Dostopanje do službene elektronske pošte s strani delodajalca

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše sporočilo. Navajate, da je vaš bivši delodajalec dostopal do vašega službenega e-naslova in iz njega v vašem imenu pisal sporočilo (opisoval bi naj, da nadaljujete pot drugje, da vas nadomešča druga oseba, da bo predal aktiven še šest mesecev, ipd.). Sporočilo je bilo poslano na več sto e-naslovov bivših strank po Sloveniji in tujini (brez vaše vednosti).

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo in 177/20, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. 

Uvodoma vam predlagamo, da si različne situacije (ne)dopustnih ravnanj delodajalca glede službene elektronske pošte preberete v Smernicah »Varovanje osebnih podatkov v delovnih razmerjih«, predvsem v poglavju 4.1.2 (Dostop do elektronske pošte in računalnika po prenehanju delovnega razmerja). Smernice so dostopne na naslednji povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_Varstvo_OP_v_delovnih_razmerjih_verzija_1.1_koncna.pdf.

Na podobna vprašanja, kot je vaše, je IP v preteklosti že odgovarjal. Neobvezujoča mnenja IP so dosegljiva s pomočjo iskalnika na: www.ip-rs.si/vop z izbiro ustrezne kategorije (npr. delovna razmerja) in ključnih besed (npr. elektronska pošta), npr. mnenji št. 0712-1/2019/1648 z dne 10.7.2019 in št. 07121-1/2021/2008 z dne 7.10.2021.

Kot smo poudarili v zgoraj citiranem mnenju št. 0712-1/2019/1648, varuje Splošna uredba osebne podatke, v konkretnem primeru elektronske pošte gre predvsem za t.i. prometne podatke (elektronski naslovi, na katere je posameznik poslal elektronsko sporočilo in od katerih je sporočilo prejel; datum in čas pošiljanja in prejema sporočila; zadeva sporočila in drugi tehnični podatki v povezavi s sporočilom – priponka, velikost, itd.), sama vsebina elektronskih sporočil pa predstavlja komunikacijsko zasebnost iz 37. člena Ustave RS. Pravica do komunikacijske zasebnosti je varovana z instituti civilnega oziroma kazenskopravnega varstva in se uveljavlja pred sodišči v okviru določb o kršitvi tajnosti občil iz 139. člena Kazenskega zakonika (Uradni list RS, št. 50/12 – uradno prečiščeno besedilo, 6/16 – popr., 54/15, 38/16, 27/17, 23/20, 91/20, 95/21 in 186/21) oziroma določb o zahtevi za prenehanje kršitve osebnostnih pravic iz 134. člena Obligacijskega zakonika (Uradni list RS, št. 97/07 – uradno prečiščeno besedilo, 64/16 – odl. US in 20/18 – OROZ631). Glede osebnih podatkov, ki se torej nahajajo na vašem računalniku (bodisi v obliki prometnih podatkov glede elektronske pošte oziroma drugih dokumentov zasebne narave) poudarjamo, da gre za kolizijo dveh pravic in sicer pravice delodajalca, ki ima pravico do oblasti nad svojimi delovnimi sredstvi in pravico, da nadzira, ali je ta oprema uporabljena skladno z namenom, za katerega je bila zaposlenemu dana v uporabo, ter pravico delavca do zasebnosti na delovnem mestu.

Pri eventualnem dostopu do elektronske pošte po prenehanju delovnega razmerja je torej treba spoštovati pravico do zasebnosti delavca. Za obdelavo osebnih podatkov mora imeti delodajalec ustrezno pravno podlago skladno s Splošno uredbo. V okviru delovnega razmerja je relevantna tudi določba prvega odstavka 48. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19 in 203/20 – ZIUPOPDVE), ki določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Poudarjamo pa, da ob prenehanju delovnega razmerja pravna podlaga odpade, kar pomeni, da mora delodajalec deaktivirati elektronski naslov delavca. Delodajalec mora tako skladno z določbami 24., 25. in 32. člena Splošne uredbe sprejeti t.i. tehnične in organizacijske ukrepe za zavarovanje osebnih podatkov, kar pomeni, da mora vnaprej predpisati postopke in ukrepe, s katerimi se bo varovala elektronska pošta zaposlenih, ter postopanje z neaktivnimi predali elektronske pošte nekdanjih zaposlenih (npr. vsebina se ali izbriše ali pa se arhivira). Odvisno od konkretnih okoliščin priporočamo, da se z delodajalcem dogovorite o načinu prenosa službenih sporočil zaradi kontinuitete dela (kot smo npr. navedli v zgoraj navedenih smernicah, s prenosom v skupni službeni predal), delodajalec pa vam mora omogočiti, da iz službenega predala e-pošte in iz računalnika izbrišete svoja zasebna sporočila oz. dokumente zasebne narave ali jih shranite na drug medij ter vam dati priložnost, da svoje zasebne kontakte obvestite o ukinitvi e-naslova. 

Po odhodu zaposlenega torej vaš e-naslov ne sme ostati aktiven, saj za njegovo uporabo ne obstaja pravna podlaga. V kolikor bi ostal aktiven, bi šlo za nezakonito obdelavo vaših osebnih podatkov, kakor tudi osebnih podatkov pošiljateljev. Nekdanji e-naslov mora delodajalec ukiniti oziroma blokirati. V smernicah pa smo poudarili tudi, da preusmeritve na e-naslove drugih zaposlenih niso dovoljene in da lahko delodajalec za kontinuiteto dela poskrbi npr. z ukinitvijo elektronskega naslova nekdanjega zaposlenega in hkratnim avtomatskim obvestilom o neobstoju tega naslova in podatkom, kam naj naslovijo svoje sporočilo.

V kolikor na podlagi naših pojasnil menite, da je prišlo do kršitve varstva osebnih podatkov, lahko podate prijavo v zvezi z domnevnimi kršitvami pri IP. Uporabite lahko obrazec »Prijava kršitve varstva osebnih podatkov (Obrazec ZIN PRIJAVA)«, ki je objavljen na povezavi: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

V upanju, da ste prejeli odgovor na vaše vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                                

Barbara Pirš, univ.dipl.prav.,

svetovalka pooblaščenca za preventivo