Posredovanje kopije osebnega dokumenta in bančne kartice + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 24.05.2022 Številka: 07121-1/2022/553 Kategorije: --> Kategorije: EMŠO in davčna, Informiranje posameznika, Pravne podlage Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da ste ob naročanju dostave hrane želeli v aplikaciji dostavljavca naročilo plačati s kartico, kar pa bi bilo mogoče le v primeru, če bi mu posredovali kopijo bančne kartice in kopijo osebnega dokumenta. Ta praksa se vam zdi nedopustna in sprašujete, ali je mogoče, da se za plačevanje s kartico zahteva navedene osebne podatke? *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo in 177/20, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Kopiranje osebne izkaznice oziroma potnega lista bi bilo v konkretnem primeru mogoče na podlagi vaše privolitve, z nameni obdelave osebnih podatkov bi morali biti predhodno seznanjeni in imeti možnost takšno privolitev tudi odkloniti. V zvezi s posredovanjem kopije bančne kartice pride kot pravna podlaga eventualno v poštev vaša privolitev, oz. v primeru posredovanja določenih podatkov (številka kartice, datum veljavnosti in koda CVV) ob samem plačilu bi lahko bila obdelava potrebna zaradi izvajanja pogodbe. Opisana praksa oz. zahteva upravljavca se zdi glede na tveganja in namen posredovanja neprimerna, saj je izvedba storitve vsekakor mogoča brez posredovanja fotokopij osebnih dokumentov. Navedeno pa lahko IP dokončno potrdi le v inšpekcijskem postopku. Priporočamo, da se seznanite z informacijami v zvezi z obdelavo osebnih podatkov in tudi previdnost pri vsakršnem posredovanju podatkov iz bančne kartice preko e-maila oz. telefonsko, da se zaščitite pred morebitnim ribarjenjem podatkov, ki lahko vodijo do kraje identitete. O b r a z l o ž i t e v: IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Iz vašega zaprosila ni jasno, kateri osebni dokument bi naj predložili upravljavcu osebnih podatkov, zato vam podajamo odgovor v zvezi z osebnimi izkaznicami oz. potnimi listinami. Kopiranje osebne izkaznice ureja Zakon o osebni izkaznici (Uradni list RS, št. 35/11, 41/21 in 199/21, v nadaljevanju ZOIzk-1) v 4. členu, kopiranje potnega lista pa ureja Zakon o potnih listinah (Uradni list RS, št. 29/11 – uradno prečiščeno besedilo, v nadaljevanju ZPLD-1) v 4.a členu. Upravljavci zbirk osebnih podatkov smejo kopirati osebne izkaznice oz. potne listine samo v primerih, ki jih določa zakon. Obstajati mora torej konkretna zakonska podlaga v področnem zakonu, omenjena zakona pa opredeljujeta dve izjemi dopustnega kopiranja. Prva se nanaša na notarje in finančne družbe, ki opravljajo finančne storitve, če kopijo potrebujejo za dokazovanje identitete državljana v konkretnem postopku. Druga izjema pa omogoča, da se osebno izkaznico oz. potne listine za vnaprej določene namene kopira na podlagi pisne privolitve imetnika osebne izkaznice oz. potne listine. Prvenstveno je za namen ugotavljanja istovetnosti predviden le vpogled v osebno izkaznico oz. potno listino (oziroma po potrebi tudi prepis), kopiranje pa le ob strožjih pogojih, pri čemer je izrecno prepovedano nadaljnje kopiranje kopije osebne izkaznice oz. potne listine. Osebno izkaznico oz. potno listino lahko sicer kopirate sami, ali jo kopira upravljavec osebnih podatkov; kopija pa se naj opremi tudi z nekaterimi podatki (da gre za kopijo, navedba upravljavca, namen fotokopiranja in pravna podlaga) in vašim podpisom. ZPLD-1 pa izrecno določa tudi, da je kopijo potne listine prepovedano hraniti v elektronski obliki, kar pomeni, da prepoveduje kopiranje z uporabo skenerjev in podobnih naprav, ki kopijo zapišejo v elektronski obliki in jo shranijo na elektronski medij. Kopiranje osebne izkaznice oz. potne listine bi bilo torej v konkretnem primeru mogoče na podlagi vaše privolitve, z nameni takšne obdelave osebnih podatkov bi morali biti predhodno seznanjeni in imeti možnost takšno privolitev tudi odkloniti. Glede vprašanja posredovanja kopije bančne kartice uvodoma poudarjamo, da mora za obdelavo osebnih podatkov v zasebnem sektorju, skladno s prvim odstavkom 6. člena Splošne uredbe obstajati primerna pravna podlaga: - privolitev (točka (a)), - sklenitev ali izvajanje pogodbe (točka (b)), - zakon (točka (c)), - zaščita življenjskih interesov posameznika (točka (d)), - zakoniti interesi, za katere si prizadeva upravljavec (točka (f)). V zvezi s posredovanjem kopije bančne kartice upravljavcu pride kot pravna podlaga eventualno v poštev točka (
Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.