Zbiranje OP ob naročilu kataloških izdelkov - IPRS

Zbiranje OP ob naročilu kataloških izdelkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 19.12.2007 Številka: 0712-1115/2007/2 Kategorije:Trgovinska dejavnost --> Kategorije: Trgovinska dejavnost Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne 14.12.2007 prejel vaš zgoraj navedeni dopis, v katerem Pooblaščenca sprašujete: Ali ima prodajalec na daljavo (kataloška prodaja) od vas pravico zahtevati rojstne podatke, če želite naročiti kataloški izdelek ter, ali lahko prodajalec v primeru, če tega podatka ne želite posredovati, odkloni prodajo? V nadaljevanju vam na podlagi predstavljenega stanja ter na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) in
5. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem: Glede na to, da ZVOP-1 na področju zasebnega sektorja dopušča tudi obdelavo osebnih podatkov na podlagi osebne privolitve posameznika, Pooblaščenec meni, da prodajalec na daljavo od kupca lahko zahteva tudi rojstne podatke. Pooblaščenec ob tem opozarja, da mora prodajalec potencialnega kupca predhodno seznaniti z namenom zbiranja in nadaljnje obdelave osebnih podatkov, poleg tega pa mu mora dati tudi informacije o tem, ali je zbiranje oz. dajanje osebni podatkov obvezno ali prostovoljno ter kaj se bo zgodilo, če ne bo prostovoljno posredoval zahtevanih podatkov. Na podlagi takšnih informacij se bo lahko potencialni kupec prostovoljno odločil, ali bo prodajalcu posredoval zahtevane podatke. Pooblaščenec ob tem še pripominja, da je nakup, ki pomeni sklenitev obligacijsko pravnega razmerja, prostovoljen in se izvrši na podlagi izjave volje posameznika, ki pogoje prodajalca sprejme ali, če se z njimi ne strinja, zavrne, vendar s tem posledično pristane na to, da izdelka ne bo mogel kupiti. O b r a z l o ž i t e v: Splošna pravna podlaga za dopustno obdelavo osebnih podatkov je določena v prvem odstavku
6. člena ZVOP-1, kjer je določeno, da se osebni podatki lahko obdelujejo le, če obdelavo podatkov in osebne podatke, ki se obdelujejo, določa zakon, ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. V drugem odstavku navedenega člena je nadalje določeno, da mora biti namen obdelave določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. Pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju, kamor spadajo tudi prodajalci blaga na daljavo, so podrobneje določene v
7. členu ZVOP-
8. V prvem odstavku
9. člena ZVOP-1 je določeno, da se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je obdelava določenih osebnih podatkov podana osebna privolitev posameznika. Drugi odstavek
10. člena ZVOP-1 določa, da se ne glede na prejšnji odstavek lahko obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe. Ne glede na prvi odstavek
11. člena, ZVOP-1 v tretjem odstavku istega člena dopušča še, da se lahko v zasebnem sektorju obdelujejo osebni podatki, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki. Obdelava osebnih podatkov je v
12. točki
13. člena ZVOP-1 definirana kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali, ki so pri ročni obdelavi zbirke osebnih podatkov namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje. Kot sredstva obdelave pa ista določba navaja, da je obdelava lahko ročna ali avtomatizirana. Navedeno pomeni, da praktično kakršnokoli ''rokovanje'' z osebnimi podatki pomeni njihovo obdelavo. Pri obdelavi osebnih podatkov je potrebno opozoriti tudi na temeljno načelo ZVOP-1, in sicer na načelo sorazmernosti, določeno v
14. členu ZVOP-
15. Ta določa, da morajo osebni podatki, ki se obdelujejo, biti ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. Načelo sorazmernosti, ki je vsebovano tudi v zgoraj navedeni določbi drugega odstavka
16. člena ZVOP-1, torej omejuje obdelavo osebnih podatkov do tiste meje, ko je ta še ustrezna in po obsegu primerna glede na namene, za katere se osebni podatki smejo obdelovati. V primeru kataloške prodaje oziroma sklepanja pogodb na daljavo je obdelava določenih posebnih podatkov kupca nedvomno potrebna in primerna za sklenitev in izpolnjevanja pogodbe. Če prodajalec kupcu blago dostavi na dom, takšne pogodbe ni mogoče izvršiti vsaj brez obdelave osebnega imena in naslova kupca, zaradi česar lahko prodajalec obdeluje navedene podatke že zgolj na podlagi drugega odstavka
17. člena ZVOP-
18. Ob tem je potrebno opozoriti, da zgolj obdelava osebnega imena ter naslova, še ne omogoča popolne in nedvoumne identifikacije posameznika, saj v mnogih primerih na istem naslovu ter v istem gospodinjstvu prebiva več oseb z istim osebnim imenom. Zaradi tega je potrebno za popolno in nedvoumno identifikacijo posameznika poleg osebnega imena in naslova pridobiti še kakšen drug podatek, npr. datum rojstva ali pa katero od osebnih identifikacijskih številk, npr. davčno številko ali EMŠO. Na podlagi drugega odstavka
19. člena ZVOP-1 je v primeru sklepanja pogodb na daljavo ali sklepanja kakršnih koli drugih pogodb seveda dopustno obdelovati tudi več podatkov, kot zgolj zgoraj navedene osnovne identifikacijske podatke posameznika, pri čemer pa je potrebno od primera do primera presojati, če je obdelava določenih podatkov ras potrebna in primerna za sklenitev ali izpolnjevanje konkretne pogodbe. Ker zakonodaja, ki ureja sklepanje pogodb na daljavo (Zakon o varstvu potrošnikov in Obligacijski zakonik) ne določa, kakšne vrste osebnih podatkov se zbirajo za takšne namene ter ker Pooblaščencu ni znano, iz kakšnih razlogov prodajalec na daljavo zbira tudi rojstne podatke kupca, Pooblaščenec ne more presojati, ali je zbiranje teh podatkov res potrebno in primerno za sklenitev in izpolnjevanje pogodbe. Ne glede na to, ali je obdelava rojstnih podatkov dejansko potrebna in primerna za sklenitev in izpolnitev konkretne pogodbe na daljavo, je potrebno opozoriti, da lahko prodajalec rojstne in druge podatke kupca skladno z določbami prvega odstavka
20. člena ZVOP-1 zbira tudi na podlagi osebne privolitve posameznika. Osebna privolitev posameznika je v
21. točki
22. člena ZVOP-1 definirana kot prostovoljna izjava volje posameznika, da se lahko njegovi osebni podatki obdelujejo za določen namen, in je dana na podlagi informacij, ki mu jih mora zagotoviti upravljavec po tem zakonu; osebna privolitev posameznika je lahko pisna, ustna ali druga ustrezna privolitev posameznika. Ker se osebna privolitev posameznika šteje kot prostovoljna izjava volje posameznika, da se lahko njegovi osebni podatki obdelujejo za določen namen, in je dana na podlagi informacij, ki mu jih mora zagotoviti upravljavec, mora upravljavec osebnih podatkov (npr. prodajalec blaga) skladno z določbo drugega odstavka
23. člena ZVOP-1 posameznika predhodno seznaniti z namenom obdelave osebnih podatkov, poleg tega pa mu mora dati tudi informacije, ki jih v primeru neposrednega zbiranja osebnih podatkov določata prvi in drugi odstavek
24. člena ZVOP-1, kjer je določeno: