Uporaba javnih podatkov iz spletne strani

Datum

06.01.2026

Številka

07121-1/2025/1552

Kategorije

Pravne podlage, Svetovni splet

pri Informacijskem pooblaščencu (IP) smo prejeli vaše sporočilo, v katerem pojasnjujete, da ste razvili aplikacijo …., ki uporabniku omogoča, da si ogleda zgodovino cen na oglasu, objavljenem na portalu ….. Pojasnjujete, da ste aplikacijo poslali tudi lastnikom portala, če bi jim bila zanimiva, saj se je uporabnikom, s katerimi ste jo delili, zdela uporabna. Lastniki portala so vas obvestili, da je taka uporaba podatkov njihovega portala v nasprotju z njihovim pravnim obvestilom, ki je objavljeno na dotični spletni strani. Nadalje pojasnjujete, da se vam zbiranje javno dostopnih podatkov (»web scraping«), ne zdi sporen, ker gre za oglase, ki so javni (brez zahtevane prijave). Za delovanje aplikacije ne uporabljate osebnih podatkov, temveč le lastnosti oglasa in nekaj lastnosti prodajanega artikla. Zaprošate za mnenje IP.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Čeprav so določeni osebni podatki javno dostopni, to še ne pomeni, da izgubijo pravno naravo osebnega podatka in da se lahko neomejeno uporabljajo za kakršenkoli namen. Vsaka obdelava osebnih podatkov mora temeljiti na ustrezni pravni podlagi iz 6. in 9. člena Splošne uredbe.

IP za vprašanja avtorskega in pogodbenega prava ni pristojen.

Obrazložitev

Zajemanje podatkov, objavljenih na spletu, odpira različne pravne izzive, kot so npr. vprašanja varstva osebnih podatkov, avtorskega prava (vsebina spletnih mest, kot so besedila in slike, so pogosto avtorsko zaščitena) in pogodbenega prava (številna spletna mesta v svojih pogojih uporabe prepovedujejo kopiranje, ponovno poobjavljanje oziroma razširjanje informacij spletne strani). IP uvodoma podarja, da ni pristojen za vprašanja avtorskega in/ali pogodbenega prava. V skladu s svojimi pristojnostmi, IP lahko presoja zgolj zakonitost obdelave osebnih podatkov, pri čemer konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja tako ne more presojati skladnosti rešitve, ki ste jo na kratko opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov. Zato vam v nadaljevanju podaja splošna pojasnila in pravna izhodišča v zvezi z vašim vprašanjem.

Splošna uredba opredeljuje osebne podatke kot »katero koli informacijo v zvezi z določenim ali določljivim posameznikom«. Zajemanje podatkov, objavljenih na spletu, predstavlja pomembne izzive za varstvo osebnih podatkov, saj pogosto vključuje zbiranje osebnih podatkov, vključno s posebnimi kategorijami osebnih podatkov (t.i. občutljivimi osebnimi podatki). Dejstvo, da je osebni podatek javno objavljen ali dostopen javnosti, samo po sebi ne pomeni, da ta podatek preneha biti osebni podatek. Osebni podatek tudi po javni objavi ostaja osebni podatek v smislu člena 4(1) Splošne uredbe, zato se njegova nadaljnja obdelava lahko izvaja le ob spoštovanju pravil in načel Splošne uredbe, kot pojasnjeno v nadaljevanju.

Iz vašega zaprosila za mnenje sicer izhaja, da naj bi pri razvijanju aplikacije z omenjenega portala zbirali samo podatke/informacije, ki niso osebni podatki – torej podatke, ki ne omogočajo povezave z določenim ali določljivim posameznikom. Če to drži, bi to v konkretnem primeru pomenilo, da ne gre za obdelavo osebnih podatkov v smislu Splošne uredbe. Posledično se pravila varstva osebnih podatkov ne bi uporabljala. IP poudarja, da lahko identifikacija posameznika v določenih primerih poteka tudi posredno, brez poznavanja imena ali priimka osebe, če obstajajo drugi podatki ali kombinacije podatkov, ki omogočajo prepoznavo določljive osebe. Takšni podatki se zato še vedno lahko štejejo za osebne podatke v smislu člena 4(1) Splošne uredbe. Če bi se izkazalo, da obstaja možnost identifikacije posameznikov, tudi posredno, bi šlo za obdelavo osebnih podatkov, za katero se uporabljajo določbe Splošne uredbe in ZVOP-2.

Splošna uredba »obdelavo« opredeljuje kot katero koli dejanje v zvezi z osebnimi podatki, vključno z zbiranjem, beleženjem, urejanjem, shranjevanjem, spreminjanjem, pridobivanjem, uporabo in razširjanjem. Ker zajemanje spletnih podatkov vključuje te dejavnosti, se njegovi izvajalci štejejo za upravljavce osebnih podatkov. To pomeni, da morajo izpolnjevati obveznosti upravljavcev, vključno z zagotovitvijo zakonite podlage za obdelavo osebnih podatkov, zakonitega namena obdelave ter spoštovanjem načel preglednosti, najmanjšega obsega podatkov, omejitve shranjevanja, točnosti, varnosti, zaupnosti, celovitosti in odgovornosti.

Osebni podatki se lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe (privolitev, izvajanje pogodbe, zakonska obveznost, zakoniti interesi itn.). Ustrezna pravna podlaga je odvisna tudi od namena obdelave osebnih podatkov. V primeru zajemanja podatkov, objavljenih na spletu, privolitev najverjetneje ne more predstavljati veljavne pravne podlage za obdelavo osebnih podatkov, saj Splošna uredba zahteva, da je privolitev posameznikov, katerih osebni podatki se zbirajo, prostovoljna, konkretna, informirana in nedvoumna. Pridobitev takšne privolitve pa je v kontekstu avtomatiziranega in (pogosto) obsežnega zbiranja podatkov praktično nemogoča. Obdelava na podlagi pogodbene nujnosti zahteva neposredno pogodbeno razmerje med upravljavcem osebnih podatkov in posameznikom, na katerega se podatki nanašajo. Pri zajemanju spletnih podatkov takšnega razmerja s posamezniki, katerih podatki se zbirajo, običajno ni, zato ta pravna podlaga praviloma ni uporabna za utemeljitev dejavnosti zajemanja spletnih podatkov. Pri presoji zakonitega interesa za obdelavo osebnih podatkov mora upravljavec upoštevati tri ključna merila: obstoj zakonitega interesa, nujnost obdelave (zagotovitev, da so podatki ustrezni, relevantni in omejeni na nujno potrebne), ter tehtanje interesov. To zahteva skrbno presojo temeljnih pravic in svoboščin posameznikov v razmerju do zakonitih interesov upravljavca, ob upoštevanju razumnih pričakovanj posameznikov.

Poleg tega, kadar spletno zajemanje vključuje posebne vrste osebnih podatkov, kot so npr. podatki o zdravju, veljajo dodatne omejitve iz 9. člena Splošne uredbe. Te vključujejo zahtevo po izrecni privolitvi ali izpolnitev posebnih pogojev, kot je npr. obdelava zaradi bistvenega javnega interesa. Več o pravnih podlagah si lahko preberete na: https://upravljavec.si/kako-uporabljate-te-podatke/kratko-o-pravnih-podlagah/.

IP posebej opozarja, da pomemben in pogosto zapostavljen vidik predstavlja tudi obveščanje posameznikov o obdelavi osebnih podatkov. Upravljavec je v skladu z zahtevami 13. in 14. člena Splošne uredbe dolžan posameznike seznaniti z določenimi informacijami glede obdelave osebnih podatkov. Kadar osebni podatki niso pridobljeni neposredno od posameznika, jih mora upravljavec v skladu s členom 14(3)(a) Splošne uredbe zagotoviti najpozneje v enem mesecu. Te informacije morajo biti čim bolj jasne, pregledne in posameznikom razumljive ter lahko dostopne. IP je za pomoč upravljavcem pri obveščanju posameznikov glede obdelave osebnih podatkov pripravil posebno rubriko, ki je dostopna na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/obve%C5%A1%C4%8Danje-posameznikov-o-obdelavi-osebnih-podatkov. Na tej podstrani lahko najdete tudi vzorca obvestila posameznikom po 13. oziroma 14. členu Splošne uredbe.

Ob tem mora upravljavec poskrbeti tudi za ustrezno varnost uporabe rešitve in zavarovanje samih zbirk osebnih podatkov. Gre za organizacijske in tehnične ukrepe, ki jih določa Splošna uredba v 24., 25. in 32. členu. Dodatne informacije v zvezi z zavarovanjem osebnih podatkov so na voljo v smernicah IP, ki so dostopne na spletni strani IP: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_zavarovanju_OP.pdf

Lepo vas pozdravljamo.

Pripravila:

Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik, informacijska pooblaščenka

---

[1]Čeprav lahko zakoniti interes upravljavca ali tretje osebe kot pravna podlaga po Splošni uredbi upraviči zbiranje podatkov, če je zakoniti interes ustrezno izkazan in uravnotežen s pravicami posameznikov, je treba na ravni posameznega primera vzpostaviti celovite zaščitne ukrepe za zmanjšanje tveganj za posameznika.

[2]75. člen ZVOP-2 posebej ureja izjemo glede obveščanja posameznika, na katerega se nanašajo osebni podatki, v skladu s 13. in 14. členom Splošne uredbe, kadar so osebni podatki javni na podlagi zakona.