Spremljanje aktivnost na bančnem računu - IPRS

Spremljanje aktivnost na bančnem računu + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 01.02.2022 Številka: 07121-1/2022/110 Kategorije: --> Kategorije: Bančništvo Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste od banke, pri kateri imate odprt osebni račun, prejel sporočilo, v katerem vas sprašujejo o izvoru denarja za gotovinsko nakazilo v višini 2.000,00 EUR, ki ste ga položili na svoj račun. Banka se ob tem sklicuje na redno spremljanje poslovanja, opozarjate pa, da znesek ni sporen z vidika ZPPDFT-1. Moti vas, da po vašem mnenju ne gre za naključno spremljanje poslovanja, temveč za ciljano spremljanje vašega poslovanja, saj gre za prvo gotovinsko nakazilo, ki ste ga kdajkoli izvedli na svoj račun pri tej banki. Nadalje vas zanima, ali je banka upravičena od vas zahtevati podatke o predvidenih prilivih na vaš transakcijski račun; osebnih prejemkov namreč na ta račun ne prejemate več, vendar opozarjate, da je tudi banka vmes enostransko spremenila svoje pogoje poslovanja. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče: privolitev (točka (a)), sklenitev ali izvajanje pogodbe (točka (b)), zakon (točka (c)), zaščita življenjskih interesov posameznika (točka (d)), izvajanje javne naloge (točka (

1. e)v zvezi s četrtim odstavkom 9. člena ZVOP-1), zakoniti interesi upravljavca, ki ne prevladajo nad interesi in pravicami posameznika (točka (f)). Za vsako obdelavo osebnih podatkov mora torej obstajati ustrezna pravna podlaga, ki jo mora že pred obdelavo osebnih podatkov natančno razčistiti upravljavec osebnih podatkov, ki mora biti zmožen tudi dokazati zakonitost obdelave osebnih podatkov. Področje delovanja bank je močno regulirano, zato je prevladujoča pravna podlaga za obdelavo osebnih podatkov točka (
2. c)prvega odstavka 6. člena Splošne uredbe, torej podlaga v zakonu, v povezavi s področnimi predpisi. Zakon o preprečevanju pranja denarja in financiranja terorizma (Uradni list RS, št. 68/16, 81/19, 91/20 in 2/21 – popr.; v nadaljevanju ZPPDFT-1) v drugem odstavku 12. člena navaja nekatere naloge zavezancev po tem zakonu (med katere sodijo tudi banke), in sicer so za konkretni primer relevantne naslednje naloge: vzpostavitev politik, kontrol in postopkov za učinkovito ublažitev in obvladovanje tveganj pranja denarja in financiranja terorizma (2. točka); izvajanje ukrepov za poznavanje stranke (v nadaljnjem besedilu: pregled stranke) na način in pod pogoji, ki jih določa ta zakon (3. točka); priprava seznama indikatorjev za prepoznavanje strank in transakcij, v zvezi s katerimi obstajajo razlogi za sum pranja denarja ali financiranja terorizma (7. točka); izvajanje politik in postopkov skupine ter ukrepov odkrivanja in preprečevanja pranja denarja in financiranja terorizma v lastnih podružnicah in hčerinskih družbah v večinski lasti v tretjih državah (8. točka). 16. člen ZPPDFT-1 določa sestavne dele pregleda stranke, ki obsega naslednje ukrepe: istovetnosti stranke in preverjanje njene istovetnosti na podlagi verodostojnih, neodvisnih in objektivnih virov; ugotavljanje dejanskega lastnika stranke; pridobitev podatkov o namenu in predvideni naravi poslovnega razmerja ali transakcije ter drugih podatkov po tem zakonu; redno skrbno spremljanje poslovnih aktivnosti, ki jih stranka izvaja pri zavezancu. Četrti odstavek 16. člena ZPPDFT-1 določa, da zavezanec (v vašem primeru banka) pri določanju obsega izvajanja ukrepov upošteva vsaj: namen sklenitve in naravo poslovnega razmerja, višino sredstev, vrednost premoženja ali obseg transakcij, čas trajanja poslovnega razmerja in skladnost poslovanja z namenom sklenitve poslovnega razmerja. Peti odstavek pa še določa, da zavezanec postopke izvajanja ukrepov opredeli v svojih notranjih aktih. Glede na navedeno je morda v notranjih aktih banke opredeljeno, da se ukrepi v okviru pregleda stranke izvajajo ob upoštevanju okoliščine, da ste odprli določene vrste račun, uporabljate pa ga morebiti za druge namene. 17. člen ZPPDFT-1 nadalje opredeljuje primere, ko nastopu obveznost pregleda stranke, in sicer: pri sklepanju poslovnega razmerja s stranko; pri vsaki transakciji v vrednosti 15.000 eurov ali več, ne glede na to, ali poteka posamično ali z več transakcijami, ki so med seboj očitno povezane; pri prirediteljih in koncesionarjih, ki prirejajo igre na srečo, ob izplačilih dobitkov, vplačilu stav ali obojem, kadar gre za transakcije v vrednosti 2.000 eurov ali več, ne glede na to, ali transakcija poteka posamično ali z več transakcijami, ki so med seboj očitno povezane; pri dvomu o verodostojnosti in ustreznosti predhodno pridobljenih podatkov o stranki ali dejanskem lastniku stranke; vedno, kadar v zvezi s transakcijo, stranko, sredstvi ali premoženjem obstajajo razlogi za sum pranja denarja ali financiranja terorizma, ne glede na vrednost transakcije. Kot izhaja iz vsega zgoraj navedenega so torej pogoji, pod katerimi mora banka izvajati pregled stranke, ter ukrepi, ki jih mora v okviru tega izvajati in upoštevati, določeni v zakonu, banka pa mora podrobnosti oz. postopke urediti tudi z notranjimi akti. Poleg ukrepa pregleda stranke je predvideno tudi, da banka pripravi seznam indikatorjev za prepoznavanje strank in transakcij, v zvezi s katerimi obstajajo razlogi za sum pranja denarja ali financiranja terorizma. Glede na vaš opis izgleda, da banka v vašem primeru ni opravila pregleda stranke glede na vrednost transakcije (15.000 evrov), pri čemer pa lahko le banka ve, na kakšni drugi od možnih podlag (ali pa morebiti brez nje, pri čemer je podvržena nadzoru) je izvajala ukrep spremljanja vaših aktivnosti in pridobivanja podatkov ter na ta način obdelovala vaše osebne podatke. Banka je kot vsak upravljavec po Splošni uredbi dolžna posameznikom ob pridobivanju njihovih osebnih podatkov zagotoviti ustrezne, zadostne in pregledne informacije v skladu s 13. členom Splošne uredbe. Slednji v prvem odstavku določa, da mora upravljavec med drugim zagotoviti naslednje informacije: identiteto in kontaktne podatke upravljavca; namene in pravno podlago za obdelavo; uporabnike ali kategorije uporabnikov osebnih podatkov ter nadalje tudi obdobje hrambe osebnih podatkov; obstoj pravic posameznika; obstoj pravice do preklica privolitve; pravico do vložitve pritožbe pri nadzornem organu. Če banka posameznikom, od katerih pridobiva osebne podatke, informacij v zvezi z obdelavo njihovih osebnih podatkov ne nudi, to lahko predstavlja kršitev Splošne uredbe, zaradi česar pri IP lahko podate prijavo kršitve varstva osebnih podatkov. Sicer pa ima vsak posameznik tudi po 15. členu pravico od upravljavca zahtevati dostop do svojih osebnih podatkov ter določene informacije v zvezi z obdelavo njegovih osebnih podatkov, in sicer ima pravico dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in med drugim naslednje informacije: (
3. a)namene obdelave; (
4. b)vrste zadevnih osebnih podatkov; (
5. c)uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah; (
6. d)kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; (
7. e)obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi; (
8. f)pravico do vložitve pritožbe pri nadzornem organu; (
9. g)kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom; (
10. h)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22