Obvezna predložitev celotnih bančnih izpiskov ob pridobivanju kredita - IPRS

Obvezna predložitev celotnih bančnih izpiskov ob pridobivanju kredita + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 10.03.2021 Številka: 07121-1/2021/469 Kategorije:Bančništvo, Informiranje posameznika, Pravica do seznanitve z lastnimi osebnimi podatki, Pravne podlage --> Kategorije: Bančništvo, Pravne podlage, Informiranje posameznika, Pravica do seznanitve z lastnimi osebnimi podatki Informacijski pooblaščenec (v nadaljevanju: IP) je dne 23. 2. 2021 prejel vaše elektronsko sporočilo, v katerem sprašujete v zvezi z obdelavo osebnih podatkov s strani bank ob pridobivanju kredita. Vaša žena se namreč z eno izmed bank dogovarja za stanovanjski kredit za obnovo hiše, pri čemer banka poleg 12 plačilnih list zahteva tudi predložitev 12 bančnih izpiskov in celotno pogodbo o zaposlitvi. Zanima vas, ali je to normalna praksa pri pridobivanju kredita, ali je to res zakonsko potrebno in s stališča GDPR ustrezno. Na bančnih izpiskih so namreč vidni vsi prilivi, vsi odlivi, vsi nakupi, pravzaprav zelo osebne stvari. Ali je v tem primeru res nujno, da bančni uslužbenec vidi vsak nakup, ki ga je opravil posameznik? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju v skladu z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše pisno neobvezno mnenje v zvezi z vašim vprašanjem. Banke so pri opravljanju bančnih storitev podvržene številnih zakonskim zahtevam, ki jim med drugim nalagajo obdelavo osebnih podatkov njihovih strank za različne namene. Ti predpisi po mnenju IP predstavljajo ustrezno pravno podlago za obdelavo osebnih podatkov posameznikov v okviru zakonsko določenih namenov, vendar pa mora banka pri določanju vsebine in obsega pridobivanja osebnih podatkov od posameznikov vedno slediti osnovnim načelom obdelave osebnih podatkov, ki izhajajo iz 5. člena Splošne uredbe, ter posameznika takrat, ko od njega pridobiva osebne podatke, seznaniti z informacijami o obdelavi osebnih podatkov v skladu s 13. členom Splošne uredbe, vključno s pravno podlago za obdelavo osebnih podatkov. Če banka zahteva osebne podatke, ki jih v konkretnem primeru za presojo kreditne sposobnosti oziroma kreditnega tveganja ne potrebuje, za njihovo obdelavo nima pravne podlage in krši načelo najmanjšega obsega podatkov. Obrazložitev: Splošna uredba v prvem odstavku 6. člena opredeljuje pravne podlage za obdelavo osebnih podatkov, med drugim v točki (

1. c)kot zakonito določa obdelavo osebnih podatkov, ki je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca[1]. Banke so pri opravljanju bančnih storitev za stranke podvržene zahtevam številnih zakonov, ki jim med drugim nalagajo obdelavo (zbiranje, hrambo…) osebnih podatkov o strankah za različne namene, kot npr. Zakon o potrošniških kreditih, Zakon o preprečevanju pranja denarja in financiranja terorizma, Zakon o plačilnih storitvah, storitvah izdajanja elektronskega denarja in plačilnih sistemih ipd. Iz odgovora, ki ste ga že prejeli s strani Združenja bank Slovenije (ZBS), je razvidno, da Zakon o potrošniških kreditih (Uradni list RS, št. 77/16, v nadaljevanju: ZPotK-2) bankam nalaga skrb, da ne pride do prezadolženosti kreditojemalca, obenem pa so zavezane k spoštovanju Sklepa Banke Slovenije o makrobonitetnih omejitvah kreditiranja prebivalstva (Uradni list RS, št. 64/19 in 75/20), ki bankam omejuje kreditne aktivnosti, ter spoštovanju lastnih notranjih pravil ter morebitnih pravil skupine glede skrbnega poslovanja in upravljanja tveganj, pri čemer lahko banke vodijo različne poslovne politike oziroma prakse. Določba 10. člena ZPotK-2 dajalcu kredita nalaga, da mora pred sklenitvijo kreditne pogodbe oceniti kreditno sposobnost potrošnika, kar stori na podlagi potrebnih, zadostnih in sorazmernih informacij o prihodkih in izdatkih oziroma premoženjskem stanju potrošnika, ki jih pridobi od potrošnika in iz zbirk osebnih podatkov, ki se vodijo na podlagi Zakona o centralnem kreditnem registru (Uradni list RS, št. 77/16). Isti člen ZPotK-2 določa še, da dajalec kredita hrani dokazila o oceni kreditne sposobnosti potrošnika na papirju ali drugem trajnem nosilcu podatkov ves čas trajanja kreditne pogodbe in še štiri leta po izteku kreditne pogodbe, in sicer v poslovnih prostorih dajalca kredita, v katerih se sklepajo kreditne pogodbe. Smiselno podobno in celo nekoliko strožje je ocena kreditne sposobnosti opredeljena tudi v primeru potrošniškega kredita za nepremičnino v 42. členu ZPotK-2, kjer dodatno določeno, da dajalec kredita določi in dokumentira postopek in informacije, na katerih temelji ocena kreditne sposobnosti potrošnika. V skladu z navedenim banka od posameznika, ki pri njej najema kredit, torej mora pridobiti določene informacije, na podlagi katerih oceni njegovo kreditno sposobnost, hkrati pa mora imeti izdelana merila in opredeljene informacije, na osnovi katerih se odloča. Kot navaja predstavnica ZBS igra vlogo pri pridobivanju podatkov o izdatkih posameznika tudi Sklep o makrobonitetnih omejitvah kreditiranja prebivalstva, v skladu s katerim so banke in hranilnice pri izračunu kreditne sposobnosti dolžne izračunati razmerje DSTI, tj. razmerje med letnim stroškom servisiranja celotnega dolga in letnim dohodkom potrošnika. Nadalje predstavnica ZBS omenja nove Smernice o odobravanju in spremljanju kreditov (EBA/GL/2020/06), ki bankam prav tako nalagajo pridobivanje informacij in podatkov, potrebnih za oceno kreditne sposobnosti in profila tveganosti kreditojemalca. Omenjeni predpisi po mnenju IP predstavljajo ustrezno pravno podlago za pridobivanje podatkov in informacij, potrebnih za oceno kreditne sposobnosti potrošnika in pripadajočega tveganja za kreditodajalca, vendar pa IP izven konkretnega inšpekcijskega postopka ne more z gotovostjo ugotoviti, s kakšnim razlogom oziroma na kakšni pravni podlagi banka v vašem primeru zahteva celotne bančne izpiske in celotno pogodbo o zaposlitvi ter za kakšen namen bo vse te podatke obdelovala. V vsakem primeru pa mora banka pri določanju vsebine in obsega pridobivanja osebnih podatkov od posameznikov slediti osnovnim načelom obdelave osebnih podatkov, ki izhajajo iz 5. člena Splošne uredbe[2], to pomeni, da morajo biti osebni podatki obdelani zakonito, pošteno in na pregleden način in zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni, da morajo biti ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo, da morajo biti točni in po potrebi posodobljeni, da morajo biti hranjeni v obliki, ki dopušča identifikacijo posameznikov, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo, in da morajo biti obdelani na način, ki zagotavlja ustrezno varnost osebnih podatkov. Upoštevanje navedenih načel obdelave osebnih podatkov med drugim vzpostavlja dolžnost banke, da posameznika takrat, ko od njega pridobiva osebne podatke, seznani z določenimi informacijami o obdelavi osebnih podatkov v skladu s 13. členom Splošne uredbe[3], med drugim tudi s pravno podlago za obdelavo osebnih podatkov, pri čemer mora biti banka sposobna pojasniti pravno podlago za vsak zahtevan osebni podatek in se pri tem zavedati, da pridobivanje osebnih podatkov, ki jih v konkretnem primeru za presojo kreditne sposobnosti oziroma kreditnega tveganja ne potrebuje, ni dopustno, saj s tem krši načelo najmanjšega obsega podatkov. Če banka torej zahteva bančni izpisek v celoti, pa vseh podatkov iz izpiska in pogodbe o zaposlitvi ne potrebuje oziroma ne uporabi za presojo kreditne sposobnosti posameznika oziroma kreditnega tveganja banke, je njena zahteva po predložitvi celotnih bančnih izpiskov in celotne pogodbe o zaposlitvi nesorazmerna, kakršnakoli obdelava teh osebnih podatkov (vključno s pridobivanjem in hrambo) pa posledično nezakonita. Zato predlagamo, da se vaša žena obrne na banko in zahteva seznanitev z informacijami o obdelavi osebnih podatkov po 13. členu Splošne uredbe, zlasti da jo banka seznani s pravno podlago za obdelavo vseh osebnih podatkov iz bančnih izpiskov in pogodbe o zaposlitvi ter za kakšen namen jih zbira. Upravičenost pridobivanja podatkov v konkretnem primeru lahko vaša žena preko uveljavljanja pravice do dostopa posameznika iz 15. člena Splošne uredbe po mnenju IP preveri tudi naknadno, saj gre za stanovanjski kredit in bi morala banka glede na določbo 42. člena ZPotK-2 dokumentirati informacije, na katerih temelji ocena kreditne sposobnosti potrošnika. V primeru, da bi se izkazalo, da banka zahteva predložitev osebnih podatkov, ki jih za ugotavljanje kreditne sposobnosti oziroma ocene tveganja v resnici ne potrebuje, lahko pri IP zoper banko podate prijavo kršitve varstva osebnih podatkov. S spoštovanjem, Pripravila: Mojca Leitinger Okršlar, državna nadzornica za varstvo osebnih podatkov Informacijski pooblaščenec: Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
2. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026