Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 10.01.2019
Naslov: Obdelava OP s strani uvoznika avtomobilov
Številka: 0712-1/2019/22
Vsebina: Neposredno trženje, nagradne igre, Razno
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Navajate, da ima uvoznik avtomobilov s svojimi pogodbenimi partnerji (serviserji in prodajalci vozil) sklenjene pogodbe, na podlagi katerih imajo slednji pravico prodaje vozil in rezervnih delov ter servisiranja vozil določenih znamk. Pojasnjujete, da so avtohiše po ozemlju Slovenije razporejene tako, da vsaka pokriva določena območja z namenom, da uvoznik zagotavlja kar najbolj ugoden možen dostop potrošnikov do storitev servisiranja. Stranke običajno redno obiskujejo le en, točno določen servis, ki je ponavadi tisti, ki »pokriva« območje, na katerem stranka prebiva in/ali dela. Izpostavljate, da ima uvoznik avtomobilov interes, da bi v primeru prenehanja delovanja določene avtohiše (npr. da je nad družbo začet stečajni postopek ali iz drugih razlogov) njene stranke prejele obvestilo o tem, katere so še druge avtohiše v njihovi bližini, ki jim lahko nudijo enake storitve. Takšno obvestilo bi bilo v korist potrošnikov, saj bi jim prihranilo nepotrebno iskanje najbližje ustrezne avtohiše ter s tem stroške in čas.

 

Zanima vas, ali lahko zgoraj navedeni interes uvoznika ob upoštevanju pravic posameznikov glede varstva njihovih osebnih podatkov predstavlja pravno podlago za sledeče načine obdelave osebnih podatkov posameznikov:

-      posredovanja osebnih podatkov strank ukinjene avtohiše uvozniku, ki sicer ni pogodbena stranka v razmerju s končnimi strankami,

-      pošiljanja naslovljenih obvestil posameznim strankam o ukinitvi avtohiše z informacijo o drugih avtohišah v bližini, pri čemer bi se obdelovali njihovi kontaktni podatki. Drugi osebni podatki strank se ne bi posredovali in obdelovali.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

 

Uvodoma pojasnjujemo, da lahko IP posamezne primere obdelave podatkov konkretno presoja le v okviru inšpekcijskega ali drugega upravnega postopka. Prav tako izven posameznega inšpekcijskega postopka ne sme preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. Zato IP na vaša vprašanja v okviru tega mnenja ne more dokončno odgovoriti, temveč v nadaljevanju podaja zgolj splošna pojasnila.

 

Posredovanje osebnih podatkov posameznika kot tudi pošiljanje obvestil posamezniku predstavlja skladno s členom 4(2) Splošne uredbe obdelavo osebnih podatkov. Za vsako obdelavo osebnih podatkov pa je treba imeti zakonito in ustrezno pravno podlago. Te so za običajne osebne podatke določene v členu 6(1) Splošne uredbe. V zvezi s pravnimi podlagami v zasebnem sektorju si lahko ogledate tudi infografiko, objavljeno na spletni strani IP: https://www.ip-rs.si/fileadmin/user_upload/png/infografike/pravne_podlage_zasebni_sektor_s_pogoji_privolitve.pdf. V opisanem primeru bi lahko šlo tudi za primer neposrednega trženja, več o tem najdete na naši spletni strani: https://www.ip-rs.si/fileadmin/user_upload/Pdf/infografike/Neposredno_trzenje_infografika.pdf.

 

Po členu 6(1)(f) Splošne uredbe je obdelava zakonita, kadar je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

 

Pravna podlaga zakonitih interesov je podrobneje obrazložena v uvodni določbi 47 Splošne uredbe: »Zakoniti interesi upravljavca, tudi upravljavca, ki se mu osebni podatki lahko razkrijejo, ali tretje osebe lahko predstavljajo pravno podlago za obdelavo, če ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, pri čemer se upoštevajo razumna pričakovanja posameznikov, na katere se nanašajo osebni podatki, glede na njihovo razmerje do upravljavca. Tak zakoniti interes lahko na primer obstaja, kadar obstaja zadevno in ustrezno razmerje med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem, na primer kadar je tak posameznik stranka upravljavca ali dela zanj. V vsakem primeru bi bila za ugotovitev obstoja zakonitega interesa potrebna skrbna ocena, tudi glede tega, ali posameznik, na katerega se nanašajo osebni podatki, lahko v času zbiranja osebnih podatkov in v njegovem okviru razumno pričakuje, da se bodo ti obdelali v zadevni namen. Interesi in temeljne pravice posameznika, na katerega se nanašajo osebni podatki, bi zlasti lahko prevladali nad interesi upravljavca podatkov, kadar se osebni podatki obdelujejo v okoliščinah, ko posamezniki, na katere se nanašajo osebni podatki, razumno ne pričakujejo nadaljnje obdelave. Glede na to, da mora zakonodajalec z zakonom določiti pravno podlago za obdelavo osebnih podatkov s strani javnih organov, ta pravna podlaga ne bi smela veljati za obdelavo s strani javnih organov pri izvajanju njihovih nalog. Tudi obdelava osebnih podatkov, nujno potrebna za preprečevanje zlorab, pomeni zakoniti interes zadevnega upravljavca podatkov. Obdelava osebnih podatkov za neposredno trženje se lahko šteje za opravljeno v zakonitem interesu.«

 

Za razumevanje pravne podlage za obdelavo iz člena 6(1)(f) Splošne uredbe pa pridejo deloma v poštev tudi pojasnila v mnenju Delovne skupine po členu 29 (Article 29 Working Party) št. 06/2014 glede zakonitih interesov upravljavcev podatkov po členu 7 Direktive 95/46/EC z dne 9. 4. 2014, ki je dostopno na: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_en.pdf. Navedeno mnenje se sicer ne nanaša neposredno na Splošno uredbo, vendar je podlaga po členu 7(f) Direktive 95/46/EC v bistvenem podobna členu 6(1)(f) po Splošni uredbi, zato je razlaga iz tega mnenja uporabljiva tudi pri razlagi Splošne uredbe. Iz mnenja št. 06/2014 izhaja, da je podlaga podana, ko zadosti testu tehtanja med zakonitim interesom upravljavca na eni in posegom v interese oziroma temeljne pravice in svoboščine posameznika na drugi strani. V primeru neustrezne izvedbe tehtanja bo šlo za obdelavo osebnih podatkov brez pravne podlage, kar predstavlja eno temeljnih kršitev varstva osebnih podatkov. Odgovornost za ustrezno izvedeno tehtanje je na upravljavcu, ki izvaja obdelavo osebnih podatkov.

 

Iz vašega zaprosila izhaja, da bi osebne podatke (konkretno kontaktne podatke) strank določene avtohiše uvoznik avtomobilov (ki je pravno ločen poslovni subjekt) pridobival z namenom obveščanja teh strank o ukinitvi avtohiše ter o drugih avtohišah v bližnji okolici, ki lahko nudijo enake storitve. Uvoznik avtomobilov bi torej kot pogodbeni partner ukinjene avtohiše osebne podatke strank te avtohiše obdeloval (pridobival kontaktne podatke strank in jim pošiljal obvestila z opisano vsebino). Ni razvidno, ali gre v tem primeru za vprašanje uresničevanja pravic in obveznosti iz pogodbe med uvoznikom in avtohišo, ali pa je resnično mogoče trditi, da gre tudi za vprašanje interesov strank nekdanje avtohiše. Najbrž bi enako lahko dosegli z javno objavo podatkov o relevantih avtohišah npr. na spletu. Prav tako je presoja odvisna od osnovnega namena pridobivanja osebnih podatkov strank s strani avtohiše. Od presoje teh vprašanj je odvisno, ali bi lahko v opisanem primeru pravno podlago za opisano obdelavo osebnih podatkov predstavljal člen 6(1)(f) Splošne uredbe. Dokončna presoja o obstoju pogojev za obdelavo osebnih podatkov po tej določbi ter tehtanje med interesom upravljavca in posegom v interese oziroma temeljne pravice in svoboščine posameznika pa je primarna odgovornost upravljavca.

 

IP ob tem še dodaja, da ima po členu 21 Splošne uredbe posameznik, na katerega se nanašajo osebni podatki, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim, ki temelji na točki (f) člena 6(1) Splošne uredbe. Upravljavec mora na to pravico posameznika tudi izrecno opozoriti, in sicer najpozneje ob prvem komuniciranju z njim in mu to pravico predstaviti jasno in ločeno od vseh drugih informacij.

 

 

Lep pozdrav,

 

 

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,                                               

                                                                                                           informacijska pooblaščenka

 

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov