← Slovenija

SISBON pojasnila - IPRS

SISBON pojasnila + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 15.11.2007 Številka: 0712-996/2007/2 Kategorije:Bančništvo --> Kategorije: Bančništvo Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne 07.11.2007 prejel vaš zgoraj navedeni dopis, ki ste ga s prilogami dopolnili dne 12.11.2007 in v katerem navajate, da so priprave na uvedbo sistema SISBON v zaključni fazi. V zvezi s tem ste nam v prilogi posredovali osnutke sledečih dokumentov: Dogovor o postavitvi in uporabi informacijskega sistema SISBON, Pravila poslovanja informacijskega sistema SISBON, besedilo pisne privolitve posameznika, ki bi jo uporabljali subjekti nebančnega poslovanja, tekst predstavitve SISBON-a, zloženka o SISBON-u, uporabniške priročnike ter sistem pooblastil in dostop do sistema SISBON. Pooblaščenca v zvezi s tem prosite:
  3. Da pregleda Dogovor o postavitvi in uporabi informacijskega sistema SISBON in besedilo pisne privolitve posameznika, ki bi jo uporabljali subjekti nebančnega poslovanja (Pristopnice) ter vas še preden gresta v dokončno potrditev na pristojne organe ZBS z vidika določb ZVOP-1 opozori, če je potrebno v dokumentih še karkoli spremeniti ali dopolniti.
  4. Da vam posreduje svoje stališče o tem, ali morajo banke v zvezi z informacijskim sistemom SISBON posebej prijaviti zbirke osebnih podatkov oziroma posredovati podatke iz kataloga zbirk osebnih podatkov, saj gre za obstoječe zbirke, za katere so vam banke že posredovale podatke, oziroma ali mora pogodbeni obdelovalec prijaviti to kot novo zbirko osebnih podatkov.
  5. Da vam posreduje svoje stališče o tem, ali Članica in Pristopnica, ki pri odločanju o odobritvi kredita vpogleda v podatke posameznika, ki se o njem vodijo v sistemu SISBON, lahko naredi izpis teh podatkov ter ta izpis shrani v kreditno mapo posameznika. V nadaljevanju vam na podlagi predstavljenega stanja ter na podlagi
  6. točke prvega odstavka
  7. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) in
  8. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje in stališča v zvezi z vašimi vprašanji, ki so podana izključno z vidika določb ZVOP-1:
  9. Pooblaščenec v zvezi s poslanim osnutkom Dogovora o postavitvi in uporabni informacijskega sistema SISBON meni, da poslani osnutek dogovora ustreza zahtevam določb ZVOP-
  10. Ob tem opozarja, da bo morala glede na posredovani tekst Dogovora pogodba s pogodbenim obdelovalcem (Družbo SRC.SI), ki je priloga tega Dogovora, vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov iz
  11. člena ZVOP-
  12. Takšen dogovor bo morala po mnenju Pooblaščenca vsebovati tudi pogodba s podjetjem ADACTA d.o.o., ki opravlja vzdrževanje in nadgradnjo programske opreme informacijskega sistema SISBON.
  13. V zvezi s poslanim besedilom pisne privolitve posameznika, ki bi jo uporabljale pristopnice oz. subjekti nebančnega poslovanja, to je subjekti, ki nimajo zakonske podlage za izmenjavo informacij o boniteti strank, Pooblaščenec meni, da bi bilo potrebno besedilo pisne privolitve dopolniti na ta način, da bo iz besedila razvidno, da posameznik dovoljuje obdelavo svojih osebnih podatkov le tistim bankam, hranilnicam, hranilno-kreditnim službam in drugim kreditnim ali nekreditnim ustanovam, ki so pristopile k Dogovoru o postavitvi in uporabi informacijskega sistema SISBON. Ker je v pisni privolitvi posameznika navedeno, da podpisani potrjuje, da je v celoti seznanjen s Pravili poslovanja informacijskega sistema SISBON in se z njimi v celoti strinja, je Pooblaščenec v zvezi s pisno privolitvijo posameznika pregledal tudi Pravila poslovanja informacijskega sistema SISBON iz novembra
  14. Pri tem je ugotovil, da bi bilo potrebno za zadostitev načelu zakonitosti in poštenosti (
  15. člen ZVOP-1) ter za zadostitev določbi
  16. alineje drugega odstavka
  17. člena ZVOP-1 dopolniti tekst pisne privolitve ali tekst prej navedenih Pravil. Iz dopolnjenega teksta bi moralo biti razvidno, ali je pridobivanje podatkov iz sistema SISBON ter vnos podatkov v sistem SISBON za pristopnico k Dogovoru obvezno ali prostovoljno ter predvsem to, kakšne bodo posledice, če posameznik pristopnici ne bo prostovoljno podal pisne privolitve za obdelavo svojih osebnih podatkov v okviru sistema SISBON. Pooblaščenec še predlaga, da se v Dogovor o poslovanju informacijskega sistema SISBON ali v Pravila poslovanja informacijskega sistema SISBON zapiše, da mora pristopnica k Dogovoru pred podpisom pisne privolitve posameznika posamezniku obvezno izročiti izvod Pravil poslovanja informacijskega sistema SISBON.
  18. Pooblaščenec glede na predstavljeno stanje ugotavlja, da se bodo vse članice in pristopnice k Dogovoru o postavitvi in uporabni informacijskega sistema SISBON štele kot upravljavci tistega dela osebnih podatkov v informacijskem sistemu SISBON, ki jih bodo same vnesle v navedeni sistem. Zaradi tega bo morala vsaka članica in pristopnica k Dogovoru o postavitvi in uporabni informacijskega sistema SISBON, ki ima več kot 50 zaposlenih, skladno z določbami
  19. člena ZVOP-1 vzpostaviti katalog zbirke osebnih podatkov tudi za zbirko SISBON - slovenski informacijski sistem bonitet, poleg tega pa bo morala skladno z določbami
  20. člena ZVOP-1, najmanj 15 dni pred pričetkom vnašanja osebnih podatkov v SISBON, Pooblaščencu za namene vodenja registra zbirk osebnih podatkov posredovati tudi podatke iz 1., 2., 4., 5., 6., 9., 10., 11.,
  21. in
  22. točke kataloga podatkov.
  23. Po mnenju Pooblaščenca članice in pristopnice v postopku odločanja o odobritvi kredita lahko poleg vpogleda v osebne podatke v informacijskem sistemu SISBON, naredijo tudi izpis teh podatkov ter takšen izpis hranijo v kreditni mapi, ki se nanaša na posameznika. Pooblaščenec v zvezi z izpisovanjem osebnih podatkov iz sistema SISBON še pripominja, da je pri izpisovanju podatkov iz sistema SISBON potrebno vedno upoštevati načelo sorazmernosti iz
  24. člena ZVOP-1, kar pomeni, da je izpisovanje podatkov dopustno v tistih primerih, ko je to potrebno in primerno glede na namene, za katere se takšen izpis opravi. O b r a z l o ž i t e v:
  25. Dogovor o postavitvi in uporabi informacijskega sistema SISBON Pooblaščenec po pregledu poslanega osnutka Dogovora o postavitvi in uporabni informacijskega sistema SISBON meni, da poslani osnutek dogovora ustreza zahtevam določb ZVOP-
  26. Glede na to, da Dogovor o postavitvi in uporabni informacijskega sistema SISBON ne vsebuje takšnega dogovora o postopkih in ukrepih za zavarovanje osebnih podatkov, ki bi v zvezi s pogodbeno obdelavo osebnih podatkov zadostil zahtevam drugega odstavka
  27. člena ZVOP-1, Pooblaščenec opozarja, da bo morala pogodba z Družbo SRC.SI, ki je priloga Dogovora o postavitvi in uporabni informacijskega sistema SISBON, vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov iz
  28. člena ZVOP-
  29. Po določbah prvega odstavka
  30. člena ZVOP-1 lahko upravljavec osebnih podatkov ali od njega pooblaščena oseba posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
  31. člena tega zakona. V drugem odstavku iztega člena je nadalje še določeno, da se medsebojne pravice in obveznosti uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
  32. člena tega zakona. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz
  33. člena tega zakona. Zgoraj navedene določbe drugega
  34. člena ZVOP-1 z vidika določb
  35. in
  36. člena ZVOP-1 pomenijo, da mora biti v pogodbah s pogodbenimi obdelovalci jasno določeno, s kakšnimi postopki in ukrepi mora pogodbeni obdelovalec varovati prostore, kjer se nahajajo nosilci osebnih podatkov, s kakšnimi postopki in ukrepi mora varovati sistemsko programsko in aplikativno programsko opremo, s katero se obdelujejo osebni podatki, s kakšnimi postopki in ukrepi se preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih omrežjih, s kakšnimi postopki in ukrepi se zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov ter s kakšnimi postopki in ukrepi se omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil. Po mnenju Pooblaščenca se morajo določbe
  37. člena ZVOP-1 uporabiti tudi v primerih, ko upravljavec osebnih podatkov vzdrževanje strojne, sistemske in aplikativne opreme, ki služi za obdelavo osebnih podatkov, zaupa drugi pravni ali fizični osebi. Zaradi tega bi morala po mnenju Pooblaščenca dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov vsebovati tudi pogodba s podjetjem ADACTA d.o.o., ki opravlja vzdrževanje in nadgradnjo programske opreme informacijskega sistema SISBON.
  38. Pisna privolitev posameznika Osebna privolitev posameznika je v
  39. točki
  40. člena ZVOP-1 definirana kot prostovoljna izjava volje posameznika, da se lahko njegovi osebni podatki obdelujejo za določen namen, in je dana na podlagi informacij, ki mu jih mora zagotoviti upravljavec po tem zakonu. Iz citirane definicije izraza »osebna privolitev posameznika« ter iz načela zakonitosti in poštenosti pri obdelavi osebnih podatkov (
  41. člen ZVOP-1) izhaja, da se osebna privolitev posameznika lahko šteje kot veljavna pravna podlaga za obdelavo osebnih podatkov le v primeru, če je bil posameznik pred podajo osebne privolitve jasno seznanjen z namenom obdelave osebnih podatkov ter, če so mu bile pred podajo osebne privolitve s strani upravljavca osebnih podatkov dane informacije, ki jih določa ZVOP-
  42. Informacije, ki jih mora upravljavec osebnih podatkov dati posamezniku ob neposrednem zbiranju osebnih podatkov, so določene v prvem in drugem odstavku
  43. člena ZVOP-1, kjer je določeno:

(1)Če se osebni podatki zbirajo neposredno od posameznika, na katerega se nanašajo, mora upravljavec osebnih podatkov ali njegov zastopnik posamezniku sporočiti naslednje informacije, če z njimi posameznik še ni seznanjen: – podatke o upravljavcu osebnih podatkov in njegovem morebitnem zastopniku (osebno ime, naziv oziroma firma in naslov oziroma sedež), – namen obdelave osebnih podatkov.
(2)Če je glede na posebne okoliščine zbiranja osebnih podatkov iz prejšnjega odstavka potrebno, da se zagotovi zakonita in poštena obdelava osebnih podatkov posameznika, mora oseba iz prejšnjega odstavka posamezniku sporočiti tudi dodatne informacije, če posameznik z njimi še ni seznanjen, zlasti: – navedbo uporabnika ali vrste uporabnikov njegovih osebnih podatkov, – navedbo, ali je zbiranje osebnih podatkov obvezno ali prostovoljno, ter možne posledice, če ne bo prostovoljno podal podatkov, – informacijo o pravici do vpogleda, prepisa, kopiranja, dopolnitve, popravka, blokiranja in izbrisa osebnih podatkov, ki se nanašajo nanj. Pooblaščenec po pregledu osnutka pisne privolitve posameznika ugotavlja, da iz uvodnega teksta pisne privolitve, ki se prične: »dovoljujem bankam, hranilnicam, hranilno-kreditnim službam in drugim kreditnim ali nekreditnim ustanovam, ki prodajajo blago ali storitve na kredit oz. z odloženim plačilom …..«, ni dovolj jasno razvidno, kateri subjekti bodo upravljavci in uporabniki njegovih osebnih podatkov. Zaradi tega je potrebno po mnenju Pooblaščenca besedilo pisne privolitev dopolniti na ta način, da bo iz besedila razvidno, da posameznik dovoljuje obdelavo svojih osebnih podatkov le tistim bankam, hranilnicam hranilno-kreditnim službam in drugim kreditnim ali nekreditnim ustanovam, ki so pristopile k Dogovoru o postavitvi in uporabi informacijskega sistema SISBON. Na podlagi takšnega določila v pisni privolitvi posameznika, bo lahko posameznik z vpogledom v javno objavljen seznam članic in pristopnic k Dogovoru vedno dobil informacijo o tem, kateri subjekti bodo uporabniki njegovih osebnih podatkov, s čimer bo v celoti zadoščeno zahtevi iz
  1. alineje drugega odstavka
  2. člena ZVOP-
  3. Po pregledu posredovanih Pravil poslovanja informacijskega sistema SISBON Pooblaščenec še ugotavlja, da v navedenih Pravilih, na katere se sklicuje Pisna privolitev posameznika, ni v zadostni meri zadoščeno načelu poštenosti in zakonitosti iz
  4. člena ZVOP-1 ter zahtevi iz zgoraj citirane določbe
  5. alineje drugega odstavka
  6. člena ZVOP-
  7. Iz navedenih pravil namreč ni jasno razvidno, ali je pridobivanje podatkov iz sistema SISBON ter vnos osebnih podatkov v sistem SISBON za pristopnico obvezno ali prostovoljno, poleg tega pa tudi ni razvidno, kakšne bodo posledice, če posameznik pristopnici ne bo prostovoljno podal pisne privolitve za obdelavo svojih osebnih podatkov v okviru sistema SISBON. Glede na to, da Zakon o bančništvu (ZBan-1; Uradni list RS, št. 131/06) pristopnicam k Dogovoru o postavitvi in uporabi informacijskega sistema SISBON ne daje pravne podlage za izmenjavo osebnih podatkov o boniteti svojih strank (fizičnih oseb), bo moral biti posameznik ob sklepanju pogodbe s pristopnico z namenom, da se zagotovi poštena in zakonita obdelava njegovih osebnih podatkov, pred podpisom pisne privolitve jasno seznanjen s tem, da svojo pisno privolitev daje prostovoljno, ter kakšne bodo posledice, če ne bo prostovoljno podal svoje pisne privolitve oz. pristopnici ne bo dovolil obdelave svojih osebnih podatkov v okviru sistema SISBON. Ker so informacije, ki jih je po določbah
  8. člena ZVOP-1 ob zbiranju osebnih podatkov potrebno posredovati posamezniku, v glavnem določene v Pravilih poslovanja informacijskega sistema SISBON, Pooblaščenec še opozarja, da bo obravnavano besedilo pisne privolitve posameznika zadostilo določbam
  9. in
  10. točke
  11. člena ter določbam
  12. člena in prvega in drugega odstavka
  13. člena ZVOP-1 le v primeru, če bo posamezniku pred podpisom pisne privolitve dejansko dana možnost, da se seznani s Pravili poslovanja informacijskega sistema SISBON. Zaradi tega Pooblaščenec predlaga, da se v Dogovor o poslovanju informacijskega sistema SISBON ali v Pravila poslovanja informacijskega sistema SISBON zapiše, da mora Pristopnica pred podpisom pisne privolitve posameznika posamezniku obvezno izročiti izvod Pravil poslovanja informacijskega sistema SISBON. Glede na to, da je izmenjava informacij o boniteti strank za banke in hranilnice obvezna in določena z zakonom (215.,
  14. in 412 člen ZBan-1), zaradi česar banke in hranilnice za izmenjavo informacij o boniteti strank ne potrebujejo osebne privolitve posameznika, Pooblaščenec meni, da bi banke in hranilnice komitentom z namenom dajanja informacij o sistemu SISBON, lahko namesto Pravil poslovanja informacijskega sistema SISBON, dajale tudi pripravljeno zloženko.
  15. Katalogi zbirk osebnih podatkov in register zbirk osebnih podatkov Pooblaščenec po pregledu posredovanega gradiva ugotavlja, da vzpostavitev Informacijskega sistema SISBON nedvomno pomeni vzpostavitev nove zbirke osebnih podatkov, v kateri se bodo obdelovali podatki, ki jih bodo v zbirko vnašale oziroma posredovale članice in pristopnice k Dogovoru o postavitvi in uporabi informacijskega sistema SISBON. Pooblaščenec glede na predstavljeno stanje še ugotavlja, da bo vsaka članica in pristopnica v sistemu SISBON lahko popravljala in ažurirala le tisti del osebnih podatkov, ki jih je sama vnesla v sitem, torej se bo vsaka od članic in pristopnice k Dogovoru štela kot upravljavec tistega dela osebnih podatkov v informacijskem sistemu SISBON, ki vnesla v sistem. V primeru informacijskega sistema SISBON, v katerega se bodo posredovale oziroma združevale določene vrste osebnih podatkov iz zbirk osebnih podatkov, ki jih vodijo članice in pristopnice, gre po mnenju Pooblaščenca nedvomno za nov strukturiran niz osebnih podatkov, ki ustreza definiciji zbirke osebnih podatkov iz
  16. točke
  17. člena ZVOP-
  18. Zbirka osebnih podatkov SISBON bo namreč fizično in programsko ločena od ostalih zbirk osebnih podatkov članic in pristopnic, zaradi česar bodo morale članice in pristopnice kot upravljavci svojega dela zbirke skladno z določbami
  19. člena ZVOP-1 vzpostaviti katalog zbirke osebnih podatkov tudi za novo nastalo zbirko osebnih podatkov, to je za zbirko SISBON – slovenski informacijski sistem bonitet. Poleg tega bodo morale članice in pristopnice skladno z določbami
  20. člena ZVOP-1, najmanj 15 dni pred pričetkom vnašanja osebnih podatkov v SISBON, Pooblaščencu za namene vodenja registra zbirk osebnih podatkov posredovati podatke iz 1., 2., 4., 5., 6., 9., 10., 11.,
  21. in
  22. točke kataloga podatkov. Obveznosti vzpostavitve kataloga zbirke osebnih podatkov za SISBON ter obveznosti posredovanja podatkov iz tega kataloga Pooblaščencu, po določbah četrtega in petega odstavka
  23. člena ZVOP-1 ne bo potrebno izpolniti tistim članicam in pristopnicam, ki imajo manj kot 50 zaposlenih.
  24. Izpis osebnih podatkov iz sistema SISBON Po določbah
  25. člena ZVOP-1 se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon, ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. V
  26. členu ZVOP-1 je še določeno, da se osebni podatki lahko zbirajo le za določene in zakonite namene ter se ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s temi zakoni. Obdelava osebnih podatkov je v
  27. točki
  28. člena ZVOP-1 definirana kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave). Iz zgoraj navedene definicije izraza »obdelava osebnih podatkov« izhaja, da vpogled v podatke posameznika, ki se vodijo v sistemu SISBON in ga opravi pooblaščena oseba članice ali pristopnice, nedvomno že pomeni obdelavo osebnih podatkov, poleg tega pa se pooblaščena oseba s takšnim vpogledom že seznani z osebnimi podatki, ki se nanašajo na določenega posameznika. O tem, ali se bo ob vpogledu v osebne podatke opravil tudi izpis teh podatkov, je po mnenju Pooblaščenca potrebno presojati z vidika načela sorazmernosti iz
  29. člena ZVOP-1, kar pomeni, da je izpisovanje podatkov dopustno v tistih primerih, ko je to potrebno in primerno glede na namene, za katere se takšen izpis opravi. Če je vpogled v osebne podatke v sistemu SISBON potreben npr. iz razloga, da članica ali pristopnica na podlagi teh podatkov odloči o odobritvi kredita, Pooblaščenec meni, da z vidika načela sorazmernosti ter ostalih določb ZVOP-1 ni zadržkov, ki bi Članici ali Pristopnici prepovedovali, da bi ob tem naredila tudi izpis podatkov ter takšen izpis shranila v kreditno mapo komitenta. Z izpisom osebnih podatkov posameznika iz sistema SISBON ter s shranitvijo tega izpisa v kreditno mapo komitenta, bo članica ali pristopnica zagotovila, da bo mogoče v primeru potrebe vedno ugotoviti, kateri podatki so ji služili kot podlaga za odločitev o odobritvi kredita, oziroma kateri konkretni podatki so bili uporabljeni za namene upravljanja s kreditnim tveganjem, zaradi česar takšna uporaba osebnih podatkov ni v neskladju z določenimi in zakonitimi nameni. Pooblaščenec v zvezi s kreditnimi mapami z osebnimi podatki komitentov še opozarja, da je osebne podatke, ki jih vsebujejo kreditne mape, dopustno obdelovati samo za določene in zakonite namene ter da je potrebno takšne mape po izpolnitvi namena hranjenja ustrezno uničiti. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., Pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.