Posreodvanje podatkov o fizičnih osebah + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 07.10.2007 Številka: 0712-873/2007/2 Kategorije:Bančništvo --> Kategorije: Bančništvo Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne
- 2007 prejel vaše e-sporočilo, v katerem nas prosite za informacijo glede enotnega obravnavanja podatkov o prejemniku sredstev, ki je fizična oseba, v aplikacijah elektronskega bančništva na območju Republike Slovenije. V nadaljevanju pojasnjujete, da stranke, uporabniki elektronskega bančništva v bankah, želijo pri prenašanju sredstev s svojih osebnih transakcijskih računov (TRR) na osebne TRR drugih imetnikov, ob vnosu podatkov o TRR prejemnika, prejeti na prikazanem plačilnem nalogu tudi informacijo o priimku in imenu, morda pa tudi o naslovu prejemnika sredstev. S tem bi nalogodajalec dobil potrditev o pravilni usmeritvi nakazila. V primeru, da ima nalogodajalec napačne podatke o številki računa, je brez take kontrole plačilo usmerjeno k napačnemu prejemniku. Navajate tudi, da Zakon o varstvu osebnih podatkov ne določa, da bi se z osebnimi podatki prejemnika – fizične osebe lahko seznanil tudi nalogodajalec, zato banke menijo, da bi takšna uporaba podatkov iz registra TRR, ki bi pomagala stranki identificirati prejemnika, ne bila skladna z zakonom. Zaključujete, da želijo banke pri posredovanju podatkov o fizičnih osebah ravnati enotno in v skladu z zakonodajo in nas sprašujete, ali banke ravnajo pravilno, če stranki pri plačevanju preko aplikacij elektronskega bančništva ne dovolijo vpogleda v podatke o imenu, priimku in naslovu prejemnika nakazila. V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/2004, 67/2007, 113/05-ZInfP in 51/07-ZUstS; v nadaljevanju ZVOP-1) ter
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/2005 in 51/2007-ZUstS) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Osebni podatek je v skladu s
- točko
- člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen, pri čemer je posameznik določena ali določljiva fizična oseba, na katero se nanaša osebni podatek. Obdelava osebnih podatkov pomeni v skladu s
- točko
- člena ZVOP-1 kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, … zlasti zbiranje, pridobivanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago … Splošna opredelitev obdelave osebnih podatkov je podana v
- členu ZVOP-
- Osebni podatki se lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Namen obdelave osebnih podatkov mora biti določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. Pravno podlago za obdelavo osebnih podatkov v zasebnem sektorju določa
- člen ZVOP-
- Po določbi prvega odstavka
- člena Zakona o varstvu osebnih podatkov se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Ne glede na navedeno, se lahko v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe (drugi odstavek
- člena). Ne glede na prvi odstavek
- člena ZVOP-1 se lahko v zasebnem sektorju obdelujejo osebni podatki, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki. Iz navedenega izhaja, da ZVOP-1 kot splošen predpis na sistemski ravni ureja varstvo osebnih podatkov, vendar dopušča, da se varstvo osebnih podatkov ureja za posamezna (ožja) pravna področja tudi s področnimi zakoni. V konkretnem primeru gre za Zakon o plačilnem prometu (Uradni list RS, št. 110/2006, uradno prečiščeno besedilo; v nadaljevanju ZPlaP-UPB3). Podatki o transakcijskih računih se nahajajo v registru transakcijskih računov, katerega vsebino in dostop do podatkov določata
- in
- člen ZPlaP-UPB
- člen med drugim določa, da se v registru transakcijskih računov vodijo naslednji podatki o transakcijskih računih imetnikov:
- podatki o imetniku transakcijskega računa: – ime, priimek in naslov prebivališča imetnika, ki je fizična oseba, oziroma firma, sedež in naslov imetnika transakcijskega računa, ki je pravna oseba, oziroma firma, sedež in naslov ter ime in priimek imetnika transakcijskega računa, ki je zasebnik, oziroma naziv in naslov drugega imetnika transakcijskega računa; – davčna številka imetnika, – matična številka imetnika, ki je pravna oseba ali zasebnik;
- podatki o transakcijskem računu: – številka računa, – naziv in matična številka izvajalca plačilnega prometa, ki vodi transakcijski račun, – podatek o vzpostavljeni evidenci iz sedmega in osmega odstavka
- člena tega zakona, – oznaka vrste računa, ki je določena s predpisom iz sedmega odstavka tega člena, – podatek o zaprtju računa. V
- odstavku
- člena je določeno, da so podatki o transakcijskih računih fizičnih oseb osebni podatki, ki se obdelujejo v registru transakcijskih računov, zato da se z zagotovitvijo teh podatkov izvajalcem plačilnega prometa omogoči izpolnjevanje obveznosti iz sedmega odstavka
- člena ZPlaP-UPB3 (odpiranje transakcijskih računov) in izvajanje kontrole obstoja transakcijskih računov prejemnikov plačil pri izvrševanju plačilnih nalogov s ciljem tekočega opravljanja plačilnega prometa v državi. Podatki o transakcijskih računih fizičnih oseb se obdelujejo v registru tudi z namenom, da se ti podatki zagotovijo osebam iz tretje alinee drugega odstavka
- člena ZPlaP-UPB3 (osebe in drugi subjekti, za katere zakon določa pravno podlago in namen posredovanja osebnih podatkov).
- člen ZPlaP-UPB3 določa, da so podatki o transakcijskih računih pravnih oseb, zasebnikov v delu, ki se nanaša na njihovo dejavnost, in drugih imetnikov, ki niso fizične osebe, javni in jih lahko pridobi vsak, ne da bi moral za to izkazati pravni interes. Ti podatki so dostopni tudi na spletni strani Banke Slovenije. Podatke o transakcijskih računih fizičnih oseb pa lahko pridobijo: – imetnik transakcijskega računa glede podatkov, ki se nanašajo nanj, – izvajalci plačilnega prometa, ki jih pridobijo za namene iz tretjega odstavka
- člena ZPlaP-UPB3, – osebe in drugi subjekti, za katere zakon določa pravno podlago in namen posredovanja osebnih podatkov. Zahteva za pridobitev podatkov iz registra transakcijskih računov o računih imetnikov, ki so fizične osebe, mora vsebovati ime in priimek oziroma firmo ter naslov prosilca in njegov podpis. Za identifikacijo imetnika transakcijskega računa mora prosilec v zahtevi navesti ime, priimek in davčno številko imetnika, katerega podatke zahteva. V primeru iz tretje alineje prejšnjega odstavka pa mora zahteva vsebovati navedbo pravne podlage in namen obdelave osebnih podatkov. Glede na določbe
- člena ZPlaP-UPB3 izvajalec plačilnega prometa, torej banka, odgovarja nalogodajalcu za škodo, ki nastane zaradi neizvršitve oz. nepravilne izvršitve naloga za plačilo oz. zaradi zamude z izvršitvijo naloga za plačilo. V
- alinei
- odstavka
- člena ZPlaP-UPB3 je določeno, da se izvajalec plačilnega prometa odškodninske odgovornosti lahko razbremeni, če dokaže, da je vzrok za neizvršitev, nepravilno izvršitev ali za zamudo z izvršitvijo naloga za plačilo napačen oz. pomanjkljiv nalog za plačilo ali drugo ravnanje nalogodajalca, ki ga ni mogel pričakovati, niti se njegovim posledicam ni mogel izogniti ali jih odvrniti. V skladu s
- odstavkom
- člena mora nalog za plačilo obsegati:
- ime in priimek oziroma firmo imetnika transakcijskega računa nalogodajalca,
- številko imetnikovega transakcijskega računa v breme katerega naj se opravi plačilo,
- denarni znesek plačila in valuto, v kateri naj se plačilo opravi,
- ime in priimek oziroma firmo imetnika transakcijskega računa prejemnika plačila,
- številko transakcijskega računa prejemnika plačila, v dobro katerega naj se plačilo opravi, in oznako izvajalca plačilnega prometa, ki vodi prejemnikov transakcijski račun,
- druge podatke, določene s predpisi. Po določbah ZPlaP-UPB3 (
- odstavek
- člena) mora izvajalec plačilnega prometa, kadar po splošnih pogojih vodenja transakcijskega računa imetnik transakcijskega računa lahko izda elektronski nalog za plačilo, zagotoviti, da je mogoče na zanesljiv način preveriti identiteto nalogodajalca. V zakonu pa ni nikjer določeno, da naj bi izvajalec plačilnega prometa preverjal ustreznost oz. ujemanje podatkov, ki jih na nalog za plačilo napiše nalogodajalec. To pomeni, da nalogodajalec sam odgovarja za morebitne napake in s tem nakazilo denarja napačnemu prejemniku. Ker ZPlaP-UPB3 ne določa obdelave osebnih podatkov fizičnih oseb na način, kakršnega bi nalogodajalci želeli, bi morali za vsako obdelavo osebnih podatkov imeti osebno privolitev posameznika. Pooblaščenec domneva, da se je zastavljeno vprašanje oz. težava nalogodajalcev pojavila predvsem zaradi napak, ki so jih le-ti naredili in za katere banka ne odgovarja. Zato je razumljivo, da želijo zagotovilo, da so bila finančna sredstva nakazana pravemu prejemniku. Pooblaščenec predlaga naslednji sistem oz. način nakazovanja, ki bi zagotovil varnost nalogodajalcu. V primeru, ko bi nalogodajalec v elektronski nalog za plačilo vnesel napačne podatke prejemnika plačila, bi ga program opozoril na napako oz. na neskladnost podatkov (npr. številka transakcijskega računa se ne ujema z imenom in priimkom prejemnika). Pri tem program podatkov ne bi samodejno popravljal ali nalogodajalcu ponudil nabor drugih možnih podatkov (npr. vseh priimkov, ki bi bili podobni vnesenemu priimku). Nalogodajalec bi bil samo opozorjen na napako, popraviti pa bi jo moral sam. V primeru, da napake ne bi mogel takoj odkriti, ima možnost ponovno preveriti podatke pri prejemniku samem. Pomembno je predvsem to, da ne bi prišlo do nakazil finančnih sredstev napačnim prejemnikom. Zaradi varnosti izvajanja transakcij svetujemo, da se razmisli tudi o ustreznem možnem številu ponovnega preverjanja podatkov (opozoril), npr. ne več kot trikrat. Če torej nalogodajalec trikrat navede napačne podatke, mu sistem ne dopušča še četrtega poskusa in torej ne omogoči izvedbe plačila. Pooblaščenec meni, da način, kakršnega v dopisu omenjate, ni ustrezen, saj bi omogočal zlorabo osebnih podatkov (npr. ob vpisu napačne številke transakcijskega računa bi se izpisali osebni podatki neznane osebe), medtem ko navedeni način poslovanja po mnenju Pooblaščenca ne bi bil v nasprotju ne z ZPlaP-UPB3 ne z ZVOP-
- Lepo vas pozdravljamo, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026