Prijava otrok v žreb nagradne igre

Datum

24.07.2025

Številka

07121-1/2025/922

Kategorije

Neposredno trženje, nagradne igre, Obdelava osebnih podatkov otrok in mladoletnih

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede vzpostavitve spletnega prijavnega obrazca, preko katerega bodo lahko prijavo v žreb nagradne igre za svoj razred oddali učenci, učitelji ali starši. Zbirali bi se sledeči osebni podatki: ime in priimek, elektronski naslov, ime šole/razred. Zanima vas, ali v skladu z zakonodajo lahko omogočite prijavo tudi otrokom oziroma osnovnošolcem.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Otrok, ki še ni dopolnil 15 let, ne more samostojno, torej brez zakonitega zastopnika, podati veljavne privolitve v obdelavo osebnih podatkov.

Otrok, ki je dopolnil 15 let (ima delno poslovno sposobnost), lahko privoli v obdelavo osebnih podatkov glede aktivnosti, v katere lahko privoli oseba, ki ima delno poslovno sposobnost. Če pa gre za sklepanje poslov, za katere se zahteva popolna poslovna sposobnost (kadar bi sklenjen posel bistveno vplival na otrokovo življenje pred polnoletostjo ali po njej), pa je za obdelavo osebnih podatkov mladoletnih oseb potrebna privolitev njegovega zakonitega zastopnika (praviloma staršev oz. skrbnikov).

Privolitev otroka za uporabo storitev informacijske družbe je posebej urejena v 8. členu ZVOP-2.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. Presoja oziroma vnaprejšnja odobritev različnih obrazcev, storitev, aplikacij ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi, ne sodi v pristojnost IP. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja tako ne more presojati skladnosti predvidene obdelave osebnih podatkov s predpisi s področja varstva osebnih podatkov.

IP uvodoma pojasnjuje, da mora vsaka obdelava osebnih podatkov potekati transparentno in skladno z določbami Splošne uredbe in ZVOP-2. Obdelava osebnih podatkov je dopustna le, v kolikor ima upravljavec zanjo ustrezno pravno podlago iz 6. člena Splošne uredbe. Izbira ustrezne pravne podlage je odgovornost upravljavca. V vašem konkretnem primeru, ko nameravate obdelovati osebne podatke posameznikov v okviru izvedbe nagradne igre, bi bila najverjetnejša pravna podlaga za obdelavo osebnih podatkov privolitev posameznika (točka (a) prvega odstavka 6. člena Splošne uredbe).

Iz vašega dopisa izhaja, da bi prijavo v nagradni igri želeli omogočiti tudi osnovnošolcem, torej otrokom, mlajšim od 15 let. ZVOP-2 ni določil splošne starostne meje za veljavno privolitev otroka; posebna pravila veljajo le v zvezi s privolitvijo otroka za uporabo storitev informacijske družbe (8. člen Splošne uredbe in 8. člen ZVOP-2)[1]. Kadar gre za obdelavo osebnih podatkov otrok, ki poteka na podlagi privolitve (in ta obdelava ne poteka v zvezi s storitvami informacijske družbe), je starostna meja, ko lahko otrok privoli v obdelavo svojih osebnih podatkov, v Sloveniji, vezana na delno oziroma popolno poslovno sposobnost. V skladu s 146. členom Družinskega zakonika (Uradni list RS, št. 15/17, 21/18 – ZNOrg, 22/19, 67/19 – ZMatR-C, 200/20 – ZOOMTVI, 94/22 – odl. US, 94/22 – odl. US, 5/23 in 34/24 – odl. US; DZ) lahko otrok, ki dopolni 15 let, sam sklepa pravne posle, če (ta ali drug zakon) ne določa drugače. Izjema od navedenega pravila izhaja iz drugega odstavka 146. člena DZ, v katerem je določeno, da je potrebno dovoljenje staršev za sklepanje poslov, ki bistveno vplivajo na otrokovo življenje pred polnoletnostjo ali po njej. Vse dokler otrok nima popolna poslovne sposobnosti, ga tako v pravnem prometu zastopajo njegovi zakoniti zastopniki (to so po navadi starši oz. skrbniki), ki lahko v njegovem imenu podajo veljavno privolitev. Če se torej obdelava osebnih podatkov nanaša na aktivnosti, v katere lahko privoli oseba, ki ima delno poslovno sposobnost (je dopolnila 15 let), lahko delno poslovno sposobna oseba privoli tudi v obdelavo svojih osebnih podatkov, ki poteka zaradi izvajanja takšnih aktivnosti. Če pa gre za sklepanje poslov, za katere se zahteva popolna poslovna sposobnost (kadar bi sklenjen posel bistveno vplival na otrokovo življenje pred polnoletnostjo ali po njej), pa je za obdelavo osebnih podatkov mladoletnih oseb potrebna privolitev njegovega zakonitega zastopnika (praviloma staršev oz. skrbnikov).

V skladu z zgoraj navedenim tako otrok, ki še ni dopolnil 15 let, ne more samostojno, torej brez zakonitega zastopnika, podati veljavne privolitve v obdelavo osebnih podatkov. Pri tem pa pojasnjujemo, da bi bila privolitev otroka veljavna le, če bi s tem privoli tudi nosilec starševske odgovornosti (starš ali skrbnik). Glede na opis projekta, kot izhaja iz vašega dopisa in pojasnjen predviden obseg obdelave osebnih podatkov, po mnenju IP najverjetneje ne gre za obdelavo, ki bi bistveno vplivala na otrokovo življenje pred polnoletnostjo ali po njej, zato po mnenju IP, lahko otrok od dopolnjenega 15. leta starosti dalje, samostojno in brez dovoljenja staršev privoli v obdelavo osebnih podatkov v okviru planirane nagradne igre.

IP nadalje pojasnjuje, da v kolikor upravljavec osebne podatke obdeluje na podlagi privolitve posameznika, mora biti ta privolitev prostovoljna, specifična, informirana in podana z nedvoumno izjavo ali jasnim pritrdilnim dejanjem (enajsti odstavek 4. člena  Splošne uredbe). V skladu z načelom odgovornosti (drugi odstavek 5. člena Splošne uredbe) mora biti upravljavec zmožen dokazati, da je bila privolitev dana in torej sprejeti ustrezne ukrepe, da lahko obstoj privolitve dokaže. Da bi bila privolitev informirana, mora upravljavec posameznika, na katerega se nanašajo osebni podatki, obvestiti o nekaterih elementih, ki so ključni za odločitev[2], in sicer:

(i)o identiteti upravljavca;

(ii)namenu vsakega od dejanj obdelave, za katera se zahteva privolitev;

(iii)kateri podatki (vrsta podatkov) se bodo zbirali in uporabili;

(iv)obstoj pravice do preklica privolitve;

(v)informacije o uporabi podatkov za avtomatizirano sprejemanje odločitev v skladu s členom 22(2)(c), kjer je to ustrezno; in

(vi)mogoča tveganja prenosov podatkov zaradi neobstoja sklepa o ustreznosti in ustreznih zaščitnih ukrepov, kot so opisani v členu 46 Splošne uredbe.

Podrobnejša pojasnila o veljavnosti privolitve kot podlage za obdelavo osebnih podatkov so na voljo v smernicah Evropskega odbora za varstvo podatkov na: https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_sl_0.pdf. Pred podajo privolitve mora biti posameznik tudi podrobno informiran o obdelavi osebnih podatkov, kot to določa 13. člen Splošne uredbe. Tako mora npr. prejeti informacije o: upravljavcu (s kontaktnimi podatki upravljavca in njegovega predstavnika, če obstaja) ter kontakt pooblaščene osebe za varstvo podatkov (če je imenovana); namenih ter pravni podlagi za obdelavo osebnih podatkov; uporabnikih osebnih podatkov; obdobju hrambe osebnih podatkov; pravicah posameznika, itd. Več informacij glede obveščanja posameznikov je dostopnih na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/obve%C5%A1%C4%8Danje-posameznikov-o-obdelavi-osebnih-podatkov. IP opozarja, da morajo biti informacije o obdelavi osebnih podatkov razumljive občinstvu, ki ga upravljavec nagovarja, pri čemer je treba posebno pozornost nameniti položaju otrok. Da bi upravljavec pridobil »informirano privolitev« otroka, mora to, kako namerava obdelovati podatke, ki jih bo zbral, pojasniti v jeziku, ki je otrokom jasen in razumljiv[3].

Lepo vas pozdravljamo.

Pripravila

Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik, informacijska pooblaščenka

---

[1]ZVOP-2 v 8. členu določa posebna pravila v zvezi s privolitvijo otroka za uporabo storitev informacijske družbe in določa, da je privolitev veljavna, če je otrok star 15 let ali več. Določba 8. člena ZVOP-2 pride v poštev, ko (1) gre za obdelavo podatkov, povezano s storitvami informacijske družbe, kot je opredeljena v točki (b) člena 1(1) Direktive (EU) 2015/1535 Evropskega parlamenta in Sveta, in se te storitve ponujajo neposredno otrokom ali se lahko verjetno domneva, da jih bodo uporabljali otroci, in (2) obdelava podatkov temelji na privolitvi (in ne drugi pravni podlagi iz prvega odstavka 6. člena Splošne uredbe). Če je otrok mlajši od 15 let, je privolitev veljavna le, če jo da ali odobri eden od staršev otroka, njegov skrbnik ali oseba, ki ji je podeljena starševska skrb. Kadar se storitev informacijske družbe ponuja neodplačno, lahko privolitev odobri tudi rejnik ali predstavnik zavoda, v katerega je nameščen otrok. V primerih, ko pogoji poslovanja izvajalca storitev informacijske družbe predpisujejo višjo starost otroka za uporabo teh storitev, se upošteva starost iz navedenih pogojev poslovanja izvajalca storitev.

Točka (b) člena 1(1) Direktive (EU) 2015/1535 Evropskega parlamenta in Sveta se glasi: »„storitev“ pomeni katero koli storitev informacijske družbe ali katero koli storitev, ki se običajno opravi odplačno, na daljavo, elektronsko in na posamezno zahtevo prejemnika storitev.

Za namene te opredelitve:

(i)

„na daljavo“ pomeni, da se storitev opravi, ne da bi bile stranke sočasno navzoče;

(ii)

„elektronsko“ pomeni, da se storitev pošlje na začetnem kraju in sprejme na cilju z elektronsko opremo za obdelavo (skupaj z digitalnim zgoščevanjem) in shranjevanje podatkov ter se v celoti prenaša, pošilja in sprejema po žici, radijsko, z optičnimi ali drugimi elektromagnetnimi sredstvi;

(iii)

„na zahtevo prejemnika storitev“ pomeni, da se storitev opravi s prenosom podatkov na posamezno zahtevo.»

[2]EDPB Smernice št. 05/2020 o privolitvi na podlagi Uredbe 2016/679, različica 1.1, sprejete 4. maja 2020, odst. 64. https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_sl_0.pdf.

[3]V uvodni izjavi 58 Splošne uredbe o varstvu podatkov je še enkrat potrjena ta obveznost, saj je v njej navedeno, da mora upravljavec, kadar je to ustrezno, poskrbeti, da so zagotovljene informacije razumljive za otroke.

Financira Evropska unija. Izražena stališča in mnenja so izključno mnenja avtorja in ne odražajo nujno stališč in mnenj Evropske unije ali Evropske komisije. Niti Evropska unija niti organ, ki dodeljuje sredstva, zanje ne odgovarjata.