Zbiranje občutljivih osebnih podatkov od anketirancev + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 16.01.2007 Številka: 0712-511/2006/2 Kategorije:Občutljivi OP, Register zbirk osebnih podatkov, Zdravstveni osebni podatki --> Kategorije: Register zbirk osebnih podatkov, Zdravstveni osebni podatki, Občutljivi OP Spoštovani,prejeli smo vaše elektronsko vprašanje.V njem navajate, da ste podjetje oz. samostojni podjetnik z enim zaposlenim in da se boste ukvarjali s prodajo masažnih pasov, pri čemer si nameravate pomagati z anketnimi listi, ki jih boste v izpolnitev posredovali potencialnim bodočim kupcem. V teh anketnih listih jih boste spraševali po njihovem imenu, priimku, naslovu, telefonski številki ter njihovih zdravstvenih težavah (npr. ali imate bolečine v križu, ramah, nogah, krčne žile….). Pri tem navajate, da osebe, ki izpolnijo anketni list, v veliki večini niti ne postanejo vaši kupci, zato vas zanima ali lahko v tem primeru te anketne liste uničite ali jih morate hraniti in izdelati evidenco. Kako je z vzpostavitvijo katalogov zbirk osebnih podatkov in posredovanjem le teh Informacijskemu pooblaščencu? Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter 2. in 18. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje. Pooblaščenec uvodoma podaja nekaj splošnih povzetkov ZVOP-1 za izdelavo kataloga zbirk osebnih podatkov in vnos v register.Osebni podatek je v skladu z 1. tč. 6. člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen.Občutljivi osebni podatki so v skladu z 19. tč. 6. člena ZVOP-1 podatki o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenskih evidenc ali evidenc, ki se vodijo na podlagi zakona, ki ureja prekrške. Ad.1ZVOP-1 v prvem odstavku 10. člena določa, da se osebni podatki v zasebnem sektorju (kamor kot samostojni podjetnik spadajo tudi
- vi)lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je obdelava določenih osebnih podatkov podana osebna privolitev posameznika. Ob tem Pooblaščenec opozarja, da so med osebnimi podatki, ki jih nameravate zbirati tudi občutljivi osebni podatki - podatki o zdravstvenem stanju oz. zdravstvenih težavah, obdelavo katerih pa ureja 13. člen ZVOP-1. 1. tč. 13. člena določa, da se občutljivi osebni podatki lahko obdelujejo le v primeru, če je posameznik za to podal izrecno osebno privolitev, ki je praviloma pisna. Zato morate kot obdelovalec občutljivih osebnih podatkov od svojih anketirancev pridobiti tako izrecno, praviloma pisno privolitev, za obdelavo njihovih podatkov. Pooblaščenec ob tem opozarja tudi na namen obdelave osebnih podatkov, saj 2. odst. 8. člena ZVOP-1 določa, da mora biti v primeru obdelave osebnih podatkov na podlagi osebne privolitve posameznika ta predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov (recimo neposredno trženje, analiza nakupov…). Zato morate kot obdelovalec teh podatkov vsakega anketiranega seznaniti z vsemi nameni obdelave njegovih osebnih podatkov in od njega pridobiti izrecno, praviloma pisno privolitev, s katero anketirani izrecno privoli v obdelavo podatkov v vse te namene. To v vašem primeru pomeni, da morate od anketiranega pridobiti izrecno soglasje za obdelavo osebnih podatkov, ki vam jih na podlagi ankete posreduje, tudi v namene neposrednega trženja, saj iz vašega dopisa izhaja, da jih obdelujete tudi v te namene. V vašem primeru namreč ni mogoče uporabiti določbe 1. odst. 72. člena ZVOP-1, ki upravljavcu osebnih podatkov dovoljuje uporabo osebnih podatkov posameznikov, ki jih je zbral iz javno dostopnih virov ali v okviru zakonitega opravljanja dejavnosti tudi za namene neposrednega trženja. 2. odst. istega člena namreč omejuje nabor podatkov, ki jih je mogoče obdelovati v okviru neposrednega trženja in taksativno našteva, katere osebne podatke, ki jih je zbral v skladu s prejšnjim odstavkom upravljavec lahko uporabi v namene neposrednega trženja, in sicer: osebno ime, naslov stalnega ali začasnega prebivališča, telefonsko številko, naslov elektronske pošte ter številko telefaksa. Tudi določba 2. odst. 72. člena ZVOP-1 v nadaljevanju izrecno poudarja, da upravljavec osebnih podatkov občutljive osebne podatke v namene neposrednega trženja lahko obdeluje le, če ima za to osebno privolitev posameznika, ki je izrecna in praviloma pisna. Na podlagi povedanega Pooblaščenec zaključuje, da mora anketni list vašega podjetja vsebovati opozorilo, v katerem posameznega anketiranca seznanite, da boste na podlagi te ankete pridobljene osebne podatke uporabili tudi v namene neposrednega trženja (in morebitne druge namene) ter izjavo, ki jo podpiše anketirani in s katero soglaša, da se ti njegovi podatki obdelujejo v namene neposrednega trženja (in v morebitne druge namene). Ad.2Zbirka osebnih podatkov je v skladu z 5. tč. 6. člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.Katalog in register zbirk urejajo členi 26 do 28 ZVOP-1. Vsebina kataloga je določena v 26. členu ZVOP-1. V skladu s 1. odst. 26. člena ZVOP-1 mora upravljavec osebnih podatkov za vsako zbirko (torej tudi zbirko o vaših strankah, če so te – vsaj del zbirke – fizične osebe) osebnih podatkov vzpostavi katalog zbirke osebnih podatkov, ki vsebuje: 1. naziv zbirke osebnih podatkov; 2. podatke o upravljavcu osebnih podatkov (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko); 3. pravno podlago za obdelavo osebnih podatkov; 4. kategorije posameznikov, na katere se nanašajo osebni podatki; 5. vrste osebnih podatkov v zbirki osebnih podatkov; 6. namen obdelave; 7. rok hrambe osebnih podatkov; 8. omejitve pravic posameznikov glede osebnih podatkov v zbirki osebnih podatkov in pravno podlago omejitev; 9. uporabnike ali kategorije uporabnikov osebnih podatkov, vsebovanih v zbirki osebnih podatkov; 10. dejstvo, ali se osebni podatki iznašajo v tretjo državo, kam, komu in pravno podlago iznosa; 11. splošen opis zavarovanja osebnih podatkov; 12. podatke o povezanih zbirkah osebnih podatkov iz uradnih evidenc ter javnih knjig; 13. podatke o zastopniku iz tretjega odstavka 5. člena tega zakona (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko).2. odst. 26. člena ZVOP-1 določa, da mora upravljavec osebnih podatkov skrbeti za točnost in ažurnost kataloga.1. odst. 27. člena določa, katere dele kataloga mora upravljavec osebnih podatkov sporočiti državnemu nadzornemu organu (Informacijskemu pooblaščencu). Zaradi boljše preglednosti so ti deli kataloga zgoraj poudarjeni. Te podatke mora upravljavec sporočiti najmanj 15 dni pred vzpostavitvijo zbirke osebnih podatkov ali pred vnosom nove vrste osebnih podatkov. Upravljavec mora Pooblaščencu v skladu z 2. odst. 27. člena sporočiti tudi spremembe podatkov in sicer najkasneje v osmih dneh od dneva spremembe.V skladu z vsem navedenim morate pred vzpostavitvijo zbirke osebnih podatkov – npr. evidence kupcev, evidence zaposlenih, evidence za potrebe pokojninskega in invalidskega zavarovanja, evidence prisotnosti na delu … – vzpostaviti katalog zbirk osebnih podatkov in podatke, ki jih zahteva 27. člena ZVOP-1, pravočasno sporočiti Informacijskemu pooblaščencu. V vašem dopisu pa omenjate, da zbirate osebne podatke od anketirancev, ki v manjšem delu pozneje postanejo tudi vaši kupci. Pooblaščenec meni, da pri tem čeprav osebni podatki iz prve zbirke »prehajajo« v drugo, nastaneta dve zbirki osebnih podatkov v smislu 5. tč. 6. člena ZVOP-1, in sicer zbirka osebnih podatkov o anketirancih in zbirka osebnih podatkov o kupcih in da ste na podlagi tega za vsako od teh dveh zbirk dolžni vzpostaviti katalog zbirke osebnih podatkov in oba kataloga posredovati Informacijskemu pooblaščencu.V vašem dopisu sprašujete tudi, ali lahko anketne liste tistih anketirancev, ki ne postanejo vaši kupci, uničite in ali morate evidenco anketiranih vseeno imeti in prijaviti. Pooblaščenec v zvezi s tem meni, da zbirka osebnih podatkov o anketirancih obstaja vse dotlej, dokler imate v vašem podjetju vsaj en anketni list (oziroma drug nosilec osebnih podatkov), ki vsebuje navedene osebne podatke anketiranca (glej definicijo zbirke iz 5. tč. 6. člena ZVOP-1). To pomeni, da ste tudi katalog take zbirke osebnih podatkov dolžni vzpostaviti in posredovati Informacijskemu pooblaščencu, dokler imate to zbirko osebnih podatkov t.j., dokler z anketiranjem pridobljeni podatki določajo ali omogočajo določljivost vsaj enega posameznika. Če in ko podatkov ne potrebujete več (sem sodi tudi navedba, ko nekdo ne postane vaš kupec), ste jih pa dolžni uničiti.Pooblaščenec opozarja, da je že nekaj časa možen vnos v register preko spletnega obrazca na spletni strani Pooblaščenca http://www.ip-rs.si/index.php?id=450, kjer si lahko ogledate tudi vnose drugih zavezancev. Na tej strani boste našli tudi podrobna navodila, kako poteka vnos v register.S spoštovanjem, Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026