Izdelava modela za samodejno prepoznavo procesov v organizaciji

Datum

21.11.2025

Številka

07120-1/2025/509

Kategorije

Umetna indeligenca, Privolitev, Delovna razmerja

pri Informacijskem pooblaščencu (IP) smo dne 3. 11. 2025 prejeli vaše zaprosilo za mnenje o tem, ali je lahko pravno sporna izdelava modela za samodejno prepoznavo procesov v organizaciji (znotraj delodajalca) na podlagi vhodnih podatkov iz vsebine službene elektronske pošte, ki se uporablja za medsebojno komunikacijo. Na podlagi pregleda elektronskih sporočil bi izluščili procese oziroma zgoščene točke glede katerih je največ težav pri poslovanju. Pregled e-pošte bi potekal z uporabo programske opreme oziroma umetne inteligence, ki bi jo oblikovali v ta namen – torej ne bi šlo za osebno pregledovanje e-pošte. Gre za razvoj nove samodejne metode luščenja procesov (namesto ročnih anket in popisovanja). Vnaprej bi določili množico ključnih besed, ki bi se iskala v sporočilih. Kot rezultat bi dobil odgovor, kateri oddelki komunicirajo med seboj in kje se pojavljajo največji zastoji. Podatki bi bili anonimizirani do te mere, da se govori o oddelkih/vlogah in ne neposredno o osebah. Šlo bi za nalogo v okviru doktorskega študija, v organizaciji pa ste zaposleni.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Splošne uredbe (EU) o varstvu podatkov (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Pojasnjujemo še, da se IP lahko dokončno opredeljuje do konkretnih obdelav osebnih podatkov le v nadzornih postopkih. Poleg tega se to mnenje nanaša le na vidik varstva osebnih podatkov, ne pa tudi na širši vidik komunikacijske zasebnosti.

Po mnenju IP je zajem vsebine službene e-pošte za potrebe izdelave modela za samodejno prepoznavo procesov v organizaciji dopusten le na podlagi veljavne privolitve zaposlenih, ki so udeleženi v posamezni komunikaciji.

Opozarjamo, da je prostovoljnost privolitve v delovnem razmerju lahko vprašljiva zaradi neenakega razmerja moči med delavcem in delodajalcem.

Obrazložitev:

Za vsako obdelavo osebnih podatkov (kamor spada tudi vsebina e-pošte ter prometni podatki v zvezi z njo) mora biti podana pravna podlaga iz 6. oziroma 9. člena Splošne uredbe – to poenostavljeno pomeni, da mora tako obdelavo določati (dopustiti) nek zakon oziroma višji predpis ali pa mora biti na voljo veljavna privolitev. Pravna podlaga ne bi bila potrebna le, če bi šlo za obdelavo popolnoma anonimiziranih podatkov, za kar pa v vašem primeru vsaj v prvi fazi načeloma ne gre, ker bi se zajem podatkov izvajal pri določenih (znanih) osebah. Poleg tega avtomatizirano pregledovanje e-pošte ne pomeni, da ne gre za obdelavo osebnih podatkov. Zato je po mnenju IP potrebna privolitev vseh oseb, ki so vključene v e-poštno komunikacijo.

Pravila glede privolitve posameznika v obdelavo osebnih podatkov so urejena zlasti v 11. točki 2. člena, 7. členu, (a) točki prvega odstavka 6. člena, (a) točki drugega odstavka 9. člena, prvem odstavku 12. člena, 13. členu in 14. členu Splošne uredbe o varstvu podatkov ter v njenih uvodnih recitalih št. 32., 33., 42. in 43.

