Kršitev varstva OP s strani zavarovalnice + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 07.12.2022 Številka: 07121-1/2022/1320 Kategorije: --> Kategorije: Posredovanje OP med upravljavci, Pravica do seznanitve z lastnimi osebnimi podatki, Zavarovalništvo Pri Informacijskem pooblaščencu (IP) smo
- 2022 prejeli vaše zaprosilo za mnenje glede klica, ki ste ga prejeli na svoj mobilni telefon, in sicer glede življenjskega zavarovanja vašega moža. Nadalje pojasnjujete, da oseba, s katero ste govorili po telefonu, ni zaposlena pri zavarovalnici, ampak na agenciji, ki z zavarovalnico sodeluje. Od zavarovalnice ste prejeli tudi dopis, na katerem je kot kontaktna oseba navedena oseba, s katero ste govorili po telefonu, vendar iz dopisa ni razvidno, da dela za agencijo. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Zavarovalnica, ki obdeluje vaše osebne podatke za izvajanje pogodbe o zavarovanju, je upravljavec vaših osebnih podatkov, ki določa namene in sredstva obdelav osebnih podatkov. Zavarovalni zastopnik ali posrednik pa je z vidika Splošne uredbe obdelovalec, če obdeluje vaše osebne podatke v imenu in zatorej po navodilih upravljavca. Posameznik lahko od upravljavca zahteva, da mu na podlagi člena 15 Uredbe posreduje informacije o uporabnikih, ki so jim bili ali jim bodo razkriti osebni podatki. Če vas skrbi, ali zavarovalnica vaše osebne podatke uporablja zakonito, IP svetuje, da pri zavarovalnici podate zahtevo za seznanitev z lastnimi osebnimi podatki ter posredovanje informacij o pravnih podlagah za obdelavo in uporabnikih, ki jim je zavarovalnica posredovala vaše osebne podatke. Tako boste lahko ugotovili, ali so bili vaši osebni podatki obdelani na zakoniti pravni podlagi. Če upravljavec (zavarovalnica) zahtevo zavrne ali nanjo ne odgovori, lahko pri IP kot pritožbenem organu vložite pritožbo. O b r a z l o ž i t e v: IP uvodoma pojasnjuje, da morajo biti pogodbe o življenjskem zavarovanju obravnavane v skladu z zahtevami varstva osebnih podatkov, saj vsebujejo podatke, na podlagi katerih je mogoče določiti posameznika oz. osebne podatke. Torej mora zavarovalni zastopnik izkazati ustrezno pravno podlago za obdelavo vaših osebnih podatkov oz. vaše osebne podatke mora pridobiti zakonito. Splošna uredba o varstvu podatkov (v nadaljevanju Splošna uredba oz. Uredba) v členu 4 opredeljuje »upravljavca« kot fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave. »Obdelovalec« pa pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. Zavarovalnica, ki obdeluje vaše osebne podatke za izvajanje pogodbe o zavarovanju, je tako upravljavec vaših osebnih podatkov, ki določa namene in sredstva obdelav osebnih podatkov, medtem ko je zavarovalni zastopnik ali posrednik oziroma t.i. distributer zavarovalnice z vidika Splošne uredbe obdelovalec, če obdeluje vaše osebne podatke v imenu in zatorej po navodilih upravljavca. Zavarovalni zastopnik, od katerega ste prejeli klic glede življenjskega zavarovanja vašega moža, je verjetno obdeloval vaše osebne podatke (telefonska številka in ostali podatki s police zavarovanja) v vlogi obdelovalca (kot ga opredeljuje osmi odstavek člena 4 Uredbe). Obdelovalec obdelavo vaših osebnih podatkov v takem primeru izvaja v imenu določenega upravljavca (zavarovalnice) na podlagi pogodbe ali drugega pravnega akta v skladu s členom 28
(3)Uredbe, v katerem bi med ostalim moralo biti določeno, da osebne podatke obdeluje samo po dokumentiranih navodilih upravljavca (točka (a) člena 28
(3)Uredbe). Torej do vaših zavarovalnih polic ne more dostopati kdorkoli, ampak le tisti obdelovalci, ki imajo z upravljavcem sklenjeno pogodbo o pogodbeni obdelavi, v kateri so tudi natančno določeni vsebina, in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca. Ena izmed dolžnosti upravljavca je zagotovitev vseh informacij posameznikom, kot to zahteva člen 13 Uredbe, npr. identiteto in kontaktne podatke upravljavca, kontaktne podatke pooblaščene osebe za varstvo podatkov (kadar obstaja), namene za katere se osebni podatki obdelujejo in pravno podlago za njihovo obdelavo in v kolikor ta temelji na točki (f) člena 6
