Mnenje in uporaba podatkov na nedokončanem spletnem obrazcu - IPRS

Mnenje in uporaba podatkov na nedokončanem spletnem obrazcu + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 01.06.2015 Številka: 0712-1/2015/1495 Kategorije:Bančništvo, Svetovni splet --> Kategorije: Svetovni splet, Bančništvo Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem navajate, da ste ena od domačih bank in da želite ponuditi možnost oddaje vloge za odprtje transakcijskega računa na svoji spletni strani, preko posebnega obrazca. Ker je pri tem potrebno zbrati sorazmerno veliko podatkov, ste obrazec razdelili na štiri korake (matični podatki, osebni dokument, želene storitve, potrditev). Vendar pa zavoljo tega beležite veliko primerov, ko stranka ne zaključi izpolnjevanja obrazca, ampak nekje na poti zapusti spletno stran. Zanima vas, ali lahko s ciljem povečanja deleža uspešnih zaključitev obrazca hranite tudi podatke o tistih uporabnikih, ki obrazca niso zaključili, ter jih potem preko e-pošte povabite k zaključitvi obrazca.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke
4. odstavka
5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Po mnenju IP ni mogoče šteti, da je uporabnik spletnega obrazca, ki tega ni zaključil, že s tem, da začel izpolnjevati obrazec, podal privolitev za uporabo morebitnih že vnesenih podatkov za potrebe neposrednega trženja (oz. za druge namene). Uporaba podatkov iz nedokončanega spletnega obrazca za potrebe neposrednega trženja bi bila dopustna le, če bi bil uporabnik še pred vnosom podatkov o tem vnaprej obveščen in bi v to aktivno privolil.Obrazložitev:V skladu s
7. tč.
8. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB, v nadaljevanju ZVOP-1) je osebni podatek katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen. Podatki s spletnega obrazca za odprtje transakcijskega računa torej nedvoumno predstavljajo osebne podatke posameznika, ki želi odpreti takšen račun. Ker je že na prvi strani tega obrazca potrebno vnesti podrobne podatke o identiteti uporabnika (»matične podatke«), tudi ni dvomov, da se ti podatki nanašajo na posameznika kot določljivo fizično osebo v smislu
9. tč. istega člena. Posledično je za njihovo zbiranje in kasnejšo obdelavo potrebna pravna podlaga. Ta je v skladu z
10. odst.
11. člena lahko podana bodisi v zakonu bodisi v osebni privolitvi posameznika.Obdelavo osebnih podatkov za potrebe vodenja bančnega računa ter opravljanje pripadajočih plačilnih in bančnih storitev ureja več zakonov, med njimi zlasti Zakon o plačilnih storitvah in sistemih (Uradni list RS, št. 58/09, 34/10, 9/11 in 32/12, v nadaljevanju ZPlaSS). Slednji v svojem
12. členu določa sorazmerno široko podlago za zbiranja in hrambo podatkov o imetniku računa. Tudi dejstvo, da je obrazec za odprtje izveden v elektronski in ne pisni obliki, za to načeloma ne more biti ovira (glej
13. odst.
14. člena Zakona o elektronskem poslovanju in elektronskem podpisu (Uradni list RS, št. 98/04 – UBP, 61/06 – ZEPT in 46/14, v nadaljevanju ZEPEP). Vendar pa je treba poudariti, da vse navedene določbe bančne oz. plačilne zakonodaje veljajo šele po tem, ko je pogodba o vodenju transakcijskega računa že sklenjena, oz. vsaj po tem, ko bodoči imetnik računa odda ustrezno izpolnjeno vlogo za odprtje takšnega računa.V času do oddaje ponudbe oz. sklenitve te pogodbe se namreč dejanja obeh strank štejejo za pogajanja, v smislu
15. člena Obligacijskega zakonika (Uradni list RS, št. 97/07 – UBP, v nadaljevanju OZ). Pogajanja strank pa ne zavezujejo in vsaka jih lahko prekine, kadarkoli hoče (izvzemši morebitno odgovornost v primeru pogajanja brez namena sklenitve pogodbe in nekatere druge prisilne predpise). Posledično dejstva, da je stranka začela izpolnjevati nek obrazec, še ni mogoče šteti za njene osebne privolitve v odprtje tega računa, niti kot privolitve v uporabo tako vnesenih podatkov za neposredno trženje te storitve ali za kakšne druge namene. Če bi stranka kaj od tega želela, bi to lahko izrecno sporočila, še zlasti s tem, da zaključi obrazec. Takšen model je na splošno običajen na svetovnem spletu, kjer se šteje, da je treba podatke iz delno izpolnjenih obrazcev nemudoma zavreči. »Nemudoma« v tem kontekstu pomeni takrat, ko se uporabnik odjavi iz svojega računa, oz. če to ne pride v poštev (ker registracije ni), takrat, ko poteče nek običajni čas (tipično tisti, ki je potreben, da v zalednem informacijskem sistemu poteče uporabnikova seja).Da uporaba osebnih podatkov za namene neposrednega trženja ni dopustna brez uporabnikove privolitve, določa tudi Zakon o elektronskih komunikacijah (Uradni list RS, št. 109/12, 110/13, 40/14 – ZIN-B in 54/14 – odl. US, v nadaljevanju ZEKom-1).
16. člen ZEKom-1 v prvem oz. drugem odstavku določa, da je uporaba elektronske pošte za namene neposrednega trženja dovoljena samo na podlagi uporabnikovega predhodnega soglasja (
17. odst.), oz. kvečjemu še v primeru, da pošiljatelj trži osebi, ki je predhodno že naročila kakšno njegovo storitev, in pri tem pustila svoj elektronski naslov (
18. odst.), pri čemer gre za trženje iste ali sorodne storitve. Da bi bil kateri od teh dveh pogojev v vašem primeru izpolnjen, spet na splošno ni mogoče trditi.Uporaba podatkov iz nedokončanega spletnega obrazca za neposredno trženje bi torej lahko pomenila kršitev predpisov o varstvu osebnih podatkov (obdelava osebnih podatkov brez pravne podlage) ter predpisov o neposrednem trženju (neposredno trženje brez naslovnikove privolitve), eventualno pa še predpisov bančne oz. plačilne zakonodaje. Vse to predstavlja prekrške po pripadajočih zakonih. Iz tega razloga po mnenju IP tudi ni mogoče šteti, da bi bila takšna uporaba podatka o e-poštnem naslovu lahko dopustna na podlagi t.i. testa interesov (
19. odst.
20. člena ZVOP-1). ZEKom-1 namreč glede tehtanja interesov namreč jasno določa, da je za začetek uporabe podatkov za neposredno trženje fizični osebi potrebna njena privolitev.Je pa treba dodati, da je navedena ureditev v nekaterih robnih primerih, zlasti pri daljših obrazcih, kjer je pričakovati znatnejši »osip«, lahko tudi neprimerna. V teh primerih je dostikrat tudi v interesu uporabnikov, da se imajo v nekem razumnem roku možnost vrniti na že začeti obrazec in nadaljevati, kjer so zaključili, brez da bi rabili vse začeti znova. V teh primerih mora seveda upravljavec obrazca ravnati proaktivno in si še pred izpolnjevanjem obrazca na primeren in sorazmeren način zagotoviti nedvoumno soglasje uporabnika za povratni kontakt oz. samo hrambo že vnesenih podatkov v primeru nedokončanja obrazca. Uporabnik mora biti pred vnosom podatkov v spletni obrazec nedvoumno seznanjen s tem, da bodo vneseni podatki (in kateri podatki) uporabljeni (in za katere namene) tudi, če ne bo dokončal izpolnjevanja obrazca in mora v to aktivno privoliti. Načinov za to je več, npr. z uporabo pojavnega okna (pop-upa) v primeru poskusa zaprtja obrazca oz. v primeru daljše neaktivnosti na obrazcu, z uporabo ustreznega stikala za privolitev na kateri od strani obrazca, z zahtevo po predhodni registraciji in sprejetju splošnih pogojev, ki bi to določali, in podobno. Pri tem je na vas kot upravljavcu, da sami izberete način, ki bo učinkovit, a hkrati prijazen in sorazmeren do uporabnika. Sklepno torej poudarjamo, da je uporaba podatkov iz nedokončanega spletnega obrazca za potrebe neposrednega trženja dopustna le, če bi bil uporabnik še pred vnosom podatkov o tem vnaprej obveščen in bi v to aktivno privolil. Ob tem pa dodajamo še opombo v zvezi z drugim korakom obrazca, tj. kar se tiče pridobivanja podatkov o osebnem dokumentu. V kolikor se zahteva kopija (sken, fotografija, ..) osebnega dokumenta, je treba upoštevati določbe pripadajočih zakonov (o osebni izkaznici, o potnih listinah), ki iz varnostnih prepovedujejo hrambo takšne kopije v elektronski obliki. Banka mora takšno kopijo nemudoma natisniti, elektronski izvirnik pa uničiti. Prav tako mora banka tudi v tem primeru poskrbeti za ustrezno identifikacijo uporabnika, da prepreči morebitne kraje identitete ali druge goljufije, ki utegnejo nastopiti ob preblagih pogojih za odprtje računov in drugih finančnih mehanizmov na daljavo (v smislu obveznosti do zavarovanja osebnih podatkov po
21. členu ZVOP-1). Načinov za to je spet več, npr. tako, da se od uporabnika zahteva, da se izkaže s kvalificiranim digitalnim potrdilom, pri čemer se na vse ustrezne načine preveri, da le-to še ni bilo preklicano (kot ukradeno, idr.), ali da se od uporabnika zahteva, da se zavoljo dokončne sklenitve pogodbe oglasi v vaši poslovalnici in se osebno izkaže z veljavnim osebnim dokumentom.S spoštovanjem,Mojca Prelesnik, univ.dipl.prav.,Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026