Programska oprema za spremljanje aktivnosti zaposlenih na delovnih mestih (računalnikih) + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.05.2022 Številka: 07121-1/2022/488 Kategorije: --> Kategorije: Delovna razmerja, Elektronska pošta, Moderne tehnologije Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis, v katerem nas naprošate za mnenje in sicer glede programske opreme za spremljanje aktivnosti zaposlenih na delovnih mestih (računalnikih). Ste del ameriške korporacije, ki v letošnjem letu želi takšno programsko opremo razširiti tudi v Evropske države, med njimi tudi v Slovenijo. Glavni namen spremljanja dejavnosti zaposlenih je odkrivanje morebitnih groženj ter preprečitev »izvoza« zaupnih podatkov, s čimer želijo ohraniti varnost vaših podatkov in poslov. Sam program, ki navedeno spremlja, se v veliki meri zanaša na avtomatizirano spremljanje na ravni metapodatkov, ki ga izvaja programska oprema. V predstavitvi programa je navedeno, da bo dostop do zajetih osebnih podatkov le, v kolikor bo vnaprej določen sprožilec opozoril na notranjo grožnjo ali pa bo zoper določeno osebo začeta preiskava. Podrobnejše spremljanje posameznika in njegove aktivnosti bo, po njihovih navedbah uvedeno le, če bodo doseženi določeni pragovi za preiskavo. Zbiralo in analiziralo bi se naslednje kategorije zasebnih podatkov, kadar bodo zaposleni uporabljali službene računalnike: Končni podatki, vključno z imenom računa, imenom računalnika, e-poslovnim naslovom družbe, imenom domene, aktivno dodeljeno skupino direktorijev, datumom/časom dostopov do računalnika, IP naslovom in geografsko regijo IP. Aktivnost datotek, vključno z datumom/časom aktivnosti datotek, identifikacijskimi oznakami za družbo občutljivih ključnih besed in dnevniki kopiranja, spletnega nalaganja, spletnega prenašanja, preimenovanja in brisanja datotek. Aktivnost aplikacije, vključno z datumom/uro aktivnosti aplikacije, kot tudi imenom, naslovom in vrsto aplikacije. Povezane naprave, vključno z oznako, prodajalcem, serijsko številko datumom/uro povezave, imeni datotek, uvoženih iz naprave ali datotek izvoženih v napravo. Brskanje po spletu, vključno z URL naslovi spletnih mest, imeni spletnih mest, datumom/uro dostopa, kategorijo spletne strani in naslovom okna brskalnika. E-poštna aktivnost, vključno z imenom in velikostjo prilog, imenom in e-poštnim naslovom prejemnika, imenom pošiljatelja in e-pošte, uro in datumom pošiljanja/prejema, naslovno vrstico. Zaslonska aktivnost, v določenih primerih, kjer se vnaprej ugotovi, da so bili doseženi pragi in kjer zadevni sodelavci presodijo, da je to skladno z veljavnim zakonom, se lahko aktivnost posameznika na zaslonu snemajo in spremljajo, kar ima za posledico zbiranje zasebnih podatkov, ki so vidni na zaslonu v tem času, in podrobnih informacij o interakciji posameznika z opremo. Aktivnost tipkanja (spremljanje tipkanja), v nekaterih primerih, kjer se vnaprej ugotovi, da so bili pragi doseženi in kjer zadevni sodelavci presodijo, da je to skladno z veljavnim zakonom, se lahko aktivnosti tipkanja posameznika snemajo in spremljajo, kar ima za posledico zbiranje zasebnih podatkov, ki se jih vtipka s fizično ali virtualno tipkovnico, ne glede na to, ali se sporočilo shrani, predloži, pošlje ali prenese v splet. Z ameriško družbo ste se dogovorili, da programa v Sloveniji ne bodo implementirali, dokler ne pridobite mnenja IP, ali je implementacija vsega navedenega v skladu z našim Zakonom o varstvu osebnih podatkov in GDPR določili. Upoštevaje pravico do zasebnosti na delovnem mestu se vam namreč poraja dvom v zakonske osnove za spremljanje vseh navedenih aktivnosti, še posebej spremljanja zaslonske aktivnosti in aktivnosti tipkanja. Prav tako se vam poraja vprašanje, ali so določila, katere aktivnosti se bodo neprestano spremljale (pri katerih uporabnikih) in pri katerih uporabnikih se bo izvajalo razširjeno spremljanje dovolj natančno opredeljena. Prosite nas za mnenje, ali je implementacija navedenega programa v skladu s slovensko zakonodajo. V kolikor je dovoljena samo delna implementacija pa prosite za pojasnilo, katere