IP: 1.760 EUR zaradi kršitve 32. člena GDPR
Informacijski pooblaščenec je pravni osebi izrekel globo, saj so pomanjkljivosti pri preverjanju uporabnikov spletne aplikacije so omogočile nepooblaščen dostop do osebnih podatkov registriranih uporabnikov.
Odločba je bila izdana septembra 2026.
V središču obravnavanega primera je bila spletna aplikacija, namenjena registriranim operaterjem. V njej so se hranili različni osebni podatki uporabnikov, vključno z njihovimi kontaktnimi podatki, naslovi prebivališča in datumi rojstva.
Težava je izvirala iz pomanjkljivo zasnovanega sistema za preverjanje identitete in upravičenosti do dostopa. Aplikacija namreč ni ustrezno preverjala povezave med posameznim uporabnikom in njegovim elektronskim naslovom oziroma davčno številko. Prav tako ni bilo zagotovljeno dosledno preverjanje, ali je bila davčna številka sploh vnesena oziroma evidentirana.
Posledično je nastala varnostna ranljivost, ki je drugim uporabnikom omogočala vpogled v podatke registriranih operaterjev, pri katerih davčna številka ni bila zabeležena. Za dostop ni bilo potrebno posebno tehnično znanje ali uporaba naprednih metod. Zadostovalo je, da je uporabnik ročno spremenil identifikacijsko številko v URL naslovu aplikacije.
Tako je bilo mogoče zaobiti omejitve dostopa in pridobiti osebne podatke drugih posameznikov, čeprav uporabnik do njih ni bil upravičen.
Odločitev nadzornega organa
Informacijski pooblaščenec je presodil, da ugotovljene pomanjkljivosti pomenijo kršitev obveznosti zagotavljanja varnosti obdelave osebnih podatkov iz 32. člena GDPR.
Upravljavec mora glede na naravo obdelave in z njo povezana tveganja vzpostaviti ustrezne zaščitne mehanizme, s katerimi med drugim zagotavlja zaupnost osebnih podatkov. To pomeni tudi, da mora informacijski sistem preprečevati vpogled v podatke posameznikom, ki za tak dostop nimajo ustreznega pooblastila.
V konkretnem primeru varnostne kontrole niso bile dovolj učinkovite, da bi preprečile dostop do podatkov drugih registriranih operaterjev. Pomanjkljivosti pri preverjanju uporabniških podatkov so tako neposredno vplivale na zaupnost osebnih podatkov, ki so se obdelovali v aplikaciji.
Za ugotovljeni prekršek je bila odgovorna pravna oseba, v okviru katere so odgovorne osebe opravljale naloge, povezane z obravnavano kršitvijo. Nadzorni organ ji je na podlagi prvega odstavka 95. člena ZVOP-2 v povezavi s členom 83(4)(a) GDPR izrekel globo v višini 1.760 evrov, poleg tega pa ji je naložil še plačilo sodne takse v višini 176 evrov.
Primer ponazarja, da varnost osebnih podatkov ni odvisna zgolj od tega, ali je dostop do aplikacije zaščiten s prijavo uporabnika. Enako pomembno je, da sistem ob vsakem dostopu do podatkov preveri, ali ima konkretni uporabnik pravico do njihovega vpogleda.
Za upravljavce spletnih aplikacij je zato pomembno, da poleg ustrezne avtentikacije zagotovijo tudi učinkovite mehanizme avtorizacije, preverjanje vhodnih podatkov in redno preizkušanje dostopnih omejitev. Tudi na videz preprosta programska pomanjkljivost lahko namreč omogoči nepooblaščeno razkritje osebnih podatkov in pomeni kršitev zahtev GDPR.
Odločitev nadzornega organa je dostopna tukaj (september 2026).
Vir: Informacijski pooblaščenec RS, Odločba o prekršku št. 0609-21/2026/12.
Naslovna fotografija: Ustvarjena z UI
