Prejemanje obvestil kljub odjavi

Datum

20.02.2024

Številka

07121-1/2024/177

Kategorije

Neposredno trženje, nagradne igre

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da so vam na spletni strani …, ker niste podali popolnih podatkov, zablokirali račun in se vanj več ne morete prijaviti. Računa tudi ne morete izbrisati brez posredovanja svojih osebnih podatkov in se odjaviti od sistemskih obvestil, ki vam jih še vedno pošiljajo. Navajate tudi, da še vedno uporabljajo vaš neobstoječi oglas s spremnim besedilom – ob kliku se prikaže besedilo, da oglas ni aktiven, kar je po vašem mnenju phishing. Sprašujete, katera inšpekcijska služba je še pristojna za takšna ravnanja?

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Za vsako obdelavo osebnih podatkov mora obstajati ustrezna pravna podlaga po Splošni uredbi, v danem primeru gre verjetno za izvajanje pogodbe. Zaradi sklenitve pogodbe se lahko obdelujejo zgolj podatki, ki so za izvajanje te pogodbe nujno potrebni. V zvezi s tem, kateri osebni podatki se zaradi izvajanja pogodbe obdelujejo, predlagamo, da se seznanite s splošnimi pogoji oz. z informacijami o obdelavi osebnih podatkov, ki bi jih morali prejeti na podlagi 13. člena Splošne uredbe že ob posredovanju svojih osebnih podatkov. O zakonitosti obdelave osebnih podatkov bi lahko IP presojal zgolj v konkretnem inšpekcijskem postopku.

V mnenju vam pojasnjujemo, da lahko skladno s Splošno uredbo pri upravljavcu osebnih podatkov (če so za to izpolnjeni pogoji) uveljavljate pravico do izbrisa. Glede objavljene fotografije sklepamo, da gre za posnetek strani na Google iskalniku, čeprav prvotna stran, kot navajate, ne obstaja več. Predlagamo vam, da uporabite obrazec Google za pomoč pri izbrisu zastarele vsebine.

Če gre v vašem primeru za nezakonito izvajanje neposrednega trženja, lahko svojo prijavo pošljete na Agencijo za komunikacijska omrežja in storitve RS.

Obrazložitev

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Za vsako obdelavo osebnih podatkov mora imeti upravljavec ustrezno pravno podlago skladno s prvim odstavkom 6. člena Splošne uredbe. Za zasebni sektor so pravne podlage naslednje:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Navajate, da je bil vaš račun zablokiran, ker niste posredovali vseh svojih osebnih podatkov in ga tudi ne morete izbrisati brez njihovega posredovanja. Pravna podlaga za obdelavo vaših osebnih podatkov pri upravljavcu je v danem primeru verjetno izvajanje pogodbe, katerih del so tudi splošni pogoji uporabe spletnega mesta. Priporočamo vam, da se seznanite z njimi ter z informacijami o obdelavi osebnih podatkov po 13. členu Splošne uredbe, po katerem morate med drugim prejeti informacijo o namenih in pravni podlagi za obdelavo osebnih podatkov (kar vključuje tudi opis vrste osebnih podatkov, ki se zbirajo oziroma obdelujejo za posamezen namen). Ob tem opozarjamo, da se lahko zaradi sklenitve pogodbe obdelujejo zgolj podatki, ki so za izvajanje te pogodbe nujno potrebni. Tovrstne informacije morajo biti posameznikom zagotovljene že ob posredovanju njihovih osebnih podatkov, da se lahko informirano odločijo, ali bodo za določene namene posredovali zahtevane osebne podatke.

Poleg tega izpostavljamo tudi, da sme upravljavec osebnih podatkov skladno s prvim odstavkom 94. člena ZVOP-2 za namen identifikacije posameznika ali za namen zagotavljanja točnosti in posodobljenosti osebnih podatkov vpogledati v njegove uradne identifikacijske dokumente. Osebnih podatkov seveda za druge namene upravljavec ne sme uporabiti.

Prakse upravljavca, da je skladno z določbami splošnih pogojev zablokiral vaš račun, IP ni pristojen presojati oz. komentirati. Z vidika varstva osebnih podatkov vam v nadaljevanju pojasnjujemo pravico do izbrisa vaših osebnih podatkov. Pojasnjujemo, da ima vsak posameznik pravico do izbrisa oz. do pozabe skladno s Splošno uredbo, ki je opredeljena v 17. členu Splošne uredbe.

Prvi odstavek 17. člena Splošne uredbe tako določa, da ima posameznik, na katerega se nanašajo osebni podatki pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar npr. podatki niso več potrebni za namen za katerega so bili zbrani; podatki se obdelujejo na podlagi privolitve, posameznik pa svojo privolitev prekliče; podatki se obdelujejo nezakonito itd.

Opozarjamo, da pravica do izbrisa ni neomejena, saj Splošna uredba določa, da izbrisa osebnih podatkov ni mogoče uveljavljati, če je obdelava potrebna npr. za uresničevanje pravice do svobode izražanja in obveščanja, za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene ali npr. za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

Upravljavec se mora na podano zahtevo odzvati brez nepotrebnega odlašanja in mora v vsakem primeru posredovati informacije oziroma zavrnilni odgovor v enem mesecu po prejemu zahteve. Ta rok se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev (tretji odstavek 12. člena Splošne uredbe).

Predlagamo vam, da zahtevo predložite pisno, da zagotovite dokaz o vloženi zahtevi za izbris podatkov. Obrazec, s katerim si lahko pomagate pri uveljavljanju pravice do izbrisa ("Zahteva za izbris osebnih podatkov") je dosegljiv na: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. Če vam upravljavec v zakonskem roku ne odgovori, ali vam poda zavrnilni odgovor, lahko pri IP vložite pritožbo (obrazec "Enotna vloga zaradi kršitve varstva osebnih podatkov (Obrazec VOP prijava").

Več informacij o pravici do izbrisa in glede njenega uveljavljanja je dostopnih tudi na naši spletni strani: https://tiodlocas.si/zelim-izbrisati-svoje-podatke/.

Glede uporabe vaših fotografij na spletni strani (kot je razvidno iz priložene slike, gre za povezavo na iskalniku Google) verjetno ne gre za t.i. phishing, ki pomeni zavajanje uporabnikov z namenom pridobiti njihove osebne podatke (več o tem lahko preberete v Smernicah za preprečevanje kraje identitete, ki je dostopen na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/brosure/Smernice_kraja_identitete.pdf). Verjetno gre za še vedno obstoječ posnetek strani na Google iskalniku, čeprav prvotna stran, kot navajate, ne obstaja več. Predlagamo vam, da uporabite obrazec Google za pomoč pri izbrisu zastarele vsebine: https://support.google.com/websearch/answer/6349986?hl=en.

Če gre v vašem primeru za izvajanje neposrednega trženja, pojasnjujemo tudi, da področje neželene komunikacije (ang. »spam«) specialno ureja Zakon o elektronskih komunikacijah (Uradni list RS, št. 130/22 in 18/23 – ZDU-1O, v nadaljevanju: ZEKom-2). ZEKom-2 v prvem odstavku 226. člena določa, da je uporaba elektronske pošte za namene neposrednega trženja dovoljena samo na podlagi naročnikovega ali uporabnikovega predhodnega soglasja. V drugem odstavku je določeno, da lahko ne glede na določbe prejšnjega odstavka fizična ali pravna oseba, ki od kupca svojih izdelkov ali storitev pridobi njegov elektronski naslov za elektronsko pošto, ta naslov uporablja za neposredno trženje svojih podobnih izdelkov ali storitev pod pogojem, da kupcu ponuja jasno in izrecno možnost, da brezplačno in enostavno zavrne takšno uporabo svojega elektronskega naslova takrat, ko so ti podatki za stike pridobljeni in ob vsakem sporočilu v primeru, da kupec ni zavrnil takšne uporabe že na začetku. Nadzor nad izvajanjem 226. člena ZEKom-2 je v pristojnosti Agencije za komunikacijska omrežja in storitve RS (v nadaljevanju: AKOS), zato IP v tem delu ni pristojen za ukrepanje.

Posameznik, ki je prepričan, da pošiljatelju ni dal predhodnega soglasja za uporabo e-pošte za namene neposrednega trženja, oz. da pošiljatelj neželenega elektronskega sporočila ne razpolaga (več) s potrebnim soglasjem za uporabo e-pošte za namene izvajanja neposrednega trženja, lahko svojo prijavo pošlje neposredno na AKOS (info.box@akos-rs.si).

V upanju, da ste prejeli odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo