Varovanje poštnih pošiljk z osebnimi podatki

Datum

20.05.2024

Številka

07121-1/2024/590

Kategorije

Obveščanje o kršitvah varnosti, Telekomunikacije in pošta, Varnost osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaše vprašanje o tem, kako je treba ravnati s poštnimi pošiljkami, pri katerih se pošiljajo osebne izkaznice, potni listi, vozniška dovoljenja, bančne kartice, odločbe o dohodnini ipd. Kaj lahko storite, če poštar pomotoma taka pisma vstavi v nabiralnik soseda?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

1.1. Področni zakon, ki ureja pogoje in postopek za izvajanje poštnih storitev, je Zakon o poštnih storitvah (ZPSto-2), skladno s katerim morajo izvajalci poštnih storitev varovati zaupnost poštnih pošiljk.

2.Za nadzor nad pravilnim izvajanjem univerzalne poštne storitve v skladu z ZPSto-2 je pristojna Agencija za komunalne storitve in omrežja RS (AKOS) in ne IP.

3.Z vidika varnosti osebnih podatkov, ki se prenašajo, morajo biti pošiljke v času prenosa po pošti (npr. ob prenosu v kuverti) ustrezno zavarovane, pri čemer so postopki in ukrepi za zavarovanje vedno odvisni od konkretnega tveganja, ki ga predstavlja prenos in narava osebnih podatkov, ki se prenašajo (npr. vsebina in občutljivost vsebine pošiljke).

4.V primeru, ko bi se z vašimi osebnimi podatki seznanila nepooblaščena tretja oseba (npr. sosed ob pomotni vročitvi vam naslovljenega pisma v njegov poštni nabiralnik) bi takšno ravnanje lahko predstavljalo kršitev varnosti osebnih podatkov kot to določa 32. člen Splošne uredbe.

Obrazložitev

IP uvodoma poudarja, da lahko podaja zgolj nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati zakonitost obdelave osebnih podatkov v konkretnem primeru. V nadaljevanju vam zato podajamo zgolj splošna pojasnila v povezavi z vašim vprašanjem, pri tem poudarjamo, da je IP pristojen le za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov in ga ureja 38. člen Ustave Republike Slovenije (Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami; v nadaljevanju Ustava RS). Ravnanje s poštnimi pošiljkami se namreč nanaša zlasti na tajnost pisem in drugih občil, ki je zagotovljena s 37. členom Ustave RS.

Področni zakon, ki sicer ureja pogoje in postopek za izvajanje poštnih storitev, je Zakon o poštnih storitvah (Uradni list RS, št. 51/09, 77/10, 40/14 - ZIN-B, 81/15; v nadaljevanju ZPSto-2). Ta v 53. členu določa, da morajo izvajalci poštnih storitev varovati zaupnost poštnih pošiljk v skladu z zakonom, ki ureja varstvo osebnih podatkov. Nadalje določa, da izvajalci poštnih storitev ne smejo pridobivati informacij o vsebini poštnih pošiljk ter podatkov o okoliščinah in dejstvih poštnega prometa. Če morajo izvajalci poštnih storitev pridobiti podatke o dejstvih ali okoliščinah, povezanih s prenesenimi poštnimi pošiljkami zaradi samega izvajanja poštnih storitev ter reševanja reklamacij in pritožb, jih lahko pridobijo le v takem obsegu in za toliko časa, kot je potrebno za izvajanje poštnih storitev, reševanje reklamacij in pritožb. Pravne in fizične osebe, ki so izvajale poštne storitve, morajo varovati zaupnost poštnih pošiljk tudi po koncu dejavnosti, v okviru katere so jo bile dolžne varovati. Izvajalci poštnih storitev morajo vzpostaviti tudi ustrezne sisteme za preprečevanje posegov v zaupnost poštnih pošiljk. Navedeni 53. člen ZPSto-2 sicer v petem odstavku določa, da se lahko ne glede na navedene določbe odstopi od dolžnosti varovanja zaupnosti poštnih pošiljk v skladu s 55. členom ZPSto-2, vendar zgolj ob izkazu pogojev iz tega člen (npr. zaradi uvedbe ali poteka kazenskega postopka ali varnosti države).

ZPSto-2 v 37. členu tudi določa, da morajo izvajalci poštnih storitev iz drugega in tretjega odstavka 24. člena tega zakona objaviti splošne pogoje izvajanja poštnih storitev in cene teh storitev. Skladno s tem je Pošta Slovenije, maja 2023, izdala Splošne pogoje izvajanja univerzalne poštne storitve, ki v tretjem odstavku 44. člena določajo, da izvajalec poštne storitve (Pošta Slovenije) zagotavlja zaupnost in varnost osebnih podatkov uporabnikov v skladu z veljavno zakonodajo. Več o obdelavi osebnih podatkov s strani Pošte Slovenije je možno razbrati v odseku št. VII. zadevnih splošnih pogojev. Za nadzor nad pravilnim izvajanjem univerzalne poštne storitve v skladu s predpisi (ZPSto-2) je pristojna Agencija za komunalne storitve in omrežja RS (AKOS) in ne IP.

IP z vidika varnosti osebnih podatkov pri ravnanju s poštnimi pošiljkami poudarja, da morajo biti osebni podatki (npr. osebne izkaznice, potni listi, vozniška dovoljenja, bančne kartice, odločbe o dohodnini kot dokumenti, ki nedvomno vsebujejo osebne podatke) v času prenosa po pošti (npr. ob prenosu v kuverti) ustrezno zavarovani, pri čemer so postopki in ukrepi za zavarovanje vedno odvisni od konkretnega tveganja, ki ga predstavlja prenos in narava osebnih podatkov, ki se prenašajo (npr. vsebina in občutljivost vsebine pošiljke).

IP namreč stoji na stališču, da morajo biti osebni podatki, ki se prenašajo prek pošte, zavarovani na takšen način, da se prepreči nepooblaščena seznanitev z osebnimi podatki, ki se prenašajo, kjer morajo biti ovojnice izdelane in zlepljene na način, s katerim se zagotovi, da se iz ovojnic ob sortiranju, rokovanju in prenosu ni možno seznaniti z vsebino pošiljke. Skladno s 32. členom Splošne uredbe mora namreč vsak upravljavec osebnih podatkov (v konkretnem primeru torej Pošta Slovenije) glede na naravo osebnih podatkov, ki jih obdeluje in s tem povezana specifična tveganja zagotoviti ustrezne ukrepe za varnost osebnih podatkov, da prepreči med drugim tudi nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje ali dostop do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani. Zadevni ukrepi so vedno vezani na konkretne okoliščine primera in jih IP ne more na splošno v okviru mnenj opredeliti ali celo presojati izven izvedbe inšpekcijskega postopka.

V primeru, ko bi se z vašimi osebnimi podatki sicer seznanila nepooblaščena tretja oseba (npr. sosed ob pomotni vročitvi vam naslovljenega pisma v njegov poštni nabiralnik) bi takšno ravnanje lahko predstavljalo kršitev varnosti osebnih podatkov kot to določa 32. člen Splošne uredbe. Če želite podati prijavo zaradi kršitev varstva osebnih podatkov, lahko to oddate na obrazcu, ki je dostopen na spletni strani IP, kjer je opisan tudi način vložitve prijave: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/vlozitev-prijave. Ob prijavi priložite ustrezno dokumentacijo, s konkretnimi navedbami kje, kdaj in kaj se je zgodilo, ter od kod ste prejeli informacijo o kršitvi z vsemi morebitnimi dokazili.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Pripravil

Grega Rudolf, asistent svetovalca pri IP

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka