OP za izbris računa + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 01.03.2020 Številka: OP za izbris računa Kategorije:Pravica do pozabe, Pravne podlage --> Kategorije: Pravica do pozabe, Pravne podlage Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vašo vlogo v kateri uvodoma pojasnjujete, da ste na spletni strani tujega ponudnika spletnih plačilnih storitev XX pred kratkim odprli spletni uporabniški račun in ker aplikacije ne uporabljate več, ste XX prosili za zaprtje svojega računa, vendar tega noče storiti, dokler ne potrdite svoje identitete s kopijo osebnega dokumenta in kopijami bančnih izpiskov (pri popolnoma drugi banki). Zanima vas, kaj lahko storite v takem primeru, saj za odprtje računa niste potrebovali nič drugega kot le e-poštni naslov. Skrbi vas, da bi pri tujem ponudniku spletnih plačilnih storitev ostala zabeležena vaša zgodovina nakupov, še bolj pa dejstvo, da ima v popolnosti shranjene podatke o vaši kreditni kartici. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi člena 58 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašo vlogo. Glede na to, da gre za tujega ponudnika spletnih plačilnih storitev, je treba najprej ugotoviti, ali se Splošna uredba uporablja za obdelavo osebnih podatkov pri izvajanju konkretnih storitev. Člen 3 Splošne uredbe v prvem odstavku določa, da se ta uredba uporablja za obdelavo osebnih podatkov v okviru dejavnosti ustanovitve upravljavca v Uniji, ne glede na to, ali obdelava poteka v Uniji ali ne, v drugem odstavku pa, da se uporablja tudi za obdelavo osebnih podatkov posameznikov, na katere se nanašajo osebni podatki in ki so v Uniji, s strani upravljavca ali obdelovalca, ki nima ustanovitve v Uniji, kadar so dejavnosti obdelave povezane: (
- a)z nudenjem blaga ali storitev takim posameznikom v Uniji, ne glede na to, ali je potrebno plačilo posameznika, na katerega se nanašajo osebni podatki, ali (
- b)s spremljanjem njihovega vedenja, kolikor to poteka v Uniji. Kadar nastopijo okoliščine obdelav osebnih podatkov iz drugega odstavka člena 3 Splošne uredbe, upravljavec skladno s členom 27 Splošne uredbe pisno določi predstavnika v Uniji. V konkretnem primeru ima ponudnik spletnih plačilnih storitev XX (upravljavec) predstavnika v Luksemburgu, zatorej se Splošna uredba za obdelavo osebnih podatkov uporablja. V nadaljnji fazi bi bilo treba pridobiti informacije o tem, kakšni so razlogi za to, da upravljavec za zaprtje vašega uporabniškega računa zahteva kopijo osebnega dokumenta in kopije bančnih izpiskov ter ali so zahtevani osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene (npr. za identifikacijo uporabnika, prenos preostalih sredstev na računu, zaključek vseh transakcij v teku pred zapiranjem računa ipd.), za katere bi jih upravljavec obdeloval (»načelo najmanjšega obsega podatkov« iz (
- c)točke prvega odstavka člena 5 Splošne uredbe). Splošna uredba upravljavca z drugim odstavkom člena 12 med ostalim zavezuje, da posamezniku, na katerega se nanašajo osebni podatki, olajša uresničevanje njegovih pravic iz členov 15 do 22 (med njimi tudi pravico do izbrisa osebnih podatkov), pri čemer informativna uvodna določba 64 Splošne uredbe upravljavca pri preverjanju identitete napotuje, da bi moral uporabiti vse razumne ukrepe za preverjanje identitete posameznika, na katerega se nanašajo osebni podatki in ki zahtevajo dostop do podatkov, zlasti v okviru spletnih storitev in spletnih identifikatorjev in ne bi smel hraniti osebnih podatkov samo zato, da se lahko odzove na morebitne zahteve. V skladu s prvim in drugim odstavkom člena 13 Splošne uredbe bi vas upravljavec o obdelavi (dodatno) zahtevanih osebnih podatkov moral obvestiti (najkasneje) v trenutku zbiranja podatkov od vas (med ostalim tudi o namenih in pravnih podlagah za obdelavo, od česar običajno zavisijo pravice posameznikov na katere se nanašajo osebni podatki), razen kadar in kolikor ste te informacije že imeli (četrti odstavek člena 13 Splošne uredbe), kar bi upravljavec po »načelu odgovornosti« iz drugega odstavka člena 5 Splošne uredbe moral biti zmožen dokazati. IP zgolj na podlagi vaše vloge in javno dostopnih informacij ter v okviru nezavezujočega mnenja ne more ugotavljati, ali so ukrepi upravljavca za preverjanje identitete posameznika pri uveljavljanju pravice do izbrisa razumni, saj to zavisi od vseh okoliščin konkretnega primera, celo od načina uveljavljanja pravice do izbrisa. Ni vseeno in enako, če gre za (samo)izbris z mehanizmi avtentikacije in/ali uporabo iste poverilnice za spletno prijavo v uporabniški račun ali pa za pisno oziroma ustno podano zahtevo za izbris preko službe za podporo ipd. Poleg tega najverjetneje gre v konkretnem primeru za preklic oziroma odpoved pogodbe o izvajanju storitev na podlagi katere se obdelujejo osebni podatki (točka (
- b)prvega odstavka člena 6 Splošne uredbe) in ne za preklic vaše privolitve v obdelavo osebnih podatkov ob odpiranju računa, katero bi moralo biti enako enostavno preklicati, kot dati (tretji odstavek člena 7 Splošne uredbe). Če vas zadeva zelo skrbi, se lahko za dodatna pojasnila obrnete na zadevnega upravljavca. IP ne more posredovati pri ugotavljanju katere vse vaše osebne podatke upravljavec obdeluje ter, ali te obdeluje zakonito, če pri upravljavcu še niste uveljavljali pravice do dostopa iz člena 15 Splošne uredbe, pa vam je ta pravica s strani upravljavca bila zavrnjena ali nanjo ni odgovoril najpozneje v roku enega meseca po prejemu zahteve, kot to določa četrti odstavek člena 12 Splošne uredbe. Prav tako IP na podlagi vaše vloge in javno dostopnih informacij v okviru mnenja ne more ugotavljati, katere vaše osebne podatke bo upravljavec po izbrisu uporabniškega računa morebiti še obdeloval in ali bo te obdeloval zakonito (npr. v skladu s katero od dopustnih izjem iz tretjega odstavka člena 17 Splošne uredbe). Več o tem in o načinu uveljavljanja pravic posameznika, na katerega se nanašajo osebni podatki ter o podaji zahtev neposredno pri upravljavcu, najdete na naši spletni strani: https://tiodlocas.si/. Če vam upravljavec na katero od vaših zahtev za uveljavljanje pravic ni (ne
- bo)odgovoril najpozneje v roku enega meseca po prejemu zahteve ali menite, da kateri od vaših pravic ni ugodil, pa bi glede na vse upoštevane okoliščine moral (npr. izbris računa brez dodatnih pogojev glede obdelav osebnih podatkov) in vas hkrati ni obvestil o razlogih za zavrnitev katere od zahtev iz členov 15 do 22, lahko zoper upravljavca vložite pritožbo, ki jo naslovite bodisi neposredno na pristojni nadzorni organ za varstvo osebnih podatkov v Luksemburgu, bodisi na IP, ki je nadzorni organ za varstvo osebnih podatkov v Sloveniji. V slednjem primeru lahko v izogib podaje nepopolne pritožbe smiselno uporabite obrazec s pojasnili »Pritožba zaradi kršitve pravice do seznanitve z lastnimi osebnimi podatki (obrazec P-SLOP)«, ki ga najdete na naši spletni strani https://www.ip-rs.si/fileadmin/user_upload/doc/obrazci/ZVOP/Pritozba_zaradi_krsitve_pravice_do_seznanitve_z_lastnimi_osebnimi_podatki__Obrazec_P-SLOP.doc. Na podlagi pritožbe bo IP skladno z določbami iz poglavja VI Splošne uredbe, kot nadzorni organ v Sloveniji, sprožil ustrezen postopek čezmejnega sodelovanja z vodilnim nadzornim organom v Luksemburgu in ostalimi zadevnimi nadzornimi organi v Uniji. Informacijski pooblaščenec: Mojca Prelesnik, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026