Autor: Tomáš Přibyl, externí odborný redaktor ICTsecurity

Ano, může číst. Ne, nesmí číst. Zastánci obou názorů mají samozřejmě pádné, logické a někdy dokonce i zákony podepřené argumenty. Jaká je ale realita?

Adresa s osobním údajem

Je to jednoduché a složité zároveň. Zaměstnavatel e-maily svého zaměstnance za žádných okolností číst nesmí – problém ovšem nastává ve chvíli, kdy je nutné přesně definovat, kdy jde o e-mail zaměstnance. Takže čestná odpověď by byla: někdy je e-maily možné číst, jindy ne.

Právní úprava je totiž v této oblasti silně nedostatečná. A to jak s ohledem na zaměstnavatele chránícího své hodnoty (zakázky, zákazníky apod.), tak zaměstnance chránícího své soukromí.

Je neoddiskutovatelnou pravdou, že zaměstnanec se zdržuje na pracovišti a využívá zařízení i služby zaměstnavatele z důvodu výkonu své práce. K tomu dostává přidělené odpovídající prostředky, se kterými má povinnost hospodárně a maximálně efektivně nakládat – a, pozor, zaměstnavatel má povinnost tuto hospodárnost a efektivitu kontrolovat! Zákoník práce ukládá zaměstnavateli povinnost jednak chránit svůj i zaměstnancův majetek (a to i nehmotný), jednak soustavně kontrolovat výkon práce zaměstnance. A také uvádí, že zaměstnavatel je povinen soustavně kontrolovat, zda zaměstnanci plní své pracovní úkoly tak, aby nedocházelo ke škodám.

Jenomže každá kontrola má své hranice – a tyto v daném případě vytyčuje úprava práva na ochranu tajemství zpráv podávaných elektronickou poštou plynoucí z Listiny základních práv a svobod. Aneb s obsahem dopravované zprávy je oprávněn se seznámit pouze její adresát. Z tohoto důvodu je naprosto rozhodující určení té osoby, která je označena odesílatelem jako adresát. Není přitom právně správný výklad, že veškerá pošta směřující na e-mailovou adresu zařízenou zaměstnavatelem, patří jemu. Protože o tom, komu je zásilka určena, rozhoduje odesílatel. Pokud odesílatel zašle email na adresu Táto e-mailová adresa je chránená pred spambotmi. Ak ju chcete vidieť, je potrebné aby ste mali zapnutý JavaScript. , nutno primárně předpokládat, že adresátem je fyzická osoba (samozřejmě to tak v konkrétním případě být nemusí), jejíž jméno adresa obsahuje. Atribut jmeno.prijmeni je totiž osobním údajem. Na formátu přitom nezáleží.

Můžeme tu najít jednoduchou paralelu s reálným světem: doručování běžné pošty na pracoviště (takové, kterou si nemůže zaměstnanec vyzvednout doma). Tento úkon drtivá většina zaměstnavatelů umožňuje a těžko někdo zpochybňuje právo zaměstnance na listovní tajemství. Jistě, e-mailová schránka a korespondence v ní končící je z technického i organizačního hlediska jiný případ – ale z hlediska práva nikoliv. Schránka jako schránka.

Skutečně firemní e-mail

Výše uvedená situace je pochopitelně pro zaměstnavatele nepříjemná: nejde jen o možnost (ba přímo nutnost) kontroly zaměstnance, ale třeba i o zajištění kontinuity provozu v případě jeho nepřítomnosti (dovolená, nemoc, rozvázání pracovního poměru...). Stejně tak je problémem i otázka zálohování elektronické pošty: má zaměstnavatel na něco podobného vůbec právo? Nebo bezpečnosti: není firemní elektronická pošta zneužívána k nějaké činnosti proti firmě (přetahování zákazníků, odesílání citlivých informací aj.)?

Ošetření této otázky v pracovní či jiné smlouvě není podstatné: i když souhlas se čtením pošty zaměstnanec vysloveně uvede, není toto ustanovení pro rozpor se zákonem platné. Na druhé straně: nikde a nijak není dotčeno právo zaměstnance poskytnout zcela dobrovolně zaměstnavateli přístup k elektronické poště nebo jednotlivým zprávám. Onu dobrovolnost ale těžko smluvně ošetřovat.

Co tedy s tím? Nejjednodušším způsobem je používat adresy formátu Táto e-mailová adresa je chránená pred spambotmi. Ak ju chcete vidieť, je potrebné aby ste mali zapnutý JavaScript. , Táto e-mailová adresa je chránená pred spambotmi. Ak ju chcete vidieť, je potrebné aby ste mali zapnutý JavaScript. , Táto e-mailová adresa je chránená pred spambotmi. Ak ju chcete vidieť, je potrebné aby ste mali zapnutý JavaScript. apod. – tedy adresy bez osobních údajů. U nich je zřejmé, že nejde o soukromou, nýbrž o firemní komunikaci – a přistupovat k nim může vícero osob. (Pozor, třeba automatické přeposlání e-mailu z adresy jmeno.prijmeni na některou firemní obecnou adresu není korektním úkonem a představuje trestný čin.)

Další skutečnost, na kterou má zaměstnavatel právo, je nasazení technických filtračních prostředků: omezování velikosti příloh, počtu e-mailů na určitou adresu, zakázání některých adres nebo domén apod. (Ostatně, třeba antivirová nebo antispamová kontrola je podobným technickým omezovacím prostředkem.) Samozřejmě, že otázkou by mohlo být odmítání zpráv směřujících do osobní schránky – ale i v reálném světě může pošta odmítnout doručit třeba nadměrnou zásilku nebo dopis do přeplněné schránky. Šlo by samozřejmě především o to, jakým způsobem by byl odesílatel o nedoručení zprávy informován: její prosté smazání by v pořádku rozhodně nebylo.

Nejen obsah zprávy

Samozřejmě, že tisíckrát lepší než všechny spory a právní kličky je lepší oboustranná domluva – a to předem. Kdy a za jakých okolností je možné e-mailovou poštu používat k soukromým účelům, jak probíhá (v rámci zákonů!) kontrola, jak zaměstnanec prokáže vykonanou práci apod. Každopádně: tato pravidla je zapotřebí mít jasně nastavená a nejlépe v písemné podobě (třeba coby součást bezpečnostní politiky). Jen tak budou transparentní, obecně přijímaná a dodržovaná.

Ovšem pouhým obsahem e-mailové zprávy legislativní otázky nekončí. Třeba taková adresa odesílatele není jak z technického, tak legislativního hlediska považována za obsah zprávy. A přitom i adresa odesílatele (nebo adresáta) může mnohé napovědět. Například intenzivní komunikace s konkurenční firmou může být podezřelá. Ostatně, i policie tvrdí, že jen polovina informací z odposlechů je z jejich obsahu. Druhou polovinu představuje to, kdo komunikoval, kdy, jak často, jak dlouho... Má to svoji logiku, protože obsah hovoru bývá málokdy v „otevřené podobě“. A stejně tak e-mail je možné šifrovat. (A třeba u telefonátů nemá zaměstnavatel k dispozici jejich obsah – ale seznam volaných či volajících čísel si od operátora bez potíží vyžádat může.)

Navíc stejné problémy jako u e-mailů nastávají i u dalších forem elektronické komunikace: třeba u instantních zpráv nebo videohovorů. Dříve nebo později (ale raději dříve) bude muset na tento dramatický rozvoj technologií reagovat i legislativa, neboť už dnes se stávající paragrafy dosti kostrbatě pasují na aktuální stav informačních a komunikačních technologií.