Stisko trga izkoriščajo sumljivi spletni portali: kako preveriti, kdo stoji za njimi

Stanovanj primanjkuje, najemniki spremljajo nove oglase skoraj iz minute v minuto, kupci iščejo priložnosti, prodajalci pa želijo svojo nepremičnino predstaviti čim širšemu krogu ljudi. Ko je trg pod takšnim pritiskom, se poleg resnih ponudnikov hitro pojavijo tudi spletne strani, ki želijo del tega zanimanja preusmeriti nase.

Nekatere se predstavljajo kot nepremičninski portali, imajo sodoben videz, oglase, obrazce za registracijo in vse elemente, zaradi katerih uporabnik na prvi pogled dobi občutek, da gre za uveljavljeno platformo. Težava nastane, ko poskušate ugotoviti nekaj povsem osnovnega: kdo portal sploh upravlja.

Če na spletni strani ne najdete jasnega imena podjetja, sedeža, preverljivih kontaktnih podatkov ali podatkov o upravljavcu osebnih podatkov, portal pa od vas že zahteva ime, elektronski naslov, telefonsko številko ali registracijo, je to dovolj resen razlog za previdnost.

Ne pomeni avtomatično, da gre za goljufijo ali nezakonito spletno stran. To lahko ugotovijo pristojni organi šele po preverjanju konkretnih okoliščin. Pomeni pa, da mora uporabnik pred oddajo podatkov preveriti, komu jih sploh daje.

Portal želi vedeti, kdo ste vi. Vi pa morate vedeti, kdo je portal

Postaviti spletno stran danes ni težko. Profesionalen logotip, urejen uporabniški vmesnik, zemljevid Slovenije in nekaj sto oglasov lahko ustvarijo zelo prepričljiv vtis velikega nepremičninskega portala. Toda videz ne pove ničesar o tem, kdo storitev dejansko zagotavlja.

Tudi veliko število nepremičninskih oglasov samo po sebi ni dokaz verodostojnosti. Enako velja za oglase na družbenih omrežjih in za oznako HTTPS v brskalniku. Ta uporabniku pove predvsem, da je povezava s spletno stranjo šifrirana, ne pa kdo je za stranjo in kako bo uporabljal podatke, ki jih prejme.

Zato mora biti eno prvih vprašanj pri neznanem portalu zelo preprosto: katero podjetje oziroma kateri ponudnik stoji za to storitvijo?

Pri ponudnikih storitev informacijske družbe to ni samo vprašanje dobrega poslovnega bontona. Slovenski Zakon o elektronskem poslovanju na trgu – ZEPT določa, da mora ponudnik uporabnikom omogočiti lahek, neposreden in stalen dostop do določenih podatkov o sebi. Mednje sodijo podatki o podjetju in sedežu, veljaven elektronski naslov ter med drugim matična in davčna številka.

To pomeni, da sama blagovna znamka ni dovolj. Če ima spletna stran privlačno ime, to še ne pove, katera pravna ali fizična oseba dejansko opravlja storitev. Uporabnik ne bi smel iskati po internetu deset minut, da bi ugotovil, komu pripada portal, na katerem naj bi oddal svoje osebne podatke.

Vir: PISRS – Zakon o elektronskem poslovanju na trgu (ZEPT). Namen zakona: ureditev določenih vprašanj elektronskega poslovanja in obveznosti ponudnikov storitev informacijske družbe.

Pri osebnih podatkih se zgodba ne konča pri majhnem tisku

Vprašanje postane še pomembnejše, ko portal začne zbirati osebne podatke. Na nepremičninskih straneh se to pogosto zgodi že pri registraciji ali oddaji oglasa. Uporabnik vnese ime, priimek, telefonsko številko in elektronski naslov, lahko pa razkrije tudi precej več: katero nepremičnino prodaja, kje živi, kaj išče in v kakšnem cenovnem razredu.

Takšna zbirka podatkov je lahko zelo dragocena. Ravno zato pravila varstva osebnih podatkov zahtevajo preglednost.

Po Splošni uredbi o varstvu podatkov – GDPR mora upravljavec posameznika ob pridobivanju njegovih podatkov med drugim seznaniti s svojo identiteto in kontaktnimi podatki, namenom obdelave, pravno podlago ter drugimi informacijami, ki so potrebne za pregledno obdelavo.

V običajnem jeziku je bistvo zelo preprosto: če nekdo želi vaše podatke, mora jasno povedati, kdo je in zakaj jih potrebuje.

Tu se pogosto pokaže razlika med dejansko urejeno spletno storitvijo in stranjo, ki daje le vtis urejenosti. Nekateri portali imajo sicer povezavo »Politika zasebnosti«, vendar ta vsebuje zgolj generične stavke, kot so »vaše podatke varujemo« ali »vaše podatke uporabljamo za izboljšanje storitev«. Če iz dokumenta ni mogoče jasno razbrati, kdo je upravljavec, uporabnik še vedno nima odgovora na najpomembnejše vprašanje.

Ni dovolj napisati »mi«. Treba je povedati, kdo je ta »mi«.

Vir: EUR-Lex – Splošna uredba o varstvu podatkov (GDPR), predvsem 13. člen. Namen: določitev informacij, ki jih mora upravljavec zagotoviti posamezniku ob pridobivanju njegovih osebnih podatkov.

Zakaj je to na nepremičninskem trgu še posebej občutljivo

Nepremičninski portali lahko iz nekaj na videz nedolžnih podatkov dobijo zelo natančno sliko o svojih uporabnikih. Vedeti je mogoče, kdo prodaja stanovanje, kdo išče najem, v katerem mestu, v kakšnem cenovnem razredu in prek katere telefonske številke je oseba dosegljiva. Če portal ponuja dodatne storitve, lahko pridobi tudi informacije o financiranju, vrednosti nepremičnine ali drugih osebnih okoliščinah.

Zato mora biti standard zaupanja pri takšni storitvi višji, ne nižji.

Ko ljudje nujno iščejo stanovanje, pogosto reagirajo hitreje, kot bi sicer. Zagledajo zanimivo ponudbo, kliknejo na registracijo in podatke oddajo, še preden preverijo, na kateri strani so. Prav občutek nujnosti pa je mogoče zelo učinkovito izkoristiti.

Če morate za ogled oglasa najprej vnesti telefonsko številko ali elektronski naslov, si zato vzemite minuto in preverite stran. Poiščite rubrike »O nas«, »Kontakt«, »Splošni pogoji« in »Politika zasebnosti«. Poglejte, ali je jasno navedeno podjetje, njegov sedež in kdo upravlja osebne podatke.

Če portal navaja slovensko podjetje, ga preverite v Poslovnem registru Slovenije pri AJPES. Primerjajte naziv podjetja, matično številko, davčno številko in sedež. Če se podatki ne ujemajo ali podjetja sploh ne najdete, preverite dodatno. To še ne pomeni nujno, da podjetje ne obstaja, saj je lahko registrirano v drugi državi, vendar bi moral ponudnik tudi v tem primeru dovolj jasno razkriti svojo identiteto, da jo lahko uporabnik preveri.

Vir: AJPES – Poslovni register Slovenije. Namen: javno preverjanje podatkov o registriranih poslovnih subjektih.

Kdaj bi morali postati posebej previdni

Pri ocenjevanju portala ne iščite enega samega »dokaza«, da je nekaj narobe. Bolj pomemben je skupek okoliščin.

Če stran nima navedenega podjetja, sedeža ali preverljivega kontakta, hkrati pa vas spodbuja k registraciji, je to opozorilni znak. Če v politiki zasebnosti ni jasno navedeno, kdo je upravljavec, je razlog za previdnost še večji. Enako velja, če portal zahteva podatke, ki jih za konkretno storitev očitno ne potrebuje, ali če ni mogoče ugotoviti, od kod izvirajo objavljeni oglasi in fotografije.

Previdnost je še posebej pomembna, kadar spletna stran zahteva kopijo osebnega dokumenta, bančne podatke, davčno številko ali druge občutljive informacije. Preden takšne podatke pošljete, morate natančno vedeti, kdo je prejemnik in na kateri pravni podlagi jih zahteva.

Pomembno je tudi razlikovati med sumom in dokazano kršitvijo. Portal brez jasno navedenih podatkov zato ni avtomatično »nezakonit portal«. Pri ponudniku, za katerega veljajo zahteve ZEPT, pa lahko manjkajoči podatki pomenijo kršitev zakonskih obveznosti. Če ob tem zbira osebne podatke brez ustreznega obveščanja posameznikov, se odpre tudi vprašanje skladnosti z GDPR in slovenskim Zakonom o varstvu osebnih podatkov – ZVOP-2.

Kam prijaviti sumljiv portal v Sloveniji

Če pri poslovnem spletnem portalu opazite, da podatki o ponudniku niso jasno dostopni, lahko sum kršitve prijavite Tržnemu inšpektoratu Republike Slovenije. Ta je pristojen za nadzor nad področji, ki sodijo v njegovo pristojnost, med drugim tudi pri izvajanju določb ZEPT.

Uradna prijava je dostopna na portalu GOV.SI

Če je težava povezana z zbiranjem, uporabo ali drugo obdelavo osebnih podatkov, se lahko obrnete na Informacijskega pooblaščenca Republike Slovenije. Na njegovi spletni strani so objavljeni obrazci za prijavo kršitev varstva osebnih podatkov.

Uradne informacije in obrazci

Če sumite, da je spletna stran namenjena phishingu, kraji gesel ali drugemu kibernetskemu incidentu, lahko dogodek prijavite tudi SI-CERT.

Če je zaradi spletne strani že nastala finančna škoda, sumite na goljufijo ali zlorabo identitete, je smiselna tudi prijava policiji.

Pred prijavo shranite čim več dokazov. Posnemite spletno stran, shranite naslov URL, politiko zasebnosti, splošne pogoje, elektronsko komunikacijo in datum, ko ste nepravilnost opazili. Spletna vsebina se lahko hitro spremeni, zato je takšna dokumentacija pozneje lahko zelo pomembna.

Če portal zahteva vaše ime, mora sam pokazati svojo identiteto

Nepremičninski trg temelji na zaupanju. Preverjamo lastništvo nepremičnin, zemljiško knjigo, pogodbe, prodajalce, najemodajalce in nepremičninske posrednike. Smiselno je, da enako previdnost uporabljamo tudi pri spletnih portalih, prek katerih iščemo ali oglašujemo nepremičnine.

Profesionalna spletna stran ni dokaz profesionalnega podjetja. Veliko število oglasov ni dokaz, da so ti oglasi preverjeni. Plačan oglas na družbenem omrežju prav tako ni potrdilo, da je ponudnik zaupanja vreden.

Najpomembnejši pregled lahko zato opravite sami in vam vzame le nekaj minut: preverite, kdo upravlja portal, ali podjetje dejansko obstaja, kdo je upravljavec osebnih podatkov in zakaj spletna stran potrebuje informacije, ki jih od vas zahteva.

Če jasnega odgovora ni, svojih podatkov ne oddajajte, dokler ga ne dobite.

Na spletu velja pravzaprav zelo preprosto pravilo: portal, ki želi vedeti, kdo ste vi, ne bi smel skrivati, kdo je sam.

Pravni in uradni viri

PISRS – Zakon o elektronskem poslovanju na trgu (ZEPT)

Namen: ureditev obveznosti ponudnikov storitev informacijske družbe.

EUR-Lex – Splošna uredba o varstvu podatkov (GDPR)

Namen: ureditev zakonite in pregledne obdelave osebnih podatkov.

PISRS – Zakon o varstvu osebnih podatkov (ZVOP-2)

Namen: slovenska ureditev izvajanja pravil varstva osebnih podatkov.

Tržni inšpektorat Republike Slovenije

Namen: prijava kršitev iz pristojnosti tržne inšpekcije.

Informacijski pooblaščenec Republike Slovenije

Namen: informacije in postopki za prijavo kršitev varstva osebnih podatkov.

SI-CERT

AJPES – Poslovni register Slovenije