Mnenje Informacijskega pooblaščenca
+ -Številka: 07120-1/2026/310
Kategorije: Informiranje posameznika, Ocene učinkov v zvezi z varstvom podatkov, Privolitev, Občutljivi OP / posebne vrste OP
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede skladnosti določenih aplikacij s predpisi s področja varstva osebnih podatkov.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.
Upravljavec (v konkretnem primeru zavod in zveza) mora pred uvedbo posamezne rešitve presoditi dopustnost in sorazmernost obdelav osebnih podatkov, ki bodo obdelovani v njenem okviru.
Pred uvedbo konkretne aplikacije je upravljavec v skladu z zahtevami 13. člena Splošne uredbe dolžan uporabnike seznaniti z aplikacijo, namenom in načinom njene uvedbe, njenim delovanjem, s primeri in nameni, za katere bodo pridobljeni podatki uporabljeni ter drugimi informacijami o obdelavi osebnih podatkov, do katere bo prišlo pri njeni uporabi.
Preveriti je treba, ali za upravljavca velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov, v vsakem primeru pa je izdelava takšne ocene priporočljiva.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP tako ne nudi storitve pregleda ali vnaprejšnje odobritve različnih obrazcev, storitev, aplikacij, ocen ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja tako ne more presojati skladnosti aplikacij, ki ste jih opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov, ampak v nadaljevanju podaja splošna pojasnila.
IP tako splošno pojasnjuje, da mora upravljavec (v konkretnem primeru zavod in zveza) pred uvedbo posamezne rešitve presoditi dopustnost in sorazmernost obdelav osebnih podatkov, ki bodo obdelovani v njenem okviru. Vsaka obdelava osebnih podatkov mora potekati transparentno in skladno z določbami Splošne uredbe. Ta v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:
(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.
Ob tem IP posebej opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave. Obseg obdelave je torej treba presojati glede na konkreten namen obdelave, kar je presoja upravljavca. Točen namen oziroma nameni obdelave v konkretnem primeru iz vašega zaprosila za mnenje niso povsem razvidni, v vsakem primeru pa IP opozarja, da mora upravljavec pri uvedbi tovrstnih rešitev zagotoviti skladnost s Splošno uredbo ter tako poleg ustrezne pravne podlage upoštevati tudi npr. načela Splošne uredbe, predvsem že zgoraj omenjeno t.i. načelo najmanjšega obsega podatkov. Upravljavec mora nadalje tudi temeljito presoditi dopustnost in utemeljenost namena, za katerega želi uvesti rešitev, ter ali je uporaba rešitve v dane namene primerna in sorazmerna ter opraviti predhodno presojo, ali je mogoče uporabiti alternativno možnost, ki manj posega v zasebnost, ali bi isti namen lahko zadovoljivo dosegel tudi z uvedbo ukrepov, ki manj posegajo v zasebnost, svobodo gibanja in dostojanstvo posameznikov. Pred uvedbo konkretne aplikacije je upravljavec v skladu z zahtevami 13. člena Splošne uredbe dolžan uporabnike seznaniti z aplikacijo, namenom in načinom njene uvedbe, njenim delovanjem, s primeri in nameni, za katere bodo pridobljeni podatki uporabljeni ter drugimi informacijami o obdelavi osebnih podatkov, do katere bo prišlo pri njeni uporabi.
IP poudarja, da mora upravljavec ob tem poskrbeti tudi za ustrezno varnost uporabe posamezne rešitve (s t.i. tehnično-organizacijskimi ukrepi za zagotavljanje varnosti osebnih podatkov) in nosi tudi odgovornost za ustrezno izvedbo teh ukrepov (enako velja tudi za primere zlorab). IP posebej poudarja, da gre pri obdelavi lokacijskih podatkov za obdelavo posebej občutljivih osebnih podatkov, saj se z njihovo obdelavo lahko spremlja gibanje posameznika in zloraba teh podatkov lahko grobo poseže v njegove pravice.
