Prodaja trgovine - prenos osebnih podatkov

Občutljivi osebni podatki so določeni v 6. členu ZVOP-1: podatki o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenske ali prekrškovne evidence; občutljivi osebni podatki so tudi biometrične značilnosti, če je z njihovo uporabo mogoče določiti posameznika v zvezi s kakšno od prej navedenih okoliščin. Se pa strinjamo, da bi moral zakonodajalec med občutljive osebne podatke uvrstiti tudi podatke o spletnih nakupih spodnjega perila za osebo, ki ni zakonski partner kupca :)

Glede prenosa osebnih podatkov pa velja, da le-teh ni mogoče prodajati ali "oddajati" (brezplačno) osebam, ki za to nimajo zakonske podlage, praviloma bo v primeru spletnih portalov taka podlaga osebna privolitev uporabnika. Če je torej maile in dovoljenje za pošiljanje e-sporočil od uporabnikov pridobilo podjetje A, potem mailing liste ne more odstopiti podjetju B, da bi podjetje B poslalo svoja lastna e-sporočila. Morebitna lastniška povezanost ali odnos med podjetjema A in B ne igra absolutno nobene vloge!

Lahko pa podjetje B nastopa kot t.i. pogodbeni obdelovalec osebnih podatkov za podjetje A (npr. kot marketinška agencija, ponudnik aplikacije za trženje po e-pošti, ...) in v imenu podjetja A pošlje e-sporočila uporabnikom. Podjetje B v tem primeru nastopa zgolj kot podaljšana roka podjetja A in lahko z osebnimi podatki dela le tisto, kar mu naroči podjetje A ni nič drugega. Obvezna je pisna pogodba med podjetjema, s katero se natančno opredelijo tudi vprašanja varovanja osebnih podatkov (zahteva, ki v praksi hudo šepa - podjetje A je lahko oglobljeno, če osebne podatke preda brez take pisne pogodbe). Skrb in odgovornost podjetja A za osebne podatke se s predajo podjetju B ne konča.

Dovoljeno pa je, da podjetje A svojim uporabnikom pošlje e-sporočilo, v katerem jim predstavi ponudbo ali neko drugo sporočilo podjetja B, vendar pod pogojem, da je podjetje A dobilo privolitev uporabnikov, da jim pošilja tudi taka sporočila. ZVOP-1 namreč zahteva, da se uporabniku, od katerega se pridobivajo osebni podatki, čim bolj natančno razkrijejo nameni, za katere se bodo ti podatki uporabljali. Zgolj določitev "za lastne potrebe" ali "za pošiljanje e-sporočil" po praksi Informacijskega pooblaščenca ni dovolj in je taka privolitev neveljavna (torej kot da je sploh ne bi dobili).

Vprašanje ostaja, kako je v primeru univerzalnega pravnega nasledstva, ko npr. podjetje B pripoji podjetje A - ali s tem podjetje B pridobi tudi pravico do uporabe OP, ki jih je zbralo (pridobilo zanje osebno privolitev) podjetje A? Glede na "svetost" varovanja OP domnevamo, da bi šla razlaga v smer, da mora podjetje B pridobiti nove osebne privolitve, sicer pa podatke izbrisati. Z argumentom, da uporabnik morda ne bi dal osebne privolitve, če bi jo moral že na začetku dati podjetju B (ki morda slučajno slovi kot ne ravno vzorno, kar se tiče varovanja OP in zasebnosti).

Nobenega dvoma pa ne more biti, ko denimo pride do nakupa zgolj (vseh) poslovnih deležev ali delnic nekega podjetja, podjetje torej še vedno obstaja. Novi "lastnik" nima do osebnih podatkov takega podjetja nobenih pravic.

Nobenih ovir pa ni, kot je bilo že omenjeno, da privolitev za obdelavo OP pridobi več podjetij, ne le eno.

Lep vikend!