← Slovenija

Zbiranje podatkov o komitentu brez njegove pisne privolitve - IPRS

Zbiranje podatkov o komitentu brez njegove pisne privolitve + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 18.02.2007 Številka: 0712-85/2007/2 Kategorije:Bančništvo --> Kategorije: Bančništvo Spoštovani, prejeli smo vaše pismo z dne 22.1.2007.Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
  3. točke prvega odstavka
  4. člena Zakona o varstvu osebnih podatkov (UL RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
  5. člena Zakona o informacijskem pooblaščencu (UL RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Spraševali ste nas:Uvajate projekt ___________ informacijski sistem ________, ki ga članice Združenja __________ pripravljajo že nekaj let. Njegov namen je zbiranje podatkov o zadolženosti komitentov, fizičnih oseb pri vseh bankah in kasneje drugih organizacijah (lizing, trgovske organizacije, tudi prek meja Republike Slovenije ....), ki odobravajo kredite fizičnim osebam, da bi tako vzpostavile evidenco o skupni zadolženosti posameznika pri vseh bankah in drugih organizacijah in s tem bankam omogočile hitrejše in bolj varno odobravanje kreditov, komitentom, fizičnim osebam pa preprečile prezadolževanje oz. najemanje kreditov prek svojih zmožnosti. Projekt ________ je v fazi priprav na uvajanje, potem, ko je bil v letu 2006 zamrznjen zaradi uvedbe evra. Pričakujete, da bi ga lahko uvedli do konca letošnjega leta, če bo na to pripravljenih večina članic. Pri pripravi ste upoštevali določila Zakona o varstvu osebnih podatkov in se o tem posvetovali z Ministrstvom za pravosodje, Inšpektorjem za varstvo osebnih podatkov, o vsebini in namenu sistema smo seznanili Varuha za človekove pravice. Sistem ste zasnovali tako, da se podatki o zadolženosti (in morebitni negativni podatki o finančni nedisciplini) lahko med bankami izmenjujejo le, če posameznik na to pristane s pisno privolitvijo. katere del so Pravila poslovanja _______. (Prilagate osnutka obeh dokumentov, ne glede na to, da še nista usklajena s spremenjeno zakonodajo).Odbor za pravna vprašanja pri Združenju je sprejel mnenje, -

(1)da glede na dikcijo 214.,
  1. in
  2. člena predloga ZBan ni potrebna osebna (pisna) privolitev posameznika po zakonu o varstvu osebnih podatkov za obdelavo osebnih podatkov v okviru _________ ter -
(2)da lahko banke na tej podlagi zbirajo, izmenjuje in obdelujejo tudi zgodovinske (že obstoječe) podatke - vendar oboje velja za izmenjavo med bankami (npr. za posredovanje podatkov zavarovalnicam bi potrebovali osebno privolitev posameznika). Pravila ________ pa morajo natančno določati,kateri so podatki oziroma informacije o boniteti strank.Da bi preprečili morebitne kasnejše nesporazume, bi želeli pridobiti še vaše mnenje glede navedenih določil v povezavi z ZVOP -1 in prosite, da vam posredujemo stališče glede možnosti zbiranja osebnih podatkov brez pisne privolitve komitenta ob navedenih pogojih (Pravila poslovanja za komitenta, izmenjava znotraj bančnega sistema), kar bi omogočilo hitro in učinkovito vzpostavitev sistema ______ in njegovo takojšnjo uporabo.Pooblaščenec je za pripravo odgovora na vaša vprašanja preučil citirane člene ZBan-1 ter ustrezne določbe ZVOP-1.Osebni podatki se po določbah prvega odstavka
  1. člena ZVOP-1 lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika (
  2. točka
  3. člena ZVOP-1). V drugem odstavku
  4. člena ZVOP-1 je nadalje določeno, da mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. ZVOP-1 v prvem odstavku
  5. člena določa, da se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Iz opisanega dejanskega stanja je razvidno, da Zakon o bančništvu (Ur.l. RS, št. 131/2006 v nadaljevanju ZBan-1) v generalni določbi
  6. čl. zahteva, da mora banka kot zaupne podatke varovati vse podatke, dejstva in okoliščine o posamezni stranki, s katerimi razpolaga, ne glede na način, na katerega je pridobila te podatke. Izjemo od te generalne določbe določa
  7. tč. II. odst
  8. čl. ZBan-1 (Dolžnost varovanja zaupnih podatkov) ki izrecno opredeljuje, da dolžnost varovanja zaupnih podatkov ne velja za izmenjavo informacij o boniteti strank med bankami ali znotraj bančne skupine za namen upravljanja s kreditnim tveganjem. Zgornjo določbo ZBan-1 udejanja v III. odst.
  9. čl., ki zavezuje vse banke, ne glede na to, ali so članice bančnega interesnega združenja, da organizirajo sistem izmenjave informacij o boniteti strank, ki so fizične osebe, med bankami iz
  10. točke drugega odstavka
  11. člena tega zakona. Ta sistem lahko za banke organizira tudi bančno interesno združenje.Na podlagi
  12. člena ZVOP-1 (Pravne podlage obdelave osebnih podatkov v zasebnem sektorju) (str. 99 do 109) lahko zaključimo, da ima zasebni sektor glede dopustnosti obdelave osebnih podatkov večjo svobodo, kot pa jo pri obdelavi osebnih podatkov zakon dopušča javnemu sektorju. V nasprotju z javnim sektorjem, ki naj bi obdeloval osebne podatke predvsem na podlagi zakona, lahko zasebni sektor obdeluje osebne podatke tudi na podlagi posameznikove osebne privolitve. To pomeni, da sta v zasebnem sektorju glede dopustnosti obdelave osebnih podatkov zakonsko dovoljenje in posameznikova osebna privolitev načeloma izenačena. Vendar pa opozarjamo, da je ne glede na takšno načelno izenačenost, v nekaterih primerih predvsem zaradi varstva interesa šibkejše stranke (posameznika komitenta) potrebno z zakonom predpisati obdelavo osebnih podatkov tudi v zasebnem sektorju. Ključni razlog za nujnost določitve dopustne obdelave osebnih podatkov pa je prav omenjena zaščita šibkejše stranke. (več glej v Komentar Zakona o varstvu osebnih podatkov, N. Pirc Musar, GV Založba, 2006)Tak primer predstavlja nedvomno tudi razmerje komitenta kot šibkejše stranke na eni strani, in več bank oziroma skupine bank kot močnejših strank na drugi, v okviru obligacijsko pravnih razmerij sklepanja pogodb glede nakupa blaga na kredit oz. z odloženim plačilom, lizing poslov in drugih sodobnih oblik financiranja, ki za banke pomenijo kreditno izpostavljenost oz. tveganje do posameznika. Menimo, da je potrebno obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določiti z zakonom prav zaradi zaščite položaja posameznika, ki je tako v razmerju do javnega, kot tudi v razmerju do zasebnega sektorja šibkejša stranka. Obenem pa je zakonsko pooblastilo za obdelavo osebnih podatkov v posameznih primerih potrebno zato, da se prav upravljavcem zbirk osebnih podatkov omogoči pridobitev tistih osebnih podatkov, ki jih posamezniki po vsej verjetnosti zaradi varovanja svojih interesov sicer ne bi dovolili obdelovati. Zakonsko ureditev obdelave osebnih podatkov v zasebnem sektorju je tako mogoče najti na področju evidenc dela, zasebnega varovanja, bančništva in zavarovalništva, vrednostnih papirjev, detektivske dejavnosti in pošte. Dodatno pravno podlago za obdelavo podatkov o kreditni sposobnosti posameznega komitenta pa imajo banke tudi na temelju II. odst.
  13. čl. ZVOP-
  14. Ta določa, da se lahko ne glede na I. odst.
  15. čl. ZVOP-1 v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe. Glede na avtonomnost sklepanja vseh obligacijsko-pravnih poslov ta določba predvideva, da je sklepanje pravnega posla tudi v interesu posameznika (v konkretnem primeru najem bančnega kredita ali druga oblika obročnega odplačevanja obveznosti pri nakupu blaga ali storitev, nakup na lizing, ipd.), zato je obdelava posameznikovih osebnih podatkov dopustna, seveda če je potrebna in primerna za sklepanje, sklenitev ali izpolnjevanje pravnega posla. Poudarjamo, da ta določba velja zgolj za obdelavo osebnih podatkov pri tistemu upravljavcu, ki je pridobil osebne podatke od posameznika, ne daje pa podlage za posredovanje podatkov recimo drugim bankam.Pooblaščenec posebej poudarja, da je kriterij potrebnosti nujno obravnavati restriktivno: merilo je v vsakem konkretnem primeru konkreten (zasledovan) namen pogodbe. Točna določitev in interpretacija pogodbenega namena - v konkretnem primeru upravljanja s kreditnim tveganjem - sta zato odločilni pri uporabi in razlagi te določbe. Pooblaščenec ocenjuje, da je zakonska določba
  16. točke II. odst.
