Posodobitev podatkov pri banki in pošiljanje kopije osebnega dokumenta po e-pošti - IPRS

Posodobitev podatkov pri banki in pošiljanje kopije osebnega dokumenta po e-pošti + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 25.11.2020 Številka: 07121-1/2020/2123 Kategorije:Bančništvo, Informiranje posameznika, Pravne podlage --> Kategorije: Bančništvo, Informiranje posameznika, Pravne podlage Informacijski pooblaščenec (v nadaljevanju: IP) je dne 16. 11. 2020 prejel vaše elektronsko sporočilo, v katerem navajate, da imate v lasti nekaj delnic Krke, ki jih upravlja banka, od katere ste pred dnevi dobili elektronsko sporočilo in obrazce, v katerih želijo res veliko vaših osebnih podatkov, posebej pa vam je padlo v oči, ker želijo tudi kopijo vaše osebne izkaznice in bančne kartice. Zanima vas, kako naj ukrepate. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju v skladu z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Po mnenju IP banka razpolaga z ustrezno pravno podlago za pridobivanje osebnih podatkov na predloženih obrazcih, in sicer v skladu s točko (

1. c)prvega odstavka 6. člena Splošne uredbe, v kolikor nabor in namen obdelave osebnih podatkov ustrezata določbam področnih zakonov, ki ji obdelavo teh osebnih podatkov nalagajo. Je pa banka dolžna posamezniku, od katerega pridobiva osebne podatke, nuditi ustrezne in zadostne informacije v skladu s 13. členom Splošne uredbe. Prav tako IP meni, da je hramba kopij osebnih dokumentov v elektronski obliki lahko dopustna, če gre za namen, kot ga določa 32. člen ZPPDFT-1. Obrazložitev: Banke so zavezane k spoštovanju številnih zahtev posebne področne zakonodaje, ki so marsikdaj povezane z obdelavo osebnih podatkov posameznikov. S strani banke ste prejeli obrazce, ki jih je ta pripravila v skladu z zahtevami Zakona o preprečevanju pranja denarja in financiranja terorizma (ZPPDFT-1), Zakona o davčnem postopku (ZDavP-2) in Zakona o trgu finančnih instrumentov (ZTFI-1), kot je to razvidno tudi iz samih obrazcev, prejeli pa ste še dva obrazca, na katerih naj bi se opredelili glede neposrednega trženja s strani banke in elektronske komunikacije z banko. Splošna uredba v prvem odstavku 6. člena[1] opredeljuje zakonite pravne podlage za obdelavo osebnih podatkov, in sicer: privolitev, sklenitev ali izvajanje pogodbe, izvajanje zakonskih zahtev oziroma izvajanje javnih nalog in zakoniti interesi, ki prevladajo nad interesi posameznika; pri tem je za zakonitost obdelave dovolj, da je izpolnjena ena od navedenih pravnih podlag. IP sicer ni pristojen za tolmačenje izvajanja zahtev, ki jih za banke predstavljajo določbe navedenih področnih zakonov (ZPPDFT-1, ZDavP-2 in ZTFI-1), vendar meni, da ima banka ustrezno pravno podlago za obdelavo osebnih podatkov po točki (
2. c)prvega odstavka 6. člena Splošne uredbe, v kolikor nabor in namen obdelave osebnih podatkov ustrezata določbam področnih zakonov, ki ji obdelavo teh osebnih podatkov nalagajo. Na podlagi predloženih obrazcev glede neposrednega trženja in elektronske komunikacije banka pridobiva vašo privolitev, ki ji bo za opredeljene namene nato služila kot pravna podlaga za obdelavo vaših osebnih podatkov po točki (
3. a)prvega odstavka 6. člena Splošne uredbe. Ob tem je potrebno omeniti, da je banka dolžna ob vsakem pridobivanju osebnih podatkov od posameznikov le-tem zagotavljati ustrezne in zadostne informacije v skladu s 13. členom Splošne uredbe[2], česar v vašem primeru morebiti ni storila v zadostnem obsegu, kar pa še vedno ne pomeni, da teh informacij oziroma dodatnih pojasnil od banke ne morete zahtevati naknadno. V zvezi s kopijami osebnega dokumenta in bančne izkaznice, ki naj bi jih banki posredovali po elektronski poti, vam sporočamo, da se zakonodaja nikjer ne opredeljuje do pošiljanja kopij bančnih kartic v elektronski obliki, na drugi strani pa predstavlja določba 32. člena ZPPDFT-1, ki določa, da lahko zavezanci, ki so kreditne in finančne institucije, ne glede na določbe drugih zakonov, kopije uradnih osebnih dokumentov, ki so jih pridobili v okviru izvajanja ukrepov ugotavljanja in preverjanja istovetnosti stranke po določbah tega zakona, hranijo v elektronski obliki, če je zagotovljeno njihovo varovanje z organizacijskimi, tehničnimi in logično-tehničnimi postopki in ukrepi skladno z zakonom, ki ureja varstvo osebnih podatkov, izjemo od splošne prepovedi hrambe kopij osebnih dokumentov v elektronski obliki, kot jo določata Zakon o osebni izkaznici (ZOIzk-1) in Zakon o potnih listinah (ZPLD-1), in je hramba kopij osebnih dokumentov v elektronski obliki za namen, kot ga določa ZPPDFT-1, dovoljena. Seveda pa lahko pošiljanje kopije osebnega dokumenta in bančne kartice po elektronski pošti za vas predstavlja nesprejemljivo varnostno tveganje, zato bi vam banka po mnenju IP morala dati na voljo tudi možnost posredovanja kopij dokumentov po drugi poti, npr. po navadni pošti oziroma možnost obiska poslovalnice. Predlagamo vam, da se v zvezi s tem obrnete na banko. S spoštovanjem, Pripravila: Mojca Leitinger Okršlar, državna nadzornica za varstvo osebnih podatkov Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka [1] Prvi odstavek 6. člena Splošne uredbe se glasi: Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: (
4. a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
5. b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
6. c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
7. d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
8. e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
9. f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Pri tem se točka (
10. f)prvega pododstavka ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog. [2] Prvi odstavek 13. člena Splošne uredbe se glasi: Kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotovi vse naslednje informacije: (
11. a)identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja; (
12. b)kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja; (
13. c)namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo; (
14. d)kadar obdelava temelji na točki (
15. f)člena 6