Poblastilo za obdelavo osebnih podatkov v splošnih pogojih družbe - IPRS

Poblastilo za obdelavo osebnih podatkov v splošnih pogojih družbe + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.04.2009 Številka: 0712-191/2009/2 Kategorije:Pridobivanje OP iz zbirk --> Kategorije: Pridobivanje OP iz zbirk Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je prejel vaše zgoraj navedeno zaprosilo, v katerem navajate, da ste od družbe ... d.o.o. prejeli nove splošne pogoje družbe za uporabo internetnih storitev in telefonije, v katerih je tudi novi odstavek, ki se glasi: »Naročnik pooblašča operaterja oz. njegove pooblaščene podizvajalce, da lahko za namen sodne izterjave zapadlih terjatev, ki jih ima operater do naročnika iz naslova naročniškega razmerja, pri pristojnih organih opravi poizvedbe o bivališču, zaposlitvi oz. premoženjskem stanju naročnika, v kolikor naročnik teh podatkov na zahtevo operaterja ne posreduje sam«. Ker je odgovorna oseba družbe ... d.o.o..., zaprosila za mnenje glede usklajenosti navedb v splošnih pogojih z zakonodajo, Pooblaščenca prosite za mnenje glede zgoraj citiranega odstavka v splošnih pogojih družbe. V nadaljevanju vam na podlagi predstavljenega stanja ter na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1-UPB1) in
5. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje:
6. Pooblaščenec meni, da je zgoraj citirano pooblastilo za zbiranje osebnih podatkov za namen sodne izterjave zapadlih terjatev v splošnih pogojih poslovanja družbe odveč oziroma nepotrebno, saj lahko operater: - za namene sodne izterjave zapadlih terjatev točne podatke o prebivališču naročnika iz centralnega registra prebivalstva pridobi že na podlagi drugega odstavka
7. člena ZVOP-1-UPB1 in - kot upnik predlaga izvršbo na podlagi verodostojne listine, po določbah
8. člena Zakona izvršbi in zavarovanju, pri čemer v predlogu za izvršbo ni dolžan navesti podatkov o dolžnikovem premoženju in zaposlitvi, saj mora sodišče po pravnomočnosti sklepa o izvršbi po uradni dolžnosti samo opraviti poizvedbe o teh podatkih.
9. Ne glede na navedeno, bi zgoraj citirano pooblastilo učinkovalo samo v primeru: - če bi stranka pooblastilno izjavo posebej podpisala, saj zgolj preko spremembe splošnih pogojev pooblaščanje ni mogoče, tudi če je bilo s temeljno pogodbo dogovorjeno, da naknadno spreminjanje splošnih pogojev stranko zavezuje, - če bi bili v pooblastilni izjavi določno navedeni tudi upravljavci zbirk osebnih podatkov in - če bi bila v pooblastilu navedena tudi izvirna podlaga za seznanitev z osebnimi podatki stranke, tj.
10. člen ZVOP-
12. Pooblastilu mora biti priključena še privolitev za nadaljnjo obdelavo osebnih podatkov, tj. za čas po pridobitvi želenih osebnih podatkov, ki jih operater pridobi na podlagi pooblastila.
13. Pooblastilo ne bo imelo učinka za pogodbene podizvajalce, če ti ne bodo izrecno navedeni ali pa izjava podana posebej vsakemu izmed njih.
14. Dodatno je potrebno še opozorilo, da bodo upravljavci zbirk osebnih podatkov, ki jih pooblastilo »zavezuje«, samostojno odločali, ali bodo pooblastilo, ki nima overjenega podpisa stranke, priznali.
15. Pooblaščenec svetuje, da družbi ... d.o.o. posredujete to mnenje ter ji predlagate, da določilo o privolitvi posameznika za pridobivanje osebnih podatkov umakne iz splošnih pogojev družbe. O b r a z l o ž i t e v:
16. Pravne podlage za obdelavo osebnih podatkov Po določbi prvega odstavka
17. člena ZVOP-1-UPB1 se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. V drugem odstavku je nadalje določeno, da mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. Pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju, kamor po določbi
18. točke
19. člena ZVOP-1-UPB1 spada tudi družba ... d.o.o., so podrobneje razdelane v
20. členu ZVOP-1-UPB
21. Po določbah prvega odstavka
22. člena ZVOP-1-UPB1 se lahko osebni podatki v zasebnem sektorju obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. V drugem odstavku
23. člena je nadalje določeno, da ne glede na prejšnji odstavek, se lahko v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe. Obdelava osebnih podatkov po določbi
24. točke
25. člena ZVOP-1-UPB1 pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje. Kadar obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo določa zakon, ali pa v primeru, ko je obdelava osebnih podatkov potrebna in primerna zaradi izpolnjevanja pogodbe, upravljavec osebnih podatkov ne potrebuje osebne privolitve posameznika. Pooblaščenec v zvezi s tem pojasnjuje, da operater, ki določene osebne podatke svojih naročnikov potrebuje za namen sodne izterjave zapadlih terjatev, lahko že na podlagi drugega odstavka
26. člena ZVOP-1-UPB1 od upravljavca centralnega registra prebivalstva ali evidenc stalno in začasno prijavljenih prebivalcev, ob izkazanem pravnem interesu za uveljavljanje pravic pred osebami javnega sektorja, pridobi osebno ime in naslov stalnega ali začasnega prebivališča svojega naročnika. Če operater kot upnik na podlagi verodostojne listine predlaga izvršbo na dolžnikova sredstva, lahko za ta namen na podlagi drugega odstavka
27. člena ZVOP-1-UPB1 pridobi dolžnikov točen naslov prebivališča, v predlogu za izvršbo pa ni dolžna navesti podatkov o dolžnikovem premoženju in zaposlitvi. V osmem odstavku Zakona o izvršbi in zavarovanju (Uradni list RS, št. 3/07-UPB4, v nadaljevanju ZIZ) je namreč določeno, da če upnik na podlagi verodostojne listine predlaga izvršbo na dolžnikova sredstva pri organizacijah za plačilni promet, na nematerializirane vrednostne papirje oziroma na plačo, v predlogu za izvršbo ni dolžan navesti podatkov o organizaciji za plačilni promet, pri kateri ima dolžnik denarna sredstva in številke računa, podatkov o nematerializiranih vrednostnih papirjih, katerih imetnik je dolžnik, oziroma dolžnikovo zaposlitev. V tem primeru sodišče po pravnomočnosti sklepa o izvršbi po uradni dolžnosti opravi poizvedbe o teh podatkih. Pooblaščenec ob upoštevanju načela sorazmernosti iz
28. člena ZVOP-1-UPB1 tako zaključuje, da družba za namene podaje predloga za izvršbo na podlagi verodostojne listine ne potrebuje podatkov o zaposlitvi in premoženju dolžnika. V primeru, ko družba kot upnik vloži predlog za izvršbo na podlagi izvršilnega naslova, pa si lahko potrebne osebne podatke dolžnika pridobi na podlagi devetega in desetega odstavka
29. člena ZIZ, torej tudi v tem primeru ne potrebuje osebne privolitve dolžnika. Ob upoštevanju zgoraj navedenih določb
30. člena ZVOP-1-UPB1 ter
31. člena ZIZ Pooblaščenec meni, da je pooblastilo družbi (operaterju) za zbiranje osebnih podatkov za namen sodne izterjave zapadlih terjatev v splošnih pogojih poslovanja družbe povsem odveč in nepotrebno, saj lahko družba za namene sodne izterjave potrebne osebne podatke dolžnika pridobi že na podlagi prej navedenih določb in zato za pridobivanje potrebnih osebnih podatkov sploh ne posreduje osebne privolitve posameznika.
32. Osebna privolitev posameznika Osebna privolitev posameznika je v
33. točki
34. člena ZVOP-1-UPB1 definirana kot prostovoljna izjava volje posameznika, da se lahko njegovi osebni podatki obdelujejo za določen namen, in je dana na podlagi informacij, ki mu jih mora zagotoviti upravljavec po tem zakonu; osebna privolitev posameznika je lahko pisna, ustna ali druga ustrezna privolitev posameznika. Pisna privolitev posameznika je v
35. točki
36. člena ZVOP-1-UPB1 definirana kot podpisana privolitev posameznika, ki ima obliko listine, določila v pogodbi, določila v naročilu, priloge k vlogi ali drugo obliko v skladu z zakonom. Po določbah zgoraj citiranega prvega odstavka
37. člena ZVOP-1-UPB1 se v zasebnem sektorju osebni podatki lahko obdelujejo tudi v primeru, če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Podobno je določeno v
38. členu ZVOP-1-UPB1 (ta ureja pravne podlage v javnem sektorju), s to razliko, da mora biti možnost obdelave na podlagi privolitve posebej določena v zakonu. Privolitev za pridobivanje osebnih podatkov od upravljavcev javnega sektorja (npr. MNZ, DURS, ZZZS), ki jo posameznik poda v zasebnem sektorju (npr. kot stranka gospodarske družbe) pri upravljavcih v javnem sektorju ni mogoča, saj bi moral poseben (področen) zakon dopustiti posredovanje osebnih podatkov na podlagi privolitve. V tem trenutku je Pooblaščencu znan le en zakon, ki to dopušča, to je Zakon o matičnem registru. Navedeno stališče izhaja iz načela ločenosti pravnih podlag, ki izvira ravno iz razlikovanja med javnim in zasebnim sektorjem, ki ga je vpeljal ZVOP-1-UPB1 (prim.
39. in
40. člen). Privolitev kot podlaga za obdelavo osebnih podatkov v zasebnem sektorju ne more zavezovati tistih upravljavcev v javnem sektorju, ki jim področni zakon izrecno ne dopušča obdelave osebnih podatkov na podlagi privolitve. Privolitev dana upravljavcu v zasebnem sektorju torej nima značaja univerzalne privolitve.
41. Pooblastilo za obdelavo osebnih podatkov 3.
42. Splošno V primeru oblikovanja pooblastilnega razmerja med stranko (potrošnikom) in gospodarsko družbo gre za popolnoma drug pravni položaj, kot je podan v primeru privolitve. Temeljna razlika je pravzaprav v tem, da pooblastilo ne predstavlja pravne podlage za pridobitev osebnih podatkov v smislu
43. in
44. člena ZVOP-1, pač pa omogoča poseben način (tj. preko druge osebe) uresničevanja strankine izvirne pravice (podlage) do seznanitve z lastnimi osebnimi podatki. Pooblastilo je enostranski pravni posel, s katerim posameznik - pooblastitelj izjavi, da lahko druga oseba - pooblaščenec v imenu in na račun pooblastitelja opravi neko dejanje oziroma pravni posel. Govorimo torej o zastopanju po pooblastitvi. Pooblastitelj lahko na pooblaščenca prenese samo izvrševanje tistih pravic kot jih ima sam. Zastopanje po pooblastilu je v sicer institut procesnega ter civilnega prava, ki pa ga je mogoče uporabiti tudi v drugih pravnih razmerjih, na primer na področju upravnega prava, kamor v osnovi spada tudi področje varstva osebnih podatkov. V konkretnem primeru lahko stranka gospodarsko družbo pooblasti za izvrševanje tistih pravic, ki jih ima posameznik po
45. členu ZVOP-1-UPB
46. Omenjeni člen ureja pravico posameznika do seznanitve z osebnimi podatki, ki se nanašajo nanj. To pomeni, da bi v konkretnem primeru pooblaščena gospodarska družba v imenu oziroma namesto stranke pridobivala njene osebne podatke. 3.
47. Način podelitve pooblastila V nadaljevanju podajamo stališče, ki se sicer nanaša na privolitev, vendar smiselno enako velja za pooblastilo, ki se daje na področju varstva osebnih podatkov: Vprašanje veljavnosti osebne privolitve posameznika je izjemnega pomena za zakonito obdelavo osebnih podatkov. Iz ustaljene ustavnosodne presoje izhaja, da vsako zbiranje in druga obdelava osebnih podatkov že pomeni poseg v pravico do varstva osebnih podatkov (odločba Ustavnega sodišča RS, št. U-I-238/99 z dne 9.11.2000). Predpogoj za poseg v pravico do varstva osebnih podatkov je obstoj pravne podlage v obliki zakona ali soglasja posameznika (
48. člen ZVOP-1-UPB1). Ker je osrednji namen varstva osebnih podatkov ta, da se posameznik sam odloči (če zakon ne določa drugače), pod katerimi pogoji in za kakšne namene bo dopustil poseg v njegovo informacijsko zasebnost, je izjemnega pomena, da je soglasje pridobljeno za posameznika na transparenten in jasen način. Da je soglasje veljavno pridobljeno, mora biti torej pridobljeno transparentno in prostovoljno, ter podano na podlagi informacij, ki mu jih mora upravljavec zagotoviti, da se lahko posameznik veljavno odloči ali pristane na poseg v njegovo zasebnost ali ne. Transparentnost je neločljivo povezana z vprašanjem veljavnosti osebne privolitve posameznika. Pooblaščenec poudarja, da četudi so določbe splošnih pogojev, z vidika obligacijskega razmerja, veljavne in zavezujoče, to ne pomeni avtomatično, da je na njihovi podlagi obdelava osebnih podatkov tudi dovoljena oziroma zakonita. Osebna privolitev posameznika oziroma določilo o soglasju za obdelavo osebnih podatkov je lahko podano v različnih oblikah, načeloma tudi v naprej pripravljenih formularjih, vendar mora biti po mnenju Pooblaščenca podana vedno tako, da je posameznik nanjo jasno opozorjen. Ker je le takšen, transparenten način zbiranja osebnih podatkov v skladu s temeljnim načelom poštene obdelave osebnih podatkov iz
49. člena ZVOP-1-UPB1, mora biti posamezniku že po naravi stvari določilo o soglasju vidno že na prvi pogled. Pooblaščenec meni, da je v primeru, ko je osebna privolitev posameznika za obdelavo njegovih osebnih podatkov vsebovana v splošnih pogojih družbe, takšna privolitev pridobljena na netransparenten oziroma za posameznika na ne dovolj jasen način. Posameznik v takšnem primeru ni v zadostni meri seznanjen s tem, da s podpisom pogodbe hkrati pristaja tudi na zbiranje osebnih podatkov od pristojnih organov. Pooblaščenec v zvezi s soglasjem oziroma osebno privolitvijo posameznika, ki je vsebovana v splošnih pogojih družbe še opozarja, da je takšno soglasje oziroma osebna privolitev posameznika veljavna le za tiste posameznike, ki so pogodbo, katere sestavni del so tudi splošni pogoji poslovanja, podpisali v času, ko je bilo takšno soglasje tudi dejansko sestavni del splošnih pogojev poslovanja. Pooblastilo za obdelavo osebnih podatkov v splošnih pogojih poslovanja torej ne velja za nazaj, kar pomeni, da ne velja za tiste posameznike, ki so pogodbo z družbo sklenili že pred objavo novih splošnih pogojev poslovanja. Na področju varstva osebnih podatkov ni mogoče sprejeti prakse gospodarskih subjektov, po kateri bi preko naknadne spremembe splošnih pogojev poslovanja stranka podala veljavno pooblastilo. Enako velja tudi v primeru, če je bilo s temeljno pogodbo dogovorjeno, da naknadno spreminjanje splošnih pogojev stranko zavezuje zgolj na podlagi obvestila o spremembi. Pooblastilo lahko učinkuje in je njegov obstoj mogoče dokazovati samo, če pooblastitelj podpiše pooblastilno izjavo, ki lahko nastopa kot samostojna listina, lahko pa je tudi del pogodbe oziroma splošnih pogojev poslovanja, ki so veljali v trenutku sklenitve pogodbe. Poleg tega pravila, je v
50. in
51. točki mnenja še nekaj napotil, ki prispevajo k večji določnosti pooblastila z namenom preprečitve težav pri interpretaciji obsega pravic in obveznosti udeleženih oseb. Dodatno je potrebno še opozorilo, da bodo upravljavci zbirk osebnih podatkov, ki jih pooblastilo »zavezuje« samostojno odločali, ali bo takšno pooblastilo, ki nima overjenega podpisa, priznali. Goli podpis namreč ne daje garancije, da je pooblastilno izjavo res podlaga oseba, ki je navedena kot pooblastitelj, zaradi česar upravljavec zbirk osebnih podatkov nosi del rizika za nezakonito posredovanje osebnih podatkov neupravičenemu »pooblaščencu«.
52. Zaključek Ob upoštevanju zgoraj pojasnjenega vam Pooblaščenec svetuje, da družbi ... d.o.o. posredujete to mnenje ter ji predlagate, da novi odstavek oziroma določilo o privolitvi posameznika za pridobivanje osebnih podatkov umakne iz splošnih pogojev družbe ali jih ustrezno spremeni ter hkrati poskrbi za pravilen način podajanja pooblastil. Opozarjamo še, da pooblastilo za pridobivanje osebnih podatkov samo po sebi ne daje podlage za nadaljnjo obdelavo osebnih podatkov (npr. za uporabo podatkov v sodnem postopku). Za to je potrebna posebna privolitev (prim.
53. točka mnenja), saj je gospodarska družba na podlagi pooblastila upravičena zgolj do pridobitve osebnih podatkov ter nadaljnjega posredovanja osebnih podatkov stranki. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026