Dostop do SISBON za tuje bančne institucije + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 27.01.2014 Številka: 0712-1/2014/55 Kategorije:Bančništvo --> Kategorije: Bančništvo V dopisu, ki ste ga naslovili na Pooblaščenca, ste zapisali, da se v zadnjem času na vas obračajo banke z območja EU, ki do podatkov ne dostopajo prek kreditnih birojev. Glede na določila Zakona o potrošniških kreditih (ZPotK-1) so te banke upravičene do omejenega obsega podatkov, vendar ne veste, na kakšen način naj izvajanje tega upravičenja zagotovite, saj v zakonu način dostopanja in potrebna dokumentacija ni opredeljena, zato tudi v kreditnem biroju SISBON ne veste, na kakšen način naj preverite, ali je neka banka res upravičena do navedenih podatkov, kako naj ji podatke posredujete, kot tudi, kako naj preverite dejstvo, da je nek posameznik v tuji banki res zahteval izpis iz SISBON ter da je bila opravljena identifikacija tega posameznika. Dodali ste, da se poleg bank na vas obračajo tudi dajalci kreditov z območja EU, kjer dostop do podatkov prav tako ni urejen prek kreditnih birojev. V skladu z
- členom Zakona o potrošniških kreditih imajo dajalci kreditov s sedežem v drugi državi članici EU dostop do podatkov pod enakimi pogoji kot dajalci kreditov, ki imajo sedež v Republiki Sloveniji. V lanskem letu se je na vas obrnilo podjetje »isePankur«, ki se je po vašem napotilu glede dovoljenja za opravljanje kreditne dejavnosti obrnilo na Ministrstvo za gospodarski razvoj in tehnologijo, ter tam prejelo odgovor, da posebnega dovoljenja za opravljanje kreditne dejavnosti v Sloveniji ne potrebuje, zadostiti mora le zakonskim zahtevam ZPotK-
- Pooblaščenca naprošate za mnenje o tem:
- na kakšen način lahko posredujete podatke drugim dajalcem kreditov na območju držav članic EU, da boste ustrezno upoštevali ZVOP-1;
- ali lahko dostopajo do podatkov v SISBON podjetja, ki se ukvarjajo s peer to peer lending-om. Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena ZVOP-1 ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji. Po
- členu Zakona o potrošniških kreditih (Uradni list RS, št. 59/10, 77/11 in 30/13; ZPotK-1) je dajalec kredita dolžan oceniti kreditno sposobnost potrošnika. Podatke o njegovem premoženju pridobi od potrošnika, informacije o zadolženosti pa iz zbirk osebnih podatkov, ki se vodijo na podlagi zakona, ki ureja bančništvo. Če se po sklenitvi kreditne pogodbe potrošnik in dajalec kredita dogovorita o spremembi skupnega zneska kredita, mora dajalec kredita ponovno oceniti kreditno sposobnost potrošnika, kadar se skupni znesek kredita zviša za več kot petino prvotno odobrenega zneska kredita. Dajalci kreditov, ki niso vključeni v sistem izmenjave informacij o boniteti strank po zakonu, ki ureja bančništvo, so za pridobitev informacije o zadolženosti potrošnika upravičeni obdelovati podatke o:
- zamudi pri izpolnitvi posamezne obveznosti nad 90 dni;
- začetku postopka prisilne izterjave;
- blokiranem plačilnem računu zaradi zamude pri izpolnitvi obveznosti in o deblokadi za zadnjih 12 mesecev pred datumom zahteve za poizvedbo o teh podatkih. Dajalci kreditov s sedežem v drugi državi članici Evropske unije imajo dostop do podatkov iz prvega odstavka tega člena pod enakimi pogoji kot dajalci kreditov, ki imajo sedež v Republiki Sloveniji Ad 1) Na vaše vprašanje o tem, na kakšen način lahko posredujete podatke drugim dajalcem kreditov na območju držav članic EU, da boste ustrezno upoštevali ZVOP-1, lahko najprej poudarimo, da je ZVOP-1 tehnološko nevtralen. Zahtevam po zavarovanju, posredovanju in drugačni obdelavi osebnih podatkov je tako mogoče zadostiti, ne glede na obliko, v kateri se osebni podatki obdelujejo (fizično/elektronsko). Dokler ne gre za t.i. občutljive osebne podatke iz
- člena ZVOP-1, pri pošiljanju po elektronski poti ni krištiranje/šifriranje ni zapovedano. Podatki o zamudi pri izpolnitvi posamezne obveznosti nad 90 dni, začetku postopka prisilne izterjave in blokiranem plačilnem računu zaradi zamude pri izpolnitvi obveznosti in o deblokadi, do katerih so upravičeni dajalci kreditov po ZPotK-1 so del podatkov, ki jih kreditni biro v imenu in za račun bank vodi na podlagi 390.a člena Zakona o bančništvu (Uradni list RS, št. 99/10 in nadaljnji; ZBan-1) v sistemu izmenjave informacij o boniteti strank – SISBON. Na zahtevo dajalca potrošniškega kredita lahko podatke, ki se nanašajo na potrošnika, posredujete ali pisno, po navadni pošti, po elektronski pošti ali z elektronskim dostopom. Vselej je treba zagotoviti zavarovanje osebnih podatkov v smislu
- člena ZVOP-1; v konkretnem primeru predvsem glede omogočanja poznejšega ugotavljanja, kdaj so bili posamezni osebni podatki obdelani, za kakšen namen, komu so bili posredovani in pa z vidika preprečevanja nepooblaščenega dostopa do osebnih podatkov med samim prenosom. Med tem, ko je t.i. zagotavljanje zunanje sledljivosti povsem neodvisno od načina posredovanja osebnih podatkov, pa je način (in učinkovitost) preprečevanja seznanitve nepooblaščenim nekoliko pogojen z izbiro oblike, v kateri se bodo osebni podatki posredovali. Tako je največjo mero zavarovanja osebnih podatkov med prenosom mogoče doseči s pošiljanjem v zaprtih (fizičnih) kuvertah na sedež dajalca kredita ali po varni elektronski poti. Dolžnost kriptiranja/šifriranja, kot že navedeno, v primeru podatkov iz SISBON z ZVOP-1 ni zapovedana, je pa kot element zavarovanja priporočljiva. Najmanj predhodnih kontrol glede nepooblaščenih celo nezakonitih obdelav osebnih podatkov je mogočih pri omogočanju neposrednega dostopa uporabnikov (dajalcev kreditov) do osebnih podatkov. Takšen način (neposreden elektronski dostop do osebnih podatkov) je primeren le takrat, ko o upravičenosti uporabnika do podatkov ni nobenega dvoma in vaše izkušnje z njim kažejo na veliko verjetnost, da neposrednega dostopa ne bo zlorabljal. V primeru dajalcev kreditov, ki so do določenih osebnih podatkov potrošnikov iz SISBON upravičeni na podlagi ZPotK-1 ne glede na državo članico sedeža takšnega kreditodajalca, priporočamo posredovanje le-teh v zaprtih pisemskih kuvertah ali po varni elektronski poti (bodisi po šifrirani e-poti bodisi s šifriranjem sporočila ali s šifriranjem obojega). Bolj kot sam način posredovanja osebnih podatkov na zaprosilo je v konkretnem primeru izpostavljena dilema o tem, kako preveriti status prosilca in njegovo potrebo po zaprošenih podatkih. Poenostavljeno povedano je z vidika Kreditnega biroja najpomembneje ugotoviti, ali sploh gre za dajalca potrošniških kreditov, ki ga ZPotK-1 upravičuje do določenih podatkov in ali je potrošnik, čigar osebni podatki so zahtevani, res njegov prosilec za kredit. Po definiciji iz ZPotK-1 je dajalec ali dajalka kredita fizična ali pravna oseba, ki da ali obljubi, da bo dala kredit ali posojilo v okviru svoje dejavnosti, poslovanja ali poklica (
