Spletna anketa - IPRS

Spletna anketa + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 10.06.2007 Številka: 0712-491/2007/2 Kategorije:Pogodbena obdelava OP --> Kategorije: Pogodbena obdelava OP Spoštovani, prejeli smo vaš dopis, v katerem navajate, da na ______________ nameravate izvesti spletno anketo o kakovosti dela turističnih agencij, ki bo objavljena na vašem spletnem portalu. Rezultati te ankete pa se bodo zaradi lažje obdelave zbirali pri vaši pogodbeni partnerici – agenciji ________. Z agencijo nameravate podpisati »sporazum«, v katerem boste natančno določili, katere osebe bodo imele pri vaši pogodbeni partnerici dostop do podatkov, ki jih boste zbrali prek ankete (odgovorov in mail naslovov). Zanima vas ali je to dovolj oz. ali morate tudi nam posredovati kakšno informacijo o tem »dogodku«.Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke prvega odstavka
4. člen ZVOP-1 ter
5. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje. Ker predpostavljamo, da v posameznih objavah prihaja tudi do objavljanja osebnih podatkov, vam v nadaljevanju podajamo pravno mnenje zgolj z vidika skladnosti z ZVOP-1, ne pa tudi z vidika skladnosti z drugo zakonodajo, za katero nismo pristojni. Osebni podatek je v skladu s
6. tč.
7. člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen.Posameznik je v skladu z
8. tč.
9. člena ZVOP-1 določena ali določljiva fizična oseba, na katero se nanaša osebni podatek. Fizična oseba je določljiva, če se jo lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa.Zbirka osebnih podatkov je v skladu s
10. tč.
11. člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.Upravljavec osebnih podatkov je v skladu z
12. tč.
13. člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Pogodbeni obdelovalec je v skladu z
14. tč.
15. člena ZVOP-1 fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov.Splošna pravna podlaga za dopustno obdelavo osebnih podatkov je navedena v
16. odstavku
17. člena ZVOP-1 in določa, da se ti podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Naslednji odstavek istega člena določa, da mora biti namen obdelave določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov.Pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju, kamor kot pravna oseba civilnega prava spada tudi vaša Zveza, so določene v
18. čl. ZVOP-1, ki določa, da se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika (
19. odst.). Ne glede na prejšnji odstavek se lahko v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe (
20. odst.).V vašem dopisu navajate, da boste od sodelujočih v spletni anketi poleg odgovorov na vprašanja pridobivali tudi njihove elektronske naslove. Elektronski naslov je glede na zgoraj citirano
21. in
22. tč.
23. člena ZVOP-1 nedvomno osebni podatek, kadar določi posameznika (npr. 0712-491/2007/2). Elektronski naslovi, iz katerih so razvidni ime, priimek in zaposlitev posameznika, so podatki, ki zadostujejo, da je posameznik vsaj določljiv. Na podlagi teh treh podatkov skupaj torej lahko posameznika določimo ali pa je ta vsaj določljiv brez večjega napora. Službeni elektronski naslov je načeloma osebni podatek, ker lahko določi posameznika, saj o njem razkrije ime, priimek in zaposlitev. Ti trije osebni podatki pa (navadno) omogočijo dokaj enostavno identifikacijo posameznika. Glede na povedano je Pooblaščenec mnenja, da bo zbirka elektronskih naslovov, ki bo nastala pri izvajanju ankete objavljene na vaši spletni strani, predstavljala zbirko osebnih podatkov v smislu ZVOP-1, katere upravljavec je Zveza potrošnikov Slovenije. V zbirki elektronskih naslovov se bodo namreč nahajali tudi takšni elektronski naslovi, ki bodo vsebovali dovolj podatkov za identifikacijo posameznika.Pogodbeno obdelavo osebnih podatkov ureja
24. člen ZVOP-1, ki v
25. odstavku določa, da lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje take dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
26. člena ZVOP-
27. Pogodbeni obdelovalec sme opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
28. člena tega zakona. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz
29. člena tega zakona. V primeru spora med upravljavcem osebnih podatkov in pogodbenim obdelovalcem je dolžan pogodbeni obdelovalec na podlagi zahteve upravljavca osebne podatke, ki jih je pogodbeno obdeloval, nemudoma vrniti upravljavcu. Morebitne kopije teh podatkov mora takoj uničiti ali jih posredovati državnemu organu, ki je v skladu z zakonom pristojen za odkrivanje ali pregon kaznivih dejanj, sodišču ali drugemu državnemu organu, če tako določa zakon. V primeru prenehanja pogodbenega obdelovalca se osebni podatki brez nepotrebnega odlašanja vrnejo upravljavcu osebnih podatkov.
30. člen ZVOP-1 ureja zavarovanje osebnih podatkov, ki v skladu s
31. odst. tega člena obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
32. varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
33. varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
34. preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
35. zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
36. omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.
37. odst. istega člena določa, da morajo v primeru obdelave osebnih podatkov, ki so dostopni preko telekomunikacijskega sredstva ali omrežja, strojna, sistemska in aplikativno programska oprema zagotavljati, da je obdelava osebnih podatkov v zbirkah osebnih podatkov v mejah pooblastil uporabnika osebnih podatkov. Postopki in ukrepi za zavarovanje osebnih podatkov morajo biti ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo. Funkcionarji, zaposleni in drugi posamezniki, ki opravljajo dela ali naloge pri osebah, ki obdelujejo osebne podatke, so dolžni varovati tajnost osebnih podatkov, s katerimi se seznanijo pri opravljanju njihovih funkcij, del in nalog. Dolžnost varovanja tajnosti osebnih podatkov jih obvezuje tudi po prenehanju funkcije, zaposlitve, opravljanja del ali nalog ali opravljanja storitev pogodbene obdelave. Pooblaščenec na podlagi povedanega zaključuje, da bo agencija, na katero nameravate prenesti posamezna opravila v zvezi z obdelavo osebnih podatkov, pogodbeni obdelovalec teh podatkov, zato mora biti za tako dejavnost registrirana in mora zagotavljati ukrepe iz zgoraj navedenega
38. člena ZVOP-1, osebnih podatkov pa ne sme obdelovati za namen, ki bi presegal meje vašega pooblastila. V zvezi z vašimi navedbami, da z agencijo nameravate podpisati »sporazum«, v katerem boste natančno določili, katere osebe bodo imele pri vaši pogodbeni partnerici dostop do zbranih podatkov, Pooblaščenec poudarja, da morata upravljavec in pogodbeni obdelovalec na podlagi
39. odst.
40. člena ZVOP-1 obvezno skleniti pisno pogodbo, v kateri uredita medsebojne pravice in obveznosti v zvezi s pogodbeno obdelavo osebnih podatkov. Taka pogodba mora vsebovati dogovor o vseh postopkih in ukrepih iz
41. člena ZVOP-1 in ne le določitev oseb, ki bodo imele pri pogodbenem obdelovalcu dostop do »vaših« osebnih podatkov. V zvezi z vašim vprašanjem, ali morate Informacijskemu pooblaščencu v zvezi s tem »dogodkom« posredovati še kakšno informacijo, Pooblaščenec opozarja na obveznosti, ki vam jih ZVOP-1 nalaga kot upravljavcu zbirk osebnih podatkov, medtem ko o samem dejstvu sklenitve pogodbe po določbi
42. člena ZVOP-1 Informacijskega pooblaščenca ni treba obveščati. Ker je Informacijski pooblaščenec že izdelal kar nekaj pravnih mnenj na temo dolžnosti upravljavcev zbirk osebnih podatkov, vam pošiljamo povezavi na našo spletno stran, na katerih najdete obsežnejši odgovor na omenjeno vprašanje.0712-491/2007/20712-491/2007/2 S spoštovanjem,Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026