V danem primeru je treba upoštevati tudi določbo 225. člena Zakona o elektronskih komunikacijah (ZEKom-2: Uradni list RS, št. 130/22, 18/23 – ZDU-1O, 40/25 – ZInfV-1), v skladu s katero bi moral upravljavec posameznike pred namestitvijo aplikacije na njihove zasebne telefone obvestiti o obdelavi njihovih podatkov in pridobiti njihovo privolitev, ki mora biti skladna tudi z določbami Splošne uredbe.
Glede privolitve IP pojasnjuje, da so pogoji, po katerih se šteje, da je privolitev veljavna, določeni v 7. členu Splošne uredbe. Privolitev posameznika mora biti konkretna, razumljiva izjava ali drugo nedvoumno pritrdilno dejanje in dokazljiva. Molk ali kakršnakoli nedejavnost tako ne pomeni privolitve. Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen. Namen mora biti jasno in nedvoumno opredeljen, saj je konkreten, ekspliciten in legitimen namen obdelave predpogoj za pridobitev veljavne privolitve. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče. IP poudarja, da o svobodnosti privolitve lahko govorimo le v primeru, da njena zavrnitev nima kakršnihkoli negativnih posledic za posameznika.
Več informacij o privolitvi lahko najdete lahko najdete tudi na spletni strani IP:
IP splošno vsem subjektom, ki razmišljajo o uvedbi podobnih rešitev, kot jo navajate v vašem zaprosilu za mnenje, priporoča, da v skladu s 35. členom Splošne uredbe izvedejo oceno učinka v zvezi z varstvom osebnih podatkov. Gre za vnaprejšnjo presojo, ali oziroma pod kakšnimi pogoji bi bila predlagana rešitev zakonita, sorazmerna, transparentna, varna itd. Zelo pomembno je izhajati iz težav, ki naj bi jih reševali z uvedbo rešitve, pri čemer je treba realno oceniti, ali se bo na tak način dejansko doseglo zasledovane cilje in ali teh ciljev ni mogoče doseči na drug način, ki bi manj posegal v pravice posameznika.
IP nadalje pojasnjuje, da je v skladu s prvim odstavkom 35. člena Splošne uredbe temeljni kriterij za vprašanje, kdaj je ocena učinkov obvezna, zlasti ocena, ali bo obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov. Dodatni kriteriji so opredeljeni v tretjem odstavku istega člena.
Ob tem je treba preveriti tudi, ali gre morda za obliko obdelave iz Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku 35. člena Splošne uredbe in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. IP je pripravil tak seznam in ga objavil na spletni strani:
IP pojasnjuje, da se navedeni kriteriji lahko uporabljajo prepleteno in ne predstavljajo izključnega seznama. Glede na navedbe v vašem zaprosilu za mnenje IP meni, da bi morda ob uvedbi konkretne rešitve lahko bili izpolnjeni najmanj kriteriji iz točke 4 (obsežna obdelava lokacijskih podatkov) navedenega seznama. IP močno odsvetuje implementacijo podobnih rešitev brez ustrezno izvedenih predhodnih ocen učinkov na varstvo osebnih podatkov.
Več informacij o sami izdelavi ocene učinka je na voljo v smernicah, ki jih je pripravil IP in so dostopne na spletni strani IP:
Pri izvedbi posameznih postopkov in ukrepov je torej treba vedno upoštevati tudi načelo sorazmernosti in vedno izbrati tisti ukrep, ki najmanj poseže v pravice uporabnika glede na zasledovani zakoniti cilj. Posameznih ukrepov torej ne bi smeli odrejati, če je mogoče primerljiv učinek doseči z milejšimi ukrepi. Če se na ravni posameznega upravljavca določen ukrep opredeli kot nujen, potreben in učinkovit, pa ga je treba izvajati na način, ki najmanj posega v zasebnost posameznika in brez prekomerne obdelave osebnih podatkov.
IP ponavlja, da v okviru neobvezujočega mnenja ne more presojati ustreznosti posameznih rešitev oziroma ravnanja posameznih zavezancev, ampak to lahko presoja le v okviru konkretnega nadzornega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je primarno vedno na upravljavcu osebnih podatkov. Upravljavec je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.
Lepo vas pozdravljamo.
Pripravil:
Matej Sironič,
Svetovalec pooblaščenca I
dr. Jelena Virant Burnik,
Informacijska pooblaščenka