Odgovornosti za osebne podatke ni mogoče prenesti: kako preveriti partnerje, naprave in sisteme

Za osebne podatke ostaja odgovorno podjetje, ki z njimi upravlja, tudi kadar obdelavo izvaja prodajni partner, oglaševalska platforma, ponudnik IT-storitev, naprava ali zaposleni. Nadzorni organi to načelo uveljavljajo z globami v milijonskih zneskih. Napadalci medtem iščejo najšibkejši člen v isti verigi. Sama sklenitev pogodbe ali pogodbeno zagotovilo partnerja zato ne zadošča. Pogodbena določila in zagotovila se morajo zato izvajati tudi v praksi. Podjetje mora vsak člen pogodbe preveriti ali deluje v praksi in o tem tudi hraniti dokaze.

Kibernetski napad ima lahko fizične posledice

Posledice napada niso nujno omejene na podatke. Francoski trgovski verigi Intermarché in Coopérative U sta za AFP sporočili, da je kibernetski napad povzročil odmrzovanje hladilnikov. Napad je zadel 150 do 200 trgovin Intermarché in skoraj 100 trgovin Coopérative U. Pariško tožilstvo je napad potrdilo.

Primer kaže, da kibernetski napadi zadevajo tudi neprekinjeno poslovanje in fizično blago, ne le varstvo podatkov. Navedeni primer nam lepo prikazuje kako pomembna postaja kibernetska varnost podjetja za dejansko poslovanje.

Vir: databreaches

Prodajna mreža ni izgovor: zadeva Wind Tre

Enako logiko je uporabil italijanski nadzorni organ. Z dokončno odločbo z dne 5. 6. 2026 je družbi Wind Tre S.p.A. izrekel globo v višini 16.700.000 evrov. Izdal je tudi trajno prepoved obdelave in odredbo o vzpostavitvi skladnosti. Preiskava se je začela zaradi številnih pritožb glede nezaželenih oglaševalskih klicev in pogodb, sklenjenih brez vednosti posameznikov.

Organ je ugotovil, da so posamezniki prejemali oglasna sporočila, čeprav so podali ugovor ali niso dali veljavnega soglasja. Ugotovil je tudi pomanjkljive tehnične in organizacijske ukrepe ter nezadosten nadzor nad prodajnimi partnerji. Odločba je široka in se sklicuje na člene 5, 6, 12, 15, 21, 24, 25 in 32 GDPR.

Kaj preveriti v lastni prodajni mreži

• Ali se ugovor zoper trženje upošteva v vseh prodajnih kanalih in pri vseh partnerjih?
• Ali je za vsako soglasje mogoče dokazati, kdaj in kako je bilo dano?
• Ali se zahteve posameznikov izvršijo pravočasno?
• Ali podjetje nadzira partnerje, ki sklepajo pogodbe v njegovem imenu?

Vir: edpb

Kaj zadeva Xandr pomeni za spletno oglaševanje

Med letoma 2018 in 2020 je Xandr občutljive podatke, tudi o spolni usmerjenosti, pošiljal tisočem podjetij. Podatki so se na tretje osebe prehajali prek dražb oglasov v realnem času.

Pritožbo je skupaj z norveškim potrošniškim svetom vložila organizacija NOYB. Odločitev označuje kot hud udarec za industrijo spletnega oglaševanja. Organizacija NOYB navaja globo v višini 8,5 milijona evrov, povzetek EDPB pa 8,6 milijona evrov. Oba vira se skladata v izhodiščnem znesku 92 milijonov norveških kron.

Odločitev je pomembna za vsako podjetje, ki na spletnem mestu ali v aplikaciji uporablja oglaševalske tehnologije tretjih oseb. Soglasje, ki ga zbere en člen verige, ostalih ne odvezuje odgovornosti.

Vir: noyb

Za uhajanje podatkov vdor sploh ni potreben

Pri obdelovalcih se tveganje pogosto ne pokaže kot napad, temveč kot napaka v konfiguraciji. Raziskovalec Greg Pollock iz družbe UpGuard je 31. avgusta 2026 obvestil DataBreaches.net o uhajanju podatkov pri britanski družbi Liberating Research. Ta se ukvarja s tržnimi raziskavami na medicinskem področju. Razkriti so bili občutljivi zdravstveni podatki skoraj 100.000 ljudi. Objava je bila sporazumno odložena, da je imela družba čas za ukrepanje.

Kdor podatke zaupa raziskovalni agenciji ali drugemu izvajalcu, mora vedeti, kako jih ta obdeluje, hrani in varuje. Upravljalci vedno predhodno preverjajte svoje izvajalce oziroma poslovne partnerje.

Vir: databreaches

Pametna očala: proizvajalec obveznosti ne more prenesti na uporabnika

Isto načelo velja za nove naprave. Evropski odbor za varstvo podatkov (EDPB) je 13. oktobra 2026 sprejel izjavo o pametnih očalih. Objavil je tudi poročilo »The connected gaze. Video recording, surveillance and administering evidence in the age of smart glasses«, ki je nastalo v programu podporne skupine strokovnjakov (SPE).

Odgovornost uporabnika je po izjavi odvisna od načina uporabe:

• Uporabnik je upravljavec, kadar posnetek deli na javnem profilu družbenega omrežja ali očala uporablja pri uradni, poklicni ali politični dejavnosti.
• GDPR se ne uporablja, kadar uporabnik snema družino ali prijatelje ali napravo uporablja za osebno prevajanje v zasebnem okolju (izjema za osebno oziroma domačo uporabo). Kljub temu lahko veljajo kazenska, civilna, delovna ali sektorska pravila.

Proizvajalec in ponudnik povezane aplikacije svojih obveznosti ne moreta prenesti na uporabnike. Vsaka nova obdelava mora biti združljiva s prvotnim namenom zbiranja. EDPB posebej poudarja preglednost obdelave.

Vir: edpb

Tudi umetna inteligenca mora o ljudeh navajati točne podatke

Podobno vprašanje se odpira pri generativni umetni inteligenci. Vprašanje je, kaj velja, kadar model o posamezniku »halucinira«, torej izmisli netočna dejstva. Analiza IAPP obravnava, kako se v takih primerih uporablja zahteva GDPR po točnosti osebnih podatkov.

Smernice EU in Združenega kraljestva za razvijalce generativne umetne inteligence se v temelju ujemajo. Razlikujejo se pa v praktičnih podrobnostih, v zahtevah glede dokumentacije in v obravnavi posebnih vrst podatkov. To je pomembno zlasti za podjetja, ki delujejo na obeh trgih. Preudarno je izhajati iz tega, da se podjetje odgovornosti za netočen izhod ne more znebiti s sklicevanjem na model.

Vir: iapp

Pametna očala na delovnem mestu: stališče slovenske informacijske pooblaščenke

Informacijski pooblaščenec je izjavo EDPB predstavil 14. oktobra 2026. Informacijska pooblaščenka in namestnica predsednice EDPB dr. Jelena Virant Burnik je opozorila: »Pametna očala postajajo cenovno dostopna in jih lahko že zasledimo tudi med otroci in najstniki.« Poudarila je, da očala omogočajo skrivno snemanje. Potrebna so zato varovala pred zlorabami in navodila za varno uporabo.

Predsednica EDPB Anu Talus med občutljivimi okolji izrecno omenja delovna mesta. Uporaba očal pri poklicni dejavnosti ni zasebna, zato ne spada pod izjemo za osebno uporabo. V podjetju je zato smiselno vnaprej urediti, ali in pod kakšnimi pogoji se taka očala lahko uporabljajo na delovnem mestu.

Vir: ip-rs

Nezaščitene baze podatkov pri ponudnikih IT-storitev

Primer Liberating Research ni osamljen. Raziskovalec Jeremiah Fowler je odkril nezaščiteno bazo, povezano z indijsko družbo Vibetech, ki razvija programsko opremo z umetno inteligenco in ponuja IT-storitve. Njegove ugotovitve je objavil ExpressVPN. Baza je vsebovala 13,7 milijona zapisov, med njimi prijavne podatke in druge občutljive informacije iz preteklih kršitev. Dostopna je bila brez avtentikacije in brez gesla.

Vprašanja za izvajalca obdelave

• Kje so podatki shranjeni in kdo ima dostop?
• Ali je vsak dostop zaščiten z dvojno avtentikacijo?
• Ali izvajalec hrani podatke dlje, kot je potrebno?

Vir: databreaches

Izsiljevalci pritiskajo na ljudi, ne le na sisteme

Tudi napadalci ciljajo na ljudi. Po poročilu Semperis 2026 Ransomware Risk Report izsiljevalci poleg zaklepanja datotek in kraje podatkov vse pogosteje grozijo zaposlenim, vodilnim in njihovim družinam. Grožnje prijateljem ali sorodnikom zaposlenih so vsebovali 37 % uspešnih napadov.

Načrt odziva na incident naj zato vključuje tudi zaščito in podporo zaposlenim, ne le tehnično obnovo sistemov.

Vir: databreaches

Skupni upravljavec mora veljavnost soglasja preveriti sam

Norveški nadzorni organ je 2. oktobra 2026 izrekel globo družbi Xandr Inc., ki je danes del Microsofta. Postopek se je začel leta 2020 na podlagi pritožbe norveškega potrošniškega sveta. Nanaša se na sprotno dražbo oglasnega prostora (real-time bidding) v aplikaciji za zmenke Grindr.

Organ je ugotovil, da je Xandr obdeloval podatek o tem, da posameznik uporablja Grindr, ter oglaševalski ID in IP-naslov. Ti podatki so osebni podatki po členu 4(1) GDPR, hkrati pa razkrivajo spolno usmerjenost in zato spadajo med posebne vrste podatkov po členu 9(1) GDPR. Xandr je imel vlogo skupnega upravljavca. Lastnega soglasja ni pridobil, temveč se je zanesel na soglasje, ki ga je zbral Grindr in je bilo neveljavno.

Jedro odločitve: odgovornosti ni mogoče prepustiti drugemu. Vsak skupni upravljavec mora sam preveriti, ali je soglasje veljavno in ali pokriva tudi njegovo obdelavo.

Vir: edpb

Odpornost se gradi z znanjem ljudi

Agencija EU za kibernetsko varnost ENISA je čestitala zmagovalcem 12. evropskega izziva za kibernetsko varnost (ECSC). Zmagala je ekipa Švedske, druga je bila Finska, tretja Avstrija.

Tekmovanje kaže, da Evropa sistematično razvija strokovno znanje na tem področju. Za podjetje je preudaren odgovor podoben: tehnični ukrepi morajo biti podprti z usposobljenimi ljudmi.

Vir: enisa

Najšibkejši člen je lahko tudi lasten zaposleni

Veriga ne poteka le prek zunanjih partnerjev. Britanski NHS trust je odpustil že 15 zaposlenih, ker so neupravičeno vpogledali v zdravstvene zapise žrtev napada z nožem v Nottinghamu leta 2023.

Primer kaže, kako pomembni sta varnost obdelave po členu 32 GDPR in sledljivost dostopov. Dostop do podatkov naj bo omejen na tiste zaposlene, ki ga za svoje delo dejansko potrebujejo, vpogledi pa naj se beležijo in preverjajo.

Vir: databreaches

Iz vseh primerov izhaja isto sporočilo: odgovornost za podatke ostane pri podjetju, ki z njimi upravlja. Preudarno ravnanje zato vključuje:

• popis vseh členov verige (partnerji, izvajalci, oglaševalske tehnologije, naprave, orodja umetne inteligence in zaposleni z dostopom),
• preverjanje soglasij in obstoja zakonitih podlag v vseh kanalih,
• nadzor nad obdelovalci in njihovo obdelavo podatkov,
• priprava ustreznih in uporabljivih notranjih pravil za obdelavo podatkov, še posebej novih pravil za uporabo novih naprav in orodij umetne inteligence.

Podjetje naj se ne zanaša na to, da bo partner ali pogodbeni obdelovalec sam poskrbel za skladnost.

Pisarna lahko pomaga pri pregledu pogodb z izvajalci in skupnimi upravljavci, pri pripravi ustreznih notranjih pravil ter pri odzivu na incidente in postopke pred nadzornim organom. Smo vaš zanesljiv partner na poti do informacijske varnosti. Članek je splošna informacija in ne nadomešča pravnega nasveta za konkreten primer.