Posredovanje OP družbi za upravljanje + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 30.09.2022 Številka: 07121-1/2022/1030 Kategorije: --> Kategorije: Informiranje posameznika, Pravne podlage Informacijski pooblaščenec (v nadaljevanju: IP) je dne
- 2022 prejel vaše elektronsko sporočilo, v katerem navajate, da ste po e-pošti prejeli obvestilo od podjetja …, pri katerem ste vlagateljica, da jim morate kot uporabnica njihove spletne poslovalnice in mobilne aplikacije posredovati datum izdaje osebnega dokumenta in informacijo o poklicu. IP prosite za mnenje, ali je zahteva zakonita oziroma ali je to res nujno potrebno. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju v skladu z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 in 177/20, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vprašanjem. Po mnenju IP ima upravljavec v danem primeru za pridobivanje navedenih osebnih podatkov najverjetneje ustrezno pravno podlago, vam je pa dolžan ob pridobivanju podatkov nuditi tudi ustrezne informacije o njihovi obdelavi, na podlagi katerih se lahko prepričate, da obdelava osebnih podatkov, ki jo izvaja, tudi sicer ustreza predpisom o varstvu osebnih podatkov. Obrazložitev: V skladu s Splošno uredbo pomeni »obdelava« osebnih podatkov vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje[1]. Nadalje Splošna uredba v prvem odstavku
- člena[2] opredeljuje zakonite pravne podlage za obdelavo osebnih podatkov, in sicer so to: privolitev, sklenitev ali izvajanje pogodbe, izvajanje zakonskih zahtev oziroma izvajanje javnih nalog in zakoniti interesi, ki prevladajo nad interesi posameznika; pri tem je za zakonitost obdelave dovolj, da je izpolnjena ena od navedenih pravnih podlag – npr. če kateri od področnih zakonov upravljavcu osebnih podatkov nalaga pridobivanje določenih osebnih podatkov o posamezniku, upravljavec za obdelavo teh osebnih podatkov ne potrebuje še privolitve oziroma dovoljenja posameznika. Finančne institucije morajo pri opravljanju finančnih storitev slediti zahtevam številnih zakonov, ki jim med drugim nalagajo obdelavo različnih osebnih podatkov za različne namene, lahko pa osebne podatke posameznikov obdelujejo tudi na drugih pravnih podlagah iz prvega odstavka
- člena Splošne uredbe, zlasti na podlagi privolitve ali zaradi sklepanja ali izvajanja pogodbe. Kot je v elektronskem sporočilu, ki ste ga prejeli, navedla že družba … (v nadaljevanju: upravljavec), vaše osebne podatke potrebuje zaradi zahtev predpisov s področja preprečevanja pranja denarja in financiranja terorizma. Družbe za upravljanje, med katere spada upravljavec, so zavezanci po Zakonu o preprečevanju pranja denarja in financiranja terorizma (Uradni list RS, št. 48/22, v nadaljevanju: ZPPDFT-2), ki morajo izvajati ukrepe za odkrivanje in preprečevanje pranja denarja in financiranja terorizma pred oziroma pri sprejemanju, izročitvi, zamenjavi, hrambi, razpolaganju oziroma drugem ravnanju z denarjem ali drugim premoženjem in pri sklepanju poslovnih razmerij[3]. Med ukrepe, ki so jih zavezanci po ZPPDFT-2 dolžni izvajati, spada tudi izvajanje ukrepov za poznavanje stranke[4], v okviru pregleda stranke pa zavezanci izvajajo naslednje ukrepe: ugotavljanje istovetnosti stranke in preverjanje njene istovetnosti na podlagi verodostojnih, neodvisnih in objektivnih virov, ugotavljanje dejanskega lastnika stranke, pridobitev podatkov o namenu in predvideni naravi poslovnega razmerja ali transakcije ter drugih podatkov na podlagi zakona in redno skrbno spremljanje poslovnih aktivnosti, ki jih stranka izvaja pri zavezancu[5]. Slednje vključuje preverjanje skladnosti strankinega poslovanja s predvideno naravo in namenom poslovnega razmerja, ki ga je stranka sklenila pri zavezancu, spremljanje in preverjanje skladnosti strankinega poslovanja z njenim običajnim obsegom poslovanja in preverjanje in posodabljanje pridobljenih listin in podatkov o stranki. Za stranko, ki je fizična oseba, preverjanje in posodabljanje pridobljenih listin in podatkov obsega preverjanje podatkov o osebnem imenu, naslovu stalnega in začasnega prebivališča, državljanstvu ter številki, vrsti, nazivu izdajatelja, datumu izdaje in datumu poteka veljavnosti uradnega osebnega dokumenta stranke oziroma njenega zakonitega zastopnika ali pooblaščenca, preverjanje ustreznosti pooblastila in ugotavljanje, ali je stranka postala politično izpostavljena oseba v času trajanja poslovnega razmerja[6]. Glede na navedene določbe ZPPDFT-2 se zavezanec po mnenju IP v danem primeru ob pridobivanju podatkov utemeljeno sklicuje na zahteve tega zakona (IP sicer ni pristojen za tolmačenje določb ZPPDFT-2, temveč je to Urad za preprečevanje pranja denarja), vendar pa na podlagi vaših navedb in informacij, ki jih je v dopisu navedel upravljavec, ni mogoče presoditi, ali je predmetna zahteva za posredovanje osebnih podatkov tudi sicer v skladu z zahtevami Splošne uredbe in ZVOP-
- Upravljavec mora pri vsaki obdelavi osebnih podatkov namreč slediti osnovnim načelom obdelave osebnih podatkov iz prvega odstavka
