Dostop do računalniških gesel s strani direktorja + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 24.04.2007 Številka: 0712-400/2007/2 Kategorije:Delovna razmerja --> Kategorije: Delovna razmerja Spoštovani,prejeli smo vašo elektronsko pošto z dne 10.4.2007.Spraševali ste nas:V našem Pravilniku o zavarovanju osebnih podatkov piše (med drugim): Varovana gesla, hranjena v zapečatenih ovojnicah, se smejo uporabiti v izjemnih in nujnih primerih. Vsaka uporaba vsebine zapečatenih ovojnic se dokumentira. Po uporabi zapečatenih gesel iz ovojnic direktor določi nova gesla. Ali resnično določa gesla za vstop v osebne računalnike direktor? Ali ne storimo to zaposleni in deponiramo gesla v zapečateni ovojnici v upravi, saj če gesla določa direktor, jih pozna za vse zaposlene. Odkar imamo na računalnikih (predvsem e-mail pošta) hranjene dokumente, ki so lahko včasih "neugodni" tudi za direktorje, ali torej v tem primeru ne obstaja verjetnost, da nam lahko direktor, če pozna naša gesla, nepooblaščeno dostopa do pošte in jo seveda tudi briše? Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.Vaše vprašanje lahko razdelimo v dve vprašanji. Prvič, kdo in od kakšnimi pogoji lahko ureja določanje, hrambo in uporabo gesel, ki omogočajo dostop do računalnikov. In drugič, kako je urejen nadzor elektronske pošte s strani delodajalca.Pri odgovoru na vaše prvo vprašanje uvodoma opozarjamo na določila
- člen ZVOP-1, ki namreč ureja zavarovanje osebnih podatkov in sicer:
(1)Zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
- varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
- varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
- preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
- zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
- omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.
(2)V primeru obdelave osebnih podatkov, ki so dostopni preko telekomunikacijskega sredstva ali omrežja, morajo strojna, sistemska in aplikativno programska oprema zagotavljati, da je obdelava osebnih podatkov v zbirkah osebnih podatkov v mejah pooblastil uporabnika osebnih podatkov.
(3)Postopki in ukrepi za zavarovanje osebnih podatkov morajo biti ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo.
(4)Funkcionarji, zaposleni in drugi posamezniki, ki opravljajo dela ali naloge pri osebah, ki obdelujejo osebne podatke, so dolžni varovati tajnost osebnih podatkov, s katerimi se seznanijo pri opravljanju njihovih funkcij, del in nalog. Dolžnost varovanja tajnosti osebnih podatkov jih obvezuje tudi po prenehanju funkcije, zaposlitve, opravljanja del ali nalog ali opravljanja storitev pogodbene obdelave. 25. člen ZVOP-1 ureja dolžnosti glede zavarovanja osebnih podatkov, in sicer :
(1)Upravljavci osebnih podatkov in pogodbeni obdelovalci so dolžni zagotoviti zavarovanje osebnih podatkov na način iz 24. člena tega zakona.
(2)Upravljavci osebnih podatkov v svojih aktih predpišejo postopke in ukrepe za zavarovanje osebnih podatkov ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke. Glede na vaše navedbe, vaš pravilnik o zavarovanju osebnih podatkov določa, da se smejo varovana gesla, hranjena v zapečatenih ovojnicah, uporabiti v izjemnih in nujnih primerih ter da se vsaka uporaba vsebine zapečatenih ovojnic dokumentira. Pooblaščenec glede teh določil nima nobenih pripomb in meni, da so skladna z določili ZVOP-
- Vsekakor pa je po mnenju Pooblaščenca določba pravilnika, po kateri nova gesla določa direktor, v neskladju z zgoraj omenjenimi določili o uporabi gesel in evidentiranju dostopa do vsebine zapečatenih ovojnic, hkrati pa je omenjena določba pravno sporna in posega v pravico zaposlenega do zasebnosti na delovnem mestu. Na tem mestu pa se že dotaknemo vašega drugega vprašanja, na katerega Pooblaščenec odgovarja v drugem delu mnenja. Pooblaščenec je mnenja, da bi si moral geslo za dostop do službenega računalnika po navodilih osebe, ki je zadolžena za delovanje in varnost vašega informacijskih sistemov, vsak zaposleni določiti sam, razen v izjemnih primerih, ko takšna ureditev ni mogoča ali priporočljiva, vsekakor pa bi moral delodajalec takšne primere natančno opredeliti in utemeljiti nujnost takšne ureditve. Iluzorno bi bilo namreč pričakovati, da zaposleni tudi na službenih računalnikih ne hranijo nikakršnih osebnih podatkov (pri čemer je potrebno dodati, da je v praksi v izjemnih primerih tudi takšna ureditev legitimna in možna) in dostop do teh podatkov s strani direktorja bi vsekakor predstavljal tako poseg v zasebnost posameznika kot kršitev določb ZVOP-1 glede sledljivosti obdelave in zavarovanja osebnih podatkov ter, po vsej verjetnosti, tudi ostalih določb ZVOP-
