Spletne peticije in varstvo osebnih podatkov

Organizator spletne peticije se šteje za upravljavca osebnih podatkov, zato mora upoštevati vse predpise glede obdelave in varstva osebnih podatkov, zlasti določbe Splošne uredbe o varstvu podatkov (GDPR) in Zakona o varstvu osebnih podatkov (ZVOP-2).

Katere so obveznosti organizatorja spletnih peticij?

1. Pravna podlaga za obravnavo

Organizator spletne peticije mora imeti primerno pravno podlago za obdelavo podatkov. Spletna peticija praviloma temelji na privolitvi posameznika, ki mora biti aktivno podana, informirana, specifična, dokazljiva in prostovoljna.

Privolitev za obdelavo osebnih podatkov je mogoče kadarkoli preklicati, zato mora tudi organizator spletne peticije omogočiti enostaven umik podpisa (na enako enostaven način, kot je soglasje podal). 

2. Celovito informiranje podpisnikov o obdelavi podatkov

Podpisnike je treba informirati o obdelavi osebnih podatkov, kar pomeni vse ključne informacije o tem:

• kdo je organizator peticije (podatki NVO, ki je upravljavec osebnih podatkov),
• kakšni so nameni zbiranja in obdelave podatkov (če je še kak drug namen razen podpore peticiji, na primer poznejše obveščanje podpisnika ali poročanje financerju ipd., je to treba zelo jasno povedati),
• ali in komu se bodo naprej posredovali,
• kakšen je rok hrambe podatkov,
• katere pravice ima posameznik glede osebnih podatkov (npr. pravica do izbrisa) ter ostale pomembne informacije.

Ker je teh informacij precej (preveč za samo peticijo), se praviloma sprejme politiko zasebnosti oziroma varovanja osebnih podatkov. V svoje pojasnilo je Informacijski pooblaščenec vključil primer politike zasebnosti za organizatorja spletne peticije.

3. Omejen obseg obdelave podatkov in točnost podatkov

Dopustno je obdelovati le najmanjši obseg osebnih podatkov, ki zadostuje za izvedbo peticije. Praviloma zadostuje ime in priimek ter naslov elektronske pošte, podatki o EMŠO, davčni številki in drugi podatki pa niso potrebni. Za vsak podatek mora organizator imeti utemeljene argumente, zakaj je dejansko potreben.

Čeprav se identiteta podpisnika spletne peticije ne preverja z visoko ravnijo zanesljivosti, so včasih potrebni ukrepi za točnost podatkov, na primer za preprečevanja avtomatiziranih podpisov s pomočjo spletnih robotov in izpolnjevanja peticije v imenu izmišljenih oseb. Organizator lahko uporabi različna orodja za potrjevanje verodostojnosti podpisa, kot je ločevanje med človeškimi in avtomatiziranimi uporabniki (npr. CAPTCHA), omeji število dopustnih vnosov z istega IP naslova ali uporabi potrditveno elektronsko sporočilo (po izpolnitvi podpisnik prejme elektronsko sporočilo v navedeni predal e-pošte, ki ga mora potrditi). Izbrani ukrepi morajo biti sorazmerni glede na vrsto peticije in zbrane podatke.

4. Druge obveznosti 

Informacijski pooblaščenec poudarja še nekatere druge ključne obveznosti:

• Omejitev hrambe osebnih podatkov shranjevanja: vsaka obdelava osebnih podatkov mora imeti vnaprej določen rok hrambe podatkov, o čemer se podpisnike informira pred podpisom peticije.  
• Uničenje ali anonimiziranje podatkov potem, ko so cilji peticije doseženi.
• Za obdelave v druge namene, ki za peticijo niso nujne, je treba pridobiti ločeno soglasje (npr. za poznejše prejemanje obvestil NVO in podobno),
• Zagotavljanje celovitosti in zaupnosti podatkov (informacijska varnost) – sem štejejo vsi tehnični in organizacijski ukrepi za varovanje podatkov, da ne pride do nezakonite obdelave, npr. da se s podatki ne bi seznanile nepooblaščene osebe.
• Pri morebitnih ponudnikih spletnih orodij iz tretjih držav je treba biti posebej pozoren, saj veljajo za prenos podatkov izven EU posebni pogoji.

V svoje obvestilo je Informacijski pooblaščenec vključil še naslednji seznam dobrih in slabih praks glede spletnih peticij:

Vir: Spletne peticije in varstvo osebnih podatkov - IPRS. Informacijski pooblaščenec RS, 20.8.2026, zadnji dostop 28. 8. 2026.

Celotno obvestilo Informacijskega pooblaščenca, ki smo ga povzeli v tem članku, si lahko preberete na tej povezavi.