Storitev v oblaku - kopiranje podatkov po prenehanju pogodbe + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 17.09.2017 Številka: 0712-1/2017/1760 Kategorije:Delovna razmerja, Moderne tehnologije, Pogodbena obdelava OP, Zavarovanje osebnih podatkov --> Kategorije: Pogodbena obdelava OP, Delovna razmerja, Moderne tehnologije, Zavarovanje osebnih podaktov Spoštovani, Informacijskemu pooblaščencu (v nadaljevanju IP) ste dne 4. 9. in 12. 9. 2017 poslali tri e-sporočila, v katerih ste navedli svoja razmišljanja in vprašanja, ki so se vam zastavila v zvezi s prenehanjem pogodbe o hrambi podatkov v oblaku ter izročanjem kopije podatkov. Opisali ste primer ponudnika storitev v oblaku, ki naročniku nudi določeno število virtualnih računalnikov. Vsak od teh virtualnih računalnikov je zaklenjen z geslom posameznega uporabnika, tj. zaposlenega pri naročniku. Virtualni računalnik je po funkciji mogoče enačiti z namizno delovno postajo ali prenosnim računalnikom, kjer vsak zaposleni neavtoriziran dostop zaščiti s svojim geslom. Ponudnik storitev v oblaku v takem primeru ni pooblaščen za obdelavo naročnikovih podatkov, ampak zgolj za tehnično delovanje virtualnih računalnikov, poleg tega nima in ne sme imeti dostopa do same vsebine na diskih, saj vsebine podatkov za naročnika ne obdeluje, ker podatkov niti ne pozna. Izpostavili ste težavo, ki bi se pojavila, če bi naročnik vrnil namizne računalnike ponudniku in zahteval, da na zunanji disk prekopira vse podatke iz vseh računalnikov od vseh zaposlenih. Na ta način bi naročnik pridobil dostop do vseh osebnih zadev zaposlenih (njihova zasebna elektronska sporočila, zasebne datoteke, vso zgodovino brskanja po internetu itd.). To pa bi bil po vašem mnenju poseg v zasebnost dejanskega uporabnika (zaposlenega), ker brez njegovega izrecnega pooblastila (še bolje njegove prisotnosti) ponudnik storitev ne bi smel opraviti kopiranja. V kolikor bi bilo to dovoljeno, bi bil to obvod zakonskih določil, kako si lahko podjetje v vsakem trenutku omogoči dostop do zasebnih podatkov posameznega uporabnika. Glede na navedbe v dokumentu, ki ste ga poslali, je praksa, da se ob prekinitvi pogodbenega razmerja podatki preprosto izbrišejo. Vendar to po vašem mnenju moralno ni ravno prav in je potrebno dati naročniku možnost (proti plačilu seveda), da si podatke skopira, v kolikor tega ni že naredil sam. Uporabnik ima namreč ves čas možnost, dejansko je to po zdravi pameti dolžnost, da podatke kopira bodisi na svoje lokalne medije bodisi na npr. DropBox ali GoogleDrive. Menite, da gre za dokaj novo zadevo, ki bi morala biti pravno bolj urejena. Prva težava po vašem mnenju nastane s pojmom »storitve v oblaku«, ki jih nikakor ne gre avtomatsko enačiti z »obdelovanjem podatkov«. Storitve v oblaku lahko grobo ločimo na vsaj dve področji: - servisne ali aplikativne storitve, npr. elektronska pošta (Gmail), komunikacije (Skype), družbena omrežja (Facebook), shrambe podatkov (DropBox), oddaljene pisarne (Office365), baze podatkov (SQL instances). Pri vseh gre za to, da lastnik IT sistema skladno s pogodbo ali pravili podatke dejansko obdeluje na tak ali drugačen način za uporabnika (hrani, analizira itd). V trenutku, ko je pogodba prekinjena, uporabnik nima več dostopa do podatkov in se načeloma izbrišejo. Verjetno je zelo zamegljeno, kdo je lastnik, upravljavec ali uporabnik podatkov. - infrastrukturne storitve: v tem primeru gre za virtualne ali navidezne računalnike, ki so po svoji funkcionalnosti popolnoma enaki fizičnim računalnikom. Naloga ponudnika je zgolj zagotoviti tehnično delovanje teh računalnikov in načeloma ponudnik sploh ne ve, kaj ti računalniki »počnejo«. Kot primer ste navedli DropBox kot shrambo podatkov (ponudnik servisnih storitev), ki je gostoval pri Amazon (ponudnik infrastrukturnih storitev). DropBox je torej uporabil virtualno infrastrukturo, preko katere je ponujal svoje servisne oz. aplikativne storitve. Sistemski administratorji Amazon niso imeli dostopa do dejanskih podatkov na virtualnih računalnikih, ker je z njimi upravljal DropBox popolnoma enako in po enakih pravilih, kot bi to počel z dejansko fizičnim informacijskim sistemom. To pomeni, da je za varnostne politike ter preprečevanje zlorab odgovoren DropBox in ne Amazon. Seveda bi lahko Amazon z različnimi orodji razbil zaščito ter vdrl v sistem, vendar to ni dovoljeno. Navedli ste, da je v konkretnem primeru naročnik imel X virtualnih računalnikov – vsak zaposleni enega z lastnim geslom, poleg tega še poštni strežnik, domenski strežnik itd. Zadevo gre popolnoma enačiti s tem, da delodajalec da na uporabo vsakemu zaposlenemu en prenosni računalnik. Naloga ponudnika je, da zagotovi ustrezno število delujočih računalnikov in jih v celoti (zrcalna kopija) vsakodnevno backupira, ne da bi se lahko seznanil z vsebino posameznega računalnika. Teoretično bi se na teh računalnikih lahko izvajale tudi servisne ali aplikativne storitve s strani naročnika. Za kaj je naročnik uporabljal infrastrukturne storitve ponudnika niti ni stvar ponudnika. Predstavnik naročnika po prekinitvi pogodbe lahko zahteva kopijo podatkov (splošni strežniki), ne more pa zahtevati kopije podatkov posameznih uporabnikov oz. njihovih delovnih postaj brez njihovega soglasja ali še bolje sodelovanja, saj bi (
- bo)prišlo do razkritja osebnih zadev posameznega uporabnika, ker bi se npr. kopirala vsa elektronska sporočila in celotna recimo Skype komunikacija. Če navedeni primer primerjate z Amazon in DropBox: slednji je prekinil pogodbo z Amazon in naenkrat zahteva od Amazon, da prekopira vse podatke na zunanje medije. Torej podatke in ne virtualne diske, ker teh diskov DropBox v drugem sistemu ne more uporabiti. Najmanj kar je potrebno je, da bi DropBox pridobil soglasje vseh uporabnikov, da sme Amazon opraviti vpogled in kopiranje podatkov, brez tega kopiranje ne more biti dovoljeno. Menite, da je potrebno vzpostaviti prakso, kako reagirati v takem primeru. Vaš predlog je naslednji: 1. Posamezni uporabnik se zglasi pri ponudniku in ponudnik omogoči dostop do virtualnega računalnika. 2. Uporabnik se prijavi z lastnim geslom ter »očisti« svoj računalnik, preostale podatke skopira na zunanji medij. 3. Po opravljenem kopiranju uporabnik izbriše vse podatke. 4. Podpiše se zapisnik o primopredaji podatkov ter uničenju izvornih podatkov. Na splošno bi moral biti definiran rok, koliko časa naj ponudnik hrani virtualne računalnike in da se v primeru neodzivnosti naročnika virtualni računalniki izbrišejo. Z zgoraj navedenim postopkom bi se preprečila zloraba osebnih podatkov in očitki, da so bili podatki spremenjeni, delno izbrisani ali poškodovani ipd., zaščitilo pa bi se tudi naročnika in ponudnika. Izpostavili ste namreč dvom, ali sploh sme ponudnik storitev spremeniti gesla uporabnika (zaposlenega), ker se s tem teoretično lahko seznani z vsemi njegovimi osebnimi podatki. Ta dvom je še toliko bolj upravičen, ker tudi če bi pooblaščena oseba naročnika tako soglasje dala, to še zdaleč ne pomeni, da se dejanski uporabniki (zaposleni pri naročniku) tudi s tem strinjajo. Navedli ste tudi, da lahko v primeru spremembe gesel uporabnik kadarkoli zatrjuje, da so bili podatki poškodovani, spremenjeni, izbrisani ali zlorabljeni, zaradi česar je ponudnik praktično doživljenjsko izpostavljen na milost ali nemilost uporabnika, saj po preteku razmerja ne sme več hraniti podatkov. Poleg tega stroški kopiranja podatkov niso nikoli v okviru redne ponudbe in pogodbe, pač pa so dodatna storitev, ki se obračuna po ceniku, saj bi lahko naročnik zahteval kopije podatkov dnevno. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/2007-UPB1, v nadaljevanju ZVOP-1) ter 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/2005 in 51/2007–ZUstS-A), posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem, pri čemer že uvodoma izpostavljamo, da lahko dokončne odgovore o zakonitosti (pogodbene) obdelave osebnih podatkov, ki jo opisujete, IP poda zgolj v okviru inšpekcijskega postopka. Obrazložitev: IP meni, da so ponudniki storitev računalništva v oblaku, ki za svoje naročnike kopirajo in hranijo osebne podatke, pogodbeni obdelovalci osebnih podatkov[1], saj hramba po 3. točki 6. člena ZVOP-1 sodi med obdelavo osebnih podatkov. To velja tudi, če so hranjeni podatki kriptirani, tako da jih ponudnik niti ne more prebrati. Pogodbena obdelava osebnih podatkov je urejena v 11. členu ZVOP-1, ki v prvem odstavku določa, da lahko upravljavec osebnih podatkov (naročnik) posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu (ponudniku), ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz 24. člena ZVOP-1, tj. postopke in ukrepe za zavarovanje osebnih podatkov. V skladu z drugim odstavkom 11. člena ZVOP-1 sme pogodbeni obdelovalec opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki. Tretji odstavek 11. člena ZVOP-1 določa, da je pogodbeni obdelovalec v primeru spora med upravljavcem osebnih podatkov in pogodbenim obdelovalcem dolžan na podlagi zahteve upravljavca osebne podatke, ki jih je pogodbeno obdeloval, nemudoma vrniti upravljavcu. Morebitne kopije teh podatkov pa mora takoj uničiti ali jih posredovati državnemu organu, ki je v skladu z zakonom pristojen za odkrivanje ali pregon kaznivih dejanj, sodišču ali drugemu državnemu organu, če tako določa zakon. Namen ustrezne ureditve pogodbene obdelave je predvsem jasnost razmerja med naročnikom in ponudnikom (zlasti z vidika obsega nudenih storitev), zagotovitev ustrezne varnosti pri obdelavi osebnih podatkov ter natančna razmejitev odgovornosti med naročnikom in ponudnikom. Praviloma naj bi naročnik določal, kaj in kako bo ravnal ponudnik, vendar pa so pri ponudbi storitev računalništva v oblaku praviloma dejansko zaradi ustrezne usposobljenosti in tehnične ter strokovne opremljenosti ponudniki tisti, ki v praksi določajo pogoje uporabe, ravni zavarovanja in druge pomembne elemente poslovanja. Pri tem je skrb za samo zakonitost primarne obdelave podatkov na strani upravljavca (ta je torej dolžan s pogodbenim obdelovalcem postopke, na katere povsem utemeljeno in upravičeno opozarjate, vzpostaviti na način, da je obdelava osebnih podatkov – v opisanem primeru osebnih podatkov zaposlenih – zakonita in da se ne posega prekomerno v zasebnost zaposlenih. Kot izhaja iz 11. člena ZVOP-1, bi ponudnik moral osebne podatke po prekinitvi pogodbe izbrisati s svojih strežnikov, morebitne kopije pa vrniti naročniku ali jih uničiti. Ponudnik bi lahko po pooblastilu naročnika podatke kopiral na zunanji medij in mu jih izročil. Če ta storitev ni navedena v pogodbi, IP priporoča, da ponudnik pridobi pisno pooblastilo naročnika; kako bo ponudnik storitev obračunal, pa ni predmet ZVOP-1, ampak dogovora med naročnikom in ponudnikom. Vse navedeno velja tudi pri hrambi osebnih podatkov v oblaku, vendar pa gre v primeru, ki ste ga opisali za specifično situacijo, ker ne gre za hrambo »tipičnih« zbirk osebnih podatkov, do katerih lahko naročnik kot upravljavec dostopa kadarkoli. IP se namreč strinja z vami, da je virtualne računalnike mogoče enačiti z namiznimi delovnimi postajami in prenosnimi računalniki in da tudi delodajalec nima pravne podlage, da bi kadarkoli dostopal do njihove vsebine oziroma računalnikov ali do predalov e-pošte zaposlenih. Računalniki (bodisi virtualni ali prenosni) so namreč zaščiteni z gesli, ki jih praviloma poznajo le zaposleni, ki jih uporabljajo (hramba gesel v berljivi obliki s strani delodajalca ni dopustna), zato sprememba gesla za dostop do računalnika brez vednosti in soglasja zaposlenega ne bi bila zakonita, saj delodajalec za takšen poseg v zasebnost zaposlenega v večini primerov nima pravne podlage, posledično pa je nima niti ponudnik virtualnih računalnikov. Zato je ponudnik ravnal prav, ko na zahtevo naročnika ni avtomatično spremenil gesel zaposlenih za dostop do virtualnih računalnikov in kopiral podatkov ter mu jih izročil (v telefonskem pogovoru ste pojasnili, da želi kopijo podatkov pridobiti direktor naročnika na USB ključku), saj bi s takšnim ravnanjem dejansko nezakonito posegel v zasebnost zaposlenih, do katere so upravičeni tudi na delovnem mestu oziroma pri uporabi službenih delovnih sredstev. Kot je razbrati namreč pogodba ne opredeljuje izrecno postopkov ravnanja v tem primeru ter dolžnosti upravljavca v zvezi s tem. IP meni, da bi v konkretnem primeru moral naročnik svoje zaposlene obvestiti o tem, da namerava prekiniti pogodbo in da bo pridobil kopijo vse podatkov, ki jih hrani ponudnik, torej tudi tistih, ki jih imajo zaposleni na službenih (virtualnih) računalnikih. Zato bi jih moral pozvati oziroma jim dati možnost, da v določenem času s svojih računalnikov izbrišejo sporočila in dokumente zasebne narave ali jih shranijo na drug podatkovni medij (npr. zgoščenko, USB ključ). Šele ko bi zaposleni to storili (priporočljivo je, da vsak zaposleni o izbrisu zasebnih vsebin podpiše izjavo, da na službenem računalniku ni več nobenih podatkov, katerih uporaba bi pomenila poseg v njegovo zasebnost), bi ponudnik lahko podatke kopiral na prenosni medij in jih izročil naročniku ter zbrisal s svojih strežnikov. Dejstvo je namreč, da mora ponudnik naročniku omogočiti pridobitev kopije osebnih podatkov v formatu, ki naročniku omogoča nadaljnjo uporab(n)o(
- st)podatkov (v konkretnem primeru so podatki zaščiteni z gesli zaposlenih in šifrirani). V nasprotnem primeru bi se lahko ponudnik izpostavil potencialni prekrškovni in odškodninski odgovornosti. Čeprav primarna odgovornost za zakonitost obdelave leži na upravljavcu, torej delodajalcu. Podobno velja tudi za morebitno samovoljno (oziroma brez dogovora med naročnikom in ponudnikom) brisanje osebnih podatkov s strani ponudnika, četudi naročnik krši pogodbene obveznosti in ponudniku ne plačuje storitev. V takem primeru lahko ponudnik uporabi institute, ki jih predvidevata civilno ali kaznovalno pravo (kazensko in prekrškovno). V zvezi z opisanim primerom zato svetujemo ustrezen pisni dogovor med upravljavcem in pogodbenim obdelovalcem, v katerem bo jasno opredeljen postopek ravnanja v opisanih primerih. Več informacij o varstvu osebnih podatkov v primeru računalništva v oblaku pa si lahko preberete v smernicah IP na to temo: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_Varstvo_osebnih_podatkov_in_racunalnistvo_v_oblaku_2016.pdf Lepo pozdravljeni, Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka [1] Pogodbeni obdelovalec osebnih podatkov je v skladu s 7. točko 6. člena ZVOP-1 fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov. O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026