Povezovanje zbirk banke s SISBON - IPRS

Povezovanje zbirk banke s SISBON + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 13.03.2019 Številka: 0712-1/2019/601 Kategorije:Bančništvo --> Kategorije: Bančništvo Informacijskemu pooblaščencu (v nadaljevanj IP) ste posredovali zgoraj naveden dopis, v katerem predstavljate svoja stališča glede izvedljivosti samopostrežnega sistema zagotavljanja bančnih storitev vaše banke, ki ste jih zavzeli na osnovi analiziranja možnih podlag za informatizirani dostop do centralnega kreditnega registra (v nadaljevanju tudi SISBON), temelječega na Zakonu o centralnem kreditnem registru (ZCKR). Vaša analiza se nanaša na posamične poizvedbe v sistemu SISBON, ki jih je banka v skladu z ZCKR dolžna izvesti ob posamični zahtevi posameznika za sklenitev pogodbe in ob izvajanju pogodbe. Na podlagi predstavljenih vaših stališč in vidikov kdaj bi oz. ne bi šlo za povezovanje zbirk osebnih podatkov iz SISBON z informacijskim sistemom banke, prosite IP za mnenje, ali informatizirana, samodejna posamična poizvedba v SISBON na podlagi posamezne (ročne) zahteve komitenta ali potencialne stranke banke predstavlja posredovanje podatkov iz sistema SISBON v informatiziran sistem banke (in ne povezovanje zbirk podatkov). Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
5. točko prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more podajati konkretnih in dokončnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov. **** Povezovanje zbirk osebnih podatkov iz uradnih evidenc in javnih knjig ureja
8. poglavje VI. dela ZVOP-1 (Področne ureditve), kjer je v prvem odstavku
9. člena določeno, da je zbirke osebnih podatkov iz uradnih evidenc in javnih knjig dovoljeno povezovati, če tako določa zakon. Drugi odstavek
10. člena ZVOP-1 določa, da so upravljavci ali upravljavec osebnih podatkov, ki povezuje dve ali več zbirk osebnih podatkov, ki se vodijo za različne namene, dolžni o tem predhodno pisno obvestiti državni nadzorni organ. Če vsaj ena zbirka osebnih podatkov, ki naj bi se jo povezovalo, vsebuje občutljive osebne podatke, ali če bi povezovanje imelo za posledico razkritje občutljivih podatkov ali je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka, povezovanje po določbi tretjega odstavka
11. člena ZVOP-1 ni dovoljeno brez predhodnega dovoljenja nadzornega organa. V četrtem odstavku
12. člena ZVOP-1 je še določeno, da državni nadzorni organ dovoli povezavo na podlagi pisne vloge upravljavca osebnih podatkov, če ugotovi, da upravljavci osebnih podatkov zagotavljajo ustrezno zavarovanje osebnih podatkov. ZVOP-1 in Splošna uredba izraza »povezovanje zbirk osebnih podatkov« posebej ne definirata, pač pa je iz določb
13. člena ZVOP-1 in člena 4 Splošne uredbe, kjer je definiran pomen izrazov, razvidno le to, da se povezovanje šteje kot obdelava osebnih podatkov in pomeni eno od delovanj, ki se izvaja v zvezi z osebnimi podatki. Za razumevanje izraza »povezovanje zbirk osebnih podatkov« v smislu določb
14. poglavja VI. dela ZVOP-1 je v času čedalje širše uporabe informacijsko-komunikacijskih tehnologij (IKT) potrebno precejšnje poznavanje teorije podatkovnih komunikacij, računalniških omrežij, baz podatkov in standardnih modelov povezovanja sistemov. IP je pojasnila o tem, kaj se šteje za povezavo zbirk osebnih podatkov v smislu določb
15. poglavja VI. dela ZVOP-1, podal v smernicah »Varstvo osebnih podatkov pri povezovanju zbirk osebnih podatkov v javni upravi«1 (med upravljavce osebnih podatkov javnega sektorja sodi tudi Banka Slovenije, ki v skladu z ZCKR upravlja centralni kreditni register). Iz pojasnil izhaja, da se za povezovanje zbirk osebnih podatkov šteje avtomatsko in elektronsko povezovanje zbirk osebnih podatkov, ki jih vodijo upravljavci za različne namene, in sicer tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko. V primeru, ko so zbirke povezane na način, da upravljavec komunicira z eno zbirko osebnih podatkov, ta pa je v ozadju neposredno povezana z drugimi zbirkami podatkov (znotraj enega ali več upravljavcev), moramo torej to šteti za povezovanje zbirk podatkov, ne glede na to, da se podatki ne ažurirajo hkrati v vseh povezanih zbirkah. Tudi v takšnih primerih lahko namreč uporabnik osebnih podatkov pri delu s svojo