Vpogled v službeni računalnik in službeno elektronsko pošto zaposlenega

Datum

11.12.2024

Številka

07121-1/2024/1533

Kategorije

Delovna razmerja, Elektronska pošta, Telekomunikacije in pošta, Varnost osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje v zvezi z dostopom delodajalca do službenega računalnika zaposlenega in službenega elektronskega naslova zaposlenega. Navajate, da ima delodajalec v internih aktih predpisane postopke za ravnanje z delovnimi sredstvi in elektronskim naslovom zaposlenega v primeru smrti ali nenadne hude bolezni zaposlenega, v tem primeru lahko delodajalec če bi mu nastala poslovna škoda v primeru, da podatkov ne bi pridobil, komisijsko po predpisanem postopku vpogleda v službeni računalnik zaposlenega in predvsem prometne podatke elektronske pošte.

Zanima vas, ali lahko delodajalec po enakem postopku postopa tudi v primeru, ko delavcu nenadno preneha delovno razmerje (izredna odpoved, delavec se po bolniškem staležu ne vrne na delo) in ni mogoče pričakovati, da bi delavec lahko izvedel primopredajo delovnega sredstva in službenega elektronskega naslova oziroma bil prisoten na komisijskem pregledu? Delodajalec podatke, ki se nahajajo na službenem računalniku zaposlenega in službenem elektronskem naslovu potrebuje, saj bi mu v nasprotnem primeru nastala poslovna škoda.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Predlagamo vam, da se z bivšim zaposlenim dogovorite o načinu prenosa službenih sporočil zaradi kontinuitete dela (npr. s prenosom v skupni službeni predal) in mu omogočite, da iz službenega predala e-pošte in iz računalnika izbriše svoja zasebna sporočila oz. dokumente zasebne narave ali jih shrani na drug medij ter mu date priložnost, da svoje zasebne kontakte obvesti o ukinitvi e-naslova.

Samodejno postopanje v navedenih primerih, po enakem postopku, kot če bi šlo za nenadno smrt delavca ali dolgotrajno odsotnost, se z vidika sorazmernosti ne zdi primerno, saj je posameznik za delodajalca še vedno dosegljiv in lahko aktivno sodeluje pri zaščiti svoje zasebnosti. Postopanje kot ga predlagate torej ne more biti redna praksa v primeru izredne odpovedi (oz. podane odpovedi po dolgotrajni bolniški odsotnosti), lahko pa bi eventualno prišlo v poštev šele, če bi lahko delodajalec izkazal, da gre za izredno situacijo – npr. bivšega zaposlenega je dejansko poskusil kontaktirati in se delavec ni odzival oz. je zavrnil opisano sodelovanje. Predlagamo, da v bodoče v internih aktih uredite tudi navedene primere.

Obrazložitev

Pri tem IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Uvodoma vam predlagamo, da si različne situacije (ne)dopustnih ravnanj delodajalca glede službene elektronske pošte preberete v Smernicah »Varovanje osebnih podatkov v delovnih razmerjih«, predvsem v poglavju 4.1.2 (Dostop do elektronske pošte in računalnika po prenehanju delovnega razmerja). Smernice so dostopne na naslednji povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_Varstvo_OP_v_delovnih_razmerjih_verzija_1.1_koncna.pdf.

Na podobna vprašanja, kot je vaše, je IP v preteklosti že odgovarjal. Neobvezujoča mnenja IP so dosegljiva s pomočjo iskalnikov na: www.ip-rs.si/vop, npr. mnenje št. 07121-1/2021/2655 z dne 11. 1. 2022 in št. 0712-1/2024/825 z dne 18. 7. 2024 ter tam citirana mnenja.

Kot smo poudarili v zgoraj citiranem mnenju št. 07121-1/2021/2655, varuje Splošna uredba osebne podatke, v konkretnem primeru elektronske pošte gre predvsem za t.i. prometne podatke (e- naslovi, na katere je posameznik poslal elektronsko sporočilo in od katerih je sporočilo prejel; datum in čas pošiljanja in prejema sporočila; zadeva sporočila in drugi tehnični podatki v povezavi s sporočilom – priponka, velikost, itd.), sama vsebina elektronskih sporočil pa predstavlja komunikacijsko zasebnost iz 37. člena Ustave RS, ki sodi v pristojnost sodišč. Pojasnili smo tudi, mora delodajalec pri eventualnem dostopu do elektronske pošte oz. dokumentov na računalniku po prenehanju delovnega razmerja spoštovati pravico do zasebnosti delavca. Nadalje smo izpostavili, da mora imeti delodajalec za obdelavo osebnih podatkov ustrezno pravno podlago skladno s Splošno uredbo. V okviru delovnega razmerja je relevantna tudi določba prvega odstavka 48. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19 in 203/20 – ZIUPOPDVE), ki določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Poudarjamo pa, da ob prenehanju delovnega razmerja pravna podlaga odpade, kar pomeni, da mora delodajalec deaktivirati elektronski naslov delavca. Pri obdelavi osebnih podatkov pa mora delodajalec upoštevati tudi t.i. načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Zaradi zavarovanja osebnih podatkov se delodajalcem predlaga, da že vnaprej predpišejo ustrezne postopke in ukrepe, s katerimi se bo varovala elektronska pošta zaposlenih, ter postopanje z neaktivnimi predali elektronske pošte nekdanjih zaposlenih (npr. vsebina se ali izbriše ali pa se arhivira). Predlagamo vam, da se z bivšim zaposlenim dogovorite o načinu prenosa službenih sporočil zaradi kontinuitete dela (kot smo npr. navedli v zgoraj navedenih smernicah, s prenosom v skupni službeni predal), in mu omogočite, da iz službenega predala e-pošte in iz računalnika izbriše svoja zasebna sporočila oz. dokumente zasebne narave ali jih shrani na drug medij ter mu date priložnost, da svoje zasebne kontakte obvesti o ukinitvi e-naslova. Kot smo poudarili v smernicah, se takšen postopek lahko izvede komisijsko in zapisniško izjemoma v primeru, če delodajalec utemeljeno sumi, da bi zaposleni s tem lahko izbrisal tudi pomembne podatke službene narave (zlasti npr. podatke, ki predstavljajo intelektualno lastnino podjetja, poslovne skrivnosti) ali jih protipravno posredoval tretjim osebam (glej točko 4. 1. 2. v zgoraj citiranih smernicah). Samodejno postopanje v navedenih primerih, po enakem postopku, kot če bi šlo za nenadno smrt delavca ali dolgotrajno odsotnost, se z vidika sorazmernosti ne zdi primerno, saj je posameznik za delodajalca še vedno dosegljiv in lahko aktivno sodeluje pri zaščiti svoje zasebnosti. Postopanje kot ga predlagate torej ne more biti redna praksa v primeru izredne odpovedi (oz. podane odpovedi po dolgotrajni bolniški odsotnosti), lahko pa bi eventualno prišlo v poštev šele, če bi lahko delodajalec izkazal, da gre za izredno situacijo – npr. bivšega zaposlenega je dejansko poskusil kontaktirati in se delavec ni odzival oz. je zavrnil opisano sodelovanje. Predlagamo, da v bodoče v internih aktih uredite tudi navedene primere, ob tem pa predlagamo, da upoštevate napotila v citiranih smernicah.

Lepo pozdravljeni.

dr. Jelena Virant Burnik, informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo