Hramba podatkov po zaprtju računa + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.02.2021 Številka: 07121-1/2021/220 Kategorije:Rok hrambe OP --> Kategorije: Rok hrambe OP Informacijski pooblaščenec RS (v nadaljevanju IP) prejel vaše zaprosilo za mnenje. Navajate, da ste prejeli odgovor upravljavca osebnih podatkov (ponudnika spletnih storitev), da podatke uporabnikov hrani še 10 let po zaprtju njihovega računa na podlagi sklenjene pogodbe za uporabo tega računa, pri čemer določitev roka temelji na rokih, določenih v davčnih predpisih (ZDDV-1, ZDavP-2), prihajajoči ZEISZ, EU uredba EIDAS , ZEPEP, ... Zanima vas, ali bi moral upravljavec natančneje opredeliti podlago za hrambo osebnih podatkov? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanjem. IP v okviru neobvezujočega mnenja ne more ugotavljati ali potrjevati skladnosti posameznih dokumentov s področja varstva osebnih podatkov ali presojati zakonitosti konkretnih obdelav osebnih podatkov. Slednje lahko stori le v ustreznem inšpekcijskem ali drugem upravnem postopku. Osebni podatki so lahko hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo in za katere obstaja ustrezna pravna podlaga. IP v okviru mnenja ni pristojen presojati zakonitosti konkretnih obdelav osebnih podatkov, lahko pa pojasnimo, da ni običajno, da bi upravljavci, ki so ponudniki spletnih storitev, zbirali zgolj osebne podatke , ki bi bili potrebni za izkazovanje zakonitosti davčnega poslovanja (zaradi izpolnjevanja obveznosti po davčni zakonodaji). Upravljavec pa je skladno z načelom odgovornosti dolžan izkazati namen in pravno podlago in posledično rok hrambe, za vsako zbirko osebnih podatkov posebej. V skladu z načelom preglednosti je upravljavec po Splošni uredbi dolžan posameznike obvestiti o namenih in pravnih podlagah za obdelavo osebnih podatkov, kot tudi o roku hrambe. Iz teh informacij mora biti jasno razvidno, koliko časa bo upravljavec hranil posameznikove osebne podatke za posamezen namen oz. zbirko. IP v praksi sicer upošteva, da upravljavci zaradi razumljivejšega pojasnila (glede na kompleksnost obdelav), informacije smiselno povzamejo. Kljub temu pa ne bi bilo dopustno, če bi upravljavec posameznikom posredoval netočne ali celo zavajajoče informacije, iz katerih ni mogoče razbrati katere zbirke upravljavec dejansko vodi in za katere namene ter koliko časa hrani osebne podatke. Če se želi posameznik prepričati o zakonitosti vodenja njegovih osebnih podatkov, lahko na upravljavca naslovi zahtevo za seznanitev z lastnimi osebnimi podatki po členu 15 Splošne uredbe, v kateri lahko zahteva tudi informacije – za kateri namen upravljavec obdeluje njegove osebne podatke in koliko časa jih hrani. Če posameznik meni, da upravljavec obdeluje njegove osebne podatke nezakonito, lahko vloži inšpekcijsko prijavo na IP. Obrazložitev Rok hrambe osebnih podatkov je neposredno vezan na namen obdelave osebnih podatkov in pravno podlago za obdelavo osebnih podatkov. Po načelih varstva osebnih podatkov iz člena 5 Splošne uredbe, morajo biti osebni podatki: obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki („zakonitost, poštenost in preglednost“); ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo („najmanjši obseg podatkov“); hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; („omejitev hrambe“); Glede na namen obdelave osebnih podatkov, mora za zakonito obdelavo osebnih podatkov obstajati ustrezna pravna podlaga v skladu s členom 6
(1)oz. 9
(2)Splošne uredbe. Področna nacionalna zakonodaja (kot so davčni in drugi zakoni) lahko zagotavlja pravno podlago za obdelavo osebnih podatkov, praviloma v skladu s členom 6
(1)(c) Splošne, ki določa, da je obdelava zakonita, če je potrebna za izpolnjevanje zakonske obveznosti upravljavca – v tem primeru torej za namen izvajanja zakonske obveznosti, ki velja za upravljavca. Drži sicer, da slovenska davčna zakonodaja zahteva hrambo računov in določenih računovodskih listin 10 let od njihovega nastanka. Kot navedeno uvodoma, pa IP v okviru neobvezujočega mnenja ni pristojen ugotavljati skladnosti posameznih dokumentov oz. presojati zakonitosti konkretnih obdelav osebnih podatkov. Ob tem lahko zgolj pojasnimo, da ni običajno, da bi upravljavci, ki so ponudniki spletnih storitev, zbirali zgolj osebne podatke, ki bi bili potrebni za izkazovanje zakonitosti davčnega poslovanja (zaradi izpolnjevanja obveznosti po davčni zakonodaji). Upravljavec pa je skladno s členom 5
(2)Splošne uredbe odgovoren, da izkaže zakonitost obdelave (tudi hrambe) osebnih podatkov za vsako zbirko osebnih podatkov posebej. Hramba osebnih podatkov za daljše časovno obdobje, kot je potrebno, da se izpolni zakonit namen obdelave, pa ni dopustna. Zakonitost hrambe se torej izkazuje s konkretnimi nameni obdelave za vsako posamezno zbirko osebnih podatkov. Načelo preglednosti zahteva od upravljavca, da posameznike obvesti o namenih in pravnih podlagah za obdelavo osebnih podatkov, kot tudi o roku hrambe. Člen 13 Splošne uredbe ureja obveznost informiranja posameznika, ko upravljavec pridobi podatke neposredno od tega posameznika. Skladno tem členom, mora upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotoviti med drugim tudi: informacijo o namenih, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo (13
(1)(c) Splošne uredbe). Po razlagi sprejetih evropskih smernic[1] navedena določba »zahteva od upravljavca, da poleg namenov, za katere se osebni podatki obdelujejo, navede tudi ustrezno uporabljeno pravno podlago na podlagi člena 6. V primeru posebnih vrst osebnih podatkov bi bilo treba navesti ustrezno določbo člena 9 (po potrebi pa tudi veljavno pravo Unije ali države članice, na podlagi katerega se podatki obdelujejo)«. informacijo o obdobju hrambe osebnih podatkov ali, kadar to ni mogoče, merilih, ki se uporabijo za določitev tega obdobja (13
(2)(a) Splošne uredbe). Po razlagi sprejetih evropskih smernic[2] je ta določba »povezana z zahtevo za najmanjši obseg podatkov iz člena 5
(1)(c) in zahtevo za omejitev shranjevanja iz člena 5
(1)(e). Obdobje hrambe (ali merila za njegovo določitev) so lahko odvisna od dejavnikov, kot so zakonsko določene zahteve ali panožne smernice, vendar bi ga bilo treba opredeliti tako, da lahko posameznik, na katerega se nanašajo osebni podatki, na podlagi svojega položaja oceni obdobje hrambe za posebne podatke/namene. Ni dovolj, da upravljavec podatkov na splošno navede, da se bodo osebni podatki hranili tako dolgo, kot bo potrebno za zakonite namene obdelave. Po potrebi bi bilo treba navesti različna obdobja hrambe za različne vrste osebnih podatkov in/ali različne namene obdelave, vključno z obdobji arhiviranja, kadar je to ustrezno«. Glede na zgornje navedbe, morajo biti torej posamezniku pojasnjeni nameni in roki hrambe osebnih podatkov. Evropske smernice v zvezi s tem navajajo, da bi morali upravljavci po potrebi »navesti različna obdobja hrambe za različne vrste osebnih podatkov in/ali različne namene obdelave, vključno z obdobji arhiviranja, kadar je to ustrezno«. Iz informacij mora biti torej jasno razvidno, koliko časa bo upravljavec hranil posameznikove osebne podatke za posamezen namen oz. zbirko. IP v praksi sicer upošteva, da upravljavci glede na kompleksnost obdelav osebnih podatkov, ki jih izvajajo in zbirk, ki jih vodijo, zaradi razumljivejšega pojasnila, v svojih obvestilih smiselno povzamejo določene informacije glede rokov hrambe. Kljub temu, pa ni dopustno, da bi upravljavec posameznikom posredoval netočne ali celo zavajajoče informacije, iz katerih ni mogoče razbrati, katere zbirke upravljavec dejansko vodi za katere namene ter pripadajoče roke hrambe. Pavšalna navedba, da upravljavec vodi vse zbirke osebnih podatkov za obdobje 10 let, ker tako določajo davčni predpisi, običajno ni točna (se ne sklada z dejanskimi nameni, pravnimi podlagami in roki hrambe) ali pa kaže na nezakonito hrambo osebnih podatkov brez pravne podlage. Če želite preveriti konkretne namene obdelave vaših osebnih podatkov in njihove roke hrambe pri upravljavcu, imate skladno s členom 15 Splošne uredbe pravico od upravljavca med drugim dobiti tudi informacijo namenih obdelave osebnih podatkov in predvidenem obdobju hrambe osebnih podatkov ali, če to ni mogoče, merilih, ki se uporabijo za določitev tega obdobja. Za vložitev zahteve lahko uporabite neobvezen obrazec IP: Zahteva za seznanitev z lastnimi osebnimi podatki (obrazec SLOP). Več v zvezi s pravico do seznanitve z lastnimi osebnimi podatki najdete na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki/. Če menite, da upravljavec vaše osebne podatke obdeluje nezakonito, lahko pri IP vložite prijavo. Uporabite lahko neobvezen obrazec IP: Prijava kršitve varstva osebnih podatkov (Obrazec ZIN PRIJAVA). S spoštovanjem, Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026