Nepooblaščen dostop do podatkov - IPRS

Nepooblaščen dostop do podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.09.2021 Številka: 07121-1/2021/1884 Kategorije: --> Kategorije: Bančništvo, Zavarovanje osebnih podatkov, Zdravstveni osebni podatki Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje. V zvezi z nepooblaščenim dostopom do podatkov sprašujete sledeče: - Ali lahko bančni uslužbenec preverja podatke po telefonu, ne da mu uporabnik pove davčno številko, le ime in priimek in naslov uporabnika TRR računa na banki? - Ali lahko bančni uslužbenec vpogleda v vaše vozniško dovoljenje? - Ali je kaznivo, da je vaša bivša zdravnica pošiljala vaše podatke tretji ali več osebam, brez vaše vednosti? *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Pojasnjujemo, da pomeni obdelava osebnih podatkov skladno z drugim odstavkom
8. člena Splošne uredbe med drugim tudi razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa. Za zakonito obdelavo osebnih podatkov (npr. za posredovanje podatkov) mora obstajati ustrezna pravna podlaga skladno s prvim odstavkom
9. člena Splošne uredbe; ki so za zasebni sektor: - privolitev (točka (a)), - sklenitev ali izvajanje pogodbe (točka (b)), - zakon (točka (c)), - zaščita življenjskih interesov posameznika (točka (d)), - zakoniti interesi, za katere si prizadeva upravljavec (točka (f)). Pravne podlage za obdelavo posebnih vrst osebnih podatkov (»občutljivi osebni podatki«, kot so npr. zdravstveni podatki), so določene v drugem odstavku
10. člena Splošne uredbe in so npr. naslednje: posameznik, na katerega se nanašajo osebni podatki, je dal izrecno privolitev v obdelavo navedenih osebnih podatkov za enega ali več določenih namenov (točka (a)); obdelava je potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva (točka (h)) ali obdelava je potrebna iz razlogov javnega interesa na področju javnega zdravja (točka (i)). Glede vpogleda bančnega uslužbenca v vaše vozniško dovoljenje, vas napotujemo na že izdana mnenja IP, ki so dostopna na www.ip-rs.si/vop, npr. mnenje št. 07121-1/2020/1923 z dne 27.10.
11. Kot smo navedli v mnenju, bi lahko pravna podlaga za zahtevo banke po predložitvi osebnega dokumenta izhajala iz določb Zakona o preprečevanju pranja denarja in financiranja terorizma (Uradni list RS, št. 68/16, 81/19, 91/20 in 2/21 – popr, v nadaljevanju: ZPPDFT-1), v skladu s katerimi so banke dolžne izvajati ukrepe za poznavanje svojih strank, med drugim ugotavljati istovetnost strank in preverjati njihovo istovetnost na podlagi verodostojnih, neodvisnih in objektivnih virov. Prvi odstavek
12. člena ZPPDFT-1 določa, da zavezanec (banka) za stranko, ki je fizična oseba oziroma njen zakoniti zastopnik, samostojni podjetnik posameznik ali posameznik, ki samostojno opravlja dejavnost, oziroma za zakonitega zastopnika pravne osebe, ugotovi in preveri njegovo istovetnost ter pridobi potrebne podatke (v skladu z drugo točko prvega odstavka
13. člena so to: osebno ime, naslov stalnega in začasnega prebivališča, datum in kraj rojstva, davčna številka ali EMŠO, državljanstvo ter številka, vrsta in naziv izdajatelja uradnega osebnega dokumenta) z vpogledom v uradni osebni dokument stranke ob njeni osebni navzočnosti. V določenih primerih lahko banka kopijo uradnega dokumenta od stranke pridobi tudi v digitalni obliki. Za uraden osebni dokument pa skladno s
14. točko
15. člena ZPPDFT-1 velja vsaka s fotografijo opremljena veljavna listina, ki jo izda pristojni državni organ Republike Slovenije ali druge države in ki se po pravu države izdajateljice šteje za javno listino. Za uraden identifikacijski dokument tako velja tudi vozniško dovoljenje, vendar gre v danem primeru za presojo banke, kateri dokument bo zahtevala od stranke, da bo dejansko pridobila vse zahtevane podatke (npr. na vozniškem dovoljenju ni zapisano državljanstvo ali npr. naslov začasnega prebivališča). Poudarjamo pa, da IP ni pristojen za tolmačenje določb navedenega zakona in vam predlagamo, da se obrnete na Urad RS za preprečevanje pranja denarja. Tako banka kot tudi zdravstvena ustanova morata pri obdelavi osebnih podatkov sprejeti ustrezne tehnično-organizacijske ukrepe za zavarovanje osebnih podatkov, npr. onemogočiti morata nepooblaščen dostop do osebnih podatkov in razkritje nepooblaščenim osebam. V zvezi z identifikacijo strank s strani banke po telefonu pojasnjujemo, da je dolžnost banke, da opravi oceno učinka (
16. člen Splošne uredbe) in glede na konkretna tveganja v okviru svojega poslovanja določi, katere podatke bo npr. zahtevala od strank pri identifikaciji po telefonu. IP v okviru nezavezujočega mnenja ne more komentirati ustreznost ravnanja banke, ki zahteva ime, priimek, naslov in številko TRR osebe, vsekakor pa predstavlja več zahtevanih podatkov s strani banke pri komunikaciji s stranko tudi večjo zanesljivost pri pravilni identifikaciji osebe. Glede obdelave zdravstvenih podatkov izpostavljamo, da npr. prvi odstavek
17. člena ZVOP-1 določa, da morajo biti občutljivi osebni podatki pri obdelavi posebej označeni in zavarovani tako, da se nepooblaščenim osebam onemogoči dostop do njih, razen v primeru iz
18. točke
19. člena tega zakona. Več o ukrepih za zavarovanje osebnih podatkov si lahko preberete v Smernicah IP Zavarovanje osebnih podatkov, ki so dostopne na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_zavarovanju_OP.pdf. Iz vašega dopisa ni jasno, komu bi naj vaša zdravnica posredovala vaše podatke, zato vam predlagamo, da si v zvezi s posredovanjem podatkov pacientov preberete nasvete na spletni strani https://tiodlocas.si/top-nasveti/kako-dostopate-do-svoje-zdravstvene-dokumentacije/ in v Smernicah za izvajalce zdravstvenih storitev, kjer si lahko npr. na strani 27 preberete o obdelavi osebnih podatkov pacientov izven postopkov zdravljenja. Smernice so dostopne na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/brosure/Smernice_za_izvajalce_zdr._storitev_net.pdf. V kolikor na podlagi pojasnjenega menite, da gre pri vašem bančnem uslužbencu oziroma zdravnici za nepooblaščeno obdelavo osebnih podatkov, lahko podate prijavo v zvezi z domnevnimi kršitvami pri IP, si lahko pomagate z obrazcem »Prijava kršitve varstva osebnih podatkov (Obrazec ZIN PRIJAVA)«, ki je objavljen na povezavi: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. Predlagamo vam, da prijavi priložite čim več informacij, podatkov oziroma dokazil, s katerimi razpolagate glede kršitev, ki jih navajate v dopisu. Prijavo lahko pošljete po pošti na naslov Informacijski pooblaščenec, Dunajska cesta 22, 1000 Ljubljana ali po e-pošti na: gp.ip@ip-rs.si. V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Barbara Pirš, univ.dipl.prav., svetovalka pooblaščenca za preventivo O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026