govoriti o tem, da bi lahko 'lastništvo' nad podatki s prenosom lastništva nad medijem, samodejno prešlo na novega lastnika brez ustrezne druge pravne podlage.Lepo vas pozdravljamo, Pripravila: Alenka Jerše, namestnica informacijske pooblaščenke Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka[1] Težave lahko povzročijo podatki, ki se hranijo na sami napravi in jih ni mogoče odstraniti iz naprave.[2] Kako dolgo naj bi bilo to obdobje je težko določiti – morda se lahko pri tem naslonite na lastne izkušnje iz prakse v smislu, v kakšnem času se v večini primerov pojavijo lastniki naprav. Treba je namreč upoštevati, da imajo lahko posamezniki na pomnilniških medijih svojih naprav shranjene za njih zelo pomembne podatke (osebne dokumente, gesla, tudi poslovne in zaupne podatke) in da se lahko z uničenjem teh podatkov posamezniku povzroči velika škoda. O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026