Ste podpisali spletno peticijo? Informacijski pooblaščenec opozarja, da vaši podatki niso samoumevno varni
Informacijski pooblaščenec je uvedel inšpekcijski postopek zoper upravljavca spletne strani s peticijo za odstop predsednika državnega zbora Zorana Stevanovića. Povod za ukrepanje je bilo več prijav zaradi načina zbiranja in obdelave osebnih podatkov podpisnikov, ob tem pa pooblaščenec opozarja, da mora vsaka spletna peticija spoštovati pravila varstva osebnih podatkov.
Kot poudarjajo pri Informacijskem pooblaščencu, organizacija spletne peticije ne pomeni zgolj zbiranja podpisov, temveč tudi zbiranje osebnih podatkov, zato zanjo veljajo določbe Splošne uredbe o varstvu podatkov (GDPR) in Zakona o varstvu osebnih podatkov (ZVOP-2).
Inšpekcijski postopek zaradi prijav
Po navedbah Informacijskega pooblaščenca bodo v inšpekcijskem postopku preverili predvsem zakonitost zbiranja, obdelave in hrambe osebnih podatkov podpisnikov peticije.
Postopek je bil uveden po več prijavah, povezanih s spletno peticijo, ki jo je pripravil nekdanji minister Miha Brejc. Peticija za odstop predsednika državnega zbora Zorana Stevanovića je v nekaj dneh zbrala več deset tisoč podpisov, organizatorji pa so obrazec za podpisovanje pozneje začasno umaknili zaradi domnevnih spletnih napadov.
Pri Informacijskem pooblaščencu poudarjajo, da uvedba inšpekcijskega postopka še ne pomeni ugotovitve kršitev, temveč preverjanje, ali je bila obdelava osebnih podatkov izvedena skladno z veljavno zakonodajo.
Organizator peticije je upravljavec osebnih podatkov
Po zakonodaji se organizator spletne peticije šteje za upravljavca osebnih podatkov, saj določa namen in način njihove obdelave.
To pomeni, da mora že pred začetkom zbiranja podpisov zagotoviti jasno pravno podlago za obdelavo podatkov. Pri spletnih peticijah je to praviloma privolitev posameznika, ki mora biti prostovoljna, informirana, nedvoumna in jo mora biti mogoče kadar koli preklicati.
Poleg tega mora organizator uporabnikom na razumljiv način pojasniti:
- kdo zbira osebne podatke,
- zakaj jih zbira,
- komu jih bo posredoval,
- kako dolgo jih bo hranil,
- katere pravice imajo podpisniki glede svojih podatkov.
Informacijski pooblaščenec opozarja, da osebnih podatkov ni dovoljeno uporabiti za druge namene, če ti niso bili jasno navedeni že ob podpisu peticije.
Zbirati je dovoljeno le nujno potrebne podatke
Posebno pozornost namenjajo tudi načelu najmanjšega obsega podatkov.
Organizator lahko zbira le tiste osebne podatke, ki so nujno potrebni za izvedbo peticije. Hkrati mora poskrbeti za ustrezne tehnične ukrepe, ki zmanjšujejo možnost zlorab, kot so avtomatizirano podpisovanje peticij s spletnimi roboti ali podpisovanje v imenu drugih oseb.
Čeprav večina spletnih peticij ne preverja identitete podpisnikov z visoko stopnjo zanesljivosti, morajo organizatorji po oceni Informacijskega pooblaščenca zagotoviti vsaj osnovne varovalke za preprečevanje očitnih zlorab.
Podatki ne smejo ostati shranjeni za vedno
Pomembno pravilo je tudi omejitev časa hrambe.
Vsaka spletna peticija mora že ob začetku določiti, koliko časa bodo osebni podatki hranjeni. Ko je namen peticije dosežen oziroma ko zbiranje podpisov ni več potrebno, mora organizator podatke izbrisati, uničiti ali jih anonimizirati.
Enako velja v primerih, ko posameznik svojo privolitev prekliče.
Opozorilo tudi podpisnikom peticij
Informacijski pooblaščenec ob tem opozarja, da lahko danes spletno peticijo vzpostavi praktično vsakdo.
Zato podpisnikom svetujejo previdnost, saj namen peticije ni vedno zgolj zbiranje podpore določeni pobudi. V nekaterih primerih se lahko osebni podatki uporabijo tudi za trženjske namene ali druge zlorabe, če organizator z njimi ne ravna zakonito.
Podpisnikom zato priporočajo, naj pred oddajo svojih podatkov preverijo, kdo stoji za peticijo, kako bodo njihovi podatki uporabljeni in ali so informacije o obdelavi osebnih podatkov jasno objavljene.
Kaj sledi?
Informacijski pooblaščenec bo v okviru inšpekcijskega postopka preveril, ali je upravljavec spletne peticije spoštoval pravila varstva osebnih podatkov.
Šele po zaključku postopka bo znano, ali so bile ugotovljene morebitne kršitve in ali bodo potrebni dodatni ukrepi. Ob tem pooblaščenec poudarja, da priporočila ne veljajo le za eno konkretno peticijo, temveč za vse organizatorje spletnih pobud, ki pri svojem delu zbirajo osebne podatke državljanov.
Spletno uredništvo
