Nadzor delodajalca nad mobilnim telefonom zaposlenega - IPRS

Nadzor delodajalca nad mobilnim telefonom zaposlenega + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 11.10.2016 Številka: 0712-1/2016/2039 Kategorije:Delovna razmerja, Moderne tehnologije --> Kategorije: Delovna razmerja, Moderne tehnologije Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaš dopis, v katerem nas prosite za mnenje glede nadzora delodajalca nad mobilnim telefonom zaposlenega. Kot ste pojasnili podjetje, v katerem ste zaposleni, uporablja Google-ovo elektronsko pošto Google For work. V zadnjem času na mobilnem telefonu dobivate obvestila, da skrbnik (delodajalec) lahko upravlja z mobilnim telefonom - na katerem imate dodan služben Google-ov račun. Na telefon ste morali namestiti tudi aplikacijo Google Apps Device Policy, ki vas pred namestitvijo obvesti, da bo skrbnik (delodajalec) lahko med drugim tudi:- izbrisal vse podatke v telefonu brez opozorila,- spreminjal zaklepanje zaslona,- nastavil pravila za gesla,- zaklenil zaslon,- onemogočil fotoaparat.Pojasnili ste, da je telefon, ki ga uporabljate, vaš - ni vam ga kupil delodajalec, SIM kartica pa je delodajalčeva. Ker skrbnik lahko izbriše podatke na telefonu na daljavo, verjetno lahko tudi dostopa do njih in jih pregleduje (SMS, slike). Telefon uporabljate tudi v privatnem času. Zanima vas naše mnenje v zvezo z opisanim.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke
4. odstavka
5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Uvodoma moramo pojasniti, da je delodajalec pri zbiranju in nadaljnji obdelavi osebnih podatkov zaposlenih omejen na pogoje, ki mu jih določa zakonodaja. Več o tem smo podrobneje pisali v smernicah na to temo, ki so dostopne na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_za_varstvo_osebnih_podatkov_v_delovnih_razmerjih.pdfVaša vprašanja pa se v pretežni meri dotikajo tudi področja uporabe zasebnih naprav zaposlenih v službene namene (t.i. BYOD), o katerem smo prav tako izdali smernice:https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_BYODweb.pdfMenimo, da delodajalec na splošno ne sme prisiliti zaposlenega, da na svoj zasebni telefon namesti programsko opremo, s katero bo potem lahko zaposleni dostopal ter uporabljal določene informacijske vire in storitve delodajalca (npr. dostop do službenega predala e-pošte, omrežnih pogonov ipd). Kot smo zapisali v omenjenih smernicah, je pred vpeljavo BYOD ključno, da se opravi premislek o poslovnih potrebah oziroma zahtevah, ki jih zasleduje organizacija, izvede analiza tveganj po temeljnih načelih varstva osebnih podatkov ter ustrezno dopolnijo interni akti organizacije, z njimi jasno seznani zaposlene in kjer je potrebno in primerno pridobi tudi (informirano in prostovoljno, ne pa izsiljeno) soglasje zaposlenih. Zaposleni bi moral povsem jasno vnaprej vedeti, kaj to zanj pomeni, npr. ali bo delodajalec lahko izbrisal vse podatke na napravi, do kateri podatkov bo lahko dostopal in do katerih ne in podobno. Zgolj dejstvo, da delodajalec (verjetno) plačuje za uporabo vaše zasebne naprave, še ne pomeni, da je v celoti upravičen do nadzora nad napravo ter podatki na njej.Delodajalec, ki dopušča BYOD naprave v svojem okolju, mora zelo previdno in jasno ter vnaprej določiti meje med zasebno in službeno uporabo ter politike dostopa do različnih podatkov. Pred uvedbo BYOD in t.i. MDM rešitev (angl. mobile device management) je zato priporočljivo v naslednjih korakih:
7. izvesti oceno učinkov na varstvo osebnih podatkov, t.j. analizo tveganj po temeljnih načelih varstva osebnih podatkov,
8. podobno kot pri drugih segmentih nadzora nad uporabo elektronskih sredstev je na podlagi ocene učinkov uporabo BYOD in MDM priporočljivo vnaprej opredeliti v internih aktih.Ali so bili pred uvedbo BYOD opravljene navedene aktivnosti in upoštevana naša priporočila, ne moremo soditi brez natančnega pregleda zadevnih internih aktov in dodatnih pojasnil. Pomembno je tudi, ali je namestitev omenjene programske opreme nujna glede na naloge in obveznosti, ki jih opravljate, kako ste bili o tem obveščeni, kakšne so konkretne določbe internih aktov in podobno. Gotovo lahko rečemo, da delodajalec nima splošne pravice pregledovati vaših zasebnih fotografij, dostopati do ali brisati vaših zasebnih podatkov (npr. datotek, imenikov, koledarjev) ter zasebne komunikacije. Varnostna pravila in politike, kot so spreminjanje zaklepanje zaslona, nastavitev pravila glede gesel, zaklepanja zaslona ter onemogočitev fotoaparata načeloma niso tako sporne, saj je treba upoštevati tudi delodajalčev legitimen interes po zaščiti naprave, s katero je možno dostopati do informacijskega sistema podjetja, kolikor so seveda varnostna pravila in politike izvedene v skladu s priporočili, ki jih podajamo v smernicah glede BYOD. Glede na navedeno vam priporočamo, da vašega delodajalca – kolikor še ni – seznanite z našimi smernicami in mnenji glede uporabe zasebnih naprav v službene namene in varstva osebnih podatkov v okviru delovnih razmerij. Že samo dejstvo, da ste nam namreč poslali vaša povsem legitimna vprašanja, namreč nakazuje, da uvedba BYOD morda ni bila dovolj transparentna. Prav tako se lahko odločite za podajo predloga za uvedbo inšpekcijskega postopka.V upanju, da smo vam pomagali glede vaših vprašanj vas lepo pozdravljamo.S spoštovanjem,Informacijski pooblaščenec: Mojca Prelesnik, univ.dipl.prav., pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026