Obdelava osebnih podatkov v primeru pripojitve banke + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 07.10.2022 Številka: 07121-1/2022/1067 Kategorije: --> Kategorije: Pravne podlage, Upravljanje gospodarskih družb, Zakoniti interesi Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da je vaša banka v postopku pripojitve druge banke. Pred sklenitvijo pripojitvene pogodbe želite že začeti z določenimi procesi integracije, kar vključuje tudi obdelavo osebnih podatkov strank in zaposlenih. Sklenili ste že ustrezen sporazum o posredovanju podatkov, pristopili k izvedbi ocene učinka v zvezi z varstvom podatkov, posodobili oz. pripravili ustrezne evidence obdelav, obvestili posameznike o obdelavi osebnih podatkov. Sprašujete nas, ali pravilno razumete pravne podlage, ki bi lahko služile za zakonito obdelavo osebnih podatkov v postopku tehnične združitve, torej integracije pred samo pravno pripojitvijo. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. IP ima pomisleke o tem, da bi glede na trenutno zakonodajo in namene zakonodajalca, lahko utemeljili nujnost obdelave vseh osebnih podatkov vseh strank in vseh zaposlenih še pred uveljavitvijo pripojitvene pogodbe. Vendar pa je breme dokazovanja zakonitosti obdelave (za vsako vrsto osebnih podatkov in za vsakega od nameravanih namenov obdelave) na upravljavcu osebnih podatkov, zato vam svetujemo predvsem, da temeljito presodite vse elemente, ki vplivajo na zakonitost obdelave osebnih podatkov za vsak specifičen namen, ter vse navedeno pisno zabeležite. Obrazložitev Glede na vaša pojasnila ugotavljamo, da bo prišlo v vašem primeru do združitve dveh pravnih oseb, u združitvijo pa skladno z Zakonom o gospodarskih družbah preide na prevzemno družbo vse premoženje ter pravice in obveznosti prevzete družbe. Prevzemna družba kot univerzalni pravni naslednik vstopi v vsa pravna razmerja, katerih subjekt je bila prevzeta družba. Združitev s pripojitvijo se opravi s pogodbo o pripojitvi, za katero opisujete, da jo boste sklenili in s tem opravili pravni del združitve bank. Iz vašega opisa izhaja, da se nameravajo na prevzemno družbo prenesti osebni podatki strank prevzete družbe in njenih zaposlenih. Za obdelavo osebnih podatkov tako enih kot drugih (torej strank in zaposlenih) potrebujete ustrezno pravno podlago. Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago, ki jo mora že pred obdelavo osebnih podatkov natančno razčistiti upravljavec osebnih podatkov, ki mora biti zmožen tudi dokazati zakonitost obdelave osebnih podatkov. Pravne podlage so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče: privolitev (točka (a)), sklenitev ali izvajanje pogodbe (točka (b)), zakon (točka (c)), zaščita življenjskih interesov posameznika (točka (d)), izvajanje javne naloge (točka (
- e)v zvezi s četrtim odstavkom 9. člena ZVOP-1), zakoniti interesi upravljavca, kadar nad njimi ne prevladajo interesi ali pravice posameznika (točka (f)). Medtem ko je za obdelavo, natančneje za prenos osebnih podatkov na prevzemno družbo po uveljavitvi pripojitvene pogodbe podlaga v točki (
- b)prvega odstavka 6. člena Splošne uredbe, v nekaterih delih tudi podlaga v zakonu (ZGD-1), pa IP ne vidi izrecne pravne podlage za prenos osebnih podatkov pred uveljavitvijo pripojitvene pogodbe. Ena od možnosti, ki ste jo omenili, bi bila sicer v petem odstavku 146. člena Zakona o bančništvu (Uradni list RS, št. 92/21 in 123/21 – ZBNIP; v nadaljevanju ZBan-3), ki jo omenja tudi Banka Slovenije. Omenjena določba določa, da lahko banka poleg primerov iz tretjega in četrtega odstavka 146. člena razkrije zaupne podatke tudi, če je to potrebno za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe, ki jo banka sklene v okviru običajne bančne dejavnosti, in če prejemnik zagotovi ustrezno varovanje zaupnosti podatkov. Banka lahko za potrebe iz prejšnjega stavka razkrije le tiste zaupne podatke v zvezi s stranko, ki so nujno potrebni za sklenitev ali izvajanje pogodbe. V primeru zanašanja na to določbo IP opozarja, da je potrebno ugotoviti, ali je pripojitev banke aktivnost, ki šteje za "običajno bančno dejavnost". Interpretacije tega pojma IP ne more ponuditi, saj ni resorno pristojen za tolmačenje ZBan-3 in bi se morali v tem delu obrniti na Ministrstvo za finance. Tudi sicer pa določba vsebuje klavzulo oziroma varovalko sorazmernosti, po kateri je dopustno razkriti "le tiste zaupne podatke v zvezi s stranko, ki so nujno potrebni za sklenitev ali izvajanje pogodbe", torej ne nediskriminatorno vseh podatkov. IP vsekakor meni, da to ne more biti podlaga za množično obdelavo vseh osebnih podatkov strank oziroma je to malo verjetno, saj je potrebno izkazati nujnost za obdelavo vsakega osebnega podatka za vsak specifični namen. Poleg tega se določba nanaša zgolj na stranke, vi pa želite prenesti tudi osebne podatke zaposlenih. Zanašanje na to pravno podlago je torej okrnjeno z zgoraj navedenimi pomisleki, ki jih morate razrešiti. V vašem zaprosilu za mnenje sicer navajate, da menite, da bi se lahko zanašali na pravno podlago iz točke (
- f)prvega odstavka 6. člena Splošne uredbe, torej na zakonite interese upravljavca. Vendar IP opozarja na previdnost pri takšni interpretaciji, saj mora biti upravljavec prepričan, da je navedena pravna podlaga ustrezna in mora biti sposoben dejansko dokazati zakonitost zanašanja na to pravno podlago. Da bi se upravljavec lahko zanašal na pravno podlago iz točke (
- f)prvega odstavka 6. člena Splošne uredbe, morajo biti podani trije kumulativni pogoji:
(1)interes upravljavca mora biti zakonit (pri čemer je možno za pomoč pri interpretaciji uporabiti tudi na angleško različico, ki uporablja besedo "legitimen"), pri čemer mora biti takšen interes jasno izražen, resničen in obstoječ ter utemeljen na nacionalnem pravu ali pravnih načelih;
(2)obdelava mora biti nujna za doseganje zakonitega interesa, za katerega si prizadeva upravljavec;
(3)interesi ali temeljne pravice in svoboščine posameznika ne prevladajo nad interesi upravljavca. Na tem mestu je potrebno izvesti test tehtanja med interesi upravljavca in interesi ali temeljnimi pravicami in svoboščinami posameznika. Vsekakor se priporoča, da proces tehtanje pisno zabeležite zaradi zmožnosti kasnejšega dokazovanja. Koristno se je ozreti tudi na uvodno določbo
(47)Splošne uredbe, ki govori v tem, da je bi bila v vsakem primeru za ugotovitev obstoja zakonitega interesa potrebna skrbna ocena, tudi glede tega, ali posameznik, na katerega se nanašajo osebni podatki, lahko v času zbiranja osebnih podatkov in v njegovem okviru razumno pričakuje, da se bodo ti obdelali v zadevni namen. Razumno pričakovanje je treba torej ugotoviti za vsak specifičen namen, kar ponovno omejuje možnost zanašanja na prevladujoče interese upravljavca za množično obdelavo vseh osebnih podatkov vseh strank in zaposlenih. Omenjeni recital sicer navaja še, da lahko