Uporaba biometričnih podatkov s strani banke + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 13.06.2022 Številka: 07121-1/2022/645 Kategorije: --> Kategorije: Bančništvo, Biometrija, Moderne tehnologije Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje, ki se nanaša na obdelavo biometričnih osebnih podatkov v sklopu bančnih storitev. Kot pojasnjujete je ena od bank oblikovala novo mobilno banko. Ko ste aplikacijo namestili na pametni telefon, je aplikacija zaznala, da nimate prstnega odtisa shranjenega na telefonu. Osebno se ne odločate za odpiranje telefona/tablice/računalnik s prstnim odtisom predvsem iz razloga osebne varnosti in zasebnosti. S tega vidika vas je ta zahteva ob instalaciji aplikacije dejansko zmotila, imate pa možnost dostopa do svoje mobilne banke preko gesla, ki ga sami določite. Stavek, da prstni odtis oziroma biometrični podatki, kot so še slika obraza in posnetek govora pripomorejo k večji varnosti bančnih storitev, vas osebno ne prepriča. Menite, da dejansko nimamo podatka, ali so naši biometrični podatki zares varni, na katerem serverju se nahajajo in v kateri državi, kdo dejansko dostopa do njih in upravlja. Na podlagi teh podatkov si dejansko hitro sledljiv in puščaš sled v medmrežju. Prebrali ste pogoje poslovanja banke in varstvo osebnih podatkov. Nikjer niste izrecno zasledili, da je prstni odtis za mobilno bančništvo potreben in kako banka s tem upravlja. Menite, da pod pretvezo varnosti bančništva, banka pridobiva biometrične podatke - prstni odtis, posnetek glasu in obraza, pa se kot komitenti dejansko niti ne zavedate, da ji dajete privoljenje za njihovo obdelavo. Preko mobilnega telefona banka lahko z aplikacijo očitno pridobi lahko tudi druge podatke - IP, ime računalnika, lokacijo ... Poleg tega, da banka zelo natančno ve o finančnih transakcijah, nakupnih navadah, prihodkih in odhodkih itd. za vsakega komitenta, hkrati pa za vsakega komitenta ima že biometrične podatke v imenu varnosti. V digitalizaciji so osebni podatki za organizacijo novo zlato. Ob izgubi ali kraji mobilnega telefona pa se lahko posameznik znajde v nezavidljivi situaciji kraje identitete. Prosite nas, da vam predstavimo, na osnovi katerih pravnih podlag lahko banka pridobi biometrične podatke in kako je regulirano, da z njimi upravlja. Prosite nas tudi, da vas poučimo, v katerih dokumentih banke je definirana pridobitev, obdelava in varovanje osebnih biometričnih podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Glede na trenutno veljavne določbe ZVOP-1 banke nimajo pravne podlage za shranjevanje biometričnih podatkov svojih komitentov na svojih strežnikih, temveč se lahko ti, kolikor se posameznik za to sam odloči in je o tem ustrezno obveščen, shranjujejo zgolj na napravi pod upravljanjem posameznika. O b r a z l o ž i t e v: Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da morajo upravljavci osebnih podatkov z obdelavo osebnih podatkov razpolagati z ustrezno pravno podlago. Te so določene v členu 6 Splošne uredbe in sicer je obdelava osebnih podatkov zakonita, če je: (a) posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Glede obdelave biometričnih osebnih podatkov je treba upoštevati, da gre za posebne vrste osebnih podatkov in da glede tega Splošna uredba določa, da lahko države članice ohranijo ali uvedejo dodatne pogoje, tudi omejitve, glede obdelave genetskih, biometričnih ali podatkov v zvezi z zdravjem (
- odstavek člena 9 Splošne uredbe). Uporabo biometrijskih ukrepov v zasebnem sektorju v RS ureja
- člen ZVOP-1, ki določa naslednje:
(1)Zasebni sektor lahko izvaja biometrijske ukrepe le, če so nujno potrebni za opravljanje dejavnosti, za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ali poslovne skrivnosti. Biometrijske ukrepe lahko izvaja le nad svojimi zaposlenimi, če so bili predhodno o tem pisno obveščeni.
(2)Če izvajanje določenih biometrijskih ukrepov v zasebnem sektorju ni urejeno z zakonom, je upravljavec osebnih podatkov, ki namerava izvajati biometrijske ukrepe, dolžan pred uvedbo ukrepov posredovati državnemu nadzornemu organu opis nameravanih ukrepov in razloge za njihovo uvedbo.
(3)Državni nadzorni organ je po prejemu posredovanih informacij iz prejšnjega odstavka dolžan v dveh mesecih odločiti, ali je nameravana uvedba biometrijskih ukrepov v skladu s tem zakonom, predvsem s pogoji iz prvega stavka prvega odstavka tega člena. Rok se lahko podaljša za največ en mesec, če bi uvajanje teh ukrepov prizadelo več kot 20 zaposlenih v osebi zasebnega sektorja, ali če reprezentativni sindikat pri delodajalcu zahteva sodelovanje v upravnem postopku.
(4)Upravljavec osebnih podatkov sme izvajati biometrijske ukrepe po prejemu odločbe iz prejšnjega odstavka, s katero je izvajanje biometrijskih ukrepov dovoljeno.
(5)Zoper odločbo državnega nadzornega organa iz tretjega odstavka tega člena ni pritožbe, dovoljen pa je upravni spor. Banka kot upravljavec iz zasebnega sektorja glede na navedene določbe ne more izvajati biometrijskih ukrepov nad svojimi komitenti, vendar pa kolikor obdelava biometrijskih podatkov poteka zgolj in izključno pod nadzorom posameznika, npr. samo na njegovi napravi, in banka ne shranjuje ali drugače obdelujejo biometrijskih podatkov posameznika, ne gre za izvajanje biometrijskih ukrepov, mora pa banka razpolagati s pravno podlago za obdelavo osebnih podatkov v okviru mobilne aplikacije. Kot ste tudi sami navedli vas banka ne prisiljuje v uporabo prsnih odtisov oziroma podobne obraza za vstop v mobilno aplikacijo, temveč imate možnost izbire in lahko mobilno aplikacijo uporabljate tudi s pomočjo vstopnega gesla. Glede na trenutno veljavne določbe ZVOP-1 banke nimajo pravne podlage za shranjevanje biometričnih podatkov svojih komitentov na svojih strežnikih, temveč se lahko ti, kolikor se posameznik za to sam odloči in je o tem ustrezno obveščen, shranjujejo zgolj na napravi pod upravljanjem posameznika. S spoštovanjem, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026