Prenos baze strank ob prodaji spletne trgovine - IPRS

Prenos baze strank ob prodaji spletne trgovine + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 11.10.2022 Številka: 07121-1/2022/1075 Kategorije: --> Kategorije: Posredovanje OP med upravljavci, Pravne podlage, Svetovni splet, Zakoniti interesi Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vprašanje in sicer ste pojasnili, da imate manjšo spletno trgovino in verjetno se boste odločili za prodajo. Zanima vas, kako je s podatki o kupcih - se to lahko prenese skupaj s trgovino ali je potrebno celo bazo izbrisati? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. S prodajo blagovne znamke ali določene poslovne dejavnosti pride do prenosa osebnih podatkov iz enega upravljavca na drugega, zato mora za to obstajati ustrezna pravna podlaga. Novi upravljavec osebnih podatkov mora izpolniti obveznost glede obveščanja strank po členu 14 Splošne uredbe. O b r a z l o ž i t e v: IP uvodoma poudarja, da upravljavci obdelujejo osebne podatke tedaj, ko za to obstaja primerna pravna podlaga iz prvega odstavka 6. člena Splošne uredbe in sicer: (

1. a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
2. b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
3. c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
4. d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
5. e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
6. f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. IP je glede prenosa baze strank v primeru prodaje blagovne znamke že izdal mnenja, ki v pretežni meri odgovarjajo na vaše vprašanje, in sicer: · št. 0712-1/2019/1538, dostopno na: https://www.ip-rs.si/mnenja-gdpr/6048a38d38319; · št. 07121-1/2021/855, dostopno na: https://www.ip-rs.si/mnenja-gdpr/prodaja-spletne-trgovine-in-pravne-podlage. V njih smo pojasnili, da s prodajo blagovne znamke pride do prenosa osebnih podatkov iz enega upravljavca na drugega. Pravno podlago za takšen prenos bi lahko predstavljala točka f prvega odstavka člena 6 Splošne uredbe. Ob tem pa IP ponovno poudarja, da je predpogoj za zakonitost, da je v tem primeru baza naročnikov že prvotno pridobljena v skladu z veljavno zakonodajo, hkrati pa se mora prenesti kot del celotnega poslovanja v zvezi z dejavnostjo blagovne znamke, za katerega opravljanje so osebni podatki iz zbirke, ki se prenaša, po naravi stvari nujno potrebni, prevzemna družba pa mora prenesene osebne podatke obdelovati za identičen namen, za katerega so bile sklenjene pogodbe z naročniki prodajalca blagovne znamke. Glede tega pojasnjujemo, da ne bi mogli šteti, da gre za združljiv namen, če bi novi upravljavec podatke strank uporabljal za pomembno druge oz. drugačne namene – če bi npr. šlo v vašem primeru za spletno trgovino z artikli za šport in prosti čas, bi bilo za posameznike vsaj neprimerno, da se pri novem upravljavcu njihovi podatki uporabljajo za oglaševanje in prodajo bistveno drugačnih izdelkov, kot npr. prehrambnih dopolnil, zdravstvenih pripomočkov ali drugih izdelkov, ki bi lahko bili v povezavi s posebnimi vrstami osebnih podatkov (t.j. podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genetskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo). Uvrstitev osebnih podatkov posameznika v tovrstne baze bi namreč ob samem oglaševanju lahko povzročilo odpor ali nelagodje posameznikov, še večje težave za njih pa bi - ne glede na to, ali gre za točne podatke ali ne - pomenilo nepooblaščeno razkritje tovrstnih podatkov (npr. zaradi hekerskega vdora ali izgube baze) pri novem upravljavcu. Če so izpolnjeni vsi navedeni pogoji v okviru pravne podlage točke f prvega odstavka člena 6 Splošne uredbe, posebna privolitev posameznikov za prenos osebnih podatkov ni potrebna. Opozarjamo, da je treba uporabo pravne podlage zakonitih interesov po točki f prvega odstavka člena 6 Splošne uredbe dokumentirati. Pomemben vidik pri tem je lahko tudi civilnopravno razmerje med naročnikom in novim upravljavcem, ali gre torej za prenos poslovnega razmerja med naročnikom iz starega na novega upravljavca. Poleg tega IP pojasnjuje, da je skladno s členom 14 Splošne uredbe upravljavec osebnih podatkov, v primeru, ko osebni podatki niso bili pridobljeni neposredno od posameznika, na katerega se nanašajo, ta dolžna posamezniku zagotoviti tam naštete informacije. S tem se zagotovi ustrezno obveščenost posameznikov, ki se lahko odločijo, da želijo (ali
7. ne)biti v bazi novega upravljavca. Več o temu pojasnjujemo na spletni strani glede obveščanja posameznikov: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/obve%C5%A1%C4%8Danje-posameznikov-o-obdelavi-osebnih-podatkov. Kot upravljavec osebnih podatkov se v konkretnem primeru nedvomno šteje kupec blagovne znamke oziroma spletne trgovine, ki bo osebne podatke pridobil od prodajalca. V kolikor bo slednji še naprej upravljal z osebnimi podatki naročnikov (seveda za druge namene, npr. hramba podatkov na podlagi računovodskih predpisov), pa tudi zanj velja obveznost obveščanja. S spoštovanjem, Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
8. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026