Baza kontaktnih podatkov strank + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 30.06.2021 Številka: 07120-1/2021/342 Kategorije:Pravne podlage, Privolitev, Zbirke osebnih podatkov --> Kategorije: Zbirke osebnih podatkov, Privolitev, Pravne podlage Informacijski pooblaščenec RS (v nadaljevanju IP) prejel vaše zaprosilo za mnenje. Kot komunalno podjetje hranite kontakte uporabnikov vaših storitev v enotni bazi podatkov. Zanima vas, ali je dovolj, da za shranjevanje podatkov v bazo pridobite ustno dovoljenje osebe, ki vas pokliče v zvezi z vašimi storitvami? Zanima vas tudi, če na primer uporabnik pokliče za praznjenje greznice, ali lahko njegov kontakt uporabite tudi za opozorilo, da ni plačal računa. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji. Na področju varstva osebnih podatkov velja načelo, da morajo biti osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (načelo omejitve namena, člen 5
(1)(b) Splošne uredbe). Nameni so lahko različni in se vežejo predvsem na pravno podlago za obdelavo osebnih podatkov. Pravne podlage za obdelavo osebnih podatkov v skladu s členom 6
(1)Splošne uredbe so naslednje: posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Točka (f) prvega pododstavka se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog. Vsaka obdelava osebnih podatkov mora temeljiti na ustrezni pravni podlagi. Kot upravljavec ste dolžni v okviru konkretnih okoliščin presoditi, katera je ustrezna pravna podlaga za posamezen namen obdelave. Upravljavec je odgovoren za skladnost (člen 5
(2)in 24 Splošne uredbe), to pa pomeni tudi, da je skladnost sposoben izkazati. Zgolj hipotetično lahko pojasnimo, če vas stranka pokliče za praznjenje greznice, s tem naroči vašo storitev. Obdelava strankinih podatkov za ta namen (npr. uslužbenec pred prihodom na mesto greznice pokliče stranko, da se dogovorita) je potrebna za izvajanje pogodbe med komunalnim podjetjem in naročnikom storitve. Takšna obdelava bi bila lahko zakonita na podlagi člena 6
(1)(b) Splošne uredbe. Če telefonsko številko stranke, pridobljene zaradi praznjenja greznice, uporabite, da stranko pokličete, ker npr. ni plačala računa za praznjenje greznice, potem je takšna obdelava še vedno potrebna za isti namen - izvajanje pogodbe, podlaga pa je še vedno lahko člen 6
(1)(b) Splošne uredbe. Če podatek stranke, ki je pridobljen zaradi praznjenja greznice uporabite za to, da stranko pokličete, ker ni plačala računa za drugo vašo storitev, katere naročnik je stranka (npr. dobava pitne vode, odvoz odpadkov, ipd.) – to po mnenju IP načeloma ne nasprotuje načelu omejitve namena iz člena 5
(1)(b) Splošne uredbe. Gre namreč za namen, ki je (verjetno) združljiv z namenom zbiranja osebnih podatkov. IP pa tega vprašanja zagotovo ne more presojati izven konkretnega inšpekcijskega ali drugega upravnega postopka. Pogoje za združljivost namenov predpisuje člen 6
(4)Splošne uredbe, ki določa, da kadar obdelava podatkov za drug namen kot za tistega, za katerega so bili osebni podatki zbrani, ne temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, ali na pravu Unije ali pravu države članice, ki predstavlja potreben in sorazmeren ukrep v demokratični družbi za uresničevanje ciljev iz člena 23
(1), upravljavec, da bi ocenil, ali je obdelava za drug namen združljiva z namenom, za katerega so bili osebni podatki prvotno zbrani, med drugim upošteva: kakršno koli povezavo med nameni, za katere so bili osebni podatki zbrani, in nameni načrtovane nadaljnje obdelave; okoliščine, v katerih so bili osebni podatki zbrani, zlasti kar zadeva razmerje med posamezniki, na katere se nanašajo osebni podatki, in upravljavcem; naravo osebnih podatkov, zlasti ali se obdelujejo posebne vrste osebnih podatkov v skladu s členom 9 ali pa se obdelujejo osebni podatki v zvezi s kazenskimi obsodbami in prekrški v skladu s členom 10; morebitne posledice načrtovane nadaljnje obdelave za posameznike, na katere se nanašajo osebni podatki; obstoj ustreznih zaščitnih ukrepov, ki lahko vključujejo šifriranje ali psevdonimizacijo. Treba pa je paziti, če na primer želite uporabiti telefonsko številko stranke za namen neposrednega trženja vaših storitev – v tem primeru velja posebna ureditev po
- členu Zakona o elektronskih komunikacijah (Uradni list RS, št. 109/12, 110/13, 40/14 – ZIN-B, 54/14 – odl. US, 81/15 in 40/17; v nadaljevanju ZEKom-1). Navedeni člen praviloma dopušča neposredno trženje le na podlagi predhodne privolitve (izjema velja za obveščanje kupca prek elektronske pošte o podobnih izdelkih ali storitvah, če je bil kupec že v času posredovanja svojega elektronskega naslova obveščen o namenu takšne uporabe in mu je bila ponujena možnost, da zavrne obveščanje). Področje neposrednega trženja v skladu z omenjenim
- členom ZEKom-1 nadzoruje AKOS. Še drugače je lahko na primer, če pokliče nekdo, ki ni v pogodbenem odnosu z upravljavcem. V tem primeru bi lahko njegov podatek upravljavec shranil na primer na podlagi njegove privolitve, pri čemer pa bi mu morali jasno obrazložiti, zakaj želi podatek hraniti, koliko časa, in mu posredovali druge informacije v zvezi z obdelavo podatkov v skladu s členom 13 Splošne uredbe. IP ob tem pojasnjuje, da Splošna uredba ne zahteva izrecno, da mora biti privolitev pisna, zahteva pa, da jo je upravljavec sposoben izkazati. Privolitev se lahko izkazuje tudi z zabeležko upravljavca, je pa verodostojnost takšnega dokaza šibkejša od pisne izjave posameznika. Pogoje veljavne privolitve lahko preberete na spletni strani IP (https://www.ip-rs.si/?id=102). Osebne podatke, ki jih shranite, smete hraniti le toliko časa, kot je potrebno glede na namen za katerega podatke hranite (načelo omejitve hrambe, člen 5
(1)(e) Splošne uredbe). IP načeloma dopušča hrambo podatkov v zvezi z izvajanjem pogodbe do 5 let po izteku pogodbe zaradi zastaralnih rokov za uveljavljanje terjatev. Podatke zbrane na podlagi privolitve posameznika, pa je dopustno hraniti tudi do preklica privolitve. Pomembno pa je, da so posamezniki že v času posredovanja svojih podatkov seznanjeni z vsemi zahtevanimi informacijami po členu 13 Splošne uredbe, vključno s tem, na kateri pravni podlagi se njihovi podatki hranijo, za kateri namen in koliko časa. Obveznost informiranja velja ne glede na to ali se podatke zbira na podlagi privolitve, zaradi pogodbe ali na drugi pravni podlagi v skladu s členom 6
(1)Splošne uredbe. Priporočljivo je, da imate baze podatkov strank ločene glede na namene in pravne podlage, po katerih podatke obdelujete. Le tako namreč lahko veste, kateri podatek je dopustno uporabiti za kateri namen glede na pravno podlago (da se na primer ne uporabi kontakta naročnika storitve, ki ni privolil v neposredno trženje, za tak namen). Le tako lahko presojate tudi (morebitno) združljivost namenov, če se podatke uporabi za drug namen kot za namen za katerega so bili podatki zbrani. Priporočljivo je tudi, da sistem vodenja baze strank omogoča opozarjanje na potek roka hrambe, da se lahko podatke pravočasno briše in ne pride do nezakonite hrambe osebnih podatkov. Več informacij v zvezi z zagotavljanjem skladnosti po Splošni uredbi najdete na spletnih straneh IP (www.ip-rs.si, www.upravljavec.si, www.tiodlocas.si). Lep pozdrav, Pripravil: Anže Novak, univ. dipl. prav. Svetovalec pooblaščenca za preventivo Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026