Prepisovanje podatkov z osebnega dokumenta ob pologu gotovine + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.07.2022 Številka: 07121-1/2022/807 Kategorije: --> Kategorije: Bančništvo, Informiranje posameznika, Pravica do seznanitve z lastnimi osebnimi podatki, Pravne podlage Informacijski pooblaščenec (v nadaljevanju: IP) je dne 6. 7. 2022 prejel vaše elektronsko sporočilo, v katerem sprašujete, ali lahko bančni uslužbenec, ki je od vas ob pologu denarja zahteval osebni dokument, z dokumenta prepisuje podatke. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju v skladu z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 in 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Po mnenju IP bi banka ob izvajanju pologa gotovine lahko imela ustrezno podlago za obdelavo vaših osebnih podatkov, vključno s prepisovanjem le-teh z vašega osebnega dokumenta, in sicer bi pravno podlago lahko predstavljale zahteve Zakona o preprečevanju pranja denarja in financiranja terorizma (kar predstavlja pravno podlago po točki (
- c)prvega odstavka 6. člena Splošne uredbe). Banka je pri tem dolžna spoštovati vsa načela varstva osebnih podatkov, vključno z načelom najmanjšega obsega podatkov, ter vas seznaniti z ustreznimi informacijami o obdelavi vaših osebnih podatkov po 13. členu Splošne uredbe. Obrazložitev: Splošna uredba v prvem odstavku 6. člena[1] opredeljuje zakonite pravne podlage za obdelavo osebnih podatkov, in sicer: privolitev, sklenitev ali izvajanje pogodbe, izvajanje zakonskih zahtev oziroma izvajanje javnih nalog in zakoniti interesi, ki prevladajo nad interesi posameznika; pri tem je za zakonitost obdelave dovolj, da je izpolnjena ena od navedenih pravnih podlag – npr. če zakon banki nalaga pridobivanje določenih osebnih podatkov o posamezniku, banka za obdelavo teh osebnih podatkov ne potrebuje še privolitve oziroma dovoljenja posameznika. Banke so pri opravljanju storitev podvržene zahtevam številnih zakonov, ki jim med drugim nalagajo obdelavo (pridobivanje, hrambo…) različnih osebnih podatkov za različne namene (to so npr. Zakon o potrošniških kreditih, Zakon o preprečevanju pranja denarja in financiranja terorizma, Zakon o plačilnih storitvah, storitvah izdajanja elektronskega denarja in plačilnih sistemih itd.). Lahko pa banka osebne podatke posameznikov obdeluje tudi na drugih pravnih podlagah iz prvega odstavka 6. člena Splošne uredbe, zlasti na podlagi privolitve ali zaradi sklepanja ali izvajanja pogodbe. V vsakem primeru je banka dolžna posameznikom ob pridobivanju njihovih osebnih podatkov nuditi ustrezne informacije v skladu s 13. členom[2] Splošne uredbe, med drugim o namenu in pravni podlagi obdelave, obenem pa je dolžna spoštovati osnovna načela obdelave osebnih podatkov iz prvega odstavka 5. člena[3] Splošne uredbe, med drugim načelo najmanjšega obsega podatkov, ki določa, da morajo biti podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Glede na navedeno bi banka po mnenju IP ob izvajanju pologa gotovine lahko imela podlago za obdelavo vaših osebnih podatkov (ki so ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo), vključno s prepisovanjem le-teh z vašega osebnega dokumenta, če to izhaja iz zakonskih zahtev (kar predstavlja pravno podlago po točki (
- c)prvega odstavka 6. člena Splošne uredbe), pri čemer vas je bila banka ob pridobivanju vaših osebnih podatkov dolžna seznaniti z informacijami po 13. členu Splošne uredbe, vključno z namenom in pravno podlago obdelave. Zakonsko zahtevo za obdelavo (vpogledovanje v in prepisovanje) vaših osebnih podatkov bi v danem primeru lahko predstavljale določbe Zakona o preprečevanju pranja denarja in financiranja terorizma (Uradni list RS, št. 48/22, v nadaljevanju: ZPPDFT-2), ki govorijo o obveznosti pregleda stranke (21. člen in naslednji), za tolmačenje katerega pa IP ni pristojen (temveč je to Urad za preprečevanje pranja denarja). V primeru, da se želite seznaniti z informacijami, ki bi vam jih banka na podlagi 13. člena Splošne uredbe morala zagotoviti ob pridobivanju vaših osebnih podatkov, oziroma se želite seznaniti s podatki, ki jih banka vodi o vas, vam predlagamo, da naknadno zahtevate informacije po 13. členu Splošne uredbe oziroma da zahtevate dostop do vaših osebnih podatkov in informacije v skladu s 15. členom[4] Splošne uredbe (pri tem si lahko pomagate z obrazcem, ki je objavljen na spletni strani IP). Banka vam zahtevane informacije mora zagotoviti, v primeru, da vam jih ne bi želela posredovati, ali da bi se izkazalo, da za obdelavo vaših osebnih podatkov v smislu prepisovanja podatkov z osebnega dokumenta ni imela ustrezne pravne podlage, ali da je od vas zahtevala več podatkov, kot jih potrebuje za dosego zakonitega namena, pa lahko pri IP podate prijavo oziroma pritožbo. Na podlagi odgovora banke glede pravne podlage za obdelavo vaših osebnih podatkov ob pologu gotovine, tj. informacij po 13. členu Splošne uredbe, se boste lahko v primeru, da boste ocenili, da gre za kršitev predpisov, ki jih banka navaja kot pravno podlago za obdelavo vaših osebnih podatkov, in da kršitev presega pristojnosti IP, obrnili tudi na kak drug pristojni nadzorni organ (npr. Urad za preprečevanje pranja denarja ali Banko Slovenije). Lep pozdrav, Pripravila: Mojca Leitinger Okršlar, državna nadzornica za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka [1] Prvi odstavek 6. člena Splošne uredbe se glasi: Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: (
