Kartice zvestobe

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) prejel vaše zaprosilo za mnenje, v katerem vas zanima glede kartic zvestobe, ki bi jih rabi vpeljali v svojem zavodu.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Uvodoma pojasnjujemo, da IP podaja nezavezujoča mnenja in pojasnila, ne more pa izven inšpekcijskih postopkov presojati konkretnih dejanj obdelave osebnih podatkov.

Upravljavec osebnih podatkov mora pred vsako obdelavo podatkov zagotoviti, da za obdelavo podatkov obstaja ena izmed pravnih podlag, ki jih Splošna uredba o varstvu podatkov določa v členu 6(1), in sicer (za zasebni sektor):

• privolitev (točka (a)),
• sklenitev ali izvajanje pogodbe (točka (b)),
• zakon (točka (c)),
• zaščita življenjskih interesov posameznika (točka (d)) ali
• zakoniti interesi, za katere si prizadeva upravljavec (točka (f)).

V skladu z navedem IP svetuje, da primarno ugotovite, na kateri pravni podlagi bi obdelovali osebne podatke posameznikov. Možne pravne podlage za obdelavo osebnih podatkov članov klubov zvestobe odvisno od konkretnega namena so lahko predvsem naslednje: privolitev, izvajanje pogodbe ali zakoniti interesi upravljavca. Na to temo je IP izdal mnenje, v katerem je podrobneje obrazložil vsako izmed treh pravnih podlag. Svetujemo vam, da si mnenje preberete:

• Mnenje glede obdelave osebnih podatkov v klubih zvestobe, 0712-3/2018/420, z dne 17. 5. 2018: https://www.ip-rs.si/mnenja-zvop/mnenje-glede-obdelave-osebnih-podatkov-v-klubih-zvestobe.

Osebni podatki morajo biti obdelani zakonito, pošteno in na pregleden način. Osebni podatki morajo biti zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni. Upravljavec osebnih podatkov je pri obdelavi podatkov dolžan upoštevati načelo minimizacije, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Ne glede na pravno podlago je treba posameznikom predhodno podati določene informacije glede obdelave podatkov. Kaj vse mora vsebovati obvestilo posameznikom po členih 13 in 14 Splošne uredbe o varstvu podatkov si lahko preberete na naši spletni strani: https://upravljavec.si/obvescanje-posameznikov/. Tudi sicer lahko najdete veliko uporabnih vsebin na naši strani, ki je namenjena prav upravljavcem v pomoč: https://upravljavec.si/.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                 

                                                                                                informacijska pooblaščenka

Pripravila:                                                                                                                                

Neja Domnik, mag. prav.,

asistentka svetovalca pri IP