Ciljno oglaševanje + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 24.11.2020 Številka: 07121-1/2020/2113 Kategorije:Informiranje posameznika, Moderne tehnologije, Neposredno trženje, nagradne igre, Ocene učinkov v zvezi z varstvom podatkov , Pravne podlage, Privolitev, Telekomunikacije in pošta --> Kategorije: Informiranje posameznika, Moderne tehnologije, Neposredno trženje, nagradne igre, Ocene učinkov v zvezi z varstvom podatkov, Pravne podlage, Privolitev, Telekomunikacije in pošta Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaš dopis glede ciljno usmerjenega oglaševanja. Pojasnjujete, da vaša stranka na trgu ponuja elektronsko opremo in prek svojih naprav (npr. telefonov, televizij) uporabnikom ponuja razne storitve – svoje in storitve tretjih oseb. Stranka sedaj prenavlja splošne pogoje poslovanja, v katere bi vključili določbo, da posameznik soglaša s tem, da mu bodo ob uporabi storitev prikazovani oglasi tretjih oseb, ki bodo ciljno usmerjeni nanj na podlagi informacij, ki jih posreduje v okviru uporabe storitve, in na podlagi raziskav, ki jih v zvezi z uporabo storitev izvajajo tretje osebe. Zanima vas tudi, ali je takšna določba skladna z veljavno zakonodajo, na kakšen način mora biti podana privolitev, kako opredeliti namen v privolitvi (ali je dovolj, da le navedete, da gre za ciljno oglaševanje, glede na to, da oglaševalci niso vnaprej znani), ali gre v konkretnem primeru za neposredno trženje, ali so še kakšne druge prepreke z vidika varstva osebnih podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma pojasnjuje, da v okviru neobvezujočega mnenja ne more podajati konkretnih ocen glede zakonitosti obdelave osebnih podatkov, temveč to lahko storili šele v postopku inšpekcijskega nadzora. Zato vam v nadaljevanju pošiljamo nekaj splošnih pojasnil in poudarkov v zvezi z opisano obdelavo osebnih podatkov. IP najprej pojasnjuje, da je za vsako obdelavo osebnih podatkov treba imeti ustrezno in zakonito pravno podlago. Te so določene v členu 6
(1)Splošne uredbe o varstvu podatkov in so sledeče: privolitev (točka (a)), sklenitev ali izvajanje pogodbe (točka (b)), zakon (točka (c)), zaščita življenjskih interesov posameznika (točka (d)), izvajanje javne naloge (točka (
- e)v zvezi s četrtim odstavkom 9. člena ZVOP-1), zakoniti interesi upravljavca (točka (f)). Nadalje pa je v konkretnem primeru treba upoštevati tudi določbe Zakona o elektronskih komunikacijah (Uradni list RS, št. 109/12, 110/13, 40/14 – ZIN-B, 54/14 – odl. US, 81/15 in 40/17; v nadaljevanju: ZEKom-1). In sicer skladno s 157. členom ZEKom-1 je shranjevanje podatkov ali pridobivanje dostopa do podatkov, shranjenih v terminalski opremi naročnika ali uporabnika, dovoljeno samo pod pogojem, da je naročnik ali uporabnik v to privolil potem, ko je bil predhodno jasno in izčrpno obveščen o upravljavcu in namenih obdelave teh podatkov v skladu z zakonom, ki ureja varstvo osebnih podatkov. Ne glede na to pa je dovoljeno tehnično shranjevanje podatkov ali dostop do njih izključno zaradi prenosa sporočila po elektronskem komunikacijskem omrežju, ali če je to nujno potrebno za zagotovitev storitve informacijske družbe, ki jo naročnik ali uporabnik izrecno zahtevata. Pri čemer terminalska oprema pomeni vso opremo, ki je neposredno ali posredno priključena na mrežni vmesnik javnega telekomunikacijskega omrežja za pošiljanje, obdelovanje ali sprejemanje informacij; v obeh primerih (neposredna ali posredna) se lahko priključitev izvede z žico, optičnim kablom ali elektromagnetno; priključitev je posredna, če je oprema nameščena med terminalom in javnim mrežnim vmesnikom (točka a člena 1 Direktive Komisije 2008/63/ES z dne 20. junija 2008 o konkurenci na trgih za telekomunikacijsko terminalsko opremo). Skladno z navedeno definicijo med terminalsko opremo sodijo tudi t.i. pametne televizije in pametni telefoni. Po mnenju IP je najbolj ustrezna pravna podlaga za obdelavo osebnih podatkov za namene ciljnega oglaševanja privolitev posameznika v takšno obdelavo (glede tega glej npr. smernice o ciljanju uporabnikov družbenih omrežij, odstavek 50 in opomba 55). Pri čemer IP poudarja, da se kot veljavno privolitev šteje le aktivna in prostovoljno podana, konkretna, informirana in nedvoumna vnaprejšnja privolitev posameznika. Da je privolitev resnično prostovoljna, posameznik ne sme čutiti prisile ali negativnih posledic, če privolitve ne poda. Prav tako posameznik ne sme biti postavljen v situacijo, ko privolitve ne more zavrniti ali preklicati, brez morebitnih sankcij oz. škodnih posledic. Drugače povedano to pomeni, da je privolitev neveljavna v primeru kakršnega koli neustreznega pritiska ali vpliva na posameznika (ki se lahko izvaja na številne različne načine), ki temu posamezniku preprečuje, da bi izrazil svojo svobodno voljo. Ob tem pa mora imeti posameznik tudi možnost, da privolitev kadarkoli umakne, in sicer na enostaven in podoben način, kot je privolitev podal, brez kakršnihkoli stroškov ali drugih negativnih posledic. Pri tem IP poudarja, da mora biti upravljavec zmožen dokazati, da je imel posameznik prostovoljno in dejansko izbiro glede privolitve in da je lahko privolitev preklical brez škode (načelo odgovornosti iz člena 5 Splošne uredbe o varstvu podatkov). Da je privolitev lahko resnično jasna in informirana, je pomembno, da informacije, relevantne za sprejetje informiranih odločitev posameznika o tem, ali privoliti ali ne, ne smejo biti skrite v splošnih pogojih. Torej izjava o privolitvi mora biti kot taka poimenovana in ločena od splošnih pogojev poslovanja. Splošnega strinjanja s splošnimi pogoji ni mogoče šteti za jasno pritrdilno dejanje privolitve v uporabo osebnih podatkov. Poleg tega IP tudi poudarja, da s Splošno uredbo o varstvu podatkov upravljavcem ni dovoljeno, da bi ponudili vnaprej označena okenca. Ko obdelava podatkov vključuje več namenov, potem mora biti privolitev dana za vsak namen posebej. Upravljavec mora v takem primeru pridobiti več ločenih privolitev oz. ločenih soglasij za vsako obdelavo posebej (gre za t.i. granularnost privolitve). Nadalje IP pojasnjuje, da je le konkreten, ekspliciten in legitimen namen predpogoj za pridobitev veljavne privolite. Pri tem pa namen obdelave osebnih podatkov ne sme biti prikrit ali združen z izvajanjem pogodbe ali storitve, za katero osebni podatki niso potrebni. S tem Splošna uredba o varstvu podatkov zagotavlja, da obdelava osebnih podatkov, za katero se zahteva privolitev, ne more neposredno ali posredno postati protiusluga za izpolnitev pogodbe. Nekaj več informacij o tem, kako določiti namen obdelave, da bo ta skladen s Splošno uredbo o varstvu podatkov si lahko preberete v mnenju o omejitvi namenov Delovne skupine člena 29 (str. 15-20): https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp203_en.pdf. IP vas v zvezi z veljavno privolitvijo napotuje na nove smernice Evropskega odbora za varstvo podatkov (EOVP), v katerih je podrobno pojasnjeno, kakšna naj bo privolitev (za zdaj le v angleškem jeziku, ampak bodo kmalu dostopne tudi v slovenščini): https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en. Nadalje pa lahko bolj strnjene informacije v zvezi s privolitvijo najdete na naši spletni strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/. V vsakem primeru (ne glede na pravno podlago, na kateri se obdelujejo podatki) je treba posameznikom zagotoviti določene informacije glede same obdelave podatkov (tako člena 13 in 14 Splošne uredbe o varstvu podatkov). Tudi te informacije morajo biti v enostavnem jeziku in zlahka dostopne, zato vam svetujemo, da jih ločite od preostalih pogojev poslovanja (t.i. Izjava o zasebnosti). V pomoč vam je lahko obrazec, ki je dostopen na: https://www.ip-rs.si/fileadmin/user_upload/doc/vzorci/VZOREC_OBVESTILA_POSAMEZNIKOM_GLEDE_OBDELAVE_OSEBNIH_PODATKOV.docx. V zvezi z vašim vprašanjem glede seznama oglaševalcev, je treba v konkretnem primeru primarno ugotoviti, kakšno razmerje ima z njimi vaša stranka, in sicer ali gre za skupno upravljavstvo, ločene upravljavca ali obdelovalce osebnih podatkov. IP nima dovolj informacij glede navedenih razmerij med subjekti, da bi podal dokončno oceno, vas pa napotuje na smernice EOVP o konceptu upravljavca in obdelovalca, kjer so razmerja in dolžnosti natančno pojasnjena: https://edpb.europa.eu/our-work-tools/public-consultations-art-704/2020/guidelines-072020-concepts-controller-and-processor_en. Pri tem pa je pomembno, v kolikor gre za razmerje skupnih upravljavcev ali ločenih upravljavcev, da ima vsak upravljavec ustrezno pravno podlago za obdelavo podatkov ter da se podatki ne obdelujejo naprej na način, ki ni združljiv z nameni, za katere jih je prvotno zbral upravljavec, ki je podatke posredoval. IP tudi poudarja, da je treba v primeru skupnega upravljavstva z medsebojnim dogovorom na pregleden način določiti dolžnosti vsakega od njih z namenom izpolnjevanja obveznosti v skladu s Splošno uredbo o varstvu podatkov, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in nalogami vsakega od njih glede zagotavljanja informacij iz členov 13 in 14, razen če in kolikor so dolžnosti vsakega od upravljavcev določene s pravom Unije ali pravom države članice, ki velja za upravljavce. Upoštevajoč navedeno vas IP glede seznama oglaševalcev napotuje vnovič na smernice EOVP glede privolitve (odstavek 65). Morda vam bodo v pomoč pri zagotavljanju skladnosti s Splošno uredbo o varstvu podatkov tudi smernice EOVP na temo ciljanja uporabnikov družbenih omrežij (sicer se nanašajo na uporabnike družbenih omrežij, vendar si je z njimi mogoče pomagati tudi širše): https://edpb.europa.eu/our-work-tools/public-consultations-art-704/2020/guidelines-082020-targeting-social-media-users_sl. V zvezi z neposrednim trženjem vas IP glede definicije napotuje na 158. člen ZEKom-1, pri čemer pojasnjuje, da je za nadzor nad neposrednim trženjem pristojna Agencija za komunikacijska omrežja in storitve Republike Slovenije (AKOS), IP je pristojen zgolj za neposredno trženje po navadni pošti. IP iz previdnosti tudi opozarja, da v kolikor vaša stranka za namene raznih analiz osebnih podatkov ali drugih obdelav podatkov posreduje oz. omogoča dostop do podatkov ameriškim podjetjem (kot npr. Google Analytics, Facebook Connect), je treba pri prenosih podatkov v ZDA vzeti v obzir nedavno sodbo Sodišča Evropske unije, s katero je sodišče razveljavilo dogovor med EU in ZDA za prenos podatkov v ZDA, t.i. Zasebnostni ščit oz. Privacy Shield. Več o tem in o posledicah navedene sodbe za izvoznike podatkov si lahko preberete na spletni strani IP: https://www.ip-rs.si/novice/sodisce-evropske-unije-razveljavilo-zasebnostni-scit-za-prenos-podatkov-v-zda-privacy-shi-1196/. IP na koncu tudi pojasnjuje, da Splošna uredba o varstvu podatkov v tretjem odstavku 35. člena za primere množične obdelave osebnih podatkov, kombiniranja različnih zbirk podatkov in analitike na osnovi masovnih podatkov zahteva predhodno izvedbo ocene učinkov v zvezi z varstvom podatkov. IP je na svoji spletni strani pripravil podstran, kjer najdete ključne informacije glede ocene učinkov: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/ocena-ucinka-v-zvezi-z-varstvom-podatkov/#c1915 V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Neja Domnik, mag. prav., asistentka svetovalca pri IP O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026