Elektronski predali in zahteve za majhna podjetja + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.03.2019 Številka: 0712-1/2019/512 Kategorije:Delovna razmerja, Zavarovanje osebnih podatkov --> Kategorije: Delovna razmerja, Zavarovanje osebnih podatkov Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vašo prošnjo za mnenje glede dostopa do elektronskega predala in vpogleda v elektronsko pošto nekdanjega zaposlenega. Navajate še druga vprašanja s področja elektronske korespondence in ostalih zahtev s področja varstva osebnih podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Uredba),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Navajate, da so nekdanji zaposleni, ki so uporabljali službeno elektronsko pošto za potrebe poslovanja podjetja, ob prenehanju delovnega razmerja podali soglasje za hrambo te e-pošte, hkrati pa so imeli tudi možnost, da iz nje izbrišejo vso osebno korespondenco. Zanima vas, kako je z vpogledom v elektronsko pošto nekdanjega zaposlenega, saj gre za podatke, ki so potrebni za, npr. sodne postopke ali za potrebe poslovanja s svojimi strankami. IP uvodoma pojasnjuje, da v okviru komunikacije prek elektronske pošte predstavlja zbirko osebnih podatkov zgolj zbirka t.i. prometnih podatkov (elektronski naslovi, na katere je posameznik poslal elektronsko sporočilo in od katerih je sporočilo prejel; datum in čas pošiljanja in prejema sporočila; zadeva sporočila in drugi tehnični podatki v povezavi s sporočilom – priponka, velikost, itd.). Zato pri elektronski pošti Splošna uredba in deloma ZVOP-1 varujeta le prometne podatke, medtem ko je sama vsebina elektronske pošte varovana v okviru določb o kršitvi tajnosti občil iz
- člena Kazenskega zakonika oziroma določb o zahtevi za prenehanje kršitve osebnostnih pravic iz
- člena Obligacijskega zakonika. Delodajalec ima pravico do oblasti nad svojimi sredstvi in pravico, da nadzira, ali je ta oprema uporabljena skladno z namenom, za katerega je bila zaposlenemu dana v uporabo, delavec pa lahko utemeljeno pričakuje določeno stopnjo zasebnosti na delovnem mestu, kar izhaja že iz
- člena Zakona o delovnih razmerjih (ZDR-1). Ta določa, da delodajalec varuje in spoštuje delavčevo osebnost ter upošteva in ščiti njegovo zasebnost. IP na tem mestu izpostavlja, da v sklopu neobvezujočega mnenja vsekakor ne more presojati konkretnih dejanj obdelav, temveč lahko to stori šele v okviru inšpekcijskega postopka, zato v nadaljevanju podaja splošna pojasnila. Delodajalec mora v skladu s še veljavnima
- in
- členom ZVOP-1 ter
- členom Uredbe zagotoviti ustrezne tehnične in organizacijske postopke in ukrepe, s katerimi bo preprečil nepooblaščeno obdelavo, uničenje, izgubo ali spremembo osebnih podatkov. Upravljavci osebnih podatkov morajo v svojih aktih predpisati postopke in ukrepe za zavarovanje osebnih podatkov in določiti osebe, ki so odgovorne za posamezne zbirke osebnih podatkov. Iz zapisanega izhaja, da mora upravljavec sorazmerno natančno predpisati postopke in ukrepe, s katerimi bo varoval elektronsko pošto zaposlenih (npr. Pravilnik o varnosti oz. Pravilnik glede uporabe službene elektronske pošte), ki naj tudi določajo, kaj se zgodi z neaktivnimi predali elektronske pošte nekdanjih zaposlenih (npr. vsebina se ali izbriše ali pa se arhivira). IP poudarja, da mora biti zaposlenemu pred prenehanjem delovnega razmerja dana možnost, da še zadnjič vpogleda v svoje zasebne podatke in svoj predal elektronske pošte ter vsebino, ki se nanaša na njegovo zasebnost (osebne podatke) po lastni presoji izbriše oziroma shrani na drug podatkovni medij (zgoščenko, USB ključ, idr.) ter obvesti svoje kontakte, da na ta elektronski naslov ne bo več dostopen. Hkrati IP izpostavlja, da je arhivirana elektronska pošta, vezana na elektronski predal nekdanjega zaposlenega, še vedno zbirka osebnih podatkov, kar pomeni, da ukrepi za zavarovanje po še veljavnem
- in
- členu ZVOP-1 ter
