Posredovanje kontaktnih podatkov za namen pošiljanja anket o zadovoljstvu + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 29.11.2021 Številka: 07121-1/2021/2376 Kategorije: --> Kategorije: Informiranje posameznika, Posredovanje OP med upravljavci, Pravne podlage, Zakoniti interesi Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, v katerem vas zanima, ali bi lahko uvoznik vozil od posameznih avtohiš (prodajalcev vozil) pridobil kontaktne podatke strank in jim po elektronski pošti pošiljal ankete o zadovoljstvu. Na ta način bi poskušal izboljšati svoje storitve in nadzoroval delo avtohiš. Zanima vas, ali bi v takem primeru prišla v poštev točka b (pogodba kot pravna podlaga) ali točka f (zakoni interesi) člena 6
(1)Splošne uredbe. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Uvodoma pojasnjujemo, da bi IP lahko konkretno presojo glede vašega vprašanja opravil zgolj v okviru inšpekcijskega ali drugega upravnega postopka. IP namreč ne sme in ne more prevzeti odgovornosti posameznih subjektov za njihovo poslovanje, podobno kot to velja za druge inšpekcijske organe. Iz tega razloga v nadaljevanju podajamo zgolj splošna pojasnila ter izpostavljamo relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določena obdelava osebnih podatkov zakonita. Konkretno presojo pa mora opraviti izključno upravljavec osebnih podatkov. Prvo fazo obdelave osebnih podatkov bi v danem primeru predstavljalo posredovanje kontaktnih podatkov kupcev vozil s strani avtohiš uvozniku vozil, drugo fazo pa pošiljanje anket s strani uvoznika vozil po elektronski pošti kupcem. Pred vsako obdelavo podatkov mora upravljavec zagotoviti, da za obdelavo podatkov obstaja ena izmed pravnih podlag, ki jih Splošna uredba določa v členu 6
(1), in sicer (za zasebni sektor): privolitev (točka (a)), sklenitev ali izvajanje pogodbe (točka (b)), zakon (točka (c)), zaščita življenjskih interesov posameznika (točka (d)) ali zakoniti interesi, za katere si prizadeva upravljavec (točka (f)). Po določbi 6
(4)Splošne uredbe, kadar obdelava podatkov za drug namen kot za tistega, za katerega so bili osebni podatki zbrani, ne temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, ali na pravu Unije ali pravu države članice, ki predstavlja potreben in sorazmeren ukrep v demokratični družbi za uresničevanje ciljev iz člena 23
(1), upravljavec, da bi ocenil, ali je obdelava za drug namen združljiva z namenom, za katerega so bili osebni podatki prvotno zbrani, med drugim upošteva: (
- a)kakršno koli povezavo med nameni, za katere so bili osebni podatki zbrani, in nameni načrtovane nadaljnje obdelave; (
- b)okoliščine, v katerih so bili osebni podatki zbrani, zlasti kar zadeva razmerje med posamezniki, na katere se nanašajo osebni podatki, in upravljavcem; (
- c)naravo osebnih podatkov, zlasti ali se obdelujejo posebne vrste osebnih podatkov v skladu s členom 9 ali pa se obdelujejo osebni podatki v zvezi s kazenskimi obsodbami in prekrški v skladu s členom 10; (
- d)morebitne posledice načrtovane nadaljnje obdelave za posameznike, na katere se nanašajo osebni podatki; (
- e)obstoj ustreznih zaščitnih ukrepov, ki lahko vključujejo šifriranje ali psevdonimizacijo. V svojem dopisu se sklicujete na mnenje št. 07121-1/2021/754 z dne 19. 4. 2021. IP ugotavlja, da se navedeno mnenje nanaša na obdelavo podatkov članov društva, ki jih društvo že obdeluje za namene povezane z delovanjem društva, v vašem primeru pa bi uvoznik avtomobilov šele pridobil podatke strank od posameznih avtohiš. Torej v danem primeru je potrebno primarno ugotoviti, ali obstaja pravna podlaga za to, da avtohiše posredujejo podatke svojih kupcev uvozniku avtomobilov. V kolikor bi v danem primeru šlo za povezane družbe, kot so te definirane v točki 19 člena 4, uvodna določba 48 predvideva, da imajo lahko upravljavci, ki so del povezane družbe ali institucij, povezanih z osrednjim telesom, zakoniti interes za posredovanje osebnih podatkov znotraj povezane družbe v notranje upravne namene, vključno z obdelavo osebnih podatkov strank ali zaposlenih. V takem primeru bi lahko, v kolikor bi za to bili izpolnjeni pogoji, pravno podlago za posredovanje podatkov strank predstavljali zakoniti interes povezane družbe. Glede izpolnjenosti pogojev po določbi 6
(1)(f) Splošne uredbe, kot podlage za posredovanje osebnih podatkov strank uvozniku vozil, IP pojasnjuje, da dokončnega odgovora v zvezi s tem ne more podati, saj je to odgovornost upravljavca. IP lahko zgolj pojasni, da kadar so izpolnjeni pogoji po točki f člena 6
(1)Splošne uredbe in se obdelava osebnih podatkov izvaja na tej podlagi, je obdelava v tem primeru zakonita. Test zakonitih interesov (ki ga omenjate) lahko izkaže obstoj pogojev za posredovanje osebnih podatkov, vendar je odgovornost za pravilno izvedbo testa na upravljavcu osebnih podatkov. Test je tro-stopenjski in se ukvarja z
(1)utemeljitvijo zakonitosti interesa,
(2)nujnostjo posega in
(3)sorazmernostjo posega v interese, temeljne pravice in svoboščine posameznikov. V pomoč pri izvajanju testa so vam lahko smernice Delovne skupine iz člena 29 (predhodnik Evropskega odbora za varstvo podatkov): https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_en.pdf (glejte predvsem od str. 23 in 30 naprej). V zvezi s tem opozarjamo, da je v interese, temeljne pravice ali svoboščine posameznika, lahko neupravičeno poseženo tudi zaradi neskladnega ravnanja upravljavca v zvezi z drugimi obveznostmi po Splošni uredbi, npr. neustreznega informiranja, vključno z informiranjem o pravici do ugovora (13 in 21
(4)Splošne uredbe), nespoštovanja načela omejitve namena (5
(1)(b) in 6
(4)Splošne uredbe), nespoštovanja načela najmanjšega obsega podatkov (5
(1)(c) Splošne uredbe), nezagotavljanja ustrezne ravni varnosti osebnih podatkov (člen 32 Splošne uredbe), itd. Nespoštovanje navedenih in drugih pravnih obveznosti do kupcev lahko torej vpliva na obstoj pravne podlage po določbi 6
(1)(f) Splošne uredbe in za njeno utrditev ne zadostuje zgolj obstoj zakonitega interesa na strani upravljavca ali tretje osebe. Glede pogodbene pravne podlage iz člena 6
(1)(b) IP pojasnjuje, da ta pride v poštev, kadar je izpolnjen kateri koli od dveh pogojev: zadevna obdelava mora biti objektivno potrebna za izvajanje pogodbe s posameznikom, na katerega se nanašajo osebni podatki, ali obdelava mora biti objektivno potrebna za sprejetje pred-pogodbenih ukrepov na zahtevo posameznika, na katerega se nanašajo osebni podatki. IP predpostavlja, da kupci sklenejo prodajno pogodbo z avtohišo in ne z uvoznikom vozilom. Iz vašega dopisa ne izhaja, da je posredovanje kontaktnih podatkov dejansko potrebno za izvajanje pogodbe s posameznikom. Ob tem je treba poudariti, da člen 6
(1)(b) ne zajema obdelave, ki je sicer koristna, vendar objektivno ni potrebna za izvajanje pogodbene storitve ali sprejetje pred-pogodbenih ukrepov na zahtevo posameznika, četudi je potrebna za druge upravljavčeve poslovne namene (glejte odstavek 25 Smernic št. 2/2019 o obdelavi osebnih podatkov na podlagi člena 6
(1)(
- b)Splošne uredbe o varstvu podatkov v okviru zagotavljanja spletnih storitev posameznikom, na katere se nanašajo osebni podatki, dostopne na: https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines-art_6-1-b-adopted_after_public_consultation_sl.pdf). Prav tako je treba zagotoviti ustrezno pravno podlago za pošiljanje posameznikom anket. V kolikor bi vprašalnike kupcem posredovale neposredno avtohiše, v takem primeru ne bi prišlo do posredovanje kontaktnih podatkov uvozniku vozil, torej uvoznik vozil v bistvu ne bi obdeloval kontaktnih podatkov strank. Po mnenju IP bi v takem primeru lahko zakoniti interesi predstavljali pravno podlago za posredovanje anketnih vprašalnikov, vendar mora njeno upravičenost glede na okoliščine presoditi upravljavec (avtohiša) sam, kakor je že pojasnjeno zgoraj. Pri tem pa je pomembno, da so posamezniki ustrezno informirani. Namreč člena 13 in 14 v skladu z načelom transparentnosti nalagata upravljavcem, da posameznika informirajo glede tega, kdo obdeluje njegove podatke, za katere namene in na kateri pravni podlagi, komu so podatki posredovani, katere pravice imajo posamezniki, itd. Več o tem si lahko preberete na naši spletni strani: https://upravljavec.si/obvescanje-posameznikov/. Glede vašega vprašanje, ali je kupec stranka uvoznika vozila, pa IP ne more podati odgovora, saj nima dovolj informacij glede razmerja med stranko, avtohišami in uvoznikom vozil, hkrati pa gre v tem primeru za vprašanje obligacijskopravnih razmerij med navedenimi tremi subjekti. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Neja Domnik, mag. prav., asistentka svetovalca pri IP O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026