Mnenje glede veljavnih oblik privolitve + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 11.12.2007 Številka: 0712-1047/2007/2 Kategorije:Neposredno trženje, nagradne igre, Svetovni splet, Telekomunikacije in pošta --> Kategorije: Neporedno trženje, nagradne igre, Telekomunikacije in pošta, Svetovni splet Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je iz prejetih vprašanj zaznal potrebo po natančnejši opredelitvi pravnih podlag za obdelavo osebnih podatkov prek interneta, zato v nadaljevanju na podlagi predstavljenega dejanskega stanja ter na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/2004, 113/2005, 51/07 – ZUstS-A in 67/07, v nadaljevanju ZVOP-1) ter 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) objavlja neobvezno mnenje v zvezi s tem. Vprašanje se nanaša predvsem na situacije, ko upravljavci osebnih podatkov (npr. organizatorji nagradnih iger, izvajalci neposrednega trženja) osebne podatke zbirajo prek spletnih strani tako, da posameznika pozovejo, naj posreduje oziroma vpiše svoje osebne podatke v spletni obrazec. Povsem podobno vprašanje se postavlja pri zbiranju osebnih podatkov prek telefona in vseh ostalih primerih, ko ni možno z gotovostjo preveriti identitete posameznika, ki posreduje (upravljavcu daje) svoje osebne podatke. Gre torej za situacije, ko si posameznik želi stopiti v pogodbeno razmerje z upravljavcem zbirke osebnih podatkov, ko torej želi sodelovati v njegovi nagradni igri, oglaševalski akciji ipd., podatke pa mora posredovati na daljavo, z uporabo interneta ali telefona in torej ne z osebnim pristopom (npr. identifikacija z osebnim dokumentom). Pooblaščenec opozarja, da četudi upravljavec zbirke osebnih podatkov ne more z gotovostjo preveriti identitete posameznika, ne moremo zaključiti, da je takšno zbiranje osebnih podatkov nezakonito, še manj pa, da sploh ne gre za osebne podatke. Posameznik in upravljavec zbirke osebnih podatkov pa se seveda morata oba zavedati, da lahko v takih primerih prihaja do zlorab osebnih podatkov (npr. osebne podatke v spletni obrazec za osebo A vpiše oseba B, posameznik vpiše nepravilne- lažne podatke ipd.) in zato nosita riziko tovrstnega poslovanja oziroma zbiranja osebnih podatkov. Pooblaščenec je mnenja, da lahko določba 2. odstavka 10. člena ZVOP-1, (
- le)ob upoštevanju vseh pogojev iz tega mnenja, predstavlja ustrezno pravno podlago za zbiranje osebnih podatkov prek spletnih strani in elektronske pošte v tistih primerih, ko se ne uporablja varnega elektronskega podpisa. O b r a z l o ž i t e v: Osebna privolitev posameznika je v 14. točki 6. člena ZVOP-1 definirana kot prostovoljna izjava volje posameznika, da se lahko njegovi osebni podatki obdelujejo za določen namen, in je dana na podlagi informacij, ki mu jih mora zagotoviti upravljavec po tem zakonu. Iz citirane definicije izraza »osebna privolitev posameznika« ter iz načela zakonitosti in poštenosti pri obdelavi osebnih podatkov (2. člen ZVOP-1) izhaja, da se osebna privolitev posameznika lahko šteje kot veljavna pravna podlaga za obdelavo osebnih podatkov le v primeru, če je bil posameznik pred podajo osebne privolitve jasno seznanjen z namenom obdelave osebnih podatkov ter, če so mu bile pred podajo osebne privolitve s strani upravljavca osebnih podatkov dane informacije, ki jih določa ZVOP-1. 14. točka 6. člena ZVOP-1 dalje določa, da je osebna privolitev posameznika lahko pisna, ustna ali druga ustrezna privolitev posameznika. 15. točka 6. člena ZVOP-1 določa, da je pisna privolitev posameznika podpisana privolitev posameznika, ki ima obliko listine, določila v pogodbi, določila v naročilu, priloge k vlogi ali drugo obliko v skladu z zakonom. Podpis je tudi na podlagi zakona s podpisom izenačena oblika, podana s telekomunikacijskim sredstvom, ter na podlagi zakona s podpisom izenačena oblika, ki jo poda posameznik, ki ne zna ali ne more pisati. 16. točka 6. člena ZVOP-1 opredeljuje ustno ali drugo ustrezno privolitev posameznika, ki je ustno ali s telekomunikacijskim ali drugim ustreznim sredstvom ali na drug ustrezen način dana privolitev, iz katere je mogoče nedvomno sklepati na posameznikovo privolitev. ZVOP-1 je glede privolitve posameznika za obdelavo njegovih osebnih podatkov bistveno manj strog, kot so bili zakoni o varstvu osebnih podatkov, ki so veljali pred njim. Vsi prej veljavni zakoni so namreč dovoljevali le obdelavo osebnih podatkov na podlagi pisne privolitve posameznika, medtem ko ZVOP-1 dovoljuje obdelavo osebnih podatkov na podlagi osebne privolitve posameznika. Kljub temu, da ZVOP-1 dovoljuje tudi ustno ali drugo ustrezno privolitev posameznika, je za obdelovalce osebnih podatkov priporočljivo, da naj si povsod tam, kjer je to možno in ne zahteva prevelikih stroškov, še vedno skušajo pridobiti predvsem pisno privolitev posameznika, saj bo v primeru spora s posameznikom s pisno privolitvijo lažje dokazati obstoj pravne podlage za obdelavo osebnih podatkov kot zgolj z ustno privolitvijo. Usmeritev novega ZVOP-1, ki poleg pisne privolitve dopušča tudi druge možnosti za podajo osebne privolitve, je seveda povsem razumljiva. V 21. stoletju je namreč obdelava osebnih podatkov neizogibno povezana z informacijsko komunikacijskimi tehnologijami. Osebni podatki se tako zbirajo in nadalje obdelujejo s pomočjo številnih tehnologij – od svetovnega spleta do mobilnih komunikacij, pri tem pa postajajo meje med različnimi načini elektronskih komunikacij čedalje manj zaznavne ob konvergenci tehnologij in medijev, ki smo ji priča. Na spletnih straneh se osebne podatke praviloma zbira s pomočjo spletnih obrazcev, posameznik pa mora po vnosu osebnih podatkov v predvidena polja praviloma klikniti na gumb ali povezavo, s čimer naj bi podal svojo osebno privolitev za obdelavo osebnih podatkov, ki jih je vnesel. Pogosto se za »zbiranje« osebne privolitve posameznika uporabljajo tudi t.i. potrditvena polja (angl. tick-box ali check-box) ali spustni seznami (polja z vnaprej definiranim naborom možnih izbir ali t.i. drop-down list), posameznik pa mora po potrditvi takšnega polja klikniti na ustrezen gumb ali povezavo, lahko pa je že s potrditvijo ali izbiro preusmerjen naprej, s čimer se predvideva, da se je strinjal z obdelavo osebnih podatkov. 15. točka 6. člena ZVOP-1 določa, da je pisna privolitev posameznika podpisana privolitev posameznika, ki ima obliko listine, določila v pogodbi, določila v naročilu, priloge k vlogi ali drugo obliko v skladu z zakonom. Podpis je tudi na podlagi zakona s podpisom izenačena oblika, podana s telekomunikacijskim sredstvom, ter na podlagi zakona s podpisom izenačena oblika, ki jo poda posameznik, ki ne zna ali ne more pisati. Zakon, ki določa s podpisom izenačeno obliko, ustvarjeno s telekomunikacijskim sredstvom, je Zakon o elektronskem poslovanju in elektronskem podpisu (Uradni list RS, št. 98/2004, uradno prečiščeno besedilo, v nadaljevanju ZEPEP) in na podlagi ZEPEP sprejeti podzakonski akti. ZEPEP v 2. členu določa, da je elektronski podpis niz podatkov v elektronski obliki, ki je vsebovan, dodan ali logično povezan z drugimi podatki, in je namenjen preverjanju pristnosti teh podatkov in identifikaciji podpisnika. V 4. točki istega člena pa je določeno, da je varen elektronski podpis tisti, ki je povezan izključno s podpisnikom, da je iz njega mogoče zanesljivo ugotoviti podpisnika, da je ustvarjen s sredstvi za varno elektronsko podpisovanje, ki so izključno pod podpisnikovim nadzorom, ter da je povezan s podatki, na katere se nanaša, tako da je opazna vsaka kasnejša sprememba teh podatkov ali povezave z njimi. Sredstva za varno elektronsko podpisovanje so opredeljena v 37. členu ZEPEP, in sicer gre za sredstva, ki morajo z uporabo ustreznih postopkov in infrastrukture zagotavljati naslednje: 1. podatki za elektronsko podpisovanje morajo biti edinstveni in njihova zaupnost zagotovljena; 2. podatkov za elektronsko podpisovanje ni mogoče v razumnem času ali z razumnimi sredstvi ugotoviti iz podatkov za preverjanje elektronskega podpisa, elektronski podpis pa je učinkovito zaščiten pred poneverjanjem z uporabo trenutno dostopne tehnologije; 3. podpisnik lahko zanesljivo varuje svoje podatke za elektronsko podpisovanje pred nepooblaščenim dostopom. 2. odstavek tega člena dalje določa, da sredstvo za varno elektronsko podpisovanje ne sme spremeniti podatkov, ki se podpisujejo, ali preprečiti prikaza podatkov podpisniku pred podpisom. 3. odstavek 37. člena ZEPEP določa, da Vlada Republike Slovenije s podzakonskim predpisom predpiše podrobnejša merila za izpolnjevanje zahtev glede sredstev za varno elektronsko podpisovanje iz tega člena. Tu gre predvsem za Uredbo o pogojih za elektronsko poslovanje in elektronsko podpisovanje (Ur.l. RS, št. 77/2000 s spremembami in dopolnitvami). Na podlagi navedenega je potrebno postaviti zaključek, da klikov na gumb ali povezavo, označitve potrditvenega polja, izbire možnosti na spustnem seznamu in drugih elementov grafičnih spletnih vmesnikov na spletnih straneh brez uporabe varnega elektronskega podpisa ni možno šteti za osebno privolitev posameznika, kot jo opredeljuje ZVOP-1, saj v tem primeru niso izpolnjeni pogoji iz 15. točke 6. člena ZVOP-1. Pooblaščenec pa meni, da je tovrstno zbiranje osebnih podatkov kljub temu lahko v skladu z ZVOP-1. 2. odstavek 10. člena ZVOP-1, ki določa pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju, namreč določa, da se ne glede na 1. odstavek 10. člena, ki predvideva zakonsko podlago ali osebno privolitev posameznika, v zasebnem sektorju lahko obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe. Omenjeni člen povzema določbo člena 7b Direktive 95/46/ES Evropskega parlamenta in sveta z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov, ki določa, da Države članice določijo, da se lahko osebni podatki obdelujejo, če je obdelava potrebna za izvajanje pogodbe, katere stranka je posameznik, na katerega se nanašajo osebni podatki, ali pa za izvajanje ukrepov na zahtevo posameznika, na katerega se osebni podatki nanašajo, pred sklenitvijo pogodbe. Zasebni sektor lahko torej zbira osebne podatke na spletnih straneh tudi brez uporabe varnega elektronskega podpisa, če štejemo, da gre pri vnosu podatkov s pomočjo klikov na gumb ali povezavo, označitev potrditvenega polja, izbiro možnosti na spustnem seznamu in drugih elementov grafičnih spletnih vmesnikov na spletnih straneh za dejanja posameznika, ki jih lahko štejemo kot dejanja za sklenitev pogodbe na daljavo, kot to opredeljuje Zakon o varstvu potrošnikov (Uradni list RS, št. 98/2004, ZVPot-UPB2 s spremembami in dopolnitvami; v nadaljevanju ZVPot). 43. člen ZVPot opredeljuje pogodbe, sklenjene na daljavo, kot pogodbe o dobavi blaga ali opravljanju storitev, vključno s finančnimi storitvami, ki so sklenjene med podjetjem in potrošnikom na podlagi organiziranega programa za ponujanje blaga ali storitev na daljavo, ki ga vodi podjetje in ki za namen sklenitve uporablja izključno enega ali več sredstev za komunikacijo na daljavo, vse do takrat in vključno s trenutkom, ko je pogodba sklenjena. 2. odstavek 43. člena dalje določa, da so sredstva za komuniciranje na daljavo tista sredstva komunikacije, ki omogočajo sklenitev pogodbe tako, da ni potrebna istočasna fizična prisotnost pogodbenih strank. 3. odstavek istega člena dalje določa, da so sredstva za komuniciranje na daljavo zlasti: pisemske pošiljke in druge tiskovine, katalogi, telefonski pogovori, oglaševanje v tisku z naročilnico, televizijska prodaja, faksimile naprava, elektronska pošta in svetovni splet oziroma internet. Na podlagi navedenega je Pooblaščenec mnenja, da lahko določba 2. odstavka 10. člena ZVOP-1 predstavlja pravno podlago za zbiranje osebnih podatkov prek spletnih strani in elektronske pošte v tistih primerih, ko se ne uporablja varen elektronski podpis, kot tista oblika identifikacije posameznika, ki je na podlagi zakona s podpisom izenačena oblika. Pri tem pooblaščenec opozarja na striktno upoštevanje načela namenskosti, kot je opredeljeno v 16. členu ZVOP-1, ki določa, da se osebni podatki lahko zbirajo le za določene in zakonite namene ter se ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s temi nameni, če zakon ne določa drugače. Prav tako je potrebno upoštevati načelo sorazmernosti, ki določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo (3. člen ZVOP-1). V vsakem primeru pa Pooblaščenec opozarja tudi na načelo zakonitosti in poštenosti, ki določa, da se osebni podatki obdelujejo zakonito in pošteno. Ob upoštevanju navedenega Pooblaščenec priporoča, da se upravljavci spletnih strani, na katerih se zbirajo osebni podatki za namene izvajanja nagradnih iger, neposrednega trženja in za druge namene, držijo naslednjih priporočil: • Obiskovalce spletnih strani na jasen, enostavno dosegljiv in transparenten način seznanite z namenom zbiranja in nadaljnje obdelave osebnih podatkov ter o pravicah posameznika v zvezi s tem. • Če uporabljate potrditvena polja, naj bodo ta privzeto nepotrjena. Če izvajate neposredno trženje s pomočjo elektronskih komunikacij namreč praviloma velja načelo opt-in (načelo vnaprejšnje privolitve), zato je primerno, da posameznik s klikom na potrditveno polje sam potrdi prostovoljno izjavo volje glede obdelave osebnih podatkov. • Če od posameznikov zbirate osebne podatke za več namenov ali za več upravljavcev in pri tem uporabljate potrditvena polja, je primerno, da imate več potrditvenih polj, med katerimi se lahko posameznik prostovoljno odloča. • Če je le možno, uporabljajte tako imeni dvojni opt-in, t.j., da posamezniku pošljete e-pošto na naslov, ki ga je navedel, tako da posameznik z odgovorom na e-pošto (ali klikom na povezavo v e-pošti) potrdi, da je bil dejansko tista oseba, ki je vnesla podatke na vaši spletni strani. S tem se boste tudi izognili morebitnim težavam v primeru zlorab in prijav, ko bo podatke vnesla druga oseba in ne tista, na katero se nanašajo podatki. V vsakem primeru pa morajo upravljavci zbirk osebnih podatkov, ki podatke zbirajo prek spletnih strani, spoštovati tudi ostale obveznosti, ki jim jih glede obdelave osebnih podatkov nalaga ZVOP-1. Priporočamo vam, da si ogledate tudi druga mnenja s področja varstva osebnih podatkov, ki so objavljena na spletni strani http://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/, po kateri lahko iščete s pomočjo naprednega iskalnika. Lepo vas pozdravljamo, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026