Kontaktiranje udeležencev webinarjev

Datum

04.09.2025

Številka

07120-1/2025/374

Kategorije

Neposredno trženje, nagradne igre, Privolitev, Varnost osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da bi želeli poklicati udeležence webinarjev zaradi raziskave trga na podlagi njihove privolitve za marketinške aktivnosti. Sprašujete:

-ali morate voditi dnevnik obdelave osebnih podatkov (klicanje se ne bo izvajalo avtomatizirano);

-ali je dovolj, da se v dnevnikih obdelave v sistemih beleži revizijska sled pri avtomatizirani obdelavi, kjer je točno zabeleženo, kdo je dostopal, kdaj je dostopal, koliko časa se je 'zadrževal', kaj je počel z osebnimi podatki (npr. obračun plač, opomini, obdelava vlog na razpise, ...) ali je potrebna še ročna zabeležka, saj je bilo na enem izmed izobraževanj rečeno, da revizijska sled ni dovolj;

-ali je za izvajanje marketinških aktivnosti potrebna privolitev, če so telefonske številke objavljene na spletu (npr. kmetje, s.p.-ji),

-če se zbirajo telefonske številke in e-naslovi na podlagi priporočil prijaviteljev, ali je to sploh dovoljeno in kakšna je pravna podlaga?

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22 in 40/25 – ZInfV-1, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Skladno s prvim odstavkom 22. člena ZVOP-2 upravljavci vodijo dnevnik obdelave, kadar se v avtomatiziranih sistemih obdelave osebnih podatkov izvajajo obsežne obdelave posebnih vrst osebnih podatkov, ali kadar gre za redno in sistematično spremljanje posameznikov, ali kadar je z oceno učinka ugotovljeno tveganje, ki ga je mogoče učinkovito upravljati z vodenjem dnevnika obdelave, ali če tako določa zakon. ZVOP-2 izrecno ne določa načina vodenja dnevnikov obdelav. Ali je v konkretnem primeru treba voditi dnevnik obdelave in na kakšen način, mora presoditi upravljavec sam, v mnenju pa vam lahko podamo zgolj napotila.

V zvezi z uporabo kontaktnih podatkov pojasnjujemo, da mora za vsako obdelavo osebnih podatkov obstajati ustrezna pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe, npr. privolitev posameznikov. Vsekakor uporaba kontaktov, ki so bili posredovani s strani prijateljev, ne more zadostiti zahtevi po privolitvi posameznika, zato vam predlagamo, da teh kontaktov ne zbirate oz. nadalje obdelujete, oz. da zagotovite drugo ustrezno pravno podlago. Če gre v vašem primeru dejansko za neposredno trženje, morate upoštevati tudi 226. člen Zakona o elektronskih komunikacijah (ZEKom-2).

V kolikor gre za že javno objavljene kontakte (npr. organizacija na svoji spletni strani objavi osebne podatke svojih zaposlenih), pa IP pojasnjuje, da je podatek dopustno uporabiti za izvajanje neposrednega trženja, če je to v skladu s samim namenom javne objave organizacije. Ob kontaktiranju je treba posameznika opozoriti tudi na pravico do ugovora po 21. členu Splošne uredbe.

Obrazložitev

Pri tem IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Skladno s prvim odstavkom 22. člena ZVOP-2 upravljavci vodijo dnevnik obdelave, kadar se v avtomatiziranih sistemih obdelave osebnih podatkov izvajajo obsežne obdelave posebnih vrst osebnih podatkov, ali kadar gre za redno in sistematično spremljanje posameznikov, ali kadar je z oceno učinka ugotovljeno tveganje, ki ga je mogoče učinkovito upravljati z vodenjem dnevnika obdelave, ali če tako določa zakon, o naslednjih dejanjih obdelave osebnih podatkov: zbiranje, spreminjanje, vpogled, razkritje, vključno s prenosi, izbris ter druga dejanja obdelave, ki jih določa zakon.

IP pojasnjuje, da določba 22. člena ZVOP-2 dejansko predstavlja beleženje dostopov do osebnih podatkov, oz. sledljivost in na podlagi navedene določbe meni, da se (tako kot je podobno v zvezi s sledljivostjo veljalo v ZVOP-1) obveznost nanaša na posamezne obdelave osebnih podatkov, glede katerih je treba voditi dnevnik obdelave. Če presodite, da je izpolnjen kateri od pogojev – v avtomatiziranem sistemu obdelave se izvajajo obsežne obdelave posebnih vrst osebnih podatkov; gre za redno in sistematično spremljanje posameznikov; z vodenjem dnevnikom obdelave je mogoče učinkovito upravljati s tveganjem, ugotovljenim z oceno učinka, ali pa če tako določa zakon, potem je glede te konkretne obdelave treba voditi dnevnik obdelave. Pojma »redno in sistematično spremljanje posameznikov« Splošna uredba ne opredeljuje, lahko pa več pojasnil o tem preberete v Smernicah EDPB o pooblaščenih osebah za varstvo podatkov, na strani 9. V smernicah so navedeni primeri dejavnosti, ki se lahko štejejo za redno in sistematično spremljanje posameznikov, na katere se nanašajo osebni podatki, med njimi npr. tudi ponovno ciljanje prek e-pošte, dejavnosti trženja, ki temeljijo na podatkih, oblikovanje profilov, itd. Prav tako lahko podrobnejša pojasnila o tem lahko preberete v že izdanem mnenju IP št. 07121-1/2024/415 z dne 11. 4. 2024.

IP izven konkretnega nadzornega ali drugega upravnega postopka ne more presojati, ali je v primeru, ki ga navajate v vašem zaprosilu za mnenje, obvezno vodenje dnevnika obdelave, poudarja pa, da bi moral zgoraj navedene kriterije primarno presoditi upravljavec. ZVOP-2 tudi izrecno ne določa načina vodenja dnevnikov obdelav. Če se npr. določeni osebni podatki vodijo v elektronski evidenci, se načeloma da zabeležiti oziroma naknadno razbrati, npr. kdaj je bil določen osebni podatek vnesen v zbirko osebnih podatkov oziroma zabeležen (in je ta način nedvomno bolj zanesljiv kot ročna zabeležka).

Dodajamo tudi, da mora upravljavec prav tako skladno s šestim odstavkom 41. člena ZVOP-2 za vsako posredovanje osebnih podatkov zagotoviti možnost poznejše ugotovitve, kateri osebni podatki so bili posredovani, komu, kdaj in na kateri pravni podlagi, za kateri namen oziroma iz katerih razlogov oziroma za potrebe katerega postopka, razen če drug zakon za posredovanje posameznih vrst podatkov določa drugače oziroma je to razvidno iz dnevnika obdelave po 22. členu ZVOP-2 (gre za t.i. »zunanjo sledljivost«).

V zvezi z vašim tretjim in četrtim vprašanjem vam pojasnjujemo, da mora za vsako obdelavo osebnih podatkov obstajati ustrezna pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe, npr. privolitev posameznikov. Privolitev mora biti prostovoljna, specifična, informirana in nedvoumna. Za vsak namen obdelave mora biti podana ločena privolitev, zato vam predlagamo, da preverite, na kaj se obstoječa privolitev nanaša. Več o privolitvi lahko preberete na spletnih straneh IP. Vsekakor uporaba kontaktov, ki so bili posredovani s strani prijateljev, ne more zadostiti zahtevi po privolitvi posameznika, zato vam predlagamo, da teh kontaktov ne zbirate oz. nadalje obdelujete, oz. da zagotovite drugo ustrezno pravno podlago. Iz vašega vprašanja ni povsem jasno, ali gre dejansko za opravljanje raziskave trga ali celo za izvajanje neposrednega trženja. Če gre v vašem primeru za opravo neposrednega trženja, morate upoštevati tudi relevantne določbe Zakona o elektronskih komunikacijah (ZEKom-2). Izvajanje neposrednega trženja z uporabo govornih telefonskih klicev je primarno urejeno v 226. členu ZEKom-2, ki določa, da je opravljanje telefonskih klicev z namenom neposrednega trženja fizični osebi dovoljeno le s soglasjem naročnika ali uporabnika oz. pod določenimi pogoji, če so podatki objavljeni v javnem imeniku (217. člen ZEKom-2). Zavrnitev soglasja mora biti za zadevnega naročnika ali uporabnika brezplačna. Posameznik lahko skladno s tretjim odstavkom 217. člena ZEKom-2 prepove uporabo svojih osebnih podatkov za klice, ki imajo komercialni ali raziskovalni namen, to prepoved pa morajo pravne ali fizične osebe, ki opravljajo klice, ki imajo komercialni ali raziskovalni namen, ob posameznem klicu upoštevati. Nadzor nad izvajanjem 217. in 226. člena ZEKom-2 je v pristojnosti Agencije za komunikacijska omrežja in storitve RS.

Če gre npr. za splošne kontakte podjetij, v tem primeru ne gre za obdelavo osebnih podatkov in se Splošna uredba ne uporablja. V kolikor pa gre za poprej javno objavljene kontakte posameznikov, npr. seznam zaposlenih, pa IP pojasnjuje, da je podatek dopustno uporabiti za izvajanje neposrednega trženja, če je to v skladu s samim namenom javne objave organizacije. Ob tem IP opozarja še, da morate v vsaki komunikaciji, ki je namenjeno neposrednemu trženju, posameznika opozoriti na pravico do ugovora po 21. členu Splošne uredbe, ki v drugem odstavku določa, da kadar se osebni podatki obdelujejo za namene neposrednega trženja, ima posameznik, na katerega se nanašajo osebni podatki, pravico, da kadarkoli ugovarja obdelavi osebnih podatkov v zvezi z njim za namene takega trženja, vključno z oblikovanjem profilov, kolikor je povezano s takim neposrednim trženjem.

Če je za vas relevantno, opozarjamo tudi na določbo 93. člena ZVOP-2 kot posebno pravno podlago, ki ureja uporabo kontaktnih podatkov za določene namene, npr. organiziranje izobraževanj, usposabljanj, dogodkov, itd. (ki pa ne bo prišla v poštev, če gre v vašem primeru za neposredno trženje, oz. raziskavo trga). Več o tem lahko preberete v že izdanem mnenju IP št. 07121-1/2023/396 z dne 24. 3. 2023.

Upamo, da smo vam s podanimi napotili uspeli pomagati.

dr. Jelena Virant Burnik,

informacijska pooblaščenka

Pripravila:

Barbara Žurej, univ. dipl. prav.,

svetovalka pooblaščenca za preventivo

---

[1]Smernice so dostopne (tudi v slovenskem jeziku) na povezavi: https://ec.europa.eu/newsroom/article29/items/612048.

[2]https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/privolitev

[3]Uradni list RS, št. 130/22 in 18/23 – ZDU-1O.