Uporaba e-pošte za ohranjanje stika med hotelom in njegovimi gosti

Datum

17.01.2024

Številka

07121-1/2024/43

Kategorije

Neposredno trženje, nagradne igre, Telekomunikacije in pošta

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem nizate svoja vprašanja glede ohranjanja stika med hotelom in njegovimi gosti z uporabo elektronske pošte. Sprašujete nas, ali lahko takšen stik (na primer pošiljanje novoletne čestitke ali drugih trženjskih sporočil) hotel ohranja le, če je gost pri rezervaciji podal svojo privolitev, nadalje pa tudi, kako naj pridobi takšno privolitev (prek vprašalnika?) in kako podrobna bi morala biti.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Za obdelavo osebnih podatkov gostov je možnih nekaj pravnih podlag, ki bodo odvisne od namena same obdelave. Na splošno glede neposrednega trženja po e-pošti lahko napotimo na uporabo drugega odstavka 226. člena ZEKom-2, ki določa, da lahko pravna oseba, ki od kupca svojih izdelkov ali storitev pridobi njegov elektronski naslov za elektronsko pošto, ta naslov uporablja za neposredno trženje svojih podobnih izdelkov ali storitev. Navedena določba vsebuje še nadaljnje pogoje in omejitve.

Kar se tiče same novoletne čestitke IP meni, da bi pod določenimi pogoji takšna čestitka lahko predstavljala trženjski material v smislu drugega odstavka 226. člena ZEKom-2, ni pa to seveda nujno; presoditi bi bilo treba konkretno novoletno čestitko oziroma vsebino e-pošte upravljavca.

Če omenjeni drugi odstavek 226. člena ZEKom-2 ni na voljo, je treba poiskati drugo pravno podlago; ena od njih je tudi privolitev posameznika. Kako natančno pridobiti privolitev in kako naj izgleda, vam ne moramo konkretno navesti, podajamo pa določene usmeritve in predvsem napotitev na 13. člen Splošne uredbe o informiranju posameznika o obdelavi njegovih osebnih podatkov.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

V okoliščinah predstavljenega primera poudarjamo, da področje neposrednega trženja z uporabo elektronskih sredstev urejajo posebni predpisi, in sicer Zakon o elektronskih komunikacijah (Uradni list RS, št. 130/22, s sprem. in dop.; v nadaljevanju ZEKom-2) in Zakon o elektronskem poslovanju na trgu (Uradni list RS, št. 61/06, s sprem. in dop.; v nadaljevanju ZEPT). Nadzor nad določbami ZEKom-2 in ZEPT izvajata Agencija za komunikacijska omrežja in storitve RS (AKOS) in Tržni inšpektorat RS (TIRS).

V smislu interpretacije zakonitosti obdelave osebnih podatkov (ne da bi pri tem lahko odločili v konkretnem primeru) pa IP poudarja, da mora imeti upravljavec za vsako obdelavo osebnih podatkov ustrezno in zakonito pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče:

•privolitev

•sklenitev ali izvajanje pogodbe

•zakonska obveznost

•zaščita življenjskih interesov posameznika

•izvajanje javne naloge

•zakoniti interesi upravljavca, če ne prevladajo interesi in pravice oz. svoboščine posameznika

Privolitev posameznika je torej le ena od možnih pravnih podlag za zakonito obdelavo njegovih osebnih podatkov

Na tem mestu je treba omeniti, da drugi odstavek 226. člena ZEKom-2 določa, da lahko, ne glede na določbe prvega odstavka tega člena, fizična ali pravna oseba, ki od kupca svojih izdelkov ali storitev pridobi njegov elektronski naslov za elektronsko pošto, ta naslov uporablja za neposredno trženje svojih podobnih izdelkov ali storitev pod pogojem, da kupcu ponuja jasno in izrecno možnost, da brezplačno in enostavno zavrne takšno uporabo svojega elektronskega naslova takrat, ko so ti podatki za stike pridobljeni in ob vsakem sporočilu v primeru, da kupec ni zavrnil takšne uporabe že na začetku.

Ko se upravljavec osebnih podatkov (v vašem primeru hotel) sprašuje, na kakšni podlagi in s katerim namenom lahko uporablja e-naslove svojih gostov, je zelo pomembno, da natančno preuči navedeno določbo drugega odstavka 226. člena ZEKom-2. Če so podani vsi pogoji iz te določbe, se namreč e-naslov gosta lahko uporablja tudi brez njegove privolitve.

IP mora na tem mestu opozoriti, da je pri novoletnih čestitkah in sorodnem materialu na mestu vprašanje, ali gre pri tem za neposredno trženje izdelkov ali storitev ali pa gre za obdelavo osebnih podatkov za kakšne druge namene. Pod določenimi pogoji bi po našem mnenju čestitka lahko predstavljala trženjski material v smislu drugega odstavka 226. člena ZEKom-2, ni pa to seveda nujno. Za presojo bi bilo treba analizirati konkretno novoletno čestitko, česar pa IP v mnenju ne more in ne sme storiti.

Za obdelavo osebnih podatkov, ki ne zapade pod določbo drugega odstavka 226. člena ZEKom-2 (neposredno trženje svojih podobnih izdelkov ali storitev kupcem svojih izdelkov ali storitev po e-pošti), bi bilo namreč treba imeti katero od drugih zakonitih pravnih podlag, kot je to določeno v prvem odstavku 6. člena Splošne uredbe. Ena izmed takšnih podlag je tudi privolitev posameznika. Ker v mnenju ne moremo presojati vašega konkretnega primera, naj zapišemo le, da mora biti takšna privolitev prostovoljna, izrecna, informirana in nedvoumna, podana pa mora biti za vsak posamezen namen obdelave osebnih podatkov (kadar obdelava poteka na podlagi privolitve). Žal IP ne more odgovoriti na vaše vprašanje, kako konkretno naj pridobite privolitev posameznika za nadaljnjo obdelavo osebnih podatkov.

Poleg vsega zgornjega pa vas vendarle usmerjamo še na zelo pomembno določbo Splošne uredbe, ki govori o transparentnosti obdelave osebnih podatkov oziroma o dajanju informacij posamezniku o obdelavi njegovih podatkov. 13. člen Splošne uredbe namreč določa nabor informacij, ki jih mora upravljavec osebnih podatkov zagotoviti posamezniku, kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki, med drugim identiteto in kontaktne podatke upravljavca; namene in pravno podlago za obdelavo; uporabnike ali kategorije uporabnikov osebnih podatkov ter nadalje tudi obdobje hrambe osebnih podatkov; obstoj pravic posameznika; obstoj pravice do preklica privolitve; pravico do vložitve pritožbe pri nadzornem organu. Te informacije je treba posamezniku dati še pred dejansko obdelavo njegovih osebnih podatkov, na primer pred ali ob zbiranju osebnih podatkov.

IP vam svetuje, da za vsako obdelavo osebnih podatkov znotraj upravljavca identificirate in zapišete (tako v evidenci obdelav kot v informacijah za posameznike po 13. členu Splošne uredbe) vse informacije v zvezi z obdelavo osebnih podatkov, ki vam bodo pomagale pri zagotavljanju in dokazovanju zakonitosti obdelave osebnih podatkov.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov