Ali je direktorjeva zahteva o sporočitvi gesel za vstop v službeni računalnik v skladu z zakonodajo + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.03.2008 Številka: 0712-221/20078/2 Kategorije:Elektronska pošta --> Kategorije: Elektronska pošta Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne
- 2008 prejel vaše e-sporočilo, v katerem sprašujete za mnenje v naslednji situaciji: V našem zavodu smo konec lanskega leta za lokalno računalniško omrežje namestili nov strežnik in nov način dostopa posameznih delavcev s službenih računalnikov, ki jih uporabljajo (delovne postaje) v omrežje, in sicer z uporabniškim imenom in geslom. Po preteku veljavnosti začetnih gesel si je moral vsak uporabnik izbrati novo geslo. Direktor zavoda je odredil, da morajo vsi delavci sporočiti nova gesla. Navedel je, da mora vodstvo zavoda poznati gesla, da lahko vstopi v posamezen računalnik, če je delavec bolniško ali kako drugače odsoten in nedosegljiv in je potreben dostop do službenih podatkov, ki so na tem računalniku. Navedel je tudi, da bodo gesla ustrezno shranjena (v trezorju). Po naročilu direktorja je gesla zbiral delavec, ki je v skladu z zavodovim Pravilnikom o varovanju osebnih podatkov, pooblaščen za upravljanje s podatki, ki se nanašajo na informacijsko komunikacijsko tehnologijo. En delavec in ena delavka (izmed 25-tih, ki pri delu uporabljajo službeni računalnik) sta sporočila, da gesel ne bosta sporočila. Delavec je kot bistveno navedel, da smatra zahtevo za grob poseg v zasebnost uporabnika in da bi v primeru sporočitve gesla, lahko kdorkoli prišel do njegovih zaupnih in osebnih podatkov. Delavka razlogov ni navedla. Prosimo vas, če nam podate strokovno mnenje, ali je direktorjeva zahteva v skladu z veljavnimi predpisi o varovanju osebnih podatkov. Prav tako vas prosimo, če podate strokovno mnenje, ali je direktorjeva zahteva grob poseg v zasebnost uporabnika, kot navaja delavec. V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo; v nadaljevanju: ZVOP-1) ter
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji: Pooblaščenec je mnenja, da zahteva delodajalca, da so gesla za službene računalnike varno shranjena v trezorju, ni v nasprotju z določili Zakona o varstvu osebnih podatkov. Pooblaščenec priporoča, da so v internem aktu, s katerim so seznanjeni vsi zaposleni, vnaprej natančno opredeljeni utemeljeni izredni pogoji glede uporabe tako shranjenih gesel. O b r a z l o ž i t e v: Po preučitvi napisanega Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) ugotavlja, da na vaše vprašanje v veliki meri odgovarja mnenje Pooblaščenca št. 0712-621/2007/2 z dne
- 2007, ki je dosegljivo na tej povezavi http://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/odlocbe-in-mnenja-varstvo-osebnih-podatkov/ Pooblaščenec vam zato svetuje, da se seznanite z vsebino omenjenega mnenja. Ker pa se vaše vprašanje v določeni meri razlikuje od situacije, na katero se nanaša omenjeno mnenje št. 0712-621/2007/2, vam v nadaljevanju podajamo še nekaj bolj konkretnih odgovorov. Pooblaščenec priporoča, da je politika dodeljevanja in uporabe gesel jasno opredeljena v enem izmed internih aktov (lahko tudi v pravilniku o zavarovanju osebnih podatkov), prav tako pa priporoča, da je vnaprej natančno opredeljeno, kdaj in pod kakšnimi pogoji in do katerih podatkov na službenih računalnikih lahko vodstvo dostopa. Ob upoštevanju tega pogoja, torej da so ti posegi jasno in natančno opredeljeni ter da so zaposleni vnaprej seznanjeni s temi določili, je Pooblaščenec mnenja, da so pomisleki zaposlenega v vaši situaciji neupravičeni. Če interni akti delodajalca dovoljujejo uporabo službenih sredstev v zasebne namene, potem se vsak poseg delodajalca v podatke, ki so jasno označeni kot podatki zasebne narave, lahko ocenjuje kot poseg v zasebnost posameznika, zato je priporočljivo, da delodajalci pisno vnaprej obvestijo zaposlene, v katerih primerih lahko vpogledajo v prometne podatke o elektronski pošti. Seveda morajo biti takšni razlogi zelo, zelo izjemni – v takšnih primerih bi bilo pač potrebno presojati vsak primer posebej. Pooblaščenec kot primer navaja ureditev dostopa do elektronske pošte pri Informacijskem pooblaščencu.
- člen Pravilnika o postopkih in ukrepih za zavarovanje osebnih podatkov, ki je kot informacija javnega značaja dostopen na povezavi http://www.ip-rs.si/fileadmin/user_upload/Pdf/interno/Pravilnik_o_zavarovanju_OP_IP__14.01.08-_popravki.pdf namreč določa naslednje:
(1)Elektronska pošta in računalnik se uporabljata v službene namene.
(2)Ne glede na prejšnji odstavek se elektronska pošta in ostala programska oprema na računalniku lahko uporabljata v omejenem obsegu in razumnih mejah tudi v zasebne namene. Vsebina elektronske pošte v zasebne namene ne sme biti z neprimerno ali žaljivo vsebino.
(3)Oseba, zadolžena za delovanje računalniškega informacijskega sistema, lahko na posebej utemeljeno pisno zahtevo pooblaščenca v prisotnosti komisije opravi nadzor in pregled elektronske pošte zaradi uvedbe ali vodenja sodnega, prekrškovnega, disciplinskega ali drugega postopka, povezanega z delovnim razmerjem. V izrednih primerih (nenadna odpoved delavca ali drug izreden dogodek) lahko pooblaščenec vpogleda v elektronsko pošto le, če je to neobhodno nujno potrebno za vodenje delovnega procesa.
(4)Vpogled v vsebino e pošto zaposlenega opravi 3 članska komisija, ki jo vsakokrat imenuje pooblaščenec. V njej mora biti vsaj en predstavnik zaposlenih, ki ni vodstveni delavec. O vpogledu mora komisija napisati zapisnik.
(5)Če se pojavi utemeljen sum, da zaposleni ne spoštujejo omejitev iz drugega odstavka tega člena lahko oseba, zadolžena za delovanje računalniškega informacijskega sistema, na posebej utemeljeno pisno zahtevo pooblaščenca opravi nadzor količine uporabe zasebne elektronske pošte. Pri tem se ne sme pregledovati vsebine elektronske pošte.
(6)O namenu uporabe elektronske pošte in ostale programske opreme iz prvega in drugega odstavka tega člena ter možnosti nadzora iz tretjega in četrtega odstavka tega člena mora biti zaposleni pisno obveščen. Kot zadostno obvestilo se šteje objava na intranetnem portalu Pooblaščenca in obvestilo vsem zaposlenim po e pošti.
(7)Določbe od
- do
- odstavka tega člena se smiselno uporabljajo tudi za videonadzorne posnetke. V istem pravilniku je na Informacijskem pooblaščencu urejeno tudi ravnanje z gesli, in sicer v
- členu:
(8)Pristop do podatkov preko aplikativne programske opreme se varuje s sistemom gesel za avtorizacijo in identifikacijo uporabnikov programov in podatkov. Sistem gesel mora omogočati tudi možnost naknadnega ugotavljanja, kdaj so bili posamezni osebni podatki vnešeni v zbirko podatkov, uporabljeni ali drugače obdelani ter kdo je to storil.
(9)Oseba, zadolžena za delovanje računalniškega informacijskega sistema, določi režim dodeljevanja, hranjenja in spreminjanja gesel.
(10)Vsa gesla in postopki, ki se uporabljajo za vstop in administriranje mreže osebnih računalnikov (supervisorska gesla), administriranje elektronske pošte in administriranje aplikativnih programov se hranijo v zapečatenih ovojnicah in se jih varuje pred dostopom nepooblaščenih oseb. Uporabi se jih samo v izrednih okoliščinah oziroma ob nujnih primerih. Vsaka uporaba vsebine zapečatenih ovojnic se dokumentira. Po vsaki takšni uporabi se določi nova vsebina gesel. Vse navedeno pa ne pomeni, da delodajalec ne more omejiti uporabe službenega elektronskega naslova zaposlenega, če bi se iz drugih razlogov (ne z vpogledom v zasebno pošto, pač pa denimo na podlagi visokega računa za posredovanje večje količine podatkov, odzivov tretjih oseb na vaša sporočila, počasno delovanje omrežja zaradi pošiljanja slikovnih ali zvočnih datotek, povečano število virusov …) izkazalo, da zaposleni elektronskega naslova ne uporablja v skladu z vsem navedenim in v skladu s politiko delodajalca glede uporabe službenih sredstev. Kot je že navedeno, sta namreč oprema in službeni elektronski naslov last delodajalca, delavec pa ima kot imetnik zgolj pravico do uporabe; zato lahko delodajalec prosto omejuje dostop do službenega elektronskega naslova. Pooblaščenec na tem mestu še opozarja, da ima zaposleni na voljo številne tehnične možnosti, da vsaj na pomnilniških medijih, kot so trdi diski, jasno označi, loči ter zavaruje zasebne podatke od službenih. Vprašanje delodajalčevega posega v zasebnost zaposlenega pri dostopu delodajalca do službenega naslova elektronske pošte je seveda bolj problematično, saj je včasih težko ločiti zasebna sporočila od službenih, dodatno težavo pa predstavljajo dohodna sporočila tretjih oseb, ki so lahko službene ali zasebne narave, zato je toliko bolj pomembno, da so vsi možni posegi delodajalca popolnoma transparentni in vnaprej opredeljeni v ustreznih internih aktih oziroma politikah. Pooblaščenec opozarja še na odločitev Evropskega sodišča za človekove pravice v primeru Copland proti Združenemu kraljestvu. V tem primeru je sodišče delavki priznalo širok krog pravice do zasebnosti in presodilo, da je delodajalec neupravičeno posegal v njeno zasebnost. Ključni element sodbe je, da delavka ni bila vnaprej opozorjena, kdaj in v kakšnih primerih lahko delodajalec nadzira e-pošto. (Več v članku Mitje Podpečana, Pravna praksa 19, z dne 17.05.2007, str. 31). Pomembno je tudi, da je sodišče ugotovilo, da je najprimernejše in pravno nevtralno omejevanje s tehničnimi sredstvi. Informacijski pooblaščenec se takšnemu stališču pridružuje, saj je pogosto opozarjal delodajalce, da lahko uporabo elektronske pošte in interneta omejujejo zgolj na način, da npr. blokirajo dostop do določenih spletnih strani, oz. omogočijo zaposlenim dostop zgolj do tistih spletnih strani, ki jih potrebujejo za svoje delo, blokirajo določeno e-pošto na strežniku za elektronsko pošto, ne pa na način, da ex tunc, torej za nazaj, ugotavljajo, katere spletne strani je delavec obiskoval, komu je pošiljal elektronsko pošto in kdo jo je poslal njemu. V skladu z vsem navedenim, delodajalec torej načeloma nima pravne podlage za vpogled v tako imenovane prometne podatke o elektronski pošti (torej, kdo vam je elektronsko pošto poslal, oziroma komu ste jo poslali vi - klasični primer sta t. i. Inbox in Outbox, torej nekakšen katalog elektronskih naslovov, ki se jih da urejati po različnih parametrih). Takšni podatki so torej osebni podatki, ki pa se pogosto mešajo z vsebino samega e-pisma (npr. posameznik v polju »Zadeva« že napiše naslov vsebine). Do kje sega osebni podatek in kje se začne vsebina, pa je potrebno presojati posebej od primera do primera (case by case). Priporočamo vam, da si ogledate tudi druga mnenja s področja varstva osebnih podatkov, ki so objavljena na spletni strani http://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/, po kateri lahko iščete s pomočjo naprednega iskalnika. Lepo vas pozdravljamo, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026