Razkrivanje osebnih podatkov bivšega zaposlenega strankam podjetja - IPRS

Razkrivanje osebnih podatkov bivšega zaposlenega strankam podjetja + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 03.01.2022 Številka: 07121-1/2021/2620 Kategorije: --> Kategorije: Neposredno trženje, nagradne igre, Pravne podlage Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste bili zaposleni pri zavarovalnici, ki je po prenehanju vaše zaposlitve vašim bivšim strankam poslala dopis, s katerim je stranke povabila, da se oglasijo zavarovalnici, če želijo nadaljevati poslovni odnos in izvedeti za vse ugodnosti, ki jih ponuja. V tem dopisu je zavarovalnica vašim bivšim strankam razkrila tudi vaše ime in priimek ter navedla, da ste se odločili za drugo karierno pot. Zanima vas, ali je bilo to ravnanje zavarovalnice ustrezno. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. IP na podlagi vašega dopisa ugotavlja, da gre v vašem sporočilu za dve vprašanji, in sicer 1) vprašanje kontaktiranja strank z namenom pridobivanja njihovih drugih kontaktnih podatkov in nadaljevanja poslovnega odnosa in 2) razkrivanje vaših osebnih podatkov v dopisu strankam. Glede prvega vprašanja (kontaktiranje strank) bi bilo mogoče ugotoviti, da gre za obdelavo osebnih podatkov strank zavarovalnice, ki bi bila lahko potrebna za izvajanje pogodbe ali za izvajanje ukrepov pred sklenitvijo pogodbe (točka (

1. b)prvega odstavka 6. člena Splošne uredbe) ali pa za obdelavo z namenom neposrednega trženja, ki jo ureja 72. člen ZVOP-1. Prvi pogoj za dopustnost neposrednega trženja po ZVOP-1 je, da ponudnik osebne podatke posameznikov, ki jih uporablja za namene neposrednega trženja, pridobi bodisi iz javno dostopnih virov, bodisi v okviru zakonitega opravljanja dejavnosti, s čimer postane upravljavec zbirke osebnih podatkov in mora spoštovati tudi ostale določbe ZVOP-1, ki se nanašajo na upravljavce zbirk osebnih podatkov. V vašem primeru obstaja verjetnost, da je zavarovalnica osebne podatke strank (ime, priimek, naslov) pridobila v okviru zakonitega opravljanja dejavnosti, saj gre za stranke zavarovalnice. Prvi odstavek 72. člena ZVOP-1 glede neposrednega trženja določa, da lahko upravljavec osebne podatke posameznikov, ki jih je zbral v okviru zakonitega opravljanja dejavnosti, tudi za namene ponujanja blaga, storitev, zaposlitev ali začasnega opravljanja del z uporabo poštnih storitev, telefonskih klicev, elektronske pošte ali drugih telekomunikacijskih sredstev v skladu z določbami tega poglavja, če drug zakon ne določa drugače. Drugi odstavek istega člena določa, da lahko za namene neposrednega trženja upravljavec osebnih podatkov uporablja le naslednje osebne podatke, ki jih je zbral v skladu s prejšnjim odstavkom: osebno ime, naslov stalnega ali začasnega prebivališča, telefonsko številko, naslov elektronske pošte ter številko telefaksa. Na podlagi osebne privolitve posameznika lahko upravljavec osebnih podatkov obdeluje tudi druge osebne podatke, občutljive osebne podatke pa le, če ima za to osebno privolitev posameznika, ki je izrecna in praviloma pisna. Upravljavec osebnih podatkov mora neposredno trženje izvajati tako, da: posameznika ob izvajanju neposrednega trženja obvesti o njegovih pravicah glede prenehanja uporabe(posameznik namreč lahko od upravljavca osebnih podatkov kadarkoli zahteva, da trajno ali začasno preneha uporabljati njegove osebne podatke za namen neposrednega trženja), načina in stroških odjave ter dolžnostih upravljavca osebnih podatkov; uporablja zgolj osebne podatke, ki jih je pridobil iz javno dostopnih evidenc ali v okviru zakonitega opravljanja dejavnosti. Glede drugega vprašanja (razkrivanja vaših osebnih podatkov) pa pravna podlaga ni očitna na prvi pogled. Ker IP tega ne more presojati brez dokumentacije, navedb upravljavca in na splošno brez popolnoma ugotovljenega dejanskega stanja (torej izven inšpekcijskega postopka), vam ne moremo odgovoriti, ali je bilo takšno razkrivanje zakonito ali ne. Kot posameznik pa imate poleg inšpekcijske prijave na voljo tudi uresničevanje pravice do dostopa do lastnih osebnih podatkov in informacij v zvezi z obdelavo le-teh, s katerimi se seznanite z obdelavo vaših osebnih podatkov in lahko preverite njihovo zakonitost. Posameznik ima tako skladno s prvim odstavkom 15. člena Splošne uredbe tako pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije: (
2. a)namene obdelave; (
3. b)vrste zadevnih osebnih podatkov; (
4. c)uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah; (
5. d)kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; (
6. e)obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi; (
7. f)pravico do vložitve pritožbe pri nadzornem organu; (
8. g)kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom; (
9. h)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22