Preverjanje računov o opravljenih nakupih + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.02.2020 Številka: 07121-1/2020/130 Kategorije:Pravne podlage, Trgovinska dejavnost --> Kategorije: Pravne podlage, Trgovinska dejavnost Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede preverjanja računov o opravljenih nakupih strank. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP pojasnjuje, da Splošna uredba o varstvu podatkov v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev: (
- a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
- b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
- c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
- d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
- e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
- f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Za zakonito obdelavo osebnih podatkov strank oziroma imetnikov vaše kartice ugodnosti mora torej obstajati ena izmed naštetih pravnih podlag. V vašem zaprosilu navajate določbe glede obdelave osebnih podatkov, ki so vključeni v pogodbo, ki jo sklenete s strankami – imetniki kartice zvestobe. Takšna pogodba bi lahko predstavljala pravno podlago za obdelavo osebnih podatkov v smislu (
- b)točke člena 6
(1)Splošne uredbe o varstvu podatkov. Ob tem IP opozarja, da mora biti razlaga, kdaj je »obdelava potrebna za izvajanje pogodbe«, stroga ter zožujoča, upoštevaje načelo najmanjšega obsega podatkov iz člena 5
(1)(c) Splošne uredbe o varstvu podatkov. Treba je ugotoviti vsebino pogodbe, zlasti njen predmet in namen, ter oceniti, kateri podatki so resnično potrebni za njeno izvajanje. IP ob tem podaja mnenje, da se lahko v določenih primerih včlanitev v klub zvestobe obravnava kot sklenitev posebne pogodbe, ki je ločena od posameznega nakupa blaga ali storitve, pod pogojem, da so izpolnjene splošne obligacijskopravne predpostavke za veljavnost takšne pogodbe. Zato lahko podlago za obdelavo osebnih podatkov, ki so neločljivo povezani s samim članstvom v klubu zvestobe in njegovim delovanjem v skladu z vnaprej opredeljenimi nameni, v določenih primerih predstavlja tudi člen 6
(1)(b) Splošne uredbe o varstvu podatkov. V konkretnem primeru bi morali kot upravljavec osebnih podatkov torej utemeljiti, da je obdelava osebnih podatkov za namen vračila preveč plačanega zneska neločljivo povezana s samim članstvom v klubu zvestobe. Na podlagi določb glede obdelave osebnih podatkov, ki so vključeni v pogodbo, ki jo sklenete z imetniki kartice zvestobe, IP meni, da bi zlasti določba 4. alineje morda lahko predstavljala pravno podlago za obdelavo osebnih podatkov imetnikov kartice zvestobe, seveda ob izpolnitvi zgoraj navedenih pogojev. Glede zakonitih interesov IP ponavlja svoje že večkrat izraženo stališče, da obdelava osebnih podatkov za osnovne namene klubov zvestobe na podlagi člena 6
(1)(
- f)Uredbe načeloma ni dopustna. Kljub temu pa bi lahko v določenih primerih zakoniti interes upravljavca predstavljal pravno podlago za obdelavo že zbranih osebnih podatkov članov klubov zvestobe, in sicer za druge, nadaljnje namene ter pod pogojem zadostitve testu tehtanja med zakonitim interesom upravljavca na eni in posegom v interese oziroma temeljne pravice in svoboščine posameznika na drugi strani. Odgovornost za ustrezno izvedeno tehtanje je seveda na upravljavcu, ki izvaja obdelavo osebnih podatkov, v konkretnem primeru torej na vaši družbi. Ob tem IP poudarja tudi, da se podlaga zakonitih interesov tipično uporablja v situacijah, ko od posameznikov ni mogoče ali pa ne bi bilo smotrno pridobiti njihove osebne privolitve. Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo v konkretnem primeru pomeni, da je potrebno obdelovati samo toliko osebnih podatkov imetnikov kartic zvestobe, kolikor je nujno potrebno za izpolnitev namena (vračilo preveč plačanih sredstev). V kolikor bi torej izpolnitev tega namena zahtevala širše iskanje po podatkovni bazi s strankami in računi ter bi ob tem obdelovali tudi osebne podatke drugih imetnikov kartic zvestobe ali drugih računov posameznega imetnika, bi takšna obdelava po mnenju IP lahko predstavljala kršitev varstva osebnih podatkov. Ob tem se IP sprašuje, ali ne bi namena, ki ga želite doseči (vračilo preveč plačanega zneska), morda mogli doseči tudi na način, ki v prvi fazi ne pomeni obdelave osebnih podatkov, npr. z javnim obvestilom oziroma pozivom strankam za prijavo nakupa konkretnega izdelka, iz katerega izvira preplačani znesek ali na drug podoben način? IP sklepno poudarja, da v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za obdelavo osebnih podatkov, saj to lahko stori le v okviru inšpekcijskega postopka. Konkretno presojo o zakonitosti obdelave lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, v konkretnem primeru torej vaša organizacija, ki nosi tudi odgovornost za opravljeno presojo. IP svetuje, da ob presoji upoštevate pojasnila, ki jih vsebuje to mnenje. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026