Uporaba oddaljenega dostopa in administracija službene elektronske pošte - IPRS

Uporaba oddaljenega dostopa in administracija službene elektronske pošte + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.03.2015 Številka: 0712-1/2015/580 Kategorije:Elektronska pošta, Zavarovanje osebnih podatkov --> Kategorije: Elektronska pošta, Zavarovanje osebnih podaktov Informacijski pooblaščenec je prejel vaš dopis, v njem izpostavljate dva problemska sklopa in prosite za ustrezno rešitev, ki bi bila skladna z zahtevami zakonodaje o varstvu osebnih podatkov. Prvič, navajate da trenutno uporabljate sistem za oddaljen dostop do delovnih postaj, ki se vam ne zdi ustrezen, saj informatiku omogoča dostop do delovnih postaj brez predhodne privolitve zaposlenih. In drugič, informatik oz. odgovorna oseba za informacijski sistem razpolaga z gesli za dostop do predalov elektronske pošte, ta gesla je predala zaposlenim, vendar pa jih ni obvestila naj jih zamenjajo. Prav tako naj bi ponudnik elektronske pošte na zahtevo prej omenjene osebe tej kadarkoli lahko posredoval gesla od poštnih predalov uporabnikov. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke
4. odstavka
5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter
6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Točka 1:Posameznik ima v okviru evropske zakonodaje določeno pravico do zasebnosti tudi na delovnem mestu. Konkretno to pomeni, da delodajalec ne sme samovoljno pregledovati (vsebine) delovne postaje zaposlenega, ampak se to, če že, stori po določenem postopku. Običajno mora biti možnost vpogleda predpisana v pravilnikih, zaposleni prisoten, vpogled pa izveden, ko zaposleni poda privolitev oz. izrazi strinjanje. Pri tem je načeloma vseeno ali informatik izvede vpogled na licu mesta ali oddaljeno.Kako zapisano tolmačiti v praksi? Prvič, priporočljivo je, da se možnost nudenja oddaljene pomoči opredeli v internih pravilnikih organizacije. Drugič, zelo pomembno je, da se sistem oddaljene pomoči izvaja tako, da je ta mogoča šele takrat, ko zaposleni poda privolitev za tak vpogled, npr. tako, da mora uporabnik s klikom na določeno ikono ali nastavitev aktivno omogočiti informatiku dostop do svoje delovne postaje. Dostop do delovnih postaj uporabnikov brez njihove vednosti vsekakor odsvetujemo. To je v osnovi zelo preprosto, gre za vprašanje izbire klienta (programske rešitve na strani uporabnika) za oddaljeno pomoč oz. ustrezne nastavitve že obstoječega klienta. Prav mora imeti uporabnik možnost, da oddaljeno sejo kadarkoli prekine. Na ta način se lahko odpravijo dvomi glede morebitnih nedopustnih posegov informatikov na delovnih postajah uporabnikov..Točka 2:Treba se je zavedati, da informatik oz. odgovorna oseba, ki razpolaga s poštnim strežnikom oz. upravlja administratorski vmesnik za elektronsko pošto zaposlenih zaradi svojega položaja neizbežno predstavlja varnostno tveganje, saj ima običajno zaradi narave dela zelo širok dostop do računalniških sredstev in podatkov. Vsekakor je pomembno, da se možnost zlorab s strani teh oseb čim bolj zmanjša. Kaj pomeni to v vašem primeru? Prvič, gesla za elektronsko pošto naj informatik (ali druga pooblaščena oseba) preda zaposlenim osebno in to na tak način, da se z geslom seznani samo uporabnik (npr. v zaprti ovojnici ali po drugi varni poti). Drugič, obvesti naj jih oz. zahteva, da gesla od prvi prijavi spremenijo. To lahko stori tudi tako, da jim ob odprtju novega poštnega predala izroči obrazec, kjer je navedeno izvorno geslo in kjer je podana zahteva naj uporabnik geslo spremeni. Če ta tega kljub pisnemu opozorilu ne bo storil, informatik ne more nositi odgovornosti oz. je krivda na strani zaposlenega. Tretjič, elektronska pošta se iz strežnika do klienta na računalniku zaposlenega lahko prenaša prek dveh komunikacijskih protokolov, in sicer POP3 in IMAP. Z izbiro in konfiguracijo ustreznega protokola se lahko na poštnih predalih izvede nastavitev, da se vsa pošta prenese iz strežnika na računalnik zaposlenega, na strežniku pa se pobriše. Elektronska pošta lahko ostane na strežniku, pomembno je, da je tam ustrezno zavarovana, t.j. z gesli, ki jih poznajo uporabniki. Četrtič, glavni sistemski administrator poštnega strežnika bo vedno imel možnost, da spremeni gesla uporabnikov in izvede (nezakonit) vpogled v elektronski predal. Gre za samo naravo tehnične izvedbe poštnih strežnikov, vsekakor pa bi takšno ravnanje sistemskega administratorja lahko predstavljalo storitev kaznivega dejanja ali pa prekrška po ZVOP-1Kako torej konkretno ravnati v vašem primeru? Informatik naj uporabnikom osebno izroči geslo in (pisno, če je potrebno) zahteva, da geslo spremenijo ob prvi prijavi v poštni strežnik. Sam naj nato gesla, ki jih ima, uniči oz. izbriše. V primeru, če uporabnik pozabi geslo in zahteva novo geslo oz. ponastavitev gesla, naj to pisno sporoči informatiku oz. naj ta zahtevo ustrezno zabeleži, da bo v primeru morebitnih konfliktov obstaja t.i. revizijska sled. Informatik v nobenem primeru nima pravice videti ali zahtevati gesel uporabnikov, potem ko so si jih ti enkrat sami nastavili oziroma spremenili. Če uporabljate zunanjega ponudnika storitev elektronske pošte in menite, da ponudnik elektronske pošte ne zagotavlja ustrezne varnosti oz. sumite, da izvaja nezakonite vpoglede v vašo službeno elektronsko pošto, ga preprosto zamenjajte. Ponudnikov elektronske pošte je namreč kar veliko.Prijazen pozdrav,Informacijski pooblaščenec:Mojca Prelesnik, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026