Norveška: 18.800 EUR za Lab Pharma AS
Nadzorni organ je izrekel globo zaradi nadaljnje uporaba osebnih podatkov vplivnice po prenehanju pogodbe in kršitev dolžnosti sodelovanja z nadzornim organom.
Odločitev je bila sprejeta 12. 8. 2026
Norveški nadzorni organ Datatilsynet je obravnaval primer družbe Lab Pharma AS, ki proizvaja in prek spleta trži prehranska dopolnila. Družba je leta 2016 z vplivnico sklenila pogodbo o promociji svojih izdelkov na njenem blogu in profilih na družbenih omrežjih. Pogodba je družbi omogočala tudi uporabo delov njenih objav, vključno s fotografijami, besedili in drugimi vsebinami, za lastne namene trženja.
Pogodba je bila sklenjena za obdobje enega leta, vendar je družba tudi po njenem prenehanju na svojih spletnih straneh še naprej uporabljala ime in fotografije vplivnice ter njene izjave o izdelkih. Posameznica je zato leta 2023 zahtevala izbris svojih osebnih podatkov na podlagi 17. člena GDPR. Družba je zahtevo zavrnila, saj je menila, da ji nadaljnjo uporabo osebnih podatkov dovoljuje sklenjena pogodba, in posameznici sporočila, da na njena nadaljnja vprašanja ne bo več odgovarjala. Posameznica je nato vložila pritožbo pri nadzornem organu.
Zapletlo se je tudi med postopkom nadzornega organa. Ko je ta od družbe zahteval informacije in dokumentacijo, potrebno za presojo zakonitosti obdelave, je družba izpodbijala njegovo pristojnost in sprva zavrnila predložitev pogodbe z vplivnico, ker je ta vsebovala določbo o zaupnosti. Veljavnost zahteve nadzornega organa je pozneje potrdil tudi norveški pritožbeni organ za varstvo osebnih podatkov.
Kljub temu družba ni želela sodelovati v postopku. Direktor družbe je nadzornemu organu pošiljal številna sporočila, zahteval ustavitev postopka ter zaposlenim grozil s kazenskimi ovadbami in sodnimi postopki. Družba je hkrati večkrat zamujala pri posredovanju zahtevane dokumentacije. Nadzorni organ je zato poleg zakonitosti uporabe osebnih podatkov vplivnice presojal tudi, ali je družba izpolnila svojo dolžnost sodelovanja iz 31. člena GDPR.
Odločitev nadzornega organa
Nadzorni organ je ugotovil, da družba za nadaljnjo uporabo osebnih podatkov vplivnice ni imela ustrezne pravne podlage iz prvega odstavka 6. člena GDPR.
Družba se je najprej sklicevala na točko (b) prvega odstavka 6. člena GDPR in zatrjevala, da je bila obdelava potrebna za izvajanje pogodbe. Nadzorni organ temu ni sledil. Pogodba je jasno določala, da velja eno leto, pri čemer iz njenih določb ni izhajalo, da bi bila družba upravičena osebne podatke vplivnice uporabljati tudi po prenehanju pogodbenega razmerja. Ker je pogodba prenehala veljati marca 2017, poznejše obdelave ni bilo več mogoče utemeljevati z nujnostjo izvajanja pogodbe.
Družba se je sklicevala tudi na zakonite interese iz točke (f) prvega odstavka 6. člena GDPR. Pri tem je med drugim izpostavila, da je posameznica svoje fotografije in druge vsebine že sama javno objavila na spletu. Nadzorni organ je poudaril, da javna dostopnost osebnih podatkov sama po sebi ne pomeni, da jih lahko drug upravljavec prosto uporablja za svoje namene. Tudi za nadaljnjo uporabo javno dostopnih osebnih podatkov mora obstajati ustrezna pravna podlaga. Pri presoji zakonitih interesov pa je treba upoštevati tudi razumna pričakovanja posameznika. Po oceni nadzornega organa posameznica ni mogla razumno pričakovati, da bo družba njene osebne podatke za trženje uporabljala neomejeno dolgo po prenehanju pogodbe.
Nadzorni organ se sicer ni dokončno opredelil do tega, ali bi bili pogoji za uporabo zakonitih interesov prvotno lahko izpolnjeni. Zahtevo posameznice za prenehanje obdelave in izbris podatkov je namreč štel tudi za ugovor obdelavi po prvem odstavku 21. člena GDPR. Družba ni izkazala nujnih legitimnih razlogov za nadaljnjo obdelavo, ki bi prevladali nad interesi, pravicami in svoboščinami posameznice. Ker za nadaljnjo obdelavo ni obstajala pravna podlaga, bi morala družba osebne podatke brez nepotrebnega odlašanja izbrisati tudi v skladu s 17. členom GDPR.
Nadzorni organ je družbi zato odredil izbris osebnih podatkov posameznice z vseh spletnih strani, ki jih upravlja, ter prepovedal njihovo nadaljnjo uporabo za namene trženja, dokler za takšno obdelavo ne bo zagotovljena ustrezna pravna podlaga.
Pomemben del odločbe se nanaša tudi na 31. člen GDPR, ki upravljavcem in obdelovalcem nalaga sodelovanje z nadzornim organom pri opravljanju njegovih nalog. Nadzorni organ je pojasnil, da ta obveznost ne pomeni zgolj tega, da upravljavec na koncu vendarle posreduje zahtevane informacije. Zagotoviti mora pogoje za učinkovito izvedbo nadzornega postopka, spoštovati zakonite zahteve in postavljene roke ter predložiti dokumentacijo, ki jo nadzorni organ potrebuje za izvedbo svojih nalog.
Po presoji nadzornega organa je lahko kršitev 31. člena GDPR podana tudi takrat, ko ravnanje upravljavca postopka dejansko ne prepreči. Zadostuje lahko že ravnanje, katerega namen je preiskavo zavlačevati, oteževati ali doseči njeno ustavitev. To je treba razlikovati od uporabe pravnih sredstev, ki so upravljavcu na voljo za izpodbijanje zahteve nadzornega organa.
V konkretnem primeru je nadzorni organ ocenil, da ponavljajoče se grožnje zaposlenim s kazenskimi ovadbami in sodnimi postopki, pritiski na vodstvo nadzornega organa z namenom ustavitve postopka ter zamude pri predložitvi zahtevane dokumentacije pomenijo kršitev dolžnosti sodelovanja. Pri tem je posebej poudaril razliko med zakonitim izpodbijanjem odločitev nadzornega organa in uporabo groženj s pravnimi postopki kot sredstva pritiska za dosego ustavitve nadzora.
Zaradi kršitve 31. člena GDPR je nadzorni organ družbi izrekel globo v višini 205.000 NOK, kar je približno 18.800 EUR. Poleg globe je družbi odredil izbris osebnih podatkov posameznice ter prenehanje njihove uporabe za namene trženja, dokler za takšno obdelavo ne bo obstajala ustrezna pravna podlaga.
Odločitev nadzornega organa je dostopna tukaj.
Vir: GDPRhub
Naslovna fotografija: Pexels
