Informacije potrošnikom v okviru spletne trgovine
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 03.12.2021Številka: 07121-1/2021/2414
Kategorije: Informiranje posameznika, Svetovni splet, Trgovinska dejavnost
Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, v katerem pojasnjujete, da ste prevzeli spletno trgovino. Zanima vas, katere informacije morate podati potrošnikom, da boste skladni z zakonodajo. Zanima vas tudi, ali Splošna uredba velja za vse EU države ali ne.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
Splošna uredba v členu 13 in 14 upravljavcu nalaga, da posameznikom zagotovi določene informacije glede obdelave podatkov. Torej, preden od posameznikov (obiskovalcev spletne strani, kupcev v spletni trgovini ipd.) pridobite njihove osebne podatke, jim morate zagotoviti jasne, razumljive in pregledne informacije, kako točno boste podatke obdelovali in kakšna so morebitna tveganja in zaščitni ukrepi. Prav tako jih morate obvestiti, kakšne so njihove pravice in kako lahko vložijo pritožbo. Obvestilo naj bo napisano v preprostem jeziku, ki ga povprečen uporabnik lahko razume, izogibajte se zapletenim pravniškim izrazom. Podrobneje je dolžnost upravljavca pojasnjena na naši spletni strani (IP vam svetuje, da si pogledate tudi druge rubrike, saj je spletna stran namenjena prav temu, da upravljavcem na poljuden način pojasni njihove obveznosti): https://upravljavec.si/obvescanje-posameznikov/.
Na tem mestu bi poudarili, da je zelo pomembno, da informacije po členih 13 in 14 ne pomešate s splošnimi pogoji poslovanja, saj gre za dve povsem ločeni obveznosti. Hkrati pa mora biti izjava o varstvu osebnih podatkov enostavno dostopna posameznikom in ne skrita nekje na spletni strani.
V pomoč pri sestavi izjave o varstvu osebnih podatkov vam bodo naše Smernice za oblikovanje izjave o varstvu osebnih podatkov:
Poleg tega je IP pripravil tudi vzorec takšne izjave, s katerim si prav tako lahko pomagate:
Ker v svojem dopisu omenjate tudi piškotke, bi vas le preventivno opozorili, da je treba v primeru integracije piškotov v spletno stran upoštevati določbe veljavne zakonodaje. Piškotke ureja Zakon o elektronskih komunikacijah (Uradni list RS, št. 109/12, 110/13, 40/14 – ZIN-B, 54/14 – odl. US, 81/15 in 40/17; v nadaljevanju: ZEKom-1), ki v 157. členu določa, da je shranjevanje podatkov ali pridobivanje dostopa do podatkov, shranjenih v terminalski opremi naročnika ali uporabnika, dovoljeno samo pod pogojem, da je naročnik ali uporabnik v to privolil potem, ko je bil predhodno jasno in izčrpno obveščen o upravljavcu in namenih obdelave teh podatkov v skladu z zakonom, ki ureja varstvo osebnih podatkov. Ne glede na to pa 157. člen ZEKom-1 v drugem odstavku določa izjeme, in sicer privolitev ni potrebna le za tiste piškotke, ki se uporabljajo izključno zaradi prenosa sporočila po elektronskem komunikacijskem omrežju, ali, ki so nujno potrebni za zagotovitev storitve, ki jo naročnik izrecno zahteva. To pomeni, da boste morali za piškotke, ki ne sodijo pod izjeme (npr. razni analitični, oglaševalski piškotki in podobno), predhodno pridobiti veljavno privolitev obiskovalca spletne strani. Morebitna vnaprej označena okenca ali sklepaje na privolitev na podlagi neaktivnosti posameznika oziroma podrsavanja po ekranu, ne predstavljajo veljavne privolitve. Privolitev mora namreč biti nedvoumna, ob tem pa tudi prostovoljna, specifična in informirana. Več o privolitvi si lahko preberete na naši spletni strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/privolitev.
Glede uporabe storitev ameriških podjetij (npr. Google Analytics) IP opozarja na sodbo Sodišča Evropske unije, s katero je sodišče razveljavilo Zasebnostni ščit za prenos podatkov v ZDA (Privacy Shield). V kolikor bo v danem primeru prišlo do prenosa podatkov v tretje države (npr. v ZDA) vas napotujemo na novičko na to temo na naši spletni strani: https://www.ip-rs.si/novice/6051f21930774.
Splošna uredba velja za vse države znotraj EU, poleg EU držav pa se njena veljavnost razteza tudi na Norveško, Lihtenštajn in Islandijo (torej države Evropskega gospodarskega prostora).
V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.
Mojca Prelesnik, univ.dipl.prav.,
informacijska pooblaščenka
Pripravila:
Neja Domnik, mag. prav.,
asistentka svetovalca pri IP