← Slovenija

Hramba dokumentov finančnih transakcij - IPRS

Hramba dokumentov finančnih transakcij + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 30.12.2020 Številka: 07121-1/2020/2330 Kategorije:Bančništvo, Pravica do seznanitve z lastnimi osebnimi podatki, Rok hrambe OP, Zavarovanje osebnih podatkov --> Kategorije: Bančništvo, Pravica do seznanitve z lastnimi osebnimi podatki, Rok hrambe OP, Zavarovanje osebnih podatkov Informacijski pooblaščenec (v nadaljevanju: IP) je dne
  4. 2020 z vaše strani prejel zaprosilo za mnenje IP v zvezi s hrambo dokumentov o finančnih transakcijah, zlasti v povezavi s hrambo dokumentov, kadar je na enem dokumentu več transakcij za različne posle in/ali različne komitente in posledično z različnimi roki hrambe. V zaprosilu za mnenje dodatno pojasnjujete, da Zakon o preprečevanju pranja denarja in financiranja terorizma (ZPPDFT-1) v prvem odstavku
  5. člena določa, da se podatki in pripadajoča dokumentacija, ki se nanaša na pregled stranke in posamezne transakcije, hrani deset let po prenehanju poslovnega razmerja ali opravljeni transakciji, pri čemer je Urad za preprečevanje pranja denarja septembra 2018 podal mnenje (ki mu je v svojem neodvisnem mnenju pritrdila tudi Banka Slovenije), da je potrebno razlikovati med stranko, ki ima sklenjeno poslovno razmerje s stranko, in stranko, ki pri banki opravi občasno transakcijo – desetletni rok za hrambo podatkov in pripadajoče dokumentacije v primeru trajajočega poslovnega razmerja začne teči ob zaključku poslovnega razmerja, v primeru posameznih transakcij (banka s stranko ni v trajnejšem poslovnem razmerju) pa po opravljeni transakciji. Banke predlagajo dve rešitvi – da se isti dokument (ki vsebuje podatke za več transakcij pri istem komitentu) arhivira za vsak posel posebej in briše 10 let po zaključku posla oziroma da se v arhivu za isti dokument dodajo povezave na vse posle in poslovna razmerja, ki se jih dokument tiče, po poteku 10 let od posameznega posla se briše povezava, dokument pa se izbriše z brisanjem zadnje povezave oziroma posla komitenta. Omenjate še, da dokument z več podatki za različne transakcije in/ali komitente ustvari banka v luči izvajanja storitev za stranke v smeri ekonomičnosti procesov, enostavne uporabniške izkušnje strank, zmanjševanja papirne dokumentacije, ali pa banka tak dokument (z instrukcijo za transakcije pri več poslih in/ali komitentih) prejme od stranke in ga mora zaradi dokazovanja hraniti v nespremenjeni obliki, obenem pa nima vpliva na njegovo kreiranje. Banke se zavedajo, da bi brisanje dokumenta skupaj z zadnjo povezavo oziroma zadnjim živim poslom posameznika, lahko predstavljalo prekomerno hrambo osebnih podatkov in s tem kršenje pravic posameznika, vendar ocenjujejo, da je takšna izbira s pravnega, časovnega in stroškovnega vidika boljša od drugih, obenem takšna hramba ne spreminja namena obdelave, ohranja enovitost dokumentov o transakcijah in zagotavlja ekonomičnost postopkov poslovanja s strankami, hramba pa je skladna z roki na posamezni stranki oziroma poslovnem razmerju, saj po izbrisu posla dokument o transakciji ne obstaja več oziroma nanj ni več povezave v arhivu. Uvodoma pojasnjujemo, da se IP izven inšpekcijskega ali drugega upravnega postopka ne more in ne sme dokončno opredeljevati do zakonitosti obdelav osebnih podatkov. Zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju v skladu z
  6. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
  7. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
  8. točko prvega odstavka
  9. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter
  10. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Glede na določbe Splošne uredbe je hramba osebnih podatkov zakonita do izpolnitve namena hrambe osebnih podatkov, pri čemer mora roke za izbris osebnih podatkov določiti upravljavec. Banke kot upravljavci v vašem primeru rok hrambe osebnih podatkov vežejo na desetletni rok po prenehanju poslovnega razmerja ali opravljeni transakciji, ki ga za podatke in pripadajočo dokumentacijo, ki se nanaša na pregled stranke in posamezne transakcije določa ZPPDFT-1 v prvem odstavku
  11. člena. Tako prva kot druga rešitev, ki so jo predlagale banke, zajema hrambo nekaterih osebnih podatkov preko roka, določenega v prvem odstavku
  12. člena ZPPDFT-1, kar pa po mnenju IP ne pomeni nujno kršitve predpisov o varstvu osebnih podatkov, saj lahko upravljavec za posebne poslovne dokumente (ki npr. vsebujejo osebne podatke več posameznikov) določi rok hrambe, ki je prilagojen potrebam poslovnih procesov zaradi zagotavljanja izpolnjevanja obveznosti upravljavca po področnih predpisih, pri čemer pa mora zagotavljati ustrezno varstvo osebnih podatkov vseh posameznikov na dotičnih dokumentih. Obrazložitev: Splošna uredba med načeli obdelave osebnih podatkov v točkah (b) in (e) prvega odstavka
  13. člena med drugim določa, da morajo biti osebni podatki zbrani za določene, izrecne in zakonite namene in hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko shranjujejo za daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89

(1), pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki. Pred tem
  1. uvodna določba govori o zakoniti in pošteni obdelavi osebnih podatkov in med drugim določa, da bi za zagotovitev, da se osebni podatki hranijo le toliko časa, kolikor je potrebno, […] moral upravljavec določiti roke za izbris ali občasno preverjanje. Glede na navedene določbe Splošne uredbe je hramba osebnih podatkov zakonita do izpolnitve namena hrambe osebnih podatkov, pri čemer mora roke za izbris osebnih podatkov določiti upravljavec. Banke kot upravljavci v vašem primeru rok hrambe osebnih podatkov vežejo na desetletni rok po prenehanju poslovnega razmerja ali opravljeni transakciji, ki ga za podatke in pripadajočo dokumentacijo, ki se nanaša na pregled stranke in posamezne transakcije določa ZPPDFT-1 v prvem odstavku
  2. člena. Ob tem je po mnenju IP potrebno ločiti med hrambo osebnih podatkov in hrambo dokumentov, ki osebne podatke vsebujejo, še zlasti, če gre za posebne poslovne dokumente, ki zajemajo osebne podatke različnih posameznikov. Določitev rokov in načina hrambe poslovnih dokumentov je namreč v domeni posameznega upravljavca, torej banke, njenih notranjih pravil in postopkov, ki morajo poleg tistih o varstvu osebnih podatkov upoštevati tudi druge predpise in pravila, ki veljajo za banko, med drugim tudi to, da mora dokumente, povezane z določenimi posli oziroma transakcijami (in ki lahko vsebujejo osebne podatkov več komitentov), zaradi dokazovanja hraniti v nespremenjeni obliki. Kot izhaja iz vašega zaprosila, imajo banke težave z opredelitvijo hrambe dokumentov o transakcijah, ki jih pridobivajo od komitentov, poslovnih partnerjev, posrednikov oziroma jih banke generirajo same, ti dokumenti pa vsebujejo osebne podatke več komitentov in bi jih bilo potrebno zaradi tega v nespremenjeni obliki hraniti pri vseh komitentih oziroma njihovih poslih, pri tem pa naj ne bi bilo ekonomično oziroma do komitentov prijazno, če bi banke za vsako transakcijo generirale ločen dokument oziroma naj na dokumente, ki jih prejemajo od komitentov, posrednikov in poslovnih partnerjev, ne bi imele nobenega vpliva (v presojo česar se IP v okviru tega mnenja ne spušča). Banke predlagajo dve rešitvi, do katerih želite, da se IP opredeli. Tako prva kot druga rešitev zajema hrambo nekaterih osebnih podatkov preko roka, določenega v prvem odstavku
  3. člena ZPPDFT-1, kar pa glede na predhodno navedeno in v okviru informacij, ki ste jih podali, po mnenju IP ne pomeni nujno kršitve predpisov o varstvu osebnih podatkov, če bi banke s tem zagotovile hrambo dokumentacije v skladu s področnimi predpisi, svojo avtonomijo pri določanju notranjih pravil in postopkov hrambe dokumentov ter pri tem izvajale ustrezne ukrepe za varstvo osebnih podatkov, ki jih ti dokumenti vsebujejo. Za dokumente, ki vsebujejo osebne podatke več posameznikov in v tem smislu predstavljajo neke vrste zbirne dokumente, lahko upravljavec po mnenju IP namreč določi rok hrambe, ki je prilagojen potrebam poslovnih procesov zaradi zagotavljanja izpolnjevanja obveznosti upravljavca po področnih predpisih. Ob izvajanju predlaganih rešitev je potrebno dodatno upoštevati, da je hramba osebnih podatkov tesno povezana s pravico dostopa posameznika, na katerega se nanašajo osebni podatki iz
  4. člena Splošne uredbe, v skladu s katero ima posameznik pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, dostop do teh osebnih podatkov in določene informacije v zvezi z obdelavo. Hramba zbirnih dokumentov na poslih različnih komitentov, bi ob nezagotavljanju ustrezne anonimizacije dokumentov pred izročitvijo pomenila kršitev varstva osebnih podatkov, saj je komitent v okviru te pravice upravičen do dokumentov, ki vsebujejo njegove osebne podatke, ne pa tudi do pridobitve osebnih podatkov drugih komitentov. Prav tako je potrebno upoštevati, da ima posameznik v okviru pravice po
  5. členu Splošne uredbe možnost pridobitve vseh osebnih podatkov, ki jih upravljavec hrani o njem, vključno s tistimi, ki jih vsebujejo dokumenti, ki se vežejo na posle drugih posameznikov. To pomeni, da bi bil komitent, pri katerem je bila povezava do dokumenta, ki vključuje tudi njegove osebne podatke, sicer že izbrisana, ob uveljavljanju pravice po
  6. členu Splošne uredbe upravičen tudi do podatkov iz »nepovezanega« zbirnega dokumenta, saj ta pri upravljavcu še vedno obstaja. S spoštovanjem, Pripravila: Mojca Leitinger Okršlar, državna nadzornica za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.