- členu Uredbe zanjo veljajo kot obveznost delodajalca. Resda so pogoji dostopanja do arhivske pošte s strani delodajalca precej milejši kakor v primeru, ko gre za delujoč poštni predal, vendar to ne pomeni, da lahko do vsebine arhivirane poštne baze dostopa kdorkoli, pač pa zgolj pooblaščena oseba in še to na podlagi utemeljenih razlogov. Torej je tudi v primeru arhivirane pošte baze delodajalec dolžan zagotoviti ustrezne varnostne ukrepe, s katerimi bo preprečil nepooblaščeno obdelavo osebnih podatkov. Na tem mestu vas IP usmerja na mnenje, v katerem je že odgovoril na podobno vprašanje: https://www.ip-rs.si/vop/vpogled-v-e-posto-bivsega-zaposlenega-2473/ Dodatna pojasnila boste našli tudi v Smernicah o varstvu osebnih podatkov v delovnih razmerjih, ki se nahajajo na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_Varstvo_OP_v_delovnih_razmerjih.pdf Nadalje opisujete, da potencialni kupci pošiljajo povpraševanja na kontaktni e-naslov stranke, ki je javno objavljen. Glede na določbo
- člena ZEKom-1, vas zanima, ali je stranka v prekršku, če ima e-korespondenco subjektov, ki so zgolj poslali povpraševanje, niso pa potem sklenili pogodbe, še vedno v poštnem predalu v obliki elektronske pošte oz. ali bi morala takšno elektronsko pošto izbrisati. IP uvodoma pojasnjuje, da za vsako obdelavo osebnih podatkov mora obstajati ustrezna pravna podlaga. V zasebnem sektorju je skladno s prvim odstavkom
- člena Uredbe obdelava zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Kot izhaja iz točke (b)
- člena Uredbe je obdelava osebnih podatkov zakonita, kadar je potrebna za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe. Torej je obdelava elektronskih naslovov potencialnih strank oz. kupcev, ki so dostavljeni na navedeni elektronski predal, po Uredbi dopustna, ob predpostavki, da ko obdelujete kontakt stranke za posredovanje informacij o konkretni ponudbi (npr. odgovor na njeno povpraševanje), pri tem delujete v zvezi z izvajanjem ali sklenitvijo pogodbe. Pri čemer je vseeno, ali je dejansko prišlo do sklenitve pogodbe ali zgolj za izvajanje aktivnosti, ki so potrebne za namen sklenitve pogodbe. Ponovno pa vas IP usmerja na dolžnost upravljavcev, da je potrebno poskrbeti za tehnične in organizacijske ukrepe, ki bodo zagotovili ustrezno raven varnosti, tudi v kontekstu politike upravljanja z elektronsko pošto v podjetju. Prav tako je potrebno upoštevati temeljna načela v zvezi z obdelavo osebnih podatkov, ki med drugim terjajo t.i. omejitev shranjevanja oz. hrambo osebnih podatkov le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo. V konkretnem primeru torej mora upravljavec sam oceniti, koliko časa je glede na namen zbiranja podatkov in morebitne druge predpise, ki zanj veljajo, potrebno hraniti elektronske naslove potencialnih strank za izpolnitev namena priprave ustrezne ponudbe. Sprašujete, kakšne so zahteve z vidika Uredbe v odnosu do majhnih pravnih subjektov. Zanima vas, ali je potreben pravilnik o varnosti, ali je potrebno imenovati pooblaščeno osebo za varstvo podatkov, ali je potrebno izvesti oceno učinkov itd., skratka zanima vas, kaj mora majhen pravni subjekt storiti, da bo skladen z določili Uredbe? IP ponovno izpostavlja, da lahko podaja nezavezujoča mnenja in splošna pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov podjetjem svetovati, kako organizirati konkretne poslovne procese. IP namreč ne sme in ne more prevzeti odgovornosti posameznih poslovnih subjektov za njihovo poslovanje, podobno kot to velja za druge inšpekcijske organe. Za namen izobraževanja majhnih in srednje velikih podjetij o reformi zakonodajnega okvira s področja varstva osebnih podatkov je IP v sklopu evropskega projekta RAPiD.Si zasnoval posebno spletno stran https://upravljavec.si/, kjer boste našli podrobne razlage ter obrazce, ki so vam lahko v pomoč, pri čemer vas IP še posebej napotuje na poglavje o varnosti: https://upravljavec.si/zagotovite-varnost/. Prav tako vas IP usmerja na pojasnila o imenovanju pooblaščene osebe za varstvo podatkov (https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/pooblascena-oseba-za-varstvo-podatkov/) in oceni učinka v zvezi z varstvom podatkov (https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/ocena-ucinka-v-zvezi-z-varstvom-podatkov/). IP je izdal tudi posodobljene Smernice o pogodbeni obdelavi, ki so dostopne tu: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_pogodbeni_obdelavi_web.pdf V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Jasmina Mešić, svetovalka pooblaščenca za preventivo O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026