Obdelava OP v namen odobritve stanovanjskega kredita + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 07.06.2022 Številka: 07121-1/2022/617 Kategorije: --> Kategorije: Bančništvo, Informiranje posameznika, Pravica do seznanitve z lastnimi osebnimi podatki, Pravne podlage, Profiliranje in avtomatizirano odločanje Informacijski pooblaščenec (v nadaljevanju: IP) je dne 28. 5. 2022 prejel vaše elektronsko sporočilo, v katerem navajate, da je banka kot enega od pogojev za obravnavo vloge za stanovanjski kredit postavila predložitev zadnjih 12 bančnih izpiskov osebnega in poslovnega računa. Zanima vas mnenje IP, če je to sorazmeren in potreben pogoj za odobritev kredita. Pri tem vas ne motijo preverjanje dejanskih prihodkov (plačilne liste itd.), pregled obstoječih kreditov (Sisbon), potrdila o plačanih dajatvah in podobne stvari, potrebne za ugotavljanje dejanskih finančnih zmožnosti posameznika, temveč to, da vas banka očitno želi profilirati glede na vse vaše transakcije in s tem grobo poseči v vašo zasebnost ter vam po možnosti zavrniti odobritev kredita iz povsem banalnega razloga, ki s samo zmožnostjo odplačevanja kredita nima povsem nobene povezave. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju v skladu z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 in 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Banka ima podlago za obdelavo vaših osebnih podatkov, ki izhajajo iz prometa na vaših računih, če to izhaja iz zahtev področne zakonodaje, pri čemer morajo biti osebni podatki, ki jih banka obdeluje, omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Banka vas je ob pridobivanju katerihkoli osebnih podatkov dolžna seznaniti z vsemi informacijami po 13. členu Splošne uredbe, lahko pa te informacije od banke zahtevate tudi naknadno oziroma zahtevate dostop do vaših osebnih podatkov in informacije na podlagi 15. člena Splošne uredbe. Obrazložitev: Splošna uredba v prvem odstavku 6. člena[1] opredeljuje zakonite pravne podlage za obdelavo osebnih podatkov, in sicer: privolitev, sklenitev ali izvajanje pogodbe, izvajanje zakonskih zahtev oziroma izvajanje javnih nalog in zakoniti interesi, ki prevladajo nad interesi posameznika; pri tem je za zakonitost obdelave dovolj, da je izpolnjena ena od navedenih pravnih podlag – npr. če Zakon o potrošniških kreditih (ZPotK-2) ali kak drug zakon banki nalaga pridobivanje določenih osebnih podatkov o posamezniku, banka za obdelavo teh osebnih podatkov ne potrebuje še privolitve posameznika. Banka je pri opravljanju bančnih storitev podvržena zahtevam številnih zakonov, ki ji med drugim nalagajo tudi obdelavo[2] različnih osebnih podatkov za različne namene, npr. ZPotK-2, Zakon o preprečevanju pranja denarja in financiranja terorizma, Zakon o plačilnih storitvah, storitvah izdajanja elektronskega denarja in plačilnih sistemih itd., lahko pa banka osebne podatke posameznikov obdeluje tudi na drugih pravnih podlagah iz prvega odstavka 6. člena Splošne uredbe, zlasti na podlagi privolitve ali zaradi sklepanja ali izvajanja pogodbe. V vsakem primeru pa je banka dolžna posameznikom ob vsakem pridobivanju njihovih osebnih podatkov nuditi ustrezne informacije v skladu s 13. členom[3] Splošne uredbe, pri čemer morajo biti informacije podane v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku. IP sklepa, da bi zahteva po podatkih v vašem primeru lahko izhajala iz ZPotK-2, pri čemer pa je banka še vedno dolžna spoštovati osnovna načela obdelave osebnih podatkov iz prvega odstavka 5. člena[4] Splošne uredbe, med drugim načelo najmanjšega obsega podatkov, ki določa, da morajo biti podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Glede na navedeno bi banka po mnenju IP lahko imela podlago za obdelavo vaših osebnih podatkov, ki izhajajo iz izpiskov prometa na računih, v skladu s točko (
- c)prvega odstavka 6. člena Splošne uredbe, če to izhaja iz zahtev ZPotK-2 ali drugega predpisa, ki določa pogoje za odobritev stanovanjskega kredita, vas je pa banka ob pridobivanju teh podatkov dolžna seznaniti z vsemi informacijami po 13. členu Splošne uredbe, kar med drugim vključuje navedbo pravne podlage, ki pokriva vsak osebni podatek, ki ga pridobiva od vas, ter tudi informacije o obstoju avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov. Če se želite seznaniti z informacijami, ki vam bi jih banka na podlagi 13. člena Splošne uredbe morala zagotoviti ob pridobivanju vaših osebnih podatkov (ki izhajajo iz izpiskov o prometu na računih) oziroma se želite seznaniti s podatki, ki jih banka vodi o vas, vam predlagamo, da naknadno zahtevate informacije po 13. členu Splošne uredbe oziroma zahtevate dostop do vaših osebnih podatkov in informacije v skladu s 15. členom[5] Splošne uredbe (pri tem si lahko pomagate z obrazcem, objavljenim na spletni strani IP). Banka vam je zahtevane informacije dolžna zagotoviti – če vam jih ne zagotovi, to predstavlja kršitev določb Splošne uredbe in lahko pri IP podate prijavo oziroma pritožbo. Enako velja v primeru, če bi na podlagi informacij, ki bi jih na ta način pridobili od banke, ugotovili ali utemeljeno sumili, da banka za obdelavo vaših osebnih podatkov nima ustrezne pravne podlage oziroma da od vas zahteva več podatkov, kot jih potrebuje za dosego zakonitega namena. Pojasnjujemo še, da IP ni pristojen za presojo pogojev, ki jih banka v skladu s svojo poslovno politiko in v okviru zakonodajnih zahtev postavlja za pridobitev stanovanjskega kredita - v zvezi s tem vam predlagamo, da se obrnete na Tržni inšpektorat oziroma Banko Slovenije - in da izven inšpekcijskega postopka, v katerem nedvoumno ugotovi dejansko stanje, ne more presojati morebitne nezakonitosti (nesorazmernosti, neprimernosti) obdelave vaših osebnih podatkov v konkretnem primeru. Lep pozdrav, Pripravila: Mojca Leitinger Okršlar, državna nadzornica za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka [1] Prvi odstavek 6. člena Splošne uredbe se glasi: Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: (
- a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
- b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
- c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
- d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
- e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
- f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Pri tem se točka (
- f)prvega pododstavka ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog. [2] V skladu s 4. členom Splošne uredbe „obdelava“ pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje. [3] Prvi odstavek 13. člena Splošne uredbe se glasi: Kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotovi vse naslednje informacije: (
- a)identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja; (
- b)kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja; (
- c)namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo; (
- d)kadar obdelava temelji na točki (
- f)člena 6
(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba; (
- e)uporabnike ali kategorije uporabnikov osebnih podatkov, če obstajajo; (
- f)kadar je ustrezno, dejstvo, da upravljavec namerava prenesti osebne podatke v tretjo državo ali mednarodno organizacijo, ter obstoj ali neobstoj sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49
(1)sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo. Drugi odstavek istega člena nadalje določa, da upravljavec takrat, ko pridobi osebne podatke posamezniku, na katerega se ti nanašajo, zagotovi dodatne informacije, ki so potrebne za zagotovitev poštene in pregledne obdelave: (
- a)obdobje hrambe osebnih podatkov ali, kadar to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; (
- b)obstoj pravice, da se od upravljavca zahtevajo dostop do osebnih podatkov in popravek ali izbris osebnih podatkov ali omejitev obdelave v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora obdelavi in pravice do prenosljivosti podatkov; (
- c)kadar obdelava temelji na točki (
- a)člena 6
(1)ali točki (a) člena 9
(2), obstoj pravice, da se lahko privolitev kadar koli prekliče, ne da bi to vplivalo na zakonitost obdelave podatkov, ki se je na podlagi privolitve izvajala do njenega preklica; (
- d)pravico do vložitve pritožbe pri nadzornem organu; (
- e)ali je zagotovitev osebnih podatkov statutarna ali pogodbena obveznost ali pa obveznost, ki je potrebna za sklenitev pogodbe, ter ali mora posameznik, na katerega se nanašajo osebni podatki, zagotoviti osebne podatke ter kakšne so morebitne posledice, če se taki podatki ne zagotovijo, in (
- f)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22
(1)in
(4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki. [4] Določba 5. člena Splošne uredbe z naslovom Načela v zvezi z obdelavo osebnih podatkov se glasi: 1. Osebni podatki so: (
- a)obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki („zakonitost, pravičnost in preglednost“); (
- b)zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89
(1)ne velja za nezdružljivo s prvotnimi nameni („omejitev namena“); (
- c)ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo („najmanjši obseg podatkov“); (
- d)točni in, kadar je to potrebno, posodobljeni; sprejeti je treba vse razumne ukrepe za zagotovitev, da se netočni osebni podatki brez odlašanja izbrišejo ali popravijo ob upoštevanju namenov, za katere se obdelujejo („točnost“); (
- e)hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko shranjujejo za daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89
(1), pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki („omejitev shranjevanja“); (
- f)obdelujejo se na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo z ustreznimi tehničnimi ali organizacijskimi ukrepi („celovitost in zaupnost“). 2. Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati („odgovornost“). [5] Določba 15. člena Splošne uredbe opredeljuje pravico dostopa posameznika, na katerega se nanašajo osebni podatki, in se glasi: 1. Posameznik, na katerega se nanašajo osebni podatki, ima pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije: (
- a)namene obdelave; (
- b)vrste zadevnih osebnih podatkov; (
- c)uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah; (
- d)kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; (
- e)obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi; (
- f)pravico do vložitve pritožbe pri nadzornem organu; (
- g)kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom; (
- h)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22
(1)in
(4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.
- Kadar se osebni podatki prenesejo v tretjo državo ali mednarodno organizacijo, ima posameznik, na katerega se nanašajo osebni podatki, pravico biti obveščen o ustreznih zaščitnih ukrepih v skladu s členom 46 v zvezi s prenosom.
- Upravljavec zagotovi kopijo osebnih podatkov, ki se obdelujejo. Za dodatne kopije, ki jih zahteva posameznik, na katerega se nanašajo osebni podatki, lahko upravljavec zaračuna razumno pristojbino ob upoštevanju administrativnih stroškov. Kadar posameznik, na katerega se nanašajo osebni podatki, zahtevo predloži z elektronskimi sredstvi, in če posameznik, na katerega se nanašajo osebni podatki, ne zahteva drugače, se informacije zagotovijo v elektronski obliki, ki je splošno uporabljana.
- Pravica do pridobitve kopije iz odstavka 3 ne vpliva negativno na pravice in svoboščine drugih. O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026