  17. čl. ZBan-1 dovolj jasna ter da zadosti zahtevi
  18. čl. ZVOP-1 za obdelavo osebnih podatkov na podlagi zakona. Jasno je, da morajo v takšnem primeru banke uporabiti zakonsko pooblastilo za zbiranje osebnih podatkov komitentov, saj bi sicer prav v takšnih primerih lahko mnogokrat prišlo do situacije, ko komitenti po vsej verjetnosti zaradi varovanja svojih interesov sicer obdelovanja takšnih podatkov ne bi dovolili. Takšni interesi bi lahko bili povsem osebne narave, hkrati pa bi lahko komitenti, prav z namenom v svojo škodo povečati lastno zadolženost ter najemati dodatne kredite preko svojih zmožnosti, te podatke bankam želeli prav namerno prikrivati. Pooblaščenec se strinja, da je le z zbiranjem in obdelavo vseh, v ta namen potrebnih in primernih podatkov, mogoče doseči namen upravljanja s kreditnim tveganjem banke v razmerju do komitenta, torej preveriti kreditno sposobnost komitenta, da bo najete kredite lahko tudi poplačal. Pooblaščenec ocenjuje, da je takšna obdelava osebnih podatkov nedvomno v skladu z načelom sorazmernosti saj je ustrezna in po obsegu primerna glede na namen zbiranja osebnih podatkov, torej zaščititi banke pri povečevanju svoje kreditne izpostavljenosti do komitenta. Hkrati pa takšen namen posredno ščiti tudi komitente, saj tudi njim preprečuje prezadolževanje oz. najemanje kreditov prek svojih plačilnih zmožnosti. Pooblaščenec se strinja tudi z vašim stališčem, da vse navedeno velja zgolj za izmenjavo podatkov o kreditnem tveganju med bankami, ne pa hkrati tudi za posredovanje podatkov zavarovalnicam, za kar, pravite, ste se odločili za pridobivanje osebne privolitve posameznika. Citirani členi ZBan-1 namreč v ničemer ne urejajo razmerja med komitenti posamezniki in drugimi gospodarskimi subjekti, na primer zavarovalnicami, zato takšnega z zakonom določenega pooblastila za obdelavo osebnih podatkov ni mogoče razširiti na poljubno mnogo gospodarskih subjektov. Pooblaščenec je na koncu preučil še besedilo obrazca »_______ – Pisna privolitev«, ki navaja med drugim tudi: »Strinjam se (komitent), da se moji osebni podatki na upravičeno zahtevo posredujejo tudi tujim bankam, oz. _______ enakovrednim informacijskim sistemom, vendar s pogojem, da je v tisti državi zagotovljeno varstvo osebnih podatkov in da so izpolnjeni drugi pogoji izmenjave podatkov po ZVOP-1.«Pooblaščenec glede navedenega opozarja na posebne določbe ZVOP-1, ki urejajo posredovanje osebnih podatkov čez meje Republike Slovenije v tretje države. Pri tem je bistveno, v kateri državi je registrirana pravna oseba, ki se ji posredujejo takšni podatki. Pooblaščenec na tem mestu zgolj še opozarja, da mora biti tudi takšno posredovanje osebnih podatkov izvedeno skladno z zakonskimi določbami, podrobneje urejenimi v členih od
  19. do
  20. ZVOP-1.Pooblaščenec še opozarja, da mora ta sistem zagotoviti striktno izvajanje načela sledljivosti vnosov in vpogledov v osebne podatke (
  21. člen ZVOP-1 – notranja sledljivost, kdo od uslužbencev je gledal v podatke ali vnašal podatke v zbirko,
  22. člen ZVOP-1 – zunanja sledljivost, komu izven upravljavca zbirke osebnih podatkov so bili podatki posredovani), ter beležiti tudi namen vnosa in vpogleda (pisna zahteva posameznika za kredit z dne…, osebna obravnava pri bančniku z dne…, sam telefonski klic morebitnega prosilca za kredit nikakor ne zadosti zahtevam ZVOP-1, saj bančnik ne morem z gotovostjo identificirati posameznika na drugi strani, previdnost svetujemo tudi pri e pošti, kjer bi zahtevam po ZVOP-1 zadostil elektronski podpis). Razčistiti morate tudi, kdo bo upravljavec zbirke osebnih podatkov (ali združenje ali vsaka banka za svojo bazo…) in kdo zgolj uporabnik. To je pomembno zaradi izvrševanja pravice do vpogleda v lastne osebne podatke in vseh ostalih pravic iz
  23. člena ZVOP-
  24. Upravljavec zbirke ima po ZVOP-1 tudi obveznosti, kot recimo zagotavljanje točnosti in ažurnosti podatkov, vpis v register zbirk osebnih podatkov, ki ga vodi Informacijski pooblaščenec (
  25. in
  26. člen ZVOP-1). Vpis v register morate opraviti najmanj 15 dni pred uvedbo zbirke osebnih podatkov. Na koncu pa vas opozarjamo še na to, da morate z internim pravilnikom o zavarovanju osebnih podatkov (
  27. člen ZVOP-1) zelo natančno določiti postopke zavarovanja in t.i. dostopne pravice (dodeljevanje gesel za vstop v sistem), torej kdo vse bodo tisti znotraj posamezne banke in združenja, ki bodo sistem lahko uporabljali. Predvidevamo, da vsi zaposleni v posameznih bankah zagotovo ne. Lepo pozdravljeni, Informacijski pooblaščenec: Nataša Pirc Musar, univ., dipl., prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.