Obdelava osebnih podatkov s strani zavarovalnice - IPRS

Obdelava osebnih podatkov s strani zavarovalnice + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 27.10.2022 Številka: 07121-1/2022/1170 Kategorije: --> Kategorije: Pridobivanje OP iz zbirk, Zavarovalništvo Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Želite ugotoviti prave informacije ter njihov izvor in sklepate, da je nekdo neupravičeno posegel v vaše osebne podatke. Posredujete nam korespondenco z zavarovalnico, iz katere izhaja, da vam je zavarovalnica poslala regresni zahtevek v zvezi s škodnim dogodkom, pri čemer se sklicuje na vloženo kazensko ovadbo. Navajate, da vam navedene kazenske ovadbe ne želijo posredovati, prav tako vam ni bila vročena kakršnakoli pošiljka v zvezi z očitanim dejanjem. *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi člena 58 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo in 177/20, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pravna podlaga za pridobitev osebnih podatkov s strani zavarovalnice bi lahko predstavljala (

1. c)točka prvega odstavka 6. člena Splošne uredbe v povezavi s členom 268. Zakona o zavarovalništvu, skladno s katerim zavarovalnice vodijo zbirko podatkov o zavarovalnih primerih, ki med drugim vsebuje tudi podatke o kaznivih dejanjih in prekrških v zvezi s škodnimi primeri. Vsekakor pa mora zavarovalnica upoštevati tudi načelo najmanjšega obsega in zbirati zgolj osebne podatke, ki so nujno potrebni za dosego cilja (npr. uveljavljanje povračilnih zahtevkov). IP o utemeljenosti pridobitve kazenske ovadbe v okviru nezavezujočega mnenja ne more presojati. V okviru dostopa do lastnih osebnih podatkov po Splošni uredbi pa lahko s strani zavarovalnice zahtevate tudi kopijo podatkov, ki jih zavarovalnica obdeluje (npr. ovadbe). O b r a z l o ž i t e v: Pri tem IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Pojasnjujemo, da mora biti za vsako obdelavo osebnih podatkov podana ustrezna pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe: (
2. a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
3. b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
4. c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
5. d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
6. e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
7. f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Prvi odstavek 268. člena Zakona o zavarovalništvu (Uradni list RS, št. 93/15, 9/19 in 102/20, ZZavar-1) določa, da zavarovalnice in Slovensko zavarovalno združenje zbirajo, shranjujejo, posredujejo, uporabljajo ali kako drugače obdelujejo osebne podatke iz tega člena v skladu z zakonodajo, ki ureja varstvo osebnih podatkov in zbirke podatkov s področja zavarovanja. Med drugim zavarovalnice upravljajo z zbirko podatkov o zavarovalnih primerih in sicer za točno določene namene, ki jih predvideva ZZavar-1, npr. za uveljavljanje povračilnih zahtevkov. V zbirki podatkov o zavarovalnih primerih se ob upoštevanju namena obdelave podatkov obdelujejo tudi podatki o kaznivih dejanjih in prekrških v zvezi z zavarovalnimi primeri (peti odstavek 268. člena ZZavar-1). Navedene podatke zavarovalnice, skladno z osmim odstavkom istega člena praviloma pridobijo neposredno od posameznika, na katerega se nanašajo, od drugih oseb, ki o zavarovalnem primeru kaj vedo, podatki iz navedene evidence pa se lahko pridobivajo tudi iz zbirk podatkov državnih organov. Državni organi (kamor tudi uvrščamo npr. policijo) morajo osebne podatke, glede katerih je izkazana pravna podlaga za posredovanje (npr. glede zgoraj citirane določbe petega odstavka 268. člena ZZavar-1), na pisno zahtevo sporočiti zavarovalnici. Zavarovalnica lahko obdeluje osebne podatke zgolj za namene, ki jih predvideva ZZavar-1 in sicer le v obsegu, ki je potreben za uresničevanje obdelave (t.i. načelo najmanjšega obsega podatkov). Ali gre v konkretnem primeru za prekomerno obdelavo osebnih podatkov (upoštevajoč dejstvo, da gre verjetno šele za predkazenski postopek), IP v okviru nezavezujočega mnenja ne more presojati. Pojasnjujemo, da vam Splošna uredba daje pravico do dostopa do osebnih podatkov, ki je določena v 15. členu Splošne uredbe. Prvi odstavek 15. člena Splošne uredbe tako določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in informacije, kot so nameni obdelave, predvideno obdobje hrambe, uporabniki osebnih podatkov, vse razpoložljive informacije v zvezi z njihovim virom, itd. Skladno s tretjim odstavkom 15. člena Splošne uredbe mora upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotoviti kopijo osebnih podatkov, ki jih obdeluje (npr. v vašem primeru kopijo ovadbe). Če se zahtevo za dostop do osebnih podatkov predloži z elektronskimi sredstvi in če posameznik ne zahteva drugače, mu mora upravljavec informacije zagotoviti v elektronski obliki, ki je splošno uporabljana. Zavrnitev s strani upravljavca bi bila dopustna v primeru, če dejansko ne bi šlo za osebne podatke, ki se nanašajo na posameznika ali če bi skladno s 23. členom Splošne uredbe šlo za omejitve, ki jih določa pravo EU ali nacionalno pravo, če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je potreben in sorazmeren ukrep v demokratični družbi, npr. za zagotavljanje preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij. O obstoju omejitev lahko IP odloča v pritožbenem postopku, načeloma pa takšnih omejitev ZZavar-1 ne določa. Upravljavec se mora na podano zahtevo odzvati brez nepotrebnega odlašanja in mora v vsakem primeru posredovati informacije oziroma zavrnilni odgovor v enem mesecu po prejemu zahteve. Ta rok se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev (tretji odstavek 12. člena Splošne uredbe). Dodatno poudarjamo, da je obrazec (Zahteva za seznanitev z lastnimi osebnimi podatki - obrazec SLOP), s katerim si lahko pomagate pri uveljavljanju pravice dostopa dosegljiv na: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. Če vam upravljavec v zakonskem roku ne odgovori, lahko pri IP vložite pritožbo zaradi molka. Pritožba pri IP je mogoča tudi zoper zavrnilni odgovor upravljavca, vložiti pa jo je treba v roku 15 dneh od prejema zavrnilnega odgovora upravljavca. Več informacij o pravici do seznanitve z lastnimi osebnimi podatki in glede njenega uveljavljanja je dostopnih tudi na naši spletni strani: https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/. Dodajamo tudi, da morajo zavarovalnice pri zbiranju oz. nadaljnji obdelavi osebnih podatkov upoštevati tudi določbe Splošne uredbe in podatke ustrezno zavarovati s primernimi tehnično-organizacijskimi ukrepi, npr. preprečiti morajo nepooblaščeno seznanitev z osebnimi podatki. V zvezi z samo vsebino regresnega zahtevka pa IP svojega mnenja ni upravičen podati, zato vam priporočamo, da si poiščete pravno pomoč. Vsekakor mora biti krivda posameznika za storjeno kaznivo dejanje ugotovljena s pravnomočno sodbo in ne zgolj na podlagi dejstev, ki so zapisana v kazenski ovadbi. V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo. Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka Pripravila: Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
8. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026