Sledljivosti vpogledov v CRP + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 17.12.2009 Številka: 0712-562/2009/2 Kategorije:Pridobivanje OP iz zbirk --> Kategorije: Pridobivanje OP iz zbirk Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je
- 2009 prejel vaš dopis, v katerem nam pojasnjujete, da pri delu na … upravi, kadar za opravljanje svojega dela potrebuje dostop do CRP, prihaja do situacije, ko zaposleni na višjih delovnih mestih naročajo uslužbencem, da za njih pogledajo v bazo za različnimi informacijami. Pri tem zahtevajo, da se vpiše v rubriko "zadeva" neka šifra njihovega dokumenta, ki ga iskalec pri svojem delu ne uporablja. Glede na to, da je oseba, ki razpolaga z geslom, odgovorna za svoje vpoglede, vas zanima, ali je tak postopek pravilen in kakšen smisel ima potem osebna odgovornost te osebe, če ji drugi naročajo vpoglede za lastne (delovne) potrebe, ker sami nimajo gesla za pristop in ali je smiselno, da nekdo opravlja vpoglede za nekoga drugega, pri čemer se lahko zaščiti zgolj s šifro nekega dokumenta, ki mu jo nadrejeni sporoči telefonsko. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke
- odstavka
- člena Zakona o varstvu osebnih podatkov (v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Vsak upravljavec je dolžan zagotavljati t.i. zunanjo in notranjo sledljivost. Smisel notranje sledljivosti je v tem, da je kasneje mogoče ugotoviti, kdaj so bili podatki vneseni v zbirko, uporabljeni ali kako drugače obdelani in kdo je to storil. Kljub temu, da vam nadrejeni (ali drugi zaposleni) podajo podlago (številko zadeve, torej aktivnega postopka), Pooblaščenec meni, da bi morale biti tudi te osebe, kolikor pri svojem delu potrebujejo vpogled v določene zbirke podatkov, pooblaščene za obdelavo osebnih podatkov in do njih dostopati s svojim dostopnim geslom. O b r a z l o ž i t e v: Glede na določbo
- odstavka
- člena ZVOP-1, ki je sistemski in temeljni predpis s področja varstva osebnih podatkov, se osebni podatki v javnem sektorju (kamor seveda sodi tudi Geodetska uprava) lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Zakon o splošnem upravnem postopku (v nadaljevanju ZUP) v
- odstavku
- člena določa, da si uradna oseba, ki vodi postopek, preskrbi po uradni dolžnosti podatke o dejstvih, o katerih vodi uradno evidenco organ, ki je pristojen za odločanje. Enako ravna uradna oseba glede dejstev, o katerih vodi uradno evidenco kakšen drug državni organ oziroma organ samoupravne lokalne skupnosti ali nosilec javnega pooblastila.
- člen Zakona o centralnem registru prebivalstva (v nadaljevanju ZCRP) določa, da je upravljavec CRP ministrstvo, pristojno za notranje zadeve.
- odstavek
- člen istega zakona določa, da lahko upravljavec CRP posreduje podatke iz CRP za vzpostavitev oziroma za vodenje in vzdrževanje registrov in uradnih evidenc državnim organom in drugim uporabnikom, za izvrševanje njihovih, z zakonom določenih nalog. Geodetska uprava je uporabnik centralnega registra prebivalstva v smislu ZCRP ter uporabnik osebnih podatkov v smislu ZVOP-
- točka
- člena ZVOP-1 namreč opredeljuje pojem uporabnika osebnih podatkov; to je fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrijejo osebni podatki. Določbi
- odstavka
- člena ZVOP-1, ki zahteva zakonsko podlago za obdelavo osebnih podatkov, je v primeru Geodetske uprave zadoščeno, zelo pomembna obveznost, ki jo na področju varstva osebnih podatkov nalaga ZVOP-1, pa je tudi primerno zavarovanje osebnih podatkov. V konkretnem primeru govorimo o obveznosti zagotavljanja sledljivosti obdelave osebnih podatkov. Po določbah
- odstavka
- člena ZVOP-1 mora upravljavec osebnih podatkov za vsako posredovanje osebnih podatkov zagotoviti, da je mogoče pozneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov. Na takšen način se zagotavlja t.i. zunanja sledljivost obdelave osebnih podatkov, to je evidentiranje posredovanja ali razkrivanja osebnih podatkov drugim pravnim ali fizičnim osebam. To je v primeru CRP obveznost Ministrstva za notranje zadeve kot upravljavca zbirke. Poleg zunanje sledljivosti je potrebno zagotoviti tudi t.i. notranjo sledljivost obdelave osebnih podatkov, to je evidentiranje obdelave osebnih podatkov znotraj upravljavca osebnih podatkov in znotraj uporabnika osebnih podatkov. Takšno sledljivost upravljavcem in uporabnikom osebnih podatkov nalaga
- točka
- odstavka
- člena ZVOP-1, kjer je določeno, da je potrebno s postopki in ukrepi za zavarovanje osebnih podatkov omogočati poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. Da bi zadostili tej določbi, ni dovolj, da se evidentirajo zgolj vnosi in spremembe osebnih podatkov v posamezni zbirki, pač pa je potrebno zagotoviti tudi možnost naknadnega ugotavljanja, katere pooblaščene osebe (zaposleni pri upravljavcu ali uporabniku osebnih podatkov) so v določenem času zgolj vpogledovale oz. pridobivale osebne podatke določenega posameznika. Takšno sledljivost je potrebno v primeru, ko lahko do osebnih podatkov v zbirki osebnih podatkov neposredno dostopajo tudi osebe, ki so zaposlene pri uporabniku osebnih podatkov, zagotoviti bodisi v okviru varnostne sheme upravljavca osebnih podatkov, ali pa v okviru varnostne sheme uporabnika osebnih podatkov. Uporaba centralnega registra prebivalstva je, kot veste, zasnovana tako, da omogoča tako zunanjo kot notranjo sledljivost. Na strani uporabnika se torej beleži kdo, kdaj in katere podatke je vpogledoval, prav tako je obvezna navedba podlage. Uporabnik (organ) mora zagotoviti možnost naknadnega ugotavljanja, katere pooblaščene osebe so v določenem času vpogledovale oz. pridobivale osebne podatke določenega posameznika. Smisel sledljivosti je, kot tudi sami navajate, v ugotavljanju odgovornosti za nepooblaščeno uporabo osebnih podatkov v primeru kršitev. Ta odgovornost je osebna in personalizirana, saj je edino tako mogoče ugotoviti, ali je bila obdelava osebnih podatkov pooblaščena ali nepooblaščena. Če denimo posameznik utemeljeno domneva, da so osebe, ki imajo pri določenemu upravljavcu osebnih podatkov dostop do njegovih osebnih podatkov, z zlorabo svojih pooblastil nepooblaščeno vpogledovale ali kako drugače obdelovale njegove osebne podatke, lahko poda prijavo pri Pooblaščencu. Pooblaščenec bi po prejetju takšne prijave v okviru inšpekcijskega postopka ugotovljal, ali so osebe, ki imajo dostop do osebnih podatkov posameznika, dejansko nepooblaščeno vpogledovale ali kako drugače obdelovale osebne podatke posameznika. Poleg tega bi Pooblaščenec v primeru, ko bi ugotovil, da so določene osebe dejansko nepooblaščeno vpogledovale ali kako drugače obdelovale osebne podatke posameznika, zoper te osebe uvedel postopek o prekršku ali podal kazensko ovadbo. Kljub temu, da vam nadrejeni (ali drugi zaposleni) podajo podlago (številko zadeve, torej aktivnega postopka), Pooblaščenec meni, da bi morale biti tudi te osebe dejansko pooblaščene za obdelavo (denimo vpogledovanje) osebnih podatkov v CRP, razpolagati s svojim dostopnim geslom ter vpoglede za namene vodenja postopkov opravljati same. V upravnem in prekrškovnem pravu, na področje katerega sodi tudi varstvo in kaznovanje kršitev osebnih podatkov se sicer zasleduje načelo materialne resnice, kar pomeni, da se v primeru odkrivanja nepooblaščene obdelave (recimo razkrivanja) osebnih podatkov iz CRP upošteva vsa dejstva in okoliščine. To pomeni, da oseba, ki razpolaga z dostopnim geslom, ne bi bila avtomatično odgovorna za vsakršno razkritje osebnih podatkov, ki bi ga denimo zakrivili uslužbenci, ki bi se seznanili z osebnimi podatki preko osebe, ki ima dostopno geslo. Oseba, ki razpolaga z geslom pa je odgovorna za nepooblaščeno (brez podlage) sporočanje osebnih podatkov drugim javnim uslužbencem, ki so jo za to »prosili«. Glede na vse navedeno Pooblaščenec meni, da praksa vpogledov v CRP na prošnjo oseb, ki z geslom ne razpolagajo, ne zadošča standardom varstva osebnih podatkov in obveznega zavarovanja pred nepooblaščeno obdelavo. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026