Obdelujte osebne podatke zakonito

Upravljavci podatkov se morajo za zakonito obdelavo osebnih podatkov opreti na „pravno podlago“. Bistveno je opredeliti ustrezno pravno podlago, saj lahko vsebuje posebne zahteve (npr. privolitev mora biti svobodna, specifična, informirana in nedvoumna) in vpliva na pravice posameznikov (npr. pravica do prenosljivosti velja le, kadar je pravna podlaga privolitev ali pogodba).
Na tej strani boste našli več informacij o različnih pravnih podlagah v skladu s Splošno uredbo o varstvu podatkov. Preberite več o pravicah, ki veljajo za posamezno pravno podlago. 

Upravljavci lahko osebne podatke obdelujejo le v eni od naslednjih okoliščin:

• s privolitvijo zadevnih posameznikov;
• če obstaja pogodbena obveznost (pogodba med vašo organizacijo in posameznikom);
• izpolnjevanje pravne obveznosti v skladu z zakonodajo EU ali nacionalno zakonodajo;
• kadar je obdelava potrebna za opravljanje naloge, ki se izvaja v javnem interesu v skladu z zakonodajo EU ali nacionalno zakonodajo;
• zaradi varovanja življenjskih interesov posameznika;
• za zakonite interese vaše organizacije (razen če nad njimi prevladajo interesi ali temeljne pravice posameznikov).

Poleg tega Splošna uredba o varstvu podatkov določa dodatne pogoje za obdelavo občutljivih podatkov.

Pogoji za privolitev

Brezplačna

Privolitev je prostovoljna, kadar lahko posamezniki zavrnejo in umaknejo privolitev brez tveganja zunanjega pritiska ali negativnih posledic. Posamezniki morajo imeti tudi pravico, da kadar koli prekličejo svojo privolitev; ta postopek mora biti enostaven za posameznike (tako enostaven, kot jo je bilo mogoče podati). Preklic privolitve ne sme vplivati na obdelavo osebnih podatkov posameznika, ki je bila opravljena pred preklicem, ko je bila privolitev še veljavna.

Na primer, zaposleni načeloma ne bodo mogli svobodno dati privolitve za obdelavo, ki jo izvaja njihov delodajalec, saj lahko zaposleni menijo, da ne morejo zavrniti zahteve delodajalca.

Specifična

Da bi bila privolitev veljavna, mora biti specifična tudi za namen obdelave. Ta pogoj je tesno povezan s pogojem prostovoljne privolitve: posamezniki morajo biti obveščeni o posebnih namenih v preprostem in lahko razumljivem jeziku, tako da imajo jasno predstavo, za katere namene se obdelujejo njihovi podatki. To pomeni tudi, da bi bilo treba posameznike ponovno zaprositi za privolitev, če se spremenijo nameni postopka obdelave ali če se dodajo dodatna dejanja obdelave. Če ima postopek obdelave več namenov, je treba dati privolitev za vsakega od njih.

Na primer, pretočna storitev zbira osebne podatke svojih strank, da jim ponudi prilagojene predloge za ogled. Po določenem času se pretočna storitev odloči, da bo osebne podatke svojih strank delila s tretjimi osebami, tako da lahko strankam pošlje ciljno usmerjeno oglaševanje na podlagi njihovih navad gledanja. Ker je to nov namen, bo morala pretočna storitev svoje stranke zaprositi za privolitev.

Obveščena

Ko vaša organizacija zaprosi za privolitev posameznika, mora zagotoviti, da je ta zahteva posredovana posamezniku v razumljivi in lahko dostopni obliki v jasnem in preprostem jeziku. Zagotoviti bi bilo treba informacije o namenih, identiteti upravljavca, vrstah podatkov, prejemnikih in pravici do preklica privolitve.

Nedvoumna

Da bi bila privolitev nedvoumna, je potrebno jasno pritrdilno dejanje (brez vnaprej označenih polj in ločeno od veljavnih splošnih pogojev).

Priporočljivo je, da se privolitev osveži v ustreznih časovnih presledkih. Poleg tega morate biti sposobni dokazati, da je posameznik, katerega podatki se obdelujejo, dal privolitev, na primer s pisno ali podpisano izjavo ali z namernim dejanjem, kot je označitev polja.

Pogoji, ki veljajo za privolitev otrok

Kot upravljavec si morate razumno prizadevati, da preverite starost posameznika.

Za otroke, stare 16 let in več velja, da lahko podajo svojo privolitev.

Za otroke, mlajše od 16 let, mora vaša organizacija zaprositi za privolitev zakonitega skrbnika ali starša tega otroka. V tem primeru bi si morali razumno prizadevati, da preverite, ali ima oseba, ki privoli v imenu otroka, starševsko odgovornost. Vendar upoštevajte, da Splošna uredba o varstvu podatkov državam EU omogoča, da z nacionalno zakonodajo določijo starost za privolitev med 13 in 16 let, kadar se storitve zagotavljajo prek interneta. Zato je priporočljivo, da preverite svoje nacionalne določbe o tej zadevi.

Kadar otroci lahko podajo privolitev, bi bilo treba jezik, ki se uporablja za sporočanje informacij v zvezi s storitvijo, prilagoditi njihovi starosti.

Obdelava osebnih podatkov posameznika za izvajanje pogodbe je veljavna pravna podlaga, na primer v naslednjih primerih:

• Vaša organizacija mora za zagotavljanje storitve obdelovati osebne podatke posameznika.
• Potencialna stranka ali stranka vas je prosila, da pred sklenitvijo pogodbe z vašo organizacijo nekaj storite, na primer, želi prejeti ponudbo za storitve, ki jih zagotavljate, za katere boste morda morali obdelati nekatere njene osebne podatke.

Obdelava mora biti potrebna za izvajanje pogodbe. V praksi to pomeni, da vaša organizacija ne more nadaljevati izvajanje pogodbe ali storitve brez zadevnih osebnih podatkov. Priporočljivo je, da vaša organizacija dokumentira razloge, zakaj je obdelava podatkov posameznika potrebna za izvajanje pogodbe.

Ta pravna podlaga pa ne velja, če želite obdelovati osebne podatke posameznika za namene trženja, preprečevanje goljufij, ciljno oglaševanje ali druge namene, povezane s poslovnim modelom vaše organizacije. V takih primerih so lahko na voljo druge pravne podlage, kot je privolitev ali zakoniti interes, če so izpolnjena ustrezna merila.

Zakonodaja lahko določa tudi obdelavo osebnih podatkov, tudi po prenehanju pogodbe (na primer za vodenje evidenc za računovodske namene).

Seveda mora biti pogodba veljavna tudi skladno s pravom, ki se uporablja.

Splošna uredba o varstvu podatkov določa še eno pravno podlago, in sicer: obdelava je potrebna za izpolnjevanje pravne obveznosti, ki velja za upravljavca.

Na to pravno podlago se je mogoče sklicevati, kadar je postopek obdelave naložen organizaciji z zakonodajo EU ali nacionalno zakonodajo. Natančneje, izpolnjeni morajo biti štirje pogoji:

• pravna obveznost mora biti opredeljena v pravu EU ali nacionalnem pravu, ki velja za upravljavca;
• te pravne določbe morajo določiti jasno in specifično obveznost obdelave teh osebnih podatkov;
• te določbe morajo opredeliti vsaj namene obdelave;
• to obveznost bi bilo treba naložiti upravljavcu in ne posameznikom, na katere se nanašajo osebni podatki.

Če ti pogoji niso izpolnjeni, postopek obdelave ne more temeljiti na pravni obveznosti in je treba poiskati drugo pravno podlago.

Splošna uredba o varstvu podatkov določa številne različne okoliščine, v katerih so upravljavci zakonsko zavezani k obdelavi osebnih podatkov svojih strank ali kupcev. Delodajalci morajo na primer običajno obdelovati osebne podatke svojih zaposlenih za namene socialne varnosti ali pa mora podjetje pogosto obdelovati osebne podatke svojih strank ali kupcev za davčne namene.

Na obdelavo podatkov za zaščito življenjskih interesov posameznika se je mogoče sklicevati le v redkih in posebnih primerih. To se lahko zgodi na primer, če morate obdelovati osebne podatke, da bi zaščitili človekovo življenje. Vendar je na podlagi Splošne uredbe o varstvu podatkov področje uporabe te pravne podlage zelo omejeno in se je nanjo mogoče sklicevati le v nujnih primerih.

