Osebni podatki neaktivnih uporabnikov v klubu zvestobe

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vprašanje in sicer ste pojasnili, da kot trgovsko podjetje vodite klub zvestobe, v katerem je določeno število neaktivnih uporabnikov, nekateri od njih so verjetno tudi že umri. V splošnih pogojih možnosti izbrisa v primeru daljše neaktivnosti niste predvideli, enostransko pa ne bi radi spreminjali splošnih pogojev, zato nas sprašujete, kaj lahko storite. Ena od možnosti, ki jo navajate, je, da kartičarja v takšnem primeru obvestite, da želite prekiniti pogodbeno razmerje, če se kartičar ne odzove, bi šteli pogodbeno razmerja za prekinjeno in s tem imeli pravno podlago za izbris podatkov. Zanimajo vas naši predlogi.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP dalje meni, da je povsem dopustno, da člane kluba zvestobe, pri katerih opažate daljšo neaktivnost, pozovete k temu, da se izjasnijo, ali še vedno želijo ostati člani ali ne. Menimo, da neodzivnost člana še ni povod, da bi lahko sklepali, da si želi prekinitev pogodbenega razmerja in da bi bil lahko njegov »molk« podlaga za izbris njegovih podatkov iz kluba zvestobe, če s tem ni bil vnaprej seznanjen v okviru splošnih pogojev zagotavljanja storitve.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da  glede obdelave osebnih podatkov umrlih oseb, Splošna uredba o varstvu podatkov v uvodni določbi št. 27 izrecno določa, da se ta uredba ne uporablja za osebne podatke umrlih oseb. Lahko pa države članice določijo pravila za obdelavo osebnih podatkov umrlih oseb, zato se na tem področju še vedno uporabljajo določbe ZVOP-1. Slednji ima sicer specialno določbo izrecno namenjeno varstvu osebnih podatkov umrlih posameznikov (23. člen), ki pa govori zgolj o posredovanju osebnih podatkov umrlega in ne o zahtevi na primer do ažuriranja evidenc. O podobnem vprašanju je IP že izdal mnenje št. 07121-1/2021/934 (dostopno na https://www.ip-rs.si/mnenja-gdpr/odpoved-pogodbe-z-operaterjem-po-smrti-uporabnika).

IP dalje meni, da je povsem dopustno, da člane kluba zvestobe, pri katerih opažate daljšo neaktivnost, pozovete k temu, da se izjasnijo, ali še vedno želijo ostati člani ali ne. Takšen poziv se lahko naslovi tudi večkrat, če je potrebno, smiselno pa je, da se posameznikov ponudi kar se da enostavno možnost podaje odziva, saj so odzivne stopnje iz različnih vzrokov lahko nizke. Pri tistih osebah, ki se odzovejo, najbrž ne bo težav, vprašanje pa je, kako ravnati v primerih neodzivnosti.

Menimo, da neodzivnost člana še ni povod, da bi lahko sklepali, da si želi prekinitev pogodbenega razmerja in da bi bil lahko njegov »molk« podlaga za izbris njegovih podatkov iz kluba zvestobe, če s tem ni bil vnaprej seznanjen v okviru splošnih pogojev zagotavljanja storitve. Nenazadnje je lahko daljše odsoten in ni prejel vašega poziva, obenem pa si želi nadaljevati s članstvom in bi bil izbris njegovih podatkov sporen. V takšnih primerih bi bilo – do spremembe splošnih pogojev v prihodnosti, kjer je smiselno natančno opredeliti ravnanje upravljavca ob preteku določenega obdobja neaktivnosti člana – njegove osebne podatke iz aktivne zbirke osebnih podatkov preseliti v t.i. blokirano zbirko osebnih podatkov. Po določbi 17. točke 6. člena ZVOP-1 je blokiranje takšna označitev osebnih podatkov, da se omeji ali prepreči njihova nadaljnja obdelava. Na ta način ne pride do potencialno spornega izbrisa osebnih podatkov, pri čemer je izbris osebnih podatkov tudi ena od obdelav osebnih podatkov, ki terja ustrezno pravno podlago, obenem pa »neaktivni« podatki ne obremenjujejo po nepotrebnem učinkovitega delovanja vašega sistema in človeških resursov.

S spoštovanjem,

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka

Pripravil:                                                                                                                                                          

mag. Andrej Tomšič,

namestnik informacijske pooblaščenke