Posredovanje osebnih podatkov pri najemu vozila (»car share«) - IPRS

Posredovanje osebnih podatkov pri najemu vozila (»car share«) + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 18.03.2022 Številka: 07121-1/2022/326 Kategorije: --> Kategorije: Pravne podlage, Privolitev Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da se za prijavo na opcijo »car share« zahteva številka vozniškega dovoljenja. Menite, da je to dokument, ki ga lahko od posameznika zahteva le za to pooblaščena oseba in vas zanima, kaj o tem meni IP. *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi člena 58 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 uradno prečiščeno besedilo in 177/20, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Pojasnjujemo, da mora biti za vsako obdelavo osebnih podatkov podana ustrezna pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe: (

1. a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
2. b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
3. c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
4. d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
5. e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
6. f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. IP meni, da bi v konkretni zadevi lahko eventualno kot pravni podlagi prišli v poštev zgoraj citirani točki (
7. a)– privolitev ali (
8. b)– izvajanje pogodbe. Glede na vaš opis sklepamo, da se vaše vprašanje nanaša na prijavo npr. preko spleta oz. aplikacije, s pomočjo katere bi se želeli prijaviti za storitev najema vozila. Predlagamo vam, da se seznanite z morebitnimi splošnimi pogoji storitve, ki so del pogodbe (npr. najemne pogodbe oz. druge ustrezne pogodbe z upravljavcem aplikacije). IP na splošno pojasnjuje, da v kolikor je podatek o številki vozniškega dovoljenja nujno potreben za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe, potem lahko upravljavec ta podatek obdeluje (npr. v zvezi z ureditvijo zavarovanj v prometu oz. kritjem zavarovalne škode). Nenazadnje je veljavno vozniško dovoljenje skladno s 3. točko prvega odstavka 56. člena Zakona o voznikih (Uradni list RS, št. 85/16, 67/17, 21/18 – ZNOrg, 43/19 in 139/20) eden izmed splošnih pogojev za udeležbo voznikov v cestnem prometu. Ob tem pa poudarjamo, da mora upravljavec pri obdelavi osebnih podatkov upoštevati načelo najmanjšega obsega podatkov (točka (
9. c)prve točke 5. člena Splošne uredbe), skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Povedano drugače, lahko upravljavec za zakonite namene zbira zgolj tiste osebne podatke, ki so za njihovo dosego nujno potrebni. Prav tako mora upravljavec upoštevati načelo omejitve hrambe, ki določa, da morajo biti osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo. Ob izpolnitvi namena je tako treba osebne podatke (varno) izbrisati. Informacijo o namenih za obdelavo osebnih podatkov lahko pridobite pri upravljavcu, saj vam jo mora med drugim zagotoviti na podlagi 13. člena Splošne uredbe že ob sami pridobitvi vaših osebnih podatkov (več o tem spodaj). Pravno podlago za obdelavo osebnih podatkov pa bi lahko v konkretnem primeru predstavljala tudi privolitev, v okviru katere mora biti namen obdelave osebnih podatkov jasno izražen. Več informacij o veljavni privolitvi si lahko preberete na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/privolitev. Ponovno pa poudarjamo, da bi se do konkretnega vprašanja lahko IP opredelil zgolj znotraj inšpekcijskega postopka. V zvezi s pooblaščenimi osebami za vpogled v osebne podatke nadalje pojasnjujemo, da upravljavec sam določi, katere osebe so znotraj upravljavca pooblaščene za vpogled oz. obdelavo osebnih podatkov. Namreč, ZVOP-1 v zvezi s tem v svojem 25. členu ZVOP-1 določa, da mora upravljavec določiti osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke ter ob tem poskrbeti za sprejem ustreznih tehnično-organizacijskih ukrepov za zavarovanje osebnih podatkov. Ob tem seveda predpostavljamo, da sam upravljavec razpolaga s pravno podlago za obdelavo osebnih podatkov. Upravljavec mora torej poskrbeti tudi za sprejem ustreznih tehnično-organizacijskih ukrepov za zavarovanje osebnih podatkov (skladno s 24. in 25. členom ZVOP-1 in 24., 25. in 32. členom Splošne uredbe). Več o ukrepih za zavarovanje osebnih podatkov si lahko preberete na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/zavarovanje-oz-varnost-osebnih-podatkov. Kot smo že opozorili zgoraj, pa mora upravljavec, še preden od posameznika pridobi osebne podatke, posamezniku zagotoviti določene informacije, kot to določa 13. člen Splošne uredbe, npr. kdo obdeluje osebne podatke, zakaj jih obdeluje, komu osebne podatke posreduje, koliko časa se bodo osebni podatki hranili, itd. Več informacij je na voljo na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/obve%C5%A1%C4%8Danje-posameznikov-o-obdelavi-osebnih-podatkov. V kolikor menite, da je prišlo do kršitve varstva osebnih podatkov, lahko podate prijavo kršitve varstva osebnih podatkov, v okviru inšpekcijskega postopka pa bomo podrobno preverjali zakonitost in sorazmernost zbiranja osebnih podatkov. Vzorec prijave kršitve je dostopen na spletni strani IP: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Barbara Pirš, univ.dipl.prav., svetovalka pooblaščenca za preventivo O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
10. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026