Osebni podatki za ponudbo

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Zanima vas, v kakšnih primerih mora prodajalec osebne podatke posameznika, ki želi prejeti informativno ponudbo, vnesti v lasten sistem ter ali predstavljajo dejanja prodajalcev, ki jih opisujete, kršitev varstva osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

IP uvodoma poudarja, da izven konkretnih inšpekcijskih ali drugih upravnih postopkov ne sme presojati ustreznosti ravnanja posameznega upravljavca. Presoja zakonitosti posameznih obdelav oziroma spoštovanje zakonodaje s področja varstva osebnih podatkov se namreč opravi v postopku inšpekcijskega nadzora, v katerem so udeležencem postopka zagotovljene vse varovalke in procesne pravice. Mnenja IP pa so namenjena podaji načelnih in splošnih stališč glede interpretacije določb predpisov, ki se nanašajo na varstvo osebnih podatkov.

Zbiranje osebnih podatkov s strani prodajalca predstavlja vrsto obdelave osebnih podatkov. Za vsako obdelavo pa mora imeti upravljavec zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe (privolitev, pogodba, zakon itn.). Skladno s členom 6(1)(b) je obdelava dopustna, če je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe. To pomeni, da lahko, kadar se posameznik, na katerega se nanašajo osebni podatki, obrne na upravljavca in poizveduje o podrobnostih upravljavčevih ponudb, obdelava osebnih podatkov o posamezniku za namen odziva prodajalca na njegovo poizvedbo temelji na členu 6(1)(b) Splošne uredbe.

Kot že navedeno, pa IP v okviru mnenja ne more dokončno presoditi, katere osebne podatke lahko avto-hiša zbira od vas za namen izstavitve informativne ponudbe, niti odgovoriti, v kakšnih primerih vas »mora prodajalec vnesti v sistem«. Pomembno pa je, da morajo biti osebni podatki, ki se zbirajo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (načelo najmanjšega obsega podatkov iz člena 5(1)(c) Splošne uredbe), s čimer se prepreči zbiranje osebnih podatkov »na zalogo«. Prodajalci lahko torej od posameznikov zbirajo zgolj tiste osebne podatke, ki jih potrebujejo za dosego konkretno opredeljenega namena.

Na koncu IP še izpostavlja, da se to mnenje nanaša le na vprašanja varstva osebnih podatkov, ne pa tudi na vprašanja prometa blaga in storitev ali varstva potrošnikov, saj je za nadzor nad tem področjem pristojen tržni inšpektorat.

Lep pozdrav,

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,

                                                                                                             informacijska pooblaščenka

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov