Obdelava osebnih podatkov mladoletnikov pri spletnem nakupu

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede obdelave osebnih podatkov pri spletnem nakupu. Navajate, da spletna platforma za uveljavljanje popusta za otroke od uporabnikov zahteva nalaganje fotografije osebnega dokumenta otroka (osebne izkaznice ali potnega lista), pri čemer vas zanima predvsem skladnost takšne obdelave z zakonodajo o varstvu osebnih podatkov, vprašanje odgovornosti vašega podjetja ter pravila glede kopiranja osebnih dokumentov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1 in 10/26 – ZP-1L, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. 

Za zakonitost obdelave osebnih podatkov na spletni platformi je v skladu s Splošno uredbo odgovoren upravljavec osebnih podatkov, to je subjekt, ki določa namene in sredstva obdelave osebnih podatkov (člen 4(8) Splošne uredbe).

Ali je v konkretnem primeru za preverjanje upravičenosti do popusta dejansko nujno zbirati celotno fotografijo osebnega dokumenta, vključno s fotografijo posameznika in vsemi podatki, ali bi bilo mogoče namen doseči z manj invazivnim načinom preverjanja, IP v okviru tega mnenja ne more presoditi. IP pa poudarja, da mora upravljavec v vsakem primeru zagotoviti pravno podlago za obdelavo osebnih podatkov in spoštovati načela obdelave iz 5. člena Splošne uredbe, vključno z načelom najmanjšega obsega podatkov ter biti sposoben izkazati, da je obseg zbranih osebnih podatkov nujen za dosego zakonitega namena obdelave. Kopiranje osebne izkaznice oziroma potnega lista posebej urejata tudi Zakon o osebni izkaznici in Zakon o potnih listinah.

O b r a z l o ž i t e v:

IP uvodoma pojasnjuje, da v okviru izdaje nezavezujočega mnenja ne more presojati zakonitosti konkretne obdelave osebnih podatkov ali ravnanja posameznega upravljavca. Presoja, ali je obdelava osebnih podatkov v posameznem primeru skladna s Splošno uredbo, ZVOP-2 in drugimi področnimi predpisi, je namreč mogoča le v okviru inšpekcijskega ali drugega (upravnega) postopka, v katerem se ugotavljajo vsa relevantna dejstva in okoliščine konkretnega primera.

Za zakonitost obdelave osebnih podatkov na spletni platformi je v skladu s Splošno uredbo odgovoren upravljavec osebnih podatkov, to je subjekt, ki določa namene in sredstva obdelave osebnih podatkov (člen 4(8) Splošne uredbe). Na podlagi vašega opisa IP razume, da spletno platformo za nakup dovolilnic upravlja občina oziroma drug subjekt, ki je določil način preverjanja upravičenosti do popusta. Če to drži, je ta subjekt kot upravljavec odgovoren za zagotavljanje zakonite obdelave osebnih podatkov, spoštovanje načel iz 5. člena Splošne uredbe, določitev ustrezne prave podlage za zbiranje in nadaljnjo obdelavo osebnih podatkov, izvajanje ustreznih tehničnih in organizacijskih varnostnih ukrepov ter izpolnjevanje vseh drugih obveznosti, ki jih določata Splošna uredba in ZVOP-2.

Glede vprašanja kopiranja osebnih podatkov IP pojasnjuje, da to področje posebej urejata tudi Zakon o osebni izkaznici (ZOIzk-1) in Zakon o potnih listinah (ZPL). Oba zakona določata, da je osebno izkaznico oziroma potni list dovoljeno kopirati le v primerih, ki jih določa zakon. Kopiranje je dopustno tudi na podlagi pisne privolitve imetnika dokumenta za vnaprej določene namene. Poleg tega mora biti na kopiji z ustrezno oznako zagotovljeno, da se ne bo uporabljala za druge namene. IP ob tem pojasnjuje, da pravna podlaga za kopiranje osebne izkaznice oziroma potnega lista ne izhaja iz 94. člena ZVOP-2. Upravljavec mora poleg zagotavljanja skladnosti obdelave z načeli iz 5. člena Splošne uredbe zagotoviti tudi obstoj ene od pravnih podlag za obdelavo osebnih podatkov iz 6. člena Splošne uredbe, ki pa je iz vašega zaprosila ni razbrati.

V zvezi z vprašanjem, ali je zahteva po nalaganju celotne fotografije osebnega dokumenta skladna z načelom najmanjšega obsega podatkov, IP pojasnjuje, da je eno temeljnih načel varstva osebnih podatkov načelo najmanjšega obsega podatkov iz točke (c) prvega odstavka 5. člena Splošne uredbe. To določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno glede na namene, za katere se obdelujejo. Ali je v konkretnem primeru za preverjanje upravičenosti do popusta dejansko nujno zbirati celotno fotografijo osebnega dokumenta, vključno s fotografijo posameznika in vsemi podatki, ali bi bilo mogoče namen doseči z manj invazivnim načinom preverjanja, IP v okviru tega mnenja ne more presoditi. Takšna presoja je namreč odvisna od vseh okoliščin konkretnega primera, namena obdelave, pravne podlage in dejanskega delovanja informacijskega sistema ter bi jo bilo mogoče opraviti le v okviru nadzornega postopka. IP pa poudarja, da mora upravljavec v vsakem primeru spoštovati načelo najmanjšega obsega podatkov in biti sposoben izkazati, da je obseg zbranih osebnih podatkov nujen za dosego zakonitega namena obdelave.

IP ni pristojen nalagati zasebnim subjektom obveznosti, da uporabnike opozarjajo na domnevna varnostna tveganja informacijskih sistemov drugih upravljavcev. Ali in na kakšen način boste svoje stranke obveščali o različnih možnostih nakupa dovolilnic, je poslovna odločitev vašega podjetja. Ob tem pa lahko strankam na splošno priporočite, naj se pred posredovanjem osebnih podatkov seznanijo z informacijami upravljavca o obdelavi osebnih podatkov in politiko zasebnosti.

Če menite, da upravljavec osebnih podatkov osebne podatke obdeluje v nasprotju s predpisi o varstvu osebnih podatkov, lahko pri IP vložite prijavo zaradi domnevnih kršitev. V takšnem primeru bi IP v okviru svojih zakonskih pristojnosti presodil, ali so podani pogoji za uvedbo inšpekcijskega postopka.

Lepo vas pozdravljamo.

dr. Jelena Virant Burnik, 
informacijska pooblaščenka

Financira Evropska unija. Izražena stališča in mnenja so izključno mnenja avtorja in ne odražajo nujno stališč in mnenj Evropske unije ali Evropske komisije. Niti Evropska unija niti organ, ki dodeljuje sredstva, zanje ne odgovarjata.