STA novice / Informacijski pooblaščenec s priporočili za organizatorje in podpisnike spletnih peticij

Informacijski pooblaščenec je podal nekaj priporočil za organizatorje in podpisnike raznih spletnih peticij. Kot je poudaril, izvedba peticije neizogibno pomeni zbiranje in obdelavo osebnih podatkov, zato mora organizator upoštevati zakonodajo na tem področju, zlasti določbe splošne uredbe o varstvu podatkov in zakona o varstvu osebnih podatkov.

Organizator spletne peticije se šteje za upravljavca osebnih podatkov, saj je določil namen in sredstva oz. način obdelave osebnih podatkov. Pri izvedbi spletne peticije mora zato upoštevati temeljna načela varstva osebnih podatkov, so pri Informacijskem pooblaščencu zapisali v sporočilu za javnost.

Obdelava osebnih podatkov mora potekati na situaciji primerni pravni podlagi, na pošten in za posameznika pregleden ter predvidljiv način. Spletna peticija praviloma temelji na privolitvi posameznika, ta pa mora biti aktivno podana, informirana, specifična, dokazljiva in prostovoljna, posameznik pa jo lahko tudi umakne.

Organizator mora objaviti celovite informacije o obdelavi osebnih podatkov, kjer morajo biti vse ključne informacije o tem, kdo je organizator peticije, kakšni so nameni zbiranja in obdelave podatkov, ali in komu se bodo naprej posredovali, kakšen je rok hrambe podatkov in katere pravice ima posameznik glede osebnih podatkov. Informacije morajo biti podane v jasnem in razumljivem jeziku.

Organizator mora jasno in dovolj podrobno opredeliti, za katere vse namene se zbirajo osebni podatki in ali ter komu se bodo posredovali. Uporaba podatkov za druge ali za prej neopredeljene namene ni dopustna. Če so poleg zbiranja podpore predvideni tudi drugi nameni, morajo biti ti jasno opredeljeni.

Dopustno je zbirati le najmanjši nabor osebnih podatkov, ki zadostuje za doseganje vnaprej opredeljenih namenov. Glede na to, da se identiteta podpisnika pri izvedbi običajnih spletnih peticij ne preverja z visoko ravnijo zanesljivosti, pa je glede na vrsto peticije morda vseeno treba zagotoviti določene ukrepe za omejevanje avtomatiziranih vnosov s pomočjo spletnih robotov, izpolnjevanje peticije v imenu druge ali izmišljene osebe ter razumne načine potrjevanja verodostojnosti osebe.

Vsaka obdelava osebnih podatkov mora imeti vnaprej določen rok hrambe podatkov. Informacija mora biti predstavljena posamezniku pred podajo privolitve v obdelavo podatkov. Ko so cilji peticije doseženi, je treba podatke izbrisati, uničiti ali anonimizirati, prav tako pa mora organizator že pred tem upoštevati tudi morebitne preklice privolitev, so pojasnili.

Zbrani podatki morajo biti pridobljeni, hranjeni in obdelovani na varen način, da se z njimi ne bi seznanile nepooblaščene osebe, da ne bi prišlo do neupravičene pridobitve podatkov ali druge kršitve varnosti podatkov, ki ne smejo biti javni. Organizator mora preveriti zanesljivost in pogoje, ki jih zagotavlja ponudnik spletne peticije, zlasti mora biti pozoren pri morebitnih ponudnikih iz tretjih držav, saj veljajo za prenos podatkov izven EU posebni pogoji.

Informacijski pooblaščenec je opozoril tudi, da lahko spletno peticijo danes ustvari kdorkoli in za katerikoli namen. Ti so lahko tudi zlonamerni, kot na primer za pridobivanje kontaktnih podatkov za trženjske namene ali za okrnitev ugleda podpisnika. "Namen spletne peticije običajno ni samo pridobitev podpore v številkah. Upoštevajte, da bo vaše ime javno objavljeno. Četudi trdno podpirate namen peticije, s svojimi podatki ravnajte odgovorno," so svetovali podpisnikom.

Informacijski pooblaščenec je priporočila podal po vprašanjih, ki jih je prejel v zvezi s spletno peticijo za odstop predsednika DZ Zorana Stevanovića, ki jo je v ponedeljek začel nekdanji vidni član SDS in nekdanji minister Miha Brejc. Peticija je do srede zbrala več kot 64.799 podpisov, po spletnem napadu pa je Brejc s spletne strani obrazec za zbiranje podpisov umaknil.