aktivnosti lahko uvedete in katere ne. Uporaba funkcionalnosti programske opreme za nadzor nad zaposlenimi, kot je spremljanje zaslonske aktivnosti, aktivnosti tipkanja, spremljanje brskanja po spletu (vključno z URL naslovi spletnih mest, imeni spletnih mest, datumom/uro dostopa, kategorijo spletne strani in naslovom okna brskalnika) ter spremljanje e-poštne aktivnosti (vključno z imenom in velikostjo prilog, imenom in e-poštnim naslovom prejemnika, imenom pošiljatelja in e-pošte, uro in datumom pošiljanja/prejema, naslovno vrstico) bi glede na normativno ureditev in sodno prakso bila zelo sporna in v neskladju z načelom sorazmernosti, pri čemer je treba upoštevati konkretne okoliščine. Informacijski pooblaščenec v okviru nezavezujočih mnenj ne more presojati ustreznosti konkretnih programskih rešitev in/ali njihovih funkcionalnosti, temveč se lahko njihova zakonitost presoja le v okviru inšpekcijskega postopka. O b r a z l o ž i t e v: Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da v okviru nezavezujočih mnenje ne more presojati ustreznosti konkretnih programskih rešitev in/ali njihovih funkcionalnosti, temveč se lahko njihova zakonitost presoja le v okviru inšpekcijskega postopka. Glede na navedeno vas v nadaljevanju lahko opozorimo, na kaj morate biti pozorni. Kot tudi sami ugotavljate so nekatere od predvidenih funkcionalnosti zelo invazivne z vidika zagotavljanja varstva osebnih podatkov in pričakovane zasebnosti na delovnem mestu. Tu v prvi vrsti izpostavljamo spremljanje zaslonske aktivnosti, aktivnosti tipkanja, spremljanje brskanja po spletu (vključno z URL naslovi spletnih mest, imeni spletnih mest, datumom/uro dostopa, kategorijo spletne strani in naslovom okna brskalnika) ter spremljanje e-poštne aktivnosti (vključno z imenom in velikostjo prilog, imenom in e-poštnim naslovom prejemnika, imenom pošiljatelja in e-pošte, uro in datumom pošiljanja/prejema, naslovno vrstico). Glede na normativno ureditev in sodno prakso menimo, da bi bila uporaba teh funkcionalnosti zelo sporna in v neskladju z načelom sorazmernosti. Zavedati se je namreč treba, da je pristop glede varovanja zasebnosti na delovnem mestu v ZDA, kjer zaposleni praviloma ne uživajo pravice do zasebnosti na delovnem mestu, precej drugačen od pristopa v EU, kjer pravice zaposlenih varujejo konvencije, zakonodaja in sodna praksa. V EU se je skozi navedeno uveljavil koncept pričakovane zasebnosti na delovnem mestu in tehtanje med pravicami delodajalca ter zaposlenih, kot je razvidno iz številnih sodb Evropskega sodišča za človekove pravice (ESČP) in drugih sodišč, npr.: Evropsko sodišče za človekove pravice v primeru Halford proti Veliki Britaniji iz leta 1997 v zvezi s kršitvijo
- člena Evropske konvencije o človekovih pravicah), Kasacijsko sodišče Francije v primeru Societe Nikon France, SA v. Onof iz leta 2001, Kasacijsko sodišče Francije v primeru Bruno B v. Giraud et Migot, 2009, Kasacijsko sodišče Francije v primeru Monsieur X, 2013, Evropsko sodišče za človekove pravice - primer Barbulescu proti Romuniji, 2016 (št. 61496/08), Priporočila o varstvu osebnih podatkov v zvezi z zaposlovanjem je podal tudi Svet ministrov EU v Priporočilu o varstvu osebnih podatkov v zvezi z zaposlovanjem (CM/Rec/2015/5), 1.4.2015, ki je dostopno na: https://wcd.coe.int/ViewDoc.jsp?Ref=CM/Rec%282015%295&Language=lanEnglish&Ver=original&Site=CM&BackColorInternet=DBDCF2&BackColorIntranet=FDC864&BackColorLogged=FDC
- Več o nadzoru zaposlenih na delovnem mestu ob uporabi službenih sredstev si lahko preberete v smernicah IP o varstvu osebnih podatkov v delovnih razmerjih (glejte zlasti poglavje o nadzoru na delovnem mestu), ki so dostopne na: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/varstvo-osebnih-podatkov-v-delovnih-razmerjih. Posebej priporočamo, da si preberete poglavja o nadzoru elektronske pošte, telefonov, interneta in uporabe tiskalnikov. V smernicah smo izpostavili naslednje pomembne točke: Gre za kolizijo dveh pravic, in sicer lastninsko pravico delodajalca in delavčevo pravico do zasebnosti, nobena od teh ni absolutna in treba je v vsakem konkretnem primeru iskati primerno in čim manj invazivno rešitev glede na dane okoliščine. Delodajalec ima namreč pravico do oblasti nad svojimi sredstvi in pravico, da nadzira, ali je ta oprema uporabljena skladno z namenom, za katerega je bila zaposlenemu dana v uporabo, delavec pa lahko utemeljeno pričakuje določeno stopnjo zasebnosti na delovnem mestu, kar izhaja že iz
