Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 06.11.2007
Naslov: Baza strank za neposredno trženje, pridobivanje soglasja na terenu
Številka: 0712-961/2007/2
Vsebina: Neposredno trženje, nagradne igre
Pravni akt: Mnenje

Spoštovani,

Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne 23.10. 2007 prejel vaše e-sporočilo (odstopilo ga je Ministrstvo za pravosodje), v katerem opisujete dejavnost podjetja .... Slovenija in navajate, da želite ustvariti bazo strank, v kateri bi se nahajali imena in priimki ter naslovi vaših strank. Podatki bi se hranili v elektronski obliki v poslovni enoti (podjetje ima v Sloveniji 4 poslovne enote) in bi bili dostopni le prodajalcem in vodstvu posamezne enote. Prodajalci bi imeli podatke na dlančnikih. Sprašujete nas:
1. Ali obstaja kakšen standardni obrazec, s katerim bi na terenu pridobili soglasje strank za obdelavo njihovih osebnih podatkov?
2. Ali je podatek ... ulica, ki bi verjetno že zadostoval za izvedbo načrtovanega poslovnega projekta,  osebni podatek in ali zanj potrebujete soglasje strank?


V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/2007, uradno prečiščeno besedilo; v nadaljevanju ZVOP-1) ter 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/2005 in 51/2007-ZUstS; v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji:

1. Standardni obrazec, s katerim bi na terenu pridobili soglasje strank za obdelavo njihovih osebnih podatkov, ne obstaja, zato vam Pooblaščenec podaja le osnovna navodila za izdelavo obrazca.
2. Če boste v bazi strank uporabili samo naslove (npr. ... ulica 8), potem ne boste upravljali z zbirko osebnih podatkov, saj naslov brez povezave s konkretno osebo še ne predstavlja osebnega podatka.

O b r a z l o ž i t e v:

Osebni podatek je v skladu s 1. točko 6. člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen, pri čemer je posameznik določena ali določljiva fizična oseba, na katero se nanaša osebni podatek. Obdelava osebnih podatkov pomeni v skladu s 3. točko 6. člena ZVOP-1 kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje. Splošna opredelitev obdelave osebnih podatkov je podana v 8. členu ZVOP-1. Ta v 1. odstavku določa, da se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika, 2. odstavek istega člena pa nadalje določa, da mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave osebnih podatkov na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov, ki mora biti ustavno in zakonsko dopusten, obdelovati pa se smejo le tiste osebne podatke, ki so primerni in nujno potrebni za uresničitev opredeljenega namena in ne pomenijo neupravičenega posega v zasebnost in dostojanstvo posameznika. Pri obdelavi osebnih podatkov je potrebno upoštevati načelo sorazmernosti, ki je kot temeljno načelo, opredeljeno v 3. členu ZVOP-1, in določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni, glede na namene, za katere se zbirajo in nadalje obdelujejo. Pravno podlago za obdelavo osebnih podatkov v zasebnem sektorju navaja 10. člen ZVOP-1. Po določbi prvega odstavka 10. člena ZVOP-1 se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Ne glede na navedeno, se lahko v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe (drugi odstavek 10. člena). Ne glede na prvi odstavek 10. člena ZVOP-1 se lahko v zasebnem sektorju obdelujejo osebni podatki, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki.

Glede na vaše navedbe v dopisu, bodo podatki v bazi, ki jo želite vzpostaviti, namenjeni izvajanju neposrednega trženja vaših izdelkov. Neposredno trženje je urejeno v 72. in 73. členu ZVOP-1. Prvi pogoj za dopustnost neposrednega trženja po ZVOP-1 je, da ponudnik osebne podatke  posameznikov, ki jih uporablja za namene neposrednega trženja, pridobi bodisi iz javno dostopnih virov, bodisi v okviru zakonitega opravljanja dejavnosti. Katere osebne podatke lahko izvajalec neposrednega trženja uporablja, določa 2. odstavek 72. člena ZVOP-1, in sicer lahko upravljavec osebnih podatkov za namene neposrednega trženja uporablja le naslednje osebne podatke, ki jih je zbral v skladu s 1. odstavkom 72. člena: osebno ime, naslov stalnega ali začasnega prebivališča, telefonsko številko, naslov elektronske pošte ter številko telefaksa. Na podlagi osebne privolitve posameznika lahko upravljavec osebnih podatkov obdeluje tudi druge osebne podatke, občutljive osebne podatke pa le, če ima za to osebno privolitev posameznika, ki je izrecna in praviloma pisna.

Kot je bilo poudarjeno, lahko osebne podatke posameznikov izvajalec neposrednega trženja pridobi bodisi iz javno dostopnih virov, bodisi v okviru zakonitega opravljanja dejavnosti. Javno dostopen je tisti vir, ki je dostopen vsakomur. Tipični primeri javno dostopnih virov so telefonski imenik, svetovni splet, razne javne evidence ipd. Druga možnost pa je, da ponudnik osebne podatke pridobi v okviru zakonitega opravljanja dejavnosti, torej dejavnosti, ki jo opravlja ponudnik, in ne v okviru dejavnosti nekega drugega subjekta ali opravljanja nezakonite dejavnosti. Pooblaščenec na tem mestu opozarja, da ZVOP-1 ne ureja neposrednega trženja, pri katerem ponudniki uporabnike storitev ali kupce blaga izbirajo naključno (npr. z vročanjem nenaslovljenih oglaševalskih, marketinških in drugih reklamnih sporočil v poštne predalčnike) in ne s pomočjo predhodno pridobljenih osebnih podatkov porabnikov.

Če se boste odločili za pridobivanje osebnih podatkov (ime, priimek, naslov) iz javno dostopnih virov ali od strank na terenu, boste postali upravljavec zbirke osebnih podatkov, kar vas zavezuje k spoštovanju ostalih (ne samo določb, ki se nanašajo na neposredno trženje) določb ZVOP-1, ki se nanašajo na upravljavce zbirk osebnih podatkov (npr. zavarovanje osebnih podatkov).

V primeru pridobivanja podatkov od strank na terenu je priporočljivo, da izdelate obrazec, na katerega bodo stranke vpisale svoje osebne podatke, s podpisom obrazca pa boste pridobili tudi njihovo soglasje za obdelavo osebnih podatkov. Standardni obrazec, s katerim bi na terenu pridobili soglasje strank za obdelavo njihovih osebnih podatkov, ne obstaja. Pooblaščenec vam pri pripravi obrazca svetuje, da:
-    zbirate le tiste podatke, ki so nujno potrebni za izvajanje neposrednega trženja, s čimer boste upoštevali načelo sorazmernosti (3. člen ZVOP-1);
-    navedete namen obdelave osebnih podatkov (npr. da bodo posredovani osebni podatki uporabljeni izključno za namene neposrednega trženja izdelkov ....). V skladu s 16. členom ZVOP-1 se osebni podatki lahko zbirajo le za določene in zakonite namene ter se ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s temi nameni, če zakon ne določa drugače.;
-    obrazec vsebuje izjavo, da stranka s podpisom potrjuje seznanitev z namenom obdelave posredovanih osebnih in dovoljuje uporabo svojih osebnih podatkov v skladu z navedenim namenom;
-    obrazec vsebuje obvestilo, da ima vsakdo pravico kadarkoli zahtevati prenehanje uporabe osebnih podatkov za namene neposrednega trženja;
-    obrazec vsebuje izjavo, da se upravljavec osebnih podatkov zavezuje, da osebnih podatkov ne bo posredoval, posodil ali prodal tretji osebi brez predhodnega obvestila in pridobitve pisnega soglasja posameznika ter da bo informacije o posamezniku obdeloval zgolj v okviru naštetih namenov zbiranja oz. obdelave osebnih podatkov.

Pooblaščenec poudarja, da morajo biti zgoraj navedene izjave in obvestila podana v takšni obliki, ki bo razumljiva večini možnih potrošnikov. Velikost pisave mora biti dovolj velika, da jo potrošnik opazi (najbolje je, da je pisava na celem obrazcu enake velikosti), besedilo mora biti berljivo, v obrazcu mora biti prisotno tudi opozorilo potrošniku, da natančno prebere vse podrobnosti.

Zelo pomembno je, da vsak upravljavec osebnih podatkov pri izvajanju neposrednega trženja posameznika ob izvajanju neposrednega trženja obvestiti o njegovih pravicah glede prenehanja uporabe osebnih podatkov (posameznik namreč lahko od upravljavca osebnih podatkov kadarkoli zahteva, da trajno ali začasno preneha uporabljati njegove osebne podatke za namen neposrednega trženja), načina odjave in dolžnostih upravljavca (upravljavec osebnih podatkov je dolžan v 15 dneh ustrezno preprečiti uporabo osebnih podatkov za namen neposrednega trženja ter o tem v nadaljnjih petih dneh pisno ali na drug dogovorjen način obvestiti posameznika, ki je to zahteval) ter stroških odjave (stroške vseh dejanj upravljavca osebnih podatkov v zvezi z navedeno zahtevo krije upravljavec).

V praksi je omenjena pravica običajno urejena po načelu Opt-in ali po načelu Opt-out. Gre pravzaprav za dve različni metodi za pridobitev privolitve posameznika za uporabo njegovih osebnih podatkov za namene neposrednega trženja. Načelo Opt-in pomeni, da izvajalec neposrednega trženja posamezniku ne sme pošiljati reklamnih sporočil brez vnaprejšnjega soglasja posameznika. Takšno soglasje bi pridobili, če bi osebne podatke strank zbirali na terenu s pomočjo posebnega obrazca. Nasprotno pa načelo Opt-out pomeni, da sme izvajalec neposrednega trženja posamezniku pošiljati reklamna sporočila tudi brez posameznikovega vnaprejšnjega soglasja, posameznik pa mora sam izraziti zahtevo za prekinitev pošiljanja reklamnih sporočil. Takšen primer je pošiljanje reklam posameznikom, katerih osebne podatke bi dobili iz javno dostopnih virov.

Če boste v bazi strank uporabili samo naslove (npr. ... ulica), potem ne boste upravljali z zbirko osebnih podatkov, saj naslov brez povezave s konkretno osebo še ne predstavlja osebnega podatka.

Lepo vas pozdravljamo,

Informacijski pooblaščenec:
Nataša Pirc Musar, univ. dipl. prav.,
pooblaščenka