Dokazovanje privolitve in mesto njene hrambe
+ -Številka: 07120-1/2026/364
Kategorije: Privolitev
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede dokazovanja privolitve in njene hrambe pri tretji osebi.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.
IP splošno meni, da bi se lahko dokazila o privolitvah hranila tudi izven upravljavca oziroma pri tretji osebi (npr. pri pogodbenem obdelovalcu), vendar je ob tem treba zagotoviti spoštovanje določb Splošne uredbe (še posebej 28. člena) in ZVOP-2.
Bistveno je, da je upravljavec zmožen dokazati obstoj privolitve v trenutku začetka obdelave osebnih podatkov, ne glede na to, kje se samo dokazilo o privolitvi v konkretnem trenutku nahaja.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne more pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. IP tako v okviru neobvezujočega mnenja ne more presojati ustreznosti predvidene rešitve, ki ste jo opisali v vašem zaprosilu za mnenje, ampak v nadaljevanju podaja splošna pojasnila.
Glede privolitve kot pravne podlage za obdelavo osebnih podatkov posameznika v konkretnem primeru IP splošno pojasnjuje, da mora biti privolitev posameznika v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov, podana v skladu z določili 7. člena Splošne uredbe. Privolitev posameznika mora biti konkretna, razumljiva izjava ali drugo nedvoumno pritrdilno dejanje in dokazljiva. Privolitev mora biti dana z jasnim pritrdilnim dejanjem, kar pomeni, da posameznik prostovoljno, specifično, ozaveščeno in nedvoumno izrazi privolitev v obdelavo osebnih podatkov v zvezi z njim. Privolitev mora biti jasna oziroma razumljiva in ločena od drugih izjav. Molk, vnaprej označena okenca ali kakršnakoli nedejavnost tako ne pomenijo privolitve. Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen.
IP pojasnjuje, da je v skladu z uvodno določno št. 42 Splošne uredbe eden temeljnih elementov za veljavnost privolitve tudi njena dokazljivost. Omenjena določba tako med drugim določa, da kadar obdelava temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, bi moral biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v dejanje obdelave. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov, kar pomeni, da mora biti zmožen predvsem dokazati kdo, kdaj in pod kakšnimi pogoji je podal privolitev oziroma kakšna je bila njena vsebina.
Več informacij o privolitvi lahko najdete lahko najdete tudi na spletni strani IP:
IP nadalje pojasnjuje, da Smernice o privolitvi na podlagi Splošne uredbe, ki jih je sprejel Evropski odbor za varstvo podatkov, med drugim določajo, da upravljavci lahko svobodno razvijejo metode za dokazovanje obstoja privolitve tako, kot ustreza njihovim vsakodnevnim dejavnostim. Hkrati sama dolžnost dokazovanja, da je upravljavec pridobil veljavno privolitev, ne bi smela privesti do prevelikega obsega dodatne obdelave podatkov. Upravljavec je torej tisti, ki mora dokazati, da je od posameznika, na katerega se nanašajo osebni podatki, pridobil veljavno privolitev. S Splošno uredbo sicer ni natančno predpisano, kako je treba to storiti niti kje se lahko hrani dokaz o privolitvi, ampak je to, kot rečeno, prepuščeno samim upravljavcem. IP tako glede načina zagotavljanja dokazila o podani privolitvi pojasnjuje, da je način izkazovanja verodostojnosti privolitve povsem na strani upravljavca (v konkretnem primeru torej na vašem organu), pri čemer morate biti glede na način pridobivanja privolitve in glede na tehnologijo, ki vam je na voljo, v inšpekcijskem postopku zmožni izkazati, da je bila posamezna privolitev ustrezno pridobljena. Ob tem IP opozarja, da je tudi v tem primeru treba upoštevati načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave (v konkretnem primeru zagotavljanje dokazljivosti privolitve).
Glede mesta hrambe IP splošno meni, da bi se lahko dokazila o privolitvah hranila tudi izven upravljavca oziroma pri tretji osebi (npr. pri pogodbenem obdelovalcu), vendar je ob tem treba zagotoviti spoštovanje določb Splošne uredbe (še posebej 28. člena) in ZVOP-2. Pri tem IP poudarja, da je bistveno zagotoviti, da obdelovalec vselej obdeluje osebne podatke v imenu in za račun upravljavca ter skladno z njegovimi navodili. Obdelovalec tako lahko osebne podatke obdeluje zgolj za namene, za katere ga je pooblastil upravljavec in torej osebnih podatkov ne obdeluje za lastne namene. Pomembno je torej, da upravljavec določi, kje in koliko časa se privolitve hranijo ter za kakšen namen, kdaj se jih lahko uporabi oziroma dostopa do njih in druge bistvene elemente njihove obdelave osebnih podatkov. Obdelovalec mora hraniti dokazila v skladu z navodili upravljavca ter mu v vsakem trenutku omogočati dostop do njih in mu s tem omogočati dokazovanje obstoja privolitev v okviru izkazovanja skladnosti.
V primerih angažiranja pogodbenega obdelovalca gre splošno za primere, ko upravljavec, ki bi posamezne aktivnosti v zvezi z osebnimi podatki lahko izvedel sam (v konkretnem primeru hranil dokazila o privolitvi), sprejme odločitev, da jih bo iz različnih razlogov zaupal obdelovalcu. Ker slednji dela v imenu in za račun upravljavca, je eden pomembnih elementov razmerja med njima tudi nadzor upravljavca nad obdelavo osebnih podatkov, ki jo zanj izvaja obdelovalec. Odgovornost za zakonito obdelavo osebnih podatkov je primarno na strani upravljavca in ostaja njegova odgovornost tudi po njihovem posredovanju pogodbenemu obdelovalcu. Ob tem pa IP opozarja, da ima v določenem delu obdelovalec podobne obveznosti kot upravljavec osebnih podatkov in je neposredno odgovoren za zakonito obdelavo osebnih podatkov v okviru svojih pooblastil. Pravila zakonite obdelave osebnih podatkov mora poznati in jih v praksi tudi ustrezno izvrševati.
Glede vašega drugega vprašanja IP najprej ponavlja, da mora biti upravljavec v skladu s prvim odstavkom 7. člena Splošne uredbe zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov. V trenutku začetka obdelave osebnih podatkov mora torej že biti podana privolitev. IP načeloma meni, da za dopustnost obdelave zadostuje podaja privolitve (ta mora seveda izpolnjevati vse pogoje za njeno veljavnost), četudi morda ta v trenutku začetka obdelave še ne bi bila dokončno prenesena k tretji osebi. Bistveno pa je, da je upravljavec zmožen dokazati njen obstoj v trenutku začetka obdelave osebnih podatkov, ne glede na to, kje se samo dokazilo o privolitvi v konkretnem trenutku nahaja.
IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more dokončno presojati konkretne rešitve posameznega upravljavca. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo in odgovornost zanjo je vedno na upravljavcu osebnih podatkov (v konkretnem primeru na vašem organu).
Lepo vas pozdravljamo.
Pripravil:
Matej Sironič,
Svetovalec pooblaščenca I
dr. Jelena Virant Burnik,
Informacijska pooblaščenka