Ustreznost konkretne obdelave osebnih podatkov in politike varovanja osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 03.05.2021 Številka: 07121-1/2021/847 Kategorije:Informiranje posameznika, Pravne podlage, Privolitev --> Kategorije: Privolitev, Pravne podlage, Informiranje posameznika Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede ustreznosti obdelave osebnih podatkov na predloženem letaku ter ustreznosti politike varstva osebnih podatkov, objavljene na spletni strani konkretnega upravljavca. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven konkretnega inšpekcijskega postopka presojati ustreznosti določene rešitve ali skladnosti konkretnih obdelav osebnih podatkov oziroma dokumentov v zvezi z varstvom osebnih podatkov, saj na tem področju deluje kot inšpekcijski organ. IP tako v okviru mnenja ne more presojati ustreznosti oziroma skladnosti konkretnega obrazca in politike varovanja osebnih podatkov, ki ste ju priložili vašemu zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov. IP tako splošno pojasnjuje, da Splošna uredba o varstvu podatkov v prvem odstavku
- člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev: posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Ob tem je treba upoštevati, da se zadnja alinea ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog. V kolikor torej obstaja ena izmed zgoraj naštetih podlag za obdelavo osebnih podatkov, je takšna obdelava skladna z zakonodajo. Privolitev posameznika je torej ena od možnih pravnih podlag za zakonito obdelavo osebnih podatkov. Ob tem IP izpostavlja, da je treba, kadar je posameznik privolil v obdelavo njegovih osebnih podatkov v enega ali več namenov (točka (a) člena 6
(1)Splošne uredbe o varstvu podatkov), upoštevati podrobnejša določila glede pogojev, po katerih se šteje, da je privolitev veljavna, ki so določeni v
- členu Splošne uredbe o varstvu podatkov. Privolitev posameznika mora biti prostovoljno podana, konkretna, razumljiva izjava ali drugo nedvoumno pritrdilno dejanje in dokazljiva. Molk, vnaprej označena okenca ali kakršnakoli nedejavnost tako ne pomenijo privolitve. Prostovoljno je privolitev dana, kadar ima posameznik resnično izbiro in nadzor nad svojimi osebnimi podatki. Posameznik ne sme čutiti prisile ali negativnih posledic, če privolitve ne poda. Prav tako ne sme biti postavljen v situacijo, ko privolitve ne more zavrniti ali preklicati brez morebitnih sankcij oz. škodnih posledic. Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen. IP poudarja, da mora biti privolitev v primerih, ko obdelava podatkov vključuje več različnih namenov, podana za vsak namen posebej. Upravljavec mora pridobiti več ločenih privolitev za vsako obdelavo posebej (granularnost oziroma razčlenjenost privolitev). Namen mora biti jasno in nedvoumno opredeljen, saj je konkreten, ekspliciten in legitimen namen obdelave predpogoj za pridobitev veljavne privolitve. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče. Predhodna informiranost posameznika o obdelavi njegovih podatkov je torej ključen element zakonite obdelave osebnih podatkov, saj se lahko le na podlagi ustreznih informacij o tem, komu lahko zaupa določene svoje podatke in za kakšen namen, posameznik svobodno odloči, ali bo to storil ali ne. Več informacij o privolitvi lahko najdete lahko najdete tudi na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/ Ob tem IP posebej opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga (katerakoli), osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov uporabnikov, kolikor je nujno potrebno za izpolnitev namena v konkretnem primeru. V konkretnem primeru je torej treba preveriti, ali so vsi podatki, ki jih bo treba navesti pri izpolnitvi obrazca, res potrebni za izpolnitev v prijavnici navedenih namenov obdelave. IP pojasnjuje tudi, da izredno pomemben in žal pogosto zapostavljen vidik vsake obdelave osebnih podatkov predstavlja tudi obveščanje posameznikov o obdelavi osebnih podatkov. Že uvodna določba št. 39 Splošne uredbe o varstvu podatkov med drugim določa, da načelo