Pravilnik o zaščiti podatkov policije

(1)Ta pravilnik določa organizacijske in logistično-tehnične postopke ter ukrepe za zavarovanje varovanih podatkov policije, informacijskega in telekomunikacijskega sistema policije (v nadaljnjem besedilu: ITSP) in način vodenja zbirk osebnih podatkov, katerih upravljavec je policija.

(2)Organizacijski in logistično-tehnični postopki ter ukrepi iz prejšnjega odstavka veljajo tudi za javne uslužbence ministrstva, pristojnega za notranje zadeve (v nadaljnjem besedilu: ministrstvo), ki za izvajanje nalog uporabljajo strežniško infrastrukturo ITSP ali neposredno dostopajo do varovanih podatkov policije v ITSP, če tako določa zakon (v nadaljnjem besedilu: uporaba ITSP).

Izrazi, uporabljeni v tem pravilniku, pomenijo:

1.»dnevnik obdelave« je zbirka o dejanjih obdelave podatkov, ki omogoča sledljivost in naknadno rekonstrukcijo obdelave podatkov v ITSP za potrebe izkazovanja zakonitosti obdelave, izvajanja notranjega nadzora, nadzorov ali drugih zakonsko določenih preverjanj s strani nadzornega organa ali drugih pristojnih organov, zagotavljanja celovitosti in varnosti osebnih podatkov ter odpravljanja napak v delovanju informacijskega sistema ali pri obdelavi osebnih podatkov;

2.»dokument« pomeni napisane, narisane, natisnjene, razmnožene, fotografirane, fotokopirane, fonografirane ali magnetno, optično oziroma kako drugače zapisane podatke;

3.»evidenca« je zbirka, ki pomeni vsak strukturiran niz osebnih podatkov, dostopnih v skladu s posebnimi merili, niz pa je lahko centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi;

4.»evidenca dejavnosti obdelave« je evidenca dejavnosti obdelave osebnih podatkov policije skladno z Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES in z zakonom, ki ureja varstvo osebnih podatkov na področju obravnavanja kaznivih dejanj;

5.»informacijska in komunikacijska oprema« je strojna in programska oprema, vgrajena v ITSP;

6.»informacijski varnostni dogodek« je vsak dogodek, ki lahko vpliva na varnost, tajnost, celovitost in razpoložljivost ITSP ter podatkov, ki se v njem obdelujejo;

7.»ITSP« je urejena celota podatkov in informacij, metod in sredstev za neposredno opravljanje informacijske dejavnosti ter telekomunikacijska infrastruktura, ki se kot zaprt uporabniški sistem uporablja za izvedbo nalog policije in nalog ministrstva, pri katerih se uporablja ITSP;

8.»lokalni informacijski sistem« (v nadaljnjem besedilu: LIS) je urejena celota podatkov in informacij, metod in sredstev za neposredno izvajanje informacijske dejavnosti, s pomočjo katere enote policije na eni ali več delovnih postajah ali strežnikih lokalno obdelujejo podatke v ITSP;

9.»medij« pomeni vse vrste sredstev, na katerih so zapisani podatki;

10.»obdelava podatkov« je vsako dejanje ali niz dejanj, ki se izvaja v zvezi s podatki ali nizi podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje;

11.»pooblaščenec za varstvo osebnih podatkov« je oseba, odgovorna za vodenje postopkov, ki jih v zvezi z uresničevanjem pravic posameznikov na področju osebnih podatkov v policiji kot upravljavcu evidenc nalagajo predpisi, ki urejajo varstvo osebnih podatkov;

12.»računalniška obdelava podatkov« je obdelava podatkov s pomočjo računalnika in z napravami, ki rabijo pomnilnik za shranjevanje celega ali dela računalniškega programa, in vseh ali dela podatkov, ki so potrebni za izvajanje tega programa;

13.»tehnični skrbnik ITSP« je notranja organizacijska enota generalne policijske uprave, ki opravlja naloge na področju celovitega načrtovanja, razvoja, upravljanja, varovanja in vzdrževanja ITSP ter evidenc, katerih upravljavec je policija;

14.»telekomunikacijska zveza« je vzpostavljena povezava za prenos elektromagnetnih signalov po žičnih ali optičnih nosilcih ali z radijskimi signali;

15.»uporabnik ITSP« je uslužbenec policije ali ministrstva, ki pri svojem delu uporablja ITSP;

16.»upravljavec evidence« je notranja organizacijska enota generalne policijske uprave, ki je vsebinska nosilka nalog policije, na podlagi katerih se obdelujejo podatki iz evidence;

17.»varnostni profil« je informacijska rešitev, ki določa obseg dostopa uporabnikov ali skupin uporabnikov do podatkov evidenc in možnosti njihove obdelave;

18.»varovan podatek policije« je osebni podatek ali drug obdelovan podatek, ki ni tajen, njegovo razkritje nepoklicanim osebam pa bi povzročilo škodo državnemu organu, poteku uradnih postopkov ali fizičnim ali pravnim osebam, zato morajo njegovo obdelavo spremljati določeni varnostni ukrepi in postopki;

19.»vir« je vhodni dokument, na podlagi katerega so bili vneseni podatki v evidenco;

20.»vodja enote« je generalni direktor policije, vodja notranje organizacijske enote generalne policijske uprave, direktor policijske uprave, vodja notranje organizacijske enote policijske uprave, načelnik območne policijske postaje ter vodja notranje organizacijske enote ministrstva, kjer se uporablja ITSP;

21.»vodja LIS« je uslužbenec policije, ki skrbi za varno lokalno obdelavo podatkov v ITSP.

(1)Varovani podatki policije so zlasti podatki:

1.ki jih policija zbira in obdeluje v svojih evidencah;

2.o policistih na delovnih mestih iz tretjega odstavka 45. člena Zakona o organiziranosti in delu v policiji (Uradni list RS, št. 15/13, 11/14, 86/15, 77/16, 77/17, 36/19, 66/19 – ZDZ, 200/20 in 172/21) in na drugih delovnih mestih, ki so izpostavljena dodatnim tveganjem in so kot taka določena v aktu o organizaciji in sistemizaciji;

3.o ogroženih uslužbencih policije;

4.o uslužbencih policije, ki pri izvajanju policijskih nalog zaradi svoje varnosti uporabljajo sredstva ali listine, s katerimi se prikrije njihova prepoznavnost ali prava identiteta;

5.o notranjevarnostnih postopkih in ukrepih policije;

6.o osebah, ki policiji pomagajo pri opravljanju njenih nalog ali prostovoljno posredujejo informacije o kaznivih dejanjih, njihovih storilcih in drugih aktivnostih, ki kažejo na kazniva dejanja;

7.o specifičnih ukrepih, metodah, tehnikah in sredstvih, ki jih policija uporablja za opravljanje njenih nalog;

8.o dokumentih policije, iz katerih je mogoče ugotoviti taktiko in metodiko dela policije ali bi njihovo razkritje lahko otežilo ali onemogočilo izvajanje policijskih nalog.

(2)Obdelavo varovanih podatkov policije morajo spremljati varnostni ukrepi in postopki, določeni s tem pravilnikom in pravilnikom, ki ureja notranjo varnost v policiji.

(1)Generalni direktor policije na predlog vodje notranje organizacijske enote generalne policijske uprave, ki je upravljavec evidence, določi osebo, odgovorno za izvajanje postopkov in ukrepov za zavarovanje osebnih podatkov v posamezni evidenci.

(2)Oseba, odgovorna za posamezno evidenco, skrbi tudi za točnost podatkov v pripadajoči evidenci dejavnosti obdelav osebnih podatkov.

(3)Uslužbenci policije, ki v skladu s svojimi delovnimi nalogami obdelujejo osebne podatke v evidencah policije, skrbijo, da so osebni podatki v evidencah policije skladni z ugotovitvami, informacijami in podatki, zbranimi pri opravljanju policijskih nalog, in tako čim bolj točni, popolni, posodobljeni in zanesljivi, ter da jih popravijo, dopolnijo, uničijo ali blokirajo, ko izvedo, da je to potrebno.

(4)Pri zagotavljanju pravilnosti in skladnosti podatkov v evidencah policije, uslužbencem policije strokovno pomoč nudijo osebe, odgovorne za posamezno evidenco.

Generalni direktor policije na predlog direktorja Urada za informatiko in telekomunikacije (v nadaljnjem besedilu: urad) določi skrbnika, ki skrbi za vzdrževanje evidenc dejavnosti obdelave v skladu s predpisi.

(1)Generalni direktor policije na predlog direktorja urada določi pooblaščence za varstvo osebnih podatkov.

(2)Pooblaščencem iz prejšnjega odstavka pri delu strokovno pomoč nudijo odgovorne osebe iz 4. člena tega pravilnika.

(1)Generalni direktor policije za upravljanje z varnostnimi profili pooblasti uslužbenca urada (v nadaljnjem besedilu: glavni skrbnik varnostnih profilov).

(2)Varnostni profil dodeli glavni skrbnik varnostnih profilov ali uslužbenec policije, ki ga določi glavni skrbnik varnostnih profilov. Postopek se izvede pisno ali z ustrezno programsko opremo, ki omogoča sledljivost postopka.

(1)Vodje enot določijo število LIS, notranje organizacijske enote, ki jih sestavljajo, ter vodje LIS.

(2)Naloge vodje LIS so:

1.svetovanje in pomoč uporabnikom ITSP;

2.skrb za varno uporabo opreme ITSP;

3.oblikovanje in vodenje seznama opreme ITSP, seznama uporabnikov in njihovih pravic;

4.opravljanje manjših vzdrževalnih del na opremi ITSP;

5.sodelovanje pri instalacijah delovnih postaj;

6.prijava okvar strojne in programske opreme;

7.skrb za kopijo podatkov LIS, ki niso zajeti v sistem centralnega kopiranja;

8.druge naloge v zvezi z varovanjem LIS.

(1)Za izvajanje predpisov o varovanju podatkov v ITSP so odgovorni vodja informacijske varnosti in lokalni vodje informacijske varnosti. Njihove naloge so:

1.nadzor stanja na področju varovanja podatkov v ITSP;

2.nadzor izvajanja varnostnih ukrepov pri varovanju podatkov;

3.odrejanje ukrepov za zagotavljanje varnosti podatkov v ITSP;

4.vodenje razvida informacijskih varnostnih dogodkov;

5.vodenje seznamov pooblastil za samostojen vstop v prostore ITSP, v katerih so nameščene ključne sestavine ITSP;

6.druge naloge v zvezi z varovanjem ITSP.

(2)Lokalni vodja informacijske varnosti mora o vseh informacijskih varnostnih dogodkih v LIS obveščati vodjo informacijske varnosti in notranjo organizacijsko enoto, pristojno za zaščito podatkov.

(3)Razvid gesel oziroma osebnih šifer, ki niso sestavni del osrednjega sistema kontrole in evidentiranja dostopa do varovanih podatkov in drugih virov ITSP, vodi za svojo notranjo organizacijsko enoto lokalni vodja informacijske varnosti, hrani pa ga v kovinski omari, ki je tehnično varovana, ali v zaklenjeni ter zapečateni kovinski blagajni s šifro.

(1)Generalni direktor policije določi skrbnika kriptografske opreme, ki je odgovoren za upravljanje s kriptografsko opremo ter za pravilno obdelovanje in hranjenje kriptografskega materiala.

(2)S kriptografsko opremo smejo upravljati le za to usposobljeni uslužbenci policije.

(1)Notranja organizacijska enota, pristojna za zaščito podatkov, je v skladu s tem pravilnikom pristojna za:

1.pripravo informacijske varnostne politike;

2.izdelavo načrtov varovanja, ocen varnostnih tveganj in varnostnih navodil v ITSP;

3.določanje standardov za informacijsko in komunikacijsko opremo, namenjeno varovanju in zaščiti podatkov v ITSP;

4.izvajanje nadzora dostopov do ITSP;

5.upravljanje s sistemom kontrole in evidentiranja dostopa do podatkov in drugih virov ITSP;

6.upravljanje z dnevnikom obdelave (v nadaljnjem besedilu: upravljavec dnevnika obdelave);

7.upravljanje z razvidom uporabnikov ITSP, iz katerega morajo biti razvidne pravice uporabnika ITSP, ki dostopa do posameznih podatkov;

8.potrjevanje povezovanja preko namenskih povezovalnih točk v ITSP;

9.upravljanje z varnostnimi mehanizmi in varnostnimi pregradami ITSP;

10.določanje načinov neposredne povezave in varovanje te povezave;

11.odobritev uporabe kriptografske opreme;

12.pripravljanje mnenj, na osnovi katerih generalni direktor odloča, ali lahko izjemoma s sistemom kontrole in evidentiranja dostopa do podatkov in drugih virov LIS upravlja notranja organizacijska enota, ki uporablja določen LIS;

13.pripravo in organizacijo izvajanja ozaveščanja o varni uporabi informacijske tehnologije;

14.upravljanje s kibernetskimi varnostnimi incidenti;

15.druge naloge v zvezi z zaščito podatkov policije.

(2)Notranja organizacijska enota, pristojna za zaščito podatkov, vodi razvid oseb, pristojnih za izvajanje nalog iz 4., 8., 9. in 10. člena tega pravilnika. Razvid vsebuje podatke o osebnem imenu uslužbenca policije, notranji organizacijski enoti, v kateri je zaposlen, in pristojnosti oziroma nalogi.

Notranja organizacijska enota, pristojna za vzdrževanje ITSP, mora pred vsakim posegom, ki spreminja arhitekturo ITSP, pridobiti pisno mnenje notranje organizacijske enote, pristojne za zaščito podatkov.

(1)Informacijska in komunikacijska oprema, ki je vgrajena v ITSP, mora biti skladu s standardi, ki jih določi urad.

(2)Informacijska in komunikacijska oprema mora biti praviloma v lasti policije. Če oprema ni v lasti policije, se lahko uporablja le ob predhodnem soglasju notranje organizacijske enote, pristojne za vzdrževanje ITSP, in notranje organizacijske enote za zaščito podatkov.

(3)Kdo sme vgrajevati, vzdrževati in odstranjevati strojno opremo v ITSP, določi notranja organizacijska enota, pristojna za vzdrževanje ITSP, v soglasju z notranjo organizacijsko enoto, pristojno za zaščito podatkov.

(4)Informacijsko in komunikacijsko opremo policije smejo uporabljati le uporabniki ITSP in osebe iz 23. člena tega pravilnika.

(5)Notranja organizacijska enota, pristojna za vzdrževanje ITSP, sme onemogočiti dostop do ITSP uporabniku, za katerega notranja organizacijska enota za zaščito podatkov oceni, da ne ravna v skladu z določbami tega pravilnika.

Uporabniki ITSP morajo biti za delo v ITSP predhodno usposobljeni. Vsak uporabnik ITSP mora enkrat letno opraviti usposabljanje o informacijski varnostni politiki v policiji. Njihovo usposabljanje zagotovi urad.

Na predlog upravljavca evidence generalni direktor policije izda strokovna navodila za vodenje evidence. Tehnični skrbnik ITSP najkasneje ob vzpostavitvi evidence izda tehnična navodila za uporabo računalniške aplikacije.

Vsako okvaro oziroma izpad strojne ali programske opreme, ki zahteva poseg usposobljenega vzdrževalca, je treba takoj javiti uradu, ki v skladu s predpisanim režimom vzdrževanja odloči, kako se bo okvara odpravila.

(1)V skladu z oceno varnostnih tveganj ITSP urad izvaja varnostno kopiranje programske opreme in podatkov, vključenih v ITSP, preko avtomatiziranega in centraliziranega sistema za izdelavo varnostnih kopij, ki deluje v skladu z ustreznimi mednarodnimi varnostnimi standardi.

(2)Izjema so podatki, shranjeni v sistemu za obravnavanje tajnih podatkov v ITSP, ki se varnostno kopirajo ločeno od sistema iz prejšnjega odstavka, v skladu z navodili za delovanje sistema za obravnavanje tajnih podatkov.

(1)Ukrepi varovanja ITSP morajo zagotavljati zaupnost, celovitost in razpoložljivost podatkov, ki se obdelujejo v ITSP, ter celovitost in razpoložljivost ITSP.

(2)V ITSP se podatki varujejo zlasti z ukrepi in postopki, s katerimi se:

1.uporabnikom ITSP dostop do podatkov omejuje na podatke, ki jih potrebujejo za izvajanje delovnih nalog, v skladu z njihovimi pooblastili;

2.preprečuje razkritje podatkov nepoklicanim osebam;

3.preprečuje nepooblaščeno obdelavo podatkov;

4.omogoča poznejše ugotavljanje, kdaj so bili posamezni podatki obdelovani, komu so bili posredovani in kdo je podatke obdeloval oziroma posredoval;

5.omogoča usposabljanje in ozaveščanje uporabnikov ITSP.

Zaradi varovanja podatkov uslužbenci policije in ministrstva, ki uporabljajo ITSP, izvajajo predvsem naslednje splošne varnostne ukrepe:

1.kadar zapuščajo svoje delovne prostore, morajo zakleniti pisalne mize, omare, blagajne in pisarne, v katerih hranijo varovane podatke;

2.dokumentov ali medijev z varovanimi podatki ne smejo puščati na odprtih površinah pisarniške opreme ali drugih mestih, kjer so dostopne nepoklicanim osebam;

3.navodila za uporabo računalniško vodenih evidenc morajo hraniti tako, da niso dostopna nepoklicanim osebam;

4.dosledno morajo izvajati postopek prijave oziroma odjave s svojim osebnim geslom na začetku oziroma ob zaključku dostopa do varovanih podatkov;

5.terminali, delovne postaje ITSP in druga oprema z zasloni, ki se uporablja za obdelavo podatkov, mora imeti zaslone nameščene tako, da je nepoklicanim osebam onemogočen pogled na podatke, če zaslona tako ni mogoče namestiti, pa mora biti ta v času prisotnosti nepoklicane osebe ugasnjen ali v fazi ohranjevalnika zaslona;

6.po končani izdelavi dokumentov z varovanimi podatki morajo poskrbeti za uničenje pomožnega gradiva (poskusnih oziroma neuspešnih izpisov, matric, izračunov in grafikonov, skic ipd.), ki so ga uporabili oziroma ki je nastalo pri izdelavi dokumenta.

(1)Ključne sestavine ITSP se morajo nahajati v varovanem območju ali komunikacijski omari, ki izpolnjuje pogoje za varovano območje.

(2)Dovoljenje za samostojen vstop v prostor, v katerem so nameščene ključne sestavine ITSP, izda vodja enote.

