Dostop do e-pošte zaposlenega oz. njena preusmeritev

Datum

23.10.2024

Številka

07121-1/2024/1295

Kategorije

Delovna razmerja, Elektronska pošta, Varnost osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje. Sprašujete, ali je dopustno (in na kateri pravni podlagi), da prenesete e-pošto zaposlenega, ki mu preneha delovno razmerje, na drugega zaposlenega ter kakšen je primer generičnega sporočila za stranke (povratno sporočilo)? Sprašujete tudi, pod kakšnimi pogoji lahko delodajalec, ko je to nujno potrebno zaradi delovnega procesa, dostopa do službenega računalnika in/ali e-pošte zaposlenega in katera pravna podlaga je za to najbolj ustrezna?

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Delodajalec ne sme preusmeriti e-pošte nekdanjega zaposlenega na drugega zaposlenega, saj bi šlo pri tem za nazakonito obdelavo osebnih podatkov nekdanjega zaposlenega, kakor tudi pošiljateljev e-pošte. Delodajalec lahko za kontinuiteto dela poskrbi npr. z ukinitvijo elektronskega naslova nekdanjega zaposlenega in hkratnim avtomatskim obvestilom o neobstoju tega naslova in podatkom, kam naj naslovijo svoje sporočilo.

Vpogled v elektronski predal zaposlenega brez njegove vednosti bi lahko bil dopusten zgolj v skrajno izjemnih okoliščinah, ko se namenov, zaradi katerih se pregled opravi, ne more doseči na drug, milejši način. Tudi v izjemnih primerih bi bilo najprimerneje vpogled v elektronsko pošto ali računalnik delavca dopustiti le do ravni t.i. prometnih podatkov, v vsebino pa vpogledovati zgolj na podlagi odredbe sodišča.

Obrazložitev

Pri tem IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Uvodoma vam predlagamo, da si različne situacije (ne)dopustnih ravnanj delodajalca glede službene elektronske pošte preberete v Smernicah »Varovanje osebnih podatkov v delovnih razmerjih«, predvsem v poglavju 4.1.2 (Dostop do elektronske pošte in računalnika po prenehanju delovnega razmerja). Smernice so dostopne na naslednji povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_Varstvo_OP_v_delovnih_razmerjih_verzija_1.1_koncna.pdf.

Na podobna vprašanja, kot je vaše, je IP v preteklosti že odgovarjal. Neobvezujoča mnenja IP so dosegljiva s pomočjo iskalnikov na: www.ip-rs.si/vop, npr. mnenji št. 07121-1/2021/2655 z dne 11. 1. 2022 in št. 0712-1/2024/825 z dne 18. 7. 2024 in tam citirana mnenja.

Kot smo poudarili v zgoraj citiranem mnenju št. 07121-1/2021/2655, varuje Splošna uredba osebne podatke, v konkretnem primeru elektronske pošte gre predvsem za t.i. prometne podatke (e- naslovi, na katere je posameznik poslal elektronsko sporočilo in od katerih je sporočilo prejel; datum in čas pošiljanja in prejema sporočila; zadeva sporočila in drugi tehnični podatki v povezavi s sporočilom – priponka, velikost, itd.), sama vsebina elektronskih sporočil pa predstavlja komunikacijsko zasebnost iz 37. člena Ustave RS, ki sodi v pristojnost sodišč. Pojasnili smo tudi, da mora imeti delodajalec za obdelavo osebnih podatkov ustrezno pravno podlago skladno s Splošno uredbo. V okviru delovnega razmerja je relevantna tudi določba prvega odstavka 48. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19 in 203/20 – ZIUPOPDVE), ki določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Ob prenehanju delovnega razmerja pravna podlaga odpade, kar pomeni, da mora delodajalec deaktivirati elektronski naslov delavca. V kolikor bi ostal aktiven, bi šlo za nezakonito obdelavo osebnih podatkov nekdanjega zaposlenega, kakor tudi osebnih podatkov pošiljateljev. Nekdanji e-naslov mora delodajalec ukiniti oziroma blokirati. Pojasnili smo tudi, da preusmeritve na e-naslove drugih zaposlenih niso dovoljene in da lahko delodajalec za kontinuiteto dela poskrbi npr. z ukinitvijo elektronskega naslova nekdanjega zaposlenega in hkratnim avtomatskim obvestilom o neobstoju tega naslova in podatkom, kam naj naslovijo svoje sporočilo. Vzorec takega obvestila vam IP ne more podati, predlagamo vam, da ga sestavite na način, da bo najbolj primeren za vašo organizacijo in da bo seveda spoštoval varstvo osebnih podatkov zaposlenih.

Predlagamo vam, da zaradi zavarovanja osebnih podatkov že vnaprej predpišete ustrezne postopke in ukrepe, s katerimi se bo varovala elektronska pošta zaposlenih, ter postopanje z neaktivnimi predali elektronske pošte nekdanjih zaposlenih (npr. vsebina se ali izbriše ali pa se arhivira). Več o tem lahko preberete v citiranem mnenju.

V zvezi z dostopom do službenega računalnika oz. e-pošte zaposlenega smo v zgoraj citiranem mnenju št. 0712-1/2024/825 pojasnili, da bi lahko bil vpogled v elektronski predal ali računalnik zaposlenega brez njegove vednosti dopusten zgolj v skrajno izjemnih okoliščinah, ko se namenov, zaradi katerih se pregled opravi, ne more doseči na drug, milejši način (torej v primeru, ko zakoniti interes delodajalca očitno prevlada nad interesi posameznikov, na katere se osebni podatki nanašajo). Najustreznejši način za vpogled je vezan na pridobitev sodne odredbe. Takšni primeri dopustnega vpogleda so zelo redki in izjemni (npr. realno grozeča poslovna škoda zaradi nezmožnosti pridobitve podatka, ki se nahaja v predalu dolgotrajno odsotnega ali pokojnega delavca). IP poudarja, da bi bilo tudi v izjemnih primerih najprimerneje vpogled v elektronsko pošto ali računalnik delavca dopustiti le do ravni t.i. prometnih podatkov, v vsebino pa vpogledovati zgolj na podlagi odredbe sodišča. Izjemne okoliščine, ko je dopusten vpogled brez vednosti zaposlenega, mora biti sposoben izkazati delodajalec, vpogled pa mora biti praviloma predviden tudi v internih aktih delodajalca, s katerimi morajo biti zaposleni seznanjeni.

Lepo pozdravljeni.

dr. Jelena Virant Burnik, informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav.

svetovalka pooblaščenca za preventivo