Varnostno kopiranja podatkov - IPRS

Varnostno kopiranja podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 07.06.2021 Številka: 07121-1/2021/1065 Kategorije: --> Kategorije: Delovna razmerja, Elektronska pošta, Pravne podlage, Zavarovanje osebnih podatkov Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje in sicer ste pojasnili, da so v podjetju prosili za vzpostavitev varnostnega kopiranja podatkov na napravo, ki ostaja znotraj prostorov podjetja. Do naprave ima dostop samo upravljalec varnostnega kopiranja (IT služba), dostop je mogoč samo preko specifičnega programa z uporabo uporabniškega imena in gesla. V zvezi s tem ste postavili naslednja vprašanja: - Kako je z varnostnim kopiranjem dokumentov uporabnika (dokumenti, namizje, pošta…): - Je to sploh mogoče, je dovolj pisno privoljenje uporabnika? - Se lahko izdela interni akt, s katerim se uporabnikom prepove ali opozori, da v dokumente ne smejo shranjevati osebnih stvari? - Namreč z vidika delovanja podjetja, so marsikateri dokumenti kritične narave in ob izgubi le teh se delovni proces lahko tudi ustavi. V kolikor to ni mogoče, ali je mogoče določiti posebno mapo na računalniku, kjer se lahko shranjujejo samo interni službeni dokumenti ? - Kaj se zgodi, če je uporabnik opozorjen, a vseeno v to mapo shrani osebne dokumente? Lahko kasneje toži podjetje ? - V kolikor je elektronski naslov na IME ali IME.PRIIMEK, le tega verjetno ni dovoljeno varnostno kopirati ? Kako je s tem, če se pridobi pisno soglasje lastnika poštnega predala ? - V kolikor je elektronski naslov generične oblike (npr. prodaja@nekaj.com), ali se vseeno rabi pisno dovoljenje uporabnikov ? - Kako je v primeru, če elektronska sporočila vsebujejo osebne podatke tretjih oseb ? Npr. davčne številke, elektronske naslove itd. - Kako je v primeru, če dokumenti vsebujejo osebne podatke tretjih oseb (oseb, ki niso zaposlene v podjetju). Podjetje ima izdelano politiko varovanja osebnih podatkov, ampak to se ne nanaša na varnostno kopiranje, ali pač ? Je dovolj da je uporabnik seznanjen, da se njegovi podatki zbirajo za obdelovanje ? Namreč varnostno kopiranje verjetno ni obdelovanje ? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da morajo upravljavci in obdelovalci osebnih podatkov zagotoviti ustrezne tehnične in organizacijske ukrepe za varnost osebnih podatkov, med katere sodi tudi zagotovitev varnostnega kopiranja osebnih podatkov. Pri tem že uvodoma opozarjamo in s tem odgovarjamo na vaše zadnje vprašanja, da se tudi kopiranje osebnih podatkov šteje za obdelavo osebnih podatkov - glede na določbo
8. odstavka
9. člena Splošne uredbe pomeni „obdelava“ vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje; Izvajanje varnostnega kopiranja osebnih podatkov tako pomeni dolžnost upravljavcev in obdelovalcev ter in ne nekaj v kar bi morali oziroma bi lahko zadevni posamezniki privolili, zato privolitev posameznika v tem primeru ni relevantna pravna podlaga. Privolitev posameznika namreč ne mora biti primerna pravna podlaga, ko posameznik nima resnično prostovoljne izbire, poleg tega pa gre kot rečeno za dolžnost upravljavcev in obdelovalcev ter njihov zakonit interes po zagotavljanju varnosti podatkov, ki ne more biti prepuščen svobodni volji posameznika. IP priporoča, da so postopki varnostnega kopiranja natančno in jasno opisani v internih aktih organizacije, predvsem je treba jasno določiti, kateri nosilci podatkov se kopirajo, pogostost kopiranja podatkov in s tem povezana tehnična vprašanja. Poudarjamo, da se navedeno nanaša na zbirke osebnih podatkov, ki jih vodi upravljavec in obdelovalec in jih je moral tudi evidentirati skladno s členom 30 Splošne uredbe. Glede kopiranja dokumentov uporabnika pa je odločitev organizacije, katere podatke oziroma dokumente uporabnika, ki ne sodijo v zbirke osebnih dokumentov (kot so npr. dokumenti in podatki, ki si jih uporabnik shrani na namizje ali na druga mesta na lokalnem disku delovne postaje in so lahko bodisi služene bodisi zasebne narave). Ključno je, da je uporabnikom jasno, kateri diski oziroma nosilci podatkov se varnostno kopirajo in kateri ne, primerno pa je tudi natančno opredeliti, katere vsebine je dopustno hraniti na določenih mestih in katere ne. Povsem na mestu je tudi opozoriti uporabnike, da na določena mesta, kot so npr. skupni mrežni imeniki ne shranjujejo dokumentov zasebne narave in po drugi strani, da se na določena mesta obvezno shranjuje dokumente oziroma podatke službene narave (ravno npr. zaradi situacij, ko podatki, ki so potrebni za delovni proces, zaradi hrambe na lokalnem disku ne bi bili dostopni). Delodajalec praviloma tudi ni dolžan zagotavljati varnostnega kopiranja podatkov, ki so povsem zasebne narave uporabnika in lahko na to uporabnike tudi opozori. Glede vašega vprašanja, kaj se zgodi, če je uporabnik opozorjen, a vseeno v to mapo shrani osebne dokumente in se recimo vsebina zasebnega dokumenta izgubi ali zlorabi pojasnjujemo, da je tudi zaradi te možnosti tako z vidika delodajalca kot z vidika zaposlenih ključno, da so pravila glede rabe službenih sredstev, kar vključuje tako hrambo podatkov na njih kot določbe glede varnostnega kopiranja, jasne in natančne in da so uporabniki z njimi seznanjeni. S tem se namreč vpliva na t.i. pričakovano zasebnost posameznika, ki je utemeljeno nižja, če in ko je bil posameznik vnaprej seznanjen s pravili uporabe in ima pomembno vlogo tudi v morebitnih sporih. Glede varnostnega kopiranja predalov elektronske pošte zakonodaja na splošno ne določa izrecnih pravil, če ne gre za zbirke podatkov, ki sodijo v dokumentarno gradivo, zato mora organizacija presoditi, v kakšnem obsegu in na kakšen način je za zagotavljanje nemotenosti poslovanja potrebno izvajati varnostno kopiranje predalov elektronske pošte, kar se nanaša tako na skupne predale kot na predale službene pošte posameznika (ne glede na njihovo poimenovanje). Elektronska pošta praktično vedno vsebuje tudi (osebne) podatke tretjih oseb, česar pa ni mogoče vnaprej predvideti (katere podatke, koliko, katerih oseb), zato se pravila postavijo praviloma glede na tip določenega predala e-pošte (lahko so npr. različna pravila glede časa hramb podatkov v generičnih predalih in v individualnih predalih e-pošte). Tudi v tem primeru velja, da privolitev posameznika ni relevantna, pomembna pa je vnaprejšnja opredelitev v internih aktih in seznanjenost uporabnikov s temi določbami. Pri oblikovanju internih aktov pa je seveda treba upoštevati tudi vsa temeljna načela varstva osebnih podatkov, kot zakonitost, sorazmernost (tako glede obsega obdelave kot glede rokov hrambe) in transparentnost. V javnem sektorju določena vprašanja varnosti podatkov ureja Uredba o informacijski varnosti ((Uradni list RS, št. 29/18 in 131/20; dostopno na: http://www.pisrs.si/Pis.web/pregledPredpisa?id=URED7198) ki vam je morda lahko v pomoč pri urejanju tovrstnih vprašanj v vaši organizaciji. Prav tako so vam lahko v pomoč interni akti IP: Pravilnik o postopkih in ukrepih za zavarovanje osebnih podatkov; Pravilnik o postopkih in ukrepih pri delovanju in vzdrževanju informacijskega okolja Informacijskega pooblaščenca. Pripuščamo vam tudi seznanitev s smernicami IP in sicer glede na zastavljena vprašanja zlasti: Smernice o zavarovanju osebnih podatkov Smernice o varstvu osebnih podatkov v delovnih razmerjih ter Smernice o uporabi zasebnih naprav v službene namene (BYOD). Smernice IP so dostopne na povezavi: https://www.ip-rs.si/publikacije/prirocniki-in-smernice/. S spoštovanjem, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026