Pošiljanje sporočil na osebni elektronski naslov

Datum

20.11.2023

Številka

07121-1/2023/1445

Kategorije

Neposredno trženje, nagradne igre, Pravica do seznanitve z lastnimi osebnimi podatki, Pravica do ugovora

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede morebitne kršitve vaših osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Področje neposrednega trženja z uporabo elektronskih sredstev urejata ZEKom-2 in ZEPT.

Za nadzor nad izvajanjem 226. člena ZEKom-2 je pristojna Agencija za komunikacijska omrežja in storitve RS (AKOS).

Posameznik ima v skladu z 21. členom Splošne uredbe pravico, da kadarkoli ugovarja obdelavi osebnih podatkov v zvezi z njim za namene neposrednega trženja.

ZEKom-2 v prvem odstavku 301. člena med drugim določa, da se za kršitve 226. člena ZEKom-2 z globo od 200 do 1.000 eurov kaznuje pravna oseba, z globo od 1.000 do 20.000 eurov pa pravna oseba, ki se po zakonu, ki ureja gospodarske družbe, šteje za srednjo ali veliko gospodarsko družbo.

Splošna uredba v 15. členu ureja pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

V kolikor gre pri vsebini elektronskih sporočil, ki jih prejemate, za neposredno trženje, IP uvodoma splošno pojasnjuje, da Splošna uredba neposrednega trženja ne ureja posebej, prav tako ga (za razliko od prej veljavnega ZVOP-1) ne ureja tudi ZVOP-2. Področje neposrednega trženja z uporabo elektronskih sredstev urejajo posebni predpisi, in sicer Zakon o elektronskih komunikacijah (ZEKom-2; Uradni list RS, št. 130/22, 18/23 – ZDU-1O) in Zakon o elektronskem poslovanju na trgu (ZEPT; Uradni list RS, št. 61/06, 45/08 – ZArbit, 79/09, 19/15, 189/21 – ZDU-1M, 18/23 – ZDU-1O). Nadzor nad določbami ZEKom-2 in ZEPT izvajata Agencija za komunikacijska omrežja in storitve RS (AKOS) in Tržni inšpektorat RS (TIRS).

IP nadalje pojasnjuje, da ZEKom-2 v prvem odstavku 226. člena določa, da je uporaba samodejnih klicnih in komunikacijskih sistemov za opravljanje klicev na naročnikovo telefonsko številko brez človekovega posredovanja (npr. klicni avtomati, SMS, MMS), telefaksov ali elektronske pošte za namene neposrednega trženja dovoljena samo na podlagi naročnikovega ali uporabnikovega predhodnega soglasja. Drugi odstavek istega člena nadalje določa, da lahko, ne glede na določbe prvega odstavka, fizična ali pravna oseba, ki od kupca svojih izdelkov ali storitev pridobi njegov elektronski naslov za elektronsko pošto, ta naslov uporablja za neposredno trženje svojih podobnih izdelkov ali storitev pod pogojem, da kupcu ponuja jasno in izrecno možnost, da brezplačno in enostavno zavrne takšno uporabo svojega elektronskega naslova takrat, ko so ti podatki za stike pridobljeni in ob vsakem sporočilu v primeru, da kupec ni zavrnil takšne uporabe že na začetku. V skladu s šestim odstavkom 226. člena ZEKom-2 fizična ali pravna oseba lahko uporabi elektronski naslov fizičnih oseb za elektronsko pošto, če ta elektronski naslov pravna oseba javno objavi kot svoj kontaktni elektronski naslov. Če torej pošiljatelj elektronskega sporočila nima vašega soglasja oziroma niste kupec oziroma uporabnik njegovih izdelkov ali storitev pošiljatelja niti ni bil vaš elektronski naslov objavljen kot kontaktni elektronski naslov pravne osebe, lahko podate prijavo neposredno na AKOS, ki je pristojen za nadzor nad izvajanjem določb 226. člena ZEKom-2. Ob tem IP pojasnjuje, da ZEKom-2 v prvem odstavku 301. člena med drugim določa, da se za kršitve 226. člena ZEKom-2 z globo od 200 do 1.000 eurov kaznuje pravna oseba, z globo od 1.000 do 20.000 eurov pa pravna oseba, ki se po zakonu, ki ureja gospodarske družbe, šteje za srednjo ali veliko gospodarsko družbo.

IP pojasnjuje tudi, da ima skladno z 21. členom Splošne uredbe posameznik pravico, da kadarkoli ugovarja obdelavi osebnih podatkov v zvezi z njim za namene neposrednega trženja, upravljavec pa dolžnost, da v primeru ugovora posameznika preneha z obdelavo osebnih podatkov posameznika za ta namen. Posameznik, na katerega se nanašajo osebni podatki, mora biti na pravico do ugovora izrecno opozorjen najpozneje ob prvem komuniciranju z njim in se mu mora to pravico predstaviti jasno in ločeno od vseh drugih informacij. Konkretno to pomeni, da imate v primeru neposrednega trženja pravico od upravljavcev, ki vam pošiljajo elektronsko pošto, kadarkoli zahtevati, da prenehajo obdelovati vaše osebne podatke za namene neposrednega trženja. Upravljavec je v tem primeru dolžan ustrezno preprečiti uporabo osebnih podatkov za namen neposrednega trženja.

Če boste izkoristili opisano pravico in ugovarjali obdelavi vaših osebnih podatkov za namene neposrednega trženja, vam mora upravljavec informacije o ukrepih, sprejetih na vašo zahtevo, zagotoviti brez nepotrebnega odlašanja in v vsakem primeru v enem mesecu po prejemu zahteve oziroma ugovora. Ob tem IP pojasnjuje še, da je v Republiki Sloveniji IP nadzorni organ, ki v primeru kršitve navedenih pravic iz Splošne uredbe deluje kot pritožbeni organ, zato lahko na IP vložite pritožbo zoper ravnanje upravljavca, ki ne upošteva vaše zahteve za prenehanje uporabe vaših osebnih podatkov za namen neposrednega trženja.

V kolikor pri vsebini elektronskih sporočil, ki jih prejemate, ne gre za neposredno trženje, IP pojasnjuje, da je vaš osebni elektronski naslov vaš osebni podatek, zato mora oseba, ki ga obdeluje, za to imeti ustrezno pravno podlago. Splošna uredba v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem je treba upoštevati, da se zadnja alinea ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

IP pojasnjuje, da Splošna uredba v 15. členu ureja pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki. Tako v prvem odstavku določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:

a)namene obdelave;

b)vrste zadevnih osebnih podatkov;

c)uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah;

d)kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;

e)obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;

f)pravico do vložitve pritožbe pri nadzornem organu;

g)kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;

h)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4) Splošne uredbe (EU) o varstvu podatkov, ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.

Zahteva se vloži pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke. Rok za odločitev upravljavca je en mesec od prejema zahteve. Zoper molk upravljavca ali zoper njegov zavrnilni odgovor je mogoča pritožba, za reševanje katere je pristojen IP. Pritožbo zaradi zavrnitve je treba vložiti v 15 dneh od prejema odgovora.

IP vam svetuje, da pri zavodu, ki vam pošilja elektronska sporočila, podate zahtevo za seznanitev z lastnimi osebnimi podatki in počakate na njihov odgovor oziroma na potek roka za odgovor. IP svetuje tudi, da v zahtevi čim bolj natančno opredelite, kaj v zvezi z vašimi osebnimi podatki vas posebej zanima (kot ste to opredelili v zaprosilu, ki ste nam ga poslali). Za podrobnejše informacije v zvezi z navedeno pravico in kako jo uveljavljati, vas napotujemo na našo spletno stran, kjer lahko najdete tudi (neobvezujoč) obrazec zahteve: https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/.

Iz informacij upravljavca, ki jih boste pridobili na podlagi 15. člena Splošne uredbe, naj bi bilo razvidno, ali podjetje osebne podatke obdeluje na zakoniti pravni podlagi. Od podjetja lahko zahtevate tudi izbris vaših osebnih podatkov, če menite, da ne obstajajo razlogi za njihovo nadaljnjo obdelavo. O tej zahtevi mora upravljavec odločiti ob upoštevanju določil 17. člena Splošne uredbe.

V kolikor boste na podlagi prejetih informacij presodili, konkretni upravljavec nezakonito obdeluje vaše osebne podatke, lahko pri IP vložite prijavo kršitve varstva osebnih podatkov. To lahko storite po elektronski pošti na naslov gp.ip@ip-rs.si, oz. po navadni pošti na naslov: Informacijski pooblaščenec, Dunajska cesta 22, 1000 Ljubljana.

Priporočamo, da prijavo pošljete na ustreznem obrazcu.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka