Hramba arhiva elektronske pošte po odhodu zaposlenega - IPRS

Hramba arhiva elektronske pošte po odhodu zaposlenega + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.08.2017 Številka: 0712-1/2017/1538 Kategorije:Delovna razmerja, Elektronska pošta, Zavarovanje osebnih podatkov --> Kategorije: Delovna razmerja, Zavarovanje osebnih podaktov, Elektronska pošta Spoštovani, Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede hrambe arhiva elektronske pošte po odhodu zaposlenega. IP vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
5. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Elektronska pošta oz. predal elektronske pošte je strogo formalno gledano zbirka osebnih podatkov, saj vsebuje tudi osebne podatke, npr. naslov prejemnika in pošiljatelja, pogosto pa so osebni podatki prisotni tudi v vsebini elektronskih sporočil. Razen tega gre za zbirko (osebnih) podatkov, ki je zaradi svoje narave še posebej občutljiva z vidika morebitnih zlorab oz. poseganja v zasebnost, zato jo v obliki pravice do varovanja zasebnosti in varovanja tajnosti pisem (torej tudi elektronske korespondence) varuje že Ustava RS, bolj specifično pa tudi ZVOP-
6. Hkrati ZVOP-1 v
7. členu izrecno določa, da mora upravljavec osebnih podatkov (t.j. delodajalec) te podatke ustrezno zavarovati z organizacijskimi, tehničnimi in logično-tehničnimi postopki in ukrepi, s katerimi se preprečuje nepooblaščena obdelava teh podatkov, tako da se: 1) varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami; 2) varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki; 3) preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih; 4) zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov; 5) omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.
8. člen ZVOP-1 nadalje določa, da so upravljavci osebnih podatkov in pogodbeni obdelovalci dolžni zagotoviti varovanje teh podatkov, prav tako pa še določa, da morajo upravljavci osebnih podatkov v svojih aktih predpisati postopke in ukrepe za zavarovanje osebnih podatkov in določiti osebe, ki so odgovorne za posamezne zbirke osebnih podatkov. Iz zapisanega izhaja, da mora delodajalec sorazmerno natančno predpisati postopke in ukrepe, s katerimi bo varoval elektronsko pošto zaposlenih. Ti postopki in ukrepi morajo določati tudi kaj se zgodi s predali elektronske pošte po prenehanju delovnega razmerja. IP poudarja, da mora biti zaposlenemu pred prenehanjem delovnega razmerja dana možnost, da iz svojega službenega elektronskega predala pobriše oz. prekopira elektronska sporočila zasebne narave[1], elektronska sporočila službene narave pa so del dokumentarnega gradiva, s katerim mora biti rokovano skladno s pravili, ki jih določa zakonodaja za tovrstno gradivo (Zakon o varstvu dokumentarnega in arhivskega gradiva ter arhivih - ZVDAGA, Uredba o varstvu dokumentarnega in arhivskega gradiva – UVDAGA itd.). V vsakem primeru se predala elektronske pošte, ki je vezan na točno določenega (nekdanjega) zaposlenega, ne sme pustiti delujočega v tem smislu, da bi se tja še vedno lahko pošiljalo novo elektronsko pošto, razen če je bil sklenjen ustrezen dogovor z zaposlenim in še v tem primeru le za točno določeno obdobje. IP priporoča, da se v primeru prekinitve delovnega razmerja takoj ko je mogoče deaktivira konkretni poštni predal, pošiljatelje pa o deaktivaciji za določeno obdobje, ki je lahko tudi predmet dogovora z zaposlenim, obvesti npr. z avtomatskim odzivnikom. Ta naj pošiljatelje obvesti: · da določeni predal elektronske pošte ni več aktiven, · da naslovnik sporočila ne bo prejel oz. prebral ter · na kateri (drug) naslov naj se obrnejo. Seveda je neprimerno v avtomatskem odzivniku navajati več informacij, kot je potrebno (npr. razlog odhoda in druge osebne podatke). Avtomatski odzivnik naj vsebuje samo nujne informacije za pošiljatelja. Neprimerna je tudi avtomatska preusmeritev elektronske pošte v predal drugih zaposlenih ali nadrejenih[2]. Če so določbe internega akta takšne, da omogočajo zaposlenim, da pred svojim odhodom pobrišejo svojo zasebno korespondenco, potem po odhodu zaposlenega v njegovem poštnem predalu ne bi več smela ostati zasebna korespondenca, temveč le še službena, s katero pa delodajalec razpolaga, v smislu da jo zaradi kontinuitete poslovnih procesov dodeli v uporabo zaposlenemu, ki bo nadaljeval delo za nekdanjim zaposlenim[3]. Ob takšnih določbah internih aktov določitev roka hrambe niti ni potrebna. Delodajalec mora presoditi, kako dolgo bodo potrebni podatki iz takšnih predalov elektronske pošte; če vseeno želi opredeliti rok hrambe, ker npr. dela za nekdanjem zaposlenim ne bo nadaljevala druga oseba, mora pri opredelitvi roka upoštevati načelo sorazmernosti in izbrati najmanjši rok hrambe, ki je potreben upoštevaje naravo dela, vrsto delovnega mesta in naloge, obseg komunikacije in druge pomembne okoliščine[4]. Rok hrambe bi moral biti opredeljen v internih aktih podjetja in znan zaposlenim. Določena delovna mesta terjajo intenzivno komunikacijo med zaposlenimi in med zunanjimi strankami, kar lahko povzroči težave v primeru začasne odsotnosti določnega zaposlenega, saj se lahko v njegov predal elektronske pošte stekajo nujna sporočila službene narava. Ker je zelo težko realno trditi, da v takšnem, sicer službenem predalu elektronske pošte, ni nobenega sporočila zasebne narave, je dostop do tega predala elektronske pošte s strani sodelavcev ali nadrejenih lahko problematičen. V izogib takšnim primerom IP priporoča, da se že vnaprej pri takšnih delovnih mestih (ne pri vseh!) razmisli o skupinskih predalih e-pošte (npr. komerciala@podjetje.com), preusmerjanje ali pa dodeljevanje dostopa do predala e-pošte zaposlenega drugim sodelavcem ali nadrejenim pa resno odsvetujemo. Praktični vzgibi za slednje so sicer razumljivi (raje pošiljamo elektronsko pošto na osebne naslove kot na generične naslove info@...), a pošiljatelj vendarle (utemeljeno) pričakuje, da bodo njegovo sporočilo prebrale samo osebe, katerim je bilo poslano, zato se za zagotovitev ustavno varovane komunikacije in informacijske zasebnosti praksa preusmerjanja odsvetuje. Arhivirana elektronska pošta, čeprav ni več delujoča v tem smislu, da bi se vanjo lahko pošiljalo nova poštna sporočila, je še vedno zbirka osebnih podatkov, kar pomeni, da ukrepi za zavarovanje po
9. in
10. členu ZVOP-1 zanjo veljajo kot obveznost delodajalca. Resda so pogoji dostopanja do arhivske pošte s strani delodajalca precej milejši kakor v primeru, ko gre za delujoč poštni predal, vendar to ne pomeni, da lahko do vsebine arhivirane poštne baze dostopa kdorkoli, pač pa zgolj pooblaščena oseba in še to na podlagi utemeljenih razlogov. Skratka, tudi v primeru arhivirane pošte baze je delodajalec dolžan zagotoviti ustrezne varnostne ukrepe, s katerimi bo preprečil nepooblaščeno obdelavo osebnih podatkov. Zaključno opozarjamo še, da s
12. 2018 stopi v uporabo Splošna Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne
13. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; uredba), ki pa vprašanja hrambe predalov elektronske pošte posebej ne ureja, vsebuje pa podobne določbe glede informacijske varnosti (glej
14. člen) kot obstoječi ZVOP-
15. Več o uredbi si lahko preberete na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ S spoštovanjem, Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke Informacijski pooblaščenec: Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka [1] Kot primer glej interni akt IP: http://www.ip-rs.si/fileadmin/user_upload/Pdf/pravilniki/Pravilnik_o_postopkih_in_ukrepih_pri_delovanju_in_vzdrzevanju_informacijskega_okolja_IP_10jul2014.pdf [2] Glej sporočilo za javnost IP: https://www.ip-rs.si/novice/elektronski-naslovi-so-osebni-podatki-1323/ [3] Če bi kljub temu v poštnem predalu ostalo sporočilo, ki je zasebne narave, je z njim treba postopati previdno, saj lahko razkritje vsebine ali prometnih podatkov povzroči škodo posameznikom, na katere se nanaša (gre lahko za pošiljatelja, prejemnika in tudi osebe, ki so omenjene v vsebini komunikacije). [4] Okoliščine so lahko zelo različne npr. če primerjamo delovno mesto komercialista, ki vsakodnevno izmenja veliko število elektronskih sporočil s strankami ali pa računovodje, kateremu predal elektronske pošte ne predstavlja bistvenega orodja za delo. O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026