Dostop do podatkov po prenehanju delovnega razmerja

Datum

17.08.2026

Številka

07121-1/2026/819

Kategorije

Delovna razmerja, Elektronska pošta

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede dostopa do podatkov po prenehanju delovnega razmerja uslužbenca.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Obdelava oziroma dostop do osebnih podatkov znotraj upravljavca je načeloma stvar odločitve vodstva in notranje organizacije posameznega upravljavca, pri tem pa je treba upoštevati temeljna načela iz 5. člena Splošne uredbe. V skladu z načelom najmanjšega obsega podatkov mora biti vsakršna obdelava osebnih podatkov (tudi dostopanje zaposlenih do osebnih podatkov) omejena na to, kar je potrebno za namene, za katere se ti podatki obdelujejo. Pri določanju dostopnih pravic je tako treba upoštevati naloge, naravo dela in delovne obveznosti posameznega zaposlenega.

Varovanje tajnosti komunikacij je določeno že z ustavo in se vanjo načeloma lahko posega le na podlagi sodne odredbe.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP tako ne nudi storitve pregleda ali vnaprejšnje odobritve različnih obrazcev, storitev, aplikacij, ocen ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja tako ne more presojati skladnosti pravilnika delodajalca, ki ste ga opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov, ampak v nadaljevanju podaja splošna pojasnila.

IP tako splošno pojasnjuje, da glede obdelave osebnih podatkov delavcev veljajo načeloma enaka pravila za delodajalce v zasebnem in javnem sektorju, pri čemer so za ugotavljanje zakonitosti konkretne obdelave pomembni posamezni področni predpisi. Zakon o delovnih razmerjih (ZDR-1; Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 - ZIUPOPDVE, 119/21 - ZČmlS-A, 202/21 - odl. US, 15/22, 54/22 – ZUPŠ-1, 114/23, 136/23 – ZIUZDS, 70/25 – ZUTD-1) v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje v tretjem odstavku 48. člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati.

Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravic in obveznosti obeh, tako delavca kot delodajalca. Delodajalec mora natančno izkazati, zakaj je potrebna takšna obdelava osebnih podatkov delavca. Pri tem mora delodajalec v skladu s 46. členom ZDR-1 varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost. Delodajalec mora torej paziti tudi na spoštovanje zasebnosti in dostojanstva delavca, odgovornost delodajalca pa narašča z intenzivnostjo posega v zasebnost. Če okoliščine delovnega razmerja tega ne terjajo oziroma če delodajalec ne izkaže, da je obdelava osebnih podatkov delavca potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih ne sme obdelovati.

IP tako povzema, da je za vsako obdelavo osebnih podatkov treba torej najprej zagotoviti ustrezno pravno podlago. Izbor ustrezne pravne podlage za posamezno obdelavo je stvar ocene konkretnih okoliščin, odgovornost za izbiro pa nosi upravljavec ( v konkretnem primeru delodajalec). Delodajalec mora torej zagotoviti zakonitost obdelave osebnih podatkov o zaposlenih.

Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave.

Pri izvedbi posameznih postopkov in ukrepov je torej treba upoštevati tudi načelo sorazmernosti in vedno izbrati tisti ukrep, ki najmanj poseže v pravice zaposlenega glede na zasledovani zakoniti cilj. Posameznih ukrepov torej ne bi smeli odrejati, če je mogoče primerljiv učinek doseči z milejšimi ukrepi. Če se na ravni posamezne organizacije (v konkretnem primeru na ravni vaše družbe) določen ukrep opredeli kot nujen, potreben in učinkovit, pa ga je treba izvajati na način, ki najmanj posega v zasebnost posameznika in brez prekomerne obdelave osebnih podatkov.

Glede dostopa do poslovnih vsebin IP pojasnjuje, da je obdelava oziroma dostop do osebnih podatkov znotraj upravljavca načeloma stvar odločitve vodstva ter posledično notranje organizacije upravljavca in ureditve v internih aktih. Upravljavec osebnih podatkov mora pri obdelavi osebnih podatkov upoštevati temeljna načela iz 5. člena Splošne uredbe. V skladu z načelom najmanjšega obsega podatkov iz točke (e) tega člena mora biti obdelava osebnih podatkov (npr. dostopanje (bivših) zaposlenih do osebnih podatkov) omejena na to, kar je potrebno za namene, za katere se ti podatki obdelujejo. To pomeni, da je pri določanju pravic dostopa treba vzeti v obzir naloge, naravo dela in delovne obveznosti posamičnega zaposlenega. Za posamezno vrsto osebnih podatkov je tako treba pretehtati, kateri izmed (bivših) zaposlenih se morajo seznaniti s temi podatki glede na namene, za katere se obdelujejo. Pri tem IP poudarja, da gre vsekakor razlikovati med poslovno dokumentacijo in elektronsko komunikacijo zaposlenega, saj slednja že sama po sebi vsebuje osebne podatke.

V zvezi z vpogledom in zavarovanjem elektronske komunikacije bivšega zaposlenega IP uvodoma pojasnjuje, da vprašanje nadzora službene elektronske pošte v marsičem presega zgolj vidike varovanja osebnih podatkov. Gre namreč za širše vprašanje posegov v komunikacijsko zasebnost posameznikov (35. in 37. člen Ustave RS), katerih varstvo je v Sloveniji zagotovljeno v kazenskem pravu v okviru določb o kršitvi tajnosti občil 139. člena Kazenskega zakonika (KZ-1; Uradni list  RS, št. 50/12 - UPB, 6/16 - popr., 54/15, 38/16, 27/17, 23/20, 91/20, 95/21, 186/21, 105/22 – ZZNŠPP, 16/23, 107/24 – odl. US) oziroma v civilnem pravu v okviru določb o zahtevi za prenehanje kršitve osebnostnih pravic 134. člena Obligacijskega zakonika (OZ; Uradni list RS, št. 97/07 - UPB, 64/16 - odl. US, 20/18 - OROZ631) in pripadajočih določb o odškodninski odgovornosti za takšen poseg. Prekomerni poseg v upravičeno pričakovano zasebnost zaposlenih tako torej ne zgolj ogroža zakonitost delodajalčevega konkretnega dejanja, ampak delodajalca potencialno izpostavlja tudi odškodninski oziroma kazenski odgovornosti.

IP ponavlja, da zaposleni tudi na delovnem mestu upravičeno pričakuje določeno stopnjo zasebnosti. Ob tem IP izpostavlja, da mora delodajalec v skladu s 24. in 32. členom Splošne uredbe zagotoviti ustrezne tehnične in organizacijske postopke in ukrepe, s katerimi bo preprečil nepooblaščeno obdelavo, uničenje, izgubo ali spremembo osebnih podatkov. V svojih aktih mora predpisati postopke in ukrepe za zavarovanje osebnih podatkov in določiti osebe, ki so odgovorne za posamezne zbirke osebnih podatkov. Upravljavec (v konkretnem primeru delodajalec) mora torej sorazmerno natančno predpisati postopke in ukrepe, s katerimi bo varoval elektronsko pošto zaposlenih (npr. Pravilnik o varnosti osebnih podatkov ali Pravilnik glede uporabe službene elektronske pošte). Uporaba informacijskih tehnologij na delovnem mestu in pravice delodajalca do nadzora njihove rabe v zakonodaji nista izrecno regulirana. Tako tudi vpogled v elektronsko pošto zaposlenega sam po sebi ni eksplicitno prepovedan, vendar je ob tem vsekakor treba upoštevati predpisane interne postopke in ukrepe za zavarovanje, ki veljajo v vaši organizaciji, katerih pa, kot omenjeno, IP ne more presojati izven nadzornega postopka.

Nadalje IP ponovno poudarja, da je varovanje tajnosti komunikacij določeno že z ustavo in se vanjo načeloma lahko posega le na podlagi sodne odredbe. Navedeno je treba upoštevati tudi pri zavarovanju in preiskavi elektronske pošte in ostalih virov podatkov. Ob tem IP dodaja, da npr. določilo v pogodbi o zaposlitvi, da delodajalec lahko pregleduje elektronsko pošto zaposlenega, ne more pomeniti generalnega pooblastila za delodajalca, da lahko kadarkoli in brez vednosti zaposlenega pregleduje njegovo elektronsko pošto. Določilo lahko pomeni le seznanitev zaposlenega z možnostjo pregleda elektronske pošte v primerih, določenih v internem aktu (za katere namene, ob katerih okoliščinah, na kakšen način). Ob tem pa je pregled izjemoma dopusten le v primeru, ko se namenov, zaradi katerih se pregled opravi, ne more doseči na drug, milejši način (torej v primeru, ko zakoniti interes delodajalca očitno prevlada nad interesi posameznikov, na katere se osebni podatki nanašajo). Vsekakor pa je najustreznejši in »najvarnejši« način posega v delavčevo zasebnost vezan na pridobitev sodne odredbe. Takšni primeri vpogleda v službeno elektronsko pošto zaposlenega so zelo redki in izjemni (npr. realno grozeča poslovna škoda zaradi nezmožnosti pridobitve podatka, ki se nahaja v predalu dolgotrajno odsotnega ali pokojnega delavca). IP poudarja, da bi bilo tudi v izjemnih primerih najprimerneje vpogled v elektronsko pošto dopustiti le do ravni t.i. prometnih podatkov, v vsebino pa vpogledovati zgolj na podlagi odredbe sodišča. Z vpogledom v t.i. prometne podatke pridobi delodajalec podatke o pošiljatelju, datumu pošte in opisu zadeve. V vsebino sporočila pa bi delodajalec lahko vpogledal le izjemoma in praviloma na podlagi vsakokratne izrecne privolitve zaposlenega (vezane na konkretno elektronsko sporočilo in predvsem v primerih, ko sporočila ne bi mogel pridobiti od pošiljatelja) ali na podlagi odredbe sodišča. Vsak vpogled je treba dokumentirati in ga izvesti po vnaprej predpisanem postopku.

IP dodatno pojasnjuje, da je o vprašanjih glede relacije delodajalec - zaposleni obširno pisal v smernicah Varstvo osebnih podatkov v delovnih razmerjih. Smernice so dostopne na spletni strani IP:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_Varstvo_OP_v_delovnih_razmerjih_verzija_1.1_koncna.pdf

IP ponavlja, da v okviru neobvezujočega mnenja ne more presojati ustreznosti posameznih rešitev oziroma ravnanja posameznih zavezancev, ampak to lahko presoja le v okviru konkretnega nadzornega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je primarno vedno na upravljavcu osebnih podatkov. Upravljavec je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.

Lepo vas pozdravljamo.

Pripravil: Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka