Obrazec za identifikacijo - smsPASS

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem nam predlagate, da preučimo obrazec MJU za identifikacijo bodočega imetnika smsPASS

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Obdelava osebnih podatkov je dopustna le, če zanjo obstaja ustrezna pravna podlaga. V 6. členu Splošne uredbe so tako določene pravne podlage, in sicer:

• posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
• obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
• obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
• obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
• obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
• obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

V konkretnem primeru se obdelava osebnih podatkov glede na izjavo v obrazcu, ki jo posameznik podpiše, izvaja na podlagi privolitve posameznika v obdelavo osebnih podatkov. Privolitev v obdelavo osebnih podatkov pa mora biti seveda prostovoljna, konkretna (podana za specifičen namen obdelave) ter informirana. V kolikor privolitev ne dosega teh zahtev, ne moremo govoriti o veljavni privolitvi. 

Vsak upravljavec osebnih podatkov mora pred začetkom zbiranja osebnih podatkov posamezniku, od katerega pridobiva osebne podatke, sporočiti določene osnovne informacije glede obdelave osebnih podatkov, kar določa 13. člen Splošne uredbe. Upravljavec mora posamezniku sporočiti med drugim identiteto in kontaktne podatke upravljavca; namene in pravno podlago za obdelavo; uporabnike ali kategorije uporabnikov osebnih podatkov ter nadalje tudi obdobje hrambe osebnih podatkov; obstoj pravic posameznika; obstoj pravice do preklica privolitve; pravico do vložitve pritožbe pri nadzornem organu.

Posameznik pa ima (neodvisno od izpolnjevanja obveznosti upravljavca po 13. členu) skladno s prvim odstavkom 15. člena Splošne uredbe pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in med drugim naslednje informacije: namen obdelave; vrste zadevnih osebnih podatkov; uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, predvideno obdobje hrambe osebnih podatkov; obstoj pravic posameznika; informacije o virih idr. Neobvezni obrazec takšne zahteve najdete na naši spletni strani - Zahteva za seznanitev z lastnimi osebnimi podatki (obrazec SLOP).

Politika  delovanja  SI-PASS-CA  (https://www.si-trust.gov.si/assets/Politike/si-pass-ca/verzija-2-2/SI-PASS-CA-politika-v2_2-2020_P.pdf) določa notranja  pravila delovanja  izdajatelja, ki  definirajo  namen,  delovanje  in metodologijo upravljanja z digitalnimi potrdili, odgovornosti in zahteve, ki jih morajo izpolnjevati vsi subjekti.  Omenjeni dokument vsebuje določene informacije glede obdelave osebnih podatkov, vendar IP v postopku izdaje neobveznega mnenja ne more presojati, ali informacije ustrezajo določbam 13. člena Splošne uredbe.

Če želite, lahko na upravljavca osebnih podatkov naslovite zahtevo za informacije v skladu s 15. členom Splošne uredbe. V kolikor ne dobite odgovora upravljavca v 1 mesecu od zahteve ali če upravljavec zavrne ali deloma zavrne vašo zahtevo, lahko vložite pritožbo, ki jo obravnava Informacijski pooblaščenec.

Če bi se pojavil sum, da je prišlo do kršitve ali zlorabe osebnih podatkov, lahko vložite tudi prijavo, ki jo bo Informacijski pooblaščenec, če bi bili podani pogoji, obravnaval v inšpekcijskem postopku. Na spletni strani z obrazci (https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/) najdete tudi neobvezen obrazec za prijavo suma kršitve varstva osebnih podatkov.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                 

                                                                                                informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov