Spletni strežnik kot zbirka osebnih podatkov - IPRS

Spletni strežnik kot zbirka osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 06.06.2007 Številka: 0712-479/2007/2 Kategorije:Svetovni splet --> Kategorije: Svetovni splet Spoštovani, prejeli smo vaše elektronsko sporočilo, v katerem nas sprašujete - ali se spletni strežnik, ki hrani osnovne osebne podatke uporabnikov spletnih portalov (npr. ime, priimek, e-mail naslov), uvršča med uporabnike osebnih podatkov ali pa celo morda med upravljavce oziroma pogodbene obdelovalce; - po vašem mnenju glede osebnih podatkov, ki jih zbirajo spletni portali in naj bi bili, kot ste zapisali, zaradi narave medija dostopni vsakemu uporabniku spleta, lahko za spletni strežnik rečemo, da je zgolj uporabnik podatkov, zato naj bi odpadli praktično vsi varnostni ukrepi varovanja osebnih podatkov. Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
5. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje.Osnovni pojmi ZVOP-1 Osebni podatek je v skladu s
6. tč.
7. člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen.Posameznik je v skladu z
8. tč.
9. člena ZVOP-1 določena ali določljiva fizična oseba, na katero se nanaša osebni podatek. Fizična oseba je določljiva, če se jo lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa.Obdelava osebnih podatkov v skladu s
10. tč.
11. člena ZVOP-1 pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave).Zbirka osebnih podatkov je v skladu s
12. tč.
13. odst.
14. člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.Upravljavec osebnih podatkov je v skladu s
15. tč.
16. odst.
17. člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave.Pogodbeni obdelovalec je v skladu s
18. tč.
19. odst.
20. člena ZVOP-1 fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov.Uporabnik osebnih podatkov je v skladu z
21. tč.
22. odst.
23. člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrijejo osebni podatki.ZVOP-1 v
24. členu določa, da se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je obdelava določenih osebnih podatkov podana osebna privolitev posameznika. Obdelava osebnih podatkov je v skladu z
25. odst.
26. člena ZVOP-1 dopustna tudi v primeru, ko je posameznik z zasebnim sektorjem sklenil pogodbo ali pa je z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe.Načelo sorazmernosti je določeno v
27. členu ZVOP-1 in določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo.Zavarovanje osebnih podatkov v skladu s
28. odst.
29. člena ZVOP-1 obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
30. varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
31. varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
32. preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
33. zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
34. omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.Mnenje V skladu z zgoraj napisanim je najprej potrebno ugotoviti, da so upravljavec, pogodbeni obdelovalec in uporabnik osebnih podatkov prvenstveno fizične in pravne osebe, a contrario pa se vsi ti nazivi ne morejo pripisati stvari. Vse tri vloge se tako nanašajo na posameznike, gospodarske družbe, društva …, ki so ali fizične ali pravne osebe (več o tem Pavčnik, Teorija prava, Ljubljana 1997, str. 86 in dalje). Strežnik je tako zgolj medij, na katerem se hranijo (v skladu s
35. tč.
36. odst.
37. člena ZVOP-1 tudi shranjevanje pomeni obdelavo osebnih podatkov) ali drugače obdelujejo osebni podatki. Namen in sredstva obdelave pa v skladu s
38. tč.
39. odst.
40. člena ZVOP-1 določa upravljavec osebnih podatkov, torej fizična ali pravna oseba, ki ima strežnik v lasti, oz. je za zbirko osebnih podatkov na strežniku kako drugače odgovorna kot upravljavec osebnih podatkov.Glede vašega drugega vprašanja, torej objave in zaščite osebnih podatkov na spletnih portalih, je potrebno v prvi vrsti poudariti, da je objava, shranjevanje ali kakršnakoli drugačna obdelava osebnih podatkov na spletni strani (Pooblaščenec navaja pravila za zasebni sektor) v skladu s
41. odst.
42. člena ZVOP-1 dovoljena zgolj, če za takšno obdelavo obstaja podlaga v zakonu ali osebni privolitvi posameznika, na katerega se osebni podatki nanašajo. Če podlaga v zakonu ali osebna privolitev posameznika (ta bo v zasebnem sektorju v večini primerov najpogostejši primer pravne podlage za obdelavo osebnih podatkov) ne obstaja, kakršnakoli obdelava (torej tudi objava, shranjevanje ipd.) ni dovoljena.V trenutku, ko na strežniku nastane zbirka osebnih podatkov, pa je že potrebno upoštevati tudi vse zahteve ZVOP-1, ki jih ta določa v
43. členu glede zavarovanja osebnih podatkov, ne glede na to, ali so posamezniki, katerih osebni podatki se obdelujejo, s tem seznanjeni ali ne. Ločiti je torej potrebno med obdelavo osebnih podatkov in zavarovanjem osebnih podatkov. Pri prvem lahko posameznik poda osebno privolitev, pri drugem, torej zavarovanju, pa ZVOP-1 ne predvideva kakršnekoli možnosti posameznika glede stopnje zavarovanja, pač pa zgolj dolžnost (glej
44. odst.
45. člena ZVOP-1) upravljavca zbirk osebnih podatkov glede zavarovanja. Upravljavec osebnih podatkov je torej dolžan zagotoviti vse varnostne standarde, ki onemogočajo nepooblaščeno obdelavo osebnih podatkov, s tem, da zakon predpisuje nekakšne osnove zavarovanja osebnih podatkov. Pri zavarovanju osebnih podatkov je potrebno upoštevati tudi
46. odst.
47. člena ZVOP-1, ki določa, da morajo biti postopki in ukrepi za zavarovanje osebnih podatkov ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo. V okvir dolžnosti upravljavca osebnih podatkov glede zavarovanja osebnih podatkov sodi torej tudi ocena tveganja obdelave določenih zbirk osebnih podatkov in določanje ustreznih ukrepov glede na rezultate ocene tveganja, ki bodo nepooblaščeno obdelavo osebnih podatkov ustrezno preprečili.Več s področja varstva osebnih podatkov lahko najdete na spletni strani Pooblaščenca www.ip-rs.si, kjer si lahko ogledate tudi mnenja in odločbe s področja varstva osebnih podatkov, in sicer na naslovu 0712-479/2007/
48. S spoštovanjem, Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026