Beleženje obiska spletnih strani, javni sektor + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 17.06.2007 Številka: 0712-569/2007/2 Kategorije:Svetovni splet --> Kategorije: Svetovni splet Spoštovani, prejeli smo vaše elektronsko sporočilo, v katerem ste zapisali, da želite uvesti zbirko o obiskih spletnih strani, ki jih obiskujejo vaši zaposleni. Menite, da nekateri prekomerno uporabljajo internet v zasebne namene, kar naj bi se odražalo v poslabšanju karakteristik sistema. Zaposleni naj bi bili o uporabi navedenih tehnologij vnaprej opozorjeni v internem aktu, da za potrebe vzdrževanja informacijskega sistema takšna možnost obstaja. Sprašujete po našem mnenju glede opisanega.Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje.Osnovni pojmi ZVOP-1 Osebni podatek je v skladu s
- tč.
- člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen.Posameznik je v skladu z
- tč.
- člena ZVOP-1 določena ali določljiva fizična oseba, na katero se nanaša osebni podatek. Fizična oseba je določljiva, če se jo lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa.Obdelava osebnih podatkov v skladu s
- tč.
- člena ZVOP-1 pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave).ZVOP-1 v
- členu določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika.Mnenje: Kot izhaja iz vašega sporočila, je uvodoma najprej potrebno ugotoviti, da sprašujete v imenu delodajalca javnega sektorja. To pomeni, da osebne podatke zaposlenih lahko v skladu z
- členom ZVOP-1 obdelujete zgolj, če tako določa zakon.ZVOP-1 kot splošen predpis na sistemski ravni ureja varstvo osebnih podatkov, vendar dopušča, da se varstvo osebnih podatkov ureja za posamezna pravna področja tudi s področnimi zakoni. Področni zakon, ki dovoljuje obdelavo osebnih podatkov, je v tem primeru Zakon o delovnih razmerjih (Uradni list RS, št. 42/02, v nadaljevanju ZDR). Ta v prvem odstavku
- člena določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno z ZDR ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.Pooblaščenec uvodoma poudarja, da obdelava podatkov, ki nastajajo ob uporabi interneta zaposlenega, skoraj po pravilu vedno pomeni mešanje več delov pravice do zasebnosti (o tem glej več mnenja Informacijskega pooblaščenca v podobnih zadevah, npr. mnenje št. 0712-300/2006/2, z dne 25.10.2006, objavljena na spletni strani 0712-569/2007/2). Konkretno, kot je zapisano tudi v Komentarju Ustave Republike Slovenije (ur. Šturm, Fakulteta za podiplomske državne in evropske študije, Ljubljana 2002), je v takšni situaciji na eni strani prisoten interes delodajalca, ki ima pravico do oblasti nad svojimi sredstvi in pravico, da nadzira, ali je ta oprema uporabljena skladno z namenom, za katerega je bila zaposlenemu dana v uporabo. Na drugi strani pa obstaja interes posameznika (zaposlenega), ki utemeljeno pričakuje določeno stopnjo zasebnosti in zaupnosti na delovnem mestu (podrobneje glej Komentar Ustave, str. 401).V javnem sektorju vse zgoraj navedeno seveda velja toliko bolj, posebej ob upoštevanju načela, da javni sektor lahko izvaja zgolj tiste naloge, ki so izrecno določene z zakonom. Vsako razširjanje pristojnosti javnega sektorja brez zakonske podlage bi (lahko) pomenilo grobo kršitev pravic posameznika. Prav zato je potrebno striktno upoštevati pravne predpise in njihovo hierarhijo. Ustava Republike Slovenije (Uradni list RS, št. 33/91-I, 42/97, 66/2000, 24/03, 69/04 in 68/06, v nadaljevanju Ustava) tako v
- odst.
- člena določa, da zbiranje, obdelovanje, namen uporabe, nadzor in varstvo tajnosti osebnih podatkov določa zakon (poudaril Pooblaščenec). To pa pomeni, da je vsako urejanje obdelave osebnih podatkov s podzakonskimi akti v nasprotju z Ustavo in, posledično, tudi s
- odst.
- člena ZVOP-
- Vendar kot organ javne uprave nimate pravice do uporabe t. i. exceptio illegalis, ki bi vam omogočal presojanje primerov zgolj na podlagi zakona in Ustave – to pravico ima samo sodišče. V skladu z vsem navedenim je, kot navajate, res moč upoštevati Uredbo o upravnem poslovanju, ki pa vendarle postavlja samo pravila glede uporabe elektronske pošte in uporabe interneta, po mnenju Pooblaščenca pa ne določa tudi možnosti vpogleda delodajalca spletne strani, ki jih zaposleni obiskujejo. Pooblaščenec poudarja, da je povsem možno, da bi tudi zgolj na podlagi statističnega zbiranja obiskanih spletnih strani, lahko razkrili osebne podatke zaposlenih (tudi občutljive osebne podatke – npr. zaposleni, za katerega veste, da je veliko na bolniškem dopustu, naroča zdravilo za točno specifično bolezen, stran pa bi bila zapisana kot pogosto obiskana v seznamu obiskanih strani), prav tako pa bi lahko posegli tudi v širši del pravice do zasebnosti zaposlenih (o tem Pooblaščenec zaradi svoje nepristojnosti ne more presojati). Zato bi bilo povsem možno – torej zgolj tudi statistično zbiranje obiskanih spletnih strani –, da bi s takšnim seznamom in vpogledom vanj lahko prišlo tudi do kršitve ZVOP-1 in ZDR. Pooblaščenec se v tem delu pridružuje večkrat izraženemu stališču teorije s področja osebnih podatkov, da je najbolj neoporečen način omejevanja uporabe spletnih strani način, da se zaposlenim vnaprej onemogoči (blokira) tiste spletne strani, ki jih pri svojem delu ne potrebuje, oziroma se mu omogoči vpogled samo v tiste spletne strani, ki jih pri svojem delu potrebuje.Za več informacij s področja varstva osebnih podatkov vas vabimo, da obiščete spletno stran Informacijskega pooblaščenca www.ip-rs.si. S spoštovanjem, Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026