Spletna trgovina ter čas hrambe in izbris osebnih podatkov - IPRS

(1)Splošne uredbe (obdelava v zvezi s pogajanji glede sklenitve oz. sklenitvijo pogodbe). Torej, če ste kot upravljavec spletne trgovine v splošnih pogojih jasno opredelili rok hrambe naročil, potem je izbris oz. uničenje podatkov potrebno izvesti po prenehanju tega obdobja oz. ko za nadaljnjo hrambo ni druge pravne podlage. V zvezi s tem tudi pojasnjujemo, da ste kot upravljavec osebnih podatkov dolžni posameznika v skladu s členom 13 Splošne uredbe obvestiti o določenih informacijah v zvezi z obdelavo osebnih podatkov, med drugim tudi z obdobjem hrambe podatkov. Roke hrambe za nekatere upravljavce oziroma nekatere vrste osebnih podatkov natančneje določajo področni predpisi. To pomeni, da četudi sami niste določili roka hrambe določenih osebnih podatkov, lahko področna zakonodaja določa, da je potrebno nekatere osebne podatke hraniti do preteka nekega obdobja (npr. davčna zakonodaja podrobneje ureja obdobje hrambe poslovne dokumentacije). V kolikor ti področni predpisi določajo poseben rok hrambe konkretnih osebnih podatkov, je potrebno upoštevati ta rok. Ni pa v pristojnosti IP v okviru mnenja razlagati roka hrambe posameznih dokumentov, to morate presoditi sami. Splošna uredba v točki e prvega odstavka člena 5 Splošne uredbe na splošno ureja rok hrambe osebnih podatkov enotno za vse vrste osebnih podatkov. Ta določa, da so osebni podatki lahko hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo. Osebni podatki se lahko shranjujejo za daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s prvim odstavkom člena 89, pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz Splošne uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki. V kolikor rok hrambe ni vnaprej določen in specialni predpisi ne določajo drugače, je slednji odvisen od roka morebitnih postopkov uveljavljanja pravic v zvezi s pogodbami, ki jih imate s strankami vaše spletne trgovine (npr. pravica potrošnika do odstopa od pogodbe sklenjene na daljavo). Po izteku roka hrambe oz. po izpolnitvi namena obdelave se osebni podatki zbrišejo, uničijo, blokirajo ali anonimizirajo, če niso na podlagi zakona, ki ureja arhivsko gradivo in arhive, opredeljeni kot arhivsko gradivo, oziroma če zakon za posamezne vrste osebnih podatkov ne določa drugače. Izbris osebnih podatkov in zaključena naročila V skladu s členom 17 ima vsak posameznik pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, kadar so izpolnjeni določeni pogoji. Posebej pa opozarjamo na določbe točke b tretjega odstavka

1. člena Splošne uredbe, ki določa, da se prva dva odstavka ne uporabljata, če je obdelava potrebna za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov. Kot primer: obvezno hrambo računov in roke določa davčna zakonodaja, zato se jih ne sme brisati, (tudi) če bi tako zahtevala fizična oseba, temveč je treba upoštevati pogoje in roke hrambe, ki jih določa zakonodaja. Podobno je treba opraviti presojo za dokumente, ki jih navajate v dopisu - zaključena naročila. Ob tem je potrebno tudi vzeti v obzir, da takšna naročila predstavljajo dokaz o volji stranke in eventualno o sklenjeni kupoprodajni pogodbi, na podlagi katere med kupcem in prodajalcem nastanejo določene pravice in obveznosti. Pred vsako morebitno zahtevo za izbris podatkov mora upravljavec temeljito preveriti, ali mora dejansko ugoditi zahtevi posameznika ali po drugi strani pretehtajo drugi razlogi, da zahtevi ne ugodi, kot to določa
2. člen uredbe. Prav gotovo pa ni priporočljivo podatkov brisati takoj na zahtevo posameznika, temveč je dolžnost upravljavca, da najprej skrbno preveri, ali za hrambo ne obstajajo druge pravne podlage ali nobeni prevladujoči zakoniti razlogi. V kolikor je zahteva utemeljena in ni več podlage za hrambo podatkov, pa se vsebine podatkov ne sme več hraniti. Lahko se hrani zgolj dokaz o izbrisu brez vsebine podatkov. Za več informacij o pravici do izbrisa osebnih podatkov vas napotujemo na svojo spletno stran: https://tiodlocas.si/zelim-izbrisati-svoje-podatke/. Anonimizacija osebnih podatkov Glede anonimizacije na kratko pojasnjujemo, da v kolikor osebne podatke anonimizirate, ti podatki niso več osebni podatki, če jih ni mogoče povezati z določeno ali določljivo osebo. Ob tem pa morate biti pozorni, da podatki ne ostanejo zgolj psevdonimizirani. Pri psevdonimizaciji gre namreč za obdelavo osebnih podatkov na tak način, da osebnih podatkov brez dodatnih informacij ni več mogoče pripisati specifičnemu posamezniku, na katerega se nanašajo osebni podatki, če se take dodatne informacije hranijo ločeno ter zanje veljajo tehnični in organizacijski ukrepi za zagotavljanje, da se osebni podatki ne pripišejo določenemu ali določljivemu posamezniku (točka 5 prvega odstavka člena 4 Splošne uredbe). Psevdonimizirani podatki še vedno sodijo v kategorijo osebnih podatkov in zanje še vedno veljajo zahteve zakonodaje, ki ureja varstvo osebnih podatkov. V takšnem primeru osebni podatki ne bi bili izbrisani oz. uničeni, temveč bi jih še naprej obdelovali. Več o anonimizaciji in psevdonimizaciji si lahko preberete v že objavljenem mnenju: št. 0712-1/2017/2497, z dne
4. 2017: https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/odlocbe-in-mnenja-vop/?tx_jzvopdecisions_pi1%5BshowUid%5D=3027&tx_jzvopdecisions_pi1%5BhighlightWord%5D=anonimizacija. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Neja Domnik, mag. prav., raziskovalka pri IP O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026