(1)navedbo zakonitih interesov, uporabnike osebnih podatkov (med katerimi bi glede na določbi osmega in devetega odstavka člena 4 Uredbe moralo biti tudi zadevno podjetje za zavarovalno zastopstvo), informacije glede prenosov osebnih podatkov ter dodatne informacije, kot je obdobje hrambe podatkov, pravice posameznika, ali je zagotovitev osebnih podatkov pogodbena obveznost posameznika in kakšne so morebitne posledice. Upravljavec mora sprejeti ustrezne ukrepe, da naštete informacije posamezniku zagotovi v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, brezplačno, praviloma pisno ali z drugimi sredstvi, vključno z elektronskimi sredstvi, kjer je to ustrezno. Kot izhaja iz navedenega, ima dolžnost obveščanja posameznikov načeloma upravljavec osebnih podatkov. Kadar upravljavec zbiranje podatkov zaupa obdelovalcu, to ne spremeni dejstva, da vam mora zagotoviti vse informacije iz člena 13 Uredbe po obdelovalcu, ki ima z vami neposreden kontakt in lahko vaše osebne podatke obdeluje izključno po dokumentiranih navodilih upravljavca. Posameznik lahko od upravljavca zahteva, da mu na podlagi člena 15 Uredbe posreduje informacije o uporabnikih, ki so jim bili ali jim bodo razkriti osebni podatki, pri čemer se posameznik opredeli, ali želi prejeti informacijo o konkretnih uporabnikih (konkretna podjetja) ali zgolj kategorijah uporabnikov (npr. podjetje za izvajanje trženjih akcij, podjetje za vzdrževanje informacijskega sistema). Na podlagi člena 15 Uredbe lahko posameznik od upravljavca pridobi dostop še do naslednjih informacij: - namene obdelave; - vrste zadevnih osebnih podatkov; - kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; - obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi; - pravico do vložitve pritožbe pri nadzornem organu; - kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom; - obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22
(1)in
(4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki. Poleg tega lahko posameznik na podlagi Uredbe pri upravljavcu uveljavlja tudi katero od ostalih svojih pravic: do informacij (člen 13 in 14), do popravka (člen 16), do izbrisa (ali pozabe, člen 17), do omejitve obdelave (člen 18), do prenosljivosti podatkov (člen 20), do ugovora (člen 21) ter pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov (člen 22). IP tako sklepno pojasnjuje, da je upravljavec osebnih podatkov skladno s členom 12 Uredbe na zahtevo posameznika dolžan zagotoviti informacije iz členov 15 do 22 brez nepotrebnega odlašanja in v vsakem primeru v enem mesecu po prejemu zahteve. Ta rok se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev. Upravljavec obvesti posameznika, na katerega se nanašajo osebni podatki, o vsakem takem podaljšanju v enem mesecu po prejemu zahteve skupaj z razlogi za zamudo. Če vas skrbi, ali zavarovalnica vaše osebne podatek obdeluje zakonito, vam IP v konkretnem primeru svetuje, da pri zavarovalnici podate zahtevo za seznanitev z lastnimi osebnimi podatki in posredovanje informacij o pravnih podlagah za obdelavo ter uporabnikih, ki jim je zavarovalnica posredovala vaše osebne podatke. IP ob tem priporoča tudi, da v zahtevi čim bolj natančno opredelite, kaj v zvezi z vašimi osebnimi podatki vas posebej zanima. Iz informacij upravljavca, ki jih boste pridobili na podlagi 15. člena Splošne uredbe o varstvu podatkov, naj bi bilo namreč razvidno, ali so bili vaši osebni podatki obdelani na zakoniti pravni podlagi. Če upravljavec, torej zavarovalnica, vašo zahtevo zavrne ali nanjo ne odgovori (ali ne odgovori v celoti) v zakonsko določenem roku, pa lahko pri IP kot pritožbenem organu vložite pritožbo. Za podrobnejše informacije v zvezi z navedeno pravico in kako jo uveljavljati, vas napotujemo na spletno stran, kjer lahko najdete tudi (neobvezujoč) obrazec zahteve: https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/. V upanju, da smo vam pomagali, vas lepo vas pozdravljamo. Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026