Posredovanje osebnih datotek in pošte dedičem umrlega zaposlenega

Datum

19.04.2024

Številka

07120-1/2024/158

Kategorije

Elektronska pošta, Občutljivi OP, Posredovanje osebnih podatkov, OP umrlih

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Navajate, da ste od zastopnika dediča vašega bivšega zaposlenega prejeli zaprosilo za posredovanje osebnih podatkov oziroma osebnih datotek in elektronske pošte na podlagi določb tretjega odstavka 9. člena ZVOP-2. Z namenom določanja, katera datoteka ter elektronska pošta spada v področje poslovnega delovanja umrlega in katera na področje osebnih podatkov in njegove zasebnosti, bi bil nujen vpogled v vsebino vsake posamezne datoteke in elektronske pošte, saj na drugačen način odbiranje osebnih datotek in elektronske pošte ne bi bil možen. Menite, da bi s takim posegom kot bivši delodajalec kršili več veljavnih predpisov, saj lahko nadzor službene e-pošte izvajate le v izrednih primerih, ko je to utemeljeno potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem ter ob upoštevanju pogojev za poseg v komunikacijsko zasebnost, kot jih določa 37. člen Ustave RS, prav tako pa ste dolžni varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost. Zanima vas, ali ste kot bivši delodajalec dolžni narediti zajem osebnih datotek in elektronske pošte na način, kot to predlaga zastopnik dediča umrlega.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Določba tretjega odstavka 9. člena ZVOP-2, ki ureja posredovanje osebnih podatkov umrlih posameznikov privilegiranim upravičencem, se nanaša na vse vrste osebnih podatkov, torej tudi na tiste, ki spadajo na področje poslovnega delovanja. Če drug zakon ne določa drugače, se 9. člen ZVOP-2 uporablja za osebne podatke umrlih posameznikov še 20 let po njihovi smrti.

Ker gre za posredovanje osebnih podatkov, se pri odločanju o zahtevah po 9. členu ZVOP-2 uporabljajo postopkovna pravila iz 39. do 41. člena ZVOP-2.

IP priporoča, da so vsi posegi v datoteke na službenem računalniku in v elektronsko pošto zaposlenih urejeni v internem aktu, pri čemer je treba upoštevati, da morajo biti ti primeri izjema, ko namena ni mogoče doseči z milejšimi sredstvi.

Podatki, ki spadajo v polje komunikacijske zasebnosti, po Ustavi RS uživajo večje varstvo kot večina drugih osebnih podatkov. Posegi v komunikacijsko zasebnost izven oblastne sfere so dopustni le ob upoštevanju strogih meril iz 15. člena Ustave. Zato IP opozarja, da že pri delodajalčevem posegu v elektronsko pošto umrlega zaposlenega, še posebej pa pri posredovanju osebnih podatkov, ki so v njej vsebovani, njegovemu dediču, obstaja visoko tveganje za kršitev pravice do komunikacijske zasebnosti. Zato IP priporoča izredno previden pristop. O obrazložitev:

IP uvodno izpostavlja, da vam v okviru neobvezujočega mnenja ne odgovoriti, ali ste na podlagi zahteve za posredovanje podatkov o umrlem posamezniku dolžni ugotavljati, katere osebne datoteke na službenem računalniku in katera elektronska pošta spadajo v področje njegovega poslovnega delovanja, katere pa v področje njegove zasebnosti. Vzpostavitev ustreznega postopka za obravnavanje tovrstnih zahtev je namreč vaša naloga in odgovornost, ki je IP ne more prevzeti. V nadaljevanju so zato podana zgolj splošna pojasnila in opozorila v zvezi z vašim vprašanjem.

V situaciji, ki jo opisujete, sta z vidika varstva osebnih podatkov relevantna dva koraka. Prvi korak je presoja zakonitosti posega delodajalca v datoteke in elektronsko pošto umrlega zaposlenega. Šele če je ta pogoj izpolnjen, pa se lahko v drugem koraku presoja, ali je dopustno tudi posredovanje določenih zakonito odbranih osebnih podatkov dediču.

Na podlagi tretjega odstavka 9. člena ZVOP-2 upravljavec osebne podatke o umrlem posamezniku na njihovo zahtevo posreduje zakoncu, zunajzakonskemu partnerju, otrokom, staršem ali dedičem, če umrli posameznik ni pisno prepovedal upravljavcu posredovanja njegovih osebnih podatkov ali če drug zakon ne določa drugače. Določbe tega člena se uporabljajo za osebne podatke umrlih posameznikov 20 let po njihovi smrti, če drug zakon ne določa drugače.

IP pojasnjuje, da se 9. člen ZVOP-2 nanaša na vse vrste osebnih podatkov umrlega posameznika, torej tudi na tiste, ki spadajo na področje njegovega poslovnega delovanja. Po drugi strani pa ni nujno, da celotna vsebina datotek in elektronske pošte umrlega zaposlenega pomeni osebne podatke, ki se nanašajo nanj, v smislu opredelitve iz 1. točke 4. odstavka Splošne uredbe (v zvezi s prvim odstavkom 5. člena ZVOP-2).

IP opozarja, da lahko že pri delodajalčevem posegu v elektronsko pošto umrlega zaposlenega pride, poleg posega v pravico do varstva osebnih podatkov, tudi do kršitve njegove pravice do dostojanstva ter varstva njegove zasebnosti, predvsem za poseg v pravico do varstva tajnosti občil oziroma t.i. komunikacijske zasebnosti. Področje varstva osebnih podatkov je s to pravico namreč tesno povezano. Pravica do komunikacijske zasebnosti v svojem bistvu pomeni varstvo posameznika, da se država ali nepovabljeni tretji ne seznanijo s sporočilom, ki ga na daljavo posreduje prek kateregakoli sredstva. Posegi v komunikacijsko zasebnost izven oblastne sfere so dopustni le ob upoštevanju strogih meril iz 15. člena Ustave (tako že VSL Sodba in sklep I Cp 811/2021). Pri presoji dopustnosti posega v komunikacijsko zasebnost pa ni bistveno, ali gre je vsebina komunikacije v elektronski pošti službene ali zasebne narave. Ni namreč dvoma, da komunikacijska zasebnost velja tudi za službeni elektronski predal (tako na primer tudi VSL Sodba in sklep I Cp 811/2021).

IP je v Smernicah o varstvu osebnih podatkov v delovnih razmerjih (https://www.ip-rs.si/publikacije/priročniki-in-smernice/smernice-po-splošni-uredbi-o-varstvu-podatkov-gdpr/varstvo-osebnih-podatkov-v-delovnih-razmerjih; str. 23 in 24) že pojasnil, da ima delodajalec pravico do nadaljnje uporabe službenih delovnih sredstev preminulega zaposlenega, vendar pa mora previdno ravnati s podatki, ki se nahajajo na teh sredstvih. Priporočal je, da delodajalec v internem aktu predpiše postopek v takšnih primerih, ki vsebuje naslednje korake:

-delodajalec najprej komisijsko in zapisniško odbere ter s službenega sredstva skopira podatke, ki so službene narave in so nujno potrebni za poslovanje podjetja, pri čemer se v največji možni meri izogiba vpogledu v osebne podatke in zasebno korespondenco zaposlenega;

-podatkov zasebne narave delodajalec sicer ni dolžan hraniti, je pa dopustno, da jih skopira in začasno shrani (najdlje toliko časa, kot je glede na konkretne okoliščine možno razumno pričakovati, da bi trajala pridobitev odredbe za zavarovanje podatkov s strani dedičev ali drugih pooblaščenih oseb).

-skopirane podatke mora ustrezno zavarovati;

-predal elektronske pošte mora v najkrajšem možnem času onemogočiti, pošiljatelje pa z avtomatskim obvestilom seznaniti, da elektronski naslov ni več aktiven in da sporočilo ne bo dostavljeno ter da naj se obrnejo na drugi naslov;

-delovno sredstvo, s katerega so bili varno skopirani podatki, lahko delodajalec formatira tako, da izvede varno in nepovratno brisanje podatkov, potem pa ga preda v uporabo drugemu zaposlenemu.

Glede na navedeno samo po sebi ni prepovedano, da delodajalec vpogleda v vsebino datotek ter elektronske pošte ter loči podatke poslovne in zasebne narave, vendar mora to storiti na način, ki kar najmanj posega v zasebnost umrlega zaposlenega ter le v izjemnih, načeloma vnaprej predvidenih primerih, ko so za to podani utemeljeni razlogi. IP namreč poudarja, da podatki, ki so del komunikacijske zasebnosti, kot so podatki v elektronskem predalu posameznika, že po Ustavi RS uživajo večje varstvo kot večina drugih navadnih osebnih podatkov (glej sklep in sodbo VSRS II Ips 473/2005, II Ips 474/2005). Zato je pri tem potrebna izredna previdnost, da delodajalec ne bi neutemeljeno posegel v komunikacijsko zasebnost nekdanjega zaposlenega in obenem kršil varstvo njegovih osebnih podatkov.

Nadalje IP opozarja, da četudi bi delodajalec morebiti lahko zakonito posegel v datoteke in elektronsko pošto umrlega zaposlenega, pa je nadvse vprašljivo, ali bi njegove osebne podatke lahko na podlagi tretjega odstavka 9. člena ZVOP-2 posredoval dediču, ne da bi pri tem prišlo do nedopustnega posega v komunikacijsko zasebnost. Čeprav IP o tem ni pristojen presojati, svetuje skrajno pazljiv pristop.

Za konec IP še pojasnjuje, da se pri odločanju o zahtevi po 9. členu ZVOP‑2 uporabljajo postopkovna pravila iz 39. do 41. člena ZVOP‑2, saj gre za posredovanje osebnih podatkov. Skladno z drugim in tretjim odstavkom 41. člena ZVOP-2 ste kot upravljavec vlagatelju zahteve (če drug zakon ne določa drugače) dolžni zahtevane osebne podatke posredovati najpozneje v 15 dneh od prejema popolne zahteve ali pa ga v tem roku pisno obvestiti o razlogih, zaradi katerih mu zahtevanih osebnih podatkov ne boste posredovali, sicer se bo štelo, da ste zahtevo zavrnili. Glede na to, da iz vašega opisa izhaja, da se v konkretnem primeru zahteva ne nanaša na posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig, pa IP v takšnem primeru ne nastopa kot pritožbeni organ, temveč lahko vlagatelj zahteva sodno varstvo, o katerem odloča sodišče s splošno pristojnostjo v skladu z zakonom, ki ureja nepravdni postopek (četrti odstavek 41. člena ZVOP-2).

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka