Podlaga za vpogled zavarovalnice v CRP - IPRS

Podlaga za vpogled zavarovalnice v CRP + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 28.08.2020 Številka: 07121-1/2020/1489 Kategorije:Pravne podlage, Pridobivanje OP iz zbirk, Privolitev, Zavarovalništvo --> Kategorije: Pravne podlage, Pridobivanje OP iz zbirk, Privolitev, Zavarovalništvo Informacijski pooblaščenec (v nadaljevanju: IP) je dne 11. 8. 2020 prejel vaša vprašanja, vezana na pooblastilo posameznika za vpogled v Centralni register prebivalstva (CRP), in sicer ste uvodoma navedli, da zavarovalnicam vpogled v CRP dovoljuje že sam Zakon o zavarovalništvu (ZZavar-1), vendar pa je člen zapisan ozko in ne pokriva vseh situacij, s katerimi se naša zavarovalnica srečuje v praksi. Ker je zavarovalnica zavezana k zagotavljanju točnosti podatkov svojih strank, bi želela svoje stranke zaprositi za privolitev (pooblastilo), ki bi ji omogočilo preverbo točnosti podatkov v CRP ves čas zakonite hrambe teh osebnih podatkov v skladu s 23. členom Zakona o centralnem registru prebivalstva (ZCRP). Zanima vas sledeče: Ali je dovoljeno splošno pooblastilo za vpogled v CRP ali mora posameznik podati pooblastilo za vsak posamezen vpogled v CRP? Ali je veljavno pooblastilo, ki je podpisano lastnoročno v elektronski obliki preko elektronske podpisne tablice (e-Pero)? Ali je veljavno pooblastilo, ki je podpisano »na daljavo«, ki se pridobi preko sledečih korakov: stranka zastopniku ob sklepanju zavarovalne pogodbe posreduje svoj elektronski naslov in GSM telefonsko številko, stranka prejme na e-naslov pozdravno sporočilo s povezavo, na katero klikne, s klikom stranka sproži pošiljanje SMS sporočila z avtorizacijsko kodo, stranka SMS prejme avtorizacijsko kodo, stranka vpiše svojo avtorizacijsko kodo, stranka podpiše dokument s klikom, kreira se PDF, na katerem je vsebina pooblastila z podatki o podpisniku in časovnim žigom (datum in ura) podpisa. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju v skladu z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Pooblastilo za pridobivanje osebnih podatkov iz CRP je po mnenju IP omejeno na izjemne in utemeljene primere, ki jih zakon (ZZavar-1) ne pokriva, v njem pa mora biti vsebovana privolitev posameznika, ki izpolnjuje pogoje za veljavno privolitev v skladu z določbami Splošne uredbe, obenem pa mora biti jasno in nedvoumno izražen namen in nabor podatkov, ki naj se na podlagi tovrstnega pooblastila pridobijo iz CRP. Podpis pooblastila preko elektronskih naprav oziroma na daljavo po mnenju IP ni sporen v primeru, da postopek ustreza tehničnim in varnostnim zahtevam za veljavnost in verodostojnost podpisa na podlagi nedvoumne identifikacije posameznika, ki pooblastilo daje, česar pa IP ni pristojen presojati. Obrazložitev: Zakon o zavarovalništvu (Uradni list RS, št. 93/15 in 9/19, v nadaljevanju: ZZavar-1) v devetem odstavku 268. člena določa, da imajo zavarovalnice za namen posamičnih potreb po zagotavljanja točnosti in posodabljanja osebnih podatkov o zavarovalcih, zavarovancih ter drugih upravičencih do odškodnine ali zavarovalnine […] pravico na podlagi elektronske izmenjave brezplačno pridobivati podatke iz Centralnega registra prebivalstva, in sicer ves čas trajanja obligacijskega razmerja med stranko in zavarovalnico ali drugega pravnega razmerja s tretjo osebo, ki vpliva na obligacijsko razmerje med stranko in zavarovalnico, in sicer zlasti ob uvedbi izvršbe, ob uveljavljanju regresnih zahtevkov, ob obnovitvi zavarovalne pogodbe, ob reševanju zahtevkov, ob ugotavljanju sumljivih okoliščin, ob neodzivnosti pri pozivanju v okviru reševanja zahtevkov ali izplačevanju rente. Zakon o centralnem registru prebivalstva (Uradni list RS, št. 72/06 – uradno prečiščeno besedilo, v nadaljevanju: ZCRP) v 22. členu določa, da se smejo podatki CRP uporabljati samo na način in v obliki, ki ne omogoča identifikacije posameznika, če zakon ne določa drugače. Nadalje ZCRP v drugem odstavku 23. člena določa, da imajo uporabniki osebnih podatkov, ki imajo zakonsko podlago za pridobivanje podatkov in uporabniki, ki so pooblaščeni z osebno pisno privolitvijo posameznika, na katerega se podatki nanašajo, pa v zakonu oziroma pooblastilu nimajo konkretno opredeljenih podatkov, do katerih so upravičeni, pravico iz CRP dobiti naslednje podatke: ime in priimek, kraj rojstva, leto rojstva, spol, državljanstvo, prebivališče in vrsta prebivališča. Splošna uredba kot eno od veljavnih pravnih podlag za obdelavo osebnih podatkov predvideva privolitev (točka (

1. a)prvega odstavka 6. člena Splošne uredbe), pogoji za veljavno privolitev pa so navedeni v 7. členu Splošne uredbe, in sicer: 1. Kadar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov. 2. Če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana v pisni izjavi, ki se nanaša tudi na druge zadeve, se zahteva za privolitev predloži na način, ki se jasno razlikuje od drugih zadev, v razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku. Deli take izjave, ki predstavljajo kršitev te uredbe, niso zavezujoči. 3. Posameznik, na katerega se nanašajo osebni podatki, ima pravico, da svojo privolitev kadar koli prekliče. Preklic privolitve ne vpliva na zakonitost obdelave na podlagi privolitve pred njenim preklicem. O tem se pred privolitvijo obvesti posameznik, na katerega se nanašajo osebni podatki. Privolitev je enako enostavno preklicati kot dati. 4. Pri ugotavljanju, ali je bila privolitev dana prostovoljno, se med drugim zlasti upošteva, ali je izvajanje pogodbe, vključno z zagotavljanjem storitve, pogojeno s privolitvijo v obdelavo osebnih podatkov, ki ni potrebna za izvedbo zadevne pogodbe. V povezavi z vašim prvim vprašanjem po mnenju IP že določba devetega odstavka 268. člena ZZavar-1 zavarovalnicam omogoča, da iz CRP na podlagi elektronske izmenjave za namen zagotavljanja točnosti in posodabljanja osebnih podatkov o zavarovalcih, zavarovancih ter drugih upravičencih pridobiva osebne podatke posameznikov, iz določb ZCRP pa je po mnenju IP razbrati, da pridobivanje podatkov iz CRP v prvi vrsti določajo področni zakoni (v vašem primeru torej ZZavar-1), na podlagi pooblastila pa se osebni podatki iz CRP pridobivajo zgolj izjemoma, torej v izjemnih in utemeljenih primerih, ne pa na splošno. Pri tem mora pooblastilo za pridobivanje podatkov iz CRP, kot izhaja že iz same dikcije drugega odstavka 23. člena ZCRP, vsebovati privolitev posameznika, ki izpolnjuje vse pogoje za veljavno privolitev iz 7. člena Splošne uredbe, obenem pa mora biti dovolj konkretno, da iz njega nedvoumno izhajata namen in nabor podatkov, ki naj se iz CRP pridobijo. Po mnenju IP torej ne gre za klasično pooblastilo, temveč pooblastilo, ki vsebuje veljavno privolitev posameznika v skladu s pravili varstva osebnih podatkov, saj Splošna uredba pooblastila kot zakonite pravne podlage za obdelavo osebnih podatkov ne pozna. Vaše drugo in tretje vprašanje se nanašata na veljavnost dokumenta, podpisanega preko elektronske podpisne tablice oziroma na daljavo z uporabo različnih kanalov za elektronsko komunikacijo. Po mnenju IP je pooblastilo veljavno podpisano, če elektronska podpisna tablica (e-Pero) izpolnjuje pogoje področnih predpisov (npr. Zakona o elektronskem poslovanju na trgu) za veljavnost oziroma verodostojnost podpisa oziroma njegovo izenačitev z lastnoročnim, za presojo česar pa IP ni pristojen. Prav tako je pooblastilo po mnenju IP veljavno podpisano na daljavo, če postopek podpisovanja dosega ustrezne varnostne standarde in izpolnjuje tehnične pogoje za veljavnost in verodostojnost podpisa na podlagi nedvoumne identifikacije posameznika. Pooblastilo za pridobivanje osebnih podatkov iz CRP naj bi bilo po mnenju IP torej omejeno na izjemne in utemeljene primere, ki jih zakon (ZZavar-1) ne pokriva, v njem pa mora biti jasno in nedvoumno izražen namen in nabor podatkov, ki naj se na njegovi podlagi pridobijo iz CRP. Podpis pooblastila preko elektronskih naprav oziroma na daljavo po mnenju IP ni sporen v primeru, da postopek ustreza tehničnim in varnostnim zahtevam za veljavnost in verodostojnost podpisa na podlagi nedvoumne identifikacije posameznika, ki pooblastilo daje, česar pa IP ni pristojen presojati. S spoštovanjem, Pripravila: Mojca Leitinger Okršlar, državna nadzornica za varstvo osebnih podatkov Informacijski pooblaščenec: Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
2. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026