(3)Druge osebe lahko v prostor, v katerem so nameščene ključne sestavine ITSP, vstopajo le v spremstvu oseb iz prejšnjega odstavka.

Uslužbenci policije in ministrstva, ki uporabljajo opremo ITSP, s katero se obdelujejo varovani podatki, morajo ravnati na način, ki onemogoča, da bi oprema prišla v roke nepoklicani osebi. Oprema ITSP mora biti ves čas pod fizičnim nadzorom ali znotraj zaklenjenega prostora, da je preprečen nepooblaščen dostop in zagotovljena varnost opreme.

Vse pogodbe in postopki v zvezi z vzdrževanjem in servisiranjem opreme, prostorov, sredstev in objektov policije ter objektov ministrstva, kjer se uporablja ITSP, morajo vsebovati varnostne zahteve in pogoje, ki jih mora izpolnjevati vzdrževalno osebje oziroma oprema izvajalca vzdrževanja in servisiranja.

(1)Kadar je v obdelavo podatkov ali v izgradnjo oziroma vzdrževanje infrastrukture ITSP vključen zunanji izvajalec, mora biti dolžnost varovanja varovanih podatkov policije vključena v pogodbo, s katero se uredijo razmerja in odnosi med policijo oziroma ministrstvom in izvajalcem pogodbenih del.

(2)Izvajalčev delavec mora s pisno izjavo potrditi, da je seznanjen z dolžnostjo varovanja varovanih podatkov policije, s katerimi se bo seznanil pri izvajanju pogodbenih del. Pisna izjava je sestavni del pogodbene dokumentacije.

(3)Nosilce podatkov je zaradi vzdrževanja dovoljeno posredovati zunanjemu izvajalcu. Preden je nosilec izročen zunanjemu izvajalcu, morajo biti podatki z nosilca izbrisani v skladu s standardi in predpisi.

(4)Dostop zunanjih izvajalcev v ITSP lahko poteka samo nadzorovano pod pogoji, ki omogočajo ustrezno zaščito in rekonstrukcijo dostopa. Nadzor se izvaja z beleženjem aktivnosti in z drugimi standardnimi varnostnimi mehanizmi v ITSP. Če ustreznega nadzora ni mogoče zagotoviti, dostop zunanjih izvajalcev ni dovoljen.

(5)V primerih oddaljenega dostopa mora imeti izvajalec ustrezno urejeno okolje, iz katerega poteka dostop. Zahteva po ustreznosti mora biti vključena v pogodbo. Ustreznost potrdi urad s sklepom.

Prostori, v katerih se obdelujejo varovani podatki, morajo biti varovani z organizacijskimi, fizičnimi in tehničnimi ukrepi, ki nepooblaščenim onemogočajo dostop do medijev in naprav, s katerimi se varovani podatki obdelujejo.

Gibanje in delo v objektih policije in ministrstva, kjer se uporablja ITSP, poteka v skladu s hišnim redom, za prostore, v katerih je nameščena oprema ITSP, pa veljajo še naslednja pravila:

1.zadrževanje uslužbencev policije in ministrstva v teh prostorih, razen tistih, ki so v njih zaposleni ali je njihova prisotnost nujno potrebna za nemoteno opravljanje delovnih nalog, ni dovoljeno;

2.obiski zunanjih strank (demonstracije, ogledi ipd.) so dovoljeni samo z odobritvijo vodje enote in v spremstvu najmanj enega uslužbenca policije;

3.vzdrževanje opreme ITSP s strani zunanjih izvajalcev je dovoljeno samo po predhodnem dogovoru z notranjo organizacijsko enoto, pristojno za vzdrževanje ITSP, izvajalce pa mora med obiskom spremljati vodja LIS oziroma uslužbenec, ki ga določi vodja enote.

Poleg požarnovarnostnih ukrepov, ki jih za objekte policije in ministrstva predpisuje požarni red, velja za prostore, v katerih je nameščena oprema ITSP, še naslednje:

1.prepoved uporabe odprtega ognja;

2.prepoved nameščanja začasne električne napeljave;

3.hramba gorljivih snovi samo v količinah, ki so nujno potrebne za nemoten potek dela;

4.ognjevarne omare, v katerih so shranjeni mediji, morajo biti vedno zaprte.

Opremo ITSP je dovoljeno uporabljati le za izvajanje nalog policije in nalog ministrstva, pri katerih se uporablja ITSP. Uporaba v druge namene je dopustna le izjemoma, s predhodnim dovoljenjem vodje enote.

(1)ITSP mora biti učinkovito zaščiten pred računalniškimi virusi in drugo škodljivo programsko opremo.

(2)Sum ali zaznava škodljive programske opreme je informacijski varnostni dogodek.

(1)Za vso programsko opremo, vgrajeno v ITSP, mora notranja organizacijska enota, pristojna za vzdrževanje ITSP, določiti:

1.kdo jo sme brisati, kopirati ali spreminjati;

2.kje se hranijo kopije programske opreme;

3.kdo je odgovoren za ažurnost kopij.

(2)Kadar je program, ki je namenjen obdelavi varovanih podatkov policije, samoiniciativno izdelal uslužbenec policije, ki ni vključen v organiziran in načrtovan razvoj programov, mora program pred vključitvijo v uporabo potrditi urad.

(1)Program, ki ga za potrebe ITSP policija kupi od proizvajalcev programske opreme, mora biti opremljen z licenco, ki policiji dovoljuje namestitev in uporabo programa na načrtovanem številu lokacij v notranjih organizacijskih enotah policije.

(2)Vse izvorne zapise programov ITSP in licenčno dokumentacijo hrani urad.

(1)Dostop do varovanih podatkov mora biti varovan tako, da preveri identiteto uporabnika in njegova pooblastila za dostop ter dostop evidentira.

(2)Vsak uporabnik mora imeti lastni uporabniški račun, ki ga enolično identificira, in ga je dolžan varovati. Zloraba ali sum zlorabe uporabniškega računa je informacijski varnostni dogodek.

(3)Kontrola in evidentiranje dostopa do podatkov lahko temelji na metodah, ki omogočajo zanesljiv in nedvoumen postopek identifikacije (pametna kartica ipd.).

(4)V izjemnih primerih ima lahko skupina uporabnikov skupen uporabniški račun, če nalog ni mogoče izvajati drugače, vendar mora biti s posebnim postopkovnikom, ki ureja uporabo skupnih uporabniških računov, zagotovljeno, da je možno identificirati konkretnega uporabnika in rekonstruirati njegovo delo. Ustreznost postopkovnika potrdi urad.

Kadar kontrola in evidentiranje dostopa do varovanih podatkov temelji na osebnem geslu, si mora geslo določiti uporabnik sam, v skladu z informacijsko varnostno politiko.

(1)Uporabniku se varnostni profil dodeli glede na njegove delovne naloge, pri čemer se mu določi dostop do najmanjšega obsega podatkov, ki ga potrebuje za opravljanje svojih delovnih nalog.

(2)Postopek dodelitve varnostnega profila uporabniku se izvede na pisni zahtevek vodje enote.

(3)Varnostne profile potrdi generalni direktor policije ali oseba, ki jo pooblasti.

(4)Organizacijska enota ministrstva, pristojna za kadrovske zadeve, mora o sklenitvi ali prenehanju delovnega razmerja ter premestitvi posameznega uporabnika ITSP takoj obvestiti notranjo organizacijsko enoto policije, pristojno za vodenje razvida uporabnikov ITSP.

(5)Uporabniki izven policije lahko pridobijo osebne podatke iz evidenc, do katerih so upravičeni na podlagi zakona. Varnostni profil se jim dodeli v skladu s pogodbo ali drugim aktom iz 49. člena tega pravilnika.

(1)Upravljavec dnevnika obdelave določi podrobnejši način vodenja dnevnika obdelave in način evidentiranja izvedbenih ter kontrolnih posegov v ITSP.

(2)Generalni direktor policije lahko na predlog upravljavca dnevnika obdelave za spremljanje določenih podatkov iz dnevnika obdelave pisno pooblasti posameznega uslužbenca policije.

(1)Dostop do informacijsko telekomunikacijskih sistemov drugih državnih organov ali pravnih oseb (v nadaljnjem besedilu: drugi informacijsko telekomunikacijski sistemi) imajo lahko le tisti uslužbenci policije in ministrstva, ki dostop potrebujejo zaradi izvajanja svojih delovnih nalog.

(2)ITSP sme imeti vzpostavljene tehnične povezave z drugimi informacijsko telekomunikacijskimi sistemi, če so povezave varovane tako, da se nepoklicanim osebam onemogoči dostop do varovanih podatkov ali naprav ITSP.

(3)Povezovalne točke morajo biti opremljene z varnostnimi pregradami in drugimi varnostnimi mehanizmi, ki onemogočajo zlorabe ITSP.

(4)Elektronska izmenjava varovanih podatkov z drugimi državnimi organi ali pravnimi osebami se izvaja z vzpostavitvijo dostopne točke ITSP v drugem državnem organu ali pravni osebi in z vzpostavitvijo dostopne točke drugega informacijsko telekomunikacijskega sistema v policiji.

(5)ITSP nima povezave z drugim informacijsko telekomunikacijskim sistemom, če je od njega fizično ločen ali če je z njim fizično povezan, vendar logično ločen in zaščiten tako, da ni omogočena izmenjava podatkov med sistemoma.

(1)Dostop uporabnikov ITSP do podatkov in drugih virov svetovnega spleta ter drugih informacijskih sistemov je dovoljen le preko skupnih, ustrezno varovanih priključnih točk ITSP.

(2)Na priključni točki iz prejšnjega odstavka mora biti nameščena varnostna pregrada, ki mora omogočati:

1.upravljanje dostopov uslužbencev policije in ministrstva, ki uporabljajo ITSP, do drugih informacijskih sistemov ali svetovnega spleta;

2.upravljanje dostopov uporabnikov drugih informacijskih sistemov do varovanih podatkov in naprav, s katerimi se ti podatki obdelujejo;

3.zaznavanje in preprečevanje poskusov dostopov zunanjih uporabnikov svetovnega spleta do varovanih podatkov policije;

4.zaznavanje in preprečevanje poskusov vdorov v ITSP;

5.preprečevanje in odkrivanje poskusov vnosov računalniških virusov;

6.kriptozaščito prenosov varovanih podatkov policije preko infrastrukture drugega informacijskega sistema ali svetovnega spleta.

(1)Generalni direktor policije ali oseba, ki jo pooblasti, lahko na pisni predlog vodje enote, ki zaradi nemotenega izvajanja nalog potrebuje delovno postajo, ki je na svetovni splet priključena mimo varnostne pregrade, odobri tak način priključitve.

(2)Delovna postaja, ki je s svetovnim spletom povezana mimo varnostne pregrade, ne sme biti povezana z ITSP, na njej ne smejo biti shranjeni varovani podatki, nameščena pa mora biti zaščita pred škodljivimi vsebinami.

Prenos varovanih podatkov po telekomunikacijskih zvezah, ki povezuje lokacije organizacijskih enot policije, ministrstva ali lokacije drugih pooblaščenih uporabnikov varovanih podatkov policije, mora biti varovan s postopki in ukrepi, ki nepooblaščenim preprečujejo prilaščanje, spreminjanje ali uničenje ter neupravičeno seznanjanje z vsebino podatkov.

(1)Upravljavec evidence in tehnični skrbnik ITSP sta določena v aktu o notranji organizaciji, sistemizaciji, delovnih mestih in nazivih.

(2)Organizacijska enota je lahko upravljavec ene ali več evidenc.

Evidenco na podlagi zahteve upravljavca evidence vzpostavi tehnični skrbnik ITSP.

(1)Varovani podatki policije se lahko uporabljajo le za opravljanje z zakonom določenih nalog in v skladu s predpisi, ki urejajo način obdelovanja posameznih podatkov.

(2)Vsak uporabnik ITSP je dolžan, v skladu s svojimi delovnimi nalogami, skrbeti za vestno, strokovno in ažurno obdelavo podatkov.

(1)Podatki v evidencah se hranijo v okviru rokov, določenih v zakonu. Po preteku roka hrambe se podatki, katerih upravljavec je policija, v skladu z zakonom blokirajo, anonimizirajo, brišejo oziroma psevdonimizirajo.

(2)Če se evidenca ukine, se dostop do podatkov blokira.

(3)Po blokiranju se podatki v evidencah lahko obdelujejo le za razvrščanje, odbiranje, označevanje in hrambo dokumentarnega gradiva na način, določen v predpisih o varstvu dokumentarnega in arhivskega gradiva. Generalni direktor policije določi osebe, ki lahko obdelujejo podatke v skladu s tem odstavkom.

(4)Dokumentarno gradivo v elektronski obliki, ki je bilo uporabljeno kot vir, se po vnosu in preveritvi točnosti zapisanih podatkov obravnava v skladu s predpisi o dokumentarnem gradivu. Postopek izbrisa podatkov mora biti sestavni del programske opreme za obdelavo policijske evidence, izbris podatkov pa mora biti avtomatsko evidentiran.

(5)Dokumentarno gradivo v fizični obliki, ki je bilo uporabljeno kot vir, se po vnosu in preveritvi točnosti vnesenih podatkov obravnava v skladu s predpisi o dokumentarnem gradivu.

(6)Dokumenti, ki so nastali kot izhodni dokumenti obdelave, se hranijo v skladu s predpisi, ki urejajo poslovanje organov javne uprave z dokumentarnim gradivom.

(1)Uporabnik lahko izjemoma pridobi arhivirane ali blokirane podatke iz evidenc na osnovi izkazanega zakonitega namena za obdelavo arhiviranih podatkov.

(2)Izpis arhiviranih ali blokiranih podatkov na medije se izvede v skladu s predpisi, ki urejajo poslovanje organov javne uprave z dokumentarnim gradivom.

(1)Izbris ali uničenje varovanih podatkov iz policijskih evidenc se izvede v primeru pisne ugotovitve napake ali pomote pri obdelavi podatkov.

(2)Izbris na podlagi pisnega zahtevka vodje enote lahko izvede oseba, ki ima avtorizacijo za brisanje, dodeljeno s strani glavnega skrbnika varnostnih profilov.

(1)Če se vzpostavi elektronsko posredovanje podatkov iz evidenc državnim organom oziroma pravnim osebam, ki so do podatkov iz evidenc upravičeni na podlagi zakona, se način posredovanja podatkov določi s pogodbo ali drugim aktom o posredovanju podatkov, v katerem se določi organizacijske, tehnične in varnostne elemente posredovanja podatkov.

(2)V primeru posamične vloge za posredovanje podatkov uporabnikom iz prejšnjega odstavka mora vodja enote preveriti pravno podlago za posredovanje podatkov.

(3)Posredovanje podatkov se zabeleži v skladu z 51. členom tega pravilnika.

V primeru dvoma o upravičenosti dostopa do varovanega podatka policije, mnenje, ali bi razkritje določenega varovanega podatka policije povzročilo škodo organu, poteku uradnih postopkov ali fizičnim oziroma pravnim osebam, poda komisija. Njene člane na predlog generalnega direktorja policije imenuje minister, pristojen za notranje zadeve.

(1)Če se posredujejo osebni podatki, je treba za vsako evidenco ne glede na to, kako je vodena, zagotoviti možnost ugotavljanja:

-        kateri osebni podatki, kdaj in kako so bili posredovani;

-        komu so bili osebni podatki posredovani;

-        na kakšni podlagi so bili osebni podatki posredovani,

-        za kakšne namene so bili osebni podatki posredovani.

(2)Za vsako posredovanje osebnih podatkov policije se v poseben razvid zabeležijo podatki, navedeni v prejšnjem odstavku.

(3)Razvid se za evidence, ki se vodijo na centralnem računalniku policije, vodi centralno, v drugih primerih pa v okviru sistema poslovanja z dokumentarnim gradivom.

(1)Kadar je na varnostni pregradi vključena oprema, ki omogoča spremljanje in evidentiranje aktivnosti posameznega uporabnika ITSP, mora biti vsak uslužbenec policije in ministrstva, ki uporablja ITSP, preden uporabi povezavo z drugim informacijskim sistemom ali svetovnim spletom, o tem na nedvoumen in jasen način opozorjen.

(2)Varnostna pregrada mora, kadar je uporabljena oprema iz prejšnjega odstavka, na spremljanje in evidentiranje dostopov opozoriti tudi zunanje uporabnike svetovnega spleta in uporabnike drugih informacijskih sistemov, preden se povežejo z viri ITSP.

(1)Uslužbenec policije in ministrstva, ki uporablja ITSP, ob sklenitvi delovnega razmerja ali premestitvi na delovno mesto, na katerem bo obdeloval varovane podatke, s pisno izjavo potrdi, da je seznanjen s predpisi, ki v policiji urejajo varovanje podatkov.

(2)Pisne izjave uslužbencev hrani notranja organizacijska enota ministrstva, pristojna za kadrovske zadeve, v centralni kadrovski evidenci.

(1)Nadzor nad izvajanjem tega pravilnika v policiji opravljata notranji organizacijski enoti, pristojni za nadzor in zaščito podatkov.

(2)Nadzor nad izvajanjem tega pravilnika v ministrstvu opravlja vodja organizacijske enote, kjer se uporablja ITSP.

(3)Za nadzor nad obdelavo podatkov je odgovoren vodja enote, iz katere je uporabnik ITSP.

(1)Uporabnik ITSP, ki zazna informacijski varnostni dogodek, mora o tem nemudoma obvestiti vodjo LIS ali vodjo informacijske varnosti v policiji. Vodja LIS, ki izve za informacijski varnostni dogodek, mora o tem obvestiti notranjo organizacijsko enoto policije, pristojno za zaščito podatkov, o informacijskih varnostnih dogodkih, ki so jih zaznali uporabniki iz policije, pa tudi notranjo organizacijsko enoto policije, pristojno za notranjo varnost.«.

(2)Uporabnik ITSP mora izvesti prve nujne ukrepe za preprečitev nadaljnjih škodljivih posledic in zavarovanje sledi.

Odločbe o določitvi vodij LIS, izdane na podlagi Pravilnika o zaščiti podatkov policije (Uradni list RS, št. 17/11 in 15/13 – ZNPPol), ostanejo v veljavi.

Z dnem uveljavitve tega pravilnika se preneha uporabljati Pravilnik o zaščiti podatkov policije (Uradni list RS, št. 17/11 in 15/13 – ZNPPol).

Ta pravilnik začne veljati petnajsti dan po objavi v Uradnem listu Republike Slovenije.