Obrazec soglasja za direktno bremenitev + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 11.03.2019 Številka: 0712-1/2019/69 Kategorije:Razno --> Kategorije: Razno Informacijski pooblaščenec (v nadaljevanju: IP) je dne 17. 1. 2019 prejel vaše elektronsko sporočilo, iz katerega izhaja, da so na spletni strani … (v nadaljevanju: zavezanec) objavljeni obrazci za spremembe in da vas je zmotil predvsem obrazec za direktno obremenitev SEPA, kjer na drugi strani obrazca zahtevajo kopijo osebne izkaznice in bančne kartice, hkrati pa se odvezujejo odgovornosti za morebitno zlorabo osebnih podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju v skladu z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z izpostavljenim primerom. IP meni, da zahteva zavezanca po posredovanju kopije osebne izkaznice in bančne kartice v danem primeru verjetno ni utemeljena, konkretno pa bi to lahko presodil šele v inšpekcijskem postopku. Iz predložene izjave ne more izhajati, da je zavezanec »odvezan« kakršnekoli materialne in kazenske odgovornosti v primeru zlorabe posredovanih osebnih podatkov, saj posameznik nima pooblastil ali položaja, da bi lahko upravljavca osebnih podatkov »odvezal« spoštovanja predpisov, zato je izjava v tem delu nesmiselna in brezpredmetna. Iz preostalega dela predložene izjave pa bi lahko izhajalo kvečjemu to, da posameznik soglaša s tem, da zavezanec pridobi kopijo njegove osebne izkaznice za določen namen in da soglaša z načinom posredovanja osebnih podatkov (po pošti/e-pošti). Obrazložitev: IP je uvodoma raziskal vsebino pojma direktne obremenitve SEPA in na spletni strani SEPA Slovenija https://www.sepa.si/SloPrenova/SepaProdukti_Storitve/DebetnaPlacila/SepaProdukti%20in%20storitve_DebetnaPlacila.htm našel naslednjo razlago: Na podlagi soglasja, ki ga v papirni ali elektronski obliki plačnik predloži prejemniku plačila, pošlje prejemnik plačila plačilni nalog za direktno obremenitev SEPA prek svojega ponudnika plačilnih storitev ponudniku plačilnih storitev plačnika. Ponudnik plačilnih storitev plačnika prejme plačilni nalog za obremenitev plačilnega računa plačnika, vključno s podatki o soglasju plačnika (podatek o soglasju plačnika mora biti poslan pri vsakem poslanem nalogu za obremenitev). IP je na spletni strani SEPA Slovenija na povezavi https://www.sepa.si/SloPrenova/Gradiva_Publikacije/EPC/GradivaEPC.htm našel tudi vzorec obrazca za direktno obremenitev: https://www.sepa.si/SloPrenova/Gradiva_Publikacije/Sepa_Zbs/ SEPAobrazec_za_ soglasje_Core.zip, ki je vsebinsko identičen obrazcu, objavljenem na spletni strani zavezanca, s tem, da ne zajema tudi izjave glede posredovanja kopije osebne izkaznice in bančne kartice, ki jo na drugi strani vsebuje zavezančev obrazec. Vprašanje, ki se v prvi vrsti zastavlja, je, ali zavezanec za namen izvajanja direktnih bremenitev SEPA, sploh potrebuje kopijo osebne izkaznice in bančne kartice, torej, ali z zbiranjem teh osebnih podatkov spoštuje načeli omejitve namena in najmanjšega obsega iz Splošne uredbe, ki določata, da so osebni podatki zbrani za določene, izrecne in zakonite namene in se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni, ter ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (točki (
- b)in (
- c)prvega odstavka 5. člena Splošne uredbe). IP glede na predpisano vsebino obrazca meni, da za to ni videti utemeljenega razloga in da za izvajanje direktne obremenitve zadostuje izpolnjeno soglasje. Vprašanje, ki se ponuja kot naslednje, se nanaša na dopustnost kopiranja osebne izkaznice in posredovanje kopij po pošti oziroma elektronski pošti. Iz Zakona o osebni izkaznici (Uradni list RS, št. 35/11, v nadaljevanju: ZOIzk-1), ki v 4. členu opredeljuje kopiranje osebne izkaznice, med drugim izhaja, da smejo upravljavci zbirk osebnih podatkov osebno izkaznico kopirati samo v primerih, ki jih določa zakon, da imetnik osebne izkaznice svojo osebno izkaznico lahko kopira, notarji in finančne družbe, ki opravljajo finančne storitve, pa jo lahko kopirajo, če jo potrebujejo za dokazovanje istovetnosti državljana. Osebno izkaznico je za vnaprej določene namene dovoljeno kopirati tudi na podlagi pisne privolitve imetnika osebne izkaznice. Isti člen na koncu določa še, da je kopijo osebne izkaznice prepovedano hraniti v elektronski obliki. Glede na navedeno zavezanec na podlagi izjave na drugi strani obrazca posredno uresničuje pogoj za kopiranje osebne izkaznice iz tretjega odstavka 4. člena ZOIzk-1, in sicer pridobiva kopijo osebne izkaznice na podlagi vaše privolitve za vnaprej določen namen (plačevanje preko direktnih bremenitev SEPA), pri tem se IP ne opredeljuje do tega, ali je predmetno pridobivanje osebnih podatkov sploh upravičeno. Prav tako bi se po mnenju IP lahko razumelo, da s posredovanjem kopije osebne izkaznice in bančne kartice po pošti ali e-pošti posameznik soglaša s takim načinom posredovanja osebnih podatkov in s tem prevzema tudi tveganje razkritja oziroma zlorabe osebnih podatkov med prenosom, če ima na voljo različne možnosti posredovanja osebnih podatkov. Po mnenju IP je upravljavec namreč dolžan zagotoviti posamezniku možnost, da izbere tak način prenosa osebnih podatkov, ki je zanj glede na tveganje subjektivno sprejemljiv, še zlasti če (tako kot zavezanec na drugi strani obrazca v izjavi) sam izpostavi možnost zlorabe osebnih podatkov. V kolikor upravljavec tega ne zagotovi in vztraja na določenem načinu posredovanja osebnih podatkov, ki je za posameznika subjektivno bolj tvegan, posameznik pa bi, če bi imel možnost, izbral drug način, nosi po mnenju IP tudi tveganje razkritja in zlorabe osebnih podatkov med prenosom upravljavec. V zvezi z določbami ZOIzk-1 je potrebno omeniti na tem mestu tudi, da v primeru pošiljanja osebne izkaznice po e-pošti nedvomno pride tudi do hrambe kopije osebne izkaznice v elektronski obliki, za katero pa zavezanec nima pravne podlage. Navezujoč na izjavo na drugi strani obrazca zavezanca je potrebno pojasniti še, da zavezanec s prejemom kopij vaše osebne izkaznice in bančne kartice postane upravljavec iz njih izhajajočih osebnih podatkov. Upravljavec je v skladu s Splošno uredbo dolžan ob upoštevanju narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, izvesti ustrezne tehnične in organizacijske ukrepe, da zagotovi in je zmožen dokazati, da obdelava osebnih podatkov poteka v skladu z uredbo (prvi odstavek 24. člena Splošne uredbe), to pomeni tudi, da je upravljavec ob upoštevanju najnovejšega tehnološkega razvoja, stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki so povezana z obdelavo in se razlikujejo po verjetnosti in resnosti, tako v času določanja sredstev obdelave kot tudi v času same obdelave dolžan izvajati ustrezne tehnične in organizacijske ukrepe, ki so oblikovani za učinkovito izvajanje načel varstva podatkov, kot je načelo najmanjšega obsega podatkov, ter v obdelavo vključiti potrebne zaščitne ukrepe, da se izpolnijo zahteve te uredbe in zaščitijo pravice posameznikov, na katere se nanašajo osebni podatki (prvi odstavek 25. člena Splošne uredbe). Pri tem posameznik nima pooblastil ali položaja, da bi lahko upravljavca osebnih podatkov »odvezal« spoštovanja predpisov, zato je predmetna izjava v delu, ki govori o tem, da posameznik v primeru zlorabe podatkov iz poslanih dokumentov zavezanca odvezuje kakršnekoli materialne ali kazenske odgovornosti, nesmiselna in brezpredmetna in kot taka ne more ustvarjati nobenih pravnih učinkov, četudi bi bila podpisana. Kot lahko vidite, se v primeru, ki ste ga predstavili, odpirajo številna vprašanja, na katera pa bi bilo z gotovostjo mogoče odgovoriti šele v okviru inšpekcijskega postopka. Upamo, da vam bo naše mnenje vseeno v pomoč. Lep pozdrav, Pripravila: Mojca Leitinger Okršlar, državna nadzornica za varstvo osebnih podatkov Informacijski pooblaščenec: Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026