Nepooblaščen dostop do e-pošte

Datum

30.06.2023

Številka

07121-1/2023/890

Kategorije

Elektronska pošta, Pravica do seznanitve z lastnimi osebnimi podatki

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje glede dostopa nepooblaščenih oseb do e-poštnega računa vašega pokojnega očeta. Zaznali ste, da so bile v konkretnem sodnem postopku predložene listine, ki so bile verjetno pridobljene z očetovih e-poštnih predalnikov (eden od njih je bil tudi službeni). Ugotovili ste, da je geslo zamenjano (glede na sklep o dedovanju, bi bili do tega upravičeni kvečjemu vi). Zdi se vam neetično, da se dostopa do e-naslova pokojne osebe in da se dokumenti izkoriščajo v namene pravde. Sprašujete, ali je to dovoljeno? Želeli ste se obrniti na Google in Microsoft, kot upravljavca očetovih e-poštnih predalov, vendar ste ugotovili, da nimajo možnosti kontakta. Prav tako ne upate uporabiti obrazcev za zaprtje računa oz. ponastavitev gesla, da ne bi opozorili dotično osebo, ki bi lahko izbrisala pomembne datoteke. Prosite nas za nasvet, kako postopati in ugotoviti, kdo je dostopal do računa in mu dostop blokirati.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Splošna uredba varuje osebne podatke, v primeru elektronske pošte gre predvsem za t.i. prometne podatke (elektronski naslovi, na katere je posameznik poslal elektronsko sporočilo in od katerih je sporočilo prejel; datum in čas pošiljanja in prejema sporočila; zadeva sporočila in drugi tehnični podatki v povezavi s sporočilom – priponka, velikost, itd.), sama vsebina elektronskih sporočil pa predstavlja komunikacijsko zasebnost iz 37. člena Ustave RS. Za nadzor te pravice IP ni pristojen, temveč je predvideno sodno varstvo.

Obrazložitev

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Kot smo poudarili v mnenju št. 0712-1/2019/1648 z dne 10. 7. 2019, varuje Splošna uredba osebne podatke, v konkretnem primeru elektronske pošte gre predvsem za t.i. prometne podatke (elektronski naslovi, na katere je posameznik poslal elektronsko sporočilo in od katerih je sporočilo prejel; datum in čas pošiljanja in prejema sporočila; zadeva sporočila in drugi tehnični podatki v povezavi s sporočilom – priponka, velikost, itd.), sama vsebina elektronskih sporočil pa predstavlja komunikacijsko zasebnost iz 37. člena Ustave RS. Pravica do komunikacijske zasebnosti je varovana z instituti civilnega oziroma kazenskopravnega varstva in se uveljavlja pred sodišči v okviru določb o kršitvi tajnosti občil iz 139. člena Kazenskega zakonika (Uradni list RS, št. 50/12 – uradno prečiščeno besedilo, 6/16 – popr., 54/15, 38/16, 27/17, 23/20, 91/20, 95/21, 186/21, 105/22 – ZZNŠPP in 16/23, KZ-1) oziroma določb o zahtevi za prenehanje kršitve osebnostnih pravic iz 134. člena Obligacijskega zakonika (Uradni list RS, št. 97/07 – uradno prečiščeno besedilo, 64/16 – odl. US in 20/18 – OROZ631). V zvezi s pregonom kaznivega dejanja iz 139. člena KZ-1 lahko predlog podate pri pristojni policijski postaji oz. državnem tožilstvu. Priporočamo vam, da si v zvezi z morebitnimi postopki pred sodišči poiščete pravno pomoč (odvetnika).

Nadalje pojasnjujemo, da skladno s tretjim odstavkom 55. člena Splošne uredbe, IP ni pristojen za nadzor dejanj obdelave sodišč, kadar delujejo kot sodni organ. Splošna uredba ne določa, kdaj sodišča delujejo kot sodni organ. Uvodna izjava 20 Splošne uredbe pa pojasnjuje, da pristojnost nadzornih organov ne bi smela obsegati obdelave osebnih podatkov, kadar sodišča delujejo kot sodni organ, da se zaščiti neodvisnost sodstva pri opravljanju sodnih nalog, vključno z odločanjem.

Prav tako IP glede na sklep Ustavnega sodišča RS št. U-I-92/12-13 z dne 10. 10. 2013 inšpekcijskega nadzora ne sme izvajati tako, da poseže v posamične pravne postopke, ki jih vodijo za to pristojni državni organi ter ne sme preverjati, ali se v konkretnih pravnih postopkih ustavnoskladno in zakonito spoštuje varstvo osebnih podatkov. To pa pomeni, da se IP ne sme spuščati v presojo, ali je konkretno sodišče zakonito obdelovalo osebne podatke v okviru sodnega postopka. Načeloma sodišče presoja, kateri podatki so potrebni za izvedbo in odločitev v konkretnem postopku, ter nosi tudi odgovornost za zakonito obdelavo. IP v konkretni zadevi torej ne more odločati o zakonitosti obdelave osebnih podatkov.

V zvezi z obdelavo osebnih podatkov umrlih pojasnjujemo, da je posebno varstvo določeno v 9. členu ZVOP-2, ki med drugim določa, da se osebni podatki umrlih posameznikov obdelujejo v skladu z zakonom. Upravljavec lahko podatke o umrlem posamezniku posreduje le tistim uporabnikom, ki so za obdelavo osebnih podatkov pooblaščeni z zakonom, in tistim uporabnikom, ki izkažejo pravni interes za uveljavljanje pravic pred subjekti javnega sektorja. Ne glede na to pa upravljavec osebne podatke o umrlem posamezniku na njihovo zahtevo posreduje zakoncu, zunajzakonskemu partnerju, otrokom, staršem ali dedičem, če umrli posameznik ni pisno prepovedal upravljavcu posredovanja njegovih osebnih podatkov ali če drug zakon ne določa drugače. Če drug zakon ne določa drugače, lahko upravljavec podatke o umrlem posamezniku posreduje tudi drugi osebi, ki izkaže, da namerava te podatke uporabljati za namene znanstvenega raziskovanja, zgodovinskega raziskovanja, izobraževalne, statistične ali arhivske namene.

Kar se tiče dostopa do službene e-pošte vašega očeta vas napotujemo na smernice Varstvo osebnih podatkov o delovnih razmerjih, ki so dostopne na: https://www.ip-rs.si/publikacije/priročniki-in-smernice/smernice-po-splošni-uredbi-o-varstvu-podatkov-gdpr/varstvo-osebnih-podatkov-v-delovnih-razmerjih, v katerih smo pojasnili, da ima delodajalec sicer pravico do nadaljnje uporabe službenih delovnih sredstev preminulega zaposlenega, vendar pa mora previdno ravnati s podatki, ki se nahajajo na teh sredstvih. Poudarili smo tudi, da podatkov zasebne narave delodajalec sicer ni dolžan hraniti, je pa dopustno, da jih skopira in začasno shrani (najdlje toliko časa, kot je glede na konkretne okoliščine možno razumno pričakovati, da bi trajala pridobitev odredbe za zavarovanje podatkov s strani dedičev ali drugih pooblaščenih oseb). Ostala priporočila v zvezi s tem si lahko preberete v smernicah na str. 23.

Predlagamo vam, da v zvezi z računom pokojnika preberete navodila v zvezi z Gmail računom na https://support.google.com/accounts/troubleshooter/6357590?hl=sl in Hotmail računom na https://support.microsoft.com/sl-si/office/dostop-do-outlook-com-storitve-onedrive-in-drugih-microsoft-ko-nekdo-umre-ebbd2860-917e-4b39-9913-212362da6b2f.

V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka

Pripravil

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo