Posredovanje dokumentov zaposlenim po e-pošti - IPRS

Posredovanje dokumentov zaposlenim po e-pošti + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 25.03.2015 Številka: 0712-1/2015/878 Kategorije:Elektronska pošta --> Kategorije: Elektronska pošta Pooblaščenec (v nadaljevanju IP) je prejel vaše vprašanje, v katerem prosite za mnenje, ker vaš delodajalec želi uvesti posredovanje pomembnih dokumentov (kot na primer plačilne liste in podobno) po elektronski pošti. Pojasnjujete, da imate skupaj z vašimi sodelavci določeno stopnjo nezaupanja glede varovanja podatkov na spletu zaradi možnosti vdora v zbirke. Ugotavljate, da so na plačilni listi mnogi osebni podatki, tudi davčna številka. Zanima vas, ali nimate morda pravice do izbire, na kakšen način naj vam delodajalec posreduje za vas pomembne dokumente. Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. tč.
4. odst.
5. čl. Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Pri komunikaciji prek elektronske pošte v delovnem okolju je zaradi možnosti zlorab in nepooblaščenega dostopa, pri obdelavi osebnih podatkov potrebna posebna skrbnost. IP pojasnjuje, da je posredovanje osebnih podatkov prek elektronskih omrežij pod splošnimi pogoji dopustno. ZVOP-1 predpisuje dodatne zahteve za posredovanje t.i. občutljivih osebnih podatkov prek elektronskih omrežij. IP opozarja, da lahko določeni dokumenti, npr. plačilne liste, vsebujejo tudi občutljive osebne podatke, zato mora upravljavec zbirke osebnih podatkov (npr. delodajalec) za zakonito posredovanje teh podatkov zadostiti pogojem iz
7. odst.
8. čl. ZVOP-
9. V praksi IP dopušča, da se elektronska pošta, ki vsebuje občutljive osebne podatke, posreduje v kriptirani obliki z uporabo prosto dostopne programske opreme. Dokument, ki se posreduje prek elektronske pošte, pa mora biti zavarovan tudi z geslom, ki se naslovniku sporoči po drugem mediju (npr. osebno).Obrazložitev:Glede vašega vprašanja, če lahko delodajalec brez vaše privolitve zahteva, da vsi zaposleni uporabljate svoje službene elektronske naslove in nanje sprejemate pomembno dokumentacijo, IP ugotavlja, da to vprašanje ne spada v krog njegove stvarne pristojnosti. Kljub temu pojasnjujemo, da iz narave razmerja med delavcem in delodajalcem izhaja, da mora delavec ravnati v skladu z navodili svojega delodajalca, dokler so zahteve delodajalca dopustne.IP pa je na podlagi
10. tč.
11. odst.
12. čl. ZVOP-1 pristojen za pojasnjevanje, v katerem primeru je pošiljanje osebnih podatkov po elektronski pošti dopustno. Ker iz vaše prošnje za pojasnilo ne izhaja katere podatke namerava vaš delodajalec posredovati po elektronski pošti, niti ali je vaš delodajalec subjekt, zasebnega ali javnega sektorja, uvodoma podajamo nekaj splošnih pojasnil glede pravnih podlag za obdelavo osebnih podatkov.IP poudarja, da ZVOP-1 predstavlja konkretizacijo pravice do varstva osebnih podatkov, ki je opredeljena z
13. členom Ustave Republike Slovenije. Z omenjenim členom je določeno, da je zagotovljeno varstvo osebnih podatkov, pri čemer je prepovedana uporaba osebnih podatkov v nasprotju z namenom njihovega zbiranja. Zbiranje, obdelovanje, namen uporabe, nadzor in varstvo tajnosti osebnih podatkov določa zakon. Vsakdo ima pravico seznaniti se z zbranimi osebnimi podatki, ki se nanašajo nanj, in pravico do sodnega varstva ob njihovi zlorabi. IP uvodoma pojasnjuje, da je po
14. tč.
15. čl. ZVOP-1 upravljavec osebnih podatkov fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. V zvezi s tem velja omeniti, da v skladu s
16. tč.
17. čl. ZVOP-1 pomeni obdelava osebnih podatkov kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, zlasti zbiranje, pridobivanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago. Pravna podlaga za obdelavo osebnih podatkov je v ZVOP-1 na splošno urejena v
18. čl., ki pravi, da se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Določena pa je tudi posebna ureditev za obdelavo osebnih podatkov za zasebni in javni sektor.Pravna podlaga za obdelavo osebnih podatkov v javnem sektorju, je določena z
19. členom ZVOP-
21. odst.
22. čl. ZVOP-1 določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Ne glede na to se lahko skladno s
23. odst. istega člena v javnem sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s takšno obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Obdelavo osebnih podatkov v zasebnem sektorju pa ureja
24. čl. ZVOP-1, ki v
25. odstavku določa, da se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Ne glede na to se lahko skladno s
26. odst. istega člena v zasebnem sektorju obdelujejo osebni podatki, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki.V zvezi s posredovanjem občutljivih osebnih podatkovZgoraj opisane podlage veljajo, ko vaš delodajalec posreduje različne osebne podatke, ki ne spadajo med občutljive osebne podatke. Občutljivi osebni podatki zaradi svoje občutljive (subtilne) narave spadajo na področje, kjer je prepisano posebno varstvo. Iz plačilnih list bi na primer lahko izhajalo tudi članstvo v sindikatu, ki se šteje za občutljivi osebni podatek. Občutljivi osebni podatki so na podlagi
27. tč.
28. čl. ZVOP-1 opredeljeni kot podatki o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenske evidence ali evidenc, ki se vodijo na podlagi zakona, ki ureja prekrške; občutljivi osebni podatki so tudi biometrične značilnosti, če je z njihovo uporabo mogoče določiti posameznika v zvezi s kakšno od prej navedenih okoliščin.Za obdelavo občutljivih osebnih podatkov
29. člen ZVOP-1 določa osem pravnih podlag, ki dopuščajo obdelavo občutljivih osebnih podatkov. Slednje pomeni, da morajo upravljavci osebnih podatkov (v konkretnem primeru vaš delodajalec), da imajo sploh možnost obdelave takšnih podatkov, zadostiti vsaj enemu od kriterijev predvidenih v
30. členu ZVOP-
31. Navedena podlaga omogoča vsebinsko obdelavo podatkov (določi kdo lahko takšne podatke obdeluje in kaj lahko z njimi počne).Zaradi opisane narave občutljivih osebnih podatkov, pa iz
32. člena ZVOP-1 izhajajo tudi posebna pravila za način obdelave navedenih podatkov.
33. odst.
34. čl. zahteva, da morajo biti občutljivi osebni podatki pri obdelavi posebej označeni in zavarovani tako, da se nepooblaščenim osebam onemogoči dostop do njih, razen v primeru iz
35. tč.
36. čl. tega zakona.
37. odst. navedenega člena pa zaradi specifičnosti komunikacije prek telekomunikacijskih omrežij posebej ureja še prenos občutljivih osebnih podatkov prek telekomunikacijskih omrežij (elektronske pošte), kjer se šteje, da so podatki ustrezno zavarovani, če se posredujejo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom. Pogoji iz
38. odstavka
39. člena se nanašajo na