Vprašanja glede razvoja programa - IPRS

Vprašanja glede razvoja programa + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 31.05.2022 Številka: 07121-1/2022/581 Kategorije: --> Kategorije: Moderne tehnologije, Pogodbena obdelava podatkov, Vgrajeno in privzeto varstvo podatkov, Zavarovanje osebnih podatkov Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, v katerem pojasnjujete, da razvijate program, ki bo shranjeval podatke uporabnika in njegovih strank. Imate več vprašanj: V kolikšni meri sem odgovoren kot programer oz. izdelovalec rešitve če pri uporabniku pride do odtujitve podatkov? Kateri so koraki poleg kriptiranja podatkov ki jih lahko oz. moram še kot programer oz. izvajalec narediti da zadovoljim GDPR? Kaj narediti v primeru, da od mojega uporabnika stranka zahteva anonimizacijo, vendar moj uporabnik ima recimo dokument sklenjen z njegovo stranko, ki ga po zakonodaji mora hraniti več let (npr. zaradi inšpekcijskega postopka ali revizije)? Ali je tudi za vsako programsko rešitev, ki vsebuje nekatere osebne podatke potrebno voditi evidenco kdo in kdaj si je ogledal osebne podatke nekoga? Kakšno poročilo oz. kaj inšpektor pričakuje, če pride do preveriti, ali je aplikacija v skladu z GDPR? Virtualne tipkovnice lahko posredujejo podatke tretjim osebam, podobno je z aplikacijami, ki so vezane na platforme kot so Discord in Facebook.« Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Svetujemo vam, da primarno ugotovite, ali nastopate kot upravljavec ali obdelovalec osebnih podatkov. Tako upravljavec kakor tudi obdelovalec morata poskrbeti za to, da so osebni podatki ustrezno zavarovani, to pomeni, da morata s tehničnimi in organizacijskimi postopki in ukrepi preprečiti, da bi osebni podatki prišli v roke nepooblaščenim osebam, se nepooblaščeno uporabljali, brisali, spreminjali ali izgubili. Med drugim mora biti zagotovljena sledljivost pri obdelavi osebnih podatkov. Ob razvoju programa je pomembno tudi načelo vgrajenega in privzetega varstva podatkov. Ta terja, da se tako v sami zasnovi sistema (vgrajeno), kot tudi pri njegovi uporabi (privzeto), spoštuje načela varstva osebnih podatkov iz člena 5 Splošne uredbe o varstvu podatkov (npr. načelo najmanjšega obsega podatkov, načelo omejitve shranjevanja, itd.) in ostala določila Splošne uredbe, med drugim tudi pravice posameznikov. O b r a z l o ž i t e v: IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. V okviru nezavezujočega mnenja vam lahko podamo zgolj splošna pojasnila in priporočila. K
8. vprašanju IP vam svetuje, da primarno ugotovite v kakšni vlogi nastopate v konkretnem primeru. V danem primeru bi lahko nastopali v vlogi upravljavca ali obdelovalca podatkov, v kolikor pa program zgolj razvijate za naročnika in osebnih podatkov ne boste obdelovali, bi v vlogi upravljavca ali obdelovalca najverjetneje nastopal naročnik. V zadnjem primeru boste najverjetneje svoje razmerje z naročnikom in obseg odgovornosti uredili v pogodbi. Navedeno pogodbeno razmerje z vidika Splošne uredbe ni relevantno, saj ne gre za obdelavo osebnih podatkov in posledično IP za to ni pristojen. V skladu z definicijami iz člena 4 Splošne uredbe upravljavec osebnih podatkov: “pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice”. Upravljavec torej določi, zakaj in kako se bodo obdelovali osebni podatki, pri čemer ni potrebno, da ima upravljavec dejansko dostop do osebnih podatkov. Obdelovalec osebnih podatkov pa “pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca.” Obdelovalci so torej tiste organizacije oziroma posamezniki, ki po naročilu določenega upravljavca osebnih podatkov (stranka, naročnik, druga organizacija, podjetje, tudi organ iz javnega sektorja) in v skladu z njegovimi zahtevami za določeno nalogo oziroma namen zanj obdelujejo osebne podatke posameznikov. Več o vlogah upravljavcev in obdelovalcev si lahko preberete v smernicah na to temo: Smernice IP o pogodbeni obdelavi: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-o-pogodbeni-obdelavi, Guidelines 07/2020 on the concepts of controller and processor in the GDPR (za zdaj le v angleškem jeziku): https://edpb.europa.eu/our-work-tools/documents/public-consultations/2020/guidelines-072020-concepts-controller-and_en. Tako upravljavec osebnih podatkov kakor tudi obdelovalec sta zavezana spoštovati določbe Splošne uredbe. Med drugim sta v skladu s členom 32 Splošne uredbe dolžna poskrbeti za to, da so osebni podatki ustrezno zavarovani, to pomeni, da morata upravljavec in obdelovalec s tehničnimi in organizacijskimi postopki in ukrepi preprečiti, da bi osebni podatki prišli v roke nepooblaščenim osebam, se nepooblaščeno uporabljali, brisali, spreminjali ali izgubili. IP vas za več informacij napotuje na svojo spletno stran: https://upravljavec.si/zagotovite-varnost/. K
9. vprašanju Kriptiranje oziroma šifriranje podatkov je le eden izmed načinov zavarovanja osebnih podatkov. Kakor že pojasnjeno, sta upravljavec in obdelovalec dolžna ustrezno zavarovati osebne podatke, pri čemer sprejmeta tehnične in organizacijske postopke in ukrepe upoštevajoč naravo, obseg, okoliščine in namene obdelave ter tveganja za pravice in svoboščine posameznikov. Splošna uredba v členu 32 podaja le nekaj primerov ukrepov in postopkov: psevdonimizacija in šifriranje osebnih podatkov, zmožnost zagotoviti stalno zaupnost, celovitost, dostopnost in odpornost sistemov in storitev za obdelavo, zmožnost pravočasno povrniti razpoložljivost in dostop do osebnih podatkov v primeru fizičnega ali tehničnega incidenta postopki rednega testiranja, ocenjevanja in vrednotenja učinkovitosti tehničnih in organizacijskih ukrepov za zagotavljanje varnostni obdelave. Nekaj konkretnih primerov ukrepov in postopkov zavarovanja podatkov lahko najdete tudi na naši spletni strani: https://upravljavec.si/zagotovite-varnost/. IP vam svetuje, da primarno identificirate možna tveganja za varstvo osebnih podatkov in glede na navedeno sprejmete ustrezne ukrepe. Pri čemer je potrebno poudariti, da imajo upravljavci v primeru kršitev varnosti dolžnost o tem obvestiti IP, v določenih primerih pa tudi posameznike, več o navedeni obveznosti: https://upravljavec.si/zagotovite-varnost/obvezno-porocanje-o-krsitvah-varnosti/. K
10. vprašanju Z vidika varstva osebnih podatkov je vaše tretje vprašanje relevantno le, v kolikor gre za zahtevo stranke kot fizične osebe, ki zahteva, da se osebni podatki izbrišejo. Namreč Splošna uredba ne ureja obdelave podatkov pravnih oseb oziroma obdelave podatkov, ki niso osebni podatki. Splošna uredba daje posamezniku določene pravice v zvezi z obdelavo njegovih osebnih podatkov. Posameznik ima med drugim pravico do seznanitve z lastnimi osebnimi podatki, do izbrisa podatkov, do popravka netočnih podatkov, ugovora obdelavi in prenosljivosti podatkov. Posameznik ima na podlagi člena 17 Splošne uredbe pravico do izbrisa njegovih osebnih podatkov, vendar pravica ni absolutna. Med drugim je v členu 17 Splošne uredbe določeno, da se pravica do izbrisa ne uporablja, če je obdelava podatkov potrebna za izpolnjevanje pravne obveznosti obdelave na podlagi prava EU ali prava države članice (
