04.11.2026
07121-1/2026/1121
Moderne tehnologije, Neposredno trženje, nagradne igre, Ocene učinkov v zvezi z varstvom podatkov, Pravne podlage, Umetna inteligenca
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis v zvezi z uvedbo glasovnega agenta na osnovi umetne inteligence, ki bi za namene neposrednega trženja klical na poslovne številke, ki jih podjetja javno objavljajo v poslovnih registrih.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z osmim odstavkom 70. člena Uredbe (EU) 2024/1689 Evropskega parlamenta in Sveta z dne 13. junija 2024 o določitvi harmoniziranih pravil o umetni inteligenci in spremembi uredb (ES) št. 300/2008, (EU) št. 167/2013, (EU) št. 168/2013, (EU) 2018/858, (EU) 2018/1139 in (EU) 2019/2144 ter direktiv 2014/90/EU, (EU) 2016/797 in (EU) 2020/1828 (Akt o umetni inteligenci) in prvim odstavkom 10. člena Zakona o izvajanju uredbe (EU) o določitvi harmoniziranih pravil o umetni inteligenci (Uradni list RS, št. 85/25, ZIUDHPUI) ter v skladu s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim dopisom.
1.Vsaka obdelava osebnih podatkov – na primer vnos v orodje UI, hramba, posredovanje – mora izpolnjevati vsa pravila varstva osebnih podatkov. Večina komercialno dostopnih orodij UI je trenutno problematičnih najmanj iz vidika zagotavljanja varstva pravic posameznikov skladno s Splošno uredbo.
2.V skladu z načelom odgovornosti mora upravljavec izkazati ustrezno pravno podlago za obdelavo osebnih podatkov in uporabo ustreznih mehanizmov za zagotavljanje varstva osebnih podatkov.
3.Upravljavec mora v skladu s 13. členom Splošne uredbe posameznike obvestiti o nekaterih pomembnih vidikih obdelave njihovih osebnih podatkov, kot na primer glede identitete upravljavca, namena obdelave, roka hrambe in pravic, ki pripadajo posamezniku.
IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati zakonitosti obdelave osebnih podatkov v konkretnem primeru in skladnosti z Aktom o umetni inteligenci (v nadaljevanju: Akt o UI). Dokončno presojo zakonitosti obdelave osebnih podatkov in skladnosti z Aktom o UI lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku.
Uvodoma IP poudarja, da skladno z definicijo iz čl. 4(1) Splošne uredbe, pojem »osebni podatki« pomeni katere koli informacije v zvezi z določenim ali določljivim posameznikom. Določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika;
Telefonska številka je osebni podatek, če je posameznik preko nje določljiv – to bo takrat, ko jo bo na primer določen posameznik uporabljal kot svojo telefonsko številko. Nasprotno se telefonska številka ne bo štela kot osebni podatek, če gre za telefonsko številko pravne osebe (denimo podjetja v pravnoorganizacijski obliki s.p. ali d.o.o.), tj. ko z njo ne bo povezan določljiv posameznik v smislu Splošne uredbe. IP tako v nadaljevanju podaja mnenje le v delu, ki se nanaša na obdelavo telefonskih številk in vsebine telefonskih klicev, kjer ta pomeni obdelavo osebnih podatkov.
Kot je IP poudaril v Mnenju št. 07121-1/2026/581 z dne 15. 6. 2026 ter v Mnenju št. 07121-1/2026/946 z dne 05.10.2026, lahko v življenjskem ciklu sistema UI poteka ena ali več obdelav osebnih podatkov (na primer v fazi učenja modela UI, testiranja in kasnejše uporabe sistema UI). IP opozarja, da mora vsaka obdelava osebnih podatkov – na primer vsak vnos podatkov v orodje UI, hramba, posredovanje – izpolnjevati vsa pravila varstva osebnih podatkov. Temeljiti mora na zakoniti pravni podlagi, zagotovljene morajo biti pravice posameznikov, spoštovana temeljna načela in zagotovljena ustrezna varnost podatkov. Če so izpolnjeni vsi pogoji, potem je lahko obdelava osebnih podatkov dopustna. Kljub temu pa IP izpostavlja, da je večina komercialno dostopnih orodij UI trenutno problematičnih najmanj iz vidika zagotavljanja varstva pravic posameznikov skladno s Splošno uredbo.
IP ob tem opozarja na spoštovanje načela najmanjšega obsega podatkov, ki od upravljavcev zahteva, da so podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Če podatki niso potrebni za namen, ki ga zasleduje obdelava osebnih podatkov, jih upravljavec za ta namen ne sme obdelovati. Zbiranje in hramba osebnih podatkov »na zalogo« brez jasno določenega namena obdelave, ni dopustna. Nenazadnje pa se pri uporabi tujih komercialnih orodij UI zastavlja tudi vprašanje, ali se osebni podatki prenašajo v tretje države (zunaj EU), za kar je potrebna ločena pravna podlaga.
V zvezi z zapisanim IP pojasnjuje, da je v skladom z načelom odgovornosti naloga upravljavca, da izkaže ustrezno pravno podlago za obdelavo osebnih podatkov in uporabo ustreznih mehanizmov za zagotavljanje varstva osebnih podatkov.
Glede preglednosti obdelav osebnih podatkov IP pojasnjuje, da mora upravljavec, kadar pridobi osebne podatke od posameznika, ki se nanj nanašajo, v skladu s 13. členom Splošne uredbe posameznika obvestiti o nekaterih pomembnih vidikih obdelave njegovih osebnih podatkov, na primer glede identitete upravljavca, namena obdelave, roka hrambe in pravic, ki posamezniku pripadajo. Obseg informacij, ki jih mora upravljavec zagotoviti, je naveden v 13. členu Splošne uredbe.
Glede obveznosti priprave ocene učinkov IP pojasnjuje, da je v skladu s 35. členom Splošne uredbe ocena učinkov obvezna, če bi lahko vrsta obdelave, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov. Upravljavci jo pripravijo zlasti v primeru:
a)sistematičnega in obsežnega vrednotenja osebnih vidikov v zvezi s posamezniki, ki temelji na avtomatizirani obdelavi, vključno z oblikovanjem profilov, in je osnova za odločitve, ki imajo pravne učinke v zvezi s posameznikom ali nanj na podoben način znatno vplivajo;
b)obsežne obdelave občutljivih podatkov ali osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški, ali
c)obsežnega sistematičnega spremljanja javno dostopnega območja.
IP je že pripravil seznam obdelav, za katere je ocena učinkov obvezna. Glede na kriterije, ki sprožijo obveznost priprave ocene učinka, na primer masovno zbiranje podatkov, kombiniranje podatkov iz različnih podatkovnih zbirk, analitika na podlagi masovnih podatkov, inovativna raba novih tehnologij, obstaja velika verjetnost, da bo vsaj obdelava osebnih podatkov pri razvoju sistemov UI zahtevala pripravo ocene učinka. Več o varstvu osebnih podatkov na področju umetne inteligence si lahko preberete na spletni strani.
Kar zadeva vprašanje glede uporabe samodejnih klicnih in komunikacijskih sistemov za opravljanje klicev za namene neposrednega trženja, IP opozarja na 226. člen Zakona o elektronskih komunikacijah (Uradni list RS, št. 130/22, 18/23 – ZDU-1O in 40/25 – ZInfV-1, v nadaljevanju: ZEKom-2). IP pojasnjuje, da ni pristojen za nadzor nad izvrševanjem 226. člena ZEKom-2, zato tudi ni pristojen za dajanje mnenj glede uporabe tega člena. Za nadzor je v tem primeru skladno z 229. členom ZEKom-2 pristojna Agencija za komunikacijska omrežja in storitve Republike Slovenije (AKOS). Zato vam predlagamo, da se za mnenje obrnete na AKOS.
Dodatno IP opozarja tudi na obveznosti na podlagi novega Akta o umetni inteligenci (Uredba (EU) 2024/1689 Evropskega parlamenta in Sveta z dne 13. junija 2024 o določitvi harmoniziranih pravil o umetni inteligenci in spremembi uredb (ES) št. 300/2008, (EU) št. 167/2013, (EU) št. 168/2013, (EU) 2018/858, (EU) 2018/1139 in (EU) 2019/2144 ter direktiv 2014/90/EU, (EU) 2016/797 in (EU) 2020/1828, v nadaljevanju: Akt o UI).
Ponudniki sistemov UI morajo skladno s prvim odstavkom 50. člena Akta o umetni inteligenci zagotoviti, da so sistemi UI, ki so namenjeni neposredni interakciji s fizičnimi osebami, zasnovani in razviti tako, da so zadevne fizične osebe obveščene, da so v interakciji s sistemom UI, razen če je to očitno z vidika razmeroma dobro obveščene, pozorne in preudarne fizične osebe ob upoštevanju okoliščin in konteksta uporabe. Za nadzor nad izvajanjem obveznosti iz te določbe je prav tako pristojna AKOS.
V upanju, da ste prejeli odgovore na vaša vprašanja vas lepo pozdravljamo,
dr. Jelena Virant Burnik Informacijska pooblaščenka