Jedro

Privolitev posameznika v konkretni zadevi ni bila prostovoljna, specifična, informirana in nedvoumna ter zato ni bila veljavna (pri čemer bi za ugotovitev njene neveljavnosti zadoščala že ugotovitev, da manjka ena od navedenih lastnosti privolitve). Posledično je organ ravnal pravilno, ko ni ugodil zahtevi tožnice po pridobivanju podtkov o TRR posameznika.

Izrek

I.Tožba se zavrne.

II.Vsaka stranka trpi svoje stroške postopka.

Obrazložitev

Potek upravnega postopka

1.Tožnica je 6. 4. 2021 pri upravljavcu (organ oz. AJPES) vložila zahtevo za pridobitev osebnih podatkov o transakcijskem računu (TRR) za fizično osebo A. A. iz registra TRR. Organ je o vlogi prosilke odločil z odločbo št. 4051/151428-1-ODL z dne 3. 5. 2021, s katero je njeno zahtevo zavrnil. Poudari, da se prosilka v zahtevi sklicuje na namen za obdelavo osebnih podatkov za unovčenje menice na podlagi osebne privolitve. Četrti odstavek 194. člena Zakona o plačilnih storitvah, storitvah izdajanja elektronskega denarja in plačilnih sistemih (ZPlaSSIED) določa, da osebne podatke o TRR fizičnih oseb, ki se obdelujejo v registru TRR, lahko pridobijo tudi druge osebe, za katere drug zakon določa pravno podlago in namen obdelave osebnih podatkov. Prosilka se sklicuje na pravno podlago v Zakonu o varstvu osebnih podatkov (ZVOP-1), na podlagi katerega se lahko pridobijo osebni podatki, če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Nadalje drugi odstavek istega člena določa, da mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. Organ ugotavlja, da pravne temelje za pridobitev osebnih podatkov ureja tudi Splošna uredba o varstvu podatkov (GDPR)

-če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana v pisni izjavi, ki se nanaša tudi na druge zadeve, se zahteva za privolitev predloži na način, ki se jasno razlikuje od drugih zadev, v razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku. Deli take izjave, ki predstavljajo kršitev te uredbe, niso zavezujoči. Pri ugotavljanju, ali je bila privolitev dana prostovoljno, se med drugim zlasti upošteva, ali je izvajanje pogodbe, vključno z zagotavljanjem storitve, pogojeno s privolitvijo v obdelavo osebnih podatkov, ki ni potrebna za izvedbo zadevne pogodbe. Ugotavlja, da je v konkretni zadevi privolitev dana v 8. členu Poroštvene pogodbe (v nadaljevanju pogodba), kot del pogodbe. Privolitev oz. pooblastilo za pridobitev osebnih podatkov pa mora biti po mnenju organa očitno ločeno od ostalih zadev in dovolj konkretno, da je takšna privolitev dovoljena. Če je privolitev nujna za sklenitev pogodbe oz. je njen neločljiv del, pomeni, da ne gre za očitno prostovoljno privolitev, kot velja tudi za konkretno pogodbo. Takšna privolitev oz. pooblastilo je splošne narave in je pogoj za sklenitev pogodbe med tožnico in fizično osebo. Za obstoj upravičenosti tožnice do osebnih podatkov bi moralo pooblastilo za posredovanje osebnih podatkov biti ločeno od pogodbe. Zato ugotavlja, da domnevna privolitev iz 8. člena pogodbe ni zadostna, saj je nujna in je neločljivi del te pogodbe kot splošna privolitev. AJPES zato ugotavlja, da navedena pravna podlaga prosilca ne upravičuje do pridobitve osebnega podatka o TRR fizične osebe.

2.Toženka je pritožbo tožnice zoper navedeno odločbo zavrnila z odločbo št. 405-7/2021/5 z dne 19. 7. 2021. Navaja, da so bile ustrezno izpolnjene postopkovne zahteve po 194. in 195. členu ZPlaSSIED in da je tožnica pravilno postopala po navedenih določbah ZPlaSSIED. Glede na to, da ZPlaSSIED napotuje na uporabo določil ZVOP-1 tudi glede pogojev privolitve, toženka ni presojala ravnanja tožnice po ZPlaSSIED. Ugotavlja, da je privolitev poroka k pridobitvi podatkov o njegovem premoženju iz 8. člena pogodbe s strani tožnice sestavni del pogodbe. Iz določbe 7. člena GDPR izhaja, da morajo biti pogoji za privolitev konkretizirani, tako da je privolitev oblikovana in predložena na način, ki se razlikuje od drugih zadev, v razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku. Toženka ugotavlja, da vsi našteti elementi privolitve v izjavi poroka niso vsebovani. Opredelitev glede osebne privolitve posameznika je določena tudi v 14. točki 6. člena ZVOP-1, ki prav tako privolitvi posameznika pripisuje prostovoljnost izjave volje posameznika, da se lahko njegovi osebni podatki obdelujejo za določen namen. Hkrati pa ZVOP-1 v prvem odstavku 8. člena določa pravno podlago za obdelavo osebnih podatkov (zakon ali osebna privolitev posameznika) ter se v drugem odstavku sklicuje na namen obdelave osebnih podatkov, ki mora biti določen v primeru osebne privolitve posameznika na predhodno pisen način ali pa s kakšno drugo obliko seznanitve posameznika z namenom obdelave njegovih osebnih podatkov. Meni, da porokovi privolitvi manjkajo elementi prostovoljnosti, specifičnosti, informiranosti in nedvoumnosti, kot to določa tudi 11. točka 4. člena GDPR. Vsebina 8. člena pogodbe ne zadošča kriterijem GDPR. Kot izhaja iz citiranega člena pogodbe, je namen pridobivanja podatkov o premoženju poroka v izvrševanju pravic iz pogodbe, vendar pa je treba paziti, da se s preširokim tolmačenjem takšne oblike izjave (ki je sestavni del pogodbe) ne prekorači zasledovanega namena, za katerega je bila podana takšna izjava. Deloma se strinja s sklicevanjem tožnice, da temelji njegova zahteva za pridobitev podatkov o TRR poroka na namenu izvajanja pogodbe, vendar je treba po mnenju toženke upoštevati tako namen kot tudi izkazano voljo poroka kot posameznika. V konkretni zadevi na podlagi obstoječe široke in posplošene dikcije 8. člena pogodbe ne more pritrditi, da je v konkretni zadevi izjava volje poroka iz leta 2017 razumljena kot izjava oz. jasna pritrdilna privolitev za vpogled v osebne podatke, ki se nanašajo nanj - v tem primeru v register TRR. Meni, da je treba 8. člen pogodbe interpretirati v luči pogodbenega razmerja med banko in stranko in da gre za nujni in neločljivi del te pogodbe, ki ga ni mogoče samostojno izločiti iz vsebine pogodbe. Zanika, da sta glede osebne privolitve poroka v zadostni meri izpolnjena pogoja po prvem in drugem odstavku 8. člena ZVOP-1. Ugotavlja, da se izjava v 8. členu pogodbe, kot je vključena v sestavni del vsebine pogodbe, ne more tolmačiti kot prostovoljna izjava, saj so v pogodbi zasledovani tudi drugi nameni izvajanja pogodbe in urejene druge pogodbene vsebine, ki jih je treba interpretirati kot celoto in ne samo kot njen ločeni del. Ugotavlja, da je treba pogoje za ustreznost privolitve presojati v skladu z določili GDPR, ki to področje strožje ureja kot ZVOP-1. V podani izjavi poroka manjkajo vsi bistveni elementi, po katerih bi lahko razumeli določilo 8. člena pogodbe kot pravno veljavno privolitev po določilih GDPR, ki je zavezujoč pravni akt. Ni razviden jasen namen privolitve poroka za konkretno pridobivanje podatkov o njegovih TRR s strani tožnice, saj gre za pogodbeni akt, iz katerega izvira več vsebin s pravicami in obveznostmi poroka. Tudi smernice Informacijskega pooblaščenca (IP) kot državnega nadzornega organa na področju varstva osebnih podatkov, ki sicer niso zavezujoče narave, pripomorejo pa pri tolmačenju temeljnih vprašanj na področju varstva osebnih podatkov, določajo, da ko obdelava podatkov vključuje več namenov, mora biti privolitev podana za vsak namen posebej in ločena od ostalih izjav, saj ne sme biti npr. del splošnih pogojev. Hkrati tudi glede pogodbe v pisni obliki smernice IP določajo, da mora biti privolitev predložena na način, ki se jasno razlikuje od drugih zadev, priporočljivo najbolje v ločenem dokumentu. Prereka navedbe, da se izjava poroka v 8. členu pogodbe jasno razlikuje od ostalih pogodbenih določil. Pri kratkih pogodbenih aktih (z manj pogodbenimi določili) ni nujno, da so pogodbena določila vsa jasno interpretirana. Po mnenju toženke tako ZVOP-1 kot GDPR jasno določata kriterije glede privolitve posameznika neodvisno od dolžine pogodbena akta. Ugotavlja, da je bila zahteva tožnice vložena v letu 2021, ko je bil GDPR že pravno veljaven predpis. Zato je pravilno, da je organ skladno s splošnimi pravili o veljavnosti pravnih aktov v postopku obravnave zahteve tožnice upošteval določila GDPR. Ugotavlja, da tožnica ni izkazala pravnega interesa niti ustrezne pravne podlage za pridobivanje podatkov o TRR poroka, saj obstoječe izjave poroka iz 8. člena pogodbe ni mogoče tolmačiti kot jasne in razumljive izjave, dane z nedvoumnim pritrdilnim dejanjem, torej osebne privolitve skladno z določili ZVOP-1 in GDPR.

Povzetek bistvenih navedb strank v upravnem sporu

3.Tožnica v tožbi navaja, da je svojo zahtevo za posredovanje podatkov o TRR fizične osebe utemeljila na vsebini 8. člena pogodbe. Sklicuje se na 8. člen ZVOP-1, tretji odstavek ter 14. in 15. točko prvega odstavka 6. člena ZVOP-1, 2. točko prvega odstavka 4. člena GDPR. Meni, da že same določbe ZVOP-1 vsebujejo pravno podlago, na kateri bi ji bil organ v konkretni zadevi upravičen in dolžan predložiti zahtevane podatke. Kot izhaja iz 8. člena pogodbe z dne 15. 3. 2017, je posameznik izrecno dovolil, soglašal in pooblastil tožnico, da opravi poizvedbe o njegovem premoženju, o boniteti in stanju njegovih obveznosti, pri državnih ali drugih organih, institucijah, nosilcih javnih pooblastil, bankah in zavarovalnicah, tretjih osebah in vsakokratnih, z banko v smislu zakona o gospodarskih družbah povezanih družbah, katerim s podpisom te pogodbe dovoljuje posredovanje zahtevanih podatkov ob predložitvi te pogodbe, kadar upnica podatke potrebuje za izvrševanje pravic iz te pogodbe. S tem je bila s strani posameznika podana osebna privolitev in dovoljenje tožnici, da pridobi podatke o dolžnikovih TRR (in torej o dolžnikovem premoženju) ter dovoljenje upravljavcu dolžnikovih osebnih podatkov (AJPESu), da jih posreduje tožnici. S tem meni, da je izpolnjen pogoj iz prvega odstavka 8. člena ZVOP-1. Meni, da je podan tudi pogoj iz naslednjega odstavka tega člena, saj je bil posameznik s pogodbo tudi pisno seznanjen z namenom obdelave osebnih podatkov. 8. člen pogodbe, kot je mogoče razbrati iz vsebine tega člena, namreč izrecno opredeljuje, da je namen pridobivanja podatkov o dolžnikovem premoženju izvrševanje pravic iz te pogodbe. Iz vsebine pogodbe, ki je zelo kratka in jasna, saj vsebuje zgolj 12 členov na manj kot 2 straneh, pa je pri tem mogoče jasno razbrati, da je z njo tožnica pridobila pravico od posameznika zahtevati poplačilo zapadle terjatve, ki jo ima banka do kreditojemalca (do družbe A., d.o.o. iz ...; 2. člen poroštvene pogodbe) in pravico, da zaradi izpolnitve te obveznosti uveljavlja poplačilo iz dolžnikovega premoženja (3. člen poroštvene pogodbe). S tem je bil posameznik pisno seznanjen tudi z namenom obdelave osebnih podatkov (o njegovem premoženju), to je zaradi uveljavljanja poplačila tožničinih zapadlih terjatev. Poleg tega pa navaja, da so izpolnjeni pogoji za predložitev zahtevanih osebnih podatkov tudi ob upoštevanju pogojev po 7. členu GDPR. Privolitev dolžnika je bila dana v pisni obliki, in čeprav je privolitev vsebovana v pogodbi, ki očitno vsebuje tudi druge pogodbene določbe, se 8. člen pogodbe z dolžnikovo privolitvijo za pridobivanje podatkov o njegovem premoženju, jasno razlikuje od drugih pogodbenih določb. Ob tem dolžnikova privolitev tudi ni vsebovana v neki obsežni pogodbi, ki bi vsebovala številne zelo zahtevne pogodbene določbe oz. tudi ni skrita v eni ali večih pogodbenih določb. Gre za kratko in jasno zapisane pravice in obveznosti vlagateljice in dolžnika, ki vsebuje zgolj 12 členov. Vsebine 8. člena pa ob upoštevanju logičnega sklepanja tudi ni mogoče opredeliti kot nejasne ali zapletene oz. nerazumljive. Tudi če bi pri odločanju o utemeljenosti vlagateljičine prošnje bilo treba upoštevati določbe GDPR, bi organ moral prošnji ugoditi. Meni, da ne obstaja podlaga za zaključek organa, da bi morala biti privolitev ločena od preostalih zadev - ob upoštevanju drugega odstavka 7. člena GDPR ni treba niti fizičnega ločevanja niti uporabe posebnih oblikovnih pravil glede takšne privolitve, če se privolitev jasno razlikuje od drugih zadev, v razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku, kot je 8. člen pogodbe. Organ brez pravne podlage podaja tudi zaključek, da v zadevi ne gre za prostovoljno privolitev posameznika, ker naj bi bila privolitev nujna za sklenitev pogodbe oz. ker je neločljivi del pogodbe. Ni namreč mogoče zgolj iz razloga, ker se neka zaveza nahaja v listini, kjer je takšnih zavez več, sklepati, da dolžnik takšnega dovoljenja ni dal prostovoljno. Že samo besedilo 8. člena pogodbe, s katerim dolžnik dovoljuje poizvedbe o premoženju, tudi dokazuje, da nikakor ne gre za privolitev oz. pooblastilo splošne narave.

4.Glede očitkov toženke, da izjava v 8. členu pogodbe ne izpolnjuje pogojev prostovoljnosti, specifičnosti, informiranosti in nedvoumnosti, tožnica navaja, da niti iz 11. točke prvega odstavka 4. člena ZVOP-1 niti iz drugega odstavka 7. člena GDPR ni mogoče razbrati kriterijev, na podlagi katerih bi lahko to trdili. Ker je vsebina pravic, ki izhajajo iz pogodbe, jasno opredeljena v 2. in 3. členu pogodbe (porok se zavezuje, da bo izpolnil vsako veljavno in zapadlo obveznost dolžnika iz bančne pogodbe - 2. člen oz. porok jamči upnici za obveznosti dolžnika iz bančne pogodbe kot porok in plačnik s svojim celotnim premoženjem, zlasti z vsemi svojimi denarnimi sredstvi na transakcijskih računih pri banki - prvi odstavek 3. člena pogodbe), nikakor ne obstaja podlaga za zaključek, da je namen pridobivanja podatkov o njegovem premoženju opredeljen presplošno in da zato privolitve ni mogoče šteti za prostovoljno, specifično, informirano in nedvoumno. Podatke se lahko pridobiva le z namenom uveljavljanja pravice do poplačila od poroka. Zaključek, da namen pridobivanja podatkov ni opredeljen zadosti jasno in natančno, bi bil utemeljen zgolj, če bi bilo v upravnem postopku ugotovljeno, da posameznik sploh ni razumel, kaj je vsebina prevzete poroštvene obveznosti. Ker upravni organ tega v svojem postopku ni ugotovil, tudi ni utemeljen zaključek, da je namen opredeljen presplošno. Ni najti utemeljenega razloga za zaključek, da 8. člen pogodbe predstavlja nujni in neločljivi del pogodbe. Ta bi namreč veljala tudi, če navedene določbe ne bi vsebovala. Pogodbe, kot to izhaja iz določbe 15. člena Obligacijskega zakonika (OZ), so sklenjene, ko se stranki sporazumeta o bistvenih sestavinah. Privolitev za obdelavo osebnih podatkov v zvezi s premoženjem, s katerim bo posameznik odgovarjal za prevzeto poroštveno obveznost, glede na določbe 1012. - 1034. člena OZ ni bistvena sestavina takšne pogodbe in ni niti nujni niti neločljivi del pogodbe. Tožnica ne zanika, da je vsebina pogodbe pripravljena z njene strani, vendar pa navedena okoliščina nikakor ne daje podlage za zaključek, da ta določba predstavlja nujen in neločljivi del pogodbe. Povsem brez pravne podlage je zaključek, da se izjava iz 8. člena pogodbe ne more tolmačiti kot prostovoljna izjava, saj so v pogodbi zasledovani tudi drugi nameni izvajanja pogodbe in urejene druge pogodbene vsebine, ki jih je potrebno interpretirati kot celoto in ne samo kot njen ločen del. Vsebina privolitve za opravo poizvedb o posameznikovem premoženju je jasno in natančno zapisana tako, da bi lahko bila privolitev podana tudi ločeno v posebni izjavi in ne v okviru pogodbe. Ni najti razlogov, zaradi katerega te izjave ne bi bilo mogoče tolmačiti kot prostovoljne, ker so v pogodbi zasledovani tudi drugi nameni izvajanja pogodbe. Neutemeljeno je stališče, da v 8. členu pogodbe ni izrecno opredeljeno, da posameznik tožnici dovoljuje pridobitev podatkov o njegovih TRR, zaradi česar naj prav tako ne bi bil jasen namen privolitve poroka. Navedena določba ne daje kriterijev, po katerih bi bilo mogoče sklepati, da mora biti namen pri osebnih privolitvah podan podrobneje, kot kadar namen izhaja iz zakonske podlage. Niti iz navedene določbe kot tudi ne iz drugih določb ZVOP-1 ni mogoče razbrati, da v osebni privolitvi osebnih podatkov ni mogoče opredeliti na način, da vključujejo več kot eno vrsto osebnih podatkov. Tožnica ne nasprotuje stališču toženke, da mora biti v primerih, ko obdelava podatkov vključuje več namenov, to jasno opredeljeno. Vendar navedeno stališče ne utemeljuje zaključka, da je treba pri opredelitvi namena obdelave osebnih podatkov namene opredeliti najbolj ozko mogoče. Ob neobstoju pravne podlage, ki bi utemeljevala dolžnost takšnega "prafaktorsko" opredeljevanega namena privolitve obdelovanja osebnih podatkov, je stališče toženke, da iz vsebine 8. člena pogodbe izhaja več namenov obdelave osebnih podatkov, neutemeljeno. Tudi ni najti utemeljenega razloga za zaključek, da tožnica s poroštveno izjavo ni izkazala pravnega interesa za pridobivanje podatkov o TRR posameznika. Dejstvo, da se v postopku izkaže, da je tožbeni zahtevek neutemeljen, nikakor ne utemeljuje tudi zaključka, da tožnica ni imela pravnega interesa za vložitev takšne tožbe.

5.Tožnica predlaga, da sodišče tožbi ugodi in izpodbijano odločbo organa odpravi ter zadevo vrne slednjemu v ponovno odločanje oz. da spremeni izpodbijano odločbo tako, da ugodi zahtevi tožnice za posredovanje podatkov o TRR posameznika ter AJPES-u naloži, naj te podatke sporoči tožnici. Priglaša tudi stroške postopka.

6.Toženka v odgovoru na tožbo prereka vse navedbe tožnice in vztraja pri svojih ugotovitvah kot pravilnih in zakonitih. Predlaga, naj sodišče tožbo kot neutemeljeno zavrne.

K točki I izreka:

7.Tožba ni utemeljena.

8.Sodišče je najprej presojalo ugovor toženke, da tožnica nima pravnega interesa za pridobivanje podatkov posameznika iz 8. člena pogodbe (in s tem za vložitev zadevne tožbe) in ugotovilo, da je ta neutemeljen. Zakon o upravnem sporu (ZUS-1) namreč v 1. členu določa, da se v upravnem sporu zagotavlja sodno varstvo pravic in pravnih koristi tako posameznikov kot tudi organizacij proti odločitvam državnih organov, organov lokalnih skupnosti in nosilcev javnih pooblastil (1. člen). V zadevi, kakršna je obravnavana, ko sodišče presoja zakonitost dokončnega upravnega akta, je tožnik (pravna ali fizična oseba zasebnega, v določenih primerih pa tudi javnega prava) v upravnem sporu tisti, ki je imel v postopku izdaje izpodbijanega upravnega akta status stranke ali stranskega udeleženca (prvi odstavek 17. člena ZUS-1), v pravni položaj katerega se z izpodbijanim aktom posega (prvi odstavek 2. člena ZUS-1).

9.Ker je imela tožnica položaj stranke v postopku izdaje upravnega akta, v katerem je toženka z izpodbijano odločbo zavrnila njeno zahtevo za posredovanje podatkov o TRR posameznika, s tem pa se je poseglo v njen položaj, sodišče ugotavlja, da ima tožnica tudi pravni interes za vložitev zadevne tožbe.

10.Med strankama je nadalje še sporno, ali je v konkretni zadevi za presojo toženka pravilno uporabila tudi GDPR ali pa bi se morala osredotočiti le na ZVOP-1. Slednje zatrjuje tožnica, ki navaja, da je s porokom - posameznikom sklenila pogodbo 15. 3. 2017, preden se je začela uporabljati GDPR (ta se uporablja od 25. 5. 2018). Skladno z načelom zakonitosti (6. člen Zakona o splošnem upravnem postopku, ZUP) organ ob odločanju v upravnem postopku uporablja predpis, veljaven v času izdaje posamičnega upravnega akta (kolikor predpis v prehodnih in končnih določbah ne določa drugače). Ker GDPR ne določa drugače in ker je tožnica vložila zahtevo po uveljavitvi GDPR (aprila 2021), je organ po presoji sodišča ravnal pravilno, ko je v izdanem izpodbijanem aktu za presojo utemeljenosti tožničine zahteve upošteval že veljavni GDPR.

11.Med strankama pa ni sporno, da iz vsebine 8. člena pogodbe (priloga A5/2) izhaja, da je posameznik (A. A. kot porok) tožnici izrecno dovolil, soglašal in pooblastil tožnico, da opravi poizvedbe o njegovem premoženju, o boniteti in stanju njegovih obveznosti, pri državnih ali drugih organih, institucijah, nosilcih javnih pooblastil, bankah in zavarovalnicah, tretjih osebah in vsakokratnih, z banko v smislu zakona o gospodarskih družbah povezanih družbah, katerim s podpisom te pogodbe dovoljuje posredovanje zahtevanih podatkov ob predložitvi te pogodbe, kadar upnica podatke potrebuje za izvrševanje pravic iz te pogodbe.

12.Pri presoji pravilnosti in zakonitosti izpodbijane odločbe je ključno vprašanje, ali navedena privolitev posameznika za posredovanje osebnih podatkov tožnici iz 8. člena pogodbe izpolnjuje kriterije za veljavno privolitev po 8. členu ZVOP-1 in 6. ter 7. členu GDPR. Toženka namreč navaja, da izjava posameznika v 8. členu pogodbe ne izpolnjuje pogojev prostovoljnosti, specifičnosti, informiranosti in nedvoumnosti privolitve za pridobitev osebnih podatkov, čemur pa tožnica nasprotuje.

13.Skladno z določbo prvega odstavka 8. člena ZVOP-1 se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Kot izhaja iz določbe drugega odstavka 8. člena ZVOP-1, pa mora biti hkrati namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. Ob upoštevanju 14. točke prvega odstavka 6. člena ZVOP-1 je osebna privolitev posameznika prostovoljna izjava volje posameznika, da se lahko njegovi osebni podatki obdelujejo za določen namen, in je dana na podlagi informacij, ki mu jih mora zagotoviti upravljavec po tem zakonu; osebna privolitev posameznika je lahko pisna, ustna ali druga ustrezna privolitev posameznika. Iz določbe 15. točke prvega odstavka 6. člena ZVOP-1 pa izhaja, da je pisna privolitev posameznika podpisana privolitev posameznika, ki ima obliko listine, določila v pogodbi, določila v naročilu, priloge k vlogi ali drugo obliko v skladu z zakonom; podpis je tudi na podlagi zakona s podpisom izenačena oblika, podana s telekomunikacijskim sredstvom, ter na podlagi zakona s podpisom izenačena oblika, ki jo poda posameznik, ki ne zna ali ne more pisati.

14.Ob tem iz določbe tretjega odstavka 6. člena ZVOP-1 izhaja, da obdelava osebnih podatkov pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave). Praktično identično vsebino besedne zveze obdelava osebnih podatkov ureja določba 2. točke prvega odstavka 4. člena GDPR.

15.Skladno z določbo 11. točke prvega odstavka 4. člena GDPR privolitev posameznika, na katerega se nanašajo osebni podatki pomeni vsako prostovoljno, izrecno, informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj.

16.Določba drugega odstavka 7. člena GDPR pa še ureja, da če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana v pisni izjavi, ki se nanaša tudi na druge zadeve, se zahteva za privolitev predloži na način, ki se jasno razlikuje od drugih zadev, v razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku. Deli take izjave, ki predstavljajo kršitev te uredbe, niso zavezujoči. Pri ugotavljanju, ali je bila privolitev dana prostovoljno, se med drugim zlasti upošteva, ali je izvajanje pogodbe, vključno z zagotavljanjem storitve, pogojeno s privolitvijo v obdelavo osebnih podatkov, ki ni potrebna za izvedbo zadevne pogodbe (četrti odstavek 7. člena GDPR).

17.Po presoji sodišča je organ, čigar presoja je bila dopolnjena s presojo toženke, pravilno ugotovil, da zahteva tožnice za posredovanje osebnih podatkov posameznika ni bila utemeljena. Sodišče se zato, kolikor izrecno ne pojasnjuje drugače, sklicuje na razloge izpodbijane odločbe, dopolnjene z razlogi drugostopenjske odločbe (drugi odstavek 71. člena ZUS-1). V zvezi s tožbenimi navedbami, na katere je vezano glede preizkusa dejanskega stanja (prvi odstavek 20. člena ZUS-1), pa dodaja:

18.Privolitev posameznika je ena od veljavnih pravnih podlag za zakonito obdelavo, kot jih določa 6. člen GDPR in 8. člen ZVOP-1. Vendar pa, da je privolitev veljavna, ni dovolj le, da je privolitev posameznika za obdelavo osebnih podatkov podana in da je posameznik predhodno na pisen način seznanjen z namenom obdelave oz. da je seznanjen z namenom obdelave njegovih osebnih podatkov na kakšen drug način, kot to sicer trdi tožnica. Določilo 8. člena ZVOP-1 je treba interpretirati v luči GDPR. Privolitev mora biti prostovoljna, specifična, informirana in nedvoumna (11. točka 4. člena GDPR). Ti pogoji morajo biti po mnenju sodišča podani kumulativno, da je privolitev po GDPR veljavna. Sodišče pritrjuje toženki, da je IP podal smernice na področju varstva osebnih podatkov.³ Te smernice temeljijo na GDPR. Poleg tega je Evropski odbor za varstvo podatkov 4. 5. 2020 sprejel Smernice št. 05/2020 o privolitvi na podlagi GDPR (Smernice), ki podajajo temeljito analizo pojma privolitve iz GDPR. Na splošno je lahko privolitev ustrezna zakonita podlaga le, če sta posamezniku, na katerega se nanašajo osebni podatki, zagotovljena nadzor ter dejanska izbira med sprejetjem in zavrnitvijo pogojev ali njihova zavrnitev brez škode. V nasprotnem primeru postane navedeni nadzor posameznika navidezen, privolitev pa bo neveljavna podlaga za obdelavo, zaradi česar bo dejavnost obdelave nezakonita.⁴

19.Iz naštetih določil GDPR z upoštevanjem navedenih Smernic o privolitvi izhaja naslednje:

20.Privolitev je <u>prostovoljna</u> , kadar pomeni dejansko izbiro in nadzor za posameznike, na katerega se osebni podatki nanašajo. Privolitev ne bo veljavna, če tak posameznik nima dejanske izbire, če se čuti prisiljenega v privolitev. Če je privolitev združena z delom pogojev, o katerih se ni mogoče pogajati, se domneva, da ni bila dana prostovoljno. Privolitev se ne bo štela za prostovoljno, če je posameznik ne more zavrniti. Namen 4. točke 7. člena GDPR (po uvodni izjavi 43 GDPR) pa je zagotoviti, da namen obdelave osebnih podatkov ni prikrit niti združen z izvajanjem pogodbe ali storitve, za katere osebni podatki niso potrebni. Obstajati mora neposredna in objektivna povezava med obdelavo podatkov in namenom izpolnitve pogodbe. Po oceni sodišča je v konkretni zadevi privolitev v 8. členu pogodbe oblikovana za storitve, povezane s pogodbo in za katerih izvajanje so torej osebni podatki potrebni.⁵

21.Vendar pa storitev lahko vključuje več dejanj obdelave za več kot en namen. Takrat bi se morali posamezniki, na katere se nanašajo osebni podatki, prostovoljno odločiti, s katerim namenom soglašajo, namesto, da morajo privoliti v skupek namenov obdelave. Zato je nadalje privolitev prostovoljna tudi, če je, ko obdelava podatkov vključuje več namenov, privolitev podana za vsak namen posebej in ločeno od ostalih izjav. V takem primeru morajo upravljalci pridobiti več ločenih privolitev oz. ločenih soglasij za vsako obdelavo posebej (granuliranost oz. razčlenjenost/razdrobljenost privolitev, glej tudi uvodno izjavo 43 GDPR⁶ ).⁷

22.V konkretni zadevi že sama tožnica navaja, da iz vsebine pogodbe A5/2 za poroka izhajata dva namena (2. in 3. člen pogodbe A5/2), vendar je privolitev poroka v 8. členu te pogodbe za obdelavo podatkov oblikovana na način, da je podana, kadar to potrebuje tožnica za izvrševanje pogodbe (torej splošno, skupno za vse namene pogodbe), pri čemer je ta privolitev tudi še nadalje zelo splošno oz. ohlapno določena pri dejanjih obdelave osebnih podatkov, in sicer na način, da tožnica opravi poizvedbe o njegovem premoženju (kar naj bi po navedbi tožnice vsebovalo tudi, da pridobi podatke o porokovih TRR). Iz navedenega izhaja, da taka privolitev ni prostovoljna, saj iz nje ne izhaja specifična obdelava podatkov za vsak specifičen namen pogodbe, na kar opozarja že toženka.

21.V konkretni zadevi že sama tožnica navaja, da iz vsebine pogodbe A5/2 za poroka izhajata dva namena (2. in 3. člen pogodbe A5/2), vendar je privolitev poroka v 8. členu te pogodbe za obdelavo podatkov oblikovana na način, da je podana, kadar to potrebuje tožnica za izvrševanje pogodbe (torej splošno, skupno za vse namene pogodbe), pri čemer je ta privolitev tudi še nadalje zelo splošno oz. ohlapno določena pri dejanjih obdelave osebnih podatkov, in sicer na način, da tožnica opravi poizvedbe o njegovem premoženju (kar naj bi po navedbi tožnice vsebovalo tudi, da pridobi podatke o porokovih TRR). Iz navedenega izhaja, da taka privolitev ni prostovoljna, saj iz nje ne izhaja specifična obdelava podatkov za vsak specifičen namen pogodbe, na kar opozarja že toženka.

23.Privolitev je specifična (konkretna), ko je podana za konkretno opredeljen namen. Konkreten, ekspliciten in legitimen namen je predpogoj za pridobitev veljavne privolitve. Tesno je povezana z zahtevo po informirani privolitvi. Hkrati jo je treba razlagati tudi v skladu z zahtevo po razdrobljenosti za pridobitev prostovoljne privolitve. Kot navedeno že v predhodni točki obrazložitve, v konkretni zadevi tožnica, ki je vnaprej pripravila pogodbo A5/2, vključno z 8. točko, to je privolitvijo v obdelavo osebnih podatkov poroka, ni oblikovala privolitve posameznika za vsak posamezen namen, ki izhaja iz pogodbe (in za specificirana dejanja obdelave), zato privolitev v konkretni zadevi tudi ne more šteti kot specifična. To pa je namreč nujno, saj je privolitev v obdelavo osebnih podatkov eden od izjemoma dovoljenih podlag za obdelavo osebnih podatkov, zato mora biti takšna privolitev ozko določena, da se ne širi oz. zamegljuje prvotnega namena obdelave, za katerega je bila privolitev podana (t.i. "function creep" pojav), na kar opozarja tudi toženka. Drži sicer, kot to zatrjuje tožnica, da lahko posameznik poda privolitev za obdelavo več svojih osebnih podatkov naenkrat. Vendar pa mora posameznik točno vedeti, kakšno natančno določeno obdelavo osebnih podatkov bo za posamičen namen dovolil, kar pa ni podano v konkretni zadevi. Z vsako ločeno zahtevo za privolitev bi bilo treba zagotoviti specifične informacije o podatkih, ki se obdelujejo za vsak namen, da bi se posamezniki zavedali vpliva različnih odločitev, med katerimi lahko izbirajo. To vprašanje pa se prekriva z zahtevo, da morajo upravljalci zagotoviti jasne informacije, kar je obravnavano v naslednji točki obrazložitve.

22.Privolitev je specifična (konkretna), ko je podana za konkretno opredeljen namen. Konkreten, ekspliciten in legitimen namen je predpogoj za pridobitev veljavne privolitve. Tesno je povezana z zahtevo po informirani privolitvi. Hkrati jo je treba razlagati tudi v skladu z zahtevo po razdrobljenosti za pridobitev prostovoljne privolitve. Kot navedeno že v predhodni točki obrazložitve, v konkretni zadevi tožnica, ki je vnaprej pripravila pogodbo A5/2, vključno z 8. točko, to je privolitvijo v obdelavo osebnih podatkov poroka, ni oblikovala privolitve posameznika za vsak posamezen namen, ki izhaja iz pogodbe (in za specificirana dejanja obdelave), zato privolitev v konkretni zadevi tudi ne more šteti kot specifična. To pa je namreč nujno, saj je privolitev v obdelavo osebnih podatkov eden od izjemoma dovoljenih podlag za obdelavo osebnih podatkov, zato mora biti takšna privolitev ozko določena, da se ne širi oz. zamegljuje prvotnega namena obdelave, za katerega je bila privolitev podana (t.i. "function creep" pojav), na kar opozarja tudi toženka. Drži sicer, kot to zatrjuje tožnica, da lahko posameznik poda privolitev za obdelavo več svojih osebnih podatkov naenkrat. Vendar pa mora posameznik točno vedeti, kakšno natančno določeno obdelavo osebnih podatkov bo za posamičen namen dovolil, kar pa ni podano v konkretni zadevi. Z vsako ločeno zahtevo za privolitev bi bilo treba zagotoviti specifične informacije o podatkih, ki se obdelujejo za vsak namen, da bi se posamezniki zavedali vpliva različnih odločitev, med katerimi lahko izbirajo. To vprašanje pa se prekriva z zahtevo, da morajo upravljalci zagotoviti jasne informacije, kar je obravnavano v naslednji točki obrazložitve.

23.Informirana (ozaveščena) privolitev je, kadar posameznik razume vsebino privolitve (s čim soglaša) in tudi način, kako lahko privolitev oz. soglasje umakne. Upravljalci morajo zagotoviti, da posamezniki razumejo, s čim soglašajo. Kadar se privolitev zahteva kot del pogodbe (vnaprej pripravljene izjave o privolitvi, drugi odstavek 7. člena GDPR), bi moralo biti mogoče zahtevo za privolitev jasno razlikovati od drugih zadev - vprašanje privolitve bi bilo treba obravnavati na način, ki očitno izstopa, ali v ločenem dokumentu. Ne gre torej le za to, da je vsebina privolitve jasna ali nezapletena oz. razumljiva. Večslojne in razdrobljene informacije so lahko ustrezen način za izpolnitev dvojne obveznosti glede natančnosti in popolnosti na eni strani ter razumljivosti na drugi strani. Informirana in posledično veljavna privolitev vsebuje najmanj (glej tudi uvodno izjavo 42 GDPR): identiteto upravljalca; konkretno opredeljen namen za vsako posamezno obdelavo, za katero je zahtevana posamezna privolitev; navedbo vrst osebnih podatkov, ki bodo zbrani in obdelovani; obstoj pravice do umika privolitve; pri izrecni privolitve (za kar ne gre v konkretni zadevi) pa še glede avtomatizirane obdelave ter obvestila posamezniku o morebitnih tveganjih pri prenosu osebnih podatkov v tretjo državo ali mednarodno organizacijo. V konkretni zadevi tožnica ni izkazala, da bi bil posameznik specificirano obveščen za namen vsakega od dejanj obdelave ter natančno glede tega, katera vrsta podatkov se bo zbirala in uporabila, na kar je opozorila že toženka, zato sodišče ugotavlja, da se že iz tega razloga ne more šteti, da bi bila zadevna privolitev informirana.

24.Informirana (ozaveščena) privolitev je, kadar posameznik razume vsebino privolitve (s čim soglaša) in tudi način, kako lahko privolitev oz. soglasje umakne. Upravljalci morajo zagotoviti, da posamezniki razumejo, s čim soglašajo. Kadar se privolitev zahteva kot del pogodbe (vnaprej pripravljene izjave o privolitvi, drugi odstavek 7. člena GDPR), bi moralo biti mogoče zahtevo za privolitev jasno razlikovati od drugih zadev - vprašanje privolitve bi bilo treba obravnavati na način, ki očitno izstopa, ali v ločenem dokumentu. Ne gre torej le za to, da je vsebina privolitve jasna ali nezapletena oz. razumljiva. Večslojne in razdrobljene informacije so lahko ustrezen način za izpolnitev dvojne obveznosti glede natančnosti in popolnosti na eni strani ter razumljivosti na drugi strani. Informirana in posledično veljavna privolitev vsebuje najmanj (glej tudi uvodno izjavo 42 GDPR): identiteto upravljalca; konkretno opredeljen namen za vsako posamezno obdelavo, za katero je zahtevana posamezna privolitev; navedbo vrst osebnih podatkov, ki bodo zbrani in obdelovani; obstoj pravice do umika privolitve; pri izrecni privolitve (za kar ne gre v konkretni zadevi) pa še glede avtomatizirane obdelave ter obvestila posamezniku o morebitnih tveganjih pri prenosu osebnih podatkov v tretjo državo ali mednarodno organizacijo. V konkretni zadevi tožnica ni izkazala, da bi bil posameznik specificirano obveščen za namen vsakega od dejanj obdelave ter natančno glede tega, katera vrsta podatkov se bo zbirala in uporabila, na kar je opozorila že toženka, zato sodišče ugotavlja, da se že iz tega razloga ne more šteti, da bi bila zadevna privolitev informirana.

24.Privolitev je nedvoumna, če je dana z aktivnim dejanjem ali z izjavo. Očitno mora biti, da je posameznik privolil v določeno obdelavo. Da gre za jasno pritrdilno dejanje, mora posameznik, na katerega se nanašajo osebni podatki, izvesti premišljeno dejanje za privolitev v določeno obdelavo. Upravljalec mora tudi paziti, da privolitve ni mogoče pridobiti z istim dejanjem, kot je to treba za strinjanje s splošnimi pogoji storitve oz. za sprejetje pogodbe. Ker je bila v konkretni zadevi izjava o privolitvi vsebovana v pogodbi, je posameznik s soglašanjem s pogodbo moral nujno podati tudi izjavo o privolitvi, ki je bila vsebovana v 8. členu pogodbe (ki jo je nesporno vnaprej pripravila tožnica), s tem pa privolitev že zato ni bila nedvoumna, na kar je opozorila že toženka. V zvezi s tem v konkretni zadevi ne gre za tolmačenje, da bi pogodba A5/2 sicer veljala tudi brez 8. člena pogodbe po 15. členu OZ v zvezi z določbami 1012. - 1034. člena OZ, kar sicer drži, kot zatrjuje tožnica. Gre za to, da porok ni mogel skleniti navedene pogodbe A5/2, ne da bi hkrati podal tudi izjavo iz 8. člena te pogodbe, ki jo je vnaprej pripravila že tožnica. Drži, kot zatrjuje tožnica, da ni nujno, da mora biti privolitev podana v posebni listini, lahko je sicer del pogodbe, vendar mora biti na drugačen način razvidno, da privolitev ni nujna za sklenitev pogodbe. Tega pa tožnica ni izkazala, zato sodišče ugotavlja, da privolitev tudi ni bila nedvoumna.

25.Privolitev je nedvoumna, če je dana z aktivnim dejanjem ali z izjavo. Očitno mora biti, da je posameznik privolil v določeno obdelavo. Da gre za jasno pritrdilno dejanje, mora posameznik, na katerega se nanašajo osebni podatki, izvesti premišljeno dejanje za privolitev v določeno obdelavo. Upravljalec mora tudi paziti, da privolitve ni mogoče pridobiti z istim dejanjem, kot je to treba za strinjanje s splošnimi pogoji storitve oz. za sprejetje pogodbe. Ker je bila v konkretni zadevi izjava o privolitvi vsebovana v pogodbi, je posameznik s soglašanjem s pogodbo moral nujno podati tudi izjavo o privolitvi, ki je bila vsebovana v 8. členu pogodbe (ki jo je nesporno vnaprej pripravila tožnica), s tem pa privolitev že zato ni bila nedvoumna, na kar je opozorila že toženka. V zvezi s tem v konkretni zadevi ne gre za tolmačenje, da bi pogodba A5/2 sicer veljala tudi brez 8. člena pogodbe po 15. členu OZ v zvezi z določbami 1012. - 1034. člena OZ, kar sicer drži, kot zatrjuje tožnica. Gre za to, da porok ni mogel skleniti navedene pogodbe A5/2, ne da bi hkrati podal tudi izjavo iz 8. člena te pogodbe, ki jo je vnaprej pripravila že tožnica. Drži, kot zatrjuje tožnica, da ni nujno, da mora biti privolitev podana v posebni listini, lahko je sicer del pogodbe, vendar mora biti na drugačen način razvidno, da privolitev ni nujna za sklenitev pogodbe. Tega pa tožnica ni izkazala, zato sodišče ugotavlja, da privolitev tudi ni bila nedvoumna.

25.Glede na navedeno sodišče pritrjuje organu in toženki, da privolitev posameznika v konkretni zadevi ni bila prostovoljna, specifična, informirana in nedvoumna ter zato ni bila veljavna (pri čemer bi za ugotovitev njene neveljavnosti zadoščala že ugotovitev, da manjka ena od navedenih lastnosti privolitve). Posledično je organ ravnal pravilno, ko ni ugodil zahtevi tožnice po pridobivanju podatkov o TRR posameznika. Ker je torej odločitev toženke pravilna in na zakonu utemeljena, je sodišče tožbo na podlagi prvega odstavka 63. člena ZUS-1 kot neutemeljeno zavrnilo.

26.Glede na navedeno sodišče pritrjuje organu in toženki, da privolitev posameznika v konkretni zadevi ni bila prostovoljna, specifična, informirana in nedvoumna ter zato ni bila veljavna (pri čemer bi za ugotovitev njene neveljavnosti zadoščala že ugotovitev, da manjka ena od navedenih lastnosti privolitve). Posledično je organ ravnal pravilno, ko ni ugodil zahtevi tožnice po pridobivanju podatkov o TRR posameznika. Ker je torej odločitev toženke pravilna in na zakonu utemeljena, je sodišče tožbo na podlagi prvega odstavka 63. člena ZUS-1 kot neutemeljeno zavrnilo.

26.Sodišče je na podlagi prvega odstavka 59. člena ZUS-1 v zadevi odločilo brez glavne obravnave, saj dejansko stanje, na katerem temelji izpodbijana odločba, (to je predmet zahteve ter okoliščine, v katerih prosilka zahteva dostop do podatkov) med strankama v postopku ni sporno. Za odločitev o vloženi tožbi je sporna le razlaga in uporaba pravil materialnega prava, to je, ali 4., 6. in 7. člen GDPR in 8. člen ZVOP-1 predstavljajo podlago za posredovanje zahtevanih osebnih podatkov posameznika tožnici.

27.Sodišče je na podlagi prvega odstavka 59. člena ZUS-1 v zadevi odločilo brez glavne obravnave, saj dejansko stanje, na katerem temelji izpodbijana odločba, (to je predmet zahteve ter okoliščine, v katerih prosilka zahteva dostop do podatkov) med strankama v postopku ni sporno. Za odločitev o vloženi tožbi je sporna le razlaga in uporaba pravil materialnega prava, to je, ali 4., 6. in 7. člen GDPR in 8. člen ZVOP-1 predstavljajo podlago za posredovanje zahtevanih osebnih podatkov posameznika tožnici.

K II. točki izreka:

K II. točki izreka:

28.Odločitev o zahtevi tožnice za povrnitev stroškov postopka temelji na četrtem odstavku 25. člena ZUS-1, po katerem tožnica nosi sama svoje stroške postopka, kadar sodišče tožbo zavrne.

27.Odločitev o zahtevi tožnice za povrnitev stroškov postopka temelji na četrtem odstavku 25. člena ZUS-1, po katerem tožnica nosi sama svoje stroške postopka, kadar sodišče tožbo zavrne.

-------------------------------

-------------------------------

1Uredba (EU) 2016/679 Evropskega parlamenta in sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES.

1Uredba (EU) 2016/679 Evropskega parlamenta in sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES.

2Tako tudi Janez Čebulj, Komentar ZUP, 1. knjiga, str. 101.

2Tako tudi Janez Čebulj, Komentar ZUP, 1. knjiga, str. 101.

3Na internetnem naslovu: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/privolitev. Na njih temelji tudi praksa IP - glej npr. odločitev IP glede ustreznosti privolitve št. 07121-1/2024/454 z dne 16. 4. 2024: Privolitev posameznika v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov mora biti podana v skladu z določili 7. člena GDPR, med drugim mora biti dana z jasnim pritrdilnim dejanjem, kar pomeni, da posameznik prostovoljno, specifično, ozaveščeno in nedvoumno izrazi privolitev v obdelavo osebnih podatkov v zvezi z njim. Privolitev mora biti jasna in razumljiva in jo mora biti mogoče razlikovati od drugih zadev oz. izjav ter mora biti dana v razumljivi in preprosto dostopni obliki.

3Na internetnem naslovu: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/privolitev. Na njih temelji tudi praksa IP - glej npr. odločitev IP glede ustreznosti privolitve št. 07121-1/2024/454 z dne 16. 4. 2024: Privolitev posameznika v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov mora biti podana v skladu z določili 7. člena GDPR, med drugim mora biti dana z jasnim pritrdilnim dejanjem, kar pomeni, da posameznik prostovoljno, specifično, ozaveščeno in nedvoumno izrazi privolitev v obdelavo osebnih podatkov v zvezi z njim. Privolitev mora biti jasna in razumljiva in jo mora biti mogoče razlikovati od drugih zadev oz. izjav ter mora biti dana v razumljivi in preprosto dostopni obliki.

4Tako 1. in 3. točka uvoda, str. 4 in 5 Smernic.

4Tako 1. in 3. točka uvoda, str. 4 in 5 Smernic.

5Tako 13., 14 in 25. ter naslednje točke elementov veljavne privolitve, str. 7, 8, 10 in 11 Smernic.

5Tako 13., 14 in 25. ter naslednje točke elementov veljavne privolitve, str. 7, 8, 10 in 11 Smernic.

6Za privolitev se domneva, da ni dana prostovoljno, če proces za pridobitev privolitve posameznikom ne omogoča ločene privolitve za različna dejanja obdelave osebnih podatkov (npr. samo za nekatera dejanja obdelave, ne pa tudi za druga), čeprav bi bila v posameznem primeru ustrezna.

6Za privolitev se domneva, da ni dana prostovoljno, če proces za pridobitev privolitve posameznikom ne omogoča ločene privolitve za različna dejanja obdelave osebnih podatkov (npr. samo za nekatera dejanja obdelave, ne pa tudi za druga), čeprav bi bila v posameznem primeru ustrezna.

7Tako 42. - 44. točka elementov veljavne privolitve, str. 12 in 13 Smernic.

7Tako 42. - 44. točka elementov veljavne privolitve, str. 12 in 13 Smernic.

8Sodišče še pripominja, da se element prostovoljnosti privolitve sicer kaže tudi v tem, da je mogoče privolitev zavrniti ali preklicati brez škode (uvodna izjava 42 GDPR; tako 46. in naslednje točke elementov veljavne privolitve, str. 13 Smernic), česar sicer tožnica ni izkazala (navedeno ni vsebovano v 8. členu pogodbe, drugače pa tožnica niti ni zatrdila ne izkazala, pri čemer je iz tožničinih trditev jasno, da je izjava glede konkretne privolitve izključno vsebovana v 8. členu pogodbe, ne pa v kakšnem ločenem dokumentu).

8Sodišče še pripominja, da se element prostovoljnosti privolitve sicer kaže tudi v tem, da je mogoče privolitev zavrniti ali preklicati brez škode (uvodna izjava 42 GDPR; tako 46. in naslednje točke elementov veljavne privolitve, str. 13 Smernic), česar sicer tožnica ni izkazala (navedeno ni vsebovano v 8. členu pogodbe, drugače pa tožnica niti ni zatrdila ne izkazala, pri čemer je iz tožničinih trditev jasno, da je izjava glede konkretne privolitve izključno vsebovana v 8. členu pogodbe, ne pa v kakšnem ločenem dokumentu).

9Tako 55. in naslednje točke elementov veljavne privolitve, str. 14 Smernic.

9Tako 55. in naslednje točke elementov veljavne privolitve, str. 14 Smernic.

10Tako 61. točka elementov veljavne privolitve, str. 15 Smernic.

10Tako 61. točka elementov veljavne privolitve, str. 15 Smernic.

11Tako 64. ter 66. in naslednje točke elementov veljavne privolitve, str. 15 - 17 Smernic.

11Tako 64. ter 66. in naslednje točke elementov veljavne privolitve, str. 15 - 17 Smernic.

12Sodišče še pripominja, da kot že navedeno, pod okrilje informirane privolitve sodi tudi to, da ima posameznik pravico, da privolitev kadarkoli umakne oz. prekliče, o tej pravici ter o načinu preklica mora biti posameznik obveščen, še preden poda svojo privolitev. V konkretni zadevi niti iz 8. člena pogodbe niti iz drugih členov pogodbe A5/2 (nedvomno pa privolitev ni bila dana v posebni listini, saj tožnica vseskozi nasprotuje ugotovitvam toženke, da bi morala biti privolitev podana v posebni listini) ne izhaja, da bi bil posameznik informiran o pravici do umika oz. preklica svoje privolitve in o načinu takega preklica.

12Sodišče še pripominja, da kot že navedeno, pod okrilje informirane privolitve sodi tudi to, da ima posameznik pravico, da privolitev kadarkoli umakne oz. prekliče, o tej pravici ter o načinu preklica mora biti posameznik obveščen, še preden poda svojo privolitev. V konkretni zadevi niti iz 8. člena pogodbe niti iz drugih členov pogodbe A5/2 (nedvomno pa privolitev ni bila dana v posebni listini, saj tožnica vseskozi nasprotuje ugotovitvam toženke, da bi morala biti privolitev podana v posebni listini) ne izhaja, da bi bil posameznik informiran o pravici do umika oz. preklica svoje privolitve in o načinu takega preklica.

13Tako 75. ter naslednje točke elementov veljavne privolitve, str. 18 - 19 Smernic.

13Tako 75. ter naslednje točke elementov veljavne privolitve, str. 18 - 19 Smernic.

14Npr. na način, da bi tožnik v členu 8. pogodbe, ki jo je vnaprej pripravila tožnica, z dodatnim podpisom potrdil, da se strinja s podano izjavo za obdelavo svojih osebnih podatkov.

14Npr. na način, da bi tožnik v členu 8. pogodbe, ki jo je vnaprej pripravila tožnica, z dodatnim podpisom potrdil, da se strinja s podano izjavo za obdelavo svojih osebnih podatkov.

Zveza:

Zveza:

RS - Ustava, Zakoni, Sporazumi, Pogodbe

RS - Ustava, Zakoni, Sporazumi, Pogodbe

Zakon o varstvu osebnih podatkov (2004) - ZVOP-1 - člen 8

Zakon o varstvu osebnih podatkov (2004) - ZVOP-1 - člen 8

EU - Direktive, Uredbe, Sklepi / Odločbe, Sporazumi, Pravila

EU - Direktive, Uredbe, Sklepi / Odločbe, Sporazumi, Pravila

Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES - člen 4, 4/1, 4/1-11, 6, 7

Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES - člen 4, 4/1, 4/1-11, 6, 7

Pridruženi dokumenti:*

Pridruženi dokumenti:*

*Zadeve, v katerih je sodišče sprejelo vsebinsko enako stališče o procesnih oz. materialnopravnih vprašanjih.

*Zadeve, v katerih je sodišče sprejelo vsebinsko enako stališče o procesnih oz. materialnopravnih vprašanjih.