Veljavnost privolitve po GDPR - IPRS

Veljavnost privolitve po GDPR + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 28.06.2017 Številka: 0712-3/2017/17 Kategorije:Pogodbena obdelava OP, Razno, Zbirke osebnih podatkov --> Kategorije: Razno, Pogodbena obdelava OP, Zbirke osebnih podatkov Spoštovani,Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše elektronsko sporočilo, v katerem pojasnjujete, da so bila v vašem podjetju v preteklosti na nekaterih obrazcih pridobljena (pre)splošna soglasja za obdelavo osebnih podatkov v skladu s specialnim zakonom, ki velja za področje dejavnosti podjetja in ZVOP-1 ter za neposredno trženje. Zanima vas, kako sanirati takšne pomanjkljivosti? Kaj bo z veljavnostjo "starih" privolitev glede na novo Uredbo? Bi bilo treba stranke podjetja obvestiti, kateri podatki se v zvezi z njimi obdelujejo in jih zaprositi za privolitve in za ažuriranje podatkov? Zanima vas tudi, kaj s pogodbenimi obdelovalci, saj za vaše podjetje obdelavo in vrste osebnih podatkov (ki jih obdeluje tudi pogodbeni obdelovalec), določa specialni zakon. Izrecnih privolitev za pogodbeno obdelavo ni oz. se ni pridobilo. Kako sanirati pomanjkanje privolitve v takšnih primerih?Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
5. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.Pogoji za veljavno privolitev po ZVOP-1 obsegajo njeno nedvoumnost; privolitev mora biti dana podana aktivno (z izjavo ali dejanjem) in »tihe« privolitve (molk ali neodzivnost posameznika) ne moremo šteti za privolitev. Privolitev mora biti podana pred obdelavo osebnih podatkov. Posamezniku treba zagotoviti pravico do umika privolitve. Zelo pomemben element privolitve je predhodna informiranost posameznika, saj se lahko le na podlagi ustreznih informacij o tem, komu zaupa katere podatke in za kakšen namen, posameznik svobodno odloči, ali bo svoje podatke posredoval ali ne. Situacijo z neustreznimi privolitvami lahko sanirate le na način, da od posameznikov pridobite privolitve, ki bodo izpolnjevale pogoje ZVOP-1 in področne zakonodaje in bodo temeljile na vseh potrebnih informacijah.Določbe prihajajoče Splošne uredbe o varstvu osebnih podatkov pogoje za pridobitev veljavnega soglasja in za informiranje posameznikov zaostrujejo, pri čemer privolitve, ki zadovoljujejo standarde postavljene z uredbo ostanejo veljavne tudi naprej.Obrazložitev:Glede na informacije, ki ste jih posredovali, in ob upoštevanju dejstva, da iz vašega dopisa ni razvidno področje, kjer delujete ali področna zakonodaja, ki podrobneje predpisuje vaše delovanje, posredovanje podatkov in morda tudi pridobivanje privolitev, vam lahko posredujemo le splošno mnenje, v katerem predvsem opozarjamo na veljavnost privolitve glede na ZVOP-1 in na zahteve ZVOP-1 glede informiranja posameznikov o obdelavi osebnih podatkov.Svoje mnenje o veljavnosti privolitve je že leta 2011 podala Delovna skupina iz člena 29, ki združuje vse nadzorne organe za varstvo osebnih podatkov iz EU in ki poudarja, da mora biti privolitev posameznika nedvoumna – ne sme torej obstajati dvom v to, ali se je posameznik strinjal z obdelavo osebnih podatkov ali ne. Prav tako je pomembno, da je privolitev podana aktivno (z izjavo ali dejanjem), zato »tihe« privolitve (molk ali neodzivnost posameznika) ne moremo šteti za privolitev. Upravljavci osebnih podatkov morajo biti zmožni izkazati, da so pridobili privolitev posameznika. Privolitev mora biti podana pred obdelavo osebnih podatkov ali pred obdelavo osebnih podatkov za druge namene, pri čemer pojem obdelava zajema kakršnokoli ravnanje s podatki. Delovna skupina iz člena 29 prav tako poudarja, da je posamezniku treba zagotoviti pravico do umika privolitve. Zelo pomemben element privolitve je predhodna informiranost posameznika, saj se lahko le na podlagi ustreznih informacij o tem, komu zaupa katere podatke in za kakšen namen, posameznik svobodno odloči, ali bo svoje podatke posredoval ali ne. Obvestilo mora jasno navajati vse sestavine, kot jih predvideva
6. člen ZVOP-1, pri čemer morajo biti jasno opredeljeni nameni obdelave osebnih podatkov in morebitno posredovanje osebnih podatkov tretjim. Obvestilo mora biti jasno vidno in razvidno.Mnenje Delovne skupina iz člena 29 je dostopno na tej povezavi:ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/2011_en.htmČe vaša pridobljena soglasja ne zadovoljujejo zgornjih pogojev, ne moremo govoriti o veljavnih privolitvah, niti po zdaj veljavni zakonodaji. Seveda je ob tem treba upoštevati tudi področno zakonodajo, ki vam lahko predpisuje podrobnosti v zvezi s pridobivanjem soglasja in informiranjem posameznikov. Situacijo lahko sanirate le na način, da od posameznikov pridobite privolitve, ki bodo izpolnjevale pogoje ZVOP-1 in področne zakonodaje in bodo temeljile na vseh potrebnih informacijah.Splošna Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne
7. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov), ki bo maja 2018 »nasledila« ZVOP-1 vsebuje določbe o privolitvi v členih 7 in 8 ter recitalih 32 in 171, v skladu s katerimi za področje privolitve predvideva strožje pogoje, prav tako člena 13 in 14, ki predpisujeta pogoje za informiranje posameznikov. Glede na recital 171 Splošne uredbe o varstvu podatkov posamezniku, na katerega se nanašajo osebni podatki, ni treba ponovno dati privolitve, če je bila privolitev dana na način, ki je v skladu s pogoji iz te uredbe, s čimer se upravljavcu dovoli, da takšno obdelavo še naprej izvaja po datumu začetka uporabe te uredbe. To pomeni, da privolitve, ki zadovoljujejo standarde postavljene z uredbo ostanejo veljavne tudi naprej.Glede vašega vprašanja o pogodbeni obdelavi pa pojasnjujemo, da trenutno veljaven ZVOP-1 pri pogodbeni obdelavi osebnih podatkov ne predvideva privolitev posameznika, pač pa pravno podlago za tako posredovanje podatkov v obdelavo pogodbenemu partnerju običajno predstavlja pogodba v skladu z
8. členom ZVOP-
9. Kar pomeni da zgolj glede na določbe ZVOP-1 privolitev posameznika za pogodbeno obdelavo ni potrebna, z izjemo situacij po
10. odstavku
11. člena ZVOP-
12. Glede na to, da ne navajate, katera področna zakonodaja za vas ureja to področje, tega ne moremo komentirati, saj ni jasno, ali za vaše področje morda obstaja posebna ureditev, ki za pogodbeno obdelavo osebnih podatkov predvideva privolitve posameznikov. Prijazen pozdrav.Mojca Prelesnik, univ. dipl. prav.,informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026