zakoniti interes upravljavca pomeni tudi obdelava osebnih podatkov, ki je nujno potrebna za preprečevanje zlorab. Splošna uredba torej izpostavlja enega od legitimnih namenov upravljavca, za druge morebitne namene pa mora biti upravljavec še toliko bolj temeljito sposoben izkazati nujnost in legitimnost. Vsekakor se je na tem mestu treba vprašati, katere osebne podatke bi nujno potrebovali še pred uveljavitvijo pripojitvene pogodbe. Gre namreč za okoliščino, kjer bi s interpretacijo morali izkazati tako vaše prizadevanje za zakonite interese kot tudi (v okviru tega) nujno potrebnost obdelave osebnih podatkov za doseganje teh namenov. IP ima pomisleke o tem, da bi glede na trenutno zakonodajo in namene zakonodajalca, lahko utemeljili nujnost obdelave vseh osebnih podatkov vseh strank in vseh zaposlenih še pred uveljavitvijo pripojitvene pogodbe. Dejstvo namreč je, da iz zakonodaje ne izhaja povsem jasno, katere postopke smete ali pa morate voditi pred samo uveljavitvijo pripojitvene pogodbe. Iz prvega odstavka 122. člena ZBan-3 ne izhaja, da bi morali dokumente, ki bi nastali v postopkih obdelave osebnih podatkov, predložiti zahtevi za izdajo dovoljenja za združitev bank. Obstajajo sicer obveznosti, ki jih morate izpolniti glede pregleda strank itd., vendar je vprašanje, ali se ta obveznost nanaša na vse osebne podatke, prav gotovo pa se ne nanaša na osebne podatke zaposlenih. V vašem zaprosilu za mnenje sicer navajate, zaradi česa si prizadevate za možnost obdelave obdelave osebnih podatkov še pred uveljavitvijo pripojitvene pogodbe: izvajali bi aktivnosti v zvezi s preverbo skupnih strank, pravočasno izvedeno testiranje aplikacij in prenos-uvoz podatkov v aplikacije NLB, možnostjo izdaje novih bančnih kartic (z združitvijo se spremenijo št. računov kartic in stranke morajo pravočasno prejeti nove, izdelava traja mesec in pol, potrebno obveščanje strank za aktivacijo kartic, obvestila delodajalcev in ureditev pri dobaviteljih za direktne bremenitve,.. ipd). Glede na to, da bi obdelovali osebne podatke posameznikov, ki še niso komitenti prevzemne banke oziroma njeni zaposleni in bodo to postali šele po uveljavitvi pripojitvene pogodbe, IP ni povsem prepričan, da izkazujete nujnost obdelave osebnih podatkov v smislu prizadevanja za zakonite interese za vse od naštetih namenov. Upoštevati je treba tudi, da bo vsebovala pripojitvena pogodba razvezni pogoj pridobitve dovoljenja ECB, kar pomeni, da bi množično obdelovali osebne podatke strank in zaposlenih, preden bi bilo sploh zanesljivo, da se bo prevzeta banka pripojila prevzemni banki. Za določene namene, ki jih navajate, torej izhaja, da bi jih morda želeli izvesti zgolj zaradi hitrejšega postopanja, vendar je treba potrebna pri tem še posebna pazljivost, ker gre namreč za obdelavo osebnih podatkov strank in zaposlenih, ki bodo postali vaše stranke in zaposleni šele kasneje (in še to ob izpolnitvi pogoja pridobitve dovoljenja ECB). Kot že omenjeno, mora biti upravljavec dolžan dokazati zakonitost obdelave osebnih podatkov, in sicer za vsako posamezno vrsto osebnih podatkov in za vsak nameravani namen. Breme tega dokazovanja torej nosite sami (oziroma tako prevzemna kot prevzeta družba), vse postopke "notranjega razmišljanja" oziroma tehtanja pa je smiselno pisno zabeležiti. V tem primeru vam lahko bistveno pomaga ocena učinkov v zvezi z varstvom osebnih podatkov. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026