Podpisovanje strank elektronskih dokumentov na tablicah

Datum

21.02.2023

Številka

07121-1/2023/245

Kategorije

Biometrija, Moderne tehnologije

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje, v katerem ste nas prosili za mnenje. Pojasnili ste, da želite v podjetju pri vaših strankah uvesti podpisovanje elektronskih dokumentov na tablicah. Zanima vas, ali lahko podpise shranite kot sliko v podatkovno bazo ali je kakršna koli omejitev v zvezi s tem.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Uporaba elektronskih podpisnih tablic, ki zajemajo posameznikov podpis pri podpisovanju na tablico zgolj za preslikavo podpisa na dokumente tako, da se ob tem ne zabeležijo biometrične značilnosti posameznika (npr. hitrost, pritisk, kot, značilen ritem podpisovanja, ipd.) ne sodi med biometrijske ukrepe po ZVOP-2. Veljajo splošne določbe glede zakonitosti in ostalih temeljnih načel varstva osebnih podatkov po 5. členu Splošne uredbe, IP pa ni pristojen za opredeljevanje glede zahtev druge zakonodaje o dokazni vrednosti tako zajetih podpisov in zahtev zakonodaje glede ravnanja z gradivom; glede slednjega vam priporočamo, da preverite predvsem določbe Zakona o varstvu dokumentarnega in arhivskega gradiva ter arhivih (ZVDAGA) ter Zakona o elektronski identifikaciji in storitvah zaupanja (ZEISZ).

Obrazložitev

IP uvodoma pojasnjuje, da je glede podpisnih tablic izdal mnenje št. 0712-1/2017/492 z dne 15.3.2017, ki je dostopno na: https://www.ip-rs.si/mnenja-zvop/podpisne-tablice-in-osebni-podatki, upoštevati pa morate, da je s 26. 1. 2023 v uporabo stopil ZVOP-2. Kot smo pojasnili v omenjenem mnenju je pomembno najprej ugotoviti ali gre za t.i. biometrijske podpisne tablice ali zgolj za digitalizacijo lastnoročnega elemente, ne da bi se pri tem zajeli biometrijski podatki. Uporaba elektronskih podpisnih tablic, ki zajemajo posameznikov podpis pri prevzemu paketa ali zgolj za digitalni zajem ali preslikavo podpisa na dokumente tako, da se ob tem ne zabeležijo biometrične značilnosti posameznika (npr. hitrost, pritisk, kot, značilen ritem podpisovanja, ipd.) ne sodi med biometrijske ukrepe po ZVOP-2. Sam podpis osebe moramo šteti za njegov osebni podatek, zato je za njegovo obdelavo potrebno imeti eno od pravnih podlag, ki jih določa Splošne uredba – pri opravljanju storitev bo to najpogosteje podlaga v pogodbi s posameznikom po b) točki prvega odstavka 6. člena Splošne uredbe ter upoštevati ostala temeljna načela po 5. členu Splošne uredbe.

ZVOP-2 in Splošna uredba neposredno ne urejata področja zajema podpisa posameznika preko sodobnih tehnologij, kot so t. i. (digitalne) elektronske podpisne tablice, ki so v zadnjem času vse bolj razširjen pripomoček za optimizacijo poslovnih procesov, saj uporabnikom omogočajo praktičen način, pri katerem se posameznik podpiše kot običajno, vendar se podpis ob nastanku elektronsko zajame in shrani ter v elektronski obliki doda na elektronski dokument. Uporaba podpisnih tablic tako zagotavlja brezpapirno poslovanje v procesu potrjevanja dokumentov, ki nastajajo na različnih prodajnih mestih (poleg prevzema paketov tudi v primerih sklepanja raznih naročniških razmerij, potrjevanja različnih naročil zavarovalniških, finančnih, bančnih ter upravnih storitev, ipd.) in omogoča hitro in enostavno implementacijo ter povezljivost z različnimi poslovnimi procesi ali informacijskimi sistemi. Na trgu obstajajo različne rešitve elektronskih podpisnih tablic in med njimi take, ki zgolj preslikajo posameznikov podpis ne predstavljajo biometrije, čeprav je lahko vprašljiva dokazna vrednost tako zajetega podpisa, še zlasti v primerjavi z lastnoročnim podpisom. Prav tako je lahko vprašljiva skladnost postopkov zajema, podpisovanja in hrambe tako podpisanega dokumenta s predpisi, ki urejajo arhivsko in dokumentarno gradivo, zato mora uporabnost, izvedbo in tveganja take rešitve presojati vsak upravljavec zase ter predpisati take postopke zajema podpisa in hrambe podpisanega dokumenta, da ne prihaja do zlorab (npr. vpogled v osebni dokument s fotografijo ob zajemu podpisa in evidentiranje identifikacijske številke dokumenta, ipd.). IP za ta del (t.j. opredeljevanje o skladnosti s predpisi glede dokumentarnega gradiva in dokazne vrednosti takšnih podpisov) ni pristojen in vam glede slednjega priporočamo, da preverite predvsem določbe Zakon o varstvu dokumentarnega in arhivskega gradiva ter arhivih (ZVDAGA) ter Zakon o elektronski identifikaciji in storitvah zaupanja (ZEISZ).

Če pa bi želeli uporabljati t.i. biometrijske podpisne tablice, kjer se obdelujejo tudi biometrične značilnosti posameznika (npr. hitrost pisanja, pritisk, kot, značilen ritem podpisovanja, ipd.), potem morate upoštevati določbe 83. člena ZVOP-2 glede biometrijskih ukrepov. ZVOP-2 pod določenimi pogoji dopušča uporabo biometrijskih ukrepov tudi nad strankami in ne več samo nad zaposlenimi. Več o novi ureditvi biometrije v zasebnem sektorju smo pojasnili v smernicah, ki so dostopne na:

https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-glede-biometrije-po-zvop-2

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

Pripravil

mag. Andrej Tomšič, namestnik informacijske pooblaščenke