Za dosego veljavne privolitve je v vašem primeru zlasti pomembno:

-predhodno natančno in konkretno informiranje zaposlenih o nameravani obdelavi osebnih podatkov (npr. konkretni namen in način uporabe podatkov, kateri konkretni podatki se obdelujejo, vključno s katerimi ključnimi besedami, ali pregled vključuje priponke, katera e-poštna sporočila so vključena v obdelavo, čas hrambe podatkov, način in obseg uporabe rezultatov, pravice zaposlenih na področju varstva osebnih podatkov, vključno s pravico do seznanitve z zbranimi podatki in pravico do preklica privolitve) ,

-ustrezna formulacija privolitvene izjave ter informacij o obdelavi (npr. izrecnost, specifičnost ter »jedrnatost, preglednost, razumljivost in enostavna dostopnost ter jasnost in preprostost jezika«) in

-zagotovitev pogojev za prostovoljnost privolitve (npr. odsotnost elementov neposredne ali posredne prisile s strani delodajalca).

V vašem primeru se postavlja tudi vprašanje, kako pri zajemu podatkov razmejiti zasebna in službena e-poštna sporočila ter kako razmejiti notranja in zunanja e-poštna sporočila, saj naj bi bila zajeta le službena in notranja e-poštna sporočila.

Če bi šlo v konkretnem primeru za izdelavo in uporabo modela s strani delodajalca (torej za model, ki se uvede v interesu in po volji delodajalca oziroma za model, katerega namen uporabe in sredstva obdelave določi delodajalec), opozarjamo, da privolitev delavca v delovnih razmerjih ne pride vedno v poštev. Veljavna privolitev mora, kot že rečeno, izpolnjevati tudi pogoj popolne prostovoljnosti in preklicljivosti. Oba pogoja mora biti delodajalec zmožen dokazati. Taka privolitev ne sme vsebovati elementov prisilitve zaradi neenakega razmerja moči v delovnem razmerju. Neprostovoljna »privolitev« ni veljavna privolitev in zato ne more imeti učinkov na zakonito obdelavo osebnih podatkov. Enako velja, če delavec brez neugodnih delovnopravnih posledic ne more privolitve preklicati. Privolitev ni prostovoljna, če posameznik, na katerega se nanašajo osebni podatki, nima možnosti dejanske ali prostovoljne izbire ali privolitve ne more zavrniti ali preklicati brez škode (42. uvodni recital Splošne uredbe o varstvu podatkov). Za zagotovitev, da je privolitev dana prostovoljno, privolitev ne bi smela biti veljavna pravna podlaga za obdelavo osebnih podatkov v posebnem primeru, ko obstaja očitno neravnotežje med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem (43. uvodni recital Splošne uredbe o varstvu podatkov).

Opozarjamo še na dejstvo, da bi v konkretnem primeru šlo hkrati tudi za določen poseg v komunikacijsko zasebnost (37. člen Ustave RS), ki pa, kot že rečeno, ne spada v pristojnost IP.

Ker gre v vašem primeru tudi za uporabo umetne inteligence, vam predlagamo še ogled mnenj IP na naslednji povezavi:

https://www.ip-rs.si/mnenja-zvop-2/skladnost-ui-aplikacije-s-predpisi-varstva-osebnih-podatkov-1753164872 in

https://www.ip-rs.si/mnenja-zvop-2/uporaba-ui-pri-obdelavi-zdravstvenih-podatkov-1739350734.

Dodatno izpostavljamo tudi zahteve Akta o umetni inteligenci, ki za določene sisteme UI predpisuje dodatne obveznosti za ponudnike in uvajalce tovrstnih sistemov. V zaprosilu za mnenje ne navajate natančno, za kakšen namen se bo uporabljal sistem UI, zato zgolj na splošno opozarjamo, da določeni sistemi na področju zaposlovanja sodijo med t. i. visoko tvegane sisteme UI, ki se sicer lahko uporabljajo, vendar morajo izpolnjevati zahteve Akta. Za nadzor nad sistemi UI na področju zaposlovanja je pristojna Agencija za komunikacijska omrežja in storitve Republike Slovenije (AKOS).

Prijazen pozdrav.

Pripravil: dr. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

dr. Jelena Virant Burnik

informacijska pooblaščenka