Koliko časa se hranijo maili posameznikov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 16.10.2007 Številka: 0712-894/2007/2 Kategorije:Elektronska pošta --> Kategorije: Elektronska pošta Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne 1.10.2007 prejel vaše e-sporočilo, v katerem sprašujete, koliko časa smejo oziroma morajo (recimo na ...
- i)hraniti elektronska sporočila posameznikov? Potrebovali bi jih namreč za neko obravnavo in vas zanima, ali lahko do njih pride policija? V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05, 51/07-ZUstS in 67/07; ZVOP-1) ter 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji: 1. Ponudniki storitev elektronske pošte niso zakonsko obvezani hraniti vsebino vaše elektronske pošte, bodo pa s 15. marcem 2009 morali hraniti prometne podatke. 2. Če elektronsko sporočilo ni bilo izbrisano, bi načeloma lahko do njega prišla Policija na podlagi sodne odredbe. 3. Operaterji bodo s 15. marcem 2009 morali hraniti prometne podatke samo za namene, ki jih določa zakon, ki ureja kazenski postopek, za namene zagotavljanja nacionalne varnosti in ustavne ureditve ter varnostnih, političnih in gospodarskih interesov države, kot jih določa zakon, ki ureja Slovensko obveščevalno varnostno agencijo, in za namene obrambe države, kot jih določa zakon, ki ureja obrambo države. O b r a z l o ž i t e v: 1. Ali smejo oziroma koliko časa lahko ponudniki storitev elektronske pošte hranijo elektronska sporočila posameznikov? Že dalj časa lahko posameznik za spletno komuniciranje enostavno in pogosto tudi brezplačno pridobi predal elektronske pošte pri enem od ponudnikov storitev elektronske pošte (angl. Email Service Provider). Praviloma so vzgibi za odprtje tovrstnega predala zasebne narave, seveda pa se lahko takšne predale uporablja tudi v službene namene. Ker pooblaščencu ni znano, kakšen namen je relevanten v vašem primeru, lahko Pooblaščenec zgolj predvideva, da je bolj verjetno, da gre za namen zasebne rabe tovrstnega predala elektronske pošte. Pooblaščenec se zato v nadaljevanju opredeljuje najprej do vprašanja, ali gre za tematiko, ki spada v pristojnosti Pooblaščenca. Pooblaščenec primarno poudarja, da je pristojen le za en del, sicer širše pravice do zasebnosti, konkretno le do informacijske zasebnosti, izhajajoč pri tem predvsem iz pojmov: osebni podatek – zbirka osebnih podatkov – obdelava osebnih podatkov . Osebni podatek je v skladu s 1. točko 6. člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen, medtem ko je zbirka osebnih podatkov po določbi 5. točke 6. člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Obdelava osebnih podatkov pa pomeni v skladu z 3. tč. 6. člena kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, … zlasti zbiranje, pridobivanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago… V zvezi z vašim vprašanjem je potrebno najprej pojasniti razliko med vpogledom v vsebino e-mail poštne baze in vpogledom v vsebino posameznega elektronskega sporočila, ki se v tej bazi nahaja. Elektronski naslov lahko predstavlja osebni podatek in sicer, kadar je posameznik na njegovi podlagi določen ali pa vsaj določljiv brez večjega napora (npr. xxxx.xx@gmail.com, yyyy.yyyyyyy@yahoo.com). Tudi službeni elektronski naslovi načeloma predstavljajo osebni podatek, ker iz njih (navadno) izhaja ime, priimek in zaposlitev posameznika, to pa so podatki, iz katerih je posameznika (dokaj enostavno) mogoče identificirati. Poštna baza elektronske pošte je sestavljena iz zbirk poslanih in prejetih elektronskih sporočil (t. i. inbox, outbox), ki vsebujeta: • zbirko elektronskih naslovov, na katere je posameznik poslal elektronsko sporočilo ali ga je od naslovnika prejel; • datum in čas pošiljanja oziroma sprejema; • zadevo (subject); • drugi tehnični podatki v povezavi s sporočilom (priponka, velikost …). Z natančnim upoštevanjem definicije zbirke osebnih podatkov se da ugotoviti, da sta obe zbirki (t. i. inbox, outbox), zbirki osebnih podatkov, saj, kot že ugotovljeno, elektronski naslov posameznika lahko pomeni osebni podatek (izjema bi bila, če tudi en elektronski naslov v takšni zbirki ne bi bil osebni podatek), več elektronskih naslovov posameznikov pa se da urediti v strukturiran niz podatkov, ki se ga da obdelovati po abecednem vrstnem redu, po datumu prejema ali oddaje, po velikosti ipd. Pogosto se da iz vhodne in izhodne elektronske pošte (predvsem iz podatkov o pošiljatelju in po navedeni zadevi – subject) ugotoviti tudi druge osebne podatke posameznika, kot so zdravstveno stanje posameznika, versko prepričanje, sindikalno pripadnost (vsi ti podatki so tudi občutljivi osebni podatki), sorodstvena in drugačna razmerja, premoženjsko stanje itd. Glede same vsebine elektronskega sporočila je potrebno ugotoviti, da sicer predstavlja del pravice do zasebnosti, da pa ne sodi v okvir ZVOP-1, ker, v skladu z definicijo zbirke osebnih podatkov, (običajno) ne gre za zbirko osebnih podatkov. Navedeno vprašanje se nanaša na pravico do varstva tajnosti pisem in drugih občil, ki je določena v 37. členu Ustave RS. Poleg opredelitve pristojnosti, pa je potrebno v konkretnem primeru ugotavljati, ali morebiti ne obstaja dejansko stanje, ki ustreza določbi 7. člena ZVOP-1, ki določa izjeme glede uporabe vseh ali dela določb zakona v določenih življenjskih situacijah, kjer bi bilo določbe tega zakona nesmiselno uporabljati. 1. odstavek 7. člena ZVOP-1 tako določa, da se ta zakon ne uporablja za obdelavo osebnih podatkov, ki jo izvajajo posamezniki izključno za osebno uporabo, družinsko življenje ali za druge domače potrebe. O obdelavi osebnih podatkov za osebno uporabo govorimo npr. v primeru, ko ima posameznik doma seznam z osebnimi imeni, naslovi, datumi rojstva in telefonskimi številkami sorodnikov, prijateljev in znancev in ta seznam uporablja za komuniciranje z njimi, ne glede v kakšni obliki posameznik vodi in ureja takšen seznam. Poleg določb 7. člena ZVOP-1, ki določa izjeme glede uporabe, je ključna opredelitev zbirke osebnih podatkov, kot je vsebovana v 5. odstavku 6. člena ZVOP-1. V knjigi dr. Janez Čebulja, je potreba po razlikovanju zbirk osebnih podatkov, ki jih ureja tako sedanja kot nekdanja zakonodaja o varstvu osebnih podatkov, in zbirk (osebnih) podatkov za zasebno rabo, razumljivo predstavljena : "Na splošno je zbirka podatkov zelo širok pojem, ki lahko zajema tudi osebne podatke, ki jih posedujejo posamezniki in se nanašajo na razmerja z ljudmi, ki so njihovi sorodniki, prijatelji ali znanci. Za takšne zbirke ni potrebno, da bi uveljavljali pravila, ki jih določa zakon, poleg tega pa je to tudi praktično neizvedljivo. V zvezi z uporabo in širjenjem takšnih podatkov bo moral posameznik, na katerega se nanašajo, iskati pravno varstvo v okviru kazenske zakonodaje (npr. kazniva dejanja zoper čast in dobro ime: razžalitev, obrekovanje, žaljiva obdolžitev, opravljanje)." Z izključitvijo uporabe določb ZVOP-1 za izključno osebno uporabo osebnih podatkov se slovenski pravni red usklajuje z določbo 2. alineje 2. odstavka 3 člena Direktive 95/46/ES. V komentarju Direktive je podana naslednja razlaga te določbe: "Osebne dejavnosti so, v nasprotju s poklicnimi ali pridobitnimi dejavnostmi tiste, ki se nanašajo na zasebno uporabo posameznika, torej denimo naslovi prijateljev ali dopisovanje v okviru osebne potrošnje ali prostega časa. Družinske dejavnosti se nanašajo na vlogo posameznika v okviru družine, torej stike s sorodniki. Obseg obdelave ni odločilen. Seveda pa bi bilo mogoče iz obsežnega obdelovanja sklepati, da gre za več kot le osebne dejavnosti." Na tem mestu je potrebno poudariti, da je v primeru izjem iz 1. odstavka 7. člena zakona, za razliko od izjem iz 2. in 3. odstavka 7. člena, izključena uporaba celotnega zakona in ne le njegovih posameznih določb. Glede na navedeno, je v konkretnem primeru podana izjema glede uporabe ZVOP-1, saj gre (po upoštevanju predpostavke) za zasebno rabo, zato pri uporabi predalov elektronske pošte, ki si jih posameznik prostovoljno izbere in preko njih komunicira, niso relevantne določbe ZVOP-1. To pomeni, da tudi določbe glede hrambe podatkov iz ZVOP-1 v tem primeru niso relevantne, temveč je potrebno pojasniti določbe Zakona o elektronskih komunikacijah - uradno prečiščeno besedilo (Ur.l. RS št. 13/2007, v nadaljevanju ZEKom-UPB1), ki v slovenski pravni red prenaša določbe Direktive 2006/24/ES Evropskega parlamenta in Sveta z dne 15. marca 2006 o hrambi