Rok hrambe

Datum

03.10.2023

Številka

07120-1/2023/444

Kategorije

Rok hrambe OP, Privolitev

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede izbrisa osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Kadar obdelava osebnih podatkov temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, bi moral biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v dejanje obdelave.

Odločitev o načinu izkazovanja verodostojnosti privolitve je povsem na strani upravljavca.

IP priporoča, naj se dokaz o pridobljeni privolitvi ne hrani dlje, kot je to nujno potrebno za izpolnjevanje pravne obveznosti ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne more pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku. IP tako ne nudi storitve pregleda ali vnaprejšnje odobritve različnih obrazcev, storitev, aplikacij ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi.

IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja tako ne more presojati skladnosti konkretnih privolitev s pravili varstva osebnih podatkov niti presojati ustreznosti postopkov in ukrepov, ki jih posamezni upravljavec izvaja z namenom dokazovanja privolitve.

IP pojasnjuje, da je v skladu z uvodno določno št. 42 Splošne uredbe eden temeljnih elementov za veljavnost privolitve tudi njena dokazljivost. Omenjena določba tako med drugim določa, da kadar obdelava temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, bi moral biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v dejanje obdelave. Upravljavec mora biti torej zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v dejanje obdelave na način, skladen s pogoji za privolitev iz člena 7 Splošne uredbe.

Splošna uredba ne določa natančno, kako je treba zagotoviti dokazljivost privolitve. IP tako glede načina zagotavljanja dokazila o podani privolitvi pojasnjuje, da je odločitev o načinu izkazovanja verodostojnosti privolitve povsem na strani upravljavca (v konkretnem primeru torej na vašem uradu), pri čemer morate biti glede na način pridobivanja privolitve in glede na tehnologijo, ki vam je na voljo, v inšpekcijskem postopku zmožni izkazati, da je bila posamezna privolitev ustrezno pridobljena. Ob tem IP opozarja, da je tudi v tem primeru treba upoštevati načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave (v konkretnem primeru zagotavljanje dokazljivosti privolitve).

Glede roka hrambe dokaza o obstoju privolitve po končani obdelavi IP priporoča, naj se dokaz o pridobljeni privolitvi ne hrani dlje, kot je to nujno potrebno za izpolnjevanje pravne obveznosti ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov. Ocena roka je v rokah konkretnega upravljavca, ki seveda najbolje pozna specifike posameznih obdelav osebnih podatkov, ki jih izvaja, in pravne posledice, ki lahko izhajajo iz njih.

IP sklepno ponovno poudarja, da v okviru neobvezujočega mnenja ne more odločati o tem, na kakšen način mora upravljavec v konkretnem primeru izkazati dokaz o pridobljeni privolitvi, temveč lahko zgolj opozori na relevantno pravno podlago. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov.

V zvezi s privolitvijo kot pravno podlago za obdelavo osebnih podatkov vas IP napotuje še na Smernice Evropskega odbora za varstvo podatkov (EDPB) o privolitvi, v katerih je podrobno pojasnjeno, kakšna naj bo privolitev, med drugim pa vsebuje tudi razdelek o dokazu privolitve: https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_sl_0.pdf

Glede določbe četrtega odstavka 6. člena ZVOP-2, IP pojasnjuje, da gre za določbo, ki pomeni pravno podlago za obdelavo osebnih podatkov na neoblasten način v povezavi s poslovanjem javnega sektorja. V skladu s to določbo se izjemoma lahko obdelujejo osebni podatki, ki niso določeni v zakonu, kadar je to potrebno za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, z obdelavo pa se ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. IP ponavlja, da v okviru neobvezujočega mnenja ne more preverjati primernosti pravne podlage, meni pa, da bi predlagana določba lahko organu javnega sektorja predstavljala pravno podlago npr. za pošiljanje obvestil za javnost na službene elektronske naslove novinarjev. Na drugi strani pa bi verjetno ta pravna podlaga verjetno težje prišla v poštev za obdelave osebnih podatkov s strani vašega urada, ki jih navajate na dnu vašega zaprosila za mnenje.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka