Obdelava OP iz javno dostopnih virov, goljufije po internetu + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 23.08.2007 Številka: 0712-749/2007/2 Kategorije:Svetovni splet --> Kategorije: Svetovni splet Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne
- 2007 prejel vaše e-sporočilo, v katerem pojasnjujete, da se na svetovnem spletu pojavlja vse več goljufij, zaradi česar razmišljate o tem, da bi uporabnikom (potrošnikom) nudili posebno storitev – raziskavo o določenem poslovnem subjektu na podlagi javno dostopnih podatkov. Gre predvsem za samostojne podjetnike, pa tudi manjše d.o.o. ali d.n.o., ki svojo dejavnost širijo po spletu, med katerimi pa je veliko takih, ki storitev ne izpolnijo tako, kot obljubljajo na svetovnem spletu. Iz nadaljevanja sporočila izhaja, da vas zanima ali je dovoljeno zbiranje informacij, njihova nadaljnja obdelava in posredovanje naročniku, glede na to, da se iz sicer javnih podatkov »vidijo« tudi osebni podatki. Ker lahko avtentično razlago posameznih določb relevantnih predpisov daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05, 51/07-ZUstS in 67/07; v nadaljevanju ZVOP-1) ter
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ker Pooblaščenec ni seznanjen s tem, katere osebne podatke ste imeli v mislih, vam podajamo le splošen odgovor.
- Uvodoma je potrebno pojasnilo o relevantni ureditvi v ZVOP-1, kjer v
- členu najdemo naslednje opredelitve pojmov, ki so pomembni za razumevanje vašega primera: - Osebni podatek pomeni katerikoli podatek, ki se nanaša na določeno ali določljivo fizično osebo, torej posameznika, na glede na obliko, v kateri je izražen. Posameznik pa je določena ali določljiva fizična oseba, na katero se nanaša osebni podatek, pri čemer je določljiva, če se jo lahko neposredno ali posredno identificira s pomočjo njenih identifikacijskih številk (npr. EMŠO, davčna številka, številka zdravstvenega zavarovanja, telefonska številka, registrska številka vozila), ali s sklicevanjem na dejavnike, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto (npr. zaposlitev, naslov, funkcijo, položaj ali status v določenem subjektu, ipd.), pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa; - Obdelava osebnih podatkov je definirana kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, sporočanje in podobno; - Zbirka osebnih podatkov je vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Glede na določbo prvega odstavka
- člena ZVOP-1, se osebni podatki v javnem sektorju (npr. sodišče, ki vodi sodni register) lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. ZVOP-1 v prvem odstavku
- člena določa, da se osebni podatki v zasebnem sektorju (npr. gospodarske družbe) lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika.
- Kljub strogi omejitvi iz prejšnje točke, pa velja, da uživajo varstvo po ZVOP-1 in posebnih predpisih le tisti osebni podatki, ki jih lahko opredelimo kot t.i. varovane osebne podatke. Če so na svetovnem spletu in v drugih javno dostopnih »medijih« objavljeni osebni podatki, za katere nek zakon (npr. Zakon o gospodarskih družbah) določa obveznost javne objave (npr. objava v sodnem registru), potem je nadaljnja obdelava teh podatkov s strani tretjih oseb dopustna in za to ni potrebna še dodatna privolitev posameznika ali dodatna in izrecna podlaga v zakonu, kar pa sicer ne pomeni, da se ti podatki lahko uporabljajo v nasprotju z namenom, zaradi katerega so bili zbrani in nadalje obdelovani. Obdelava osebnih podatkov (npr. zbiranje, analiziranje, posredovanje, sporočanje…) je dopustna tudi takrat, kadar je nek posameznik na svetovnem spletu ali v drugem mediju prostovoljno objavil svoje osebne podatke, ali je te objavila tretja oseba na podlagi njegove privolitve. Da je temu res tako, lahko s pomočjo argumentacije »iz večjega na manjše« sklepamo iz določbe pete točke
- člena ZVOP-1, ki določa, da se občutljivi osebni podatki lahko obdelujejo, če je posameznik, na katerega se podatki nanašajo, te javno objavil brez očitnega ali izrecnega namena, da omeji namen njihove uporabe. Določba tudi nakazuje, da je pri zbiranju in nadaljnji obdelavi javno dostopnih osebnih podatkov potrebno biti pozoren na morebitne »pridržke« glede dopustnosti nadaljnje obdelave, zlasti omejitve določene po namenu.
- V nadaljevanju pojasnjujemo nekatere vidike obdelave podatkov na primeru t.i. bonitetnih storitev, ki uporabnikom omogočajo dostop do podatkov grupiranih v različne kategorije (npr. registrski, statusnopravni, kontaktni, poslovni in podobni podatki), ki se nanašajo na poslovne subjekte (gospodarske družbe, samostojne podjetnike, fizične osebe, ki opravljajo samostojne poklice in tudi negospodarske organizacije, državne organe in organe lokalne samouprave, izvajalce javnih služb, društva ipd.) – načeloma niso sporne z vidika varstva osebnih podatkov. Ti podatki o poslovnih subjektih so pridobljeni iz javnih virov npr. iz uradnih evidenc Agencije RS za javnopravne evidence in storitve, Statističnega urada RS, Zavoda RS za zaposlovanje, Davčne uprave RS, Banke Slovenije, nadalje iz Telefonskega imenika Slovenije, internetnih strani podjetij, oglasnih desk sodišč, periodike in podobno, pri čemer se tako zbrani podatki obdelani na način, ki uporabnikom nudijo dodano vrednost. V zgoraj omenjenih javnih evidencah in drugih javno dostopnih virih se zbirajo podatki na podlagi: zakonov, privolitev oseb oziroma prostovoljnega sporočanja podatkov ali zakonitega združevanja (povezovanja) podatkov iz drugih obstoječih virov (npr. zbirke finančnih podatkov FI-PO,podatke in kazalnike iz računovodskih izkazov vodi Agencija RS za javnopravne evidence in storitve (AJPES) na podlagi Zakona o plačilnem prometu). Na tem mestu je potrebno pojasniti, da je ZVOP-1 sistemski in temeljni predpis s področja varstva osebnih podatkov, ki določa pravice, obveznosti, načela in ukrepe, s katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost in dostojanstvo posameznika pri obdelavi osebnih podatkov. Glede na omenjeno področje, ki ga ureja ZVOP-1 in definicijo posameznika v istem zakonu, varstvo osebnih podatkov uživajo le posamezniki. Zato tudi večine podatkov v bonitetnih zbirkah, ki združujejo podatke o poslovnih (gospodarskih) subjektih, ki nastopajo na trgu, ne moremo šteti za osebne podatke. Omenjeno dejstvo pomeni, da javna objava poslovnih, bonitetnih in drugih podatkov o gospodarskih subjektih ne predstavlja posega v sistem varstva osebnih podatkov po ZVOP-1, saj gospodarski subjekti ne uživajo varstva osebnih podatkov kot ga vzpostavlja ZVOP-
- Samostojni podjetnik posameznik (s.p.) je, glede na glede na veljavno statusno pravno ureditev gospodarskih subjektov, fizična oseba, ki na trgu samostojno opravlja pridobitno dejavnost kot svojo izključno dejavnost. S.p. ni pravna oseba in tudi ni gospodarska družba, je pa nosilec gospodarskega podjema, »imetnik« podjetja in zato enakovreden gospodarski subjekt nasproti npr. gospodarskim družbam. Skladno z opredelitvijo samostojnega podjetnika v točki 1.3 je potrebno ločiti fizično osebo kot zasebnika oziroma kot gospodarski subjekt, ter isto fizično osebo, kot od gospodarskega podjema ločenega posameznika. Na podlagi povedanega lahko zaključimo, da samostojni podjetnik uživa varstvo po določbah ZVOP-1 in specialnih zakonov s področja varstva osebnih podatkov samo kadar nastopa kot fizična oseba v smislu posameznika po ZVOP-1, torej kot ne-gospodarski subjekt.
- Res pa je, da bonitetne zbirke vsebuje tudi nekatere osebne podatke v smislu ZVOP-1 (npr. osebna imena in prebivališča ustanoviteljev ter zastopnikov gospodarskih družb in s.p.-jev), vendar ti ne predstavljajo kategorije varovanih osebnih podatkov. Razlog je v tem, da pravni red (predvsem predpisi s področja gospodarskega prava) tovrstne podatke v interesu pravne varnosti oziroma varnosti pravnega prometa opredeljuje kot javne, tako kot je bilo že pojasnjeno v točki
- Tako se po pravilih registrskega prava npr. v sodni register obvezno vpisujejo osebno ime in bivališče ustanoviteljev ter zastopnikov posameznih gospodarskih družb. Obdelava omenjenih osebnih podatkov ima v tem primeru zakonsko podlago (Zakon o gospodarskih družbah ter Zakon o sodnem registru) kot jo zahteva določba prvega odstavka
- člena ZVOP-1 (gl. točka 1).
- Kljub zgornjim navedbam je potrebno opozoriti, da v okviru bonitetnih storitev, osebnih podatkov ustanoviteljev in zastopnikov ni dopustno obdelovati na način, ki bi uporabnikom omogočal iskanje po imenu in priimku. Že omenjeni Zakon o sodnem registru (Uradni list RS, št. 54/07 – UPB; ZSReg) v
- členu omejuje načelo javnosti sodnega registra tako, da ne dopušča dostopa do podatkov, ki niso vezani na posamezen subjekt vpisa, četudi je takšen dostop v centralni informatizirani bazi sodnega registra tehnično (programsko) mogoč. Poleg tega ne dopušča iskanja po registru na način, ki bi posamezniku omogočal ugotovitev ali je določena oseba ustanovitelj (družbenik) v subjektu vpisa in v katerem subjektu vpisa je ustanovitelj (družbenik) oziroma ali je določena oseba član uprave ali nadzornega sveta v subjektu vpisa in v katerem subjektu vpisa je član uprave ali nadzornega sveta. Res je, da ZSReg ne zavezuje neposredno bonitetnih podjetij, vendar je potrebno upoštevati, da gre pri vzpostavitvi in ažuriranju dela tovrstnih zbirk za t.i. ponovno uporabo informacij javnega značaja, ki jo ureja Zakon o dostopu do informacij javnega značaja (ZDIJZ). Ponovna uporaba pa po določbah
- člena ZDIJZ ni mogoča, kadar informacija javnega značaja (tudi če je sicer objavljena v javni knjigi) vsebuje osebne podatke katerih razkritje bi pomenilo kršitev varstva osebnih podatkov v skladu z zakonom, ki ureja varstvo osebnih podatkov. Osebni podatki iz javne knjige se lahko skladno z določbami
- člena Ustave RS ter določbami
- člena ZVOP-1 uporabljajo le v skladu z namenom, za katerega so bili zbrani ali se obdelujejo, če je zakoniti namen njihovega zbiranja ali obdelave določen ali določljiv. Glede na to, da je sodni register javna knjiga, to pomeni, da se osebni podatki iz sodnega registra lahko uporabljajo le za namene, za katere so bili zbrani, to je za namene, ki so določeni ali določljivi v ZSReg ali kakšnem drugem zakonu. Določbe ZSReg dajejo bonitetnim podjetjem ter ostali javnosti zakonsko podlago le za to, da si lahko iz navedenih zbirk pridobijo tiste podatke, za katere je določeno, da so javni.
- Pooblaščenec opozarja, da se to mnenje nanaša zgolj na vidik varstva osebnih podatkov, ne pa tudi na širši vidik pravice do zasebnosti, prav tako pa tudi ne razne vidike npr. kazenskega, obligacijskega in tržnega prava ter prava intelektualne lastnine! Za dajanje mnenj in presojo pravic in obveznosti na teh področjih Pooblaščenec namreč ni pristojen. Da bi se izognili morebitnim spornim pravnim razmerjem, Pooblaščenec predlaga, da se pri razkrivanju informacij o poslovanju omejite na obravnavo poslovnih subjektov in ne na obravnavo njihovih zastopnikov, ustanoviteljev, zaposlenih itd. Lepo vas pozdravljamo, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026