Dostop pooblaščenca tuje zavarovalnice do podatkov SZZ

Datum

08.03.2024

Številka

07121-1/2024/255

Kategorije

Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Zavarovalništvo

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede dostopa do osebnih podatkov, ki jih obdeluje Slovensko zavarovalno združenje.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Za učinkovitejše uveljavljanje odškodninskih zahtevkov iz naslova škod, nastalih v nesrečah z uporabo vozil, se v okviru SZZ oblikuje informacijski center.

Informacijski center je dolžan oškodovancem sedem let po nesreči bodisi iz svojega registra bodisi iz registra informacijskega centra druge države članice EU nemudoma posredovati:

1.ime in sedež zavarovalnice, ki nudi zavarovalno kritje na podlagi zavarovalne police vozila, s katerim je bila povzročena nesreča,

2.številko zavarovalne police iz prejšnje točke in

3.ime in sedež oziroma naslov pooblaščenca v Republiki Sloveniji, ki ga je imenovala zavarovalnica države članice EU, ki nudi zavarovalno kritje na podlagi zavarovalne police vozila, s katerim je bila povzročena nesreča.

Informacijski center priskrbi oškodovancu na njegovo zahtevo podatek o imenu in naslovu lastnika ali običajnega voznika ali registriranega imetnika vozila, če je oškodovanec izkazal pravni interes za pridobitev takšne informacije. Navedene podatke pridobiva informacijski center zlasti od zavarovalnice ali iz zbirk podatkov ministrstva, pristojnega za notranje zadeve. Informacijski center priskrbi oškodovancu podatek o imenu osebe, ki mu odgovarja za škodo, povzročeno z vozilom, za katero velja izjema od obveznosti sklenitve zavarovanja avtomobilske odgovornosti.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP splošno pojasnjuje, da je treba za vsako obdelavo osebnih podatkov najprej zagotoviti ustrezno pravno podlago. V skladu s prvim odstavkom 6. člena Splošne uredbe je obdelava tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

V skladu z Zakonom o zavarovalništvu (Uradni list RS, št. 93/15, 9/19, 102/20, 48/23, 78/23 – ZZVZZ-T; v nadaljevanju: ZZavar-1) zavarovalnice in Slovensko zavarovalno združenje (v nadaljevanju: SZZ) zbirajo, shranjujejo, posredujejo, uporabljajo ali kako drugače obdelujejo osebne podatke iz tega člena v skladu z zakonodajo, ki ureja varstvo osebnih podatkov in zbirke podatkov s področja zavarovanja, in sicer:

1.zbirko podatkov o zavarovalcih in zavarovancih,

2.zbirko podatkov o zavarovalnih primerih,

3.zbirko podatkov za presojo zavarovalnega kritja in višine odškodnine oziroma zavarovalnine,

4.zbirko podatkov o potencialnih zavarovalcih in zavarovancih.

ZZavar-1 jasno določa, katere osebne podatke lahko obdelujejo zavarovalnice v vsaki od navedenih zbirk in da je obdelava teh podatkov dopustna le v obsegu, ki je primeren in potreben za uresničevanje namenov obdelave - v primeru prvih treh zbirk gre za sklepanje in izvajanje pogodb o zavarovanju, izterjava neplačanih obveznosti iz naslova zavarovalnih pogodb, reševanje škod, uveljavljanje povračilnih zahtevkov in drugih pravic ter obveznosti, vključno s preiskovanjem sumljivih primerov neupravičeno izplačanih odškodnin oziroma zavarovalnin, ki izvirajo iz zavarovanj po tem zakonu, in preverjanje politične izpostavljenosti oseb po zakonu, ki ureja preprečevanje pranja denarja in financiranja terorizma. Namen obdelave v zbirki podatkov o potencialnih zavarovalcih in zavarovancih pa je svetovanje oziroma ugotavljanje potreb in zahtev strank v okviru pogajanj za sklenitev zavarovalne pogodbe, izvedba pogajanj za sklenitev pogodbe o zavarovanju, ugotavljanje potreb in zahtev strank ter ocenjevanje primernosti in ustreznosti zavarovalne storitve oziroma produkta za stranko, izdajo osebnega priporočila oziroma izvedbo svetovanja zavarovalnice na podlagi poštene in osebne analize, kot to določa ta zakon. Ob tem je treba upoštevati načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je treba obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izvrševanje zakonitih pristojnosti, nalog ali obveznosti.

Zakon o obveznih zavarovanjih v prometu (Uradni list RS, št. 93/07 – UPB, 40/12 – ZUJF, 33/16 – PZ-F, 41/17 – PZ-G; v nadaljevanju: ZOZP) v drugem odstavku 8. člena določa, da zavarovalnice in SZZ vzpostavijo, vodijo in vzdržujejo:

1.zbirko podatkov o zavarovancih,

2.zbirko podatkov o škodnih dogodkih

3.zbirko podatkov za presojo zavarovalnega kritja in višine odškodnine.

V tretjem do petem odstavku 8. člena ZOZP je za vsako od navedenih zbirk podatkov določeno, kateri osebni podatki se lahko zbirajo v njej, v šestem odstavku pa je določen način zbiranja teh podatkov. V enajstem odstavku 8. člena ZOZP je določeno, da lahko zavarovalnice in SZZ podatke iz zgoraj navedenih zbirk podatkov posredujejo tuji zavarovalnici ali tujemu zavarovalnemu biroju, če je bil v nesreči udeležen tuj državljan.

ZOZP v 29.a členu določa, da mora zavarovalnica države članice EU, ki namerava v Republiki Sloveniji neposredno opravljati zavarovalne posle zavarovanja avtomobilske odgovornosti, imenovati pooblaščenca, ki ima sedež ali stalno prebivališče v Republiki Sloveniji. Ime in naslov pooblaščenca mora sporočiti Agenciji in informacijskemu centru pri Združenju.

Pooblaščenec iz prejšnjega odstavka v imenu in za račun zavarovalnice države članice EU zbira informacije in sprejema ukrepe, potrebne za reševanje odškodninskih zahtevkov, in izvrši ustrezno plačilo odškodnin iz naslova teh zavarovalnih pogodb, ki krijejo nevarnosti v Republiki Sloveniji.

Nadalje ZOZP v 42.d členu določa, da se za učinkovitejše uveljavljanje odškodninskih zahtevkov iz naslova škod, nastalih v nesrečah z uporabo vozil, v okviru SZZ oblikuje informacijski center. V 42.e členu ZOZP je določeno, da Informacijski center:

1.zbira podatke in vodi register podatkov,

2.posreduje podatke iz registra iz prejšnje točke,

3.nudi pomoč oškodovancem pri pridobivanju podatkov iz registra iz 1. točke tega odstavka in pri pridobivanju podatkov iz registrov informacijskih centrov drugih držav članic EU.

Register iz 1. točke prejšnjega odstavka vsebuje podatke o:

1.registrskih označbah registrskih tablic, vrstah, znamkah, tipih, številkah šasij oziroma karoserij vozil, registriranih v Republiki Sloveniji,

2.številkah zavarovalnih polic, ki krijejo zavarovanje avtomobilske odgovornosti vozil iz prejšnje točke,

3.trajanju zavarovalne pogodbe zavarovanja avtomobilske odgovornosti,

4.imenih in sedežih zavarovalnic, ki nudijo zavarovalno kritje na podlagi zavarovalnih polic iz prejšnje točke,

5.imenu in priimku, datumu in kraju rojstva, stalnem in začasnem prebivališču oziroma imenu in sedežu zavarovanca,

6.imenih in sedežih oziroma naslovih korespondentov za obravnavanje odškodninskih zahtevkov, ki so jih imenovale zavarovalnice drugih držav članic EU in držav, katerih nacionalni zavarovalni biro je podpisnik Multilateralnega sporazuma ali Splošnih pravil v Republiki Sloveniji, za obravnavanje odškodninskih zahtevkov iz 27. člena tega zakona,

7.imenih in sedežih oziroma naslovih pooblaščencev, ki so jih imenovale zavarovalnice drugih držav članic EU v Republiki Sloveniji,

8.seznamu vozil oziroma oseb, za katere v Republiki Sloveniji velja izjema glede obveznosti zavarovanja avtomobilske odgovornosti. Navedeni seznam in ime organa, odgovornega za plačilo odškodnin, se v roku 15 dni sporoči Komisiji EU.

