Pridobivanje podatkov za namen nadzora na področju preprečevanja tveganj pranja denarja in financiranja terorizma + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 23.07.2021 Številka: 07120-1/2021/376 Kategorije:Bančništvo, Ocene učinkov v zvezi z varstvom podatkov , Pridobivanje OP iz zbirk --> Kategorije: Bančništvo, Pridobivanje OP iz zbirk, Ocene učinkov v zvezi z varstvom podatkov Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje glede pridobivanja podatkov za namen nadzora na področju preprečevanja tveganj pranja denarja in financiranja terorizma (v nadaljevanju PD/FT). Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati, niti ne more vnaprej potrjevati posameznih rešitev ali konkretnih dejanj obdelave osebnih podatkov z vidika skladnosti z obstoječimi predpisi s področja varstva osebnih podatkov. Primarna odgovornost upravljavca je, da poskrbi za zakonito obdelavo osebnih podatkov. Zato IP v okviru mnenja ne more podati dokončnega odgovora na vprašanje, ali je predstavljena pravna podlaga za pridobivanje podatkov od Urada za preprečevanje pranja denarja (v nadaljevanju Urad) in AJPES za namene analize in ocene tveganj na področju PD/FT zaradi načrtovanja in izvajanja ukrepov nadzora Banke Slovenije na tem področju ustrezna ter ali je glede na pravne podlage primeren ukrep šifriranja osebnih podatkov Urada o transakcijah posameznikov, torej ali je predstavljena obdelava osebnih podatkov dopustna. Presoja zakonitosti posameznih obdelav oziroma spoštovanje izvajanja zakonodaje s področja varstva osebnih podatkov se opravlja v postopku inšpekcijskega nadzora, v katerem so zagotovljene tudi vse varovalke in procesne pravice udeležencem postopka. Neobvezna mnenja IP torej niso namenjena presoji zakonitosti posameznih obdelav in ravnanj konkretnih upravljavcev, temveč podaji načelnih in splošnih stališč glede interpretacije določb zakonov, ki se nanašajo na varstvo osebnih podatkov. IP pa opozarja na oceno učinka v zvezi z varstvom podatkov po členu 35 Splošne uredbe. Ta upravljavcu omogoča, da na sistematičen način preveri skladnost predvidenih obdelav osebnih podatkov. Po prvem odstavku navedene določbe mora upravljavec pred obdelavo opraviti oceno učinka predvidenih dejanj obdelave na varstvo osebnih podatkov, kadar je možno, da bi lahko vrsta obdelave, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov. Skladno s četrtim odstavkom istega člena nadzorni organ določi in objavi seznam vrst dejanj obdelave, za katere velja zahteva po oceni učinka v zvezi z varstvom podatkov. Upravljavec mora torej izvesti oceno učinka v zvezi z varstvom podatkov, če gre za obdelavo iz seznama obdelav, ko je takšna predhodna ocena nujna. IP je določil seznam dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov in je objavljen na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Seznam_dejanj_obdelav_osebnih_podatkov__za_katere_velja_zahteva_po_izvedbi_ocene_ucinka_v_zvezi_z_varstvom_osebnih_podatkov.pdf. Eden izmed kriterijev je tudi množičnost obdelave osebnih podatkov, podkriteriji pa so število (ali delež) zadevnih posameznikov, obseg podatkov, trajanje ali stalnost obdelave ter geografski obseg obdelave. Kot primer je navedena obdelava podatkov o komitentih in njihovi uporabi bančnih storitev v bankah in hranilnicah. Glede na to IP meni, da je v primeru, ki ga opisujete, izvedba predhodne ocene učinka glede varstva osebnih podatkov obvezna. Upravljavec pa se nato pred obdelavo posvetuje z nadzornim organom, kadar je iz ocene učinka razvidno, da bi obdelava povzročila veliko tveganje, če upravljavci ne bi sprejeli ukrepov za ublažitev tveganja (člen 36 Splošne uredbe). Ocena učinka skladno s členom 35
(7)Splošne uredbe zajema vsaj: (
- a)sistematičen opis predvidenih dejanj obdelave in namenov obdelave, kadar je ustrezno pa tudi zakonitih interesov, za katere si prizadeva upravljavec; (
- b)oceno potrebnosti in sorazmernosti dejanj obdelave glede na njihov namen; (
- c)oceno tveganj za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, iz odstavka 1, ter (
- d)ukrepe za obravnavanje tveganj, vključno z zaščitnimi ukrepi, varnostne ukrepe ter mehanizme za zagotavljanje varstva osebnih podatkov in za dokazovanje skladnosti s to uredbo, ob upoštevanju pravic in zakonitih interesov posameznikov, na katere se nanašajo osebni podatki, ter drugih oseb, ki jih to zadeva. Vse informacije o tem, kaj so ocene učinka, kdaj je njihova izvedba obvezna in kako se jih izvede, vključno s smernicami na to temo, so dostopne na povezavi: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/ocena-u%C4%8Dinka-v-zvezi-z-varstvom-podatkov/. V zaprosilu za mnenje med drugim izpostavljate, da je bila v Predlog Zakona o preprečevanju pranja denarja in financiranja terorizma (EVA: 2021-1611-0001; ZPPDFT-2) uvrščena nova določba, ki v prvem odstavku 163. člena predloga zakona določa, da Urad predloži nadzornim organom podatke o osebah in transakcijah iz 73. člena predloga zakona (trenutno 68. člen ZPPDFT-1) ter o številu oseb in transakcij iz 74. člena predloga zakona (trenutno 69. člen ZPPDTF-1), ki jih sporočajo zavezanci, za katere so posamezni nadzorni organi pristojni, in ki jih potrebujejo za izvajanje nadzora, kar vključuje tudi izvajanje analiz za načrtovanje nadzorniških aktivnosti ter izdajanje priporočil in smernic. IP pa opozarja, da drugi odstavek tega člena predvideva, da Urad pošlje te podatke v anonimizirani obliki. V obrazložitvi tega člena je zapisano, da gre v takšnih primerih za pridobivanje večjega števila podatkov v zvezi z večjim številom zavezancev skupaj, ki vsebujejo tudi osebne in potencialno tudi občutljive osebne podatke, zato se ti podatki nadzornim organom posredujejo v anonimizirani obliki. Način anonimiziranja in posredovanja teh podatkov pa se podrobneje določi v podzakonskem aktu. Glede na tak zakonodajni predlog IP dvomi, da le ukrep šifriranja v zadostni meri zmanjšuje tveganja za posameznike, na katere se nanašajo osebni podatki, saj bi bili v takem primeru podatki le psevdonimizirani in ne anonimizirani. Psevdonimizirani podatki pa so še vedno osebni podatki, ki jih varuje Splošna uredba in katerih obdelava mora potekati v skladu s predpisi, ki veljajo za obdelavo osebnih podatkov. Kot že pojasnjeno, pa IP kot nadzorni organ ne more namesto upravljavcev izvajati ocen učinka ali se do konkretnih rešitev opredeljevati v okviru nezavezujočih mnenj, temveč lahko zakonitost obdelave osebnih podatkov presoja le v okviru inšpekcijskega postopka. Lep pozdrav, Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka Pripravila: Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026