Zahtevani podatki ob ureditvi svetil na vozilu

Datum

01.08.2023

Številka

07121-1/2023/1014

Kategorije

Informiranje posameznika, Pravne podlage, Rok hrambe OP, Trgovinska dejavnost

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Navajate, da se vam zdi obseg zahtevanih podatkov, ki jih izvajalec zahteva ob menjavi žarnice na vozilu, povsem nesorazmeren in neprimeren, pri čemer nikjer ne piše, koliko časa bo te podatke hranil. Zanima vas, če je to ustrezno. Prilagate tudi delovni nalog.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Obdelava osebnih podatkov s strani izvajalca določene storitve (na primer ob ureditvi svetil na vozilu) bi bila lahko utemeljena na točki b) prvega odstavka 6. člena Splošne uredbe. Skladno s to določbo je obdelava zakonita, če je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe. Na tej podlagi pa se lahko obdelujejo le tisti podatki, ki so objektivno potrebni za izvedbo konkretne pogodbe, česar IP za konkretni primer v mnenju ne more presojati.

Upravljavec mora posameznika ob pridobivanju osebnih podatkov obvestiti o določenih informacijah v zvezi z obdelavo, med drugim o pravni podlagi in namenu obdelave, uporabnikih ter roku hrambe osebnih podatkov, kot to določa 13. člen Splošne uredbe. Naknadno ima posameznik po 15. členu Splošne uredbe tudi pravico dostopa do osebnih podatkov, ki se nanašajo nanj.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da v okviru mnenja ne more presojati zakonitosti konkretnega ravnanja določenega upravljavca osebnih podatkov, saj bi to lahko storil le v okviru v okviru nadzornega postopka. Zato vam v nadaljevanju podaja splošna pojasnila in pravna izhodišča v zvezi z vašim vprašanjem.

Vsak upravljavec (to je v konkretnem primeru izvajalec storitve) mora imeti za obdelavo osebnih podatkov, denimo za njihovo pridobivanje, hrambo ali drugačno uporabo, zakonito pravno podlago. Po prvem odstavku 6. člena ZVOP-2 se lahko osebni podatki obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe (privolitev, izvajanje pogodbe, zakonska obveznost itn.). Ustrezna pravna podlaga je odvisna tudi od namena obdelave osebnih podatkov. Več o pravnih podlagah si lahko preberete na: https://upravljavec.si/kako-uporabljate-te-podatke/kratko-o-pravnih-podlagah/.

V primeru, ki ga opisujete, bi bila lahko pravna podlaga za obdelavo osebnih podatkov podana v točki b) prvega odstavka 6. člena Splošne uredbe. Ta določa, da je obdelava zakonita, če je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe. Izbira ustrezne pravne podlage za obdelavo osebnih podatkov, upoštevajoč konkretne okoliščine in namen obdelave, je obveznost upravljavca.

Pri oceni, ali je točka b) prvega odstavka 6. člena Splošne uredbe ustrezna pravna podlaga za obdelavo v okviru pogodbene storitve, je treba upoštevati predvsem namen ali cilj storitve. Za uporabo te pravne podlage mora biti obdelava objektivno potrebna (ne zgolj koristna) za namen, ki je sestavni del pogodbene storitve, tj. za dosego glavnega predmeta in temeljnega cilja pogodbe. Upravljavec pa mora biti zmožen dokazati, da glavnega predmeta konkretne pogodbe s posameznikom, na katerega se nanašajo osebni podatki, dejansko ni mogoče izpolniti brez specifične obdelave osebnih podatkov.

V primeru servisa vozila oziroma v konkretnem primeru, ureditve svetil na vozilu, so določeni podatki o naročniku in vozilu, ki izhajajo iz priloženega delovnega naloga, najverjetneje objektivno potrebni za izvedbo storitve. Upravljavec mora ob tem spoštovati tudi načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Ali so vsi zahtevani osebni podatki, kot izhaja iz delovnega naloga, potrebni za izvedbo pogodbe ter ali je konkretna obdelava skladna z načelom najmanjšega obsega podatkov, IP v mnenju ne more presojati; to je dolžan v prvi vrsti izkazati upravljavec (drugi odstavek 5. člena Splošne uredbe).

Glede roka hrambe IP nadalje pojasnjuje, da lahko izvajalec storitve zbrane osebne podatke hrani pod določenimi pogoji tudi po izvedbi storitve, denimo zaradi dokaza o storitvi, obrambe pred morebitnimi pravnimi zahtevki v zvezi z naročilom in podobno. Poudarja pa, da se lahko skladno z načelom omejitve hrambe osebni podatki hranijo le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo (točka e) prvega odstavka 5. člena Splošne uredbe). Upravljavec je tisti, ki mora glede na konkreten namen obdelave in okoliščine presoditi, v kakšnem obsegu je primerna hramba določenih osebnih podatkov, če sploh.

Upravljavec pa je dolžan ne glede na pravno podlago, na temelju katere obdeluje osebne podatke, v skladu s 13. členom Splošne uredbe posameznikom ob pridobivanju osebnih podatkov na jasen in pregleden način zagotoviti bistvene informacije v zvezi z obdelavo, na primer o tem, na kakšni pravni podlagi in s kakšnim namenom obdeluje te osebne podatke, koliko časa bo podatke hranil, komu jih bo posredoval in druge informacije, ki jih navedena določba predpisuje. Več o tem si lahko preberete na spletni strani https://tiodlocas.si/moram-biti-obvescen/. Od upravljavca lahko vedno zahtevate tudi dostop do osebnih podatkov, ki se nanašajo na vas, skladno s 15. členom Splošne uredbe. Več o tem si lahko preberete na spletni strani https://tiodlocas.si/pravica-vedeti-kaj-pocnejo-z-mojimi-osebnimi-podatki/.

Veliko uporabnih informacij s področja varstva osebnih podatkov je vsebovanih tudi v vodniku IP, ki je dostopen na https://www.ip-rs.si/publikacije/priročniki-in-smernice/smernice-po-splošni-uredbi-o-varstvu-podatkov-gdpr/vodnik-po-varstvu-osebnih-podatkov-za-posameznike, ter v že izdanih mnenjih IP, ki so objavljena na https://www.ip-rs.si/mnenja-zvop-2/.

Lepo vas pozdravljamo,

Pripravil:

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka