Veljavnost privolitve pri modelu »privoli ali plačaj«

Datum

30.07.2025

Številka

091-1/2025/172

Kategorije

Privolitev, Svetovni splet

pri Informacijskem pooblaščencu (IP) smo 24. 7. 2025 prejeli vaše zaprosilo za mnenje glede varovanja osebnih podatkov na eni strani in trgovanja z njimi na drugi, še posebej z vidika praks podjetja Meta.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1.

Consent or pay (¨privoli ali plačaj¨) je poslovni model, pri katerem je uporabnik soočen z izbiro med privolitvijo v obdelavo njegovih osebnih podatkov (običajno za namen vedenjskega oglaševanja) ali plačilom nadomestila za uporabo storitve.

2.

Z osebnimi podatki ne moremo trgovati, saj teh ni mogoče šteti za blago, s katerim je mogoče trgovati, temveč gre za človekovo pravico, ki jo varujeta 8. člen Listine o temeljnih pravicah EU in 38. člen Ustave RS.

3.

Za zakonito privolitev kot pravno podlago za obdelavo osebnih podatkov je ključno, da je ta podana prostovoljno, izrecno, informirano in nedvoumno. Poleg tega Splošna uredba zahteva, da mora imeti posameznik tudi pravico, da umakne privolitev, in sicer na enak način, kot je bila privolitev dana.

4.

Upravljavci bi morali oceniti, ali posameznikom omogočajo dejansko izbiro in jih ne silijo k privolitvi.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašimi vprašanji.

Poslovni model, pri katerem je uporabnik soočen z izbiro med privolitvijo v obdelavo njegovih osebnih podatkov (običajno za namen vedenjskega oglaševanja) ali plačilom nadomestila za uporabo storitve, imenujemo t. i. model consent or pay (model ¨privoli ali plačaj¨). Takšnega modela financiranja ne uporabljajo le družbena omrežja, temveč se uporablja tudi pri nekaterih drugih storitvah, na primer pri spletnih medijih.

Zbrani osebni podatki se uporabljajo za ustvarjanje profilov posameznikov, saj razkrivajo številne podrobnosti o njihovih željah, interesih in osebnih (tudi najbolj intimnih) okoliščinah. Na podlagi teh profilov se nato izvaja personalizirano oglaševanje, ki naj bi bilo prilagojeno željam in potrebam posameznega uporabnika. Takšno spletno oglaševanje – imenujemo ga tudi vedenjsko oglaševanje – je glavni vir financiranja družbenih omrežij facebook in instagram. Vendar pri tem ne moremo govoriti o trgovanju z osebnimi podatki, saj teh ni mogoče šteti za blago, s katerim je mogoče trgovati, temveč gre za človekovo pravico, ki jo varujeta 8. člen Listine o temeljnih pravicah EU in 38. člen Ustave RS.

Takšna oblika oglaševanja pa nujno vključuje obdelavo osebnih podatkov, ki mora biti skladna s pravili iz Splošne uredbe o varstvu podatkov (v nadaljevanju: Splošna uredba, znana tudi kot GDPR). Temeljna zahteva Splošne uredbe je, da ima vsaka obdelava osebnih podatkov pravno podlago, ena izmed pravnih podlag, na katero se lahko upravljavci (podjetja) oprejo pa je privolitev posameznikov. Vendar mora privolitev, zato da se v skladu s Splošno uredbo šteje za veljavno, izpolnjevati določene pogoje: podana mora biti prostovoljno, biti mora izrecna, informirana in nedvoumna. Poleg tega Splošna uredba zahteva, da mora imeti posameznik tudi pravico, da umakne privolitev, in sicer na enak način, kot je bila privolitev dana. Umik privolitve torej ne sme biti na noben način otežen. Posameznik mora biti o tej pravici obveščen, preden je privolitev dejansko dana.

V kontekstu uporabe modela ¨privoli in plačaj¨ se pojavlja več vprašanj z vidika veljavnosti privolitve. Ta vprašanja je podrobneje obravnaval Evropski odbor za varstvo podatkov (v nadaljevanju: EOVP) v mnenju, ki ga je sprejel aprila 2024. Izpostavljamo, da EOVP v tem mnenju ni obravnaval zakonitosti posameznega poslovnega primera, na primer modela, ki ga uporablja podjetje Meta, temveč je na splošno obravnaval vprašanje veljavnosti privolitve za obdelavo osebnih podatkov za namene vedenjskega oglaševanja v okviru modelov "privoli ali plačaj", ki jih uporabljajo velike spletne platforme. V nadaljevanju izpostavljamo nekatere ključne vidike, ki jih je v mnenju izpostavil EOVP, v celoti pa je mnenje dostopno na: https://www.edpb.europa.eu/system/files/2024-11/edpb_opinion_202408_consentorpay_sl.pdf.

EOVP je izpostavil, da je posebnost privolitve v tem, da je vprašanje zakonitosti obdelave odvisno od odločitve posameznika in predvsem njegove svobodne izbire pri sprejemanju navedene odločitve. Pri presoji, ali je privolitev dejansko prostovoljna, je treba upoštevati, ali posameznik privolitve ne more zavrniti ali preklicati brez škode, ali obstaja neravnovesje moči med posameznikom in upravljavcem, ali je za dostop do blaga ali storitev potrebna privolitev, čeprav obdelava ni potrebna za izpolnitev pogodbe (pogojenost), in ali lahko posameznik, na katerega se nanašajo osebni podatki, privoli v različna dejanja obdelave (razdrobljenost).

Posebej glede kriterija nastanka škode je EOVP opozoril, da lahko posamezniki utrpijo škodo, če ne morejo uporabljati storitve, ki je del njihovega vsakdana in ima pomembno vlogo, na primer če gre za platformo, ki se uporablja za razširjanje informacij ali za dostop do določenih storitev, pomembnih za vsakodnevno življenje posameznika. Podobno je lahko uporaba nekaterih družbenih medijev odločilna za sodelovanje posameznikov v družbenem življenju. Ob hitrih tehnoloških inovacijah in dejstvu, da je večina ljudi prisotna na spletu, se ne sme podcenjevati vloge družbenih medijev v vsakdanjem življenju in interakcijah posameznikov. Številni posamezniki uporabljajo te platforme kot pomembno sredstvo za ohranjanje stikov z ljudmi, s katerimi v vsakdanjem življenju nimajo fizičnih stikov, kot so prijatelji in/ali družina. Glede na to, da so družbeni mediji še posebej dragocena in priročna alternativa osebnim stikom, lahko pomanjkanje dostopa do njih pomembno vpliva na čustveno in psihološko dobro počutje nekaterih uporabnikov. V zgoraj navedenih primerih posamezniki morda ne bi mogli biti vključeni v družbene interakcije, ki potekajo na platformi, in bi se morda počutili družbeno izolirane, zlasti kadar ni druge storitve, ki bi ponujala podobno izkušnjo in jo uporabljajo tudi njihovi družabni stiki.

Pomemben je tudi vidik, kakšne alternative so ponujene uporabniku. EOVP je izpostavil, da bi velike spletne platforme morale preučiti možnost, da posameznikom zagotovijo enakovredno alternativo, ki ne vključuje plačila. Podrobno so tudi razdelani kriteriji, kdaj se alternativna različica storitve šteje za enakovredno. Načeloma mora vključevati enake značilnosti in funkcije, ni pa nujno, da sta obe različici popolnoma enaki.

Če pa se velike spletne platforme vseeno odločijo za zaračunavanje dostopa do enakovredne alternative, bi morale preučiti tudi možnost, da bi ponudile dodatno brezplačno alternativo brez vedenjskega oglaševanja, npr. z drugimi oblikami oglaševanja, ki vključujejo obdelavo manjšega obsega osebnih podatkov ali osebnih podatkov sploh ne obdelujejo. V tovrstnih primerih bi bilo treba posebno pozornost nameniti vprašanju, ali je plačilo sploh ustrezno in kakšen znesek je ustrezen v danih okoliščinah ob upoštevanju zahtev veljavne privolitve. Pri tem je treba preprečiti, da bi se temeljna pravica do varstva podatkov spremenila v nekaj, za kar morajo posamezniki plačati, da bi jo lahko uživali, ali v nekaj nadstandardnega, kar bi bilo rezervirano za tiste, ki so v boljšem finančnem položaju. Kadar upravljavci kot alternativo storitvi, ki vključuje vedenjsko oglaševanje na podlagi obdelave osebnih podatkov, za katero je potrebna privolitev, ponujajo plačljivo storitev, bi morali med drugim zagotoviti, da plačilo ne ovira posameznikov da zavrnejo privolitev, prav tako pa zaradi plačila ne smejo čutiti, da so v privolitev prisiljeni. Upravljavci bi morali oceniti, ali posameznikom omogočajo dejansko izbiro in jih ne silijo k privolitvi.

EOVP je ugotovil, da v večini primerov velike spletne platforme ne bodo mogle izpolnjevati zahtev za veljavno privolitev, če uporabnikom ponudijo le binarno izbiro med privolitvijo v obdelavo osebnih podatkov za namene vedenjskega oglaševanja in plačilom.

Informacijski pooblaščenec dodatno pojasnjuje, da bi morebitni postopek zoper podjetje Meta vodil irski nadzorni organ. Skladno s 56. členom Splošne uredbe je namreč nadzorni organ glavnega sedeža upravljavca pristojen, da deluje kot vodilni nadzorni organ za obdelavo, ki jo izvaja ta upravljavec na čezmejni ravni. Podjetje Meta ima svojo glavno ustanovitev v EU na Irskem, zato bo morebitne pritožbe, ki bi jih prejel Informacijski pooblaščenec, posredovali irskemu nadzornemu organu, IP pa bi v postopku sodeloval kot zadevni nadzorni organ.

Za konec še poudarjamo, da se navedeno mnenje EOVP nanaša izključno na velike spletne platforme (kjer obstaja veliko nesorazmerje moči med posameznikom in platformo) in da odbor pripravlja tudi smernice, ki naj ne bi bile omejene zgolj na omenjene platforme.

Lepo vas pozdravljamo.

dr. Jelena Virant Burnik,

informacijska pooblaščenka