Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 27.06.2019
Naslov: Portal za iskanje talentov
Številka: 0712-1/2019/1551
Vsebina: Moderne tehnologije, Privolitev, Svetovni splet
Pravni akt: Mnenje

prejeli smo vaš dopis, v katerem nas prosite za mnenje glede portala za iskanje talentov, in sicer podjetja, ki iščejo ljudi z določenimi talenti oziroma sposobnostmi za sodelovanje pri snemanju in produkciji vseh vrst oglasov, reklam in ustvarjanju drugega marketinškega reklamnega materiala. Iskalci so tako pravne osebe ali samostojni podjetniki, ki imajo interes ustvarjati marketinško vsebino za naročnike pravne osebe. Po drugi strani pa je portal namenjen talentom, tj. posameznikom, ki si na podlagi izrecne privolitve obdelave njihovih osebnih podatkov na portalu ustvarijo svoj profil oziroma račun, nanj naložijo slike, videe ter izpolnijo druge osebne podatke, Ponudnik portala z vsakim posameznikom kot fizično osebo sklene pogodbo. Iz tabele, ki je sestavni del pogodbe, je razvidno tudi katere podatke vidi samo ponudnik portala in katere podatke vidi iskalec talentov (uporabnik baze).

Ponudnik portala je torej posrednik, hkrati pa tudi upravljavec vseh teh podatkov, katere je posameznik posredoval za namen lastnega trženja vnaprej nedoločenem. Postopek brskanja po bazi podatkov poteka tako, da se mora iskalec talentov najprej registrirati s podajo naziva podjetja in svojih kontaktnih podatkov. Iskalcu talentov je po registraciji omogočen dostop do baze podatkov, kjer lahko filtrira posameznike po spolu, starosti, posebnih talentih (npr. iščem nekoga, ki zna plesati / voziti motor / tuj jezik), regiji (zaradi optimizacije stroškov), njegovo težo, višino, št. čevlja, konfekcijsko številko itd. Iskalcu so vidne tudi slike in videi, ki jih je posameznik naložil. Če posameznik ponudi tudi povezavo do njegovega socialnega omrežja, je možno, da ime, priimek in druge podatke iskalec talentov dobi tam, v kolikor jih je posameznik tam ponudil kot javno dostopne. Niso pa iskalcu talenta vnaprej vidni kontaktni podatki posameznika (do teh dobi dostop po tem, ko ponudniku portala  plača naročnino). Iskalec lahko nato kandidata povabi k sodelovanju za določen projekt. Kandidat dobi vabilo, v katerem je podatek o plačilu za delo, kratek opis vsebine dela in pa datum snemanja ali izvedbe projekta. Kandidat na tej točki potrdi ali zavrne njegov interes in razpoložljivost za sodelovanje. V vabilu tudi piše, kateri naročnik ga vabi k sodelovanju. V kolikor talent potrdi svoj interes s klikom na gumb »Potrdi«, se iskalcu talenta razkrijejo tudi njegovi kontaktni podatki. V tem koraku lahko osebo kontaktira, da se dogovorita za sklenitev posla.


Zanima vas, ali je pravilno vaše stališče, da so iskalci talentov v obsegu delovanja omenjenega portala pravzaprav uporabniki baze osnovnih podatkov, in ne obdelovalci, še manj pa upravljavci.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

IP uvodoma poudarja, da je glede na določbe Splošne uredbe zelo pomembno identificirati pravilno pravno podlago za obdelavo osebnih podatkov ter zagotoviti ustrezno informiranost posameznika. Slednji mora imeti vse informacije, kot jih opredeljujeta člen 13 in 14 Splošne uredbe, ne glede na vrsto pravne podlage. V pomoč glede informiranja posameznika so lahko (neobvezni) obrazci, ki jih je pripravil IP:

 

https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/

 

V konkretnem primeru, kot navajate, posameznik sklene pogodbo s ponudnikom portala, ki postane upravljavec osebnih podatkov posameznika (talenta). Pravna podlaga za obdelavo osebnih podatkov posameznika je torej primarno pogodba (člen 6(1)b), za ostale, prostovoljno podane podatke in neobvezne podatke pa je lahko privolitev posameznika (6(1)a Splošne uredbe).

 

Opozarjamo na nujnost ločevanja med obdelavo osebnih podatkov na eni in drugi pravni podlagi, na kar jasno nakazuje tudi člen 7 splošne uredbe, ki določa pravila za veljavnost privolitve in v četrtem odstavku opozarja na »neizsiljenost« privolitve:

 

 

1.   Kadar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov.

2.   Če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana v pisni izjavi, ki se nanaša tudi na druge zadeve, se zahteva za privolitev predloži na način, ki se jasno razlikuje od drugih zadev, v razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku. Deli take izjave, ki predstavljajo kršitev te uredbe, niso zavezujoči.

3.   Posameznik, na katerega se nanašajo osebni podatki, ima pravico, da svojo privolitev kadar koli prekliče. Preklic privolitve ne vpliva na zakonitost obdelave na podlagi privolitve pred njenim preklicem. O tem se pred privolitvijo obvesti posameznik, na katerega se nanašajo osebni podatki. Privolitev je enako enostavno preklicati kot dati.

4.   Pri ugotavljanju, ali je bila privolitev dana prostovoljno, se med drugim zlasti upošteva, ali je izvajanje pogodbe, vključno z zagotavljanjem storitve, pogojeno s privolitvijo v obdelavo osebnih podatkov, ki ni potrebna za izvedbo zadevne pogodbe.

 

Navedeno pomeni, da morate ločiti med naborom osebnih podatkov, ki je obvezen za izvajanje storitev oz. je obdelava potrebna za potrebe izvajanja pogodbe s posameznikom, od nabora osebnih podatkov, ki so lahko podani prostovoljno na podlagi privolitve, niso pa per se potrebni za izvajanje pogodbe s posameznikom. Prisiljevati posameznika v strinjanje z obdelavo osebnih podatkov, ki ni potrebna za izvedbo zadevne pogodbe, ne ustreza zahtevam četrtega odstavka 7. člena Splošne uredbe.

 

Več informacij na to temo lahko najdete v mnenju Evropskega odbora za varstvo podatkov (Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR in the context of the provision of online services to data subjects), dostopno na:

 

https://edpb.europa.eu/our-work-tools/public-consultations/2019/guidelines-22019-processing-personal-data-under-article-61b_en

 

V konkretnem primeru gre za storitev, kjer je posameznika nemogoče vnaprej informirati o tem, kdo vse bodo registrirani uporabniki portala (iskalci talentov), mora pa biti informiran o tem dejstvu, torej da se njegovi podatki razkrivajo iskalcem, kdaj oziroma pod katerimi pogoji,  kateri njegovi osebni podatki jim bodo razkriti in kakšno obdelavo lahko pričakuje (kot navajate, da ga bodo iskalci talentov kontaktirali ipd.), ter kakšne pravice ima glede svojih osebnih podatkov. Konkretnih dikcij pogodbe ali privolitve v nezavezujočih mnenjih kot nadzorni organ izven uradnih inšpekcijskih postopkov ne moremo ocenjevati, popravljati ali predlagati, vas pa lahko opozorimo, na katere določbe je treba posebej paziti.

 

S stališčem, da so v zadevnem primeru iskalci talentov uporabniki osebnih podatkov in ne pogodbeni obdelovalci, se strinjamo. Glede na določbo devete točke člena 4 Splošne uredbe,  namreč  „uporabnik“ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne. Pri tem opozarjamo, da ko iskalec talentov s posameznikom (talentom) sklene pogodbo o sodelovanju postane upravljavec njegovih osebnih podatkov in mora upoštevati določbe Splošne uredbe glede obdelave osebnih podatkov posameznika.

 

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                                                                  

                                                                                               informacijska pooblaščenka

 

Pripravil:                                                                                                                              

mag. Andrej Tomšič,
namestnik informacijske pooblaščenke