Pravice do izbrisa ob odprtju računa za spletno denarnico + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 24.03.2021 Številka: 07121-1/2021/592 Kategorije: --> Kategorije: Bančništvo, Pravica do pozabe Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše sporočilo, v katerem nas prosite za mnenje glede dileme, ki se je pojavila ob zahtevi za izbris osebnih podatkov in računa v sistemu Revolut. Vprašanje posredujete skladno z usmeritvami DPO omenjenega podjetja, ki naj bi naš odgovor upošteval pri izvedbi morebitnih dodatnih izbrisov. Kot ste pojasnili ste pri podjetju Revolut želeli vzpostaviti spletno storitev/denarnico in vzpostaviti račun preko mobilnega telefona (iPhone). Pri registraciji ste naleteli na težave, zato ste se v procesu registracije odločili, da boste storitev in račun ukinili/izbrisali še pred rokom za prijavo na FURS. Postopek izbrisa se glede na usmeritve in možnosti v informacijski rešitvi Revolut izvede lahko šele, ko je račun v celoti vzpostavljen. Prej možnost/funkcija za izbris računa ali delne registracije ni na voljo. Opis, da se lahko izbriše s strani DPO (kar je DPO zatrdil v odgovorih) v fazi potrjevanja, v javno objavljenih navodilih ni na voljo ali zapisan. Praktično takoj po registraciji ste izbrali ukaz za izbris, a dodatno opazili, da je postopek potrjevanja izbrisa potekal tako, da je sistem želel potrditev na e-poštni naslov za račun, ki je bil izbrisan in s tem posledično ponovno zavedel delni postopek o registraciji ter na novo sprejel določene vaše osebne podatke ter e-poštni naslov. Zaradi tega ste zaprosili za pomoč odgovorno osebo Revoluta (DPO), ki je posredovala več pojasnil in delno izvedla izbris skladno z vašo zahtevo za izbris podatkov po EU uredbi (GDPR). Zaradi te zahteve je Revolut oba računa (drugi se je ob potrjevanju izbrisa vzpostavil samodejno) postavil v status izbrisa in vse osebne podatke drugega računa v celoti izbrisal. Za račun, ki ste ga ustvarili v postopku potrjevanja, pa je Revolut zatrdil, da vaše zahteve za izbris vseh osebnih podatkov zaradi izvedene identifikacije (ta vključuje videoidentifikacijo ter kopijo osebne izkaznice) ne more izvesti, saj jih morajo zadržati glede na zakonodajo vezano na pranja denarja, četudi v vašem primeru ni prišlo do nobene transakcije ali vzpostavitve kakršnekoli kreditne ali spletne plačilne kartice. Zaradi omenjenega vljudno prosite za stališče o tem, ali je v omenjenem primeru zadržanje izbrisa podatkov upravičeno, ali bi morala biti zahteva izvršena takoj oziroma v katerem roku. Ponudnik je podjetje v skupini Revolut in se nahaja v EU, kar je DPO v odgovorih potrdil. V politiki zasebnosti, poglavje 14 so pri pogojih za izbris opisane tudi izjeme - lokalna zakonodaja med kar GDPR spada, saj ima Revolut objavljene posebne veljavnosti vezane na druge akte o varovanju osebnih podatkov na drugih geografskih področjih. Prav tako pa za morebitne postopke ali dokazovanje poslovne aktivnosti Revolut za konkretni primer ne potrebuje vseh podatkov zbranih po
- poglavju. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da pravico posameznika do izbrisa oz. pozabe osebnih podatkov opredeljuje člen 17 Splošne uredbe. Ta določa naslednje:
- Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov: (a) | osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani; (b) | posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6
(1)ali točko (a) člena 9
(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga; (c) | posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21
(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21
(2); (
- d)| osebni podatki so bili obdelani nezakonito; (
- e)| osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca; (
- f)| osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8
(1). 2. Kadar upravljavec objavi osebne podatke in je v skladu z odstavkom 1 osebne podatke obvezan izbrisati, ob upoštevanju razpoložljive tehnologije in stroškov izvajanja sprejme razumne ukrepe, vključno s tehničnimi, da upravljavce, ki obdelujejo osebne podatke, obvesti, da posameznik, na katerega se nanašajo osebni podatki, od njih zahteva, naj izbrišejo morebitne povezave do teh osebnih podatkov ali njihove kopije. 3. Odstavka 1 in 2 se ne uporabljata, če je obdelava potrebna: (
- a)| za uresničevanje pravice do svobode izražanja in obveščanja; (
- b)| za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu; (
- c)| iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (
- h)in (
- i)člena 9
(2)ter členom 9
(3); (d) | za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89
(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali (
- e)| za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov. IP poudarja, da v okviru nezavezujočih mnenje ne more presojati, ali je bilo ravnanje zavezanca v smislu zakonitosti obdelave osebnih podatkov ustrezno ali ne, saj se lahko to ugotavlja zgolj v okviru bodisi uradnega inšpekcijskega postopka oziroma v okviru pritožbenega postopka glede uveljavljanja pravic posameznika, v katerih se pridobi vsa potrebna dokumentacija, ugotovi dejansko stanje ter zagotavlja tudi vse pravice strank in udeleženih v postopku. Glede na navedeno lahko podamo le splošno stališče, za konkreten odgovor pa bi morali v primeru nestrinjanja z ravnanjem zavezanca sprožiti pritožbeni postopek. Ena od izjem, ko se pravica do izbrisa ne uporablja, je opredeljena v točki (
- b)3. odstavka člena 17 Splošne uredbe in sicer ko gre za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu. V uradnem postopku bi bilo tako treba predvsem ugotoviti, ali obstaja takšna podlaga v pravu EU ali v pravu države članice – glede na konkretne okoliščine – predvsem na področju zakonodaje o preprečevanju pranja denarja, torej ali že tudi sama vzpostavitev računa po izvedeni (video)identifikaciji stranke terja določeno hrambo osebnih podatkov tudi če ni bila izvršena nobena transakcija in je bil račun ukinjen. Če menite, da gre v primeru kot ga opisujete, za kršitev pravil s področja varstva osebnih podatkov, lahko na IP naslovite prijavo oziroma pritožbo. Ker gre v opisanem primeru za družbo, ki ima sedež v Litvi, zadevo IP obravnava skladno s poglavjem 7 Splošne uredbe, kjer je skladno s členom 56 nadzorni organ glavnega sedeža upravljavca pristojen, da deluje kot vodilni nadzorni organ za obdelavo, ki jo izvaja ta upravljavec na čezmejni ravni. IP pa v postopku zoper zavezanca deluje kot zadevni nadzorni organ, skladno s členom 56, členom 60 in 61 Splošne uredbe. S spoštovanjem, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026