Klicanje v raziskovalne namene

Datum

11.12.2025

Številka

07121-1/2025/1481

Kategorije

Elektronska pošta, Statistika in raziskovanje

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede prejemanja telefonskih klicev v raziskovalne namene na podlagi samodejno generirane telefonske številke. Menite, da se klicatelj ne more sklicevati na legitimni interes - člen 6(1)(f) Splošne uredbe – za uporabo »računalniško generirane« telefonske številke oz. RDD (random digit dialling) za takšne klice. Zaprošate za mnenje IP.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Po mnenju IP upoštevajoč zahteve Splošne uredbe ne obstaja pravna podlaga v smislu 6. člena Splošne uredbe za obdelavo naključno generiranih telefonskih številk, če gre za osebne podatke fizičnih oseb. Telefonska številka, četudi naključno generirana, predstavlja, kadar se nanaša na fizično osebo, osebni podatek tega posameznika, za njeno obdelavo pa mora obstajati ustrezna pravna podlaga po Splošni uredbi.

Podlaga za uporabo telefonske številke za izvedbo klicev sicer v raziskovalne namene bi lahko bila privolitev posameznika (člen 6(1)(a) Splošne uredbe) ali legitimni interes upravljavca (ali tretje osebe) (člen 6(1)(f) Splošne uredbe), pri čemer zakoniti interes (člen 6(1(f) Splošne uredbe) ne more biti pravna podlaga za obdelavo s strani javnih organov pri opravljanju njihovih nalog. Upravljavec bi pri obdelavi na podlagi zakonitega interesa moral izkazati, da je to nujno potrebno zaradi uresničevanja zakonitih interesov in da nad temi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo. V javnem sektorju je privolitev posameznika lahko podlaga za obdelavo, bodisi če tako možnost določa zakon, sicer pa če ne gre za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja.

Prav tako pa mora klicatelj upoštevati tudi morebitni prepoved uporabe osebnih podatkov za klice, ki imajo komercialni ali raziskovalni namen, in sicer prepovedi označene v zadnjem javno objavljenem elektronskem imeniku, če se te označbe razlikujejo od označb v tiskanem imeniku istega izdajatelja. Naročnik lahko namreč na podlagi 217. člena ZEKom-2 prepove uporabo svojih osebnih podatkov za oba namena ali samo za enega od navedenih namenov ob vpisu v imenik ali kadar koli pozneje.

70. člen ZVOP-2 omogoča omejeno nadaljnjo obdelavo že zakonito pridobljenih kontaktnih podatkov (torej ne samodejno generiranih) za kontaktiranje posameznikov zaradi pridobitve privolitve za obdelavo osebnih podatkov, dodatnih podatkov ali pojasnil za raziskovalne namene.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven nadzornih ali drugih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

Vsaka obdelava osebnih podatkov mora potekati transparentno in skladno z določbami Splošne uredbe in ZVOP-2. Obdelava osebnih podatkov je dopustna le, v kolikor ima upravljavec zanjo ustrezno pravno podlago iz 6. člena Splošne uredbe. Izbira ustrezne pravne podlage je odgovornost upravljavca.

Glede na opis iz vašega dopisa, IP meni, da bi upravljavec (izvajalec raziskave), uporabo telefonske številke za izvedbo klicev v raziskovalne namene lahko utemeljeval na podlagi:

-privolitve posameznika po točki (a) prvega odstavka 6. člena Splošne uredbe, ali

-zakonitih interesov po točki (f) prvega odstavka 6. člena Splošne uredbe, pri čemer bi v moral upravljavec izkazati da je to nujno potrebno zaradi uresničevanja zakonitih interesov upravljavca in da nad temi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo – upravljavec mora opraviti t. i. test tehtanja. V skladu z drugim odstavkom 5. člena Splošne uredbe (načelo odgovornosti) mora upravljavec izvedbo testa tehtanja tudi dokumentirati.

V zvezi z omenjenima pravnima podlagama IP dodaja, da je v javnem sektorju lahko privolitev posameznika podlaga za obdelavo osebnih podatkov, če tako možnost določa zakon, sicer pa je obdelava osebnih podatkov na podlagi privolitve mogoča, če ne gre za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja. Legitimni interes pa ne more biti pravna podlaga za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Zakoniti interes lahko predstavlja izvedba raziskave. Presoja, kaj je »nujno« vključuje ugotavljanje, ali v praksi zakonitega interesa za obdelavo podatkov, ki ga zasleduje upravljavec, ni mogoče razumno enako učinkovito doseči z drugimi sredstvi, ki manj posegajo v temeljne svoboščine in pravice posameznikov, na katere se nanašajo osebni podatki, zlasti v pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov. Če obstajajo razumna, enako učinkovita, a manj invazivna sredstva, obdelave ni mogoče šteti za »nujno«. V tem okviru je Sodišče EU izrecno poudarilo, da je treba pogoj glede nujnosti obdelave presojati skupaj z načelom »najmanjšega obsega podatkov« iz člena 5(1)(c) Splošne uredbe. Sodišče je prav tako poudarilo, da se obdelava lahko izvaja »le v mejah nujno potrebnega« za uresničitev zakonitega interesa, ki je bil opredeljen.

Ko upravljavec ugotovi, da je njegov interes (ali interes tretje osebe) zakonit in da je obdelava nujna za dosego tega interesa, mora preveriti še, ali nad temi interesi prevladajo interesi in temeljne pravice posameznika. Ta presoja se opravi glede na konkretne okoliščine primera. Upravljavec mora zato: (a) opredeliti interese, pravice in svoboščine posameznikov, na katere bi obdelava lahko vplivala, (b) oceniti vpliv obdelave, med drugim glede na naravo osebnih podatkov (npr. ali gre za občutljive podatke, lokacijske podatke ipd.), kontekst obdelave (npr. razmerje med upravljavcem in posameznikom), možne posledice za posameznika, (c) upoštevati razumna pričakovanja posameznika – torej, ali bi posameznik glede na okoliščine lahko pričakoval, da bodo njegovi podatki tako obdelani, (d) izvesti končno tehtanje interesov, pri čemer lahko upravljavec upošteva tudi morebitne blažilne ukrepe, ki zmanjšajo tveganje ali vpliv na posameznika. Namen tehtanja ni preprečiti vsak vpliv obdelave na posameznike, temveč zagotoviti, da vpliv ni nesorazmeren v primerjavi z zakonitim interesom upravljavca.

Po mnenju IP upoštevajoč zgoraj navedene zahteve Splošne uredbe za zakonitost obdelave osebnih podatkov teh zahtev ni mogoče izpolniti v primeru obdelave naključno generiranih telefonskih številk, če gre za osebne podatke fizičnih oseb. Telefonska številka, četudi naključno generirana, predstavlja, kadar se nanaša na fizično osebo, osebni podatek tega posameznika, za njeno obdelavo pa mora obstajati ustrezna pravna podlaga po Splošni uredbi. Več v mnenjih IP npr. mnenju št. 07121-1/2024/240 z dne 5. 3. 2024 (https://www.ip-rs.si/mnenja-zvop-2/klicanje-v-raziskovalne-namene-1712135518).

V zvezi z nadaljnjo obdelavo zakonito pridobljenih osebnih podatkov v raziskovalne namene pa IP opozarja tudi na določbo 70. člena ZVOP-2, ki ureja nadaljnjo obdelavo omejenega obsega osebnih podatkov zaradi kontaktiranja posameznikov v raziskovalne namene. Po prvem odstavku omenjenega člena lahko v okviru obdelave osebnih podatkov za raziskovanje upravljavec izjemoma obdeluje tudi osebne podatke ciljne skupine posameznikov zaradi pridobitve privolitev za obdelavo njihovih osebnih podatkov, dodatnih podatkov ali pojasnil za namene raziskovanja. Ta določba je podlaga za uporabo tistih kontaktnih podatkov iz tretjega odstavka tega člena (osebno ime, naslov stalnega ali začasnega prebivališča, telefonska številka in naslov elektronske pošte), ki jih upravljavec že zakonito obdeluje na neki drugi pravni podlagi, za namene kontaktiranja posameznikov iz prej omenjenih razlogov.

IP znova poudarja, da v okviru neobvezujočega mnenja ne more presojati o tem, ali bi v konkretnem primeru upravljavec obdelavo osebnih podatkov lahko utemeljeval na točki (f) prvega odstavka 6. člena Splošne uredbe, temveč lahko zgolj opozori na pogoje, ki morajo biti izpolnjeni, da bi bila obdelava zakonita. Konkretno presojo pa mora oziroma lahko opravi zgolj upravljavec osebnih podatkov, ki tudi nosi odgovornost za tovrstno opravljeno presojo. IP se v mnenju ne sme in ne more postaviti v vlogo razsojevalca v posameznih primerih.

Na koncu IP še opozarja na obveznost upravljavca do informiranja posameznika, na katerega se nanašajo osebni podatki, v skladu s 14. členom Splošne uredbe (Informacije, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se nanašajo osebni podatki) in še posebej na določbo točke (b) drugega odstavka 14. člena, v skladu s katero mora upravljavec posamezniku zagotoviti tudi informacijo o zakonitih interesih, za uveljavljanje katerih si upravljavec prizadeva, kadar obdelava temelji na točki (f) člena 6(1).

Lepo vas pozdravljamo.

dr. Jelena Virant Burnik, informacijska pooblaščenka

---

[1]Sodba sodišča EU, z dne 4. julija 2023, v zadevi C-252/21, Meta v. Bundeskartellamt (ECLI:EU:C:2023:537), odst. 108.

[2]Ibid.

[3]Ibid., odst. 109.

[4]Ibid., odst. 126.