Identifikacija stranke ob osebnem prevzemu paketa

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da v vašo poslovalnico prihajajo stranke, ki želijo prevzeti naročeno blago. Ker paketa ne smete izročiti napačni osebi, morate stranko nekako identificirati. Sprašujete nas, kako naj zaposleni identificira osebo ob prevzemu pripravljenega paketa za osebni prevzem.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Kadar za svojo stranko pripravite paket za osebni prevzem v vaši poslovalnici, lahko stranko ustrezno identificirate, saj je izročitev paketa del izvajanja sklenjene pogodbe. To pomeni, da imate kot upravljavec za identifikacijo stranke pravno podlago v točki (b) prvega odstavka 6. člena Splošne uredbe. Pri tem je treba upoštevati načelo najmanjšega obsega osebnih podatkov ter načelo omejitve namena, poleg tega pa je pomembno tudi načelo preglednosti (transparentnosti), po katerem morate posamezniku omogočiti ustrezne informacije o obdelavi njegovih osebnih podatkov.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče:

• privolitev (točka a)),
• sklenitev ali izvajanje pogodbe (točka b)),
• zakon (točka c)),
• zaščita življenjskih interesov posameznika (točka d)),
• izvajanje javne naloge (točka e) v zvezi s četrtim odstavkom 6. člena ZVOP-2),
• zakoniti interesi upravljavca, če ne prevladajo interesi in pravice oz. svoboščine posameznika (točka f)).

V vašem zaprosilu za mnenje opisujete situacijo, v kateri vaša stranka naroči paket in za prevzem določi možnost osebnega prevzema. Stranko morate po vašem mnenju identificirati za to, da preprečite izročitev predmeta pogodbe napačni osebi. IP meni, da gre pri tem za situacijo iz točke (b) prvega odstavka 6. člena Splošne uredbe, ki določa, da je obdelava zakonita, če je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe.

Izročitev predmeta pogodbe je namreč del samega izvajanja sklenjene pogodbe, kar pomeni, da imate kot upravljavec omenjeno pravno podlago, ki vam omogoča ustrezno identifikacijo stranke, pri čemer smete obdelovati le tiste osebne podatke, ki jih nujno potrebujete za dosego tega namena (identifikacije). Splošna uredba namreč s temeljnimi načeli omejuje obdelavo osebnih podatkov. Načelo najmanjšega obsega podatkov (točka (c) prvega odstavka 5. člena Splošne uredbe) tako določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Načelo omejitve namena (točka (b) prvega odstavka 5. člena Splošne uredbe) pa določa, da morajo biti osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni. Prav tako je pomembno spoštovanje določbe 13. člena Splošne uredbe o zagotavljanju informacij o obdelavi osebnih podatkov, ki jih pridobite od posameznika (načelo transparentnosti obdelave osebnih podatkov), in sicer že pred sklenitvijo same pogodbe oziroma pred obdelavo osebnih podatkov.

Ne gre spregledati, da identifikacijo posameznika omogoča tudi 94. člen ZVOP-2, ki pa sicer ureja identifikacijo nekoliko drugače; za namen identifikacije posameznika ali za namen zagotavljanja točnosti in posodobljenosti osebnih podatkov upravljavcu namreč omogoča »le« vpogled v posameznikove uradne identifikacijske dokumente (osebna izkaznica, potni list, obmejna prepustnica, vozniško dovoljenje, orožni list in uradni identifikacijski dokumenti drugih držav ali mednarodnih organizacij), ne pa na primer zapisovanja številke osebnega dokumenta. V vašem primeru gre po mnenju IP sicer za drugačno situacijo, torej za situacijo iz točke (b) prvega odstavka 6. člena Splošne uredbe.

Za primerjavo si lahko ogledate tudi 85. člen ZVOP-2, ki pod določenimi pogoji dopušča vpogled v uradni identifikacijski dokument pri evidentiranju vstopov in izstopov iz službenih prostorov.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov