Posredovanje podatkov o zgodovini vozila novemu lastniku

Datum

15.05.2023

Številka

07121-1/2023/647

Kategorije

Posredovanje osebnih podatkov

Informacijski pooblaščenec RS (v nadaljevanju IP) prejel vaše zaprosilo za mnenje, kjer sprašujete: Ali lahko pooblaščen serviser preda celotno zgodovino vozila (servisi, popravila, tehnični podatki) trenutnemu lastniku vozila? Ali je lahko v tem primeru podlaga za posredovanje zakoniti interes, ki ga izkaže trenutni lastnik? Ali bi lahko v primeru, ko obstaja zgolj digitalna servisna knjižica, šteli, da je prenos zgodovine vozila del kupoprodajne pogodbe ob prenosu lastništva, podobno kot npr. v primeru prenosa servisne knjižice, ki je v fizični obliki?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, v nad. ZVOP-2) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanjem. IP v okviru neobvezujočega mnenja ne more presojati zakonitosti konkretnih obdelav osebnih podatkov. Slednje lahko stori le v ustreznem inšpekcijskem ali drugem upravnem postopku.

Podatki o zgodovini vozila, kot so servisi, popravila in morebitni tehnični podatki, ki se zbirajo ob uporabi vozila, so osebni podatki, kadar jih je mogoče povezati s fizično osebo (tako IP v svojih mnenjih, podobno izhaja tudi sodne prakse sodišča EU in smernic Evropskega odbora za varstvo osebnih podatkov). Če upravljavec nima dovolj podatkov ali je bil prejšnji lastnik oziroma uporabnik vozila fizična oseba, velja iz previdnosti podatke o zgodovini vozila obravnavati kot osebne podatke.

Pri posredovanju podatkov o zgodovini vozila novemu lastniku je treba najprej poudariti, da gre praviloma za posredovanje osebnih podatkov tretjim osebam. Po prvem odstavku 40. člena ZVOP-2 osebe zasebnega sektorja posredujejo osebne podatke drugim fizičnim ali pravnim osebam ali osebam javnega sektorja samo na podlagi zahteve iz prvega odstavka 41. člena tega zakona, iz katere izhaja veljavna pravna podlaga za pridobitev podatkov in utemeljenost zahteve, razen če zakon določa drugače.

Postopek odločanja o zahtevi za posredovanje osebnih podatkov ureja 41. člen ZVOP-2. Ta določa:

1. Če drug zakon ne določa drugače, zahteva za posredovanje osebnih podatkov vsebuje naslednje podatke:

(1.) podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

(2.) pravno podlago za pridobitev zahtevanih osebnih podatkov;

(3.) namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

(4.) predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

(5.) vrste osebnih podatkov, ki naj se mu posredujejo;

(6.) obliko in način pridobitve zahtevanih osebnih podatkov.

2. Upravljavec vlagatelju zahteve, če drug zakon ne določa drugače, zahtevane osebne podatke posreduje najpozneje v 15 dneh od prejema popolne zahteve ali pa ga v tem roku pisno obvesti o razlogih, zaradi katerih mu zahtevanih osebnih podatkov ne bo posredoval. Upravljavec in vlagatelj zahteve se v roku iz prejšnjega stavka lahko dogovorita za njegovo podaljšanje.

3. Če upravljavec ne ravna v skladu s prejšnjim odstavkom, se šteje, da je zahteva zavrnjena.

4. Če je zahteva za posredovanje osebnih podatkov delno ali v celoti zavrnjena, lahko vlagatelj zahteve v primeru, ko se zahteva nanaša na posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig, zahteva, da o njegovi vlogi najprej odloči nadzorni organ. Kadar ta zavrne zahtevo ali kadar na prvi stopnji odloča nadzorni organ sam, lahko vlagatelj zahteva sodno varstvo, o katerem odloča pristojno sodišče v skladu z zakonom, ki ureja upravni spor. V primeru zavrnitve zahteve za posredovanje osebnih podatkov iz zbirk, ki niso uradne evidence ali javne knjige, lahko vlagatelj zahteva sodno varstvo, o katerem odloča sodišče s splošno pristojnostjo v skladu z zakonom, ki ureja nepravdni postopek.

IP je v nekaterih svojih postopkih že preverjal skladnost obdelave osebnih podatkov s strani pooblaščenih servisov in generalnih distributerjev vozil, kjer je bilo ugotovljeno, da so podatki v zvezi z vozili razporejeni v več zbirk, ki jih vodijo različni upravljavci in za različne namene. Pri pooblaščenih servisih ne obstaja enotni sistem »digitalne servisne knjige«, temveč so sistemi različni tudi glede na znamko vozil in ponudbo storitev generalnih distributerjev in proizvajalcev. Odnosi glede obdelave osebnih podatkov so med različnimi deležniki urejeni s pogodbami o obdelavi osebnih podatkov v skladu s členom 28 Splošne uredbe in sporazumi ali pogodbami o skupnem upravljanju v skladu s členom 26 Splošne uredbe. Glede na razpršenost zbirk in različnost sistemov ter funkcionalnosti ni mogoče enostavno zaključiti, kdaj so v konkretnem primeru izpolnjeni vsi pogoji za pridobitev podatkov. Ali bi smel novi lastnik pridobiti konkretne podatke o vozilu in do katerih podatkov bi bil upravičen, je mogoče odločati le v okviru konkretnega postopka, upoštevaje vse okoliščine zadeve (npr. pri katerem upravljavcu se podatke zahteva, iz katere zbirke, do katerih podatkov se dostop dovoli). Podrobnejše informacije o obdelavi osebnih podatkov s strani posameznega servisa bi morale izhajati iz informacij o obdelavi osebnih podatkov, ki jih ima servis pripravljene v skladu s členi 13 in 14 Splošne uredbe. Kot že navedeno je postopek za pridobivanje podatkov v zasebnem sektorju predpisal ZVOP-2 v 40. in 41. členu in predvidel tudi sodno varstvo v nepravdnem postopku (IP torej ni pristojen za odločanje o pritožbi glede zahteve za posredovanje podatkov o zgodovini vozila iz zbirk pooblaščenih servisov – gl. četrti odstavek 41. člena ZVOP-2).

Glede na zgoraj navedeno IP lahko poda le splošne napotke za uporabo ustrezne pravne podlage, ki se lahko izkazuje v ustreznem postopku. Za posredovanje podatkov o zgodovini vozila novemu lastniku, bi lahko prišla v poštev katerakoli pravna podlaga iz člena 6(1) (a – f) Splošne uredbe. Podlage so med seboj prirejene (nima ena prednosti pred drugo). Izbira in izkazovanje pravne podlage je odgovornost upravljavca osebnih podatkov.

V svojem vprašanju izpostavljate pravni podlagi po točki (b) – „potrebno za izvajanje pogodbe, sklenjene s posameznikom“ in po točki (f) – „potrebno v zakonitem interesu upravljavca ali tretje osebe“.

GLEDE PODLAGE PO ČLENU 6(1)(b) Podlaga po točki (b) Splošne uredbe se IP ne zdi primerna pravna podlaga za posredovanje osebnih podatkov, kolikor bi pooblaščeni servis utemeljeval podlago za posredovanje podatkov kot „potrebno za izvajanje kupoprodajne pogodbe o nakupu vozila“. Kupoprodajna pogodba namreč predstavlja podlago za prenos lastništva na vozilu. Za izpolnitev tega pogodbenega namena (kavza pogodbe je nakup vozila), ni treba omogočiti tudi dostopa do podatkov o zgodovini vozila. Zato takšno posredovanje podatkov strogo ni „potrebno za izvajanje pogodbe“. Ko servis ne nastopa v vlogi kupca ali prodajalca, pa se servis tudi ne more naslanjati na podlago po členu 6(1)(b), saj podlaga temelji na upravičenju pogodbenih strank.

GLEDE PODLAGE PO ČLENU 6(1)(f) Po drugi strani upravičenost lastnika (in/ali uporabnika vozila), da se seznani s podatki o zgodovini vozila, lahko predstavlja njegov zakoniti interes; na primer interes, da uporabnik/lastnik izve, ali je bil avto redno servisiran in katere storitve so bile opravljene na njegovem vozilu, ker je to potrebno za prepričanost o lastnostih avtomobila zaradi varne uporabe v prometu. Iz tega vidika je podlaga po členu 6(1)(f) Splošne uredbe primernejše izhodišče za ugotovitev upravičenosti do podatkov o zgodovini vozila, ki se ugotavlja upoštevaje vse konkretne okoliščine primera – zato IP v mnenju ne more dokončno ugotavljati izpolnjevanja pogojev zakonitega interesa v skladu s členom 6(1)(f) Splošne uredbe za konkretni primer. Ob tem pa IP opozarja na posamezne obveznosti po Splošni uredbi, ki jih velja upoštevati pri ugotavljanju upravičenosti posredovanja na podlagi člena 6(1)(f) Splošne uredbe:

- načelo najmanjšega obsega podatkov (člen 5(1)(c) Splošne uredbe) – kolikor je to potrebno za izkazan zakoniti interes bi bil novi lastnik na primer lahko upravičen do podatkov o opravljenih servisih, popravilih ipd., ne pa tudi do osebnih podatkov, kdo vse so bili pretekli lastniki in njihovi kontaktni podatki, če bi servis s temi podatki razpolagal (kolikor to ni potrebno za izkazan zakoniti interes).

- ustrezno informiranje posameznikov, na katere se osebni podatki nanašajo (členi 12 – 14 Splošne uredbe). Preglednost obdelave osebnih podatkov je bistven element za izkazovanje skladnosti, ki utrjuje pravno podlago zakonitega interesa po členu 6(1)(f) Splošne uredbe. Kot navedeno zgoraj, prenos podatkov o tehnični zgodovini vozila ni potreben za nakup (podlaga po členu 6(1)(b) Splošne uredbe ni primerna pravna podlaga). Kljub temu, bi se kot dobra praksa lahko štelo, da se v kupoprodajno pogodbo vključi določilo, da se „s prodajo na kupca prenašajo tudi upravičenja do seznanitve z vsemi podatki o tehničnih lastnostih in popravilih vozila v času pred nakupom“. Takšna določba v kupoprodajni pogodbi bi izkazovala obveščenost o dejstvu in obsegu predvidene obdelave (posredovanje podatkov), kar bi lahko ključno prispevalo k preglednosti posredovanja osebnih podatkov.

Opozoriti je treba tudi, da če servis ugotovi, da je lastnik ali uporabnik upravičen do podatkov o zgodovini vozila mora za posredovanje osebnih podatkov zagotoviti tudi sledljivost posredovanja v skladu s šestim odstavkom 41. člena ZVOP-2 (Upravljavec za vsako posredovanje osebnih podatkov zagotovi možnost poznejše ugotovitve, kateri osebni podatki so bili posredovani, komu, kdaj in na kateri pravni podlagi, za kateri namen oziroma iz katerih razlogov oziroma za potrebe katerega postopka, razen če drug zakon za posredovanje posameznih vrst podatkov določa drugače oziroma je to razvidno iz dnevnika obdelave po 22. členu tega zakona.) Revizijsko sled posredovanja podatkov mora servis hraniti 2 leti od dneva posredovanja, po tem pa revizijsko sled izbrisati (sedmi odstavek 41. člena ZVOP-2).

Upamo, da smo vam s svojim mnenjem uspeli pomagati.

Lep pozdrav,

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka

Pripravil:

Anže Novak, univ. dipl. prav.

Državni nadzornik za varstvo osebnih podatkov

---

[1]Glej npr. mnenje št. 07121-1/2022/1339 z dne 6.12.2022 idr.

[2]Sodba C-175/20

[3]Guidelines 1/2020 on processing personal data in the context of connected vehicles and mobility related applications« - odstavek 28, dostopne na: https://edpb.europa.eu/our-work-tools/documents/public-consultations/2020/guidelines-12020-processing-personal-data_en.

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Osebni podatki morajo biti ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo („najmanjši obseg podatkov“);