11. odstavek člena 17 Splošne uredbe). Več o pravicah po Splošni uredbi si lahko preberete na spletni strani: https://tiodlocas.si/. Na tem mestu IP tudi opozarja na člen 25 Splošne uredbe, ki ureja privzeto in vgrajeno varstvo. Upravljavec naj tako v času določanja sredstev obdelave kot tudi v času same obdelave izvaja ustrezne tehnične in organizacijske ukrepe, ki so oblikovani za učinkovito izvajanje načel varstva podatkov ter v obdelavo vključi potrebne zaščitne ukrepe, da se izpolnijo zahteve Splošne uredbe in zaščitijo pravice posameznikov. Svetujemo vam, da že ob samem razvoju programa upoštevate vsa načela varstva osebnih podatkov (ta so urejena v členu 5 Splošne uredbe) kakor tudi ostala določila, med drugim tudi določila glede pravic posameznikov (npr. da program omogoča izvrševanje pravice do izbrisa). K
12. vprašanju Vaše vprašanje se najverjetneje nanaša na sledljivosti. V zvezi s tem vas IP napotuje na
13. člena ZVOP-1, ki še ostaja v veljavi, ta določa, da zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se med drugim omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. ZVOP-1 torej izrecno določa, da mora biti zagotovljena sledljivost pri obdelavi osebnih podatkov. Ta zahteva je še posebej nujna, če gre za obdelavo posebnih vrst osebnih podatkov (npr. podatki o zdravstvenem stanju posameznika). Ista določba določa tudi, da mora biti sledljivost zagotovljena za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. K
14. vprašanju IP kot nadzorni organ preko svojih inšpektorjev preverja skladnost obdelave osebnih podatkov s Splošno uredbo in ZVOP-1 (v delu, ki še ostaja v veljavi). V primeru kršitev so med drugim zagrožene globe. Pristojnosti nadzornega organa in inšpektorjev podrobneje določa Splošna uredba, ZVOP-1 in Zakon o inšpekcijskem nadzoru (Uradni list RS, št. 43/07 – uradno prečiščeno besedilo in 40/14). K
15. vprašanju IP ne razume povsem, ali se nanaša vprašanje na storitve, ki jih boste uporabili v okviru vašega programa (npr. API tretje osebe), ali gre za uporabo storitev oziroma aplikacij, ki jih uporabljajo posamezniki. V kolikor gre za prvo, IP vnovič pojasnjuje, da je treba podatke ustrezno zavarovati pred nepooblaščenimi dostopi. V kolikor pa je sam smisel storitve, da ima tretja oseba dostop do podatkov, je treba ugotoviti, ali nastopa kot (skupni) upravljavec ali obdelovalec osebnih podatkov. Potrebno je poudariti, da četudi organizacija ne bi imela dostopa do samih podatkov, lahko nastopa kot upravljavec ali obdelovalec podatkov. V kolikor gre za obdelovalca, je potrebno razmerje med upravljavcem in obdelovalcem pogodbeno urediti, člen 28 Splošne uredbe podrobneje določa, kaj vse mora pogodba vsebovati (več o pogodbeni ureditvi med upravljavcem in obdelovalcem si lahko preberete v zgornjih smernicah IP o pogodbeni obdelavi). Kadar se obdelava izvaja v imenu upravljavca je pomembno, da ta sodeluje zgolj z obdelovalci, ki zagotavljajo zadostna jamstva za izvedbo ustreznih tehničnih in organizacijskih ukrepov na tak način, da obdelava izpolnjuje zahteve iz Splošne uredbe in zagotavlja varstvo pravic posameznika. V kolikor pa podatke tretja oseba obdeluje kot upravljavec (ali skupni upravljavec) podatkov, mora za takšno obdelavo imeti ustrezno pravno podlago iz člena 6