Pooblastilo za zbiranje OP + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 28.07.2020 Številka: 07121-1/2020/1308 Kategorije:Pravne podlage, Pridobivanje OP iz zbirk --> Kategorije: Pravne podlage, Pridobivanje OP iz zbirk Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše vprašanje. Zanima vas, kako lahko kot podjetje pridobite pooblastilo fizične osebe za zbiranje njenih osebnih podatkov od drugih upravljavcev? Ali je mogoče, da vaše podjetje pridobi pooblastilo in potem sami zbirate podatke iz npr. nakupovalnih kartic? Sprašujete tudi, ali morate uporabnika obvestiti katere podatke ste pridobili in zakaj? *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Uvodoma poudarjamo, da mora upravljavec osebnih podatkov zagotoviti, da obstaja za obdelavo osebnih podatkov ena izmed pravnih podlag, ki jih Splošna uredba določa v 6. členu in sicer (za zasebni sektor): - privolitev (točka (a)), - sklenitev ali izvajanje pogodbe (točka (b)), - zakon (točka (c)), - zaščita življenjskih interesov posameznika (točka (d)) ali - zakoniti interesi, za katere si prizadeva upravljavec (točka (f)). Posebej pa opozarjamo, da morate v pravni podlagi, ki je temelj za obdelavo osebnih podatkov fizične osebe (npr. v privolitvi ali v pogodbi), izrecno opredeliti namen pridobivanja oz. nadaljnje obdelave osebnih podatkov. Skladno z (
- b)točko prvega odstavka 5. člena Splošne uredbe morajo namreč biti osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni. Če boste kot pravno podlago določili privolitev, je nekaj dodatnih informacij o veljavni privolitvi skladno s Splošno uredbo dostopnih na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/#c1929. Upravljavci osebnih podatkov (npr. kartic zvestobe) morajo posamezniku (med drugim) skladno s Splošno uredbo zagotoviti pravico dostopa in pravico do prenosljivosti osebnih podatkov. IP načeloma meni, da bi lahko pridobili pooblastilo s strani fizičnih oseb za izvrševanje navedenih pravic v njihovem imenu. Takšno pooblastilo pa bo verjetno treba izkazati pri upravljavcu, ki bi vam naj posredoval osebne podatke. V okviru pravice dostopa posameznika ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in informacije, ki so navedene v 15. členu Splošne uredbe (npr. namene obdelave, vrste zadevnih osebnih podatkov, uporabnike ali kategorije uporabnika, predvideno obdobje hrambe itd.). Pri tem naj opozorimo, da ima upravljavec skladno s tretjim odstavkom 12. člena Splošne uredbe za odgovor rok en mesec, ki se lahko v nekaterih primerih podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila podanih zahtev. Upravljavec lahko v določenih primerih (npr. očitno neutemeljene ali pretirane zahteve, ki se npr. ponavljajo) zavrne ukrepanje oziroma zaračuna razumno pristojbino. Več informacij o pravici dostopa posameznika je dosegljivih na: https://upravljavec.si/pogosta-vprasanja/dostop-do-lastnih-osebnih-podatkov-obveznost-podjetij-do-strank-kot-tudi-v-delovnih-razmerjih/. Pravica do prenosljivosti pa posamezniku, na katerega se nanašajo osebni podatki omogoča, da prejme osebne podatke v zvezi z njim, ki jih je posredoval upravljavcu, v strukturirani, splošno uporabljani in strojno berljivi obliki, in pravico, da te podatke posreduje drugemu upravljavcu, ne da bi ga upravljavec, ki so mu bili osebni podatki zagotovljeni, pri tem oviral. Prenos je mogoč v primerih, kadar obdelava temelji na privolitvi ali na pogodbi oz. se izvaja z avtomatiziranimi sredstvi. Kadar je to tehnično izvedljivo, se lahko podatki prenesejo od enega upravljavca k drugemu. Več o pravici do prenosljivosti si lahko preberete na https://tiodlocas.si/zelim-prenesti-svoje-podatke/. Novi upravljavec mora imeti za obdelavo osebnih podatkov ustrezno samostojno pravno podlago, kot je pojasnjeno zgoraj. Ob prejemu osebnih podatkov s strani drugih upravljavcev, boste tudi sami postali upravljavec osebnih podatkov, saj glede na navedeno sklepamo, da boste samostojno določili namene in sredstva obdelave osebnih podatkov. Kot upravljavec morate tudi vi upoštevati pravila Splošne uredbe. Najprej bi želeli poudariti, da je upravljavec osebnih podatkov dolžan skladno s 13. (kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo) oz. 14. členom Splošne uredbe (kadar se osebni podatki pridobijo ne pridobijo od posameznika, na katerega se nanašajo) posameznika obvestiti o informacijah glede obdelave osebnih podatkov, npr. glede namena obdelave osebnih podatkov, roka hrambe podatkov, uporabnikov osebnih podatkov, prenosov podatkov v tujino itd. V kolikor se bodo podatki pridobivali iz zunanjih virov, naj izpostavimo tudi, da je skladno s 14. členom Splošne uredbe treba posameznika obvestiti tudi o tem, od kje izvirajo osebni podatki in po potrebi, ali izvirajo iz javno dostopnih virov. Obrazec glede obveščanja posameznikov je dosegljiv na spletni strani IP: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/ (»Vzorec obvestila posameznikom glede obdelave osebnih podatkov (člen 13 Splošne uredbe)« in »Vzorec obvestila posameznikom glede obdelave osebnih podatkov (člen 14 Splošne uredbe)«). Upravljavec mora glede obdelave osebnih podatkov sprejeti tudi tehnične in organizacijske ukrepe za zavarovanje osebnih podatkov. Več informacij o tem je dosegljivih na https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/zavarovanje-oz-varnost-osebnih-podatkov/. Upoštevati morate tudi npr. določbe 30. člena Splošne uredbe o vodenju evidenc dejavnosti obdelave. Več o tem pa je na voljo na naslednji povezavi: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/evidenca-dejavnosti-obdelave/. Pooblastila, v smislu pooblastila pooblaščenca, da nekaj opravi v imenu in za račun pooblastitelja, ne gre enačiti s pravno podlago za obdelavo osebnih podatkov v smislu drugih zgoraj navedenih pravnih podlag. Posameznik namreč lahko skladno z 74. členom Obligacijskega zakonika (OZ) pooblasti drugo osebo, da v njegovem imenu nekaj stori (npr. pridobi osebne podatke na podlagi pravice do seznanitve). Skladno s tretjim odstavkom tega člena je pooblaščenec lahko tudi pravna oseba (npr. odvetniška družba). V primeru, da gre za uveljavljanje pravice od upravljavcev, ki so zavezani postopati po Zakonu o splošnem upravnem postopku (ZUP), pa je skladno s prvim odstavkom 54. člena ZUP pooblaščenec lahko vsak, ki je poslovno popolnoma sposoben. Pooblastilo se skladno s prvim odstavkom 55. člena ZUP lahko da pisno ali ustno na zapisnik. Enako npr. velja tudi za pritožbeni postopek pri IP. V upanju, da so vam bila naša napotila v pomoč, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Barbara Pirš, univ.dipl.prav., Svetovalka Pooblaščenca za preventivo O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026