Podatki iz prejšnjega odstavka se zbirajo iz zbirk podatkov zavarovalnic in evidence registriranih vozil v Republiki Sloveniji. Na zahtevo oškodovanca se podatki iz drugega odstavka tega člena pridobijo tudi iz registrov informacijskih centrov drugih držav članic EU.

Nadalje 42.f člen ZOZP določa, da Informacijski center hrani podatke iz 1., 2., 3., 4. in 5. točke drugega odstavka prejšnjega člena najmanj sedem let po odjavi registracije vozila ali po prenehanju zavarovalne police, 42.h člen ZOZP pa določa, da je Informacijski center dolžan oškodovancem sedem let po nesreči bodisi iz svojega registra bodisi iz registra informacijskega centra druge države članice EU nemudoma posredovati:

1.ime in sedež zavarovalnice, ki nudi zavarovalno kritje na podlagi zavarovalne police vozila, s katerim je bila povzročena nesreča,

2.številko zavarovalne police iz prejšnje točke in

3.ime in sedež oziroma naslov pooblaščenca v Republiki Sloveniji, ki ga je imenovala zavarovalnica države članice EU, ki nudi zavarovalno kritje na podlagi zavarovalne police vozila, s katerim je bila povzročena nesreča.

Informacijski center priskrbi oškodovancu na njegovo zahtevo podatek o imenu in naslovu lastnika ali običajnega voznika ali registriranega imetnika vozila, če je oškodovanec izkazal pravni interes za pridobitev takšne informacije. Navedene podatke pridobiva informacijski center zlasti od zavarovalnice ali iz zbirk podatkov ministrstva, pristojnega za notranje zadeve. Informacijski center priskrbi oškodovancu podatek o imenu osebe, ki mu odgovarja za škodo, povzročeno z vozilom, za katero velja izjema od obveznosti sklenitve zavarovanja avtomobilske odgovornosti.

Informacijski center v okviru SZZ je torej dolžan navedene podatke iz prejšnjih dveh odstavkov zagotoviti oškodovancu, ki pa mora za pridobitev podatka o imenu in naslovu lastnika ali običajnega voznika ali registriranega imetnika vozila dodatno izkazati tudi pravni interes. IP meni, da bi pod enakimi pogoji podatke lahko pridobil tudi pooblaščenec oškodovanca, ki pa mora to dejstvo seveda nedvoumno izkazati pred pridobitvijo podatkov.

V 42.i členu ZOZP določa še, da mora obdelava, shranjevanje, posredovanje in uporaba podatkov iz tega poglavja, ki imajo naravo osebnih podatkov, potekati skladno z določbami 8. člena tega zakona.

IP sklepno pojasnjuje, da sta vprašanji dostopa do podatkov informacijskega centra in prenosa teh podatkov v tretje države dve ločeni vprašanji in ob tem dodaja, da je predhodno dovoljenje IP pogoj za prenos le tedaj, kadar bi ta potekal na podlagi pogodb, ki jih uvoznik in izvoznik določita sama ali na podlagi določb, ki se vstavijo v upravne dogovore med javnimi organi ali telesi in v katere so vključene izvršljive in učinkovite pravice za posameznike, na katere se nanašajo podatki (velja za javni sektor). V vsakem primeru pa je pri prenosu osebnih podatkov v tretjo državo treba spoštovati določbe Splošne uredbe in ZVOP-2, ki urejajo prenose osebnih podatkov. Več informacij o tem je dostopnih na spletni strani IP:

https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/prenos-osebnih-podatkov-v-tretje-države-in-mednarodne-organizacije/

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka