Podatkovno rudarjenje + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 14.12.2010 Številka: 0712-549/2010 Kategorije:Posredovanje OP med upravljavci, Pridobivanje OP iz zbirk, Svetovni splet --> Kategorije: Posredovanje OP med upravljavci, Pridobivanje OP iz zbirk, Svetovni splet Informacijski pooblaščenec je 29.11.2010 prejel vaš elektronski dopis, kjer ste predstavili aplikacijo za podatkovno rudarjenje, ki jo razvija vaše podjetje. Pojasnili ste, da naj bi vaša spletna aplikacija uporabnikom omogočila poenostavljeno pridobivanje idej o receptih za svežo hrano. Prav tako ste navedli, da razmišljate o dodatni funkciji aplikacije, ki naj bi na podlagi izmenjave podatkov o nakupih v dveh velikih trgovskih podjetjih omogočila vnaprejšnjo pripravo predlogov, tako da bi uporabnik že pri prvi uporabi aplikacije pridobil ideje o receptih, oziroma da bi bilo iskanje prilagojeno siceršnjemu potrošniškemu vzorcu uporabnika. Zanima vas mnenje Pooblaščenca glede zakonitosti uporabe osebnih podatkov o potrošnikih, ki jih zbirata dve trgovski podjetji, v spletni aplikaciji vašega podjetja. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke
- odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 113/05 in 51/07 – ZustS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Uporaba podatkov o vedenjskih vzorcih potrošnikov dveh velikih trgovskih podjetij je dopustna pod določenimi zakonskimi pogoji. Pri tem je zelo pomembno ali želi vaše podjetje aplikacijo tržiti samostojno ali zgolj v imenu in za račun določenega trgovskega podjetja. V prvem primeru boste pridobili status upravljavca osebnih podatkov, v drugem primeru pa status pogodbenega obdelovalca. Pravne zahteve, ki jih določa ZVOP-1, so glede na posamezni status različne. Če boste nastopili v vlogi pogodbenega obdelovalca, mora trgovsko podjetje pridobiti soglasje uporabnikov kartic ugodnosti glede uporabe njihovih osebnih podatkov v spletni aplikaciji, ki omogoča iskanje in predstavljanje kuharskih receptov. Če pa boste nastopili v vlogi upravljavca osebnih podatkov, morate sami pridobiti takšna soglasja od morebitnih uporabnikov. Pooblaščenec še opozarja, da poštena obdelava osebnih podatkov terja jasne in natančne informacije o namenih obdelave osebnih podatkov, načelo sorazmernosti, da pridobite in obdelujete le tiste osebne podatke posameznikov, ki so potrebni in primerni za dosego namena in načelo zakonitosti, da omogočite povsem svobodno odločitev posameznika o tem, ali bo dal privolitev za obdelavo svojih osebnih podatkov za predstavljeni namen ali ne. Aplikacija, ki ste jo predstavili v dopisu, naj bi med drugim omogočala – ob predhodnem soglasju posameznika – prikazovanje kuharskih receptov na podlagi osebnih podatkov, ki jih v okviru storitve kartice ugodnosti zbirata dve veliki trgovski podjetji. Pri tem je z vidika ZVOP-1 pomembno ali spletno aplikacijo tržite v svojem imenu oziroma v imenu svoje firme, ali pa nastopate v imenu in za račun trgovskega podjetja M. in T.. Ker iz vašega dopisa ta okoliščina ni razvidna, bo v nadaljevanju Pooblaščenec predstavil obe možnosti in zakonske pogoje, ki morajo biti izpolnjeni, da takšna obdelava ne predstavlja kršitev določb ZVOP-
- Vaše podjetje lahko z vidika ZVOP-1 trži omenjeno spletno aplikacijo v dveh različnih položajih. Če nameravate aplikacijo oziroma storitev tržiti sami, potem boste nastopili v vlogi upravljavca osebnih podatkov. Če pa bo aplikacijo tržilo trgovsko podjetje M. ali T., vi pa boste najeti le za izvedbo določenega dela ali celotne storitve, boste nastopili v vlogi pogodbenega obdelovalca osebnih podatkov.
- člen ZVOP-1 opredeljuje oba statusa. Upravljavec osebnih podatkov je fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Pogodbeni obdelovalec pa je fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov. Oba statusa imata različne pravne posledice. Če bo aplikacijo tržilo trgovsko podjetje in boste vi nastopili kot pogodbeni obdelovalec osebnih podatkov, sta za vas pomembna predvsem
- in
- člen ZVOP-
- člen opredeljuje pogoje sodelovanja med pogodbenim obdelovalcem in upravljavcem osebnih podatkov,
- člen pa določa organizacijsko-varnostne ukrepe, ki jih mora pogodbeni obdelovalec podatkov zagotavljati. Gre predvsem za ustrezno zaščito podatkov pri prenosu, hranjenju, dostopanju in drugih oblikah obdelave. V primeru, da boste nastopili kot pogodbeni obdelovalec podatkov (torej v imenu in za račun določenega trgovskega podjetja), mora morebitno privolitev posameznikov, katerih podatki naj bi se obdelovali, pridobiti upravljavec osebnih podatkov – v tem hipotetičnem primeru sta to trgovski podjetji. Takšno eksplicitno privolitev na nove pogoje uporabe osebnih podatkov (za namene spletne aplikacije) morata trgovski podjetji pridobiti v primeru, če tovrstna uporaba podatkov (na način in za namen, ki ste ga predstavili) še ni vključena v klavzulo, ki so jo uporabniki kartic ugodnosti podpisali. . V primeru, da boste sami (v svojem imenu in za svoj račun) tržili spletno aplikacijo in s tem prevzeli status upravljavca osebnih podatkov, so pravne zahteve za vaše podjetje strožje. V takšni hipotetični situaciji morate vi pridobiti soglasje posameznikov, katerih osebne podatke želite obdelovati. Posamezniki morajo biti torej natančno seznanjeni z nameni obdelave osebnih podatkov, vrsto osebnih podatkov, ki jih nameravate obdelovati, z rokom hranjenja podatkov in drugimi pogoji, ki se dotikajo obdelave osebnih podatkov. Posamezniki morajo biti predhodno dobro seznanjeni s pogoji uporabe vaše spletne aplikacije, podati pa morajo eksplicitno privolitev. V takšni situaciji sicer na podlagi in v okviru osebne privolitve posameznikov lahko od trgovskih podjetij M. in T. pridobite podatke o potrošniških vzorcih posameznikov, ki so se strinjali s pogoji uporabe vaše aplikacije. Vendar pa ste upravičeni zgolj do tistih podatkov, ki so nujni za dosego namena vaše aplikacije – to je pridobivanja in predstavljanja kuharskih receptov. To v konkretni situaciji pomeni, da npr. lahko od omenjenih trgovskih podjetij pridobite eventualno le podatke o nakupih živil tistih posameznikov, ki so podali privoljenje, ne smete pa pridobiti podatkov o nakupih pohištva, oblačil, kozmetike, higienskih pripomočkov ipd. saj ti nakupi niso v povezavi z namenom vaše aplikacije. Omejitev pa ne velja le za vsebino podatkov, pač pa tudi za časovni razpon, saj morate natančno določiti, kateri podatki – kako ažurni so potrebni za dosego namena (npr. podatki za mesec december preteklega leta, mesečni podatki…) in kako dolgo jih nameravate hraniti. Pooblaščenec na koncu dodaja še, da posredovanje osebnih podatkov v zasebnem sektorju ni brezplačno. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026