Odgovornost banke glede zlorab osebnih podatkov izven Is banke + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 10.06.2007 Številka: 0712-540/2007/2 Kategorije:Bančništvo --> Kategorije: Bančništvo Spoštovani, prejeli smo vašo elektronsko pošto z dne 31.05.
- Spraševali ste nas za mnenje v naslednjem primeru: Komitenti naše banke lahko na osnovi pogodbe o vodenju transakcijskega računa sami izberejo način prejema obvestil. Običajno po fizični ali tudi po elektronski pošti. Pri slednjem načinu sami pisno navedejo naslov elektronske pošte, na katerega želijo prejemati obvestila. Obvestila (o izvršenih plačilih, o prometih in stanju na računu, posebna obvestila in opozorila) vsebujejo včasih tudi nekatere osebne podatke (naziv, naslov, št. računa). Prosimo vas za pojasnilo, ali je banka kršitelj določil
- člena ZVOP-1, če pride do zlorabe podatkov poslanih po elektronski posti izven informacijskega okolja banke (prestrezanje na poštnih strežnikih, phishing na uporabnikovem osebnem računalniku, nepooblaščen dostop na osebni računalnik uporabnika in podobno). Zadevo analogiramo s prestrezanjem fizične pošte pri dostavi komitentu (poštni nabiralnik ipd), za katero pošiljatelj ne odgovarja niti objektivno, niti subjektivno, kar smo preverili pri Pošti Slovenije, d.o.o. Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.
- člen ZVOP-1 ureja zavarovanje zbirk osebnih podatkov, in sicer gre za organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
- varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
- varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
- preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
- zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
- omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.
- odstavek
- člena dalje določa, da morajo biti postopki in ukrepi za zavarovanje osebnih podatkov ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo.
- člen ZVOP-1 določa dolžnost zavarovanje in sicer so upravljavci osebnih podatkov in pogodbeni obdelovalci dolžni zagotoviti zavarovanje osebnih podatkov na način iz
- člena tega zakona. Upravljavci osebnih podatkov v svojih aktih predpišejo postopke in ukrepe za zavarovanje osebnih podatkov ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke. Banka je torej kot upravljavec zbirke osebnih podatkov o komitentih dolžna izvajati postopke in ukrepe za zavarovanje zbirk osebnih podatkov, vendar le znotraj svojega informacijskega sistema, ki mora zadostiti standardom zavarovanja po ZVOP-1 (
- člen). Čim pa podatek potuje izven informacijskega sistema banke, pa je banka dolžna zagotavljati tako imenovano sledljivost, kot izhaja iz
- odstavka
- člena ZVOP-1 (glej spodaj). Samo v primeru posredovanja občutljivih osebnih podatkov (v konkretnem primeru sicer Pooblaščenec predvideva, da se tovrstni podatki ne posredujejo), pa mora upravljavec spoštovati določbo
- člena ZVOP-1, po kateri je potrebno prenos zaščititi z uporabo kriptografije in elektronskega podpisa. Pooblaščenec pojasnjuje, da so občutljivi osebni podatki po določbi
- točke
- člena ZVOP-1 podatki o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenske evidence ali evidenc, ki se vodijo na podlagi zakona, ki ureja prekrške, pa tudi biometrične značilnosti, če je z njihovo uporabo mogoče določiti posameznika v zvezi s kakšno od prej navedenih okoliščin. Če pa gre za pogodbeno obdelavo v smislu
- člena ZVOP-1, pa nadzoruje izvajanje postopkov in ukrepov za zavarovanje osebnih podatkov tudi pri vseh morebitnih pogodbenih obdelovalcih osebnih podatkov svojih komitentov (pri tem komitenti banke niso pogodbeni obdelovalci v smislu
- člena ZVOP). Pooblaščenec opozarja, da so upravljavci dolžni upoštevati relevantne določbe ZVOP-1 tudi glede posredovanja osebnih podatkov. ZVOP-1 namreč v
- odstavku.