zbirko osebnih podatkov hkrati pridobi tudi določene podatke iz (vseh) povezanih zbirk in jih neposredno vključi v svojo zbirko, ne da bi za to moral vstopati v vsako zbirko posebej. O povezovanju v širšem smislu govorimo tudi takrat, ko uporabnik v svojo zbirko vnese določene osebne podatke posameznika, sistem pa za tem zbirko samodejno ali na zahtevo uporabnika dopolni še z določenimi podatki iz drugih povezanih zbirk. Takšno povezovanje ima seveda določene prednosti (hitrejša in enostavnejša pridobitev podatkov, odprava neskladja virov, večja ažurnost, točnost, popolnost ter zanesljivost podatkov), po drugi strani pa takšna povezava lahko pomeni tudi nezakonit in prekomeren poseg v zasebnost posameznika, saj si upravljavec osebnih podatkov na takšen način na enem mestu pridobi in združi podatke iz več zbirk, ki se vodijo za podobne ali različne namene. Pri pridobivanju podatkov po
16. členu ZVOP-1 mora pooblaščena oseba upravljavca, ki želi osebne podatke pridobiti iz druge, že obstoječe zbirke osebnih podatkov, z ustrezno identifikacijo posebej vstopiti v to drugo zbirko ter za tem v tej zbirki z vnosom iskalnega kriterija pridobiti potrebne osebne podatke, pri čemer pa se tako pridobljeni osebni podatki v drugo zbirko ne vključijo samodejno, pač pa mora to storiti pooblaščena oseba ročno, npr. s prepisom, kopiranjem, izvozom, izpisom podatkov s pomočjo sprožitve posebnega ukaza. Za povezovanje tako nedvomno ne štejejo primeri, ko se pooblaščeni predstavnik uporabnika v okviru upravnega ali drugega individualnega postopka prijavi v zbirko osebnih podatkov, iz katere je pooblaščen pridobiti osebne podatke posameznika (med te primere sodijo aplikacije za posamične poizvedbe v centralnih registrih, kamor sodi tudi primer centralnega kreditnega registra). V tovrstnih primerih ni posebej povečanih tveganj za pravice in svoboščine posameznika. Pri povezavi zbirk osebnih podatkov v širšem smislu pa pooblaščena oseba upravljavca pri delu s svojo zbirko v iskalnik enostavno vpiše iskalni kriterij (običajno je to isti povezovalni znak, npr. EMŠO) sistem pa ji za tem iz povezanih zbirk samodejno prikliče in pridobi še ostale osebne podatke (npr. osebno ime, naslov prebivališča, zaposlitev, ipd.) ter jih samodejno vključi v zbirko, iz katere je bil opravljen priklic podatkov. Pri takšnem povezovanju se podatki ažurirajo samo v zbirki, v katero pooblaščena oseba neposredno dostopa, ne pa tudi v drugih povezanih zbirkah. Podatki se pri takšnem povezovanju ažurirajo samo v času poizvedbe, kasnejša sprememba podatkov v izvorni zbirki pa se ne odrazi s spremembo podatkov v povezanih zbirkah. Ključna razlika med povezovanjem zbirk osebnih podatkov in posameznim pridobivanjem osebnih podatkov je torej v tem, da se posamezniku v primeru povezanih zbirk podatkov pred vsako posamično poizvedbo v zbirko podatkov ni treba posebej prijavljati v vsako zbirko osebnih podatkov, temveč le v eno, sistem pa zatem samodejno pridobi določene osebne podatke iz povezane zbirke podatkov ali več njih. **** Iz zgoraj pojasnjenega izhaja, da prav okoliščine, ki jih opisujete v svojem dopisu, da se podatki posameznika iz centralnega kreditnega registra, do katerih pooblaščeni uslužbenci banke z ustrezno identifikacijo in preko iskalnih mehanizmov posamično dostopajo, vanje vpogledujejo ter jih s sprožitvijo ukaza za izpis podatkov na zaslonu ali posebnega ukaza za preoblikovanje rezultatov poizvedbe v določeno informatizirano obliko zapisa, da je ta primerna za izpis na papirju, kažejo na to, da v konkretnem primeru pri obstoječi zakonski ureditvi ne gre za povezovanje zbirk osebnih podatkov v smislu
17. in
18. člena ZVOP-1, kjer bi se osebni podatki iz zbirke centralnega kreditnega registra v zbirko banke vključili samodejno, temveč za posredovanje osebnih podatkov po
19. členu ZVOP-
20. IP izpostavlja, da niso le banke tiste, ki bi za dopustnost samodejnega vključevanja priklicanih osebnih podatkov posameznika iz centralnega kreditnega registra v informatizirano zbirko banke morale imeti neposredno, izrecno zakonsko pravno podlago, temveč bi to toliko bolj moral imeti sam upravljavec centralnega kreditnega registra, t. j. Banka Slovenije. Elektronski sistem za izmenjavo podatkov in informacij o zadolženosti fizičnih oseb in poslovnih subjektov (SISBON), z upoštevanjem načela sorazmernosti in drugih razpoložljivih informacij omogoča učinkovito ocenjevanje kreditnega tveganja pred sklepanjem kreditnih poslov s fizičnimi osebami in poslovnimi subjekti ter pri njihovem izvrševanju (prvi odstavek
21. člena ZCKR). Uporabo in posredovanje podatkov iz centralnega kreditnega registra (CKR) Banki Slovenije določa
22. člen ZCKR. V prvem odstavku je tako določeno, da lahko uporablja podatke za izvajanje svojih nalog in pristojnosti v skladu z zakonom, ki ureja Banko Slovenije, Statutom ESCB in ECB, zakonom, ki ureja bančništvo, ter drugimi predpisi, ki urejajo naloge in pristojnosti Banke Slovenije in Evropske centralne banke. Poleg navedenega lahko podatke uporabi še za vzpostavitev in upravljanje sistema izmenjave informacij v obsegu in pod pogoji, ki jih določa ta zakon. Osebne podatke o fizičnih osebah iz
23. člena ZCKR lahko pregleduje in obdeluje vključno z elektronsko obdelavo, in sicer tako, da lahko do osebnih podatkov dostopajo le osebe, ki so pri Banki Slovenije pooblaščene za dostopanje do osebnih podatkov v centralnem kreditnem registru zaradi izvajanja nalog Banke Slovenije iz
24. člena tega zakona. Banka Slovenije varuje osebne podatke v skladu z zakonom, ki ureja varstvo osebnih podatkov, ter zagotovi sledljivost glede dostopa do osebnih podatkov in uporabe osebnih podatkov tako, da sta mogoča identifikacija pooblaščene osebe, ki je dostopala oziroma uporabljala podatke iz sistema izmenjave informacij, in preverjanje namena, zaradi katerih je ta oseba dostopala do podatkov oziroma uporabljala določene podatke. V skladu s
25. členom ZCKR Banka Slovenije vzpostavi in upravlja sistem izmenjave informacij kot del CKR tako, da članom sistema izmenjave informacij omogoča: dostop do individualiziranih podatkov o zadolženosti posameznih fizičnih oseb in poslovnih subjektov, ter izbris napačnega podatka iz sistema izmenjave informacij po postopku iz
26. člena tega zakona. Upravljanje sistema izmenjave informacij po drugem odstavku
27. člena ZCKR obsega: vključevanje podatkov in informacij o zadolženosti poslovnih subjektov in fizičnih oseb iz centralnega kreditnega registra v sistem izmenjave informacij ter centralizirano obdelavo vključenih podatkov in informacij, ki obsega izkazovanje podatkov na zaslon in izpis teh podatkov na papir. Na podlagi zgoraj povzetih določb IP meni, da Banka Slovenije v ZCKR nima pravne podlage za posredovanje osebnih podatkov fizičnih oseb iz sistema izmenjave informacij vsem članom sistema, temveč članom, ki izpolnjujejo določene tehnične pogoje in varnostne zahteve za dostop do sistema izmenjave informacij, ki jih v skladu s prvim odstavkom
28. člena ZCKR določi Banka Slovenije na način, da v okviru upravljanja sistema izmenjave informacij omogoči centraliziran dostop do individualiziranih podatkov o zadolženosti posameznih fizičnih oseb, ki obsega izkazovanje podatkov na zaslonu in izpis le-teh na papirju. Dostop članov do podatkov v sistemu izmenjave informacij podrobneje ureja
29. člen ZCKR. Člani sistema lahko za namene ocenjevanja kreditnega tveganja fizične osebe, ki je izrazila interes za sklenitev kreditnega posla ali s katerim so sklenili kreditni posel (torej ob izpolnjenem pogoju iz člena 6 (1.b) Splošne uredbe), na podlagi drugega odstavka
30. člena ZCKR, dostopajo do vseh podatkov, ki se o tej fizični osebi obdelujejo v sistemu izmenjave informacij. V skladu s četrtim odstavkom
31. člena ZCKR do podatkov v sistemu izmenjave informacij lahko pri članih sistema dostopajo le osebe, ki so pooblaščene za dostop do zaupnih podatkov zaradi izvajanja nalog pri ocenjevanju kreditnih tveganj člana sistema v zvezi s sklepanjem ali izvajanjem kreditnih poslov. Peti odstavek
32. člena ZCKR še določa, da član sistema varuje osebne podatke v skladu z zakonom, ki ureja varstvo osebnih podatkov, ter med drugim zagotovi sledljivost glede dostopa do podatkov in izpisovanja podatkov iz sistema izmenjave informacij tako, da sta mogoča identifikacija pooblaščene osebe, ki je dostopala oziroma izpisovala podatke iz sistema izmenjave informacij, in preverjanje razlogov, zaradi katerih je ta oseba dostopala oziroma izpisovala določene podatke.
33. člen ZCKR nadalje določa uporabo podatkov, do katerih član sistema lahko dostopa za namene in na način, določen v zgoraj povzetih določbah
34. člena ZCKR. Prvi odstavek
35. člena ZCKR članu sistema omogoča, da podatke, do katerih v sistemu izmenjave informacij lahko dostopa za namene in na način določen v
36. člen ZCKR, uporablja izključno za namene: ocenjevanja kreditne sposobnosti kreditojemalca ter kreditnega tveganja, ki bi s sklenitvijo posameznega kreditnega posla nastalo za tega člana ali je nastalo v zvezi z izvajanjem kreditnega posla, in za reklamacije, izterjave, revizije in posodabljanja podatkov, ki se vključujejo v sistem izmenjave informacij. Drugi odstavek
37. člena ZCKR določa, da pred sklenitvijo kreditnega posla član sistema, na podlagi vpogleda v zbirko podatkov sistema izmenjave informacij in na podlagi drugih podatkov in informacij o kreditojemalcu, s katerimi razpolaga, oceni kreditojemalčevo sposobnost izpolnjevanja obveznosti iz kreditnega posla. Izpis podatkov iz sistema izmenjave informacij je sestavni del kreditne dokumentacije, ki jo vodi član sistema. Podatkov o zadolženosti fizične osebe, ki se obdelujejo v sistemu izmenjave informacij, član sistema, v skladu s tretjim odstavkom
38. člena ZCKR ne sme uporabiti za neposredno ali ciljno trženje ali pri odločanju, ali naj fizični osebi odpre transakcijski račun. **** Pravila sistema izmenjave informacij o zadolženosti fizičnih oseb – SISBON (Uradni list RS, št. 65/17, 6/18 in 68/18, v nadaljevanju Pravila) ne spreminjajo določb ZCKR, temveč določajo podrobnejše tehnične pogoje za dostop do sistema, ukrepe za zavarovanje osebnih in zaupnih podatkov, ki se zbirajo in obdelujejo v sistemu ter ostala vprašanja upravljanja in uporabe sistema in s tem povezane porazdelitve medsebojnih pravic, obveznosti in odgovornosti med upravljavcem ter člani oziroma vključenimi dajalci kreditov. Tudi določba
39. člena Pravil, ki od člana oziroma vključenega dajalca kreditov zahteva, da podatke, ki jih je pridobil iz sistema SISBON, hrani v izvorni obliki zapisa (oz. kot se je IP drugače izrazil v enem od preteklih mnenj, ki ga izpostavljate »v nespremenjeni obliki zapisa v smislu vsebine, ki je bila pridobljena iz sistema SISBON«) in jih lahko uporablja izključno za namene, ki jih predvideva ZCKR, zgolj tehnično dopolnjuje določbe ZCKR, ki posamičen pooblaščen in izsledljiv, a vendar centraliziran dostop do individualiziranih podatkov o zadolženosti posameznih fizičnih oseb omeji na izkazovanje podatkov na zaslonu in izpis le-teh na papirju, pri čemer izpis podatkov v izvorni obliki zapisa postane sestavni del kreditne dokumentacije. Ob navedenem IP tudi tokrat (kot že v izpostavljenem preteklem mnenju) poudarja, da ni pristojen za vsebinsko razlago določb ZCKR z vidika obveznosti bank, ki presegajo vprašanja varstva osebnih podatkov, niti na njegovi podlagi s strani Banke Slovenije sprejetega podzakonskega predpisa – Pravila. Ob upoštevanju uvodnih pojasnil o tem, kdaj se šteje, da gre za povezovanje zbirk osebnih podatkov in kdaj ne ter ob zgoraj izpostavljenih določbah ZCKR se potrjuje ugotovitev, da v konkretnem primeru ne gre za povezovanje zbirk osebnih podatkov v smislu
40. in
41. člena ZVOP-1, saj niti banke (članice sistema izmenjave informacij), niti Banka Slovenije (upravljavec SISBON), nimajo zakonske pravne podlage za povezovanje zbirk osebnih podatkov, ki se vodijo v centralnem kreditnem registru in obdelujejo (uporabljajo in posredujejo) skladno z določbami ZCKR. Tako ZVOP-1, kot Splošna uredba ne definirata pojmov »informatizirana« oz. »ročna« obdelava osebnih podatkov, iz katerih ste izhajali v svoji analizi, izpostavljamo pa na tem mestu najboljše približke določb, ki ste jih verjetno ob teh pojmih imeli v mislih. Obdelava v skladu s členom 4