Morebitna zloraba OP

Datum

11.11.2024

Številka

07121-1/2024/1389

Kategorije

Informiranje posameznika, Razno, Pravica do seznanitve z lastnimi osebnimi podatki

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede morebitne zlorabe vaših osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavec je v vsakem primeru dolžan posameznikom ob pridobivanju njihovih osebnih podatkov nuditi ustrezne informacije v skladu s 13. členom Splošne uredbe, pri čemer morajo biti informacije podane v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP uvodoma splošno pojasnjuje, da je treba za vsako obdelavo osebnih podatkov najprej zagotoviti ustrezno pravno podlago. V skladu s prvim odstavkom 6. člena Splošne uredbe je obdelava tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

IP nadalje pojasnjuje, da je upravljavec (v konkretnem primeru podjetje, kjer ste zaprosili za kredit) v vsakem primeru dolžan posameznikom ob pridobivanju njihovih osebnih podatkov nuditi ustrezne informacije v skladu s 13. členom Splošne uredbe, pri čemer morajo biti informacije podane v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku. IP meni, da bi v vašem konkretnem primeru zahteva upravljavca po vaših podatkih morda lahko izhajala iz Zakona o potrošniških kreditih (ZPotK-2; Uradni list RS, št. 77716, 92/21 – ZBan-3, 12/24 – ZKSNKB), pri čemer pa mora spoštovati osnovna načela obdelave osebnih podatkov iz prvega odstavka 5. člena Splošne uredbe, med drugim načelo najmanjšega obsega podatkov, ki določa, da morajo biti podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (torej za odločitev o odobritvi kredita). Prav tako mora upravljavec poskrbeti za zavarovanje osebnih podatkov v skladu s 24. in 32. členom Splošne uredbe.

Glede na navedeno bi torej konkretno podjetje po mnenju IP lahko imela podlago za obdelavo vaših osebnih podatkov, ki izhajajo iz izpiskov prometa na računih, v skladu s točko (c) prvega odstavka 6. člena Splošne uredbe, če to izhaja iz zahtev predpisov, ki določajo pogoje za odobritev stanovanjskega kredita, vas je pa podjetje ob pridobivanju teh podatkov dolžno seznaniti z vsemi informacijami po 13. členu Splošne uredbe, kar med drugim vključuje navedbo pravne podlage, ki pokriva vsak osebni podatek, ki ga pridobiva od vas. Če se želite seznaniti z informacijami, ki vam bi jih bilo na podlagi 13. člena Splošne uredbe treba zagotoviti ob pridobivanju vaših osebnih podatkov oziroma se želite seznaniti s podatki, ki se jih vodi o vas, vam IP predlaga, da naknadno zahtevate informacije po 13. členu Splošne uredbe oziroma zahtevate dostop do vaših osebnih podatkov in informacije v skladu s 15. členom Splošne uredbe (pri tem si lahko pomagate z obrazcem, objavljenim na spletni strani IP). Upravljavec vam je zahtevane informacije dolžan zagotoviti – če vam jih ne zagotovi, to predstavlja kršitev določb Splošne uredbe in lahko pri IP podate prijavo oziroma pritožbo. Enako velja v primeru, če bi na podlagi informacij, ki bi jih na ta način pridobili, ugotovili ali utemeljeno sumili, da podjetje za obdelavo vaših osebnih podatkov nima ustrezne pravne podlage oziroma da je od vas zahtevalo več podatkov, kot jih potrebuje za dosego zakonitega namena.

IP sklepno pojasnjuje, da tudi morebitno prekomerno posredovanje osebnih podatkov samo po sebi seveda še ne pomeni, da bo prišlo do njihove neupravičene obdelave ali v skrajnem primeru celo do zlorabe identitete posameznika. IP vam kljub temu preventivno svetuje, da pozorno spremljate morebitna sumljiva dogajanja, še zlasti v zvezi z vašimi finančnimi podatki (transakcijski računi, kreditne kartice, …), ter vso prejeto fizično in elektronsko pošto.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

dr. Jelena Virant Burnik, Informacijska pooblaščenka