- člena določa, da mora upravljavec osebnih podatkov za vsako posredovanje osebnih podatkov zagotoviti možnost kasnejšega ugotavljanja, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov. Skrajni rok za hranjenje evidence o posredovanih osebnih podatkih je praviloma 5 let od nastanka škode, kar je splošni zastaralni rok, ki ga določa Obligacijski zakonik v
- členu, daljše ali krajše roke seveda lahko določa zakon. Določba
- odstavka
- člena ZVOP-1 zagotavlja tako imenovano načelo sledljivosti vpogledov v zbirke osebnih podatkov, kadar gre za posredovanje podatkov osebam zunaj upravljavca, ne pa za evidenco vpogledov zaposlenih pooblaščenih oseb pri upravljavcu. Sledljivost slednjih določa
- točka prvega odstavka
- člena. Vodenje evidence posredovanja osebnih podatkov uporabnikom osebnih podatkov je potrebno zaradi varstva pravic posameznika, ki mu je upravljavec zbirke osebnih podatkov, skladno z določbami
- in
- člena ZVOP-1, v roku 30 dni od dneva prejema zahteve dolžan posredovati seznam uporabnikov, ki so jim bili posredovani njegovi osebni podatki, ter mu hkrati sporočiti, kdaj, na kakšni podlagi in za kakšen namen je podatke posredoval. Če pride do zlorabe podatkov poslanih po elektronski pošti izven informacijskega okolja banke, za te zlorabe banka v luči določb ZVOP-1 ne more biti odgovorna, pod predpostavko, da banka izvaja predvidene ukrepe in postopke za zavarovanje osebnih podatkov skladno z določbami
- in
- člena ZVOP-1.Pooblaščenec opozarja, da s stališča ZVOP-1 banka v konkretnem primeru sicer ne more biti odgovorna, vendar pa opozarja, da so podobne situacije lahko urejene v drugi področni zakonodaji, potrebno pa je na tem mestu dodati, da Pooblaščenec ni pristojen za podajo razlag določb druge področne zakonodaje, ki bi lahko urejala odgovornost banke v konkretnem primeru, zato je v nadaljevanju opisani primer le ilustrativne narave. Analogije s konkretnim vprašanjem je tako mogoče poiskati npr. v Zakonu o elektronskih komunikacijah - uradno prečiščeno besedilo (Ur.l. RS, št. 13/2007, v nadaljevanju ZEKom-UPB1).
- člen ZEKom-UPB1 namreč določa, da morajo izvajalci javnih komunikacijskih storitev vsak zase ali po potrebi skupaj sprejeti ustrezne tehnične in organizacijske ukrepe, da zagotovijo varnost svojega omrežja oziroma svojih storitev. Ukrepi morajo ob upoštevanju tehnološkega razvoja in stroškov njihove izvedbe zagotoviti takšno raven varnosti in zaščite, ki ustreza predvidenemu tveganju. Tveganje predstavlja zlasti vsako dejanje, storitev ali izdelek, ki posega v tajnost, zaupnost in varnost elektronskega komunikacijskega omrežja ali elektronske komunikacijske storitve, s tem ko spremeni dostopnost, vsebino, ceno ali kakovost storitve, in ki ga lahko operater sam ali skupaj z drugimi operaterji učinkovito onemogoči. Pri posebnem tveganju za varnost omrežja mora izvajalec javnih komunikacijskih storitev takoj, ko za to tveganje izve, z objavo na svojih spletnih straneh in na drug primeren način obvestiti naročnike o takem tveganju. Če tveganje presega obseg ukrepov, ki jih izvajalec storitve lahko sprejme, mora hkrati obvestiti naročnike o vseh možnih sredstvih za odpravo tveganja, vključno z navedbo verjetnih stroškov, ter jim omogočiti hiter in učinkovit dostop do zaščitnih ukrepov. V primeru zlorab, ki niso nastale po krivdi uporabnikov, izvajalci javnih komunikacijskih storitev prevzamejo odgovornost in stroške, ki nastanejo kot posledica zlorab. Šteje se, da zloraba ni nastala po krivdi uporabnika, kadar je uporabnik uporabil vse razumne ukrepe za zaščito, o katerih je bil obveščen s strani izvajalca javnih komunikacijskih storitev. Priporočamo vam, da si ogledate tudi druga mnenja s področja varstva osebnih podatkov, ki so objavljena na spletni strani 0712-540/2007/2, po kateri lahko iščete s pomočjo naprednega iskalnika. Prijazen pozdrav, Informacijski pooblaščenec Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026