Avtomatizirano odločanje, profiliranje + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 19.02.2019 Številka: 0712-1/2019/83 Kategorije:Bančništvo --> Kategorije: Bančništvo Informacijski pooblaščenec (v nadaljevanju: IP) je dne 18. 1. 2019 prejel vaše zaprosilo za mnenje, ali je način avtomatiziranega odločanja, ki ste ga v zaprosilu navedli, ustrezen oziroma pod katerimi pogoji in katere ukrepe bi morala banka zagotoviti, da bi bila obdelava podatkov po mnenju IP skladna s predpisi s področja varstva osebnih podatkov. Določba Zakona o plačilnih storitvah, storitvah izdajanja elektronskega denarja in plačilnih sistemih (Uradni list RS, št. 7/18 in 9/18 – popr., v nadaljevanju: ZPlaSSIED) uzakonja možnost spremembe pogodbenega razmerja na podlagi molka pogodbene stranke, kar odstopa od splošnega pravila, da molka ni mogoče šteti za soglasje. Gre za množična trajna pogodbena razmerja, za katera je zakonodajalec presodil, da izjave volje vseh strank pri spremembah teh razmerij, ne bo mogoče pridobiti. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju v skladu z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Poudarjamo, da IP ni pristojen za presojanje podlage in pogojev za spremembo okvirnih pogodb v skladu z ZPlaSSIED. Prav tako IP v okviru mnenja ne sme podajati soglasij ali presojati ustreznosti konkretnih poslovnih odločitev različnih poslovnih subjektov, to je naloga in odgovornost vsakega posameznega subjekta (konkretno banke). Glede avtomatiziranega odločanja, vključno z oblikovanjem profilov, pa velja izpostaviti, da bi morali upravljavci zlasti upoštevati obveznosti glede preglednosti tovrstne obdelave osebnih podatkov (zagotavljanje ustreznih informacij) in izvesti ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznikov, katerih osebni podatki se na tak način obdelujejo (vsaj npr. pravice do osebnega posredovanja upravljavca, do izražanja lastnega stališča in izpodbijanja odločitve). Na podlagi opisa avtomatiziranega odločanja, ki ste ga posredovali, bi po mnenju IP lahko šlo za situacijo iz (
- a)točke drugega odstavka 22. člena Splošne uredbe, ko upravljavec lahko pod določenimi pogoji izvaja sprejemanje odločitev, ki temeljijo zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, in ki imajo pravne učinke v zvezi s posameznikom ali na podoben način nanj znatno vplivajo, če je to nujno za sklenitev ali izvajanje pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem podatkov. Vendar pa bi konkretno presojo ustreznosti opisanega načina avtomatiziranega odločanja, zlasti v smislu ukrepov za zaščito pravic in svoboščin ter zakonitih interesov posameznikov (tudi otrok), ob upoštevanju v nadaljevanju navedenih izhodišč IP lahko opravil šele v okviru inšpekcijskega postopka. Glede na vaše navedbe je verjetno tudi, da gre za obliko obdelave iz Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku člena 35 Uredbe (EU) 2016/679 in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. Več na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/ocena-ucinka-v-zvezi-z-varstvom-podatkov/). Obrazložitev: Uvodoma poudarjamo, da IP ni pristojen za presojanje podlage in pogojev za spremembo okvirnih pogodb v skladu z ZPlaSSIED, zato nobenega dela tega pojasnila ni dopustno tolmačiti v smeri, da se nanaša na presojanje podlage in pogojev za spremembo okvirnih pogodb. Navedeno neobvezno mnenje se nanaša izključno na vprašanja varstva osebnih podatkov in s tem povezane obveznosti upravljavca. Najprej mora upravljavec glede na namen in nabor obdelovanih osebnih podatkov presoditi in opredeliti, kaj je pravna podlaga za načrtovano obdelavo osebnih podatkov strank ter glede na to upoštevati tudi posebne določbe glede profiliranja in avtomatiziranega odločanja, ki jih Splošna uredba opredeljuje zlasti v členu 22. Profiliranje oziroma »oblikovanje profilov« Splošna uredba opredeljuje v 4. točki 4. člena kot vsako obliko avtomatizirane obdelave osebnih podatkov, ki vključuje uporabo osebnih podatkov za ocenjevanje nekaterih osebnih vidikov v zvezi s posameznikom, zlasti za analizo ali predvidevanje uspešnosti pri delu, ekonomskega položaja, zdravja, osebnega okusa, interesov, zanesljivosti, vedenja, lokacije ali gibanja tega posameznika. Iz navedene opredelitve izhaja, da pri oblikovanju profilov ne gre nujno za izključno avtomatizirano obdelavo, temveč mora biti proces obdelave vsaj delno avtomatiziran, temeljiti mora na uporabi osebnih podatkov, cilj obdelave pa je ocenjevanje osebnih okoliščin posameznika. Na tem mestu velja omeniti, da je profiliranje možno izvesti tudi brez avtomatiziranega odločanja. Avtomatizirano sprejemanje odločitev pa pomeni izključno avtomatizirano odločanje izključno s tehnološkimi sredstvi brez človekovega posredovanja, ki lahko temelji na profilih, ni pa nujno. Za človekovo posredovanje se šteje le nadzor nad odločitvijo, ki ima dejansko nek pomen in je izveden s strani nekoga, ki ima avtoriteto in pristojnost, da odločitev tudi spremeni. Profiliranje in avtomatizirano sprejemanje odločitev po Splošni uredbi ni prepovedano, morajo pa upravljavci pri tem spoštovati načela iz 5. člena Splošne uredbe in imeti za tovrstno obdelavo ustrezno pravno podlago v skladu s 6. členom Splošne uredbe. Pri izključno avtomatiziranem sprejemanju odločitev morajo upravljavci upoštevati dodatne omejitve iz 22. člena Splošne uredbe, ki določa splošno prepoved izključno avtomatiziranega sprejemanja odločitev, vključno s profiliranjem, ki na posameznika pravno učinkuje ali podobno znatno vpliva nanj. Prepoved ne velja, če je odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, nujna (upravljavec mora biti to sposoben izkazati) za sklenitev ali izvajanje pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem podatkov, ali utemeljena z izrecno privolitvijo posameznika, na katerega se nanašajo osebni podatki - v teh primerih upravljavec podatkov izvede ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, vsaj pravice do osebnega posredovanja upravljavca, do izražanja lastnega stališča in izpodbijanja odločitve - ali če je dovoljena v pravu Unije ali pravu države članice, ki velja za upravljavca in določa tudi ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki. Glede na možna tveganja, ki jih za pravice posameznikov prinaša oblikovanje profilov iz 22. člena Splošne uredbe, bi morali upravljavci zlasti upoštevati obveznosti glede preglednosti tovrstne obdelave osebnih podatkov. Točka (
- f)drugega odstavka 13. člena in točka (
- g)drugega odstavka 14. člena Splošne uredbe določata, da morajo upravljavci zagotavljati lahko dostopne informacije o obstoju avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22
(1)in
(4), ter smiselne informacije o razlogih zanj, kot tudi pomenu in predvidenih posledicah take obdelave za posameznika, na katerega se nanašajo osebni podatki. Ista obveznost velja za upravljavca tudi v primeru, ko posameznik uveljavlja pravico do seznanitve v skladu s prvim odstavkom 15. člena. Pri tem bi moral upravljavec poiskati preproste načine za seznanitev posameznika, z utemeljitvijo sprejete odločitve ali merili, uporabljenimi pri njenem sprejemanju, na način, da bi podal zgolj smiselne informacije o razlogih, da bi posameznik lahko razumel razloge za odločitev, ter navedel resnične in konkretne primere vrst možnih učinkov (dobra praksa bi bila npr. primerna grafična ponazoritev). Tudi v primeru, ko ne gre za izključno avtomatizirano sprejemanje odločitev, takšno obveščanje predstavlja dobro prakso. Predvsem morajo biti posamezniku predstavljene tiste informacije, ki mu lahko pomagajo pri ugovarjanju zoper sprejeto odločitev. Upravljavec pa je posameznika v skladu z 21. členom Splošne uredbe dolžan izrecno opozoriti na pravico, da lahko kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim, ki temelji na točki (
- e)ali (