- člena[7] Splošne uredbe, med katera je uvrščeno tudi načelo najmanjšega obsega podatkov, ki določa, da morajo biti podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Prav tako je upravljavec dolžan ob vsakem pridobivanju osebnih podatkov posameznikom nuditi ustrezne informacije v skladu s
- členom Splošne uredbe[8], pri čemer morajo biti te informacije podane v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku[9]. V danem primeru ima upravljavec za pridobivanje osebnih podatkov po mnenju IP najverjetneje ustrezno pravno podlago, vam je pa ob pridobivanju podatkov dolžan nuditi tudi ustrezne informacije o njihovi obdelavi, na podlagi katerih se lahko prepričate, da obdelava osebnih podatkov, ki jo izvaja, tudi sicer ustreza predpisom o varstvu osebnih podatkov. Predlagamo vam, da v zvezi s predmetnim pridobivanjem osebnih podatkov na upravljavca naslovite zahtevo za predložitev ustreznih informacij v zvezi z njihovo obdelavo v skladu z
- in
- členom Splošne uredbe, tj. vsebinsko ustreznih, popolnih in točnih informacij v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku. V primeru, da vam upravljavec (vseh) ustreznih informacij ne bi predložil, predstavlja to kršitev predpisov o varstvu osebnih podatkov in lahko pri IP podate prijavo. Lep pozdrav, Pripravila: Mojca Leitinger Okršlar, Mojca Prelesnik, univ. dipl. prav., državna nadzornica za varstvo osebnih podatkov informacijska pooblaščenka [1] Osnovni pojmi v zvezi z osebnimi podatki in njihovim varstvom so opredeljeni v
- členu Splošne uredbe. [2] Prvi odstavek
- člena Splošne uredbe se glasi: Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: (a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Pri tem se točka (f) prvega pododstavka ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog. [3] Prvi odstavek
- člena ZPPDFT-2 [4]
- točka drugega odstavka
- člena ZPPDFT-2 [5] Prvi odstavek
- člena ZPPDFT-2 [6]
- člen ZPPDFT-2 [7] Določba
- člena Splošne uredbe z naslovom Načela v zvezi z obdelavo osebnih podatkov se glasi:
- Osebni podatki so: (a) obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki („zakonitost, pravičnost in preglednost“); (b) zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89
(1)ne velja za nezdružljivo s prvotnimi nameni („omejitev namena“); (
- c)ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo („najmanjši obseg podatkov“); (
- d)točni in, kadar je to potrebno, posodobljeni; sprejeti je treba vse razumne ukrepe za zagotovitev, da se netočni osebni podatki brez odlašanja izbrišejo ali popravijo ob upoštevanju namenov, za katere se obdelujejo („točnost“); (
- e)hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko shranjujejo za daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89
(1), pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki („omejitev shranjevanja“); (
- f)obdelujejo se na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo z ustreznimi tehničnimi ali organizacijskimi ukrepi („celovitost in zaupnost“). 2. Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati („odgovornost“). [8] Prvi odstavek 13. člena Splošne uredbe se glasi: Kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotovi vse naslednje informacije: (
- a)identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja; (
- b)kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja; (
- c)namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo; (
- d)kadar obdelava temelji na točki (
- f)člena 6
(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba; (
- e)uporabnike ali kategorije uporabnikov osebnih podatkov, če obstajajo; (
- f)kadar je ustrezno, dejstvo, da upravljavec namerava prenesti osebne podatke v tretjo državo ali mednarodno organizacijo, ter obstoj ali neobstoj sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49
(1)sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo. Drugi odstavek istega člena nadalje določa, da upravljavec takrat, ko pridobi osebne podatke posamezniku, na katerega se ti nanašajo, zagotovi dodatne informacije, ki so potrebne za zagotovitev poštene in pregledne obdelave: (
- a)obdobje hrambe osebnih podatkov ali, kadar to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; (
- b)obstoj pravice, da se od upravljavca zahtevajo dostop do osebnih podatkov in popravek ali izbris osebnih podatkov ali omejitev obdelave v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora obdelavi in pravice do prenosljivosti podatkov; (
- c)kadar obdelava temelji na točki (
- a)člena 6
(1)ali točki (a) člena 9
(2), obstoj pravice, da se lahko privolitev kadar koli prekliče, ne da bi to vplivalo na zakonitost obdelave podatkov, ki se je na podlagi privolitve izvajala do njenega preklica; (
- d)pravico do vložitve pritožbe pri nadzornem organu; (
- e)ali je zagotovitev osebnih podatkov statutarna ali pogodbena obveznost ali pa obveznost, ki je potrebna za sklenitev pogodbe, ter ali mora posameznik, na katerega se nanašajo osebni podatki, zagotoviti osebne podatke ter kakšne so morebitne posledice, če se taki podatki ne zagotovijo, in (
- f)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22
(1)in
(4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki. [9] Iz prvega odstavka 12. člena Splošne uredbe O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026