preglednosti zahteva, da so vse informacije in sporočila, ki se nanašajo na obdelavo osebnih podatkov, lahko dostopni in razumljivi ter izraženi v jasnem in preprostem jeziku. To načelo pa zadeva zlasti informacije za posameznike, na katere se nanašajo osebni podatki, o identiteti upravljavca in namenih obdelave ter dodatne informacije za zagotovitev poštene in pregledne obdelave glede zadevnih posameznikov in njihove pravice do pridobitve potrditve in sporočila o obdelavi osebnih podatkov v zvezi z njimi. IP pojasnjuje, da so informacije, ki jih je treba zagotoviti posamezniku, na katerega se nanašajo osebni podatki, z vidika varstva osebnih podatkov na splošno urejene v členih 13 in 14 Splošne uredbe o varstvu podatkov. Skladno z določbo
- člena Splošne uredbe o varstvu podatkov je dolžan upravljavec v primeru, kadar so bili osebni podatki pridobljeni od posameznika, na katerega se ti nanašajo, le-temu takrat, ko pridobi osebne podatke, zagotoviti naslednje informacije: identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja; kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja; namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo; kadar obdelava temelji na točki (f) člena 6
(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba; uporabnike ali kategorije uporabnikov osebnih podatkov, kadar obstajajo; kadar je ustrezno, informacije o tem, da namerava upravljavec prenesti osebne podatke uporabniku v tretji državi ali mednarodni organizaciji, ter o obstoju ali neobstoju sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49
(1)sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo; tudi nekatere druge informacije, opredeljene v drugem odstavku istega člena. Dodatno drugi odstavek
- člena Splošne uredbe o varstvu podatkov zahteva med drugim tudi zagotovitev informacij o roku hrambe, obstoju pravic posameznika in možnosti pritožbe nadzornemu organu. Informacije se v vsakem primeru posamezniku dajo na način, določen v
- členu Splošne uredbe o varstvu podatkov. Informacije morajo biti torej podane na lahko dostopen način in predstavljene v jasnem in razumljivem jeziku, ki je prilagojen glede na tipičnega kupca oziroma uporabnika storitev konkretnega upravljavca (navadno se to zagotavlja v okviru splošnih pogojev poslovanja oziroma politike zasebnosti) . Opisana obveznost informiranja posameznika odpade le izjemoma, in sicer takrat, kadar posameznik, na katerega se nanašajo osebni podatki, že ima informacije. IP je za pomoč upravljavcem pri seznanjanju svojih uporabnikov/strank glede obdelave osebnih podatkov pripravil tudi vzorec obvestila, ki je dostopen na spletni strani IP: Vzorec obvestila posameznikom glede obdelave osebnih podatkov (člen 13 Splošne uredbe o varstvu podatkov) IP ponovno poudarja, da v okviru mnenja ne more dokončno presojati konkretnega ravnanja posameznega upravljavca. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo in odgovornost zanjo je vedno na upravljavcu osebnih podatkov. IP sklepno glede vašega uvodnega vprašanja v zaprosilu za mnenje pojasnjuje še, da Zakon o davčnem potrjevanju računov (ZDavPR, Uradni list RS, št. 57715, 69/17) v
- odstavku
- člena določa, da mora račun, ki ga zavezanec izda kupcu, poleg podatkov, ki so določeni s predpisi, ki urejajo davek na dodano vrednost in davčni postopek, vsebovati še naslednje podatke: čas izdaje računa (uro in minute); oznako fizične osebe, ki izda račun z uporabo elektronske naprave za izdajo računov; enkratno identifikacijsko oznako računa in zaščitno oznako izdajatelja računa. Zakon o Davku na dodano vrednost (ZDDV-1; Uradni list RS, št. 13/11 - UPB, 18/11, 78/11, 38/12, 83/12, 86/14, 90/15, 77/18, 59/19, 72/19) pa v
- členu med obveznimi podatki na računu, ki ga izda davčni zavezanec v skladu z določbo
- člena ZDDV-1, določa tudi ime in naslov davčnega zavezanca in njegovega kupca ali naročnika. IP ob tem poudarja, da nikakor ni pristojen za nadzor nad obračunavanjem in plačevanjem DDV, saj to spada v pristojnost davčnih organov. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026