Obdelava OP posameznikov iz SISBON za oceno verjetnosti neplačila - IPRS

Obdelava OP posameznikov iz SISBON za oceno verjetnosti neplačila + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 17.05.2020 Številka: 07121-1/2020/871 Kategorije:Bančništvo, Definicija OP, Ocene učinkov v zvezi z varstvom podatkov , Pravne podlage, Pridobivanje OP iz zbirk --> Kategorije: Bančništvo, Definicija OP, Ocene učinkov v zvezi z varstvom podatkov, Pravne podlage, Pridobivanje OP iz zbirk Zahvaljujemo se vam za vaša vprašanja glede dopustnosti namena in obsega uporabe podatkov iz sistema SISBON za fizične osebe, ki so bili na podlagi Zakona o centralnem kreditnem registru pridobljeni pri sklepanju posameznega kreditnega posla. Podatke želite uporabiti za namen izračuna stopnje verjetnosti neplačila. Navajate, da bi zajemali podatke o odobrenih kreditnih poslih za obdobje od 7-10 let nazaj, pri čemer ocenjujete, da naj bi bili izpolnjeni pogoji za nadaljnjo obdelavo za drug namen na podlagi četrtega odstavka člena 6 Splošne uredbe. Konkretno sprašujete, ali po mnenju IP obstajajo kakršnikoli zadržki, da teh individualnih podatkov iz sistema SISBON ne bi smeli uporabiti v namen razvoja modela izračuna stopnje verjetnosti neplačila. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi člena 58 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
3. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
4. točke prvega odstavka
5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Primarna odgovornost upravljavca je, da poskrbi za zakonito obdelavo osebnih podatkov. Ob tem mora upravljavec (torej banka) po potrebi izvesti tudi oceno učinka v zvezi z varstvom podatkov, če gre za obdelavo iz seznama obdelav, ko je takšna predhodna ocena nujna. Med takimi obdelavami je nedvomno vsa obdelava osebnih podatkov v velikem obsegu, ki vključuje vrednotenje, točkovanje ali razvrščanje posameznikov, vključno s profiliranjem in napovedovanjem. Več o tem in smernice IP na to temo so na voljo na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/ocena-ucinka-v-zvezi-z-varstvom-podatkov/ IP vam posledično na podlagi predstavljenih informacij ne more in ne sme v mnenju podati odgovora na vaše vprašanje, ali je model množične in sistematične obdelave osebnih podatkov posameznikov za namen izračuna stopnje verjetnosti neplačila, kot ste ga predstavili, dopusten, ali zanj obstaja ustrezna pravna podlaga in ali je posledično sploh zakonit. Ta presoja je odgovornost in naloga vaše banke in po mnenju IP zahteva predhodno izvedbo ocene učinka v zvezi z varstvom podatkov. Po potrebi je v skladu s členom 36 Splošne uredbe možno tudi predhodno posvetovanje z IP (po izvedeni oceni učinkov). IP pa lahko dokončno o tem presoja v inšpekcijskem postopku. V nadaljevanju vam zato podajamo splošna pojasnila in izhodišča, ki so poleg informacij, ki so na voljo v zgoraj omenjenih nasvetih IP glede izdelave ocene učinka, pomembna pri takšni presoji. Hkrati že uvodoma opozarjamo, da se poraja dvom, ali opisana obdelava resnično ne bi imela resnih posledic za posameznika, saj bodo, kot navajate, tveganja izračunana za vsakega posameznika in ne splošno, statistično oziroma anonimizirano. Težko pa si predstavljamo, da takšen izračun ne bi imel nobenih posledic za poslovanje in položaj posameznika v razmerju do banke. Prav tako poudarjamo, da na prvi pogled in na podlagi vaši navedb ni videti, da bi lahko v opisanem primeru prišla v poštev omenjena uporaba četrtega odstavka člena 6 Splošne uredbe. ZCKR, ki določa namene in zakonitost obdelava osebnih podatkov iz SISBON, namreč izrecno določa namene obdelave podatkov iz SISBON, zelo jasno opredeljuje tudi omejitev hrambe podatkov v SISBON. Opisani projekt pa bi dejansko, kolikor je razbrati, lahko brez jasne pravne podlage pomenil ustvarjanje nove zbirke podatkov prečrpanih iz SISBON za drug namen, z drugim rokom hrambe. Iz tega bi lahko izhajalo, da gre za klasičen primer nedopustne širitve namenov obdelave. Prav omejitev namen obdelave pa je ključni element varstva podatkov. Ustvarjanje nove zbirke podatkov z drugim namenov pa s seboj prinaša tudi nova tveganja zlorab. Najprej je treba poudariti, da so tudi psevdonimizirani podatki, še vedno osebni podatki, ki jih varuje Splošna uredba in katerih obdelava mora zato potekati v skladu s predpisi, ki veljajo za obdelavo osebnih podatkov. To pomeni, da ni pomembno, kako so posamezniki določljivi (na podlagi imena in priimka, drugih identifikatorjev ali kako drugače). Vedno veljajo za obdelave takšnih osebnih podatkov določenih ali določljivih posameznikov s strani zavezancev po Splošni uredbi navedeni predpisi za varstvo podatkov. Vsak upravljavec osebnih podatkov (v tem primeru vsaka banka ali druga član sistema SISBON) mora zagotoviti, da poteka obdelava osebnih podatkov na zakonit način, kar pomeni, da mora biti podana ena od samostojnih pravnih podlag, ki jih določa člen 6