Potrošniki so negotovi glede varstva osebnih podatkov

Blago ali storitev smo kupili neposredno pri (pro)izvajalcu. Zaupali smo mu svoje glavne osebne podatke (ime, priimek, naslov, telefonsko številko, morda mail), da nas lahko seznanja z novostmi, pa tudi zaradi servisa. Kaj bo lahko po novem storil s temi podatki?

Podjetje mora preveriti veljavnost starih privolitev, saj morajo te ustrezati zahtevam po uredbi. Če jim ne (npr. niso bile informirane, niso dokazljive ipd.), bo moralo ponovno pridobiti njihovo privolitev ali ne več uporabljati teh podatkov (jih izbrisati, uničiti, anonimizirati ali blokirati). Če so veljavne, mu ni treba storiti ničesar.

Nekdo je v vrtnariji kupil sadike, dobil v podpis formular, na katerega je vpisal nekaj svojih podatkov, čez čas dobil po pošti kartico zvestobe (ali tudi ne), nikdar pa ni uporabil nikakršnih ugodnosti. Je član kluba zvestobe ali ne?

Pomembno je, kaj je pisalo na formularju. Navedeno bi moralo biti: komu in katere osebne podatke daje, za katere (vse) namene in kakšne pravice ima glede teh podatkov.

Če potrošnik teh informacij ni imel, ko je zaupal podatke podjetju, potem je njegova privolitev neveljavna.

Kljub temu pa podjetje lahko uporablja osebne podatke, ki jih je dobilo v okviru zakonitega opravljanja dejavnosti, tudi za neposredno trženje po navadni pošti – dokler posameznik ne zahteva začasnega ali trajnega prenehanja uporabe za ta namen.

Potrošnik je imenik kartice zvestobe, ki jo redno uporablja, a ga trgovski sistem ne obvešča o ugodnostih, z njim ni v stiku ne prek SMS ne prek maila. Trgovec sicer poziva člane kluba k obnovitvi kartice (prek spleta, z letaki ali neposredno članom kluba zvestobe). Kaj bo s tistimi, ki ne bodo potrdili obnovitve kartice? Jim bo nehala veljati in bodo morali, če bodo hoteli ostati člani, zaprositi za novo? Kaj, če so na kartici kakšne ugodnosti ali dobroimetje (pike ipd.)?

Velja podobno kot zgoraj – če stare privolitve niso veljavne in novih niso pridobili, teh podatkov ne bodo smeli več uporabljati in bodo morali te podatke izbrisati, uničiti, anonimizirati ali blokirati. Zato kartica zvestobe za te posameznike ne bi smela več delovati. Če si uporabnik tega ne želi, potem se lahko odloči, da bo podal novo privolitev in sprejel pogoje kluba zvestobe. Uporabnike lahko seveda večkrat pozovejo k podaji nove privolitve.

Uporaba dobroimetij ne spada pod vprašanje varstva osebnih podatkov, temveč na področje varovanja pravic potrošnikov, zato se bo to reševalo skladno z določbami obligacijskega prava.

Kaj je pri FB, linkedinu, twitterju in drugih družbenih omrežjih temelj za zbiranje in obdelavo osebnih podatkov?

Pravna podlaga v teh primerih je obdelava podatkov zaradi izvajanja pogodbe na pobudo posameznika (obvezni podatki za delovanje storitve) v kombinaciji s privolitvijo posameznika (neobvezni podatki). Nekateri osebni podatki so za uporabo teh omrežij obvezni, ostali so prostovoljni.

Kaj so upravljavci podatkov na teh omrežjih in npr. pri aplikacijah, kot so viber, skype, whatsup, snapchat dolžni storiti po 25. maju?

Tudi tuja podjetja, ki sistematično spremljajo vedenje posameznikov iz EU, morajo skladno z določbami 3. člena uredbe spoštovati določbe uredbe. Posebej morajo skladno z določbami 27. člena uredbe pisno določiti predstavnika v Uniji.

Najbrž so/bodo prenovili svoje pogoje poslovanja, jih prilagodili zahtevam GDPR. Ali morajo potem od uporabnikov še enkrat pridobiti potrditev, da se strinjajo s pogoji?

Ker gre za kombinacijo pravne podlage pogodbe in privolitve, bodo predvidoma kljub temu uporabnike povabili k prejemu pogojev uporabe.

Kaj če upravljavec tega ne stori ali če uporabnik spregleda povabilo, ali mu bo npr. FB s 25. majem zaprl račun in bo izgubil vse stike in komunikacijo? Ga bo še enkrat pozval? Če mu za določen čas pogleda skozi prste, ali bo v prekršku?

Ravnanja Facebooka in morebitnih sankcij ne morem prejudicirati.

Kako je s preverjanjem starosti na družbenih omrežjih, je to nujno, kako se bodo tega lotili?

Uredba določa, da »si ob upoštevanju razpoložljive tehnologije upravljavec v takih primerih razumno prizadeva za preveritev, ali je nosilec starševske odgovornosti za otroka dal ali odobril privolitev«. Kako se bodo podjetja tega lotila, je težko predvidevati. Ena od obstoječih praks je, da se ob registraciji mladoletnika pozove, naj predloži kontakt staršev (npr. njihov naslov e-pošte), da se jih vpraša, ali so seznanjeni, da je njihov otrok želel uporabljati storitve podjetja in ali se s tem strinjajo. Dokler pa ne bo neke široko sprejete in uveljavljene metode preverjanja starosti oseb na spletu (verodostojne e-identitete), stoodstotna verifikacija ne bo možna, zato uredba govori o »razumnih prizadevanjih« in »upoštevanju razpoložljive tehnologije«.