Ankete po telefonu in uvrstitev telefonske številke na črno listo
+ -Številka: 07121-1/2022/1284
Kategorije: Neposredno trženje, nagradne igre, Pravica do seznanitve z lastnimi osebnimi podatki, Pravica do ugovora, Pravne podlage
Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da so vas klicali iz podjetja, ki opravlja telefonske ankete. Ker vaša telefonska številka ni nikjer objavljena, ste želeli izvedeti, kje so dobili vaše osebne podatke (poleg mobilne številke tudi ime in priimek). Glede vaših poizvedb so vas napotili na vašega mobilnega operaterja, če pa ne želite, da vas ponovno kličejo, pa so vam pojasnili, da lahko vaš kontakt vključijo na črno listo – torej vaše številke ne bi izbrisali, samo prestavili na drug seznam. Operaterja ste prosili, naj vam sporoči, ali so posredovali vašo številko v javno objavo ali tretji osebi brez vašega soglasja, IP pa prosite, da presodi, ali bi šlo lahko za kršitev varstva osebnih podatkov.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.
Vsaka obdelava osebnih podatkov mora potekati na ustrezni pravni podlagi in mora biti torej zakonita. V vašem primeru je najprej vprašanje, ali je šlo za neposredno trženje (ponujanje blaga, storitev…) ali zgolj za anketo v smislu raziskave mnenj. V vsakem primeru vam zakonodaja nudi vrsto pravic (pravico do informacij o obdelavi vaših osebnih podatkov, pravico do ugovora, izbrisa vaših osebnih podatkov) ter možnost prijave v primeru domnevno nezakonite obdelave osebnih podatkov.
Obrazložitev
Vaš dopis se dotika treh bistvenih vidikov varstva osebnih podatkov: vprašanja zakonitosti obdelave vaših osebnih podatkov (vprašanje pravne podlage); vprašanja dostopa do informacij o obdelavi vaših osebnih podatkov; ter vprašanja prepovedi uporabe vaših osebnih podatkov.
Uvodoma pojasnjujemo, da v kolikor anketni center, ki vas je kontaktiral, nastopa v vlogi upravljavca osebnih podatkov, je dolžan izpolnjevati vse obveznosti, ki mu jih kot upravljavcu osebnih podatkov nalaga Splošna uredba o varstvu podatkov. IP se sicer glede na podatke, ki ste jih posredovali, ne more opredeliti do tega, zakaj vas je anketni center napotil na vašega mobilnega operaterja in ali gre med njima za vprašanje pogodbene obdelave, torej ali anketni center ankete opravlja v imenu in za račun mobilnega operaterja in je s tem v zvezi njegov pogodbeni obdelovalec. Pogodbeni obdelovalci osebnih podatkov imajo prav tako obveznosti po Splošni uredbi, posebej glede zagotavljanja zakonitosti obdelave osebnih podatkov, v primeru uresničevanja pravic posameznika po 15. členu Splošne uredbe (pravica do dostopa do osebnih podatkov in informacij o obdelavi osebnih podatkov) pa mora obdelovalec predvsem pomagati upravljavcu osebnih podatkov pri izvrševanju pravic posameznika.
1. O zakonitosti obdelave osebnih podatkov
IP v konkretnem primeru nima zadosti informacij, da bi lahko sklepal, ali gre v vašem primeru za obdelavo osebnih podatkov za namene izvajanja neposrednega trženja (t.j. za namene ponujanja blaga, storitev, zaposlitev ali začasnega opravljanja del) ali pa je šlo za »običajno« obdelavo osebnih podatkov za opravljanje ankete / raziskave mnenj brez namena ponujanja blaga, storitev, zaposlitev… Zato vam v nadaljevanju predstavljamo zakonski okvir za vsako od navedenih dveh možnosti posebej.
a. Neposredno trženje
Izvajanje neposrednega trženja z uporabo govornih telefonskih klicev je primarno urejeno v 226. členu Zakona o elektronskih komunikacijah (Uradni list RS, št. 130/22; v nadaljevanju ZEKom-2), ki določa, da je opravljanje telefonskih klicev z namenom neposrednega trženja fizični osebi dovoljeno le s soglasjem naročnika ali uporabnika oz. pod določenimi pogoji, če so podatki objavljeni v javnem imeniku (217. člen ZEKom-2).
Nadzor nad določbami ZEKom-2 izvaja Agencija RS za komunikacijska omrežja in storitve (AKOS). Informacijski pooblaščenec ni pristojen za nadzor nad trženjem po telefonu. V zvezi z neposrednim trženjem vam svetujemo, da se obrnete na AKOS.
b. Obdelava osebnih podatkov brez elementov neposrednega trženja
V kolikor v vašem primeru ni šlo za neposredno trženje, veljajo glede vprašanja zakonitosti oziroma pravnih podlag za obdelavo osebnih podatkov določbe Splošne uredbe, in sicer je v prvem odstavku 6. člena omenjene uredbe določeno, da je obdelava med drugim zakonita, če je podana privolitev posameznika, če je obdelava potrebna za izvajanje pogodbe, za izpolnitev zakonske obveznosti upravljavca, za zaščito življenjskih interesov posameznika, zaradi javnega interesa ali zakonitih interesov upravljavca (vse pod določenimi strogimi pogoji).
V zvezi s tem si lahko podrobneje ogledate tudi mnenje IP št. 07121-1/2021/2227 z dne 11. 11. 2021 o ustreznost obdelave OP ob izvajanju telefonskega anketiranja (na voljo na: https://www.ip-rs.si/mnenja-gdpr/ustreznost-obdelave-op-ob-izvajanju-telefonskega-anketiranja-1636704868).
Če osebne privolite v niste podali, obenem pa vam upravljavec osebnih podatkov ne more izkazati zakonitosti obdelave osebnih podatkov na kakšni drugi pravni podlagi, lahko podate tudi prijavo zaradi kršitve varstva osebnih podatkov pri IP. Na voljo je obrazec za prijavo kršitve: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/, obrazec Prijava kršitve varstva osebnih podatkov (Obrazec ZIN PRIJAVA)).
2. O dostopu do informacij o obdelavi vaših osebnih podatkov
Posameznik ima tako skladno s prvim odstavkom 15. člena pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:
(a) namene obdelave;
(b) vrste zadevnih osebnih podatkov;
(c) uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah;
(d) kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;
(e) obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;
(f) pravico do vložitve pritožbe pri nadzornem organu;
(g) kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;
(h) obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.
Vse navedene informacije lahko zahtevate od upravljavca vaših osebnih podatkov. Če je torej anketni center upravljavec vaših osebnih podatkov, je vsekakor dolžan podati ustrezne informacije na podlagi vaše zahteve. Svetujemo vam, da zahtevo vložite pisno, saj imate v primeru zavrnitve ali neodziva upravljavca možnost pritožbe pri Informacijskem pooblaščencu. Več o pravici po 15. členu Splošne uredbe si lahko preberete na posebnem portalu IP: https://tiodlocas.si/kako-uveljavim-svoje-pravice/. Na voljo so tudi obrazci za zahtevo in pritožbo v zvezi s pravico do seznanitve z lastnimi osebnimi podatki (https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/)..
Če je anketni center le pogodbeni obdelovalec, pa se morate s svojo zahtevo obrniti na dejanskega upravljavca vaših osebnih podatkov.
3. Prenehanje uporabe osebnih podatkov in preklic privolitve
a. Neposredno trženje
Posameznik lahko v skladu s 73. členom ZVOP-1 kadarkoli pisno ali na drug dogovorjen način zahteva, da upravljavec osebnih podatkov trajno ali začasno preneha uporabljati njegove osebne podatke za namen neposrednega trženja. V takšnem primeru govorimo o t.i. blokadi uporabe osebnih podatkov in ne o izbrisu. Upravljavec osebnih podatkov je dolžan v 15 dneh ustrezno preprečiti uporabo osebnih podatkov za namen neposrednega trženja ter o tem v nadaljnjih petih dneh pisno ali na drug dogovorjen način obvestiti posameznika, ki je to zahteval. Stroške vseh dejanj upravljavca osebnih podatkov v zvezi z zahtevo iz prejšnjega odstavka krije upravljavec. Uredba obveznosti upravljavca glede informiranja posameznikov še nadgrajuje, in sicer vas IP na tem mestu usmerja na III. poglavje Uredbe, ki ureja pravice posameznika, na katerega se nanašajo osebni podatki (12., 13., 14. in 15. člen). Na pravico do ugovora se nanaša tudi 21. člen Uredbe, ki v drugem odstavku pravi, da kadar se osebni podatki obdelujejo za namene neposrednega trženja, ima posameznik, na katerega se nanašajo osebni podatki, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim za namene takega trženja, vključno z oblikovanjem profilov, kolikor je povezano s takim neposrednim trženjem.
b. Obdelava osebnih podatkov brez elementov neposrednega trženja
Če upravljavec ne izvaja neposrednega trženja in bi obdelava potekala na podlagi vaše privolitve, imate v vsakem trenutku pravico preklicati svojo privolitev. Če pa obdelava ne poteka na podlagi vaše privolitve in se izkaže, da upravljavec vaše podatke obdeluje nezakonito, lahko od njega zahtevate, da nemudoma preneha z obdelavo vaših osebnih podatkov in le-te trajno izbriše (pri čemer ni dovolj, da jih premakne na t.i. črno listo oziroma blokira). Slednje ureja pravica do izbrisa osebnih podatkov iz 17. člena Splošne uredbe. V kolikor upravljavec tej zahtevi ne ugodi, lahko vložite prijavo pri Informacijskem pooblaščencu.
Če povzamemo, situacija je odvisna od tega, ali je anketni center zgolj opravljal anketo (v smislu raziskovanja mnenja) ali je ponujal tudi določeno blago, storitve, zaposlitve ali začasno opravljanje del. Glede na informacije, ki jih imate v zvezi s tem, si lahko v tem mnenju ogledate, kakšne pravice lahko v konkretnem primeru izvršujete in kam lahko podate prijavo v primeru domnevne nezakonitosti obdelave vaših osebnih podatkov.
V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.
Mojca Prelesnik, univ.dipl.prav.,
informacijska pooblaščenka
Pripravila:
mag. Polona Merc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov