Ustreznost obdelave OP ob izvajanju telefonskega anketiranja

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede ustreznosti telefonskega anketiranja in obdelave osebnih podatkov v tem okviru.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru mnenja tako ne more presojati skladnosti konkretnega ravnanja izvajalca ankete iz vašega zaprosila za mnenje s pravili varstva osebnih podatkov.

IP splošno pojasnjuje, da Splošna uredba o varstvu podatkov v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
4. obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
5. obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Privolitev posameznika je torej v skladu s točko a) prvega odstavka 6. člena Splošne uredbe o varstvu osebnih podatkov ena od možnih pravnih podlag za zakonito obdelavo osebnih podatkov. Pri tem je treba upoštevati podrobnejša določila glede pogojev, po katerih se šteje, da je privolitev veljavna, ki so določeni v 7. členu Splošne uredbe o varstvu podatkov. Privolitev posameznika mora biti konkretna, razumljiva izjava ali drugo nedvoumno pritrdilno dejanje in dokazljiva. Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen. IP poudarja, da mora biti privolitev v primerih, ko obdelava podatkov vključuje več različnih namenov, podana za vsak namen posebej. Upravljavec mora pridobiti več ločenih privolitev za vsako obdelavo posebej (granularnost oziroma razčlenjenost privolitev). Namen mora biti jasno in nedvoumno opredeljen, saj je konkreten, ekspliciten in legitimen namen obdelave predpogoj za pridobitev veljavne privolitve. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče.

Predhodna informiranost posameznika o obdelavi njegovih podatkov je torej ključen element zakonite obdelave osebnih podatkov, saj se lahko le na podlagi ustreznih informacij o tem, komu lahko zaupa določene svoje podatke in za kakšen namen, posameznik svobodno odloči, ali bo to storil ali ne. IP tako pojasnjuje, da mora biti končna presoja v posameznikovih rokah, saj je prostovoljnost eden bistvenih elementov veljavne privolitve.

Več informacij o privolitvi lahko najdete lahko najdete tudi na spletni strani IP:

https://www.ip-rs.si/?id=102

IP ob tem opozarja, da je v vsakem primeru treba zagotoviti, da so posamezniki primerno obveščeni o obdelavi njihovih osebnih podatkov v skladu z določbami 13. člena Splošne uredbe o varstvu podatkov.

Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov anketirancev, kolikor je nujno potrebno za izpolnitev namena v konkretnem primeru (glede na navedbe iz vašega zaprosila za mnenje je to ugotavljanje gledanosti TV programov).

Glede pravice do izbrisa IP pojasnjuje, da Splošna uredba o varstvu podatkov pravico do izbrisa (»pravico do pozabe«) ureja v 17. členu, ki v prvem odstavku določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:

1. osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;
2. posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava in kadar za obdelavo ne obstaja nobena druga pravna podlaga;
3. posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1) uredbe, za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2) uredbe;
4. osebni podatki so bili obdelani nezakonito;
5. osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom EU ali pravom države članice, ki velja za upravljavca;
6. osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1) uredbe.

V konkretnem primeru bi glede na navedbe iz vašega zaprosila za mnenje morda v poštev lahko prišla točka b), ob tem pa IP ponavlja, da v okviru nezavezujočega mnenja tega ne more presojati.

IP glede pravice do izbrisa pojasnjuje še, da izjemo od zgoraj predstavljenih določb predstavlja tretji odstavek 17. člena Splošne uredbe o varstvu podatkov, ki določa, da se prvi odstavek ne uporablja, če je obdelava potrebna:

1. za uresničevanje pravice do svobode izražanja in obveščanja;
2. za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;
3. iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (h) in (i) člena 9(2) ter členom 9(3);
4. za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinsko raziskovalne namene ali statistične namene v skladu s členom 89(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali
5. za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

Splošna uredba o varstvu podatkov torej posameznikom omogoča uveljavljanje pravice do izbrisa pri vseh upravljavcih ne glede na njihovo področje delovanja, vendar ta ni absolutna, ampak njeno uresničevanje poteka v skladu z zgoraj navedenimi pogoji. Ob prejemu vsake zahteve za izbris osebnih podatkov mora upravljavec najprej temeljito preveriti, ali mora dejansko ugoditi zahtevi posameznika in osebne podatke izbrisati ali pa obstajajo drugi razlogi za nadaljnjo hrambo osebnih podatkov, na podlagi katerih se zahtevi za izbris ne more ugoditi.

Glede pravice do ugovora, ki jo prav tako navajate v vašem zaprosilu za mnenje, IP pojasnjuje, da je v skladu z določbo 21. člena Splošne uredbe o varstvu podatkov ugovor obdelavi osebnih podatkov povezan z obdelavo osebnih podatkov na pravni podlagi zakonitih interesov javnega ali zasebnega sektorja (točki (e) in (f) prvega odstavka 6. člena Splošne uredbe o varstvu podatkov).

IP sklepno ponavlja, da v okviru mnenja ne more dokončno presojati konkretnih obdelav osebnih podatkov. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo in odgovornost zanjo je vedno na upravljavcu osebnih podatkov (v konkretnem primeru izvajalcu ankete).

V kolikor posameznik meni, da so mu bile kršene pravice v zvezi z varstvom osebnih podatkov, lahko pri IP vloži prijavo po elektronski pošti na naslov gp.ip@ip-rs.si, oz. po navadni pošti na naslov: Informacijski pooblaščenec, Dunajska cesta 22, 1000 Ljubljana. To lahko stori tudi preko obrazca, ki je dostopen na spletni strani IP:

https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/vlozitev-prijave

S spoštovanjem.

Pripravil:

Matej Sironič,                                                   

Svetovalec pooblaščenca

za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka