Pošiljanje OP po elektronski pošti

Datum

16.06.2023

Številka

07121-1/2023/819

Kategorije

Elektronska pošta, Varnost osebnih podatkov

Pri Informacijskem pooblaščencu (IP) smo 12. 6. 2023 prejeli vaše zaprosilo za mnenje glede zahteve zavarovalnice po posredovanju vaših osebnih podatkov (npr. EMŠO, davčna številka ali številka kartice zdravstvenega zavarovanja) za namen potrditve identitete. Njihov zapis se vam zdi kontradiktoren, saj pošiljanje prek elektronske pošte ni najbolj varen način, zato vas zanima, ali je to sprejemljivo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Zakonodaja posameznikom ne preprečuje posredovanja osebnih podatkov po elektronski pošti. Vsak posameznik se lahko prostovoljno odloči, ali bo posredoval svoje osebne podatke.

Primerno zavarovanje osebnih podatkov je dolžnost upravljavca (v vašem primeru zavarovalnice), ki mora pri določanju ustrezne ravni varnosti upoštevati tveganja, ki jih pomeni obdelava osebnih podatkov.

Splošna uredba ne predpisuje točno določenega nabora varnostnih rešitev, zato mora upravljavec poskrbeti za ustrezno varnost pri prenosu osebnih podatkov skladno z opredeljenimi tveganji, ki izhajajo iz konkretnih okoliščin obdelave osebnih podatkov.

Obrazložitev

IP uvodoma pojasnjuje, da zakonodaja na področju varstva osebnih podatkov (Splošna uredba in ZVOP-2), posameznikom ne preprečuje posredovanja osebnih podatkov po elektronski pošti oziroma ne prepoveduje njene uporabe za posredovanje osebnih podatkov. Posameznik se lahko prostovoljno odloči, ali bo posredoval svoje osebne podatke.

Ob tem IP poudarja, da je upravljavec (v vašem primeru zavarovalnica) pri obdelavi osebnih podatkov dolžen upoštevati načela varstva osebnih podatkov ter osebne podatke primerno zavarovati, s t.i. tehnično-organizacijskimi ukrepi za zavarovanje osebnih podatkov (skladno s 24., 25. in 32. členom Splošne uredbe). Določanje primernih ukrepov za zavarovanje osebnih podatkov je odgovornost upravljavca, ki mora pri določanju ustrezne ravni varnosti upoštevati tveganja, ki jih pomeni obdelava, zlasti zaradi nenamernega ali nezakonitega uničenja, izgube, spremembe, nepooblaščenega razkritja ali dostopa do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani.

Splošna uredba je glede varnosti podatkov tehnološko nevtralna in ne predpisuje točno določenega nabora varnostnih rešitev. Upravljavec mora poskrbeti za ustrezno varnost pri prenosu osebnih podatkov skladno z zgoraj opredeljenimi tveganji, ki izhajajo iz konkretnih okoliščin obdelave osebnih podatkov. Pojasnjujemo, da je sicer posredovanje osebnih podatkov preko elektronskih omrežij pod splošnimi pogoji dopustno, vendar je priporočljivo, da tudi na tem mestu upravljavec presodi, ali je glede na konkretne okoliščine treba osebne podatke dodatno zavarovati tako, da se prepreči nepooblaščen dostop do osebnih podatkov pri njihovem prenosu.

Lepo vas pozdravljamo,

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka