Klub zvestobe in obdelava osebnih podatkov otrok brez soglasja zakonitih zastopnikov

Datum

12.02.2024

Številka

07121-1/2024/140

Kategorije

Neposredno trženje, nagradne igre, Obdelava osebnih podatkov otrok in mladoletnih, Privolitev

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem sprašujete, ali je zakonito, da trgovec prek določenega kluba članov zbira podatke o otrocih, ki niso neposredni potomci članov tega kluba. Klub je namreč namenjen tudi stricem, tetam, babicam, dedkom itd. Pojasnjujete, da se skladno s politiko varstva osebnih podatkov v omenjenem klubu zbira podatke o imenu, spolu, rojstva otroka; ne pa tudi o sorodstvenem razmerju, vendar je to še vedno določljivo. Poleg tega se za posredovanje podatkov nečakov/vnukov ne zahteva nikakršno soglasje zakonitih zastopnikov, zaradi česar se sprašujete o zakonitosti.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavec mora zagotoviti, da ima za obdelavo osebnih podatkov ustrezno privolitev (glede na to, da v splošnih pogojih pojasnjuje, da je pravna podlaga za obdelavo osebnih podatkov privolitev posameznika), in sicer ne glede na to, kdo je uporabnik aplikacije oziroma član njegovega kluba zvestobe. Če gre za osebne podatke otroka, ki ni privolitveno sposoben, mora biti za obdelavo osebnih podatkov načeloma podana privolitev njegovih zakonitih zastopnikov ali skrbnikov. Upravljavec mora biti sposoben dokazati obstoj privolitve.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče:

-privolitev (točka a)),

-sklenitev ali izvajanje pogodbe (točka b)),

-zakonska obveznost (točka c)),

-zaščita življenjskih interesov posameznika (točka d)),

-izvajanje javne naloge (točka e) v zvezi s četrtim odstavkom 6. člena ZVOP-2),

-zakoniti interesi upravljavca, če ne prevladajo interesi in pravice oz. svoboščine posameznika (točka f)).

Iz splošnih pogojev kluba zvestobe, glede katerega sprašujete, je navedeno, da je pravna podlaga za obdelavo osebnih podatkov privolitev sodelujočih, ki ob prijavi prek aplikacije označijo, da soglašajo s splošnimi pogoji in politiko varstva osebnih podatkov.

IP v mnenju ne more in ne sme analizirati konkretnih splošnih pogojev in politike varstva, prav tako se v mnenju ne moremo opredeliti do vprašanja zakonitosti konkretnih obdelav. Takšno presojo namreč lahko opravimo izključno znotraj ustreznega nadzornega postopka, v katerem se pridobijo vsi dokazi in razčistijo vse okoliščine ter udeležencem zagotovijo vse procesne pravice, ki jim gredo po zakonodaji.

Na splošno pa lahko komentiramo, da mora biti (če se upravljavec sklicuje na pravno podlago iz točke (a) prvega odstavka 6. člena Splošne uredbe – privolitev) privolitev skladno z 11. točko 4. člena Splošne uredbe ter uvodno izjavo 32 in 42 Splošne uredbe:

·prostovoljna,

·konkretna,

·informirana,

·nedvoumna in

·dana z izjavo ali jasnim pritrdilnim ravnanjem, s katerim posameznik izrazi strinjanje

·dokazljiva.

Privolitev v obdelavo osebnih podatkov otrok po določbah Družinskega zakonika za poslovno nesposobnega ali omejeno sposobnega otroka dajejo zakoniti zastopniki ali skrbniki.

IP meni, da mora upravljavec, ne glede na to, kdo je uporabnik aplikacije oziroma član njegovega kluba zvestobe, zagotoviti, da ima za obdelavo osebnih podatkov ustrezno privolitev posameznika ali, v kolikor ta ni privolitveno sposoben, njegovega zakonitega zastopnika ali skrbnika. Ker mora biti obstoj privolitve dokazljiv, mora upravljavec sprejeti ustrezne ukrepe, da lahko obstoj takšnih privolitev dokaže.

Če pa upravljavec osebne podatke otrok, ki jih vnesejo druge osebe kot zakoniti zastopniki ali skrbniki, obdeluje na kateri drugi pravni podlagi, bi to moral ustrezno pojasniti v splošnih pogojih ali na drug način, kjer podaja nujno potrebne informacije za posameznike.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov