Osebni podatki so vroče blago

Osebni podatki in njihova uporaba so tako občutljivo področje zasebnosti, da jih tudi v Sloveniji varuje zakon. Lani je začela veljati evropska splošna uredba o varstvu podatkov, ki jo morajo države članice v dveh letih vključiti v svojo zakonodajo. Uredba zaostruje merila za uporabo v komercialne namene, zato se tudi slovenski ponudniki blaga in storitev že pripravljajo nanjo. Za pojasnila, kaj prinaša posameznikom in uporabnikom osebnih podatkov, smo prosili informacijsko pooblaščenko Mojco Prelesnik.

❶ Splošna uredba o varstvu podatkov, ki velja od maja 2016, je nov evropski pravni temelj za varstvo osebnih podatkov. Na novo opredeljuje pravice posameznika ter obveznosti upravljavcev in obdelovalcev podatkov. Katere spremembe prinaša imetniku osebnih podatkov in tistim, ki jih uporabljajo pri svojem poslovanju – to so recimo bančniki, trgovci, zavarovalničarji, operaterji?

Cilj novega evropskega pravnega okvira za varstvo osebnih je omogočiti prebivalcem nadzor nad svojimi osebnimi podatki, pa tudi poenotiti in zvišati splošno raven njihovega varstva. Novosti za posameznike so predvsem v večjem nadzoru in lažjem dostopu do lastnih osebnih podatkov, saj bodo morali biti posamezniki na jasen in razumljiv način obveščeni o tem, kako in za kakšen namen se obdelujejo. Novost je tudi pravica do pozabe – če posameznik ne bo več želel, da se njegovi osebni podatki obdelujejo, bo lahko od poslovnih subjektov in drugih zahteval, da njegove podatke zbrišejo, ob pogoju, da ni zakonitih razlogov za njihovo nadaljnjo hrambo. Močneje je izražena tudi pravica posameznikov, da vložijo pritožbo ali zahtevajo popravek, tudi izbris. Uveljavila se bo pravica do prenosljivosti osebnih podatkov, ki bo olajšala prenos osebnih podatkov, če bo uporabnik storitve želel zamenjati ponudnika storitve.

Z vidika obveznosti, ki jih nova uredba prinaša za podjetja, pa je predvsem ključno, da upravljavci poznajo podrobno vse postopke zbiranja in obdelave osebnih podatkov, ki jih izvajajo in poskrbijo, da so ti zakoniti – bodisi, da zbirajo osebne podatke, ker tako od njih zahteva zakon, bodisi imajo ustrezno soglasje posameznika.

Pojasnila o novostih za podjetja, ki uporabljajo osebne podatke, informacijski pooblaščenec redno objavlja tudi na svoji spletni strani. Vsekakor pa do sprejema novega zakona o varstvu osebnih podatkov in drugih izvedbenih predpisov – ki bodo nujni, saj nova evropska uredba marsikaj prepušča državam članicam – ni mogoče zagotoviti vseh dokončnih odgovorov podjetjem.

Nova uredba je torej tudi tržna niša za različne strokovnjake. Žal se zato neredko zgodi, da nas potem s podjetij razočarano kličejo, da od ponudnikov različnih svetovanj in izobraževanj niso dobili želenih odgovorov, kar je glede na opisano stanje logično. Dejstvo pa je, da je veljavni zakon o varstvu osebnih podatkov odličen zakon in je raven varstva osebnih podatkov v Sloveniji že dokaj visoka. Zato imajo upravljavci, ki se držijo veljavnih pravil in dosedanjih smernic IP, že veliko rešenega. Vsekakor pa je treba v luči nove uredbe prevetriti poslovne procese, predvsem pridobivanja soglasja posameznikov za obdelavo osebnih podatkov.

Na eni strani torej nova uredba krepi pravice posameznikov, na drugi pa na upravljavce podatkov prenaša nove obveznosti, ki jih bodo ti lahko izkoristiti tudi v smeri krepitve svoje konkurenčne prednosti nasproti upravljavcem izven EU, ki posameznikom ne zagotavljajo enako močnega varstva njihovih pravic.

❷ V katerih vsakodnevnih okoliščinah se posameznik sreča z vprašanjem varovanja osebnih podatkov, ko torej zanj postane pomembno, da ga varuje zakon? Vir podatkov za telefonsko prodajo je recimo tudi javni telefonski imenik.

Sama potreba po varstvu osebnih podatkov je tesno povezana s tehnološkim razvojem, na podlagi katerega so v 70. in 80. letih prejšnjega stoletja z namenom urejanja najrazličnejših področij človekovega življenja, kot gobe po dežju začele nastajati najrazličnejše zbirke osebnih podatkov. Da ta pojav ne bi pripeljal v družbo popolnega nadzora, v katerem zasebnost, kot temeljna človekova pravica, ne more najti svojega mesta, so se začeli posegi v zasebnost, tudi v osebne podatke, postopoma regulirati.

V današnjem svetu smo ponovno soočeni z izjemno povečanim obsegom zbiranja in pospešenim pretokom informacij.
Naše življenje je dandanes dobesedno prežeto z digitalizacijo na vseh področjih. Pri svojem delu in zabavi vse bolj uporabljamo internet, kjer z vsako najmanjšo dejavnostjo puščamo sledi drobtinic lastne podobe in svojih želja. Že skoraj vsi v žepu ali torbici s seboj ves čas nosimo pametni telefon, ki poleg tega, da omogoča komuniciranje, ves čas tudi skrbno beleži vse naše druge aktivnosti, od tega, kakšna glasba nam je všeč, kdaj se zjutraj zbujamo, kakšni so naši bančni podatki, pa vse do tega, da spremlja naše gibanje, kar to napravico spreminja v vsaj zelo zmogljiv računalnik, če ne že v pravo sledilno-prisluškovalno orodje. Uporabnikov največjega svetovnega družbenega omrežja Facebook, na katerem posamezniki vsakodnevno delijo zelo osebne informacije, je že več kot dve milijardi, v Sloveniji približno 850.000. Posameznikom je zaradi teh tehnoloških novosti lažje slediti, jih profilirati in te informacije uporabiti v različne namene, zato je bilo treba pravice posameznikov še okrepiti. Splošna uredba o varstvu podatkov je torej nov pravni okvir varstva osebnih podatkov v Evropski uniji.

