Pridobitev varnostne kopije elektronske pošte v poslovnem okolju + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 16.09.2022 Številka: 07121-1/2022/980 Kategorije: --> Kategorije: Delovna razmerja, Elektronska pošta Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vprašanje in sicer vas zanima, kakšne so pravne podlage za pridobitev varnostne kopije elektronske pošte v poslovnem okolju? Kot primer navajate, da delodajalec naredi "varnostno kopijo" elektronske pošte iz oblačnih storitev določenega ponudnika s posebnimi orodji na svoje strežnike? Zanima vas, ali je takšen postopek v skladu z GDPR in kakšen je postopek v primeru ugotovitve, da delodajalec prebira elektronsko pošto v teh elektronskih predalih? Kot vsi vemo, se elektronska pošta velikokrat prepleta tako s poslovno kakor tudi s privatno naravo dela. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Glede na to, da gre pri elektronski pošti za ustavno varovano komunikacijsko zasebnost, bi morali biti za poseg vanjo izpolnjeni pogoji iz
- člena Ustave RS, brez sodne odredbe, kot sicer le enega izmed teh pogojev, je poseganje v predale elektronske pošte drugih oseb sporno. O b r a z l o ž i t e v: IP uvodoma poudarja, da so na spletni strani IP na voljo smernice glede varstva osebnih podatkov v okviru delovnih razmerij, ki dajejo odgovore na številna vprašanja povezavi z delovnimi razmerji. Dostopne so na tej povezavi: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/varstvo-osebnih-podatkov-v-delovnih-razmerjih. Kot smo pojasnili v smernicah ob hitro razvijajoči se tehnologiji postaja vprašanje zasebnosti na delovnem mestu vse bolj kompleksno. Meja pristojnosti delodajalca in svobode delavca izrecno (še) ne ureja noben zakon, zato na splošno velja, da je delodajalec dolžan cilj, ki ga zasleduje (čim bolj racionalno izrabo delovnega časa in delovnih sredstev za doseganje poslovnih rezultatov), podpreti s čim manj invazivnimi in represivnimi ukrepi. Vsaka oblika nadzora, ki pomeni poseg v pravico do zasebnosti, mora biti bodisi vnaprej utemeljena in transparentno predstavljena zaposlenim v internih aktih podjetja (v kakšnih primerih, na kakšen način in kdo ga lahko izvaja) bodisi imeti zakonsko podlago ter biti skladna z ustavnimi določili glede varstva zasebnosti. Ključni element sodne prakse Evropskega sodišča za človekove pravice (ESČP) je namreč v tem, da je sodišče oblikovalo standard utemeljenosti pričakovanja zasebnosti delavcev na delovnem mestu. Pri tem je pomembno, ali lahko zaposleni subjektivno in objektivno v določenih okoliščinah predvidi oblike nadzora. Torej ali je bil vnaprej natančno seznanjen s tem, kaj, kdaj in v kakšnem obsegu je lahko predmet nadzora. Sama opredeljenost nadzora v internih aktih pa še ne pomeni, da je vsak tak nadzor tudi dopusten – predhodna obveščenost zaposlenih je tako potrebni, ne pa nujno tudi zadostni pogoj za zakonitost nadzora uporabe delovnih sredstev, ki vključuje obdelavo osebnih in/ali komunikacijskih podatkov. Delodajalec mora delavcu vnaprej v internih aktih predstaviti meje pričakovane zasebnosti pri uporabi delovnih sredstev, pri čemer mora upoštevati, da je absolutna prepoved uporabe službenih sredstev v zasebne namene nerealna in zato nesprejemljiva rešitev, temu smiselno pa tudi absolutna prepoved uporabe zasebnih sredstev med delovnim časom. Zgoraj navedeno veja tudi za vprašanja ureditve uporabe e-pošte v podjetjih – priporočljivo je, da podjetja v svojih internih aktih (politikah, pravilnikih) opredelijo (med drugim): · Pravila glede dopustnosti uporabe službene e-pošte v zasebne namene (glede na sodno prasko je absolutna prepoved uporabe službenih predalov e-pošte v zasebne namene nerealna in se običajno dopušča sorazmerna uporaba tudi v zasebne namene.
- odst. 36 . člena Uredbe o informacijski varnosti v državni upravi (Uradni list RS, št. 29/18 in 131/20; UIV) tako primerjalno gledano določa, da so informacijske naprave organa namenjene za službeno uporabo. Izjemoma se lahko uporabljajo za zasebne namene, vendar taka uporaba ne sme povzročiti dodatnih stroškov, ovirati uporabe za službene namene in ogrožati informacijske varnosti. Podrobneje za e-pošto pa določa
- odstavek
- člena UIV, ki določa, da je sistem elektronske pošte organa namenjen za službeno uporabo; uporaba za druge namene je dopustna le izjemoma, če ne ogroža varnosti informacijskega sistema organa, ne ovira službene uporabe sistema elektronske pošte in ne zmanjšuje učinkovitosti dela drugih uslužbencev organa. · Postopek izdelav varnostnih kopij e-pošte (vključno z opredelitvijo odgovornosti, razdelitev vlog in odgovornosti med uporabnike in IT podporo, postopki rednega pregledovanja ustreznosti varnostnih kopij itd.); · Roke hrambe varnostnih kopij in pravice dostopa do varnostnih kopij; · Postopke v primeru prenehanja delovnega razmerja oziroma v primeru daljših odsotnosti (npr. rok hrambe predalov e-pošte, deaktivacija samega predala ob odhodu, primopredajni postopek, nastavitev avtomatskih odzivnikov za določen in opredeljen čas). Samo vprašanje, ali oziroma pod kakšnimi pogoji sme delodajalec prebirati elektronsko pošto zaposlenih pa ni stvar internih aktov, temveč je pri tem treba upoštevati Ustavo RS, relevantno evropsko in nacionalno zakonodajo ter sodno in nadzorno prakso. Če poskusimo navedeno povzeti v ključne točke glede e-pošte, tako za aktivne predale kot za varnostne kopije predalov e-pošte velja: · zaposleni morajo biti vnaprej jasno in natančno obveščeni o morebitnem nadzoru elektronske pošte, vključno z zgoraj navedenimi določbami glede delovanja, uporabe in varnostnega kopiranja podatkov, npr. z določbami internih aktov, ki pa ne smejo biti v nasprotju z zakoni in ustavo; · dopustno je tehnično omejevanje e-pošte vnaprej (npr. spam filtri, določitev kvot na predalih, omejitve glede dopustnih formatov in velikost priponk), ni pa dopustno pregledovanje vsebine predalov e-pošte drugih oseb niti z njo povezanih prometnih podatkov (podatki o prejeti/poslani e-pošti) izven nujnih opravil za zagotavljanje samega delovanja, varnosti in vzdrževanja poštnih strežnikov; · glede na to, da gre pri elektronski pošti za ustavno varovano komunikacijsko zasebnost, bi morali biti za poseg vanjo izpolnjeni pogoji iz
- člena Ustave RS, brez sodne odredbe, kot sicer le enega izmed teh pogojev, je poseganje v predale elektronske pošte drugih oseb sporno; · sodna in nadzorna praksa kaže, da je nedopustno preusmerjanje e-pošte na druge predale (več o tem: https://www.ip-rs.si/novice/6051f21930eff), podobno prepoved (za državne organe) določa
- odst.
- člena UIV. Glede vašega vprašanja, kaj storiti, če delodajalec prebira elektronsko pošto zaposlenih, menimo, da gre – če niso izpolnjeni pogoji, ki bi nakazovali drugače - lahko celo za storitev kaznivega dejanja kršitve tajnosti občil po
- členu Kazenskega zakonika. V sodni praksi je znan primer, ko je bil posameznik obsojen za storitev več kaznivih dejanj, ker je z uporabo gesel nekdanjih sodelavcev prebiral vsebino njihovih službenih predalov elektronske pošte. S spoštovanjem, Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026