Neposredno trženje po navadni pošti

Datum

27.03.2023

Številka

07121-1/2023/402

Kategorije

Neposredno trženje, nagradne igre, Privolitev, Zakoniti interesi

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Glede na to, da novi ZVOP-2 več ne ureja neposrednega trženja po navadni pošti nas sprašujete naslednje:

-Ali lahko glede svojih kupcem, od katerih ste pridobili ime in naslov za potrebe izvrševanja prodajnih pogodb (npr. pri prodaji po spletu), izvajate neposredno trženje po navadni pošti na podlagi zakonitega interesa (pod predpostavko ustreznega informiranja v skladu s 13. členom GDPR in možnostjo, da zavrnejo uporabo podatka v ta namen)? Ali lahko za neposredno trženje po pošti uporabite tudi že pridobljene podatke, ki ste jih do zdaj za trženje uporabljali v skladu z ZVOP-1?

-Ali se lahko pri tem izvajate enostavno segmentiranje (npr. izbor kupcev, ki so nakup opravili v zadnjih dveh letih)?

-Kako dolgo lahko uporabljate podatke kupcev za namen neposrednega trženja po navadni pošti na podlagi zakonitega interesa? Ali bi se obdobje 10 let od nakupa štelo kot predolgo obdobje obdelave podatkov v ta namen?

* * *

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavec mora glede na konkretne okoliščine sam presoditi, ali za neposredno trženje po navadni pošti obstaja pravna podlaga po prvem odstavku 6. člena Splošne uredbe, npr. privolitev po točki (a) prvega odstavka 6. člena Splošne uredbe ali zakoniti interesi po točki (f) prvega odstavka 6. člena Splošne uredbe), če in v obsegu, v katerem so za to izpolnjeni pogoji.

Glede roka hrambe vam predlagamo, da sami glede na okoliščine presodite, kakšen je primeren rok hrambe. Osebne podatke lahko hranite le, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo.

Obrazložitev

Pri tem IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Pojasnjujemo, da mora za zakonito obdelavo osebnih podatkov obstajati pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe, npr.:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem opozarjamo, da se točka (f) ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Kot navajate tudi sami, novi ZVOP-2 več ne ureja neposrednega trženja po navadni pošti, zato pridejo v poštev zgoraj navedene pravne podlage po Splošni uredbi. Če so bili, kot navajate, osebni podatki zbrani za namen zakonitega trženja po navadni pošti skladno z ZVOP-1 in npr. obstaja posebna zbirka osebnih podatkov, ki je bila namenjena neposrednemu trženju po ZVOP-1, vam predlagamo, da presodite, ali v takem obsegu obstaja pravna podlaga tudi po Splošni uredbi. Pri neposrednem trženju po Splošni uredbi bi lahko upravljavec npr. pridobil privolitev posameznikov po točki (a) prvega odstavka 6. člena Splošne uredbe ali se eventualno skliceval na zakonite interese po točki (f) prvega odstavka 6. člena Splošne uredbe (če so za to seveda izpolnjeni pogoji). Poudarjamo pa, da IP v nezavezujočem mnenju ne more upravljavcu podati dokončnega odgovora ali opraviti presoje namesto upravljavca. Končna presoja je na upravljavcu, IP pa lahko poda splošne usmeritve.

Pojasnjujemo, da mora biti privolitev vedno prostovoljna, specifična, informirana ter nedvoumna in da se lahko kadarkoli prekliče. Upravljavec mora natančno opredeliti, kakšen je namen podane privolitve in na kakšen način bodo prejeti podatki obdelani. Več o privolitvi in njenih obveznih sestavinah lahko preberete na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/. Predlagamo vam, da preverite ali morebitne obstoječe privolitve vsebujejo namen izvajanja neposrednega trženja na način, kot bi ga želeli izvajati.

Pojasnjujemo, da se lahko na zakonite interese upravljavec sklicuje pod pogojem in v obsegu, če je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec, ali tretja oseba in če nad takimi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznika. Vsekakor mora upravljavec pri določanju obsega obdelave osebnih podatkov (npr. nabora osebnih podatkov, ki jih bo uporabil v ta namen) upoštevati tudi načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Dodatno pojasnjujemo, da mora biti zakoniti interes dejanski in prisoten v času obdelave (torej ne hipotetičen) ter jasno in natančno opredeljen. Obdelava mora biti nujna za doseganje zakonitega interesa, za katerega si prizadeva upravljavec.

Ob tehtanju interesov mora upravljavec opraviti oceno tveganja vdora v pravice posameznikov (oceniti mora verjetnost nastanka in resnost posledic oz. intenzivnost posega v pravice in svoboščine npr. glede na: vrste osebnih podatkov, obseg obdelave, število posameznikov, okoliščine obdelave, dejanska pričakovanja posameznikov, obstoj alternativnih ukrepov za dosego namena ter tudi razumna pričakovanja posameznikov). Upoštevati je treba tudi načelo transparentnosti (ali so bile posameznikom podane ustrezne informacije, da je lahko razumno pričakoval posledice obdelave).

V 47. uvodni izjavi k Splošni uredbi je navedeno, da zakoniti interes npr. primer obstaja, kadar obstaja zadevno in ustrezno razmerje med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem, npr. kadar je tak posameznik stranka upravljavca ali dela zanj. V vsakem primeru bi bila za ugotovitev obstoja zakonitega interesa potrebna skrbna ocena, tudi glede tega, ali posameznik, na katerega se nanašajo osebni podatki, lahko v času zbiranja osebnih podatkov in v njegovem okviru razumno pričakuje, da se bodo ti obdelali v zadevni namen. Interesi in temeljne pravice posameznika, na katerega se nanašajo osebni podatki, bi zlasti lahko prevladali nad interesi upravljavca podatkov, kadar se osebni podatki obdelujejo v okoliščinah, ko posamezniki, na katere se nanašajo osebni podatki, razumno ne pričakujejo nadaljnje obdelave. Navedeno je tudi, da se lahko obdelava osebnih podatkov za neposredno trženje šteje za opravljeno v zakonitem interesu.

Tako vam predlagamo, da pri tehtanju interesov skrbno precenite vse okoliščine in pri tem tudi upoštevate, ali je posameznik v času zbiranja osebnih podatkov lahko razumno pričakoval, da se bodo njegovi podatki obdelali v ta namen (tudi npr. glede na vir pridobitve podatkov, kot ga opisujete v zaprosilu). Če je za vas relevantno, pa je IP npr. v nezavezujočem mnenju št. 07121-1/2023/338 z dne 9. 3. 2023 podal svoje stališče glede vprašanja, ali se lahko v namen neposrednega trženja po navadni pošti uporabijo javno dostopni podatki.

Kot izpostavljate tudi sami, je treba v vsakem primeru posameznike podrobno informirati o obdelavi osebnih podatkov, kot to določa 13. člen Splošne uredbe. Tako morajo npr. prejeti informacije o namenih ter pravni podlagi za obdelavo osebnih podatkov; uporabnikih osebnih podatkov; obdobju hrambe osebnih podatkov; pravicah posameznika, itd. Več informacij glede obveščanja posameznikov je dostopnih na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/obveščanje-posameznikov-o-obdelavi-osebnih-podatkov.

V zvezi z neposrednim trženjem je treba posebej poudariti tudi to, da ima posameznik pravico, da kadarkoli ugovarja obdelavi osebnih podatkov v zvezi z njim za namene takega trženja, vključno z oblikovanjem profilov (če je povezano s takim neposrednim trženjem). Posameznika se na to pravico izrecno opozori najpozneje ob prvem komuniciranju z njim in se mu to pravico predstavi jasno in ločeno od vseh drugih informacij. Več informacij o pravici do ugovora lahko najdete na: https://tiodlocas.si/zelim-ugovarjati-obdelavi-mojih-podatkov/.

Glede roka hrambe vam predlagamo, da sami glede na okoliščine presodite, kakšen je primeren rok hrambe z upoštevanjem točke (e) prvega odstavka 6. člena Splošne uredbe, ki določa, da morajo biti osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo. Ko obdelava osebnih podatkov za namene, za katere so bili zbrani ni več potrebna, jih morate (varno) zbrisati. Konkretnega roka pa IP v okviru nezavezujočega mnenja ne more komentirati.

V upanju, da vam bodo naši napotki v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo