Hramba elektronske pošte nekdanjih zaposlenih

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede hrambe elektronske pošte nekdanjih zaposlenih. 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Delodajalec mora ob prenehanju delovnega razmerja deaktivirati elektronski poštni predal bivšega delavca. Pred odhodom delavca mora v sodelovanju z njim poskrbeti, da bodo službena sporočila prenesena v npr. skupen elektronski predal za vhodno pošto ali drugače knjižena in dostopna tistemu delavcu oziroma delavcem, ki bodo nadaljevali delo na teh vsebinah.

Delavec, ki odhaja, mora imeti možnost, da iz službenega predala elektronske pošte bodisi izbriše sporočila in dokumente zasebne narave bodisi jih shrani na drug podatkovni medij (zgoščenko, USB ključ, ipd.) ter da obvesti svoje zasebne kontakte, da na tem elektronskem naslovu ne bo več dostopen.

Varovanje tajnosti komunikacij je določeno že z ustavo in se vanjo načeloma lahko posega le na podlagi sodne odredbe.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP tako ne nudi storitve pregleda ali vnaprejšnje odobritve različnih obrazcev, storitev, aplikacij, ocen ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja tako ne more presojati skladnosti ravnanja vašega organa kot delodajalca, ki ste ga opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov, ampak v nadaljevanju podaja splošna pojasnila.

IP tako splošno pojasnjuje, da glede obdelave osebnih podatkov delavcev veljajo načeloma enaka pravila za delodajalce v zasebnem in javnem sektorju, pri čemer so za ugotavljanje zakonitosti konkretne obdelave pomembni posamezni področni predpisi. Zakon o delovnih razmerjih (ZDR-1; Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 - ZIUPOPDVE, 119/21 - ZČmlS-A, 202/21 - odl. US, 15/22, 54/22 – ZUPŠ-1, 114/23, 136/23 – ZIUZDS, 70/25 – ZUTD-1) v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje v tretjem odstavku 48. člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati.

Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravic in obveznosti obeh, tako delavca kot delodajalca. Delodajalec mora natančno izkazati, zakaj je potrebna takšna obdelava osebnih podatkov delavca. Pri tem mora delodajalec v skladu s 46. členom ZDR-1 varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost. Delodajalec mora torej paziti tudi na spoštovanje zasebnosti in dostojanstva delavca, odgovornost delodajalca pa narašča z intenzivnostjo posega v zasebnost. Če okoliščine delovnega razmerja tega ne terjajo oziroma če delodajalec ne izkaže, da je obdelava osebnih podatkov delavca potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih ne sme obdelovati.

IP tako povzema, da je za vsako obdelavo osebnih podatkov treba torej najprej zagotoviti ustrezno pravno podlago. Izbor ustrezne pravne podlage za posamezno obdelavo je stvar ocene konkretnih okoliščin, odgovornost za izbiro pa nosi upravljavec ( v konkretnem primeru delodajalec). Delodajalec mora torej zagotoviti zakonitost obdelave osebnih podatkov o zaposlenih.

Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave.

Pri izvedbi posameznih postopkov in ukrepov je torej treba upoštevati tudi načelo sorazmernosti in vedno izbrati tisti ukrep, ki najmanj poseže v pravice zaposlenega glede na zasledovani zakoniti cilj. Posameznih ukrepov torej ne bi smeli odrejati, če je mogoče primerljiv učinek doseči z milejšimi ukrepi. Če se na ravni posamezne organizacije (v konkretnem primeru na ravni vašega organa) določen ukrep opredeli kot nujen, potreben in učinkovit, pa ga je treba izvajati na način, ki najmanj posega v zasebnost posameznika in brez prekomerne obdelave osebnih podatkov.

IP opozarja, da mora delodajalec ob prenehanju delovnega razmerja zaposlenega deaktivirati njegov elektronski poštni predal zaradi prenehanja pravne podlage za njegov obstoj (48. člen ZDR-1). IP svetuje, da se ob tem hkrati vzpostavi avtomatsko obvestilo o neobstoju tega elektronskega naslova in podatkom, kam naj pošiljatelji naslovijo svoje sporočilo. IP dodaja, da mora imeti delavec, ki odhaja, možnost, da iz službenega predala elektronske pošte bodisi izbriše sporočila in dokumente zasebne narave bodisi jih shrani na drug podatkovni medij (zgoščenko, USB ključ, ipd.) ter da obvesti svoje zasebne kontakte, da na tem elektronskem naslovu ne bo več dostopen. Ta možnost mora biti delavcu dana, rok za odziv pa mora biti razumen. Če delodajalec utemeljeno sumi, da bi delavec lahko izbrisal tudi pomembne podatke službene narave (npr. podatke, ki predstavljajo intelektualno lastnino podjetja, poslovne skrivnosti) ali jih protipravno posredoval tretjim osebam, se takšen postopek lahko izvede komisijsko in zapisniško. Priporočljivo je, da delavec o izbrisu zasebnih vsebin podpiše izjavo, da na službenem računalniku ni več nobenih podatkov, katerih uporaba bi pomenila poseg v njegovo zasebnost. Izjava je lahko sestavni del primopredajnega zapisnika, s katerim zaposleni vrača službeno opremo delodajalcu.

IP pojasnjuje tudi, da mora delodajalec pred odhodom delavca in v sodelovanju z njim poskrbeti, da bodo službena sporočila prenesena v npr. skupen elektronski predal za vhodno pošto ali drugače knjižena in dostopna tistemu delavcu oziroma delavcem, ki bodo nadaljevali delo na teh vsebinah.

V zvezi z vpogledom in zavarovanjem elektronske komunikacije bivšega zaposlenega IP pojasnjuje tudi, da vprašanje nadzora službene elektronske pošte v marsičem presega zgolj vidike varovanja osebnih podatkov. Gre namreč za širše vprašanje posegov v komunikacijsko zasebnost posameznikov (35. in 37. člen Ustave RS), katerih varstvo je v Sloveniji zagotovljeno v kazenskem pravu v okviru določb o kršitvi tajnosti občil 139. člena Kazenskega zakonika (KZ-1; Uradni list  RS, št. 50/12 - UPB, 6/16 - popr., 54/15, 38/16, 27/17, 23/20, 91/20, 95/21, 186/21, 105/22 – ZZNŠPP, 16/23, 107/24 – odl. US, 1564/26) oziroma v civilnem pravu v okviru določb o zahtevi za prenehanje kršitve osebnostnih pravic 134. člena Obligacijskega zakonika (OZ; Uradni list RS, št. 97/07 - UPB, 64/16 - odl. US, 20/18 - OROZ631) in pripadajočih določb o odškodninski odgovornosti za takšen poseg. Prekomerni poseg v upravičeno pričakovano zasebnost zaposlenih tako torej ne zgolj ogroža zakonitost delodajalčevega konkretnega dejanja, ampak delodajalca potencialno izpostavlja tudi odškodninski oziroma kazenski odgovornosti.

IP ponavlja, da zaposleni tudi na delovnem mestu upravičeno pričakuje določeno stopnjo zasebnosti. Ob tem IP izpostavlja, da mora delodajalec v skladu s 24. in 32. členom Splošne uredbe zagotoviti ustrezne tehnične in organizacijske postopke in ukrepe, s katerimi bo preprečil nepooblaščeno obdelavo, uničenje, izgubo ali spremembo osebnih podatkov. V svojih aktih mora predpisati postopke in ukrepe za zavarovanje osebnih podatkov in določiti osebe, ki so odgovorne za posamezne zbirke osebnih podatkov. Upravljavec (v konkretnem primeru delodajalec) mora torej sorazmerno natančno predpisati postopke in ukrepe, s katerimi bo varoval elektronsko pošto zaposlenih (npr. Pravilnik o varnosti osebnih podatkov ali Pravilnik glede uporabe službene elektronske pošte). Uporaba informacijskih tehnologij na delovnem mestu in pravice delodajalca do nadzora njihove rabe v zakonodaji nista izrecno regulirana. Tako tudi vpogled v elektronsko pošto zaposlenega sam po sebi ni eksplicitno prepovedan, vendar je ob tem vsekakor treba upoštevati predpisane interne postopke in ukrepe za zavarovanje, ki veljajo pri posameznem upravljavcu (delodajalcu), katerih pa, kot omenjeno, IP ne more presojati izven nadzornega postopka.

Nadalje IP ponovno poudarja, da je varovanje tajnosti komunikacij določeno že z ustavo in se vanjo načeloma lahko posega le na podlagi sodne odredbe. Navedeno je treba upoštevati tudi pri zavarovanju in preiskavi elektronske pošte in ostalih virov podatkov. Ob tem IP dodaja, da npr. določilo v pogodbi o zaposlitvi, da delodajalec lahko pregleduje elektronsko pošto zaposlenega, ne more pomeniti generalnega pooblastila za delodajalca, da lahko kadarkoli in brez vednosti zaposlenega pregleduje njegovo elektronsko pošto. Določilo lahko pomeni le seznanitev zaposlenega z možnostjo pregleda elektronske pošte v primerih, določenih v internem aktu (za katere namene, ob katerih okoliščinah, na kakšen način). Ob tem pa je pregled izjemoma dopusten le v primeru, ko se namenov, zaradi katerih se pregled opravi, ne more doseči na drug, milejši način (torej v primeru, ko zakoniti interes delodajalca očitno prevlada nad interesi posameznikov, na katere se osebni podatki nanašajo). Vsekakor pa je najustreznejši in »najvarnejši« način posega v delavčevo zasebnost vezan na pridobitev sodne odredbe. Takšni primeri vpogleda v službeno elektronsko pošto zaposlenega so zelo redki in izjemni (npr. realno grozeča poslovna škoda zaradi nezmožnosti pridobitve podatka, ki se nahaja v predalu dolgotrajno odsotnega ali pokojnega delavca). IP poudarja, da bi bilo tudi v izjemnih primerih najprimerneje vpogled v elektronsko pošto dopustiti le do ravni t.i. prometnih podatkov, v vsebino pa vpogledovati zgolj na podlagi odredbe sodišča. Z vpogledom v t.i. prometne podatke pridobi delodajalec podatke o pošiljatelju, datumu pošte in opisu zadeve. V vsebino sporočila pa bi delodajalec lahko vpogledal le izjemoma in praviloma na podlagi vsakokratne izrecne privolitve zaposlenega (vezane na konkretno elektronsko sporočilo in predvsem v primerih, ko sporočila ne bi mogel pridobiti od pošiljatelja) ali na podlagi odredbe sodišča. Vsak vpogled je treba dokumentirati in ga izvesti po vnaprej predpisanem postopku.

IP dodatno pojasnjuje, da je o vprašanjih glede relacije delodajalec - zaposleni obširno pisal v smernicah Varstvo osebnih podatkov v delovnih razmerjih. Smernice so dostopne na spletni strani IP.

IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more presojati ustreznosti posameznih rešitev oziroma ravnanja posameznih zavezancev, ampak to lahko presoja le v okviru konkretnega nadzornega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je primarno vedno na upravljavcu osebnih podatkov. Upravljavec je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.

Lepo vas pozdravljamo.

Pripravil:
Matej Sironič,
Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,
Informacijska pooblaščenka