Uničenje reklamirane fotoknjige pri ponudniku storitev

pri Informacijskem pooblaščencu (IP) smo dne 13. 1. 2023 prejeli vaše vprašanje o tem, ali in na kateri podlagi bi moralo podjetje, ki izdeluje fotoknjige (ponudnik) uničiti reklamiran in vrnjen izvod fotoknjige. V fotoknjigi, ki ste jo reklamirali so namreč fotografije, na katerih ste vi in vaši otroci. Po reklamaciji ste prejeli novo fotoknjigo. Zanima vas, ali imate v zvezi s tem kakšne pravice oziroma, ali ima podjetje kakšne dolžnosti glede nadaljnje uporabe fotoknjige.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Pojasnjujemo še, da se IP lahko dokončno opredeljuje do konkretnih primerov obdelav osebnih podatkov le v inšpekcijskih in pritožbenih postopkih.

Po trenutno veljavni zakonodaji in po določbah novega Zakona o varstvu osebnih podatkov (ZVOP-2), ki se začne uporabljati 26. 1. 2023, mora ponudnik storitev izdelave fotoknjig reklamirano fotoknjigo, ki je bila vrnjena, v primernem času uničiti ali nepovratno anonimizirati.

To lahko neposredno od ponudnika zahtevate tudi sami v okviru pravice do izbrisa osebnih podatkov. V primeru zavrnitve vaše zahteve ali v primeru molka ponudnika (rok za odgovor je en mesec), lahko pri IP vložite pritožbo.

Enako velja za digitalne fotografske posnetke, ki ste jih posredovali po spletu ob naročilu.

O b r a z l o ž i t e v:

Izhajamo iz predpostavke, da se vrnjena fotoknjiga pri konkretnem ponudniku vodi kot ali v okviru neke zbirke osebnih podatkov, na primer skupaj s podatki o naročilu, reklamaciji in plačilu. Tako po Splošni uredbi o varstvu podatkov kot po ZVOP-2, se pravila varstva osebnih podatkov nanašajo le na osebne podatke, ki se obdelujejo v okviru neke zbirke osebnih podatkov ali ki se obdelujejo avtomatizirano. Poleg tega predpostavljamo, da so na fotografijah določljive osebe; v nasprotnem primeru namreč ne gre za osebne podatke.

Po (b) točki prvega odstavka 5. člena Splošne uredbe o varstvu podatkov so osebni podatki lahko zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (načelo omejitve namena). Po (e) točki prvega odstavka 5. člena Splošne uredbe o varstvu podatkov so osebni podatki lahko hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo (načelo omejitve shranjevanja). Če se v pogodbenem razmerju s ponudnikom ali na podlagi privolitve niste dogovorili drugače ali če za nadaljnjo hrambo ne obstaja kakšna druga pravna podlaga (npr. (f) točka prvega odstavka 6. člena Splošne uredbe o varstvu podatkov), mora torej ponudnik kot upravljavec osebnih podatkov uničiti vrnjeno fotoknjigo takoj, ko ta ni več potrebna za izvršitev naročila in reklamacijskega postopka.

Tudi ZVOP-2, ki se bo začel uporabljati 26. 1. 2023, v tretjem odstavku 43. člena določa, da če drug zakon za posamezne vrste osebnih podatkov ne določa drugače, se po izpolnitvi namena obdelave osebni podatki izbrišejo, uničijo ali anonimizirajo oziroma se izvede drug postopek, ki onemogoča identifikacijo posameznika, na katerega se nanašajo osebni podatki.

Predlagamo vam, da za izbris oziroma uničenje ponudnika zaprosite tudi sami, in sicer na podlagi (a) točke prvega odstavka 17. člena Splošne uredbe o varstvu podatkov, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, če osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani ((a) točka) ali če posameznik prekliče privolitev in za obdelavo ne obstaja nobena druga pravna podlaga ((b) točka) ali če posameznik obdelavi ugovarja po prvem odstavku 21. člena Splošne uredbe o varstvu podatkov, za obdelavo po ne obstajajo nobeni prevladujoči zakoniti razlogi ((c) točka). Pri tem si lahko pomagate z vzorcem zahteve za izbris osebnih podatkov, ki je dostopen na naslednji povezavi: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. Če ponudnik na zahtevo ne bo odgovoril v enem mesecu ali če bo zahtevo pisno zavrnil, lahko pri IP vložite pritožbo. V primeru zavrnitve je rok za pritožbo 15 dni.

Lepo vas pozdravljamo,

Pripravil:

mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka