Obveščanje posameznikov o obdelavi osebnih podatkov

Datum

25.07.2023

Številka

07121-1/2023/969

Kategorije

Informiranje posameznika

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da ste nas pred 14 dnevi prosili za pomoč pri pošiljanju letakov. Gradbeno podjetje bi pridobivalo podatke o zazidljivih parcelah na GURS-u in zemljiški knjigi in bi potencialnim kandidatom poslalo letak za gradbene storitve, na katerem bi tudi navedli obvestilo posameznikom po 14. členu Splošne uredbe. V priponki pošiljate obvestilo, ki bo dodano na letak oz. ponudbo za gradbene storitve.

Prosite nas za naše mnenje, ali je v obvestilu zajeto vse, kar mora vsebovati skladno s Splošno uredbo.

* * *

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Za obdelavo osebnih podatkov mora upravljavec zagotoviti ustrezno pravno podlago skladno s prvim odstavkom 6. člena Splošne uredbe. Ob tem morajo biti posameznikom zagotovljene informacije o obdelavi osebnih podatkov skladno s 13. oz. 14. členom Splošne uredbe (npr. nameni ter pravna podlaga za obdelavo osebnih podatkov, uporabniki osebnih podatkov, obdobje hrambe, itd.).

Obrazložitev

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. O skladnosti konkretnega letaka, ki ga prilagate, bi tako lahko odločali zgolj v konkretnem inšpekcijskem postopku, zato vam z nezavezujočim mnenjem podajamo splošna pojasnila. Pojasnjujemo tudi, da predhodno nismo prejeli vaše prošnje za pomoč pri pošiljanju letakov, kot ste navedli v zaprosilu.

Uvodoma poudarjamo, da morate imeti kot upravljavec pravno podlago za obdelavo osebnih podatkov skladno s prvim odstavkom 6. člena Splošne uredbe. Predlagamo vam, da si s tem v zvezi preberete že izdano mnenje IP št. 07121-1/2023/338 z dne 9. 3. 2023. Kot smo poudarili v mnenju, je bila prejšnja ureditev po Zakonu o varstvu osebnih podatkov (ZVOP-1), po kateri je bila dopustna obdelava osebnih podatkov za namene neposrednega trženja po navadni naslovljeni pošti z uporabo javno dostopnih osebnih podatkov, razveljavljena. Neposredno trženje po klasični pošti je po novem dopustno le, če je podana ena izmed pravnih podlag, ki jih opredeljuje Splošna uredba, npr. zakoniti interesi po točki (f) prvega odstavka 6. člena Splošne uredbe.

V zvezi z obveščanjem posameznikov Splošna uredba v 13. in 14. členu določa, katere informacije mora upravljavec zagotoviti posameznikom, odvisno od tega, ali so bili osebni podatki pridobljeni neposredno od posameznika ali pa iz drugih virov, npr. s strani drugih upravljavcev, javni dostopnih virov, itd.

V kolikor upravljavec informacij ne pridobi neposredno od posameznika, mu mora skladno s 14. členom Splošne uredbe podati naslednje informacije:

1.informacije o upravljavcu (s kontaktnimi podatki upravljavca in njegovega predstavnika, če obstaja) ter kontakt pooblaščene osebe za varstvo podatkov (če je imenovana);

2.informacije o namenih, za katere se osebni podatki obdelujejo in pravno podlago za njihovo obdelavo. Kadar namerava upravljavec nadalje obdelovati osebne podatke za drug namen, mora posamezniku pred nadaljnjo obdelavo njegovih podatkov zagotoviti informacije o tem drugem namenu;

3.podatek o vrstah zadevnih osebnih podatkov, ki se obdelujejo ter od kje izvirajo osebni podatki in po potrebi, ali izvirajo iz javno dostopnih virov;

4.informacije o uporabnikih ali kategorijah uporabnikov osebnih podatkov (če obstajajo);

5.informacije o morebitnem prenosu osebnih podatkov v tretjo državo ali mednarodno organizacijo;

6.informacijo o obdobju hrambe osebnih podatkov (če to ni mogoče je treba navesti merila, ki se uporabijo za določitev obdobja hrambe);

7.kadar poteka obdelava osebnih podatkov na podlagi zakonitih interesov (točka (f) prvega odstavka 6. člena Splošne uredbe), je treba navesti zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba;

8.kadar obdelava temelji na privolitvi, (točka (a) prvega odstavka 6. člena) ali točka (a) drugega odstavka 9. člena Splošne uredbe), obstoj pravice, da se lahko privolitev kadar koli prekliče;

9.informacije glede obstoja pravic posameznika skladno z Uredbo: pravica do dostopa, popravka, izbrisa, omejitve obdelave, ugovora obdelavi in do prenosljivosti podatkov;

10.informacijo glede pravice do vložitve pritožbe pri nadzornem organu (Informacijskemu pooblaščencu) in

11.informacije o obstoju avtomatiziranega sprejemanja odločitev, (vključno z oblikovanjem profilov) vsaj smiselne informacije o razlogih zanj, ter pomen in predvidene posledice take obdelave za posameznika.

Več informacij glede obveščanja posameznikov je dostopnih na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/obveščanje-posameznikov-o-obdelavi-osebnih-podatkov. V zvezi z informiranjem posameznikov po 14. členu Splošne uredbe si lahko pomagate z vzorecem (Vzorec obvestila posameznikom glede obdelave osebnih podatkov (člen 14 Splošne uredbe)), ki je dostopen na: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

Lepo vas pozdravljamo.

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo