Obdelava in posredovanje osebnih podatkov za namen projekta + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.12.2020 Številka: 07121-1/2020/2153 Kategorije:Elektronska pošta, Informiranje posameznika, Moderne tehnologije, Pravne podlage, Svetovni splet --> Kategorije: Elektronska pošta, Informiranje posameznika, Moderne tehnologije, Pravne podlage, Svetovni splet Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaše zaprosilo za mnenje, v katerem pojasnjujete, da delate na projektu, v okviru katerega bi zbirali osebne podatke prijavljenih posameznikov (ime, priimek, elektronski naslov) ter te podatke delili z drugimi prijavljenimi osebami. Projekt bi potekal na Facebookovi strani. Zanima vas, ali je dovolj, da dodate gumb, da se posameznik strinja z obdelavo podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov vnaprej presojati dopustnosti in ustreznosti konkretnih dejanj obdelave osebnih podatkov z vidika skladnosti s Splošno uredbo o varstvu podatkov. Vaše vprašanje je splošne narave, zato je tudi IP v nadaljevanju podal nekaj splošnih usmeritev, ki vam bodo pomagale pri zagotavljanju skladnosti z zakonodajo s področja varstva osebnih podatkov. Kakor pojasnjujete v svojem sporočilu, bi od posameznikov zbirali in obdelovali določene podatke za namene povezane z vašim projektom. Iz navedenega je mogoče sklepati, da bi v konkretnem primeru najverjetneje nastopali kot upravljavec osebnih podatkov. Upravljavci osebnih podatkov imajo po Splošni uredbi o varstvu podatkov in ZVOP-1 določene obveznosti, ki jih je IP na enostaven način predstavil na svoji spletni strani https://upravljavec.si/. IP nadalje pojasnjuje, da je za vsako obdelavo osebnih podatkov treba imeti ustrezno in zakonito pravno podlago. Te so določene v členu 6
(1)Splošne uredbe o varstvu podatkov in so sledeče: privolitev (točka (a)), sklenitev ali izvajanje pogodbe (točka (b)), zakon (točka (c)), zaščita življenjskih interesov posameznika (točka (d)), izvajanje javne naloge (točka (
- e)v zvezi s četrtim odstavkom 9. člena ZVOP-1), zakoniti interesi upravljavca (točka (f)). To pomeni, da v kolikor boste obdelovali osebne podatke sodelujočih v projektu, morate pred tem zagotoviti ustrezno pravno podlago za takšno obdelavo, kakor to zahteva člen 6 Splošne uredbe o varstvu podatkov. Na tem mestu IP pojasnjuje, da je treba imeti pravno podlagi tudi za obdelavo podatkov v smislu razkritja osebnih podatkov posameznikov drugim sodelujočim v projektu, pri tem pa je treba v zvezi z razkritjem podatkov upoštevati načelo sorazmernosti oz. najmanjšega obsega podatkov glede na namen obdelave teh podatkov. V kolikor boste podatke obdelovali na podlagi privolitve posameznikov, IP pojasnjuje, da je veljavna le aktivna in prostovoljno podana, konkretna, informirana in nedvoumna vnaprejšnja privolitev posameznika. Privolitev mora biti nedvoumna, to med drugim pomeni, da naj posameznik izrazi soglasje z jasnim pritrdilnim ravnanjem, ki mora vedno biti dano z izjavo (pisno ali ustno, vključno z e-sredstvi) ali z izkazano aktivnostjo (npr. označba polja z aktivnim ravnanjem). Hkrati pa vsak namen obdelave potrebuje ločeno privolitev, zato je treba specifično navesti, na kaj se privolitev nanaša. Namreč konkreten, ekspliciten in legitimen namen je predpogoj za pridobitev veljavne privolitve. IP tudi pojasnjuje, da ima posameznik pravico, da privolitev kadarkoli prekliče, in sicer na enostaven in podoben način, kot je privolitev podal. IP vas za več informacij glede veljavne in zakonite privolitve napotuje na svojo spletno stran: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/. IP vas napotuje tudi na nove smernice Evropskega odbora za varstvo podatkov (EOVP), v katerih je podrobno pojasnjeno, kakšna naj bo privolitev (za zdaj le v angleškem jeziku, ampak bodo kmalu dostopne tudi v slovenščini): https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en. V vsakem primeru (ne glede na pravno podlago, na kateri se obdelujejo podatki) je treba posameznikom, preden od njih pridobite osebne podatke, zagotoviti jasne, razumljive in pregledne informacije, kako točno boste podatke obdelovali in kakšna so morebitna tveganja in zaščitni ukrepi (gre za t.i. Izjavo o zasebnosti). Prav tako jih morate obvestiti, kakšne so njihove pravice in kako lahko vložijo pritožbo. Obvestilo pa mora biti napisano v preprostem jeziku, ki ga povprečen uporabnik lahko razume, in zlahka dostopno. Več o obvestilu si preberite na https://upravljavec.si/obvescanje-posameznikov/. Kakor izhaja iz vašega dopisa, je vaš projekt zasnovan na Facebook strani. IP pri tem pojasnjuje, da iz sodne prakse Sodišče Evropske unije (glej sodba v zadevi št. C‑210/16 z dne 5. 7. 2018) izhaja, da administrator strani na Facebooku in družba Facebook nastopata kot skupna upravljavca, in sicer za fazo obdelave, ko se osebni podatki posameznikov, ki obiščejo Facebook stran, zbirajo s strani Facebooka. Facebook nato oblikuje statistične podatke o obiskovalcih strani, ki jih IP posreduje izključno v anonimizirani obliki (t. i. Facebookovi vpogledi). Namreč s tem, ko se ustvari Facebook stran, se Facebooku omogoči, da namesti piškotke na napravo osebe, ki je obiskala njegovo Facebook stran. Več o skupnem upravljanju (glede dogovora o skupnem upravljanju, o dolžnostih upravljavcev ipd.) si lahko preberete v že objavljenem mnenju: Skupno upravljanje, št. 07121-1/2020/1668, z dne 23. 9. 2020: https://www.ip-rs.si/vop/?tx_jzgdprdecisions_pi1%5BshowUid%5D=2039&tx_jzgdprdecisions_pi1%5BhighlightWord%5D=skupni%20upravljavci. Prav tako lahko več informacij o skupnem upravljanju administratorja Facebook strani in družbe Facebook pridobite v smernicah Evropskega odbora za varstvo podatkov na temo ciljanja uporabnikov družbenih omrežij (za zdaj so dostopne le v angleškem jeziku): https://edpb.europa.eu/our-work-tools/public-consultations-art-704/2020/guidelines-082020-targeting-social-media-users_en. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Neja Domnik, mag. prav., asistentka svetovalca pri IP O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026