Preprečevanje goljufij - IPRS

Preprečevanje goljufij + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 14.10.2015 Številka: 0712-1/2015/2606 Kategorije:Bančništvo --> Kategorije: Bančništvo Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem navajate, da namerava vaša banka vzpostaviti namenski informacijski sistem za preprečevanje prevar in goljufij (angl. fraud prevention) pri prometu na bančnih računih oz. kreditnih karticah vaših komitentov. Opisani sistem bi imel dostop do podatkov o plačilnih transakcijah in bi na njih s pomočjo določenih pravil iskal neobičajne vzorce oz. korelacije (npr. več nenadnih transakcij na še nepoznani račun v tujini). Tako identificirane sumljive transakcije bi javil ekipi varnostnih analitikov, ki bi jih potem še podrobneje ročno preiskala oz. preverila. Analitik bi v tem primeru prejel seznam spornih transakcij, zraven pa še širše podatke o komitentu iz drugih lastnih evidenc (npr. evidenc komitentov, plačilnih kartic, transakcij) in podobno. S pomočjo teh podatkov bi lahko pridobil širši kontekst o poslovanju komitenta in na podlagi tega tudi ocenil, ali bi pri sporni transakciji lahko bili podani elementi goljufije.Navedene aktivnosti v vaši banki uvajate prvič, in sicer tako po lastni iniciativi kot zavoljo pritiska nekaterih partnerjev (še zlasti izdajateljev kreditnih kartic), za katere procesirate plačila. Projekt bi vodila za to posebej dodeljena oseba, ki bi skrbela tudi za pripravo in izboljšanje pravil oz. za analiziranje in ovrednotenje njihovih rezultatov. Delovanje projekta bi tudi ustrezno opredelili v notranjih pravilnikih.Zanima vas, ali bi bila opisana obdelava podatkov o plačilnih transakcijah oz. potem še pridobivanje drugih podatkov o imetnikih sumljivih računov v skladu s pravili varstva osebnih podatkov.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke
4. odstavka
5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP meni, da je banka na podlagi svoje zakonsko določene odgovornosti za neodobrene plačilne transakcije upravičena izvajati spremljanje plačilnih transakcij z namenom odkrivanja in preprečevanja prevar in goljufij, in sicer pod sledečimi pogoji:• pred začetkom izvajanja tovrstnih rešitev je treba zagotoviti veljavno pravno podlago za obdelavo osebnih podatkov o komitentih,• zagotoviti mora ustrezno transparentnost z vnaprejšnjim obveščanjem komitentov,• ustrezno mora urediti dostopne pravice uporabnikov navedenega informacijskega sistema (minimalni obseg, zaupanja vredne osebe),• zagotoviti mora anonimizacijo ali minimizacijo osebnih podatkov v opozorilih analitikom,• upoštevati mora stroge ustavne in zakonske pogoje glede varovanja tajnosti bančnih transakcij.Obrazložitev:Sprašujete, ali pri vzpostavitvi namenskega bančnega informacijskega sistema, ki bi spremljal transakcije vseh komitentov in bi v primeru, da bi na podlagi ustreznih poslovnih pravil identificiral sumljive transakcije, te skupaj s podrobnejšimi podatki o komitentu posredoval varnostnim analitikom v preverbo in ukrepanje, obstojijo kakšni posebni zadržki z vidika varstva osebnih podatkov.Podatki o plačilnih transakcijah v breme transakcijskega računa, kreditnih kartic in drugih plačilnih instrumentov, ki bi jih preverjal takšen informacijski sistem, kot tudi ostali podatki, ki bi bili v primeru suma goljufije ali prevare posredovani varnostnemu analitiku, se nanašajo na posamičnega komitenta. V primeru, da je takšen komitent fizična oseba, predstavljajo ti podatki tudi osebne podatke v smislu
7. in
8. tč.
9. čl. ZVOP-
10. Posledično je obdelava navedenih podatkov za potrebe preprečevanja prevar in goljufij dopustna le, če za to obstoji veljavna pravna podlaga – tj. če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon (bodisi sam ZVOP-1 bodisi kak drug zakon) ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika (
11. odst.
12. čl. ZVOP-1).Delovanje bank v delu, ki zadeva vršenje plačilnih transakcij, prvenstveno ureja Zakon o plačilnih storitvah in sistemih (Uradni list RS, št. 58/09, 34/10, 9/11 in 32/12, v nadaljevanju ZPlaSS). Navedeni zakon določa pogoje za opravljanje plačilnih storitev v Republiki Sloveniji, obveznosti ponudnika tovrstnih storitev, oz. pravila upravljanja plačilnih sistemov. Glede sumljivih transakcij v
13. členu specifično določa, da sme ponudnik plačilnih storitev izvršiti plačilno transakcijo le, če je plačnik odobril plačilno transakcijo, tako da je podal soglasje za njeno izvršitev. Če ponudnik takšnega soglasja ne prejme (tipično zato, ker gre za goljufivo transakcijo, sproženo s strani tretje nepooblaščene osebe), gre za t.i. neodobreno plačilno transakcijo (
14. odst. istega člena). Ponudnik plačilnih storitev v tem primeru načeloma odgovarja za nastalo škodo (
15. člen ZPlaSS), razen če lahko dokaže, da je krivda zanjo na strani uporabnika ali drugih, izjemnih in za banko nepredvidljivih okoliščin (
16. odst. istega člena). Podrobnosti o uporabnikovi odgovornosti za neodobrene plačilne transakcije še podrobneje določa
17. člen ZPlaSS.Iz navedenih dveh členov izhaja, da je dokazno breme za izključitev ali omejitev odgovornosti banke za neodobreno plačilno transakcijo prvenstveno na strani banke, tako da mora v primeru pritožbe potrošnika banka dokazovati nepravilnosti na njegovi strani, in ne obratno. Navedene nepravilnosti pa se še pogosteje dogajajo v današnji dobi internetnega in mobilnega bančništva, kjer je dostop do bančnega sistema mogoč z uporabnikove lastne naprave, ki pogosto ni zavarovana v skladu z istimi varnostnimi standardi, ki zavezujejo banke in druge ponudnike plačilnih storitev. Do prav takih ugotovitev je prišla tudi Evropska centralna banka, ki v svojih Priporočilih za varnost spletnih plačil