Privolitev strank v okviru kluba ugodnosti - IPRS

(1), in sicer (za zasebni sektor): privolitev (točka (a)), sklenitev ali izvajanje pogodbe (točka (b)), zakon (točka (c)), zaščita življenjskih interesov posameznika (točka (d)) ali zakoniti interesi, za katere si prizadeva upravljavec (točka (f)). Za zakonito obdelavo osebnih podatkov strank vašega kluba ugodnosti mora torej obstajati ena izmed naštetih pravnih podlag. Po mnenju IP je v konkretnem primeru primarno potrebno ugotoviti, na kateri pravni podlagi se obdelujejo kateri osebne podatke in za katere namene, kar pa je dolžnost upravljavca osebnih podatkov. Iz vašega dopisa izhaja, da boste podatke obdelovali na podlagi privolitve. Kot veljavna privolitev po Splošni uredbi o varstvu podatkov se šteje le aktivna in prostovoljno podana, konkretna, informirana in nedvoumna vnaprejšnja privolitev posameznika v obdelavo podatkov. Ko obdelava podatkov vključuje več namenov (npr. registracija uporabnika in pošiljanje oglasnih vsebin sta dva različna namena obdelave podatkov), potem mora biti privolitev dana za vsak namen posebej. Upravljavec mora v takem primeru pridobiti več ločenih privolitev oz. ločenih soglasij za vsako obdelavo posebej (gre za t.i. razdrobljenost privolitve). Da je privolitev veljavna je potrebno nedvoumno aktivno ravnanje posameznika v obliki izjave ali jasnega pritrdilnega dejanja. „Jasno pritrdilno dejanje“ pomeni, da je moral posameznik, na katerega se nanašajo osebni podatki, izvesti premišljeno dejanje za privolitev v določeno obdelavo. Uporaba vnaprej označenih okenc za privolitev je tako na podlagi Splošne uredbe o varstvu podatkov neveljavna, saj ne gre za posameznikovo aktivno izbiro. Za privolitev se domneva, da ni dana prostovoljno, če ne dovoljuje ločene privolitve za različna dejanja obdelave osebnih podatkov, čeprav bi taka ločena privolitev bila v posameznem primeru ustrezna, ali če je izvajanje pogodbe, vključno z zagotavljanjem storitve, pogojeno s privolitvijo, čeprav za zadevno izvajanje taka privolitev ne bi bila potrebna. Poleg tega ima posameznik, v kolikor se podatki obdelujejo na podlagi privolitve, pravico privolitev kadarkoli preklicati, in sicer na enostaven in podoben način, kot je privolitev podal. Podrobneje o privolitvi si lahko preberete na naši spletni strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/#c1929. Prav tako vas napotujemo na smernice Evropskega odbora za varstvo podatkov na to temo (trenutno so javno dostopne le v angleškem jeziku): https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_sl. V kolikor bi šlo v konkretnem primeru za pogodbeno razmerje z vašimi strankami, lahko pravno podlago za obdelavo določenih podatkov predstavlja tudi pogodba s posameznikom po točki b člena 6

(1)Splošne uredbe o varstvu podatkov (obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe). Pri tem se kot sklenitev pogodbe lahko šteje tudi sprejem splošnih pogojev uporabe storitev, potem ko je bil posameznik ustrezno obveščen o obdelavi osebnih podatkov. Na splošno velja, da lahko upravljavec od posameznika na podlagi pogodbe kot pravne podlage zahteva kot obvezne podatke le tiste osebne podatke, ki so potrebni za izvrševanje pogodbe s posameznikom, ostale podatke, ki za samo izvajanje pogodbe niso obvezni, pa lahko obdeluje, če za to dobi posameznikovo prostovoljno privolitev in pri tem spoštuje pogoje za veljavnost privolitve, kakor je razloženo zgoraj. Več o obdelavi osebnih podatkov na podlagi pogodbe si lahko preberete v smernicah Evropskega odbora za varstvo podatkov na to temo: https://edpb.europa.eu/our-work-tools/our-documents/leitlinien/guidelines-22019-processing-personal-data-under-article-61b_en. Pri tem je treba opozoriti, da obvestilo, da bodo podatki obdelani na podlagi ene pravne podlage, čeprav se dejansko uporablja neka druga zakonita podlaga, predstavlja nepošteno prakso do posameznikov in s tem kršitev temeljnega načela poštenosti iz člena 5 Splošne uredbe o varstvu podatkov. Kakor že pojasnjeno, je pomembno, da upravljavec oceni namene, za katere se podatki dejansko obdelujejo, in zakonite podlage, na katerih temelji obdelava, vse to preden zbere podatke. Ob tem IP posebej opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov posameznikov, kolikor je nujno potrebno za izpolnitev namena v konkretnem primeru. Opozarjamo še, da mora biti posameznik o obdelavi osebnih podatkov ob registraciji tudi ustrezno obveščen – posredovati mu morate informacije (npr. ob sami registraciji), ki jih zahteva člen 13 Splošne uredbe o varstvu podatkov (ne glede na vrsto pravne podlage); v pomoč je lahko obrazec, ki je dostopen na: https://www.ip-rs.si/fileadmin/user_upload/doc/vzorci/VZOREC_OBVESTILA_POSAMEZNIKOM_GLEDE_OBDELAVE_OSEBNIH_PODATKOV.docx. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Neja Domnik, mag. prav., asistentka svetovalca pri IP O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026