Pravna podlaga za zbiranje podatkov o kupcih v spletni trgovini

Datum

28.11.2023

Številka

07121-1/2023/1487

Kategorije

Definicija OP, Pravne podlage

Pri Informacijskem pooblaščencu (IP) smo dne 22. 11. 2023 prejeli vaše zaprosilo za mnenje glede zahtevane izpolnitve pristopnega obrazca za vse nove uporabnike spletne trgovine. Kot ponudnik spletne prodaje novim uporabnikom po elektronski registraciji pošljete še pristopni obrazec, ki vam ga morajo podpisanega vrniti. Ker je navedeni postopek zamuden, vas zanima, ali lahko podatke zbirate na podlagi kakšne druge pravne podlage, ob tem pa pojasnjujete, da so vaš stranke večinoma le pravne osebe.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1. Osebni podatki so le podatki, ki se nanašajo na fizične osebe, ne pa tudi na gospodarske družbe (na primer na delniške družbe, družbe z omejeno odgovornostjo, pa tudi samostojne podjetnike) in druge pravne osebe. Po drugi strani so kontaktni podatki zaposlenih v gospodarskih družbah, osebni podatki, čeprav so morda javno objavljeni, zato za njihovo zbiranje in nadaljnjo obdelavo upravljavci potrebujejo zakonito pravno podlago.

2. Niti Splošna uredba, niti ZVOP-2 pa ne predpisujeta posebne oblike za izražanje privolitve (na primer v pisni obliki), temveč Splošna uredba določa le, da je privolitev vsaka prostovoljna, izrecna, informirana in nedvoumno izjavljena volja posameznika, na katerega se nanašajo osebni podatki.

3. Privolitev je le ena izmed dopustnih pravnih podlag za obdelavo osebnih podatkov; glede na okoliščine vsakega posameznega primera pa lahko upravljavec osebne podatke obdeluje tudi na kateri izmed drugih pravnih podlag iz prvega odstavka 6. člena Splošne uredbe.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

V skladu z definicijo pojma osebnega podatka iz 1. točke 4. člena Splošne uredbe je osebni podatek vsaka informacija v zvezi z določenim ali določljivim posameznikom. Osebni podatki so torej le podatki, ki se nanašajo na fizične osebe, ne pa tudi na gospodarske družbe (na primer na delniške družbe, družbe z omejeno odgovornostjo, pa tudi samostojne podjetnike) in druge pravne osebe. Glede obdelave podatkov, ki se nanašajo na samostojne podjetnike, IP izpostavlja, da so iz sistema varstva osebnih podatkov izvzeti le podatki, ki se nanašajo na opravljanje gospodarske dejavnosti samostojnega podjetnika oziroma na podatke, s katerimi podjetnik nastopa na trgu kot poslovni subjekt (na primer naziv oz. firma s.p., ki skladno z Zakonom o gospodarskih družbah vsebuje tudi ime in priimek podjetnika; naslov opravljanja dela; telefonska številka s.p.; davčna številka), ne pa tudi podatki, ki se nanašajo na posameznika kot fizično osebo oziroma na tega posameznika, ko ne opravlja gospodarske dejavnosti.

Ob tem IP izpostavlja, da so po drugi strani kontaktni podatki zaposlenih v gospodarskih družbah, osebni podatki, čeprav so morda javno objavljeni, zato je njihovo zbiranje in nadaljnja obdelava dopustna le, če zanjo obstaja ena izmed pravnih podlag, ki so navedene v prvem odstavku 6. člena Splošne uredbe in niso omejene zgolj na privolitev.

Obdelava osebnih podatkov je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Niti Splošna uredba, niti ZVOP-2 pa ne predpisujeta posebne oblike za izražanje privolitve (na primer v pisni obliki), temveč Splošna uredba določa le, da je privolitev vsaka prostovoljna, izrecna, informirana in nedvoumno izjavljena volja posameznika, na katerega se nanašajo osebni podatki. Ker pa je upravljavec (v tem primeru je ponudnik spletne trgovine) odgovoren za skladnost obdelave podatkov z določbami Splošne uredbe, ki jo mora biti sposoben tudi dokazati, lahko z namenom lažjega dokazovanja skladnosti privolitve zbirate tudi v pisni obliki. Več o privolitvi kot pravni podlagi za obdelavo osebnih podatkov je dostopnega na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/privolitev.

IP izpostavlja, da je privolitev le ena izmed dopustnih pravnih podlag za obdelavo osebnih podatkov; glede na okoliščine vsakega posameznega primera pa lahko upravljavec osebne podatke obdeluje tudi na kateri izmed drugih pravnih podlag iz prvega odstavka 6. člena Splošne uredbe.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka IP za mednarodne odnose

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka