Pridobivanje podatkov iz javnih evidenc za neposredno trženje

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste prejeli dopis nepremičninske agencije, v katerem vas sprašujejo, če želite prodati nepremičnino. Zanima vas, ali se agencija res lahko zanaša na zakoniti interes za pridobivanje osebnih podatkov iz uradnih javnih evidenc (povezovanjem podatkov) in tako lovi kupce. Skladno s 14. členom Splošne uredbe so vam namreč posredovali informacijo o pravni podlagi in namenih (neposredno trženje) ter vam sporočili, da vam promocijskih sporočil ne bodo več pošiljali. Sprašujete se, kdo ščiti naše podatke pred zlorabo, pred morebitnim kupčevanjem s podatki.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Prejšnja ureditev po ZVOP-1, po kateri je bila dopustna obdelava osebnih podatkov za namene neposrednega trženja po navadni naslovljeni pošti z uporabo javno dostopnih osebnih podatkov, je bila razveljavljena. Neposredno trženje po klasični pošti je po novem dopustno le, če je podana ena izmed pravnih podlag, ki jih opredeljuje Splošna uredba.

Ker se upravljavec sklicuje na zakonite interese, IP poudarja, da mora upravljavec opraviti predhodni test tehtanja in biti sposoben dokazati vse elemente prevladujočega zakonitega interesa, ki jih določa Splošna uredba. Poudarjamo, da neomejena obdelava osebnih podatkov, ki bi jih upravljavec pridobil iz javno dostopnih virov, ni dopustna, prav tako lahko pride do kršitve zakona v primeru ustvarjanja novih zbirk, za katere morda ne obstaja pravna podlaga, ali v primeru uporabe podatkov v nasprotju z zakonodajo, ki določa nekatere omejitve uporabe (denimo iskanje po lastnikih v zemljiški knjigi).

O b r a z l o ž i t e v:

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

V primeru, ki ga opisujete, govorimo o t.i. neposrednem trženju (in sicer prek navadne naslovljene pošte), ki ga je pred uveljavitvijo ZVOP-2 posebej urejal ZVOP-1, po začetku veljavnosti ZVOP-2 pa to področje ni posebej urejeno, zato se uporabljajo »zgolj« splošne določbe Splošne uredbe o obdelavi osebnih podatkov. Pri tem poudarjamo, da je bistvena razlika med trženjem s pomočjo elektronskih komunikacij (e-sporočila, klici, SMS-ji), ki ga ureja Zakon o elektronskih komunikacijah (ZVOP-2), ter trženjem prek navadne naslovljene pošte.

Kot omenjeno, ZVOP-1, ki je omogočal uporabo osebnih podatkov, pridobljenih iz javno dostopnih virov za namene pošiljanje navadne naslovljene pošte, ne velja več. To pomeni, da mora biti tudi za pošiljanje trženjskih sporočil po navadni pošti, kot za vsako drugo obdelavo osebnih podatkov, podana ena od šestih pravnih podlag iz prvega odstavka 6. člena Splošne uredbe.

Slednji kot možne pravne podlage določa:

• privolitev (točka a)),
• sklenitev ali izvajanje pogodbe (točka b)),
• zakon (točka c)),
• zaščita življenjskih interesov posameznika (točka d)),
• izvajanje javne naloge (točka e) v zvezi s četrtim odstavkom 6. člena ZVOP-2),
• zakoniti interesi upravljavca, če ne prevladajo interesi in pravice oz. svoboščine posameznika (točka f)).

Upravljavec se je v dveh različnih dopisih (oba po uveljavitvi ZVOP-2) skliceval na 72. člen ZVOP-1 (trženje s pomočjo osebnih podatkov, pridobljenih iz javno dostopnih virov) ter na t.i. zakonite interese v smislu točke (f) prvega odstavka 6. člena Splošne uredbe.

Na tem mestu ponovno poudarjamo, da 72. člen ZVOP-1 ne velja več, zato je sklicevanje upravljavca na to pravno podlago neupravičeno, podrobno pa je treba raziskati sklicevanje na zakoniti interes upravljavca.

IP pri tem poudarja, da mora upravljavec na podlagi okoliščin posameznega primera obdelave osebnih podatkov z izvedbo predhodnega testa tehtanja oceniti, ali so izpolnjeni pogoji za uporabo zakonitega interesa kot ustrezne pravne podlage. S takšnim testom, ki mora biti zaradi namenov dokazovanja v pisni obliki, upravljavec znotraj svojih procesov presoja, ali so nameni, za katere si prizadeva, zakoniti, ali je obdelava podatkov primerna in nujna za doseganje teh namenov ter ali obstaja ravnovesje med zasledovanim ciljem na eni strani in posegom v pravice in svoboščine posameznikov na drugi.

Da bi se upravljavec lahko zanašal na pravno podlago iz točke (f) prvega odstavka 6. člena Splošne uredbe, morajo biti torej podani trije kumulativni pogoji:

(1)     interes upravljavca mora biti zakonit (pri čemer je možno za pomoč pri interpretaciji uporabiti tudi na angleško različico, ki uporablja besedo "legitimen"), takšen interes pa mora biti jasno izražen, resničen in obstoječ ter utemeljen na nacionalnem pravu ali pravnih načelih;

(2)     obdelava mora biti nujna za doseganje zakonitega interesa, za katerega si prizadeva upravljavec;

(3)     interesi ali temeljne pravice in svoboščine posameznika ne prevladajo nad interesi upravljavca. Na tem mestu je potrebno izvesti test tehtanja med interesi upravljavca in interesi ali temeljnimi pravicami in svoboščinami posameznika.

Koristno se je ozreti tudi na uvodno določbo (47) Splošne uredbe, ki govori v tem, da je bi bila v vsakem primeru za ugotovitev obstoja zakonitega interesa potrebna skrbna ocena, tudi glede tega, ali posameznik, na katerega se nanašajo osebni podatki, lahko v času zbiranja osebnih podatkov in v njegovem okviru razumno pričakuje, da se bodo ti obdelali v zadevni namen. Interesi in temeljne pravice posameznika, na katerega se nanašajo osebni podatki, bi zlasti lahko prevladali nad interesi upravljavca podatkov, kadar se osebni podatki obdelujejo v okoliščinah, ko posamezniki, na katere se nanašajo osebni podatki, razumno ne pričakujejo nadaljnje obdelave. […]

Pri presoji zakonitega interesa upravljavca je okoliščina, da naj bi bili osebni podatki pridobljeni iz katastra nepremičnin in zemljiške knjige (torej iz javnih evidenc), zgolj eden od faktorjev, ki se lahko uporabi pri izvedbi testa tehtanja v okviru pravne podlage iz točke (f) prvega odstavka 6. člena Splošne uredbe. Vprašanje, ki se pri tem postavlja, je predvsem tehtaje interesov in pravic posameznika v razmerju do upravljavca ter v okviru tega »razumno pričakovanje« posameznika, da se bodo osebni podatki iz omenjenih javnih knjig obdelovali za namene neposrednega trženja.

Ob tem moramo močno poudariti, da uporaba osebnih podatkov iz javnih evidenc nikakor ne more biti neomejena, saj bi bilo to v nasprotju tako z načelom omejitve namena in načelom sorazmernosti (oz. najmanjšega obsega podatkov). Zato IP svari pred interpretacijo, da lahko vsaka obdelava osebnih podatkov iz javno dostopnih virov zadosti kriterijem obdelave na podlagi zakonitih interesov upravljavca. Če nič drugega, bi se na ta način lahko zaobšlo izrecne določbe specialne zakonodaje (na primer zakona, ki ureja zemljiško knjigo), po katerih je strogo omejena uporaba osebnih podatkov na določen način (na primer, po zemljiški knjigi je onemogočeno iskanje po lastnikih). Prav tako opozarjamo na morebitno ustvarjanje novih zbirk osebnih podatkov, kar upravljavec v konkretnem primeru sicer zanika. Tudi za ustvarjanje morebitne nove zbirke osebnih podatkov bi morala biti podana ustrezna pravna podlaga iz prvega odstavka 6. člena Splošne uredbe.

IP kot nadzorni organ po uveljavitvi ZVOP-2 še ni izoblikoval prakse, iz katere bi lahko črpali katere druge splošne usmeritve glede presoje zakonitih interesov na področju neposrednega trženja iz javnih evidenc, kot smo jih podali zgoraj.

Za zaključek naj omenimo možnost podaje pritožbe zaradi domnevne kršitve vaših pravic do varstva osebnih podatkov, če menite, da je upravljavec zlorabil vaše osebne podatke oziroma jih obdeloval nezakonito. Pri tem si lahko pomagate z neobveznim obrazcem pritožbe, ki je objavljen na spletni strani IP: https://www.ip-rs.si/obrazci/.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov