Biometrija + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 06.02.2019 Številka: 0712-1/2019/235 Kategorije:Bančništvo, Biometrija --> Kategorije: Bančništvo, Biometrija Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede uvedbe biometrijskih ukrepov na podlagi določil Zakona o plačilnih storitvah, storitvah izdajanja elektronskega denarja in plačilnih sistemih. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da se lahko opredelimo zgolj do določb veljavnega ZVOP-1, glede določb ZVOP-2, ki je trenutno v pripravi, pa lahko podajamo zgolj neformalna stališča. V skladu z določbo prvega odstavka
- člena ZVOP-1, ki v tem delu do morebitnega sprejema novega zakona (ZVOP-2) ostaja v uporabi tudi po
- 2018, lahko zasebni sektor izvaja biometrijske ukrepe le, če so nujno potrebni za opravljanje dejavnosti, za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ali poslovne skrivnosti. Biometrijske ukrepe lahko izvaja le nad svojimi zaposlenimi, če so bili predhodno o tem pisno obveščeni. Biometrijske ukrepe je v zasebnem sektorju, kamor sodi tudi vaša družba, torej dopustno izvajati le nad svojimi zaposlenimi, ne pa tudi nad drugimi osebami, zato tovrstnih ukrepov ni dopustno izvajati nad vašimi strankami. IP nadalje pojasnjuje, da so se z določbami Zakona o plačilnih storitvah, storitvah izdajanja elektronskega denarja in plačilnih sistemih (ZPlaSSIED; Uradni list RS, št. 7/18, 9/18 – popr., 39/18) v pravni red Republike Slovenije med drugim prenesle tudi določbe Direktive (EU) 2015/2366 Evropskega parlamenta in Sveta z dne
- novembra 2015 o plačilnih storitvah na notranjem trgu, spremembah direktiv 2002/65/ES, 2009/110/ES ter 2013/36/EU in Uredbe (EU) št. 1093/2010 ter razveljavitvi Direktive 2007/64/ES, katere cilji so predvsem višja stopnja varnosti plačil in hkrati varstva potrošnikov, spodbujanje inovacij in konkurenčnosti ter zagotavljanje enakih pogojev poslovanja za vse ponudnike plačilnih storitev, ki na trgu delujejo. Države članice so morale sprejeti in objaviti predpise, potrebne za uskladitev s to direktivo, pred
- januarjem
- Pomemben razlog za sprejem ZPlaSSIED je bila torej zahteva po prenosu omenjene direktive, ne pa jasna in izražena namera zakonodajalca, da bi posebej oziroma drugače uredil izvajanje biometrijskih ukrepov v odnosu na obstoječo ureditev. Kot navajate v vašem zaprosilu, ZPlaSSIED v
- členu določa, da je močna avtentikacija strank avtentikacija z uporabo dveh ali več elementov, ki spadajo v kategorijo znanja uporabnika (nekaj, kar ve samo uporabnik), lastništva uporabnika (nekaj, kar je v izključni lasti uporabnika) in neločljive povezanosti z uporabnikom (nekaj, kar uporabnik je), ki so med seboj neodvisni, kar pomeni, da kršitev enega elementa ne zmanjšuje zanesljivosti drugih, in so zasnovani tako, da varujejo zaupnost podatkov, ki se preverjajo. Za močno avtentikacijo torej zadostujeta dva od navedenih elementov in bi po mnenju IP uvedba biometrijskih ukrepov lahko predstavlja kvečjemu možen, nikakor pa ne nujen element močne avtentikacije. Prav tako določbe ZPlaSSIED ne vsebujejo nadaljnjih določb glede izvajanja biometrijskih ukrepov, pogojev, pod katerimi bi se ti lahko izvajali, ter varovalk za pravice in svoboščine posameznikov (strank). Po mnenju IP zato določb ZPlaSSIED nikakor ne gre šteti kot lex specialis v odnosu na ZVOP-1, temeljno pravno podlago za uvedbo biometrijskih ukrepov v RS pa tako trenutno še vedno predstavljajo določbe ZVOP-1, v skladu s katerimi se lahko, kot rečeno, biometrijski ukrepi v zasebnem sektorju izvajajo le nad zaposlenimi. IP podaja še informacijo, da obstaja možnost, da bo ZVOP-2 razširil krog posameznikov, nad katerimi je biometrijske ukrepe v zasebnem sektorju dopustno izvajati in v ta krog vključil tudi stranke (seveda pod točno določenimi pogoji). Vse pa je seveda odvisno od dejanskega besedila in vsebine ZVOP-2, ko bo ta enkrat dejansko sprejet. Predlog ZVOP-2, ki je bil spomladi leta 2018 že v zakonodajnem postopku, pa nato ni bil sprejet, je vseboval tako možnost. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Informacijski pooblaščenec: Mojca Prelesnik, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026