← Slovenija

Obveščanje posameznikov o obdelavi in pravica do ugovora - IPRS

Obveščanje posameznikov o obdelavi in pravica do ugovora + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 01.03.2022 Številka: 07121-1/2022/232 Kategorije: --> Kategorije: Informiranje posameznika, Občine, Pravica do ugovora Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem opisujete situacijo, ko občine opredelijo v svojih aktih, da je izvajanje določenih programov njihova javna naloga in z Rdečim križem Slovenije (v nadaljevanju RKS) sklene neposredno pogodbo za sofinanciranje delovanja njegovih območnih organizacij. Občina nato Rdečemu križu za izvajanje nalog posreduje osebne podatke občanov iz centralnega registra prebivalstva (CRP), ki jih program zadeva (npr. program pomoči starejšim občanom, obiskovanje ob jubilejnih dogodkih, vabila na dogodke. V tem kontekstu se vam zdi pomembno izpolnjevanje določbe
  3. člena Splošne uredbe, in sicer z namenom, da ima občan možnost tovrstni obdelavi osebnih podatkov tudi ugovarjati. Nadalje vas zanima naše mnenje glede primernega načina obveščanja po členu 14., in sicer navajate možnost obveščanja ob prvem obisku občana oziroma na način javnega obveščanja (prek spletne strani). Tudi pri takšnem obveščanju menite, da bi bilo treba obvestiti tudi o možnosti ugovora. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
  4. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
  5. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
  6. točke prvega odstavka
  7. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
  8. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. Kot smo že poudarili v mnenju št. 07120-1/2021/613 z dne
  10. 2021, določa
  11. člen Splošne uredbe obveznost informiranja posameznikov o obdelavi njihovih osebnih podatkov, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo. Ta obveznost se torej nanaša tudi na upravljavca v primeru, ki ga opisujete, razen kadar je podana katera izmed izjem iz petega odstavka
  12. člena, in sicer kadar in kolikor: (a) posameznik že ima informacije; (b) se izkaže, da je zagotavljanje takih informacij nemogoče ali bi vključevalo nesorazmeren napor, (c) je pridobitev ali razkritje izrecno določeno s pravom Unije ali pravom države članice, ki velja za upravljavca in s katerim so določeni ustrezni ukrepi za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, ali (d) morajo osebni podatki ostati zaupni ob upoštevanju obveznosti varovanja poklicne skrivnosti. Tretji odstavek istega člena določa, da upravljavec zagotovi informacije iz prvega in drugega odstavka: a. v razumnem roku po prejemu osebnih podatkov, vendar najpozneje v enem mesecu, pri čemer se upoštevajo posebne okoliščine, v katerih se obdelujejo osebni podatki; b. če se bodo osebni podatki uporabili za komuniciranje s posameznikom, na katerega se nanašajo osebni podatki, najpozneje ob prvem komuniciranju s tem posameznikom, ali c. če je predvideno razkritje drugemu uporabniku, najpozneje ob prvem razkritju osebnih podatkov. Način zagotavljanja informacij je treba prilagoditi okoliščinam konkretnega primera, vendar je pri tem treba zagotoviti, da posamezniki resnično prejmejo informacije o obdelavi osebnih podatkov. IP meni, da če obdelava osebnih podatkov zajema pošiljanje fizične pošte, je najbolj primeren in uporabniku prijazen način obveščanja po
  13. členu Splošne uredbe v posamezni pismeni pošiljki. Glede pravice do ugovora pa prvi odstavek
  14. člena Splošne uredbe določa, da ima posameznik, na katerega se nanašajo osebni podatki, na podlagi razlogov, povezanih z njegovim posebnim položajem, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim, ki temelji na točki (e) ali (f) člena 6

(1), vključno z oblikovanjem profilov na podlagi teh določb. Pravica do ugovora po prvem odstavku 21. člena Splošne uredbe je torej možna v primeru, ko je obdelava osebnih podatkov potrebna - za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu (točka e); ali - zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba (točka f). Pravico do ugovora dodatno opredeljuje tudi drugi odstavek 21. člena Splošne uredbe, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, kadar se osebni podatki obdelujejo za namene neposrednega trženja, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim za namene takega trženja, vključno z oblikovanjem profilov, kolikor je povezano s takim neposrednim trženjem. Opredelitev neposrednega trženja najdemo v še veljavni določbi prvega odstavka 72. člena ZVOP-1 kot »ponujanje blaga, storitev, zaposlitev ali začasnega opravljanja del z uporabo poštnih storitev, telefonskih klicev, elektronske pošte ali drugih telekomunikacijskih sredstev.« V konkretnem primeru je tako res najpomembnejši odgovor na vprašanje, na kateri pravni podlagi se odvija obdelava osebnih podatkov in kdo je pravzaprav upravljavec osebnih podatkov, ali gre morda tudi za skupno upravljavstvo ali pogodbeno obdelavo. Občina po opisanem scenariju, ko je določena naloga opredeljena v njenih aktih kot naloga iz pristojnosti občine, obdeluje osebne podatke na podlagi točke (
  1. c)prvega odstavka 6. člena Splošne uredbe (izpolnitev zakonske obveznosti, ki velja za upravljavca) v povezavi z določbo 21. a člena Zakona o lokalni samoupravi (Uradni list RS, št. 94/07 – UPB, s sprem. in dop.; v nadaljevanju ZLS). Slednji določa, da občina pridobiva in obdeluje določene podatke, ki jih potrebuje za opravljanje nalog iz svoje pristojnosti. Občina tako iz CRP pridobi in območni enoti Rdečega križa posreduje na podlagi točke (
  2. c)prvega odstavka 6. člena Splošne uredbe. Ta obdelava torej ni podvržena pravici do ugovora po 21. členu Splošne uredbe, glede na zakonsko podlago za posredovanje podatkov pa o tej konkretni obdelavi ni treba obveščati posameznikov, saj pride v poštev izjema iz točke (
  3. c)petega odstavka 14. člena (pridobitev ali razkritje je izrecno določeno s pravom države članice). Nadaljnje vprašanje pa je, na kateri podlagi osebne podatke obdeluje območna enota Rdečega križa Slovenije. To okoliščino morata v konkretnem primeru razčistiti občina in Rdeči križ. Predhodno je treba ugotoviti, kakšna so razmerja med občino in Rdečim križem glede opredelitve upravljavstva in morebitne pogodbene obdelave. Ključno je namreč vprašanje, ali bo RKS osebne podatke obdeloval: - v svojem imenu in za svoj račun ter ali bo v tem primeru pravno podlago za obdelavo črpal na podlagi pooblastila, ki mu ga podeli občina, ali bo obdeloval osebne podatke na lastni pravni podlagi (npr. točki (
  4. e)- za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti); - v morebitem soupravljavstvu z občino: več o tem si lahko Priporočilih Informacijskega pooblaščenca glede skupnih upravljavcev (https://www.ip-rs.si/fileadmin/user_upload/Pdf/Priporocila/Priporocila_Informacijskega_Pooblascenca_glede_skupnih_upravljavcev_21jan2019.pdf) ter v Smernicah Evropskega odbora za varstvo podatkov 07/2020 o pojmih upravljavec in obdelovalec (https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en); - v imenu in za račun občine in je pri tem vezan na njena navodila (morebitna pogodbena obdelava), pri čemer se pravna podlaga črpa iz upravičenj občine, torej iz točke (
  5. c)prvega odstavka 6. člena Splošne uredbe. IP je o podobni situaciji že izdal neobvezno mnenje št. 07120-1/2021/608 z dne 9. 12. 2021, ki je dostopno z vnosom številke mnenja v iskalno polje na povezavi: https://www.ip-rs.si/vop. Šele po tem, ko se glede na konkreten primer odgovori na zgornja vprašanja, je možen tudi odgovor na vprašanje o zagotavljanju pravice do ugovora. Kot rečeno, v kolikor se osebni podatki obdelujejo na podlagi točke (
  6. c)prvega odstavka 6. člena Splošne uredbe, pravice do ugovora ni možno izvrševati. Pri tem pa še enkrat opozarjamo na določbo drugega odstavka 21. člena Splošne uredbe glede pravice do ugovora v primeru neposrednega trženja. A pri tem je treba tudi ugotoviti, da občina s svojimi akti najbrž ne more opredeliti prav vsake naloge kot naloge v javnem (lokalnem) interesu in je na mestu splošna previdnost pri opredelitvi javnih nalog, zaradi katerih je možno obdelovati osebne podatke na podlagi 21.a člena ZLS in točke (
  7. c)prvega odstavka 6. člena Splošne uredbe. Ne glede na navedeno pa je treba opomniti tudi na vse druge pravice, ki jih imajo posamezniki pri obdelavi njihovih osebnih podatkov (tudi če pravice do ugovora ne bi mogli izvrševati), med drugim pravice do dostopa do osebnih podatkov in informacij v zvezi z obdelavo po 15. členu Splošne uredbe in, nenazadnje, tudi možnost vložitve prijave Informacijskemu pooblaščencu v primeru suma nezakonite obdelave osebnih podatkov. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
  8. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.