Neustrezno ravnanje zaposlenega s službenim računalnikom

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Na podlagi vašega zaprosila v nadaljevanju podajamo mnenje Informacijskega pooblaščenca o tem, kako lahko ukrepa delodajalec, če delavec ne spoštuje določb internih aktov delodajalca glede prepovedi iznosa službenih prenosnih računalnikov domov. Kot navajate, je zaposleni pri zasebnem zavodu, ki deluje na področju socialnega varstva in duševnega zdravja, pred iztekom pogodbe o zaposlitvi za določen čas domov odnesel službeni prenosni računalnik z osebnimi podatki uporabnikov. To je storil, kljub določbi internega akta o zavarovanju osebnih podatkov, ki določa, da se računalniki ne smejo odnašati iz prostorov delodajalca. Policija je delodajalcu pojasnila, da je podaja kazenske ovadbe v zvezi z iznosom računalnika mogoča šele v primeru, da delavec prenosnega računalnik ne bo vrnil po izteku delovnega razmerja.

Informacijski pooblaščenec (v nadaljevanju IP) na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov oz. Uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) z vidika varstva osebnih podatkov na splošno pojasnjuje, da bi moral vsak upravljavec, torej v konkretnem primeru zasebni zavod, glede na naravo podatkov, ki jih obdeluje, delovne procese in s tem povezana specifična tveganja zagotoviti ustrezne ukrepe zavarovanja osebnih podatkov, ki so vezani na konkretne okoliščine. Prepoved iznosa službenih prenosnih računalnikov je lahko eden od takih ukrepov, nikakor pa ne nujen niti edini, saj številni delodajalci zaposlenim omogočajo iznos službenih prenosnikov domov. Prav tako opozarjamo, da zelo verjetno zgolj prepoved iznosa prenosnikov domov ne more biti zadostni ukrep za zavarovanje, saj zelo verjetno zgolj taka prepoved ne more nasloviti niti zmanjšati vseh tveganj za nepooblaščen dostop do podatkov bodisi shranjenih na samem računalniku bodisi dostopnih preko orodij, ki so naložena na računalniku. Med ukrepi za zavarovanje so torej nujno tako ukrepi za zagotavljanje, da do osebnih podatkov v posameznih zbirkah osebnih podatkov dostopajo zgolj pooblaščene osebe (npr. izvajanje ustrezne politike gesel za dostop do prenosnikov in zbirk osebnih podatkov, namestitev protivirusne opreme, fizično in tehnično varovanje prostorov ipd.), kot tudi ustrezni drugi ukrepi in mehanizmi, s katerimi se poskrbijo, da se na razumen način obvladujejo in zmanjšajo tveganja za zlorabe. V primeru obdelav posebnih vrst osebnih podatkov je to še toliko pomembneje. IP v mnenju ne more presojati, ali so ukrepi v konkretnem primeru ustrezni in kako bi bilo mogoče urediti konkretne težave, ki jih opisujete. Prav tako IP ni pristojen za presojo, kateri delovnopravni mehanizmi so na voljo delodajalcu, v primeru kršitev internih aktov o zavarovanju osebnih podatkov.

Med ukrepi zavarovanja osebnih podatkov, ki jih navaja ZVOP-1 so varovanje prostorov, opreme in sistemsko programske opreme, vključno z vhodno-
izhodnimi enotami; varovanje aplikativne programske opreme, s katero se obdelujejo osebni podatki; preprečevanje nepooblaščenega dostopa do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih; zagotavljanje učinkovitega načina blokiranja, uničenja, izbrisa ali anonimiziranja osebnih
podatkov; omogočanje poznejšega ugotavljanja, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer
za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopust-
nega posredovanja ali obdelave osebnih podatkov. Delodajalec bi torej načeloma moral poskrbeti za zavarovanje osebnih podatkov na prenosnih računalnikih na tak način, da so ti zavarovani tudi v primeru neupravičene odtujitve prenosnikov, saj to tveganje vedno obstaja, četudi so prenosniki v službenih prostorih delodajalca.

V kolikor bi delodajalec sumil, da je zaposleni nezakonito obdeloval osebne podatke, lahko zoper delavca poda prijavo IP. Vsekakor pa bi IP moral v inšpekcijskem postopku v tem primeru ugotavljati tudi, kako in s katerimi ukrepi je bilo zavarovanje osebnih podatkov urejeno pri delodajalcu in kako je delodajalec preverjal in zagotavljal spoštovanje teh ukrepov. Namen inšpekcijskega postopka je namreč primarno varovanje javnega interesa ter interesov pravnih in fizičnih oseb v zvezi z zakonskimi obveznostmi glede varovanja osebnih podatkov, primarna odgovornost za izvajanje in zagotavljanje obveznosti po Splošni uredbi in predpisih o varstvu osebnih podatkov pa je na upravljavcu (torej v opisanem primeru na delodajalcu).

Ob tem pa dodatno pojasnjujemo, da je upravljavec v skladu s 33. členom Splošne uredbe dolžan v primeru, da bi prišlo do kršitve varnosti osebnih podatkov brez nepotrebnega odlašanja, po možnosti pa najpozneje v 72 urah po seznanitvi s kršitvijo, o njej obvestiti pristojni nadzorni organ (v Sloveniji je to Informacijski pooblaščenec), razen če ni verjetno, da bi bile s kršitvijo varnosti osebnih podatkov ogrožene pravice in svoboščine posameznikov.

Lepo vas pozdravljamo,

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka

Pripravila:

Alenka Jerše, univ. dipl. prav.

namestnica informacijske pooblaščenke