Podatki iz SISBON za namen članice + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 10.02.2019 Številka: 0712-1/2019/250 Kategorije:Bančništvo --> Kategorije: Bančništvo Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje glede upravičenosti zahteve, ki jo je Banki Slovenije posredovala ena izmed bank, za posredovanje skupnih podatkov iz sistema SISBON o vseh njihovih komitentih, s katerimi ima sklenjen kreditni posel. V zahtevi je banka navedla, da podatke potrebuje za izračun kapitalskih rezerv, ki temelji na tem, da se kapitalske zahteve oblikujejo skladno s tveganostjo posameznega komitenta, ocenjenih na osnovi interno razvitega bonitetnega modela. Pojasnjujete, da banka zastopa stališče, da bi za navedeni namen lahko sama izvedla vpoglede za vsakega komitenta posebej, vendar bi to bilo zamudno, zato vas zaproša, da ji zagotovite tehnično rešitev, ki ji bo omogočila skupen izpis vseh podatkov o vseh njihovih komitentih, ki so jih v sistem SISBON posredovali člani in ji tako olajšate dolgotrajen proces izpisovanja vsake poizvedbe posebej. Zanima vas, ali prvi odstavek 21. člena Zakona o centralnem kreditnem registru (ZCKR), ki določa namene dostopa in uporabe podatkov iz sistema SISBON, predstavlja zadostno pravno podlago, da banki posredujete oz. zagotovite tehnično rešitev za posredovanje zahtevanih skupnih podatkov, pri čemer se vam zastavljajo zlasti naslednja vprašanja: načelo sorazmernosti: ali lahko banka za namen ocenjevanja kreditne sposobnosti v zvezi z izvajanjem kreditnega posla vpogleda v SISBON tudi v primeru, če nima podatkov, informacij ali drugih indicev, da se je ob sklenitvi kreditnega posla ocenjena kreditna sposobnost komitenta spremenila; omejitve namena obdelave osebnih podatkov: ali je namen obdelave osebnih podatkov v SISBON mogoče razširiti tudi za oceno kreditne sposobnosti za izračun kapitalskih zahtev (in ne sklenitve ali spremljanja izvajanja kreditnega posla); dopustnosti morebitnega povezovanja zbirk osebnih podatkov v smislu 84. člena ZVOP-1. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Pravne podlage za obdelavo osebnih podatkov v javnem sektorju, kamor sodi tudi Banka Slovenije, ureja v povezavi s členom 6 Splošne uredbe o varstvu podatkov 9. člen ZVOP-1, ki določa, da se osebni podatki v javnem sektorju lahko obdelujejo na podlagi zakonskih določil, na podlagi privolitve posameznika pa le pod pogojem, da zakon tako določa. Skladno s četrtim odstavkom pa se izjemoma lahko obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti. Navedene določbe ZVOP-1 ostanejo v veljavi tudi po začetku uporabe Splošne uredbe, saj skladno z drugim odstavkom 6. člena Splošne uredbe države članice lahko ohranijo ali uredijo podrobnejše določbe, da bi prilagodile uporabo pravil te uredbe v zvezi z obdelavo osebnih podatkov za zagotovitev skladnosti s točkama
- c)in
- e)prvega odstavka 6. člena, tako da podrobneje opredelijo posebne zahteve v zvezi z obdelavo ter druge ukrepe za zagotovitev zakonite in poštene obdelave. Zakonsko podlago za obdelavo osebnih podatkov fizičnih oseb iz naslova kreditnih poslov, ki jih sklepajo kreditodajalci, predstavlja Zakon o centralnem kreditnem registru (Uradni list RS, št. 77/16, v nadaljevanju ZCKR). Iz informacij, ki ste jih navedli v svojem zaprosilu za mnenje izhaja, da je banka, ki je podala zahtevo, članica sistema izmenjave informacij po ZCKR, zato se IP v mnenju ne osredotoča na določbe ZCKR, ki veljajo za kreditodajalce, ki niso člani sistema izmenjave informacij. Glede na to, da podatki in informacije iz ZCKR o zadolženosti poslovnih subjektov ter kreditnih tveganjih in drugih izpostavljenostih, ki jih prevzemajo kreditodajalci pri poslovanju s poslovnimi subjekti, ne štejejo za varovane osebne podatke fizičnih oseb in se tudi vodijo ločeno od fizičnih oseb (4. odst. 4. člena ZCKR), se do tega dela upravičenosti zahteve banke, torej za posredovanje skupnih podatkov iz sistema izmenjave informacij (SISBON) o kreditojemalcih, ki so poslovni subjekti, IP v tem mnenju ne opredeljuje. Sistem izmenjave informacij je elektronski sistem za izmenjavo podatkov in informacij o zadolženosti fizičnih oseb in poslovnih subjektov, ki z upoštevanjem načela sorazmernosti in drugih razpoložljivih informacij omogoča učinkovito ocenjevanje kreditnega tveganja pred sklepanjem kreditnih poslov s fizičnimi osebami in poslovnimi subjekti ter pri njihovem izvrševanju (prvi odstavek 4. člena ZCKR). Uporabo in posredovanje podatkov iz centralnega kreditnega registra (CKR) Banki Slovenije določa 12. člen ZCKR. V prvem odstavku je tako določeno, da lahko uporablja podatke za izvajanje svojih nalog in pristojnosti v skladu z zakonom, ki ureja Banko Slovenije, Statutom ESCB in ECB, zakonom, ki ureja bančništvo, ter drugimi predpisi, ki urejajo naloge in pristojnosti Banke Slovenije in Evropske centralne banke. Poleg navedenega lahko podatke uporabi še za vzpostavitev in upravljanje sistema izmenjave informacij v obsegu in pod pogoji, ki jih določa ta zakon. Osebne podatke o fizičnih osebah iz 7. člena ZCKR lahko pregleduje in obdeluje vključno z elektronsko obdelavo, in sicer tako, da lahko do osebnih podatkov dostopajo le osebe, ki so pri Banki Slovenije pooblaščene za dostopanje do osebnih podatkov v centralnem kreditnem registru zaradi izvajanja nalog Banke Slovenije iz 3. člena tega zakona. Banka Slovenije varuje osebne podatke v skladu z zakonom, ki ureja varstvo osebnih podatkov, ter zagotovi sledljivost glede dostopa do osebnih podatkov in uporabe osebnih podatkov tako, da sta mogoča identifikacija pooblaščene osebe, ki je dostopala oziroma uporabljala podatke iz sistema izmenjave informacij, in preverjanje namena, zaradi katerih je ta oseba dostopala do podatkov oziroma uporabljala določene podatke. V skladu s 14. členom ZCKR Banka Slovenije vzpostavi in upravlja sistem izmenjave informacij kot del CKR tako, da članom sistema izmenjave informacij omogoča: dostop do individualiziranih podatkov o zadolženosti posameznih fizičnih oseb in poslovnih subjektov, ter izbris napačnega podatka iz sistema izmenjave informacij po postopku iz 24. člena tega zakona. Upravljanje sistema izmenjave informacij po drugem odstavku 14. člena ZCKR obsega: vključevanje podatkov in informacij o zadolženosti poslovnih subjektov in fizičnih oseb iz centralnega kreditnega registra v sistem izmenjave informacij ter centralizirano obdelavo vključenih podatkov in informacij, ki obsega izkazovanje podatkov na zaslon in izpis teh podatkov na papir. Na podlagi zgoraj povzetih določb IP meni, da Banka Slovenije v ZCKR nima pravne podlage za posredovanje osebnih podatkov fizičnih oseb iz sistema izmenjave informacij članom sistema, temveč članom, ki izpolnjujejo določene tehnične pogoje in varnostne zahteve za dostop do sistema izmenjave informacij, ki jih v skladu s prvim odstavkom 19. člena ZCKR določi Banka Slovenije, v okviru upravljanja sistema izmenjave informacij omogoči centraliziran dostop do individualiziranih podatkov o zadolženosti posameznih fizičnih oseb, ki obsega izkazovanje podatkov na zaslonu in izpis le-teh na papirju. Dostop članov do podatkov v sistemu izmenjave informacij podrobneje ureja 19. člen ZCKR. Člani sistema lahko za namene ocenjevanja kreditnega tveganja fizične osebe, ki je izrazila interes za sklenitev kreditnega posla ali s katerim so sklenili kreditni posel (pogoj primerljiv s pogoji iz člena 6 (1.
- b)Splošne uredbe), na podlagi drugega odstavka 19. člena ZCKR, dostopajo do vseh podatkov, ki se o tej fizični osebi obdelujejo v sistemu izmenjave informacij. V skladu s četrtim odstavkom 19. člena ZCKR do podatkov v sistemu izmenjave informacij lahko pri članih sistema dostopajo le osebe, ki so pooblaščene za dostop do zaupnih podatkov zaradi izvajanja nalog pri ocenjevanju kreditnih tveganj člana sistema v zvezi s sklepanjem ali izvajanjem kreditnih poslov. Peti odstavek 19. člena ZCKR še določa, da član sistema varuje osebne podatke v skladu z zakonom, ki ureja varstvo osebnih podatkov, ter med drugim zagotovi sledljivost glede dostopa do podatkov in izpisovanja podatkov iz sistema izmenjave informacij tako, da sta mogoča identifikacija pooblaščene osebe, ki je dostopala oziroma izpisovala podatke iz sistema izmenjave informacij, in preverjanje razlogov, zaradi katerih je ta oseba dostopala oziroma izpisovala določene podatke. 21. člen ZCKR, na katerega se sklicujete v svojem zaprosilu, nadalje določa uporabo podatkov, do katerih član sistema lahko dostopa za namene in na način, določen v zgoraj povzetih določbah 19. člena ZCKR. Prvi odstavek 21. člena ZCKR članu sistema omogoča, da podatke, do katerih v sistemu izmenjave informacij lahko dostopa za namene in na način določen v 19. člen ZCKR, uporablja izključno za namene: ocenjevanja kreditne sposobnosti kreditojemalca ter kreditnega tveganja, ki bi s sklenitvijo posameznega kreditnega posla nastalo za tega člana ali je nastalo v zvezi z izvajanjem kreditnega posla, in za reklamacije, izterjave, revizije in posodabljanja podatkov, ki se vključujejo v sistem izmenjave informacij. Drugi odstavek 21. člena ZCKR določa, da pred sklenitvijo kreditnega posla član sistema, na podlagi vpogleda v zbirko podatkov sistema izmenjave informacij in na podlagi drugih podatkov in informacij o kreditojemalcu, s katerimi razpolaga, oceni kreditojemalčevo sposobnost izpolnjevanja obveznosti iz kreditnega posla. Izpis podatkov iz sistema izmenjave informacij je sestavni del kreditne dokumentacije, ki jo vodi član sistema. Podatkov o zadolženosti fizične osebe, ki se obdelujejo v sistemu izmenjave informacij, član sistema, v skladu s tretjim odstavkom 21. člena ZCKR ne sme uporabiti za neposredno ali ciljno trženje ali pri odločanju, ali naj fizični osebi odpre transakcijski račun. Na podlagi zgoraj izpostavljenih določb ZCKR IP meni, da Banka Slovenije v ZCKR nima pravne podlage za posredovanje podatkov o zadolženosti posameznih fizičnih oseb (še manj pa za zagotovitev tehnične rešitve za posredovanje skupnih podatkov več fizičnih oseb hkrati, na podlagi t. i. paketne poizvedbe člana sistema izmenjave informacij ali povezovanje zbirk s pomočjo spletnega servisa), saj je sistem izmenjave informacij, ki ga v skladu z ZCKR vzpostavi in upravlja Banka Slovenije, zasnovan na zagotavljanju centraliziranega dostopa pooblaščenih oseb kreditodajalcev, ki izpolnjujejo določene tehnične pogoje in varnostne zahteve za dostop do individualiziranih podatkov o zadolženosti posameznih fizičnih oseb (vključno z zagotavljanjem sledljivosti identifikacije pooblaščene osebe in preverjanja razlogov za dostop in izpis podatkov), ki obsega izkazovanje podatkov na zaslonu in izpis le-teh na papirju. V skladu z načelom zakonitosti, pravičnosti in preglednosti (člen 5 (1.
- a)Splošne uredbe) in načelom omejitve namena (člen 5 (1.
- b)Splošne uredbe) član sistema do podatkov in informacij o zadolženosti določene fizične osebe v sistemu izmenjave informacij lahko dostopa na način in pod pogoji iz 19. člena ZCKR za namen učinkovitega ocenjevanja kreditnega tveganja pred sklepanjem posamičnega kreditnega posla s fizično osebo, ki je izrazila interes za sklenitev kreditnega posla ali s katero ima član sistema sklenjen kreditni posel, pri njegovem izvrševanju (4. in 19. člen ZCKR). IP meni, da tako opredeljen namen za dostop člana sistema do podatkov o zadolženosti posamične fizične osebe iz ZCKR ne konzumira namena izračuna kapitalskih rezerv oz. zahtev članice, četudi je ocena tveganj kreditnih poslov s fizičnimi osebami del tega izračuna oz. takšen, po meri članice opredeljen namen za dostop, z določenim, izrecnim namenom iz ZCKR, ni združljiv. Že to, da ZCKR v petem odstavku 19. člena določa, da mora član sistema med ostalim zagotoviti sledljivost glede dostopov do podatkov in izpisovanja podatkov iz sistema izmenjave informacij tako, da je mogoča identifikacija pooblaščene osebe in preverjanje razlogov, zaradi katerih je ta dostopala oz. izpisovala določene podatke, kaže na to, da se razlogi morajo ujemati z nameni iz ZCKR za dostop oz. izpis podatkov. Na zakonit način pridobljene podatke in informacije o zadolženosti določene fizične osebe, član sistema lahko uporablja izključno za namene ocenjevanja kreditne sposobnosti kreditojemalca ter kreditnega tveganja, ki bi s sklenitvijo posamičnega kreditnega posla za kreditodajalca nastalo oz. je nastalo v zvezi z izvajanjem posamičnega kreditnega posla, in zgolj še za reklamacije, izterjave, revizije in posodabljanja podatkov, ki se vključujejo v sistem izmenjave informacij, ne sme pa teh podatkov uporabiti za neposredno ali ciljno trženje ter za odločanje o tem, ali naj fizični osebi odpre transakcijski račun (21. člen ZCKR). Lep pozdrav, Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026