podatkov, pridobljenih ali obdelanih v zvezi z zagotavljanjem javno dostopnih elektronskih komunikacijskih storitev ali javnih komunikacijskih omrežij, in spremembi Direktive 2002/58/ES (UL L št. 105 z dne 13. aprila 2006, str. 54; v nadaljevanju direktiva). Določbe 107.b člena ZEKOM-UPB1, ki se nanašajo na dostop do interneta, elektronske pošte in uporabi internetne telefonije, predvidevajo obvezno hrambo naslednjih podatkov – gre za t.i. prometne podatke: – pri dostopu do interneta, elektronske pošte in uporabi internetne telefonije uporabniško ime in telefonsko številko, dodeljeno za vsako komunikacijo, s katero se vstopa v javno telefonsko omrežje, ime in naslov naročnika ali registriranega uporabnika, ki mu je bil v času komunikacije dodeljen naslov internetnega protokola, uporabniško ime ali telefonska številka; – pri dostopu do elektronske pošte in uporabi internetne telefonije uporabniško ime ali telefonsko številko prejemnika klica prek internetne telefonije, ime in naslov naročnika ali registriranega uporabnika in uporabniško ime namembnega prejemnika komunikacije; – pri dostopu do interneta, elektronske pošte in uporabi internetne telefonije datum in čas prijave na internet in odjave z njega, pri čemer se upošteva določen časovni pas, skupaj z naslovom statičnega ali dinamičnega internetnega protokola, ki ga je ponudnik dostopa do interneta dodelil komunikaciji, in uporabniško ime naročnika ali registriranega uporabnika ter datum in čas prijave in odjave z internetnih storitev elektronske pošte ali internetne telefonije glede na določen časovni pas; – pri dostopu do elektronske pošte in uporabi internetne telefonije vrsto uporabljene storitve; – pri dostopu do interneta, elektronske pošte in uporabi internetne telefonije kličočo telefonsko številko za klicni dostop, digitalni naročniški vod ali drugo končno točko začetnika komunikacije, ID celice na začetku komunikacije, oziroma podatke, ki določajo zemljepisno lego med obdobjem, za katerega se hranijo podatki o komunikaciji. Iz navedenega sledi, da ne obstaja zakonska obveza, da bi morali oziroma koliko časa bi morali ponudniki storitev elektronske pošte hraniti vsebino elektronskih sporočil. Ta vsebina je oziroma bi morala biti pod vašim nadzorom, kar pomeni, da sami presojate, kako dolgo boste določeno sporočilo hranili in kdaj ga boste izbrisali. Če je bilo elektronsko sporočilo izbrisano, potem ponudnik tovrstnih storitev tega sporočila nima več, če ga pa ima, pa ga hrani nezakonito in proti volji posameznika. Če ste se odločili za brisanje elektronske pošte, namreč ponudnik storitev elektronske pošte nima zakonske podlage, da bi lahko hranil ali moral hraniti vsebino vaših elektronskih sporočil, kar pa – kot smo izpostavili zgoraj - ne velja za t.i. imenovane prometne podatke. Pri tem je potrebno opozoriti, da se določbe 92. člena ZEKom, ki se nanašajo na hrambo prometnih podatkov o dostopu do interneta, elektronski pošti in internetni telefoniji, začnejo uporabljati 15. marca 2009. 2. Ali lahko Policija dostopa do elektronskih sporočil pri ponudnikih storitev elektronske pošte? Če elektronsko sporočilo, ki je potrebno v vašem primeru, še obstaja, potem načeloma Policija lahko dobi dostop do (vsebine) tega sporočila, načeloma na podlagi sodne odredbe. V primeru, da je bilo sporočilo izbrisano, pa ponudnik storitev ni dolžan hraniti elektronskih sporočil posameznika, oziroma jih celo ne sme. Šele z uveljavitvijo določbe ZEKom, ki se nanašajo na hrambo prometnih podatkov (in ne vsebine), bodo namreč operaterji morali hraniti podatke, ki so navedeni v prejšnjih odstavkih. Pri tem pa je nujno potrebno opozoriti na določbo 107.a člena ZEKom-UPB1. Skladno z določbo 1. odstavka 107.a člena ZEKom-UPB1 bodo morali namreč operaterji hraniti prometne podatke samo za namene, ki jih določa zakon, ki ureja kazenski postopek, za namene zagotavljanja nacionalne varnosti in ustavne ureditve ter varnostnih, političnih in gospodarskih interesov države, kot jih določa zakon, ki ureja Slovensko obveščevalno varnostno agencijo, in za namene obrambe države, kot jih določa zakon, ki ureja obrambo države. Lepo vas pozdravljamo, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026