← Slovenija

Nenapovedani zunanji nadzor službene elektronske pošte - IPRS

Nenapovedani zunanji nadzor službene elektronske pošte + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 30.06.2015 Številka: 0712-1/2015/1780 Kategorije:Delovna razmerja, Elektronska pošta --> Kategorije: Delovna razmerja, Elektronska pošta Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše sporočilo, v katerem navajate, da ste zaposlena kot informatik v eni od domačih organizacij ter da je vaš delodajalec nedavno brez predhodne najave in brez obrazložitve v vaše prostore pripeljal predstavnike zunanjega izvajalca, zavoljo izvedbe nadzora službenega e-poštnega strežnika. Vi in vaši sodelavci ste morali nemudoma končati delo in svoje delovno mesto prepustiti omenjenemu zunanjemu izvajalcu.Upoštevaje, da interni akti vaše organizacije ne vključujejo posebnih določb o nadzoru službene e-pošte, vas zanima, ali je takšen pregled zakonit.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
  3. točke
  4. odstavka
  5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
  6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Zaposleni po mnenju IP tudi na delovnem mestu upravičeno pričakujejo določen obseg zasebnosti. Zaradi tega sme delodajalec nadzor službene e-pošte izvajati le v izrednih primerih, ko je to utemeljeno potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem (
  7. odst.
  8. člena ZDR-1) in ob upoštevanju pogojev za poseg v komunikacijsko zasebnost, kot jih določa
  9. člen Ustave RS. Praviloma mora delodajalec takšne primere tudi vnaprej opredeliti in utemeljiti v internih aktih družbe.Iz vašega dopisa ne izhaja, iz kakšnih razlogov in v kakšnih okoliščinah je vaš delodajalec odredil zadevni nadzor ter kakšen je bil obseg opravljenega nadzora. Brez poznavanja teh okoliščin se IP ne more opredeljevati do zakonitosti takšnega nadzora, pa tudi sicer se lahko zakonitost konkretne obdelave osebnih podatkov presoja zgolj v inšpekcijskem postopku. V kolikor menite, da nadzor ni bil zakonit lahko prijavo in v njej navedene vse vam znane okoliščine.Pri tem pa IP na splošno dodaja, da izvedba nadzora e-poštnega strežnika po zunanjem izvajalcu sama po sebi ne predstavlja kršitve določb Zakona o varstvu osebnih podatkov.Obrazložitev:IP je na temo varstva osebnih podatkov zaposlenih pri vpogledu delodajalca v vsebino elektronske pošte in s tem povezane prometne podatke izdal že več mnenj, ki so dostopna na naši spletni strani, skozi naš iskalnik po odločbah in mnenjih, glejte https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/odlocbe-in-mnenja-varstvo-osebnih-podatkov/. Priporočamo vam, da jih proučite, v nadaljevanju pa izpostavljamo zlasti nedavno mnenje št. 0712-1/2014/2889 z dne 8.09.2014, glejte https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/odlocbe-in-mnenja-varstvo-osebnih-podatkov/?tx_jzvopdecisions_pi1[showUid]=2384&cHash=18ff201b6aa49dc1867d949bc23e81cd.Kot navajamo v odkazanem mnenju, zaposleni tudi na delovnem mestu upravičeno pričakujejo določen krog zasebnosti, in to tudi pri uporabi službenega računalnika oz. službenih komunikacijskih sredstev (telefona, e-pošte, idr.). Zavoljo tega je nadzor e-pošte od zaposlenih lahko zgolj izredni dogodek, ki mora biti vsakič tudi utemeljen s posebej izkazanimi potrebami iz delovnega razmerja (
  10. odst.
  11. člena Zakona o delovnih razmerjih, Uradni list RS, št. 21/2013), npr. preverbo konkretnih očitkov kršitve konkurenčne klavzule, uhajanja informacij ali drugih hujših kršitev delovnih obveznosti na strani delavca. Delodajalec mora ves čas nadzora skrbno paziti, da ostane v mejah navedene zakonske podlage. Upoštevati mora tudi, da lahko v primeru uvedbe kazenskega postopka z neupoštevanjem pravil računalniške forenzike oz. s samostojnim poseganjem v podatke na strežnikih, delovnih postajah in drugih nosilcih podatkov, uniči dokaze ali ogrozi celovitost podatkov[1] in s tem eventualno tudi njihovo uporabnost v morebitnem kazenskem postopku. Prav tako mora upoštevati, da komunikacijsko zasebnost varuje
  12. člen Ustave, ki za poseg v to pravico določa stroge pogoje. Delodajalec, ki se želi izogniti tveganjem zaradi morebitnega nezakonitega posega v komunikacijsko zasebnost zaposlenih, se lahko obrne na sodišče in pridobi odredbo za zavarovanje dokazov[2].Delodajalec torej na splošno nima pravne podlage za vpogled v vsebino elektronske pošte zaposlenega, niti za vpogled v t. i. prometne podatke o tem, katera e-poštna sporočila so bila poslana, od koga, komur, s katero zadevo ter kdaj. Nadzora tako ne more odrediti že iz npr. preventivnih razlogov ali zgolj zavoljo kontrole izvajanja delovnih obveznosti. Vendar pa lahko delodajalec, upoštevaje, da se službena pošta izmenjuje preko njegove infrastrukture ter da se njena vsebina načeloma in pretežno nanaša na delovno razmerje, v izrednih primerih vendarle poseže v vsebino te e-pošte. Navedena možnost izhaja iz širše pravice delodajalca, da delavec delo izvaja pod njegovimi navodili in nadzorom in ob pomoči njegovih delovnih sredstev (
  13. odst.
  14. člena ZDR-1). V okviru te pravice lahko delodajalec pod ustreznimi pogoji uvede tudi določene oblike omejenega avtomatiziranega nadzora nad službeno e-pošto, npr. anti-spam filtre (mnenje IP št. 0712-1/2015/563 z dne 27.2.2015[3]), orodja za odkrivanje preprečevanje vdorov in drugih kibernetskih napadov (mnenje IP št. 0712-1/2013/3523 z dne 11.2.2014[4]) ali orodja za preprečevanje odtekanja informacij (mnenje IP št. 0712-96/2011 z dne 11.5.2011[5]). Pri tem je sicer najbolj pravilno, da delodajalec takšne primere nadzora službene e-pošte in postopek v zvezi z njimi vnaprej ustrezno predvidi in opredeli v svojih internih aktih, s katerimi zaposlene obenem tudi ustrezno in vnaprej seznani. S tem delavcem jasno opredeli, kakšne so njihove pričakovane pravice do zasebnosti, ter v veliki meri tudi odpravi dvome glede upravičenosti morebitnih kasnejših primerov nadzora. Vendar pa sme delodajalec nadzor izvesti tudi, če delavci s takšno možnostjo niso bili vnaprej seznanjeni, če ima za konkretni namen nadzora podlago v zakonu, kot že zgoraj in upoštevaje pogoje za poseg v komunikacijsko zasebnost, kot jih določa
  15. člen Ustave RS.Iz vašega dopisa ne izhaja, kakšne so bile okoliščine, zavoljo katerih je bil v vaši organizaciji odrejen nadzor e-poštnega strežnika, kako je delodajalec to odredil (ustno, pisno, ob odobritvi sodišča, idr.), ter kako točno je navedeni nadzor potekal (onkraj dejstva, da ga je brez vašega nadzora ali prisotnosti izvedel zunanji izvajalec). Brez poznavanja teh okoliščin se IP ne more opredeljevati do zakonitosti takšnega nadzora, pa tudi sicer se do zakonitosti konkretnega dejanja obdelave osebnih podatkov lahko opredeljuje v okviru inšpekcijskega postopka, ne pa že v postopku s pričujočim neobvezujočim mnenjem. V kolikor torej menite, da delodajalec ni imel podlage za takšni nadzor lahko v zvezi s tem IP-ju podate prijavo suma kršitve določb varstva osebnih podatkov (https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/kako-vlozim-prijavo/) ter ji priložite vse vam znane okoliščine v zvezi z navedenim nadzorom e-poštnega strežnika.Obenem pa na splošno pojasnjujemo, da izvedba nadzora e-poštnega strežnika po zunanjem izvajalcu sama po sebi ne predstavlja kršitve določb Zakona o varstvu osebnih podatkov. Dokler delodajalec spoštuje svoje obveznosti do varovanja zasebnosti delavcev (
  16. do
  17. člen ZDR-1), in od teh še posebej obveznosti do zavarovanja njihovih osebnih podatkov (
  18. člen ZVOP-1), je vseeno, ali to stori sam in z notranjimi sredstvi (npr. preko vaše službe za informatiko), ali pa to poveri zunanjemu izvajalcu. Seveda mora pred začetkom izvajanja zunanjega nadzora ustrezno pisno urediti vsa vprašanja pogodbene obdelave (
  19. člen ZVOP-1), med njimi zlasti namen, domet in, način preiskave, pa tudi ukrepe, s katerimi bo vršil nadzor nad delom zunanjega izvajalca (
  20. odst.
  21. odst.
  22. člena ZVOP-1). V kontekstu nadzora e-poštnega strežnika zavoljo preiskave konkretnih očitkov bo to praviloma pomenilo, da se bo zunanji izvajalec omejil zgolj na e-poštne predalnike določenih oseb (osumljenih zaposlenih), da se bo striktno izogibal pregleda e-pošte, ki je ustrezno in jasno označena kot zasebna (glej mnenje IP št. 0712-1/2015/1580 z dne 5.06.2015[6]), ter da bo vse svoje aktivnosti ustrezno zapisniško in tehnično dokumentiral. V tem smislu lahko izbira zunanjega izvajalca, zlasti, če gre za podjetje, ki je posebej izkušeno ali celo certificirano za izvajanje takšne dejavnosti, znatno pripomore k kredibilnosti izvedenega pregleda in s tem tudi njegovih ugotovitev.S pozdravi,Informacijski pooblaščenec:Mojca Prelesnik, univ.dipl.prav.,pooblaščenkaPripravil:Igor Kolar, informatik IP [1] Glej npr. 219.a člen Zakona o kazenskem postopku (Uradni list RS, št. 32/12, uradno prečiščeno besedilo; ZKP-UPB8). [2] Zakon o pravdnem postopku (Uradni list RS, št. 73/07 – uradno prečiščeno besedilo, s spremembami in dopolnitvami; ZPP) npr. omogoča podajo predloga za zavarovanje dokazov za namen pravdnega postopka. [3] https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/odlocbe-in-mnenja-varstvo-osebnih-podatkov/?tx_jzvopdecisions_pi1%5BshowUid%5D=2505&cHash=06eb439c509ebbf71dea666ccbd01444 [4] https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/odlocbe-in-mnenja-varstvo-osebnih-podatkov/?tx_jzvopdecisions_pi1[showUid]=2334&cHash=b53160d01ba8ae95162b3c87a9846741 [5] https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/odlocbe-in-mnenja-varstvo-osebnih-podatkov/?tx_jzvopdecisions_pi1%5BshowUid%5D=2037&cHash=94f9418708eb75b9de7a12a4b11a0bba [6] https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/odlocbe-in-mnenja-varstvo-osebnih-podatkov/?tx_jzvopdecisions_pi1[showUid]=2584&cHash=18a999f908a44a1007c59404e38f512b. O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.