Pravilnik o zaščiti podatkov policije

2816. Pravilnik o zaščiti podatkov policije

Na podlagi 119. člena Zakona o nalogah in pooblastilih policije (Uradni list RS, št. 15/13) in v povezavi s 25. členom Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo) izdaja minister za notranje zadeve

P R A V I L N I K
o zaščiti podatkov policije

I. SPLOŠNE DOLOČBE

1. člen

(vsebina)

(1)

Ta pravilnik določa organizacijske in logistično-tehnične postopke ter ukrepe za zavarovanje varovanih podatkov policije, informacijskega in telekomunikacijskega sistema policije (v nadaljnjem besedilu: ITSP) in način vodenja zbirk osebnih podatkov, katerih upravljavec je policija.

(2)

Organizacijski in logistično-tehnični postopki ter ukrepi iz prejšnjega odstavka veljajo tudi za javne uslužbence ministrstva, pristojnega za notranje zadeve (v nadaljnjem besedilu: ministrstvo), ki za izvajanje nalog uporabljajo strežniško infrastrukturo ITSP ali neposredno dostopajo do varovanih podatkov policije v ITSP, če tako določa zakon (v nadaljnjem besedilu: uporaba ITSP).

2. člen

(pomen izrazov)

Izrazi, uporabljeni v tem pravilniku, pomenijo:

1.

informacijski in telekomunikacijski sistem policije (v nadaljnjem besedilu: ITSP): urejena celota podatkov in informacij, metod in sredstev za neposredno opravljanje informacijske dejavnosti ter telekomunikacijska infrastruktura, ki se kot zaprt uporabniški sistem uporablja za izvedbo nalog policije;

1.

»dnevnik obdelave« je zbirka o dejanjih obdelave podatkov, ki omogoča sledljivost in naknadno rekonstrukcijo obdelave podatkov v ITSP za potrebe izkazovanja zakonitosti obdelave, izvajanja notranjega nadzora, nadzorov ali drugih zakonsko določenih preverjanj s strani nadzornega organa ali drugih pristojnih organov, zagotavljanja celovitosti in varnosti osebnih podatkov ter odpravljanja napak v delovanju informacijskega sistema ali pri obdelavi osebnih podatkov;

2.

»dokument« pomeni napisane, narisane, natisnjene, razmnožene, fotografirane, fotokopirane, fonografirane ali magnetno, optično oziroma kako drugače zapisane podatke;

3.

evidenca« je zbirka, ki pomeni vsak strukturiran niz osebnih podatkov, dostopnih v skladu s posebnimi merili, niz pa je lahko centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi;

4.

»evidenca dejavnosti obdelave« je evidenca dejavnosti obdelave osebnih podatkov policije skladno z Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES in z zakonom, ki ureja varstvo osebnih podatkov na področju obravnavanja kaznivih dejanj;

5.

»informacijska in komunikacijska oprema« je strojna in programska oprema, vgrajena v ITSP;

6.

»informacijski varnostni dogodek« je vsak dogodek, ki lahko vpliva na varnost, tajnost, celovitost in razpoložljivost ITSP ter podatkov, ki se v njem obdelujejo;

7.

»ITSP« je urejena celota podatkov in informacij, metod in sredstev za neposredno opravljanje informacijske dejavnosti ter telekomunikacijska infrastruktura, ki se kot zaprt uporabniški sistem uporablja za izvedbo nalog policije in nalog ministrstva, pri katerih se uporablja ITSP;

8.

»lokalni informacijski sistem« (v nadaljnjem besedilu: LIS) je urejena celota podatkov in informacij, metod in sredstev za neposredno izvajanje informacijske dejavnosti, s pomočjo katere enote policije na eni ali več delovnih postajah ali strežnikih lokalno obdelujejo podatke v ITSP;

9.

»medij« pomeni vse vrste sredstev, na katerih so zapisani podatki;

10.

»obdelava podatkov« je vsako dejanje ali niz dejanj, ki se izvaja v zvezi s podatki ali nizi podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje;

11.

»pooblaščenec za varstvo osebnih podatkov« je oseba, odgovorna za vodenje postopkov, ki jih v zvezi z uresničevanjem pravic posameznikov na področju osebnih podatkov v policiji kot upravljavcu evidenc nalagajo predpisi, ki urejajo varstvo osebnih podatkov;

12.

»računalniška obdelava podatkov« je obdelava podatkov s pomočjo računalnika in z napravami, ki rabijo pomnilnik za shranjevanje celega ali dela računalniškega programa, in vseh ali dela podatkov, ki so potrebni za izvajanje tega programa;

13.

»tehnični skrbnik ITSP« je notranja organizacijska enota generalne policijske uprave, ki opravlja naloge na področju celovitega načrtovanja, razvoja, upravljanja, varovanja in vzdrževanja ITSP ter evidenc, katerih upravljavec je policija;

14.

»telekomunikacijska zveza« je vzpostavljena povezava za prenos elektromagnetnih signalov po žičnih ali optičnih nosilcih ali z radijskimi signali;

15.

»uporabnik ITSP« je uslužbenec policije ali ministrstva, ki pri svojem delu uporablja ITSP;

16.

»upravljavec evidence« je notranja organizacijska enota generalne policijske uprave, ki je vsebinska nosilka nalog policije, na podlagi katerih se obdelujejo podatki iz evidence;

17.

»varnostni profil« je informacijska rešitev, ki določa obseg dostopa uporabnikov ali skupin uporabnikov do podatkov evidenc in možnosti njihove obdelave;

18.

»varovan podatek policije« je osebni podatek ali drug obdelovan podatek, ki ni tajen, njegovo razkritje nepoklicanim osebam pa bi povzročilo škodo državnemu organu, poteku uradnih postopkov ali fizičnim ali pravnim osebam, zato morajo njegovo obdelavo spremljati določeni varnostni ukrepi in postopki;

19.

»vir« je vhodni dokument, na podlagi katerega so bili vneseni podatki v evidenco;

20.

»vodja enote« je generalni direktor policije, vodja notranje organizacijske enote generalne policijske uprave, direktor policijske uprave, vodja notranje organizacijske enote policijske uprave, načelnik območne policijske postaje ter vodja notranje organizacijske enote ministrstva, kjer se uporablja ITSP;

21.

»vodja LIS« je uslužbenec policije, ki skrbi za varno lokalno obdelavo podatkov v ITSP.

3. člen

(varovan podatek policije)

(1)

Varovani podatki policije so zlasti podatki:

1.

ki jih policija zbira in obdeluje v svojih evidencah;

2.

o policistih na delovnih mestih iz tretjega odstavka 45. člena Zakona o organiziranosti in delu v policiji (Uradni list RS, št. 15/13, 11/14, 86/15, 77/16, 77/17, 36/19, 66/19 – ZDZ, 200/20 in 172/21) in na drugih delovnih mestih, ki so izpostavljena dodatnim tveganjem in so kot taka določena v aktu o organizaciji in sistemizaciji;

3.

o ogroženih uslužbencih policije;

4.

o uslužbencih policije, ki pri izvajanju policijskih nalog zaradi svoje varnosti uporabljajo sredstva ali listine, s katerimi se prikrije njihova prepoznavnost ali prava identiteta;

5.

o notranjevarnostnih postopkih in ukrepih policije;

6.

o osebah, ki policiji pomagajo pri opravljanju njenih nalog ali prostovoljno posredujejo informacije o kaznivih dejanjih, njihovih storilcih in drugih aktivnostih, ki kažejo na kazniva dejanja;

7.

o specifičnih ukrepih, metodah, tehnikah in sredstvih, ki jih policija uporablja za opravljanje njenih nalog;

8.

o dokumentih policije, iz katerih je mogoče ugotoviti taktiko in metodiko dela policije ali bi njihovo razkritje lahko otežilo ali onemogočilo izvajanje policijskih nalog.

