Neposredno trženje in ZVOP-1 - IPRS

Neposredno trženje in ZVOP-1 + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.07.2015 Številka: 0712-1/2015/1807 Kategorije:Neposredno trženje, nagradne igre, Pogodbena obdelava OP --> Kategorije: Neporedno trženje, nagradne igre, Pogodbena obdelava OP Informacijski pooblaščenec je prejel vaš dopis v katerem sprašujete ali je upravljavec osebnih podatkov po
3. odstavku
4. člena ZVOP-1 v primeru, ko osebne podatke posreduje pogodbenemu obdelovalcu ali drugim uporabnikom, o tem dolžan obvestiti posameznike, tudi če ne gre za namen neposrednega trženja. Poleg tega vas še zanima ali lahko upravljavec obvestilo po
5. odstavku
6. člena ZVOP-1 pripravi »vnaprej«, t.j. posamezniku »na zalogo« posreduje obvestilo v katerem niso konkretizirani niti pogodbeni obdelovalci, niti podatki, ki naj bi se jim posredovali.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
7. točke
8. odstavka
9. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter
10. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Dikcija
11. odstavka
12. člena ZVOP-1 »za namene neposrednega trženja« se nanaša tako na uporabnike kot pogodbene obdelovalce osebnih podatkov. Upravljavec sicer lahko skladno z
13. členom ZVOP-1, ki ureja pogodbeno obdelovalo, pogodbenim obdelovalcem posreduje osebne podatke tudi za drugačne namene. V teh primerih – z izjemo neposrednega trženja – upravljavcu ni potrebno obveščati posameznikov o tem, da je posamezne segmente obdelave osebnih podatkov zaupal pogodbenim obdelovalcem. Vendar pa je treba poudariti, da to velja le, ko ima upravljavec že pravno podlago za obdelavo določenih osebnih podatkov za določen namen, pogodbeni obdelovalec pa zgolj izvede del obdelave v imenu in za račun upravljavca. V zvezi s posredovanjem »blanketnih« obvestil o neposrednem trženju, s katerimi bi upravljavec pridobil privolitev posameznikov, Informacijski pooblaščenec meni, da tak pristop ni skladen z zahtevami
14. odstavka
15. člena ZVOP-1, ki izrecno zahteva naj bodo posamezniki obveščeni o tem komu in za kakšen namen bo upravljavec posredoval njihove podatke.ZVOP-1 v
16. členu ureja pravice in dolžnosti upravljavca osebnih podatkov, ko ta podatke obdeluje za namen neposrednega trženja. V
17. odstavku tega člena je neposredno trženje opredeljeno kot obdelava osebnih podatkov za namene ponujanja blaga, storitev, zaposlitev ali začasnega opravljanja del z uporabo poštnih storitev, telefonskih klicev, elektronske pošte ali drugih telekomunikacijskih sredstev (v nadaljnjem besedilu: neposredno trženje) v skladu z določbami tega poglavja, če drug zakon ne določa drugače.
18. odstavek določa katere podatke lahko za namen neposrednega trženja obdeluje upravljavec osebnih podatkov. To so: osebno ime, naslov stalnega ali začasnega prebivališča, telefonsko številko, naslov elektronske pošte ter številko telefaksa. Seveda lahko na podlagi osebne privolitve posameznika upravljavec osebnih obdeluje tudi druge osebne podatke, občutljive osebne podatke pa le, če ima za to osebno privolitev posameznika, ki je izrecna in praviloma pisna.Ob tem mora upoštevati zahtevo
19. odstavka, in sicer ob izvajanju neposrednega trženja mora obvestiti posameznika o njegovih pravicah iz
20. člena ZVOP-
21. Te pravice posamezniku omogočajo, da lahko kadarkolipisno ali na drug dogovorjen način zahteva, da upravljavec osebnih podatkov trajno ali začasno preneha uporabljati njegove osebne podatke za namen neposrednega trženja. Upravljavec osebnih podatkov je dolžan v 15 dneh ustrezno preprečiti uporabo osebnih podatkov za namen neposrednega trženja ter o tem v nadaljnjih petih dneh pisno ali na drug dogovorjen način obvestiti posameznika, ki je to zahteval.
22. odstavek
23. člena še določa, da je upravljavec osebnih podatkov, ki osebne podatke iz
24. odstavka istega člena posreduje drugim uporabnikom za namene neposrednega trženja ali pogodbenim obdelovalcem, o tem dolžan obvestiti posameznika in pred posredovanjem osebnih podatkov pridobiti njegovo pisno privolitev. Obvestilo posamezniku o nameravanem posredovanju osebnih podatkov mora vsebovati informacijo, katere podatke namerava posredovati, komu in za kakšen namen. Stroške obvestila krije upravljavec osebnih podatkov.Za celovitejše razumevanje predstavljenega problema je potrebno upoštevati še
25. in
26. odstavek
27. člena ZVOP-1, ki ureja pogodbeno obdelavo osebnih podatkov. Upravljavec osebnih podatkov lahko posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
28. člena tega zakona.Pogodbeni obdelovalec sme opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
29. člena tega zakona. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz
30. člena tega zakona.Vaši vprašanji sta naslednji:Ali je upravljavec dolžan obvestiti posameznika tudi, če pogodbenim obdelovalcem posreduje podatke iz
31. odst.
32. člena ZVOP-1 za namene, ki niso neposredno trženje? Pri uporabnikih je namreč dodano "za namene neposrednega trženja", pri pogodbenih obdelovalcih pa ne.Dikcija iz
33. odstavka
34. člena ZVOP-1 »za namene neposrednega trženja« se vsebinsko nanaša tako na posameznike kot tudi na pogodbene obdelovalce. Torej gre v obeh primerih za vprašanje neposrednega trženja. Drug del vprašanja pa je ali je upravljavec osebnih podatkov posameznika dolžan obveščati o tem kaj se dogaja z osebnimi podatki, če jih je posredoval pogodbenim obdelovalcem za namene, ki niso del neposrednega trženja. Odgovor je odvisen od tega ali gre za pogodbeno obdelavo, ki jo pogodbeni obdelovalec izvaja v imenu in na račun upravljavca osebnih podatkov, ali pa gre za to, da upravljavec nekemu drugemu subjektu pošlje osebne podatke, ta novi subjekt pa jih namerava obdelovati zase in za svoje namene.V prvem primeru, ko gre za »klasično« pogodbeno obdelavo, pogodbeni obdelovalec predstavlja zgolj nekakšno preslikavo upravljavca, zanj in izključno zanj izvaja neko konkretno obdelavo osebnih podatkov, še to za namen, ki ga je določil upravljavec. V tem primeru – razen če gre za neposredno trženje – upravljavec praviloma ni dolžan obveščati svojih uporabnikov oz. posameznikov o tem kdo vse obdeluje osebne podatke o njih. Kot že zapisano, če gre za namen neposrednega trženja, upravljavec mora obveščati posameznike o tem, za druge namene pa ne. Seveda pa je situacija popolnoma drugačna, če ne gre za dejansko pogodbeno obdelavo, ki jo ureja
35. člen, ampak za »izmenjavo« podatkov, kar pomeni, da ne gre za pogodbeno razmerje v smislu upravljavec – pogodbeni obdelovalec, ampak za dva upravljavca, ki si med seboj izmenjata podatke, nato pa jih obdelujeta vsak zase in za svoje namene. V teh primerih pa je vsekakor potrebno o tem obvestiti posameznike na katere se podatke nanašajo in pridobiti predhodno privolitev za novo obdelavo osebnih podatkov.Ali lahko upravljavec temu določilu zadosti tako, da posamezniku vnaprej in "na zalogo" posreduje obvestilo, na katerem niso konkretizirani niti uporabniki oz. pogodbeni obdelovalci, niti podatki, ki bi se naj posredovali.Upravljavec osebnih podatkov, ki osebne podatke iz
36. odstavka istega člena posreduje drugim uporabnikom za namene neposrednega trženja ali pogodbenim obdelovalcem, o tem dolžan obvestiti posameznika in pred posredovanjem osebnih podatkov pridobiti njegovo pisno privolitev. Obvestilo posamezniku o nameravanem posredovanju osebnih podatkov mora vsebovati informacijo, katere podatke namerava posredovati, komu in za kakšen namen.Iz
37. odstavka
38. člena je razvidno, da mora biti upravljavec pri obveščanju posameznika konkreten, »blanketna« privolitev brez konkretnih navedb o tem kateri podatki bodo posredovani komu in za kakšen namen, po mnenju Informacijskega pooblaščenca, ne zadošča.Prijazen pozdrav,Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenkaPripravil:mag. Matjaž Drev, državni nadzornik za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026