- a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
- b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
- c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
- d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
- e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
- f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Pri tem se točka (
- f)prvega pododstavka ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog. [2] Prvi odstavek 13. člena Splošne uredbe se glasi: Kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotovi vse naslednje informacije: (
- a)identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja; (
- b)kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja; (
- c)namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo; (
- d)kadar obdelava temelji na točki (
- f)člena 6
(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba; (
- e)uporabnike ali kategorije uporabnikov osebnih podatkov, če obstajajo; (
- f)kadar je ustrezno, dejstvo, da upravljavec namerava prenesti osebne podatke v tretjo državo ali mednarodno organizacijo, ter obstoj ali neobstoj sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49
(1)sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo. Drugi odstavek istega člena nadalje določa, da upravljavec takrat, ko pridobi osebne podatke posamezniku, na katerega se ti nanašajo, zagotovi dodatne informacije, ki so potrebne za zagotovitev poštene in pregledne obdelave: (
- a)obdobje hrambe osebnih podatkov ali, kadar to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; (
- b)obstoj pravice, da se od upravljavca zahtevajo dostop do osebnih podatkov in popravek ali izbris osebnih podatkov ali omejitev obdelave v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora obdelavi in pravice do prenosljivosti podatkov; (
- c)kadar obdelava temelji na točki (
- a)člena 6
(1)ali točki (a) člena 9
(2), obstoj pravice, da se lahko privolitev kadar koli prekliče, ne da bi to vplivalo na zakonitost obdelave podatkov, ki se je na podlagi privolitve izvajala do njenega preklica; (
- d)pravico do vložitve pritožbe pri nadzornem organu; (
- e)ali je zagotovitev osebnih podatkov statutarna ali pogodbena obveznost ali pa obveznost, ki je potrebna za sklenitev pogodbe, ter ali mora posameznik, na katerega se nanašajo osebni podatki, zagotoviti osebne podatke ter kakšne so morebitne posledice, če se taki podatki ne zagotovijo, in (
- f)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22
(1)in
(4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki. [3] Določba 5. člena Splošne uredbe z naslovom Načela v zvezi z obdelavo osebnih podatkov se glasi: 1. Osebni podatki so: (
- a)obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki („zakonitost, pravičnost in preglednost“); (
- b)zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89
(1)ne velja za nezdružljivo s prvotnimi nameni („omejitev namena“); (
- c)ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo („najmanjši obseg podatkov“); (
- d)točni in, kadar je to potrebno, posodobljeni; sprejeti je treba vse razumne ukrepe za zagotovitev, da se netočni osebni podatki brez odlašanja izbrišejo ali popravijo ob upoštevanju namenov, za katere se obdelujejo („točnost“); (
- e)hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko shranjujejo za daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89
(1), pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki („omejitev shranjevanja“); (
- f)obdelujejo se na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo z ustreznimi tehničnimi ali organizacijskimi ukrepi („celovitost in zaupnost“). 2. Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati („odgovornost“). [4] Določba 15. člena Splošne uredbe opredeljuje pravico dostopa posameznika, na katerega se nanašajo osebni podatki, in se glasi: 1. Posameznik, na katerega se nanašajo osebni podatki, ima pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije: (
- a)namene obdelave; (
- b)vrste zadevnih osebnih podatkov; (
- c)uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah; (
- d)kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; (
- e)obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi; (
- f)pravico do vložitve pritožbe pri nadzornem organu; (
- g)kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom; (
- h)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22
(1)in
(4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.
- Kadar se osebni podatki prenesejo v tretjo državo ali mednarodno organizacijo, ima posameznik, na katerega se nanašajo osebni podatki, pravico biti obveščen o ustreznih zaščitnih ukrepih v skladu s členom 46 v zvezi s prenosom.
- Upravljavec zagotovi kopijo osebnih podatkov, ki se obdelujejo. Za dodatne kopije, ki jih zahteva posameznik, na katerega se nanašajo osebni podatki, lahko upravljavec zaračuna razumno pristojbino ob upoštevanju administrativnih stroškov. Kadar posameznik, na katerega se nanašajo osebni podatki, zahtevo predloži z elektronskimi sredstvi, in če posameznik, na katerega se nanašajo osebni podatki, ne zahteva drugače, se informacije zagotovijo v elektronski obliki, ki je splošno uporabljana.
- Pravica do pridobitve kopije iz odstavka 3 ne vpliva negativno na pravice in svoboščine drugih. O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026