- f)prvega odstavka 6. člena, vključno z oblikovanjem profilov, najpozneje ob prvem komuniciranju z njim in se mu to pravico predstavi jasno in ločeno od vseh drugih informacij. Upravljavci morajo izvesti ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznikov, na katere se nanašajo osebni podatki. Zaščitni ukrepi bi morali v vsakem primeru vključevati konkretno seznanitev posameznika, pravico do osebnega posredovanja, da izrazi svoje stališče, da dobi pojasnilo o odločitvi in da odločitvi ugovarja. K zaščitnim ukrepom pa po mnenju Delovne skupine za varstvo podatkov iz člena 29 (v nadaljevanju tudi WP29), ki ga je potrdil tudi Evropski odbor za varstvo podatkov, spadajo tudi redno in pogosto preverjanje in ocenjevanje sistema algoritmov in samega procesa odločanja, neodvisne zunanje revizije, načelo minimizacije, jasni roki hrambe in uporaba anonimizacijskih ali psevdonimizacijskih tehnik. Omeniti velja še, da Splošna uredba določa dodatne obveznosti za upravljavce podatkov, kadar obdelujejo osebne podatke otrok. 22. člen Splošne uredbe sicer ne razlikuje med tem, ali se obdelava nanaša na odrasle ali otroke, vendar pa iz uvodne določbe
(71)Splošne uredbe izhaja, da se zgolj avtomatizirano sprejemanje odločitev, vključno z oblikovanjem profilov, ki ustvarja pravne ali podobno znatne učinke, ne bi smelo uporabljati za otroke. Glede na to, da se besedilo uvodne določbe ne odraža v besedilu člena, po mnenju Evropskega odbora za varstvo podatkov (in pred tem WP29) ne gre za absolutno prepoved, se pa upravljavci praviloma ne bi smeli posluževati izjem iz drugega odstavka 22. člena Splošne uredbe za utemeljitev tovrstne obdelave. V primeru sistematičnega in obsežnega vrednotenja osebnih vidikov v zvezi s posamezniki, ki temelji na avtomatizirani obdelavi, vključno z oblikovanjem profilov, in je osnova za odločitve, ki imajo pravne učinke v zvezi s posameznikom ali nanj na podoben način znatno vplivajo, je v skladu s točko (
- a)tretjega odstavka 35. člena Splošne uredbe potrebno izvesti tudi oceno učinka v zvezi z varstvom podatkov, s katero lahko upravljavec tudi učinkovito opredeli ukrepe, ki jih bo uvedel za obvladovanje tveganj v zvezi z varstvom osebnih podatkov, povezanih z obdelavo. Predhodno navedeno izhaja tudi iz Smernic o avtomatiziranem sprejemanju posameznih odločitev in oblikovanju profilov za namene Uredbe (EU) 2016/679, ki jih je pripravila WP29 in potrdil Evropski odbor za varstvo podatkov in kjer boste našli še natančnejša pojasnila v zvezi z obravnavano temo. Smernice najdete na povezavi: http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=612053. Na podlagi opisa avtomatiziranega odločanja, ki ste ga posredovali, bi po mnenju IP lahko šlo za situacijo npr. iz točk 1, 2 ali 5 Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku člena 35 Uredbe (EU) 2016/679, in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. Več na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/ocena-ucinka-v-zvezi-z-varstvom-podatkov/). Presojo ali gre za situacijo iz točke (
- a)drugega odstavka 22. člena Splošne uredbe, ko upravljavec lahko izvaja sprejemanje odločitev, ki temeljijo zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, in ki imajo pravne učinke v zvezi s posameznikom ali na podoben način nanj znatno vplivajo, ker je to nujno za sklenitev ali izvajanje pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem podatkov, ter konkretno presojo ustreznosti opisanega načina avtomatiziranega odločanja, zlasti v smislu ukrepov za zaščito pravic in svoboščin ter zakonitih interesov posameznikov (tudi otrok), katerih osebni podatki se na tak način obdelujejo, pa bi lahko ob upoštevanju predhodno navedenih izhodišč IP opravil šele v okviru inšpekcijskega postopka. Lep pozdrav, Pripravila: Mojca Leitinger Okršlar, državna nadzornica za varstvo osebnih podatkov Informacijski pooblaščenec: Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026