Mnenje glede računov s sledilci na družbenih omrežjih v stečajnem postopku - IPRS

Mnenje glede računov s sledilci na družbenih omrežjih v stečajnem postopku + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 04.06.2020 Številka: 07120-1/2020/375 Kategorije:Informiranje posameznika, Moderne tehnologije, Pravne podlage, Pridobivanje OP iz zbirk, Privolitev, Upravljanje gospodarskih družb --> Kategorije: Informiranje posameznika, Moderne tehnologije, Pravne podlage, Pridobivanje OP iz zbirk, Privolitev, Upravljanje gospodarskih družb Prejeli smo vaš dopis, v katerem pojasnjujete, da ste v medijih zasledili, da stečajni upravitelj družbe X na eni od dražb prodaja tudi račune s sledilci družabnih mrež (Facebook, Instagram ipd) družbe X. Sprašujete, kakšno je stališče Informacijske pooblaščenke do omenjene prodaje in ali je tovrstno trgovanje sploh dovoljeno? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Uvodoma pojasnjujemo, da Informacijski pooblaščenec podaja nezavezujoča mnenja in pojasnila, ne more pa izven inšpekcijskih postopkov presojati konkretnih dejanj obdelave osebnih podatkov. Zato v nadaljevanju splošno pojasnjujemo zahteve pravil o varstvu osebnih podatkov, ki morajo biti upoštevane v primeru prenosov osebnih podatkov med različnimi upravljavci. Podatki o sledilcih nekega upravljavca na družbenih omrežjih uživajo varstvo po Splošni uredbi, kadar so vezani na določljivega posameznika. Običajno vključujejo podatke o imenu (tudi priimku) ali vzdevku posameznika, oziroma njegovem uporabniškem imenu, lahko tudi njegovo fotografijo, ter druge podatke o odnosu z upravljavcem spletnega profila na družbenem omrežju – npr. komentarje objav, všečke in podobno. V takem primeru je upravljavec profila na družbenem omrežju upravljavec osebnih podatkov v smislu Splošne uredbe oz. kot izhaja iz nedavne sodbe Sodišča EU v primeru C-210/16, skupni upravljavec z družbenim omrežjem. Omenjena sodba pojasnjuje, da sta tako podjetje, ki ima ustvarjeno Facebook fan stran kot tudi omrežje Facebook, ki funkcionalnost ustvarjanja fan strani ponuja, upravljavca, ki skupaj določata namen in sredstva obdelave, pri čemer ima vsak od njiju odgovornosti glede tistega dela obdelave osebnih podatkov, ki je pod njegovim nadzorom. Upravljavec profila na družbenem omrežju lahko osebne podatke svojih sledilcev obdeluje le v skladu s členom 6 Splošne uredbe, in sicer je obdelava zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: (

1. a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
2. b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
3. c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
4. d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
5. e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
6. f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Pri tem se točka (
7. f)prvega pododstavka ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog. Običajno, pri čemer je treba upoštevati pogoje uporabe, ki jih določi konkretno družbeno omrežje, obdelava podatkov sledilcev temelji na njihovi privolitvi (sami se namreč odločijo, da bodo določenemu profilu upravljavca sledili oz. izvajali interakcijo). Obdelava osebnih podatkov sledilcev določenega profila mora biti skladna z vsemi načeli iz člena 5 Splošne uredbe, kar pomeni, da mora imeti upravljavec profila za dele obdelave podatkov, ki je pod njegovim nadzorom, pravno podlago v smislu prejšnjega odstavka, ter da morajo biti posamezniki o tem ustrezno obveščeni. Osebni podatki sledilcev profila se lahko zbirajo le za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni. Obdeluje se lahko le tolikšen nabor osebnih podatkov, kot je to potrebno za opredeljene namene. Upravljavec mora zagotavljati, da so podatki točni in, kadar je to potrebno, posodobljeni ter da se hranijo le toliko časa kolikor je potrebno za namene, za katere se osebni podatki obdelujejo. Obdelujejo se lahko le na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo. V primeru sledilcev določenega profila upravljavca na družbenem omrežju to pomeni, da so posamezniki najverjetneje privolili v obdelavo svojih osebnih podatkov za namen točno določenega profila upravljavca (nekega podjetja, neke akcije, neke aktivnosti, ipd.), o čemer so bili tudi obveščeni s strani politik uporabe omrežja oziroma s strani upravljavca profila. Uporaba podatkov o sledilcih tega profila za drug namen, s strani drugega upravljavca, tudi na način, da se obstoječ profil/skupin/kanal preimenuje za drugačno rabo s strani drugega upravljavca je lahko zakonita le, v kolikor so upoštevana vsa načela iz člena 5 Splošne uredbe. Predvsem poudarjamo, da za tako uporabo podatkov o sledilcih mora obstajati nova pravna podlaga (pri čemer opozarjamo, da je privolitev lahko dana le za konkretizirane namene obdelave in konkretnemu upravljavcu osebnih podatkov), posamezniki pa morajo biti o tem ustrezno obveščeni v skladu s členi 13 in 14 Splošne uredbe. Podatki sledilcev, ki so bili zbrani za namen določenega profila, se lahko uporabljajo in hranijo le dokler so potrebni za izpolnitev tega konkretnega namena. V zvezi z vašim vprašanjem, ali se lahko zbirka osebnih podatkov prenese k drugemu upravljavcu v okviru stečajnega postopka, pojasnjujemo, da mora za vsak prenos osebnih podatkov od enega k drugemu upravljavcu obstajati pravna podlaga v smislu člena 6 Splošne uredbe, saj z vidika varstva osebnih podatkov vsaka družba predstavlja samostojnega upravljavca, ne glede na to, ali gre za povezane družbe, za situacijo prevzemov ali kot v vašem primeru, za pridobitev v okviru stečajnega postopka. Iz vašega opisa niso razvidne konkretne okoliščine primera, zaradi katerih je baza podatkov na voljo v okviru stečajnega postopka, ali je na voljo samostojno, ali v okviru celotne dejavnosti subjekta, zato konkretnega odgovora ne moremo podati. V splošnem pa velja, da je pri vprašanju zakonitosti prenosa zbirke podatkov k drugemu upravljavcu treba upoštevati omejitve gospodarsko pravne zakonodaje in zakonodaje, ki določa stečajne postopke, pri tem pa odgovoriti tudi na vprašanje, kaj je sploh možen (dopusten) objekt pravnega prometa. Seveda pa sam prenos zbirke osebnih podatkov oz. profila k drugemu upravljavcu, četudi morda zakonit z vidika gospodarskega prava, še ne pomeni tudi pravne podlage za nadaljnjo uporabo teh osebnih podatkov s strani drugega upravljavca, ki je osebne podatke, zbirko oziroma v tem primeru profil s sledilci, prejel. Pravna podlaga za prenos podatkov k drugemu upravljavcu se nanaša le na ta namen - dejanje prenosa. Uporaba pridobljenih podatkov o sledilcih profila za drug namen od prvotnega (ki je bil vezan tudi na prvotnega upravljavca) pa je, kot rečeno mogoča le ob upoštevanju načel iz člena 5 in zakonitih podlag iz člena 6 Splošne uredbe, kar pomeni, da bi moral nov upravljavec zagotoviti, da so posamezniki o tem, da njihove podatke upravlja druga entiteta obveščeni (skladno s členi 13 in 14 Splošne uredbe), poleg tega pa bi moral novi upravljavec zagotoviti, da za nadaljnjo obdelavo za konkretiziran namen, o katerem bi morali biti posamezniki obveščeni, obstaja (nova) pravna podlaga. Prijazen pozdrav. Pripravila: dr. Jelena Burnik, vodja mednarodnega sodelovanja in nadzora Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
8. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026