V nekaterih posebnih primerih lahko vaša organizacija obdeluje osebne podatke posameznikov za nalogo, ki se izvaja v javnem interesu. V tem primeru mora imeti obdelava podlago v pravu EU ali nacionalnem pravu. Njegov namen mora biti določen v tej pravni podlagi ali potreben za opravljanje naloge, ki se izvaja v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu. Zato je ta pravna podlaga lahko pomembna zlasti za postopke obdelave, ki jih izvajajo javni organi za namene opravljanja njihovih nalog.

Vaša organizacija bo morda lahko obdelovala podatke posameznikov za zadeve v zvezi z zakonitimi interesi, če ti interesi (komercialni interesi, zaščita vaše lastnine itd.) ne ustvarjajo neravnovesja v škodo pravic in interesov posameznikov.

Medtem ko Splošna uredba o varstvu podatkov in ustrezna sodna praksa Sodišča Evropske unije določata primere zakonitih interesov, pa izčrpen seznam ne obstaja.

Vendar pa morate zagotoviti, da se pri zakonitem interesu upoštevajo določene zahteve:

• biti mora zakonit, jasen, resničen in prisoten;
• obdelava mora biti potrebna za uresničevanje tega interesa;
• zakoniti interes mora upoštevati posameznikove pravice do varstva podatkov, ki jih ni mogoče prevladati. V okviru te zahteve mora upravljavec pretehtati svoj zakoniti interes ter interese ali temeljne pravice in svoboščine posameznikov ter preučiti, kaj lahko razumno pričakujejo. To tehtanje je treba opraviti ob upoštevanju konkretnih pogojev, v katerih se te dejavnosti izvajajo.

• Posameznik je izrecno privolil v obdelavo svojih občutljivih podatkov.
• Obdelava občutljivih podatkov je potrebna, da upravljavec izpolni svoje obveznosti, zlasti v zvezi z zaposlovanjem, socialno varnostjo in socialnim varstvom. Upravljavec bo na primer morda moral obdelovati občutljive podatke posameznika, da bi lahko ugotovil, ali je upravičen do nekaterih dajatev socialne varnosti ali do zaposlitvenih štipendij.
• Obdelava občutljivih podatkov je potrebna za zaščito življenjskih interesov osebe, kadar posameznik fizično ali pravno ni sposoben dati privolitve. Na primer, če je posameznik zaradi nezgode nezavesten in potrebuje takojšnjo zdravstveno oskrbo, bo morda treba obdelati posebne vrste osebnih podatkov, da se zagotovi ustrezna zdravstvena oskrba.
• Obdelava občutljivih podatkov se izvaja v okviru zakonitih dejavnosti fundacije, združenja ali druge neprofitne organizacije s političnim, filozofskim, verskim ali sindikalnim ciljem in samo za obdelavo osebnih podatkov njihovih članov, nekdanjih članov ali oseb, ki imajo redne stike z njimi.
• Občutljive podatke so očitno objavili posamezniki.
• Obdelava občutljivih podatkov je potrebna v okviru sodnih postopkov.
• Obdelava občutljivih podatkov je potrebna v zadevah bistvenega javnega interesa.
• Obdelava občutljivih podatkov je potrebna v okviru preventivne medicine ali medicine dela. Na primer, ocena občutljivih podatkov posameznika, kot so zdravstveni podatki, je lahko potrebna za določitev delovne sposobnosti zaposlenega.
• Obdelava občutljivih podatkov je potrebna v zadevah javnega zdravja na podlagi prava EU ali nacionalnega prava. Na primer, obdelava občutljivih podatkov posameznikov je lahko potrebna za zagotovitev visoke kakovosti zdravstvenega varstva in visoke kakovosti medicinskih izdelkov ali za boj proti resnim nevarnostim za zdravje, kot so virusi.
• Obdelava občutljivih podatkov je potrebna za namene arhiviranja v javnem interesu ali za znanstvene, statistične, zgodovinske ali raziskovalne namene. Obdelava občutljivih podatkov je lahko na primer potrebna za zagotovitev točnih statističnih podatkov o razmerah v državi na določenem področju.