Ali je phishing test zaposlenih zakonit?

Phishing test zaposlenih – natančneje simulacija phishing napadov – ne preizkuša strežnikov, temveč odziv ljudi. Zaposleni prejmejo sporočilo, ki posnema phishing (spletno ribarjenje), vi pa izmerite, koliko jih klikne povezavo, vpiše podatke ali sporočilo prijavi. Kadrovska služba in pooblaščena oseba za varstvo podatkov zato upravičeno vprašata: ali to sploh smemo?

Odgovor je v treh mnenjih Informacijskega pooblaščenca, v Zakonu o delovnih razmerjih (ZDR-1) in v Splošni uredbi o varstvu podatkov (GDPR). Pri vsaki trditvi povemo, ali gre za zakon, za neobvezujoče mnenje nadzornega organa ali za dobro prakso.

Zakaj simulacija phishing napadov potrebuje pravno podlago

Izobraževanje o phishingu in phishing test nista ista stvar. Pri predavanju vam ni treba vedeti, kdo je kaj kliknil; pri simulaciji je prav to podatek, ki ga zbirate. Informacijski pooblaščenec razliko v mnenju iz leta 2025 opiše takole:

»… izobraževalne aktivnosti ozaveščanja o phishingu načeloma ne implicirajo obdelave njihovih osebnih podatkov, medtem ko izvedbe varnostnih testiranj praktično ni mogoče izvesti v celoti brez obdelave osebnih podatkov …«

Za tako obdelavo – na primer e-naslovov, naslovov IP in podatkov o tem, kdo je simulirano sporočilo prepoznal – mora po istem mnenju »obstajati podlaga po 6. členu Splošne uredbe«. Vprašanje torej ni, ali je test dovoljen, temveč ali ga znate utemeljiti in izvesti tako, da v zasebnost zaposlenih posežete čim manj.

Tri mnenja Informacijskega pooblaščenca

2015: tveganje, da pravne podlage ni

Prosilec iz javnega sektorja je želel vsem zaposlenim poslati testno sporočilo in rezultate prikazati le v odstotkih. Informacijski pooblaščenec je kljub temu zapisal, da »obstajajo občutna tveganja, da bi bila obdelava osebnih podatkov pri izvedbi varnostnega preverjanja odpornosti (vseh) zaposlenih na napade socialnega inženiringa … lahko brez pravne podlage«, in da je »manj tvegano in bolj sorazmerno sredstva in napore že vnaprej vložiti v ustrezno izobraževanje zaposlenih«. O prikritih testih je bil še ostrejši: »Izvedba prikritega testa kot takega predstavlja nepošteno obdelavo osebnih podatkov«. Legitimnosti takega testiranja ni oporekal; dvomil je o njegovi nujnosti.

2021: priporočilo, naj se organizacije vzdržijo

Na vprašanje, ali je prirejeno phishing sporočilo, ki ga delodajalec razpošlje zaposlenim, »legitimno ali kaznivo dejanje«, je Informacijski pooblaščenec odgovoril, da preverjanje »načeloma ni najbolj primerno, saj lahko vodi v nezaželene odzive in slabo počutje zaposlenih, zlasti če so npr. izpostavljeni kot tisti, ki niso prepoznali lažnega sporočila, zato priporočamo, da se organizacije vzdržijo tovrstnih preverjanj«. Zakonitost take obdelave se po njegovih besedah »lahko preveri le v okviru inšpekcijskega postopka«.

2025: ni nedopustno, vendar pod pogoji

To je edino mnenje, izdano po uveljavitvi ZVOP-2. Nanaša se prav na platforme, ki simulirane kampanje povezujejo s takojšnjim izobraževanjem ob kliku. Informacijski pooblaščenec spomni, da je že leta 2015 navedel, da »izvajanje varnostnih preverjanj odpornosti na phishing ni nedopustno«, mora pa zanj obstajati pravna podlaga. Dvoma ne skriva – »Nujnost izvedbe tovrstnih varnostnih preverjanj je lahko vprašljiva« –, a priznava, da so »praktične in individualizirane vaje lahko učinkovite«.

Kako jih brati. Vsa tri mnenja so neobvezujoča. Pri prvih dveh stoji opozorilo, da je bilo mnenje izdano na podlagi ZVOP-1, »zato mnenje ni več nujno aktualno«. Tudi tretje ni dovoljenje: Informacijski pooblaščenec po lastnih besedah »ne nudi storitve pregleda ali vnaprejšnje odobritve različnih rešitev, ki jih uvajajo posamezni upravljavci« (mnenje št. 07121-1/2026/1105 z dne 27. 10. 2026).

Šest pogojev iz mnenja 2025

Mnenje iz leta 2025 lahko berete kot kontrolni seznam. Vse našteto uredite pred prvim simuliranim sporočilom.

1. Pravna podlaga. Praviloma zakoniti interesi po točki (f) prvega odstavka 6. člena GDPR. Njihova uporaba »terja izvedbo t.i. testa zakonitega interesa (angl. Legitimate Interest Assessment – LIA), ki mora biti tudi dokumentiran«: utemeljite svoj interes, ocenite posledice za posameznike in pretehtajte varovalke.
2. Predhodno obvestilo. Vsi uporabniki morajo biti »vnaprej jasno in natančno obveščeni o obdelavi osebnih podatkov skladno z zahtevami 12. in 13. člena Splošne uredbe«. Obvestilo velja za program, ne za datum kampanje: že leta 2015 je Informacijski pooblaščenec opisal obvestilo, iz katerega zaposleni izvedo tudi, »da vnaprej ne bodo obveščeni, kdaj bo dejansko poslano testno e-sporočilo«.
3. Nujnost v delovnem razmerju. Obdelava mora biti utemeljena »tudi z vidika nujnosti zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem« (prvi odstavek 48. člena ZDR-1). Zapišite, zakaj izobraževanje samo ne zadošča.
4. Pogodba z obdelovalcem. Z zunanjim izvajalcem ali ponudnikom platforme sklenite pogodbo po 28. členu GDPR.
5. Prenos v tretje države. Preverite, ali podatki zapuščajo EU oziroma EGP; pri ponudnikih iz tretjih držav po mnenju »obstaja utemeljen pomislek, ki ga je treba nasloviti«.
6. Evidenca dejavnosti obdelave. Obdelavo vpišite v evidenco po 30. členu GDPR ter upoštevajte načela najmanjšega obsega podatkov, omejitve shranjevanja in omejitve namena.

Privolitev zaposlenih ni nadomestna pot: obdelava na podlagi delavčeve privolitve je po mnenju Informacijskega pooblaščenca iz leta 2026 »dopustna le izjemoma pod pogojem, da njena zavrnitev nima nikakršnih posledic na delovno razmerje oziroma na delavčev pravni položaj«.

Delovnopravna stran: ZDR-1, svet delavcev in sindikat

Kaj določa ZDR-1

Izhodišče je 46. člen ZDR-1: »Delodajalec mora varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost.« Prvi odstavek 48. člena pa določa:

»Osebni podatki delavcev se lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.«

Podatki, za zbiranje katerih zakonske podlage ni več, se morajo po tretjem odstavku »takoj zbrisati in prenehati uporabljati«. Surovih podatkov o klikih zato ne hranite dlje, kot jih potrebujete za namen, ki ste ga zaposlenim napovedali.

Svet delavcev in sindikat

Zakon o sodelovanju delavcev pri upravljanju (ZSDU) v 89. do 98. členu ne omenja ne simulacij phishing napadov ne varnostnih testov ne nadzora informacijske tehnologije (stanje na dan 12. novembra 2026). Soglasje sveta delavcev pride v poštev po 95. členu, če bi rezultati postali del odločitev v zvezi z »merili za ocenjevanje delovne uspešnosti delavcev« ali s »kriteriji za napredovanje delavcev«. Takrat velja 97. člen: »Delodajalec ne sme sprejeti odločitev, če je v osmih dneh svet delavcev zavrnil soglasje.« Ali uvedba platforme pomeni tudi »spremembe tehnologije«, o katerih delodajalec svet delavcev obvešča po 89. členu, presodite s pravnim svetovalcem.

Če program uvedete s splošnim aktom, ki delavcem nalaga obveznosti, velja 10. člen ZDR-1: predlog mora delodajalec »pred sprejemom posredovati v mnenje sindikatom pri delodajalcu«, sindikat pa »mora podati mnenje v roku osmih dni«.

Kolektivne pogodbe, interni akti in dogovori s svetom delavcev lahko določajo več kot zakon. Ta članek jih ne obravnava, zato jih pred uvedbo programa preglejte s pravnim svetovalcem.

Zakon, mnenje ali dobra praksa: pregled

Dobra praksa: varovalke, ki jih zakon ne našteva

Naslednje točke niso zakonske določbe, temveč varovalke – prav take morate po mnenju iz leta 2025 pretehtati v testu zakonitega interesa.

• Napovejte program, ne datuma. Zaposleni naj vedo, da simulacije potekajo, zakaj jih izvajate, katere podatke zbirate in kako dolgo jih hranite.
• Poročajte zbirno in nikogar ne izpostavljajte. Vodstvo naj dobi deleže, ne seznama imen. Že leta 2015 je Informacijski pooblaščenec med varovalkami omenil »samodejni izračun deležev in ostalih statistik brez človeških posegov«.
• Podatke o klikih izbrišite ali anonimizirajte. Mnenje iz leta 2025 kot primer varovalke navaja sprotno anonimizacijo zajetih podatkov.
• Ne zbirajte pravih gesel. Simulirana stran naj zabeleži kvečjemu, da je bilo nekaj vpisano, ne pa, kaj.
• Takoj po kliku kratko izobraževanje. Kdor klikne, naj takoj vidi, po čem bi sporočilo lahko prepoznal.
• Ocena učinka, kjer je utemeljena. Mnenje o phishing testih je ne omenja. V mnenju o skrivnem kupcu iz leta 2026 pa jo je Informacijski pooblaščenec pri prikritem preverjanju zaposlenih priporočil, zato s pooblaščeno osebo za varstvo podatkov preverite, ali jo potrebujete.

Česa ne počnite

• Programa brez obvestila. Prikriti test je Informacijski pooblaščenec že leta 2015 označil za nepošteno obdelavo osebnih podatkov.
• Poimenskih lestvic. Na izpostavljanje tistih, ki sporočila niso prepoznali, opozarjata mnenje iz leta 2021 in SI-CERT.
• Disciplinske rabe rezultatov. S tem spremenite namen, ki ste ga zaposlenim napovedali.
• Vab, ki izkoriščajo stisko. Lažno obvestilo o odpuščanju, nagradi ali zdravstvenem izvidu zaposlene prizadene, o njihovi pozornosti pa pove malo.

Kako take teste izvaja Haxoris

Haxoris simulacije phishing napadov izvaja na dva načina. Prvi je test socialnega inženiringa kot enkraten projekt. Skupaj določimo cilje in scenarije, ob dogovorjenem času zaženemo kampanjo – phishing, vishing (lažni telefonski klici) ali smishing (lažna SMS-sporočila) – in pripravimo poročilo s kazalniki odziva, trendi po skupinah zaposlenih in priporočili. Na podlagi rezultatov predlagamo in izvedemo ciljno izobraževanje zaposlenih.

Drugi je PhishGun, naša platforma, ki jo upravljate sami. V simuliranih sporočilih ni zlonamerne programske opreme. Obseg, časovno okno in to, kaj natančno se beleži, so dogovorjeni pred prvim sporočilom. Če zaposleni na simulirani strani vpiše geslo, mu PhishGun pove, da se ni nič shranilo, in pokaže, kaj je sporočilo izdalo. Kaznovalnih postopkov in javnega sramotenja ni.

Predloge, pristajalne strani in izobraževalni moduli so na voljo v slovaščini, češčini in angleščini, različice v slovenščini pa pripravimo na zahtevo. Eno pa povemo odkrito: PhishGun poleg rezultatov po ekipah vodi tudi zapise po posameznikih; ali boste to raven uporabljali in kdo jo sme videti, odločite vi kot upravljavec – in to zapišete v test zakonitega interesa in v obvestilo zaposlenim. Pravne podlage, obvestila in evidence namesto vas ne more urediti nobeno orodje.

Za širši okvir preberite, kaj je socialni inženiring, ali se dogovorite za brezplačen posvet.

Phishing test zaposlenih – pogosta vprašanja

Povezane storitve: testi socialnega inženiringa in simulacije phishing napadov · izobraževanje zaposlenih o kibernetski varnosti · PhishGun – simulacija phishing napadov