Pregled revizijskih dnevnikov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.09.2021 Številka: 07120-1/2021/507 Kategorije: --> Kategorije: Elektronska pošta, Delovna razmerja, Pravne podlage Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede pregleda revizijskih dnevnikov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. IP uvodoma nadalje pojasnjuje, da določba prvega odstavka 37. člena Ustave RS (Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami) zagotavlja tajnost pisem in drugih občil. Varovana je torej primarno vsebina komunikacij. Vprašanje, ali je tega strogega varstva deležna še kakšna druga okoliščina, ki spremlja komunikacijo, je obravnavalo Ustavno sodišče v odločbi številka Up-106/05, v kateri je zavzelo stališče, da poseg v svobodo komuniciranja ni dovoljen brez predhodnega dovoljenja sodišča. Ustavno sodišče je zapisalo, da na področje komunikacijske zasebnosti sodijo v prvi vrsti podatki, ki se nanašajo na vsebino sporočila, ter v nadaljevanju izpostavilo, da je v teoriji zastopano stališče, da ni varovana zgolj vsebina komunikacije, temveč tudi okoliščine in dejstva, povezana s komunikacijo. Med te okoliščine in dejstva prav gotovo sodijo tudi prometni podatki, torej podatki o tem, kdo je komuniciral, kdaj in s kom, morda pa tudi druge okoliščine, kot je npr. vrsta uporabljene komunikacije. Nadalje drugi odstavek 37. člena Ustave RS določa, da lahko samo zakon predpiše, da se na podlagi odločbe sodišča za določen čas ne upošteva varstvo tajnosti pisem in drugih občil in nedotakljivost človekove zasebnosti, če je to nujno za uvedbo ali potek kazenskega postopka ali za varnost države. Kot je razvidno iz navedene določbe, je poseg v komunikacijsko zasebnost načeloma dovoljen samo, če so izpolnjeni v tej določbi navedeni kumulativni pogoji. To pomeni, da sme upravičena oseba (tudi vaše ministrstvo) obravnavane podatke o elektronskih sporočilih pridobiti le pod strogimi pogoji, in sicer, če za to obstaja podlaga v zakonu, je to nujno za potek kazenskega postopka, in je za pridobitev podatkov izdana odredba sodišča. Splošno delodajalec načeloma torej nima pravne podlage za vpogled v vsebino elektronske pošte zaposlenega niti za vpogled v prometne podatke. Vendar pa delodajalec lahko vnaprej opredeli (v notranjih aktih, npr. pravilniku) in pisno obvesti zaposlene, v katerih izrednih primerih in pod katerimi strogimi pogoji ter po kakšnem postopku lahko izjemoma vpogleda v prometne podatke. Seveda morajo biti takšni razlogi taksativni in izjemni, zato bi bilo v takšnih primerih potrebno presojati vsak primer posebej. Predhodna obveščenost zaposlenih delavcev tako sama po sebi še ne pomeni, da je nadzor nad službenimi sredstvi dopusten in je tako potrebni, ne pa nujno tudi zadostni pogoj za zakonitost nadzora uporabe delovnih sredstev, ki vključuje obdelavo osebnih in/ali komunikacijskih podatkov. Bistveno je tudi, da je nadzor oziroma vpogled dopusten le izjemoma v primeru, ko se namenov, zaradi katerih se pregled opravi, ne more doseči na drug, milejši način, torej z manjšim posegov v delavčevo zasebnost. IP nadalje pojasnjuje, da je pravna podlaga za obdelavo osebnih podatkov v javnem sektorju, kamor sodi tudi vaš organ, podana v 9. členu ZVOP-1, ki v prvem odstavku določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi tudi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Čeprav ZVOP-1 razlikuje med javnim in zasebnim sektorjem, je področje delovnega prava specialno urejeno za oba sektorja v posebnih zakonih, predvsem v Zakonu o delovnih razmerjih (ZDR-1; Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 - ZIUPOPDVE, 119/21 - ZČmIS-
- a)in Zakonu o evidencah na področju dela in socialne varnosti (ZEPDSV; Uradni list RS, št. 40/06). Zaradi izrazite neenakosti moči strank v delovnopravnih razmerjih oziroma zaradi varstva delavca, ki je v razmerju do delodajalca zagotovo šibkejša stranka, je zakonodajalec to področje uredil strožje, zaradi česar na tem področju praviloma niti v zasebnem sektorju ne dopušča avtonomije strank v smislu, da bi delodajalec lahko brez podlage v zakonu od delavca zahteval katerekoli osebne podatke ali jih obdeloval na drugi pravni podlagi (npr. privolitev, pogodba, …). Delavec lahko namreč tudi na delovnem mestu utemeljeno pričakuje določeno stopnjo zasebnosti, delodajalec pa mora v skladu s 46. členom ZDR-1 varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost. Glede obdelave osebnih podatkov delavcev veljajo načeloma enaka pravila za delodajalce v zasebnem in javnem sektorju, pri čemer so za ugotavljanje zakonitosti konkretne obdelave pomembni posamezni področni predpisi. ZDR-1 v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje v tretjem odstavku 48. člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati. Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravic in obveznosti obeh, tako delavca kot delodajalca. Delodajalec mora natančno izkazati, za kaj takšne osebne podatke potrebuje. Če okoliščine delovnega razmerja tega ne terjajo oziroma če delodajalec ne izkaže, da je obdelava osebnih podatkov delavca potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih ne sme obdelovati. Pri presoji mora delodajalec vedno izhajati iz načela najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave. Pri izvedbi posameznih postopkov in ukrepov je torej treba vedno upoštevati tudi načelo sorazmernosti in vedno izbrati tisti ukrep, ki najmanj poseže v pravice zaposlenega glede na zasledovani zakoniti cilj. Posameznih ukrepov torej ne bi smeli odrejati, če je mogoče primerljiv učinek doseči z milejšimi ukrepi. Če se na ravni posameznega delodajalca določen ukrep opredeli kot nujen, potreben in učinkovit, pa ga je treba izvajati na način, ki najmanj posega v telo in zasebnost posameznika in brez prekomerne obdelave osebnih podatkov. IP ponavlja, da zaposleni tudi na delovnem mestu upravičeno pričakuje določeno stopnjo zasebnosti. Ob tem IP izpostavlja, da mora delodajalec v skladu s 24. in 25. členom ZVOP-1 ter 32. členom Splošne uredbe o varstvu podatkov zagotoviti ustrezne tehnične in organizacijske postopke in ukrepe, s katerimi bo preprečil nepooblaščeno obdelavo, uničenje, izgubo ali spremembo osebnih podatkov. V svojih aktih mora predpisati postopke in ukrepe za zavarovanje osebnih podatkov in določiti osebe, ki so odgovorne za posamezne zbirke osebnih podatkov. Upravljavec (v konkretnem primeru vaš organ kot delodajalec) mora torej sorazmerno natančno predpisati postopke in ukrepe, s katerimi bo varoval (med drugim tudi) elektronsko pošto zaposlenih. Uporaba informacijskih tehnologij na delovnem mestu in pravice delodajalca do nadzora njihove rabe v zakonodaji nista izrecno regulirana. Ob tem pa je vsekakor treba upoštevati predpisane interne postopke in ukrepe za zavarovanje, ki veljajo pri delodajalcu, katerih pa, kot omenjeno, IP ne more presojati izven inšpekcijskega postopka. Ob tem IP ponovno poudarja, da je varovanje tajnosti komunikacij določeno že z ustavo in se vanjo načeloma lahko posega le na podlagi sodne odredbe. IP sklepno pojasnjuje, da je o vprašanjih glede uporabe službenih sredstev in relacije delodajalec - zaposleni v povezavi s podatki na službenih sredstvih obširno pisal v smernicah Varstvo osebnih podatkov v delovnih razmerjih. Vse relevantne informacije v zvezi z elektronsko pošto boste našli na straneh 21-26. Smernice so dostopne na spletni strani IP: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_Varstvo_OP_v_delovnih_razmerjih_verzija_1.1_koncna.pdf S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026