- točka
- člena ZPotK-1). Iz zapisanega izhaja, da kreditiranje pomeni dejavnost, poslovanje, poklic, kar napeljuje na zaključek, da je dajalec kredita tisti, ki je registriran za opravljanje takšne dejavnosti oziroma lahko kako drugače, kadar registracija dejavnosti v državi članici ni obvezna, izkaže, da je potrošniško kreditiranje del njegove dejavnosti, poslovanja, poklica. Ker dajalec kreditov iz druge države članice za opravljanje dejavnosti dajanja potrošniških kreditov v Republiki Sloveniji ne potrebuje posebnega dovoljenja ministrstva, pristojnega za gospodarstvo ali drugega pristojnega organa, je breme preverjanja, ali gre za upravičenca po ZPotK-1 na upravljavcu – na kreditnem biroju. Od uporabnika boste torej zahtevali dokazilo o tem, da gre za fizično ali pravno osebo, ki po predpisih države, v kateri je ustanovljen, opravlja dejavnost, ki po ZPotK-1 šteje za dajanje potrošniških kreditov. S katerim dokumentom, podatkom oziroma informacijo bo uporabnik dokazal svoj status, je stvar presoje v konkretnem primeru. Dejstvo je, da je v odsotnosti dogovora, po katerem za ustrezen status uporabnika jamči npr. kreditni biro države članice, breme ugotavljanja statusa, ki uporabnika potencialno upravičuje do podatkov po ZPotK-1, na vas. Odprto ostaja še vprašanje, ali je posameznik/potrošnik, čigar osebne podatke želi pridobiti uporabnik (dajalec kredita), res pri njem zaprosil za kredit. Ta dilema je enako prisotna v vseh primerih, in torej ni povezana s sedežem dajalca kredita v drugi državi članici EU. Tudi v primeru dajalca kredita s sedežem v Republiki Sloveniji ni mogoče na enostaven način preveriti (npr. ne da bi se obrnili na potrošnika samega in ga prosili za potrditev), ali je potrošnik res zaprosil za kredit pri dajalcu kredita, ki želi pridobiti podatke po ZPotK-
- Zato je tako pomembna t.i. zunanja sledljivost kot del pravice posameznika do seznanitve z lastnimi osebnimi podatki. Iz podatkov o tem, komu (kateremu uporabniku), na kakšni pravni podlagi, za kakšen namen so bili posredovani posameznikovi/potrošnikovi določeni osebni podatki, bo (predvsem) posameznik sam lahko ugotovil, ali je morda prišlo do nedopustnega posega v njegovo pravico do varstva osebnih podatkov in zahteval ukrepanje. Žal je ta kontrola šele naknadna. Da bi zmanjšali tveganje za poizvedbe dajalcev kreditov, ki se ne nanašajo na potrošnike, ki so pri njih dejansko zaprosili za kredit, lahko uvedete določene varovalke kot obvezne podatke za poizvedbo – podatke, za katere je velika verjetnost, da z njimi razpolaga le posameznik/potrošnik. Takšen podatek je lahko npr. davčna številka. Ad 2) Po razpoložljivih podatkih estonsko podjetje isePankur ne daje kreditov, ampak gre za platformo, ki omogoča povezave med na eni strani investitorji in iskalci posojil na drugi strani. IsePankur tako po mnenju Pooblaščenca ni dajalec potrošniških kreditov v klasičnem smislu. Kakšna je registrirana dejavnost podjetja, nismo mogli ugotoviti. V dvomu bo torej breme dokazovanja statusa, ki bi isePankur upravičevalo do podatkov po ZPotK-1, na podjetju samem. S spoštovanjem, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026