Evidenca zavrnitve (podaje) soglasja za izvajanje osebnih trženjskih klicev

Datum

30.05.2025

Številka

07120-1/2025/241

Kategorije

Evidence dejavnosti obdelave, Inšpekcijski postopki

pri Informacijskem pooblaščencu (IP) smo prejeli vaš dopis, v katerem pojasnjujete nekatere dileme povezane z 226. členom Zakona o elektronskih komunikacijah.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP meni, da bi upravljavec (subjekt, ki opravlja osebne trženjske klice), zbiranje telefonskih številk posameznikov, ki so zavrnili podajo soglasja za izvajanje osebnih trženjskih klicev (t.i. »črno listo telefonskih številk«) lahko utemeljeval na podlagi zakonitih interesov po točki (f) prvega odstavka 6. člena Splošne uredbe, pri čemer bi moral upravljavec izkazati, da je to nujno potrebno zaradi uresničevanja zakonitih interesov upravljavca in da nad temi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo.

Telefonske številke se na omenjenih seznamih lahko hranijo, dokler je potrebno za doseganje namena obdelave. V praksi bo ta rok odvisen od konkretnih okoliščin izvajanja neposrednega trženja pri posameznem upravljavcu, ki je tudi odgovoren za ustrezno udejanjanje načela omejitve shranjevanja.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven nadzornih ali drugih postopkov presojati konkretnih obdelav osebnih podatkov. Odgovornost za zakonito in pošteno obdelavo osebnih podatkov je vedno na upravljavcu osebnih podatkov.

Prvi odstavek 226. člena Zakona o elektronskih komunikacijah (Uradni list RS, št. 130/22 in 18/23 – ZDU-1O; ZEKom-2) določa, da je uporaba samodejnih klicnih in komunikacijskih sistemov za opravljanje klicev na naročnikovo telefonsko številko brez človekovega posredovanja (npr. klicni avtomati, SMS, MMS), telefaksov ali elektronske pošte za namene neposrednega trženja dovoljena samo na podlagi naročnikovega ali uporabnikovega predhodnega soglasja. Tretji odstavek istega člena določa, da je uporaba drugačnih sredstev za neposredno trženje z uporabo elektronskih komunikacij, kot so določena v prejšnjih dveh odstavkih, dovoljena le s soglasjem naročnika ali uporabnika. Zavrnitev soglasja mora biti za zadevnega naročnika ali uporabnika brezplačna. Pri uporabi govorne komunikacijske storitve je treba upoštevati tudi določbe tretjega, četrtega in petega odstavka 217. člena tega zakona. Nadzor nad izvajanjem 226. člena ZEKom-2 izvaja AKOS.

Kot pojasnjujete v vašem dopisu, iz same zakonske ureditve, kar je potrdila tudi sodna praksa[1], lahko (poslovni) subjekti tržni klic napram posameznemu uporabniku izvedejo brez njegovega predhodno pridobljenega soglasja, morajo pa soglasje za izvedbo trženja pridobiti ob sami vzpostaviti telefonskega klica, upoštevajoč določbe 217. člena ZEKom-2. Pojavila se je dilema, ali lahko (poslovni) subjekt podan »preklic soglasja« zabeleži v svojih evidencah oziroma dotično telefonsko številko uporabnika uvrsti na »črno« listo ter na kakšni pravni podlagi in kako dolgo bi te podatke (telefonske številke) lahko hranil. IP najprej pojasnjuje, da v okviru nedavnih nadzornih postopkov ni obravnaval primerov, ki bi bili primerljivi z okoliščinami, opisanimi v vašem dopisu.

Nadalje IP pojasnjuje, da mora vsaka obdelava osebnih podatkov potekati transparentno in skladno z določbami Splošne uredbe in ZVOP-2. Splošna uredba v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Glede na opis iz vašega dopisa, bi po mnenju IP, upravljavec (subjekt, ki opravlja osebne trženjske klice), zbiranje telefonskih številk posameznikov, ki so zavrnili podajo soglasja/privolitve za izvajanje osebnih trženjskih klicev (t.i. »črno listo telefonskih številk«) lahko utemeljeval na podlagi zakonitih interesov po točki (f) prvega odstavka 6. člena Splošne uredbe, pri čemer bi moral upravljavec izkazati, da je to nujno potrebno zaradi uresničevanja zakonitih interesov upravljavca in da nad temi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo – upravljavec mora opraviti t. i. test tehtanja. V skladu z drugim odstavkom 5. člena Splošne uredbe (načelo odgovornosti) mora upravljavec izvedbo testa tehtanja tudi dokumentirati. Zakoniti interes lahko predstavlja interes upravljavca, da izvaja telefonske govorne klice za neposredno trženje le na tiste telefonske številke, za katere je pridobil privolitev naročnika ali uporabnika za njihovo uporabo v trženjski namen oziroma da trženja ne izvaja na telefonske številke posameznikov, ki so podajo privolitve zavrnili. Po mnenju IP, bi bila hramba tovrstnih telefonskih številk tudi v interesu samih posameznikov, ki trženjskih klicev ne želijo prejemati. Presoja, kaj je »nujno« vključuje ugotavljanje, ali v praksi zakonitega interesa za obdelavo podatkov, ki ga zasleduje upravljavec, ni mogoče razumno enako učinkovito doseči z drugimi sredstvi, ki manj posegajo v temeljne svoboščine in pravice posameznikov, na katere se nanašajo osebni podatki, zlasti v pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov[2]. Če obstajajo razumna, enako učinkovita, a manj invazivna sredstva, obdelave ni mogoče šteti za »nujno«[3]. V primerih, na katere se nanašajo vaša vprašanja, naložitev upravljavcu, da izbriše iz svoje baze posameznika, ki ne želi uporabe njegovih osebnih podatkov za neposredno trženje, verjetno ni najbolj učinkovit ukrep, saj se lahko njegovi osebni podatki ob naslednji posodobitvi baze podatkov (npr. z uporabo novega imenika) spet znajdejo v bazi upravljavca in se ga spet kliče. Zato bi bil po mnenju IP učinkovit ukrep res lahko vzpostavitev t.i. črnih list telefonskih številk, da se prepreči ponovno neposredno trženje posameznikom, ki tega ne želijo. Sodišče EU je tudi izrecno poudarilo, da je treba pogoj glede nujnosti obdelave presojati skupaj z načelom »najmanjšega obsega podatkov« iz člena 5(1)(c) Splošne uredbe[4]. Sodišče je prav tako poudarilo, da se obdelava lahko izvaja »le v mejah nujno potrebnega« za uresničitev zakonitega interesa, ki je bil opredeljen[5]. Glede na navedeno, bi po mnenju IP, v opisanem primeru upravljavec lahko imel zakoniti interes zgolj za hrambo telefonske številke, ne pa tudi za hrambo drugih osebnih podatkov posameznika, ki je privolitev odrekel (npr. ime in priimek).

V skladu z načelom omejitve shranjevanja iz točke (e) prvega odstavka 5. člena Splošne uredbe so osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznika, na katerega se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo. Glede na navedeno se telefonska številka lahko na omenjenih seznamih hrani, dokler je to potrebno za doseganje namena obdelave. V praksi bo ta rok odvisen od konkretnih okoliščin izvajanja neposrednega trženja pri posameznem upravljavcu, ki je tudi odgovoren za ustrezno udejanjanje načela omejitve shranjevanja.

Lepo vas pozdravljamo.

Pripravila

Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik, informacijska pooblaščenka

---

[1]sodbi Upravnega sodišča RS opr. št. I U 694/2021 in opr. št. I U 1052/2020.

[2]Sodba sodišča EU, z dne 4. julija 2023, v zadevi C-252/21, Meta v. Bundeskartellamt (ECLI:EU:C:2023:537), odst. 108.

[3]Ibid.

[4]Sodba sodišča EU, z dne 4. julija 2023, v zadevi C-252/21, Meta v. Bundeskartellamt (ECLI:EU:C:2023:537), odst. 109.

[5]Sodba sodišča EU, z dne 4. julija 2023, v zadevi C-252/21, Meta v. Bundeskartellamt (ECLI:EU:C:2023:537), odst. 126.