Prenos baze strank stečajnega dolžnika

Datum

01.03.2024

Številka

07121-1/2024/233

Kategorije

Informiranje posameznika, Pravne podlage, Zakoniti interesi

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede prenosa baze strank stečajnega dolžnika.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Kupec, ki bi prevzel dejavnost spletne trgovine (ne glede na to, ali bo to v konkretnem primeru obstoječi najemnik ali tretja oseba), bi lahko nadaljeval z obdelavo osebnih podatkov strank pod pogojem, da so ti bili pridobljeni zakonito oziroma v skladu s pravnimi podlagami iz prvega odstavka 6. člena Splošne uredbe in jih bo kupec obdeloval za isti namen.

Novi upravljavec (v konkretnem primeru bo to kupec in pri tem ni bistveno, ali bo to obstoječi najemnik ali tretja oseba), mora posameznikom (strankam) zagotoviti informacije iz 13. oziroma 14. člena Splošne uredbe.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP splošno pojasnjuje, da je treba za vsako obdelavo osebnih podatkov najprej zagotoviti ustrezno pravno podlago. V skladu s prvim odstavkom 6. člena Splošne uredbe je obdelava tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Iz navedb v vašem zaprosilu za mnenje bi po mnenju IP lahko izhajalo, da gre v konkretnem primeru (tudi) za prenos dejavnosti spletne trgovine. IP meni, da bi v tem primeru pravno podlago za prenos osebnih podatkov (baze strank) od enega upravljavca k drugemu upravljavcu, do katerega bo prišlo ob prodaji spletne trgovine, lahko predstavljala točka (f) prvega odstavka 6. člena Splošne uredbe. Ta določa, da je obdelava osebnih podatkov zakonita, če je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Seveda pa to velja le v primeru, da je bila baza strank prvotno pridobljena v skladu z veljavno zakonodajo in da se ta prenaša kot del celotnega poslovanja. Namreč smiselno je, da z nakupom celotne dejavnosti spletne trgovine kupec pridobi tudi bazo uporabnikov. Prenos osebnih podatkov na drugo podjetje bi bil torej eventualno zakonit, v kolikor gre za prenos celotne dejavnosti (poslovanja), za opravljanje katere so osebni podatki iz zbirke, ki se prenaša, po naravi stvari nujno potrebni. Glede na navedeno bi kupec, ki bi prevzel dejavnost spletne trgovine (ne glede na to, ali bo to v konkretnem primeru obstoječi najemnik ali tretja oseba), lahko nadaljeval z obdelavo osebnih podatkov strank pod pogojem, da so ti bili pridobljeni zakonito oziroma v skladu z zgoraj navedenimi pravnimi podlagami iz prvega odstavka 6. člena Splošne uredbe in jih bo kupec obdeloval za isti namen. Bistven je torej namen obdelave s strani kupca, ne pa samo dejstvo, ali gre pri kupcu za obstoječega najemnika ali za tretjo osebo.

IP pojasnjuje, da je pri prenosu podatkov k novemu upravljavcu pomembno, da se upoštevajo vsa temeljna načela obdelave osebnih podatkov iz 5. člena Splošne uredbe. Osebni podatki se morajo obdelovati zakonito, pošteno in na pregleden način. Poleg tega se osebni podatki, zbrani za določene, izrecne in zakonite namene, ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (načelo omejitve namena). Upravljavec osebnih podatkov mora biti sposoben dokazati, da se podatki obdelujejo v skladu s temeljnimi načeli varstva osebnih podatkov (načelo odgovornosti).

V zvezi z zagotavljanjem ustrezne pravne podlage za obdelavo osebnih podatkov na podlagi zakonitih interesov je posebej pomembno, da upravljavec - preden pride do obdelave osebnih podatkov posameznikov - na podlagi okoliščin posameznega primera obdelave osebnih podatkov izvede t.i. predhodni test tehtanja, s katerim oceni, ali so izpolnjeni pogoji za uporabo zakonitega interesa kot ustrezne pravne podlage. S takšnim testom, ki mora biti zaradi namenov dokazovanja v pisni obliki, upravljavec znotraj svojih procesov presoja, ali so nameni, za katere si prizadeva, zakoniti, ali je obdelava podatkov primerna in nujna za doseganje teh namenov ter ali obstaja ravnovesje med zasledovanim ciljem na eni strani in posegom v pravice in svoboščine posameznikov na drugi. Za uporabo pravne podlage iz točke (f) prvega odstavka 6. člena Splošne uredbe morajo biti torej podani trije kumulativni pogoji:

-interes upravljavca mora biti zakonit oz. legitimen (torej upravičen, sprejemljiv, osnovan na zakonu), takšen interes pa mora biti jasno izražen, resničen in obstoječ ter utemeljen na nacionalnem pravu ali pravnih načelih;

-obdelava mora biti nujna in potrebna za doseganje zakonitega interesa, za katerega si prizadeva upravljavec (ali omenjena obdelava v čim manjši meri vpliva na oz. ogroža pravico posameznikov do varstva osebnih podatkov). Taka obdelava je nujna, če ni nobenega drugega ukrepa, ki bi isti cilj dosegel z manjšim vplivom na pravico do varstva osebnih podatkov;

-interesi ali temeljne pravice in svoboščine posameznika ne prevladajo nad interesi upravljavca. Na tem mestu je potrebno izvesti test tehtanja med interesi upravljavca in interesi ali temeljnimi pravicami in svoboščinami posameznika (v tem kontekstu potrebno pretehtati tudi okvir razumnih pričakovanj posameznikov). V vašem primeru bi bila na mestu potrebna torej presoja; ali stranke družbe A razumno lahko pričakujejo, da bodo njihovi podatki, ki so jih stečajnemu dolžniku posredovali za konkretni namen, uporabljeni za obdelavo s strani kupca). Pri tehtanju prevladujočih interesov (v povezavi z oceno tveganja) je treba absolutno upoštevati tudi načelo transparentnosti (ali so bile posameznikom podane ustrezne informacije, da je lahko razumno pričakoval posledice obdelave) in sorazmernosti (npr. ali so bili sprejeti ustrezni zaščitni ukrepi).

IP sklepno opozarja tudi na določbe 13. in 14. člena Splošne uredbe, v skladu s katerim mora (novi) upravljavec osebnih podatkov v primeru, ko osebni podatki so (13. člen) ali niso (14. člen) bili pridobljeni neposredno od posameznika, na katerega se ti nanašajo, temu posamezniku zagotoviti informacije iz prvega in drugega odstavka omenjenih členov. Novi upravljavec (v konkretnem primeru bo to kupec in pri tem ni bistveno, ali bo to obstoječi najemnik ali tretja oseba), mora torej posameznikom (strankam) zagotoviti navedene informacije.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka