Mnenje glede pravne podlage pri ponudniku storitev elektronske identitete + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 08.07.2020 Številka: 07121-1/2020/1210 Kategorije:Informiranje posameznika, Pravne podlage, Privolitev --> Kategorije: Informiranje posameznika, Pravne podlage, Privolitev Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše vprašanje in sicer nas prosite za posredovanje mnenja v zvezi s 6 členom Uredbe (EU) GDPR v zvezi s pogoji za zakonitost obdelave. Vprašanje se nanaša na storitev ponudnika elektronskih identitet, ki jo ponuja vaša družba. V vašem primeru ste vi upravljavec podatkov. Posamezniki - uporabniki (fizične osebe, zaposleni v podjetjih) vam ob registraciji dajo svoje osebne podatke v obdelavo. Obdelujete jih zgolj za namen prijave z vašo identiteto v druge sisteme, ki zahtevajo tak način prijave. Trenutno imate zastavljeno tako, da novi uporabnik ob prvi prijavi poda ločeno privolitev v obdelavo osebnih podatkov in ločeno privolitev k pogojem uporabe storitve. Z uporabniki nimate sklenjenih drugih pogodb. Uporaba vaše storitve identitete ni možna brez obdelave osebnih podatkov – to je pogoj za izvajanje procesa identifikacije. Zanima vas, ali morate zbrati dve privolitvi: privolitev v obdelavo OP in privolitev v pogoje uporabe storitve? Pri pregledu tega vprašanja na spletu ste npr. pri Informacijskem pooblaščencu Velike Britanije našli naslednje: «Privolitev v obdelavo je lahko združena (bundled) s pogoji uporabe, če brez take privolitve ni mogoče uporabljati storitve, sicer mora biti razdružena. Privolitev mora biti jasna in ločena od drugih pogojev uporabe.« Zanima vas, ali imate v Sloveniji kakšno mnenje glede tega. Ali se pogoji uporabe smatrajo kot pogodba in ali je potem podlaga za zakonito zbiranje izvajanje pogodbe? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP na podlagi vašega opisa ocenjujejo, da je vaše razmerje do posameznika, ki želi uporabljati vašo storitev kot ponudnika elektronske identitete primarno pogodbeno razmerje, zato je najprimernejša pravna podlaga pogodba s posameznikom po točki 6
(1)b Splošne uredbe (obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe). Pri tem se kot sklenitev pogodbe lahko šteje tudi sprejem splošnih pogojev uporabe storitev, potem ko je bil posameznik ustrezno obveščen o obdelavi osebnih podatkov. Na splošno velja, da lahko upravljavec od posameznika zahteva kot obvezne podatke le tiste osebne podatke, ki so potrebni za izvrševanje pogodbe s posameznikom, ostale podatke, ki za samo izvajanje pogodbe niso obvezni, pa lahko, če za to dobi posameznikovo prostovoljno privolitev in pri tem spoštuje pogoje za veljavnost privolitve po členu 7 ter upošteva uvodne določbe 32, 42 in 43 Splošne uredbe. Teh nenujnih in dodatnih osebnih podatkov, ki jih lahko obdeluje na prostovoljni privolitvi, od posameznika ne sme »izsiliti«, temveč mu mora prepustiti odločitev. Če jih seveda upravljavec sploh želi zbirati. Pri ugotavljanju, ali je bila privolitev dana prostovoljno, se med drugim zlasti upošteva, ali je izvajanje pogodbe, vključno z zagotavljanjem storitve, pogojeno s privolitvijo v obdelavo osebnih podatkov, ki ni potrebna za izvedbo zadevne pogodbe. Opozarjamo še, da mora biti posameznik o obdelavi osebnih podatkov ob registraciji ustrezno obveščen – posredovati mu morate informacije (npr. ob registraciji), ki jih zahteva člen 13 Splošne uredbe (ne glede na vrsto pravne podlage); v pomoč je lahko obrazec, ki je dostopen na: https://www.ip-rs.si/fileadmin/user_upload/doc/vzorci/VZOREC_OBVESTILA_POSAMEZNIKOM_GLEDE_OBDELAVE_OSEBNIH_PODATKOV.docx S spoštovanjem, Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026