(2)

Obdelavo varovanih podatkov policije morajo spremljati varnostni ukrepi in postopki, določeni s tem pravilnikom in pravilnikom, ki ureja notranjo varnost v policiji.

II. POOBLASTILA

4. člen

(oseba, odgovorna za evidenco)

(1)

Generalni direktor policije na predlog vodje notranje organizacijske enote generalne policijske uprave, ki je upravljavec evidence, določi osebo, odgovorno za izvajanje postopkov in ukrepov za zavarovanje osebnih podatkov v posamezni evidenci.

(2)

Oseba, odgovorna za posamezno evidenco, skrbi tudi za točnost podatkov v pripadajoči evidenci dejavnosti obdelav osebnih podatkov.

(3)

Uslužbenci policije, ki v skladu s svojimi delovnimi nalogami obdelujejo osebne podatke v evidencah policije, skrbijo, da so osebni podatki v evidencah policije skladni z ugotovitvami, informacijami in podatki, zbranimi pri opravljanju policijskih nalog, in tako čim bolj točni, popolni, posodobljeni in zanesljivi, ter da jih popravijo, dopolnijo, uničijo ali blokirajo, ko izvedo, da je to potrebno.

(4)

Pri zagotavljanju pravilnosti in skladnosti podatkov v evidencah policije, uslužbencem policije strokovno pomoč nudijo osebe, odgovorne za posamezno evidenco.

5. člen

(skrbnik evidenc dejavnosti obdelave)

Generalni direktor policije na predlog direktorja Urada za informatiko in telekomunikacije (v nadaljnjem besedilu: urad) določi skrbnika, ki skrbi za vzdrževanje evidenc dejavnosti obdelave v skladu s predpisi.

6. člen

(pooblaščenec za varstvo osebnih podatkov)

(1)

Generalni direktor policije na predlog direktorja urada določi pooblaščence za varstvo osebnih podatkov.

(2)

Pooblaščencem iz prejšnjega odstavka pri delu strokovno pomoč nudijo odgovorne osebe iz 4. člena tega pravilnika.

7. člen

(glavni skrbnik varnostnih profilov)

(1)

Generalni direktor policije za upravljanje z varnostnimi profili pooblasti uslužbenca urada (v nadaljnjem besedilu: glavni skrbnik varnostnih profilov).

(2)

Varnostni profil dodeli glavni skrbnik varnostnih profilov ali uslužbenec policije, ki ga določi glavni skrbnik varnostnih profilov. Postopek se izvede pisno ali z ustrezno programsko opremo, ki omogoča sledljivost postopka.

8. člen

(vodja LIS)

(1)

Vodje enot določijo število LIS, notranje organizacijske enote, ki jih sestavljajo, ter vodje LIS.

(2)

Naloge vodje LIS so:

1.

svetovanje in pomoč uporabnikom ITSP;

2.

skrb za varno uporabo opreme ITSP;

3.

oblikovanje in vodenje seznama opreme ITSP, seznama uporabnikov in njihovih pravic;

4.

opravljanje manjših vzdrževalnih del na opremi ITSP;

5.

sodelovanje pri instalacijah delovnih postaj;

6.

prijava okvar strojne in programske opreme;

7.

skrb za kopijo podatkov LIS, ki niso zajeti v sistem centralnega kopiranja;

8.

druge naloge v zvezi z varovanjem LIS.

9. člen

(vodja informacijske varnosti)

(1)

Za izvajanje predpisov o varovanju podatkov v ITSP so odgovorni vodja informacijske varnosti in lokalni vodje informacijske varnosti. Njihove naloge so:

1.

nadzor stanja na področju varovanja podatkov v ITSP;

2.

nadzor izvajanja varnostnih ukrepov pri varovanju podatkov;

3.

odrejanje ukrepov za zagotavljanje varnosti podatkov v ITSP;

4.

vodenje razvida informacijskih varnostnih dogodkov;

5.

vodenje seznamov pooblastil za samostojen vstop v prostore ITSP, v katerih so nameščene ključne sestavine ITSP;

6.

druge naloge v zvezi z varovanjem ITSP.

(2)

Lokalni vodja informacijske varnosti mora o vseh informacijskih varnostnih dogodkih v LIS obveščati vodjo informacijske varnosti in notranjo organizacijsko enoto, pristojno za zaščito podatkov.

(3)

Razvid gesel oziroma osebnih šifer, ki niso sestavni del osrednjega sistema kontrole in evidentiranja dostopa do varovanih podatkov in drugih virov ITSP, vodi za svojo notranjo organizacijsko enoto lokalni vodja informacijske varnosti, hrani pa ga v kovinski omari, ki je tehnično varovana, ali v zaklenjeni ter zapečateni kovinski blagajni s šifro.

10. člen

(skrbnik kriptografske opreme)

(1)

Generalni direktor policije določi skrbnika kriptografske opreme, ki je odgovoren za upravljanje s kriptografsko opremo ter za pravilno obdelovanje in hranjenje kriptografskega materiala.

(2)

S kriptografsko opremo smejo upravljati le za to usposobljeni uslužbenci policije.

11. člen

(pristojnost enote, pristojne za zaščito podatkov)

(1)

Notranja organizacijska enota, pristojna za zaščito podatkov, je v skladu s tem pravilnikom pristojna za:

1.

pripravo informacijske varnostne politike;

2.

izdelavo načrtov varovanja, ocen varnostnih tveganj in varnostnih navodil v ITSP;

3.

določanje standardov za informacijsko in komunikacijsko opremo, namenjeno varovanju in zaščiti podatkov v ITSP;

4.

izvajanje nadzora dostopov do ITSP;

5.

upravljanje s sistemom kontrole in evidentiranja dostopa do podatkov in drugih virov ITSP;

6.

upravljanje z dnevnikom obdelave (v nadaljnjem besedilu: upravljavec dnevnika obdelave);

7.

upravljanje z razvidom uporabnikov ITSP, iz katerega morajo biti razvidne pravice uporabnika ITSP, ki dostopa do posameznih podatkov;

8.

potrjevanje povezovanja preko namenskih povezovalnih točk v ITSP;

9.

upravljanje z varnostnimi mehanizmi in varnostnimi pregradami ITSP;

10.

določanje načinov neposredne povezave in varovanje te povezave;

11.

odobritev uporabe kriptografske opreme;

12.

pripravljanje mnenj, na osnovi katerih generalni direktor odloča, ali lahko izjemoma s sistemom kontrole in evidentiranja dostopa do podatkov in drugih virov LIS upravlja notranja organizacijska enota, ki uporablja določen LIS;

13.

pripravo in organizacijo izvajanja ozaveščanja o varni uporabi informacijske tehnologije;

14.

upravljanje s kibernetskimi varnostnimi incidenti;

15.

druge naloge v zvezi z zaščito podatkov policije.

(2)

Notranja organizacijska enota, pristojna za zaščito podatkov, vodi razvid oseb, pristojnih za izvajanje nalog iz 4., 8., 9. in 10. člena tega pravilnika. Razvid vsebuje podatke o osebnem imenu uslužbenca policije, notranji organizacijski enoti, v kateri je zaposlen, in pristojnosti oziroma nalogi.

12. člen

(posegi v ITSP)

Notranja organizacijska enota, pristojna za vzdrževanje ITSP, mora pred vsakim posegom, ki spreminja arhitekturo ITSP, pridobiti pisno mnenje notranje organizacijske enote, pristojne za zaščito podatkov.

13. člen

(oprema, vgrajena v ITSP)

Pravilnik o zaščiti podatkov policije

Časovnica