Zahteve glede piškotkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.04.2021 Številka: 07121-1/2021/796 Kategorije:Moderne tehnologije, Pravne podlage, Svetovni splet --> Kategorije: Moderne tehnologije, Svetovni splet, Pravne podlage Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, v katerem pojasnjujete, da vaše podjetje posodablja politiko piškotov vaše spletne strani. V zvezi s tem vas zanima sledeče: Ali slovenska zakonodaja določa strožje oz. drugačne zahteve glede nujnih piškotkov in ali je potrebna privolitev? Ali je določen čas hrambe piškotkov, da je torej za nadaljnjo hrambo potrebno pridobiti novo soglasje? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma pojasnjuje, da lahko poda le splošno mnenje, konkretno in dokončno pa lahko presoja samo v okviru postopka inšpekcijskega nadzora. Glede prvega vprašanja: Rabo spletnih piškotkov v Sloveniji ureja Zakon o elektronskih komunikacijah (Uradni list RS, št. 109/12, 110/13, 40/14 – ZIN-B, 54/14 – odl. US, 81/15 in 40/17; v nadaljevanju: ZEKom-1). ZEKom-1 v
- odstavku
- člena določa, da je shranjevanje podatkov ali pridobivanje dostopa do podatkov, shranjenih v terminalski opremi naročnika ali uporabnika, dovoljeno samo pod pogojem, da je naročnik ali uporabnik v to privolil potem, ko je bil predhodno jasno in izčrpno obveščen o upravljavcu in namenih obdelave teh podatkov v skladu s Splošno uredbo o varstvu podatkov. Kot veljavna privolitev se šteje le aktivno in prostovoljno podana, konkretna, informirana in nedvoumna vnaprejšnja privolitev posameznika. Pri čemer je za zakonito sledenje s piškotki na spletnih straneh potrebno aktivno soglasje posameznika, kar pomeni, da molk, vnaprej označeno okence ali nedejavnost posameznika ne predstavljajo veljavne privolitve. Ne glede na to pa
- člen ZEKom-1 v drugem odstavku določa izjeme, in sicer privolitev ni potrebna le za tiste piškotke, ki se uporabljajo izključno zaradi prenosa sporočila po elektronskem komunikacijskem omrežju, ali, ki so nujno potrebni za zagotovitev storitve, ki jo naročnik izrecno zahteva. Druge zakonodajo, ki bi poleg ZEKom-1 in Splošne uredbe o varstvu podatkov posebej urejala piškotke, v Sloveniji ni. Kakor izhaja iz določbe drugega odstavka
- člena ZEKom-1 za nujne piškotke tako ni potrebno pridobiti privolitve posameznika. Bodite pa pozorni, da takšna ureditev velja le za nujne piškotke (npr. piškotki, ki so nujni za delovanje spletišča) in piškotke, ki se uporabljajo izključno zaradi prenosa sporočila po elektronskem komunikacijskem omrežju, v nasprotnem primeru je potrebno pridobiti veljavno privolitev posameznika (npr. ob uporabi oglaševalskih, analitičnih piškotkov). Ne glede na to pa je treba tudi glede nujnih piškotkov na določenem mestu v okviru spletne strani (npr. v okviru izjave o zasebnosti) navesti imena piškotkov, njihovo trajanje, namene, za katere so uporabljeni, ter druge informacije (o tem členi 12, 13 in 14 Splošne uredbe o varstvu podatkov). Glede drugega vprašanja: Naša zakonodaja ne določa časa trajanja za konkretne piškotke. Vsekakor je pri tem treba upoštevati temeljna načela iz člena 5 Splošne uredbe o varstvu podatkov, kot na primer načelo omejitve shranjevanja podatkov v skladu s katerim so lahko osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo. Ko je namen dosežen, takšnih podatkov ni mogoče več nadalje obdelovati brez ustrezne pravne podlage. Poleg tega morajo biti podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (načelo najmanjšega obsega podatkov). Načelo omejitve namena pa določa, da se osebni podatki zbrani za določene, izrecne in zakonite namene ter ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni. Tako naj bi na primer piškotek, za katerega velja izjema iz drugega odstavka
- člena ZEKom-1, trajal le toliko časa, kot je to potrebno za dosego njegovega namena. Pri daljšem roku trajanja je potrebna utemeljitev, zakaj je tak rok nujno potreben za zagotovitev v skladu s kriteriji iz drugega odstavka
- člena ZEKom-1 (če tako dolg rok trajanja ni potreben, ne moremo govoriti o izjemi). Pri piškotkih, v katere je posameznik privolil, je pomembno upoštevati, v kaj so posamezniki privolili, torej v kolikor se privolitev nanaša na konkretno določen rok hrambe podatkov, je te podatke mogoče obdelovati zgolj za navedeno obdobje oziroma v nasprotnem primeru zagotoviti novo pravno podlago za obdelavo podatkov. Dodatno: IP dodatno pojasnjuje, da je Evropski odbor za varstvo podatkov pred kratkim sprejel smernice na temo ciljanja uporabnikov družbenih omrežij, ki so za vas morda relevantne predvsem z vidika uporabe piškotkov družbenih omrežij (npr. Facebooka). Do smernic lahko dostopate prek spletne povezave (glej str. 19 in naprej; za sedaj zgolj v angleškem jeziku): https://edpb.europa.eu/our-work-tools/public-consultations-art-704/2020/guidelines-082020-targeting-social-media-users_sl. Tako iz smernic kakor tudi iz sodne prakse Sodišča Evropske unije jasno izhaja, da gre pri takšnih piškotkih, ki za ponudnika storitve zbirajo osebne podatke in mu jih posredujejo, za skupno upravljavstvo. Kot skupna upravljavca nastopata upravljavec spletne strani (oglaševalec) in družbeno omrežje, ki nudi tehnologijo piškotkov, vendar le v delu obdelave podatkov, ko skupaj določa namene in sredstva obdelave. Na koncu vas IP glede uporabe storitev ameriških podjetij (npr. Google Analytics) opozarja na sodbo Sodišča Evropske unije, s katero je sodišče razveljavilo Zasebnostni ščit za prenos podatkov v ZDA (Privacy Shield). V kolikor bo v danem primeru prišlo do prenosa podatkov v tretje države (npr. v ZDA) vas napotujemo na novičko na to temo na naši spletni strani: https://www.ip-rs.si/novice/6051f
- V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Neja Domnik, mag. prav., asistentka svetovalca pri IP O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026