Uporaba osebnih podatkov otrok za pošiljanje kartic v okviru kampanje

Datum

05.08.2025

Številka

07121-1/2025/979

Kategorije

Društva, Pravne podlage, Pridobivanje OP iz zbirk

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede uporabe osebnih podatkov otrok v načrtovani kampanji. Opisali ste načrt kampanje pošiljanja kartic novorojencem, v okviru katere naj bi se v porodnišnice dostavile kartice z imeni otrok ter ločeno kuverte z njihovimi imeni, naslovi in povezovalno številko. Kartice, namenjene posvetilom in podpisom, bi se po izpolnitvi vrnile v porodnišnice, kjer bi jih prostovoljci vaše Zveze združili s pripadajočimi kuvertami s pomočjo povezovalnih kod. Končna pošiljka bi nato bila otrokom dostavljena po pošti. Ob tem ste predstavili svoj pogled na obdelavo osebnih podatkov in zaprosili za presojo pravilnosti načrtovane obdelave, zlasti z vidika skladnosti z načelom sorazmernosti glede na predvideni namen uporabe.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22 in 40/25 – ZInfV-1; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Iz vašega opisa je razbrati, da Zveza sama določa namen in sredstva obdelave ter zato verjetno nastopa kot upravljavec osebnih podatkov, ne le kot obdelovalec v imenu porodnišnic. V takem primeru mora zagotoviti ustrezno pravno podlago za obdelavo, pri čemer bi bila glede na okoliščine najverjetneje potrebna privolitev staršev. Sklicevanje na pogodbe s porodnišnicami samo po sebi ne zadošča za zakonito obdelavo osebnih podatkov otrok.

Porodnišnica bi lahko nastopila v vlogi upravljavca le, če bi imela za to pravno podlago, kar pa iz vašega opisa glede na namen obdelave ne izhaja. Za tak namen bi bila načeloma potrebna privolitev staršev.

Obrazložitev

Uvodoma opozarjamo, da lahko IP posamezne primere obdelave osebnih podatkov presoja le v okviru konkretnega nadzornega postopka. To pomeni, da v mnenju ne moremo ocenjevati ustreznosti obdelav osebnih podatkov v predvidenih projektih, temveč lahko zgolj opozorimo na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določena obdelava osebnih podatkov zakonita. Predlagana obdelava osebnih podatkov odpira več pomembnih vprašanj glede skladnosti z zakonodajo s področja varstva osebnih podatkov.

Iz vašega opisa izhaja, da ste tako za a) namen tiska imena na kartico za pripravo posvetila in podpisov z uporabo povezovalne kode kot tudi za b) namen tiska imena in naslova na kuverto za pošiljanje kartice kot upravljavca osebnih podatkov novorojencev (ime, priimek, naslov) opredelili porodnišnice (vsako za »svoje otroke«), vašo Zvezo, tiskarja in prostovoljce pa kot obdelovalce na podlagi pogodbe s posamezno porodnišnico.

V zvezi  s tem najprej poudarjamo pomen pravilnega razumevanja vlog upravljavca in obdelovalca osebnih podatkov. Upravljavec je fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki sam ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravo države članice (7. točka 4. člena Splošne uredbe). Obdelovalec pa je fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca (8. točka 4. člena Splošne uredbe). To pomeni, da obdelovalec deluje le v okviru navodil upravljavca in za njegove namene. Evropski odbor za varstvo podatkov v Smernicah 7/2020 pojasnjuje, da je bistvena razlika v tem, kdo nosi odgovornost za odločitev o »zakaj« in »kako« se osebni podatki obdelujejo (https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_sl .)

Iz priloženega gradiva je razbrati, da celotno kampanjo vodi Zveza, pri čemer določa namen obdelave (pošiljanje kartic novorojencem), sredstva obdelave (način zbiranja podatkov, oblikovanje povezovalnih kod, dostava kartic) in koordinira sodelujoče, torej odloča o bistvenih elementih v zvezi z obdelavo. Na tej podlagi IP sklepa, da Zveza ne nastopa zgolj kot obdelovalec, temveč kot upravljavec osebnih podatkov. Porodnišnice v opisanem konceptu delujejo predvsem kot točke za dostavo in hrambo kartic ter očitno ne nastopajo kot upravljavci v smislu zasledovanja lastnih namenov. Šele če bi predlagana aktivnost pošiljanja kartic dejansko sodila v naloge porodnišnic, torej da bi same odločale o namenu in sredstvih obdelave v okviru te dejavnosti, pa bi lahko govorili o tem, da so porodnišnice upravljavci. Pojem upravljavca je namreč vezan na dejanja obdelave in ne na primer na samo vrsto osebnih podatkov.

Nadalje je pomembno, da bi morala imeti Zveza kot upravljavec za obdelavo osebnih podatkov, torej tudi za njihovo pridobivanje in uporabo, zakonito in ustrezno pravno podlago. V skladu s prvim odstavkom 6. člena ZVOP-2 se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami iz prvega odstavka 6. ali 9. člena Splošne uredbe. V konkretnem primeru ni razvidno, da bi šlo za izpolnitev zakonske obveznosti, niti za izvajanje pogodbe s posamezniki, prav tako pa ni predvideno pridobivanje privolitve staršev, ki bi bila glede na naravo in okoliščine obdelave najverjetneje edina možna in ustrezna pravna podlaga. Čeprav Zveza zasleduje svoj zakoniti interes, je vprašljivo, ali bi ta lahko pomenil ustrezno pravno podlago za obdelavo osebnih podatkov otrok, zlasti ob upoštevanju, da gre za posebej varovano skupino posameznikov.

Le če bi porodnišnica imela ustrezno pravno podlago za predlagano obdelavo osebnih podatkov in če bi bilo to skladno z namenom zbranih podatkov, bi lahko eventualno nastopila kot upravljavec, Zveza in tiskarji pa bi v tem primeru nastopali kot njeni obdelovalci na podlagi pogodbe iz prvega odstavka 28. člena Splošne uredbe. Vendar iz vašega opisa glede na namen obdelave ne izhaja, da bi porodnišnice imele ustrezno pravno podlago, saj bi bila za tak namen načeloma potrebna privolitev staršev. Sklicevanje na pogodbe s porodnišnicami bi tako lahko zadoščala za ureditev pogodbenega razmerja v smislu prvega odstavka 28. člena Splošne uredbe, ne pa tudi za vzpostavitev zakonite pravne podlage za obdelavo osebnih podatkov otrok kot posameznikov, na katere se ti podatki nanašajo.

Na podlagi obrazloženega IP predlaga, da ponovno preučite svojo vlogo pri obdelavi osebnih podatkov ter vlogo porodnišnic, saj iz opisa predlaganih aktivnosti izhaja, da Zveza vsaj v določenem obsegu sama določa namen in sredstva obdelave. Glede na to je mogoče sklepati, da ne nastopate zgolj kot obdelovalec v imenu porodnišnic, temveč kot upravljavec osebnih podatkov. To pa pomeni tudi obveznost zagotovitve ustrezne pravne podlage, spoštovanje načela omejitve namena ter izpolnjevanja drugih obveznosti, ki jih določa Splošna uredba.

Lepo vas pozdravljamo,

Pripravila:

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

dr. Jelena Virant Burnik, informacijska pooblaščenka