GDPR - pravica do pozabe in mala podjetja - IPRS

GDPR - pravica do pozabe in mala podjetja + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.06.2017 Številka: 0712-3/2017/9 Kategorije:Razno --> Kategorije: Razno Spoštovani, Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaša vprašanja glede naslednjih vidikov (tehničnih) implementacij Splošne uredbe o varstvu podatkov (angl. General Data Protection Regulation – GDPR) za mikro in mala podjetja, posebej upravljavce manjših spletnih strani in trgovin:
3. Glede uporabe piškotkov vas zanima ali bo prišlo tudi do sprememb pri obveščanju glede uporabe piškotkov in konkretna navodila v zvezi s tem ter informacije glede standardiziranih ikon, ki naj bi pomagale pri uporabniški izkušnji.
4. Sprašujete ali so načrtovane tudi spremembe ZEKom-1 konkretno t.i. opt-in implementacije in ali bo odslej morda dovolj le povezava v "nogi" strani ali bo treba uporabnikom ob prvem obisku vedno prikazovati dialog s pojasnitvami?
5. V zvezi z zahtevo po zagotavljanju kakovosti podatkov opozarjate, da uredba navaja dolžnost upravljavcev po zagotavljanju ažurnosti, pravilnosti in veljavnosti zbranih osebnih podatkov. Sprašujete, kako je to mišljeno v praksi in ali morate npr. vsak kontakt pridobljen preko kontaktnega obrazca ročno preveriti (recimo poklicati osebo in preveriti podatke) ter nato redno izvajati preverbe, ali je dovolj, da uporabnike/naročnike seznanimo o tem ter so tako sami odgovorni za ažurnost podatkov (če se seveda strinjajo z našimi jasnimi nameni uporabe le-teh)?
6. Glede enostavnih spletnih trgovin in s tem povezanih novosti kot npr. pravice do pozabe, izvoza podatkov uporabnikov itn. sprašujete ali ta pravila veljajo tudi za mikro podjetja in ali obstaja glede roka hrambe podatkov po zadnji uporabnikovi aktivnosti kakšna pravna praksa iz tujine?
7. Sprašujete še, kaj se po daljši neaktivnosti zgodi s prometnimi in drugimi uporabniškimi podatki pri prijavi v spletno trgovino na podlagi soglasja. Kot navajate, morate zaradi računovodstva poslan račun ohraniti. Zanima pa vas, ali morate neaktivne uporabnike po določenem času »odstraniti« iz vseh vaših zbirk podatkov (in varnostnih kopij) ali je dovolj, da uporabnike pozovete k temu, da se bodisi strinjajo bodisi ne strinjajo z ohranitvijo v zbirki in njihove podatke v primeru soglasja ohranite v vaših zbirkah? Zahvaljujemo se vam za vaša vprašanja glede posameznih vidikov uporabe Splošne Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
8. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; uredba), ki se začne neposredno uporabljati
11. Uvodoma pojasnjujemo, da še ni znano, kako bo potekal prenos uredbe v slovenski pravni red. Obenem dodajamo, da na evropski ravni kot del reforme varstva zasebnosti sočasno poteka tudi priprava nove evropske uredba o e-zasebnosti na enotnem digitalnem trgu, ki pa še ni sprejeta, zato podrobnosti v tem delu sploh še niso znane. Predlagamo, da si preberete tudi nekatere smernice, ki smo jih nadzorni organi v okviru Delovne skupine po členu 29 že pripravili na temo uporabe uredbe in so na voljo na naši spletni strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/mnenja-na-eu-ravni/Priporočamo, da tudi v bodoče spremljate našo spletno stran in spletno stran Ministrstva za pravosodje, ki je pristojno za pripravo predpisov na področju varstva osebnih podatkov. V nadaljevanju pa vam po posameznih točkah na podlagi informacij, ki ste nam jih posredovali ter
12. točke prvega odstavka
13. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/2004 s spremembami in dopolnitvami; v nadaljevanju: ZVOP-1) posredujemo odgovore, ki so znani.Ad 1Razen splošnih določb glede veljavnosti privolitve, ki jih vsebuje GDPR, dodatnih informacij ali navodil v zvezi z morebitnimi spremembami glede predpisov o uporabi piškotkov na tem področju zaenkrat ne moremo podati, vendar načeloma e pričakujemo večjih sprememb. Prav tako še ni podatkov, kako bo to področje morda zajeto v okviru nove možnosti uvedbe standardiziranih ikon in zagotavljanja ustrezne ravni varstva preko teh. Pričakujemo, da bo to področje zajeto v okviru nove evropske uredba o e-zasebnosti na enotnem digitalnem trgu, ki pa je v fazi osnutka, ki se še spreminja, zato več informacij zaenkrat ni na voljo.Ad 2Večjih sprememb na tem področju ne pričakujemo, prav tako pa bo treba tudi v tem delu (enako kot pojasnjujemo zgoraj) počakati najprej na sprejem nove evropske uredba o e-zasebnosti na enotnem digitalnem trgu.Ad 3Glede zagotavljanja kakovosti in ažurnosti podatkov dejansko zelo verjetno zahteve uredbe v praksi ne bodo pomenile bistvenih sprememb, saj takšno zahtevo vsebuje že ZVOP-1 (
14. člen). Vsekakor so pri tem mišljeni razumni in smiselni ukrepi, o tem pa mora glede na naravo obdelave in vrste podatkov za vsak konkreten primer presoditi in ukrepe določiti upravljavec, kot na primer v primeru nakazane oz. sporočene netočnosti, nezakonitosti, zagotavljanja pravočasnega izbrisa podatkov za obdelavo katerih ni več pravne podlage, občasno kontaktiranje posameznikov, če se oceni, da je to potrebno, in ustrezna skrb za to ipd.Ad 4Pravila veljajo za vse upravljavce osebnih podatkov, razen posameznih delov npr. vodenje evidence dejavnosti obdelave (
15. člen uredbe), kjer so v uredbi izrecno določene izjeme. IP nima zbrane pravne prakse drugih držav glede opredelitve enotnih konkretnih absolutnih rokov hrambe, saj je to odvisno predvsem od nacionalne zakonodaje in posameznih namenov. Ad 5Rok hrambe je, kot rečeno, primarno odvisen od namena opredeljenega v pravni podlagi za obdelavo podatkov, upravljavec pa mora za posamezne podatke vedeti in spremljati, kdaj ti roki potečejo (zakon ali soglasje). Enotnega pravila o absolutnem roku hrambe za vse podatke neaktivnih uporabnikov torej ni mogoče podati, saj je odvisen od vrste podatkov in konkretnega namena zbiranja. Predpogoj je torej ustrezna seznanitev posameznikov z namenom v fazi zbiranja, kar omogoča predvidevanja roka hrambe. Vsekakor pa je za hrambo podatkov, katerih podlaga za zbiranje je zgolj v privolitvi, možnost, ki jo predlagate eden od možnih ukrepov, pod pogojem, da za določene podatke zakon ne zahteva daljše hrambe in da so zagotovljeni ostali ukrepi in zakonitost zbiranja. Ustrezno skrb velja zato posvetiti v prvi vrsti jasni opredelitvi namena hrambe ob pridobivanju soglasja (kar zahteva že ZVOP-1) oz. sklepanju poslovnega razmerja. Svetujemo, da si pogledate smernice IP na to temo (https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice__kodeks_obnasanja_pri_zbiranju_OP-slo.pdf) in seveda sta relevantna člena 13 in 14 uredbe. Najbolj ustrezno bi bilo že tam dovolj jasno časovno opredeli tudi konkreten časovni rok, če je to mogoče, kar lahko bistveno olajša tudi kasnejše zagotavljanje zakonitosti obdelave.Lepo vas pozdravljamo, Pripravila:Alenka Jerše,namestnica informacijske pooblaščenkeMojca Prelesnik, univ. dipl. prav.,informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026