- Določitev gesla bi morala potekati skladno z uveljavljenimi načeli glede varnosti gesel (dolžina gesla, uporaba alfanumeričnih znakov, omejitev zapisovanja, hramba gesel in podobno) ter, kot rečeno, skladno z navodili osebe, ki je zadolžena za delovanje in varnost vaših informacijskih sistemov.Glede vašega drugega vprašanja Pooblaščenec uvodoma poudarja, da v slovenskem pravnem redu noben zakon izrecno ne opredeljuje pravice delodajalca do posega v zasebnost zaposlenega. Zakon o delovnih razmerjih namreč v
- členu določa, da mora delodajalec varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost (Zakon o delovnih razmerjih, Ur.l. št. 24/2002 z dopolnitvami in spremembami; ZDR). Uporaba informacijskih tehnologij na delovnem mestu oziroma nadzor uporabe teh tehnologij pa v nobenem zakonu ni izrecno reguliran. Vaše drugo vprašanje se dotika pravice do zasebnosti, kamor prištevamo splošno pravico do zasebnosti, dostojanstva in osebne integritete, komunikacijsko zasebnost ter informacijsko zasebnost oz. varovanje osebnih podatkov. Vse to so ustavne kategorije, ki posameznika ne ščitijo zgolj v razmerju do državnih organov, ampak tudi v razmerju do tretjih oseb, vključno z delodajalci. Gre za temeljne osebnostne pravice in tudi dejstvo, da ima delodajalec lastninsko pravico nad delovnimi sredstvi in opremo, ki jo uporablja zaposleni, ne more odpraviti pravice do določene stopnje zasebnosti delavca pri uporabi omenjenih sredstev. To pomeni, da delodajalec ne sme nesorazmerno poseči v zasebnost zaposlenih samo v interesu na primer zagotavljanja večje učinkovitosti, če pri tem ni jasno dokazljiv interes varovanja ljudi in premoženja, poslovne skrivnosti ipd. Vsaka oblika nadzora, ki pomeni poseg v pravico do zasebnosti, mora biti bodisi vnaprej utemeljena v internih aktih podjetja, bodisi mora imeti zakonsko podlago. Nadzor uporabnikov službenih informacijskih sistemov in opreme brez vnaprejšnje seznanitve delavca je pravno nedopusten.Informacijski pooblaščenec je glede vprašanja vpogleda v elektronsko pošto že pripravil nekaj mnenj, ki so objavljena na naših spletnih straneh (http://www.ip-rs.si/). Menimo, da na vaše vprašanje v celoti odgovarja mnenje Informacijskega pooblaščenca o zasebnosti elektronske pošte z dne 20.7.
- Najdete ga na spletni strani http://www.ip-rs.si/index.php?id=424&tx_jzvopdecisions_pi1[showUid]=144&cHash=e192b60e9e. Priporočamo vam tudi seznanitev z mnenjem z dne 14.11.2006 o vpogledu delodajalca v elektronsko pošto zaposlenih in privolitvi, ki se nahaja na spletni strani: http://www.ip-rs.si/index.php?id=424&no_cache=1&tx_jzvopdecisions_pi1[showUid]=369.Pooblaščenec glede vašega drugega vprašanja o zasebnosti elektronske pošte (poleg napotitve na že objavljeno mnenje) dodaja, da je bila pred kratkim sprejeta pomembna sodba Evropskega sodišča za človekove pravice. V začetku aprila je namreč Evropsko sodišče za človekove pravice izdalo sodbo, ki je izjemno pomembna tako za delodajalce kot za delavce. Govori o mejah posega v delavčevo zasebnost pri komuniciranju s službenimi sredstvi (elektronska pošta, internet). Sodišče je delavki v tem primeru priznalo širok krog pravice in presodilo, da je delodajalec neupravičeno posegal v njeno zasebnost. Ključni element sodbe je, da delavka ni bila v naprej opozorjena, kdaj in v kakšnih primerih lahko delodajalec nadzira e-pošto. Delodajalec je moral plačati pravne stroške in odškodnino v višini 3000 GBP. Sodba, gre za primer Copland proti Združenemu kraljestvu, je dosegljiva na naslednji povezavi: http://www.bailii.org/eu/cases/ECHR/2007/253.html Priporočamo vam, da si ogledate tudi druga mnenja s področja varstva osebnih podatkov, ki so objavljena na spletni strani http://www.ip-rs.si/index.php?id=424, po kateri lahko iščete s pomočjo naprednega iskalnika.Prijazen pozdrav,Informacijski pooblaščenec Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026