Posredovanje podatkov iz Centralnega kreditnega registra - IPRS

Posredovanje podatkov iz Centralnega kreditnega registra + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.02.2020 Številka: 07120-1/2020/48 Kategorije:Bančništvo, Policijski postopki, Pravne podlage, Pridobivanje OP iz zbirk, Zavarovanje osebnih podatkov --> Kategorije: Bančništvo, Policijski postopki, Pravne podlage, Pridobivanje OP iz zbirk, Zavarovanje osebnih podatkov Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede posredovanja osebnih podatkov iz centralnega kreditnega registra policiji. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa v okviru mnenja presojati ustreznosti posameznih obdelav osebnih podatkov z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. IP namreč ne sme in ne more prevzeti odgovornosti posameznih subjektov za njihovo poslovanje, podobno kot to velja za druge inšpekcijske organe. IP v okviru mnenja tako ne more namesto upravljavca presojati, ali je posamezna zahteva za posredovanje podatkov utemeljena. Presojo glede zakonitosti oziroma ustreznosti posamezne zahteve mora opraviti izključno upravljavec osebnih podatkov. IP zato v nadaljevanju podaja zgolj splošna pojasnila ter izpostavlja relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. IP tako splošno pojasnjuje, da Splošna uredba o varstvu podatkov v 6. členu določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev: (

1. a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
2. b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
3. c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
4. d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
5. e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
6. f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Za vsako obdelavo osebnih podatkov mora torej obstajati pravna podlaga. Področni zakon v smislu točke (
7. c)v vašem primeru predstavlja Zakon o centralnem kreditnem registru (ZCKR; Uradni list RS, št. 77/16). Ta v tretjem odstavku 12. člena določa, da Banka Slovenije posreduje podatke in informacije iz centralnega kreditnega registra posameznemu prejemniku, kadar takšno razkritje določa zakon, in v obsegu, ki ga prejemnik potrebuje za izvajanje svojih nalog ali pristojnosti v skladu z veljavnimi predpisi, ki urejajo njegovo delovanje in pristojnosti. V četrtem odstavku istega člena je določeno, da sme prejemnik iz prejšnjega odstavka, ki pridobi podatke iz centralnega kreditnega registra, te podatke uporabiti samo za izvajanje svojih pristojnosti in nalog v skladu z zakonom in jih po izčrpanem namenu uporabe izbriše ali drugače trajno uniči. Ob tem je treba upoštevati, da v skladu s prvim odstavkom 11. člena ZCKR podatki in informacije o posameznem poslovnem subjektu, ki se obdelujejo v centralnem kreditnem registru, predstavljajo poslovno skrivnost kreditodajalca in poročevalske enote, ki je podatke in informacije posredovala v centralni kreditni register, in se v skladu s tem zakonom štejejo kot zaupni podatki. Banka Slovenije varuje zaupne podatke, ki se zbirajo in obdelujejo v centralnem kreditnem registru, in jih ne sme razkriti drugi osebi ali državnemu organu v obliki in na način, ki omogoča identifikacijo poročevalske enote, kreditodajalca, fizične osebe ali poslovnega subjekta, na katero se podatki nanašajo, razen v primerih in pod pogoji, ki jih določa ta zakon. Kot navajate tudi v vašem zaprosilu, Zakon o bančništvu (ZBan-2; Uradni list RS, št. 25/15, 44/16 – ZRPPB, 77/16 – ZCKR, 41/17, 77/18 – ZTFI-1, 22/19 – ZIUDSOL, 44/19 – odl. US) v peti točki drugega odstavka 16. člena določa, da Banka Slovenije lahko razkrije zaupne informacije tudi policiji v skladu s predpisi, ki urejajo izvedbo predkazenskega in kazenskega postopka. Banka Slovenije lahko policiji razkrije le tiste zaupne informacije, ki jih policija potrebuje za izvajanje svojih nalog ali pristojnosti v skladu z veljavnimi predpisi, ki urejajo njeno delovanje in pristojnosti. Takšen predpis predstavlja tudi Zakon o nalogah in pooblastilih policije (ZNPPol; Uradni list RS, št. 15/13, 23/15 – popr., 10/17, 46/19 – odl. US, 47/19) in v tem okviru tudi določba 115. člena ZNPPol. Ta bi tako po mnenju IP, ob upoštevanju v tem mnenju navedenih določb ZCKR in ZBan-2, lahko predstavljal pravno podlago za posredovanje podatkov iz centralnega kreditnega registra policiji. Če zaupne informacije vključujejo zaupne podatke o posamezni stranki, se ti podatki posredujejo policiji le, če bi zaupne podatke ob upoštevanju drugega ali tretjega odstavka 126. člena ZBan-2 lahko policija zahtevala tudi neposredno od banke. Omenjena določba tretjega odstavka 126. člena ZBan-2 določa, da banka policiji lahko razkrije zaupne podatke, če jih ta zaradi izvedbe predkazenskega ali kazenskega postopka pisno zahteva, razen v primerih, ko za posredovanje zaupnih podatkov zakon izrecno določa odredbo preiskovalnega sodnika. Dolžnost varovanja zaupnih podatkov v skladu s četrtim odstavkom 126. člena ZBan-2 prav tako ne velja, če banka ali oseba iz drugega odstavka 126. člena ZBan-2 te podatke posreduje policiji z namenom, da naznani razloge za sum, da je bilo storjeno kaznivo dejanje. V skladu z določbo 127. člena ZBan-2 pa sme Banka Slovenije oziroma drugi organi in osebe podatke, ki so jih pridobili na podlagi prejšnjega člena, uporabiti izključno za namen, za katerega so bili podatki pridobljeni in jih lahko posredujejo drugim osebam izključno pod pogoji, določenimi v tem ali drugem zakonu. IP pojasnjuje, da iz navedenih določb izhaja načelo bančne tajnosti, ki pomeni temeljno predpostavko za zaupanje v bančni sistem. Bančna tajnost pomeni pravno dolžnost bank, da varujejo podatke o strankah in da zavrnejo vsakršne zahteve tretjih oseb po posredovanju teh informacij, razen v zakonsko opredeljenih izjemah. Te izjeme je v vsakem primeru treba razlagati ozko ter v primeru dvoma v korist varovanja zaupnosti. Zakon o kazenskem postopku (ZKP; Uradni list RS, št. 32/12 – UPB, 47/13, 87/14, 8/16 – odl. US, 64/16 – odl. US, 65/16 – odl. US, 66/17 – ORZKP153, 154, 22/19) v petem odstavku 156. člena določa, da lahko policija, če so podani razlogi za sum, da je bilo izvršeno oziroma da se pripravlja kaznivo dejanje, za katero se storilec preganja po uradni dolžnosti in je za preprečitev ali odkritje tega kaznivega dejanja ali storilca treba pridobiti podatke o imetniku ali pooblaščencu določenega ali določljivega plačilnega računa, hranilne vloge, denarnice za hrambo virtualne valute ali denarnega depozita, najemniku ali pooblaščencu sefa ter o času, v katerem so bili oziroma so v uporabi, ali podatke o obstoju pogodbenega oziroma poslovnega razmerja z osumljeno osebo, ki ne zajemajo podatkov o premoženjskem stanju osumljenca oziroma o stanju vlog in depozitov ter o stanju in prometu na računih oziroma denarnici virtualne valute, pisno zahteva od banke, hranilnice, plačilne institucije, družbe za izdajo elektronskega denarja oziroma podružnice ali zastopnika, ki zanje opravlja plačilne storitve ali distribuira elektronski denar, ali družbe za izdajo, upravljanje oziroma poslovanje z virtualno valuto, da tudi brez privolitve osebe, na katero se ti podatki nanašajo, brez odlašanja sporoči te podatke oziroma posreduje dokumentacijo, ki vsebuje te podatke, če ne vsebuje tudi podatkov o premoženjskem stanju osumljenca oziroma o stanju vlog in depozitov ter o stanju in prometu na računih. Navedene podatke torej lahko policija od banke in drugih naštetih institucij pridobi brez odredbe preiskovalnega sodnika. Podatki, za katere policija takšno odredbo potrebuje, pa so določeni v prvem odstavku 156. člena ZBan-2. Na podlagi navedenega IP meni, da bi določba petega odstavka 156.člena ZCKR lahko predstavljala pravno podlago za posredovanje podatkov iz centralnega kreditnega registra policiji. Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izvrševanje zakonitih pristojnosti, nalog ali obveznosti. Glede drugega odstavka 148. člena ZKP IP meni, da gre v tem primeru predvsem za zbiranje obvestil s strani policije, ki načeloma ne pomeni posega v ustavno varovano človekovo pravico do varstva osebnih podatkov. Po naravi gre boj za izvajanje neformalnih ukrepov policije (npr. informativni razgovor), sodelovanje oseb pri zbiranju obvestil pa je v skladu s prvim odstavkom 34. člena ZNPPol prostovoljno. Oseba ima pravico do anonimnosti, razen če zakon, ki ureja kazenski postopek, in zakon, ki ureja postopek o prekrških, ne urejata drugače. Policisti pred zbiranjem obvestil poučijo osebo o pravici do prostovoljnosti in anonimnosti, razen če je do zbiranja obvestil prišlo na pobudo osebe ali v primeru preventivnih dejavnosti. Glede na navedeno IP meni, da omenjena določba ZKP ne more predstavljati ustrezne pravne podlage za razkritje zaupnih podatkov iz centralnega kreditnega registra. IP meni, da ne gre za pravno podlago, ki bi banke odvezala dolžnosti varovanja bančne tajnosti kot temeljne predpostavke za zaupanje v bančni sistem. IP sklepno ponovno poudarja, da v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, v konkretnem primeru torej vaša organizacija, ki nosi tudi odgovornost za tovrstno opravljeno presojo. IP se namreč ne more in ne sme postaviti v vlogo odločevalca (razsojevalca) v posameznih primerih in odločiti o upravičenosti posredovanja podatkov ali celo odrediti/prepovedati določenemu zavezancu posredovanje določenih podatkov. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
8. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026