- člena ZDR-
- Ta določa, da delodajalec varuje in spoštuje delavčevo osebnost ter upošteva in ščiti njegovo zasebnost. Slednje izhaja tudi iz sodne prakse Evropskega sodišča za človekove pravice (ESČP; primeri: Halford v. Združeno kraljestvo, Copland v. Združeno kraljestvo). Ob hitro razvijajoči se tehnologiji postaja vprašanje zasebnosti na delovnem mestu vse bolj kompleksno. Meja pristojnosti delodajalca in svobode delavca izrecno (še) ne ureja noben zakon, zato na splošno velja, da je delodajalec dolžan cilj, ki ga zasleduje (čim bolj racionalno izrabo delovnega časa in delovnih sredstev za doseganje poslovnih rezultatov), podpreti s čim manj invazivnimi in represivnimi ukrepi. Vsaka oblika nadzora, ki pomeni poseg v pravico do zasebnosti, mora biti bodisi vnaprej utemeljena in transparentno predstavljena zaposlenim v internih aktih podjetja (v kakšnih primerih, na kakšen način in kdo ga lahko izvaja) bodisi imeti zakonsko podlago ter biti skladna z ustavnimi določili glede varstva zasebnosti. Ključni element sodne prakse ESČP je namreč v tem, da je sodišče oblikovalo standard utemeljenosti pričakovanja zasebnosti delavcev na delovnem mestu. Pri tem je pomembno, ali lahko zaposleni subjektivno in objektivno v določenih okoliščinah predvidi oblike nadzora. Torej ali je bil vnaprej natančno seznanjen s tem, kaj, kdaj in v kakšnem obsegu je lahko predmet nadzora. Sama opredeljenost nadzora v internih aktih pa še ne pomeni, da je vsak tak nadzor tudi dopusten – predhodna obveščenost zaposlenih je tako potrebni, ne pa nujno tudi zadostni pogoj za zakonitost nadzora uporabe delovnih sredstev, ki vključuje obdelavo osebnih in/ali komunikacijskih podatkov. Delodajalec mora delavcu vnaprej v internih aktih predstaviti meje pričakovane zasebnosti pri uporabi delovnih sredstev, pri čemer mora upoštevati, da je absolutna prepoved uporabe službenih sredstev v zasebne namene nerealna in zato nesprejemljiva rešitev. Delodajalci bi morali najprej premisliti, ali in v kakšnem obsegu sploh lahko rešujejo upravljavske in kadrovske težave s tehnološkimi ukrepi. Blokade spletnih strani, nadzor e-pošte in druge oblike ukrepov namreč same po sebi ne bodo rešile težav z zaposlenimi, ki ne opravljajo svojega dela. O nadzoru zaposlenih na delovnem mestu smo že izdali tudi večje število mnenj, zato vam priporočamo, da si jih ogledate na naši spletni strani, med drugim bi izpostavili: Nadzor službenega računalnika v delovnem času (mnenje št.: 07121-1/2020/1052, https://www.ip-rs.si/mnenja-gdpr/nadzor-slu%C5%BEbenega-ra%C4%8Dunalnika-v-delovnem-%C4%8Dasu), Vzpostavitev aplikacije za merjenje aktivnosti zaposlenih (mnenje št.: 07120-1/2021/360, https://www.ip-rs.si/mnenja-gdpr/vzpostavitev-aplikacije-za-merjenje-aktivnosti-zaposlenih-1644399060), Aplikacija za nadzor nad delom na službenem računalniku (mnenje št.: 07121-1/2020/851, https://www.ip-rs.si/mnenja-gdpr/6048a57a361d8), Uporaba aplikacije za spremljanje dela na domu (mnenje št.: 07121-1/2020/523, https://www.ip-rs.si/mnenja-gdpr/6048a57a32116), Pregled službenega računalnika (mnenje št.: 0712-1/2015/1621, https://www.ip-rs.si/mnenja-zvop/pregled-slu%C5%BEbenega-ra%C4%8Dunalnika), Ločevanje zasebne in poslovne elektronske pošte mnenje št.: 0712-1/2015/1580, https://www.ip-rs.si/mnenja-zvop/lo%C4%8Devanje-zasebne-in-poslovne-elektronske-po%C5%A1te), Nadzor nad elektronsko pošto in spletnim prometom (mnenje št.: 0712-1/2014/2889, https://www.ip-rs.si/mnenja-zvop/nadzor-nad-elektronsko-po%C5%A1to-in-spletnim-prometom), Vpogled v elektronsko pošto zaposlenega (mnenje št.: 0712–2/2010/418, https://www.ip-rs.si/mnenja-zvop/vpogled-v-elektronsko-po%C5%A1to-zaposlenega). S spoštovanjem, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026