Glede javne objavljenosti osebnih podatkov pa je tako, da so načeloma javno objavljeni tisti, glede katerih obstaja močan interes javnosti, da so dostopni vsakomur, na primer volilni imenik, ali pa njihovo dostopnost zahteva varnost pravnega prometa – takšni so podatki o samostojnih podjetnikih posameznikih, ker so gospodarski subjekti, in zemljiška knjiga zaradi varnosti pravnega prometa z nepremičninami. Vprašanje javne dostopnosti podatkov je določeno z zakonom oziroma s posameznikovo voljo. Podatki fizičnih oseb so v univerzalnem telefonskem imeniku na primer objavljeni na podlagi privolitve.

❸ Za katere komercialne namene se v Sloveniji najpogosteje uporabljajo osebni podatki, ali veljajo pri tem kakršne koli omejitve?

Zbiranje osebnih podatkov v komercialne namene je ena poglavitnih aktivnosti vseh gospodarskih subjektov. Z njim poskušajo gospodarske družbe bolje spoznati svoje stranke in jim tako približati svoje produkte, pri čemer na podlagi zbranih osebnih podatkov oblikujejo tudi specifične tržne skupine, recimo glede na starost ali dohodek, kar je vse usmerjeno v povečanje prodaje. Bolje ko poznajo svoje stranke, lažje jim prodajo svoje izdelke, pri tem pa ne izgubljajo časa in sredstev za tiste, ki jih določeni izdelki tako ali tako ne zanimajo.

Osebni podatki se zbirajo in obdelujejo na podlagi privolitve. Posamezniki torej svoje osebne podatke gospodarskim subjektom vedno zaupajo povsem prostovoljno, zaradi lastne želje, ta, ki podatke zbira, pa jih obvestiti o njihovi obdelavi. To pomeni, da morajo biti seznanjeni s podatki o upravljavcu podatkov ter z namenom obdelave, kaj bo z njimi počel, v določenih primerih pa tudi še z drugimi, zakonsko določenimi informacijami, na primer s pravico do vpogleda in izbrisa podatkov in z rokom hrambe. Obseg uporabe podatkov v komercialne namene je tudi v Sloveniji zelo obsežen in vsekakor je pričakovati, da se bo še večal, predvsem po kanalih elektronskega komuniciranja, ki so izjemno hiter in cenovno ugoden način komuniciranja s strankami.

❹ Ob katerih pogojih je v Sloveniji zdaj dovoljeno uporabljati osebne podatke v komercialne namene?

Zakon določa, da mora biti posameznik v vsakem komercialnem sporočilu obveščen o svoji pravici, da lahko zahteva prenehanje uporabe svojih osebnih podatkov za namene neposrednega trženja. Če izvajalci neposrednega trženja o tej pravici posameznikov ne obveščajo, kršijo zakon. Poleg tega pa ima vsak posameznik pravico, da zahteva trajno ali pa le začasno prenehanje uporabe svojih osebnih podatkov za namene neposrednega trženja, torej, da se mu prenehajo pošiljati komercialna sporočila. Tako zahtevo mora nasloviti na tistega, ki trženje izvaja, ta pa mora posameznikovo zahtevo uresničiti v roku 15 dni, drugače krši zakon. Vedno svetujemo, da posamezniki svojo zahtevo podajo na pisni način, ne po telefonu, da imajo v primeru morebitnega spora dokaz, da so zahtevo dejansko oddali.

Kar zadeva komercialne telefonske klice, na primer, pa ima posameznik možnost, da sploh ne dovoli vpisa svoje telefonske številke v imenik ali da vpis sicer dovoli, vendar prepove uporabo telefonske številke za komercialne namene.

❺ Ljudje se včasih čudijo, kako je mogoče, da na svoje ime na domači poštni naslov ali na osebno elektronsko pošto dobivajo komercialno ponudbo, češ da ponudniku nikoli niso dali svojega imena in naslova. Ali torej nevede razkrivajo osebne podatke?

Najbolj nepremišljeno posamezniki svoje osebne podatke posredujejo tretjim osebam ob prijavah na sodelovanje v raznih nagradnih igrah. Pri tem si ne vzamejo dovolj časa in ne preberejo pogojev sodelovanja, ki vedno vključujejo tudi informacije o tem, za katere namene se bodo podatki obdelovali. Zato svetujemo, da začnejo pogoje sodelovanja resneje prebirati, saj so ti namenjeni prav njim, da se seznanijo z vsem, kar morajo vedeti. Seveda pa svetujemo tudi, da se določenih nagradnih iger v celoti vzdržijo, saj je njihov namen izključno samo eden – pridobivanje osebnih podatkov posameznikov, ki se bodo potem uporabljali za komercialne namene.

Če posameznik ne ve, kje je izvajalec neposrednega trženja ali pa katerikoli drug upravljavec njegovih osebnih podatkov pridobil njegove podatke, lahko na podlagi zakona o varstvu osebnih podatkov zahteva pojasnila v zvezi s tem. Upravljavec mu mora pojasnilo posredovati najpozneje v 30 dneh, drugače krši zakon in posameznik lahko poda prijavo pri informacijskem pooblaščencu.