Prekomerna hramba OP s strani banke

Datum

22.03.2023

Številka

07121-1/2023/390

Kategorije

Bančništvo, Pravica do seznanitve z lastnimi osebnimi podatki, Pravne podlage, Rok hrambe OP

Informacijski pooblaščenec (v nadaljevanju: IP) je dne 6. 3. 2023 prejel vaše elektronsko sporočilo, iz katerega izhaja, da ste imeli pred približno 25 leti pri … banki hranilno knjižico in da ste slučajno, ko ste se pri njih zanimali za drugo storitev, odkrili, da še vedno hranijo vaše osebne podatke v informacijskem sistemu brez vašega soglasja. Zahtevali ste izbris, pa so vam trdili, da tega ne morejo storiti. Izbris ste zahtevali tudi pisno, vendar so bili neodzivni. IP prosite za pomoč v tej zadevi.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju v skladu z 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Po mnenju IP gre v predstavljenem primeru za hrambo osebnih podatkov preko zakonsko določenega roka hrambe in s tem nezakonito obdelavo osebnih podatkov s strani banke v primeru, da je bilo poslovno razmerje, vezano na hranilno knjižico, ali katero koli drugo vaše poslovno razmerje z banko zaključeno pred več kot 10 leti.

ZVOP-2 v prvem odstavku 6. člena določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Določba 6. člena Splošne uredbe[1] kot pravno podlago za obdelavo osebnih podatkov opredeljuje: privolitev, sklenitev ali izvajanje pogodbe, izvajanje zakonskih zahtev oziroma izvajanje javnih nalog in zakoniti interesi, ki prevladajo nad interesi posameznika (pri tem je za zakonitost obdelave dovolj, da je izpolnjena ena od navedenih pravnih podlag – npr. če zakon določa, da mora banka o posamezniku pridobiti ali hraniti določene osebne podatke, banka za tako obdelavo osebnih podatkov ne potrebuje še njegove privolitve oziroma dovoljenja).

Drugi odstavek 6. člena ZVOP-2 podrobneje opredeljuje obdelavo osebnih podatkov javnem in zasebnem sektorju zaradi izvajanja zakonske obveznosti, in sicer med drugim določa, da je obdelava osebnih podatkov v zasebnem sektorju zaradi izvajanja zakonske obveznosti iz točke c) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon.

Banke so pri opravljanju bančnih storitev podvržene zahtevam številnih zakonov, ki jim med drugim nalagajo obdelavo osebnih podatkov o posameznikih za različne namene. Iz vaših navedb izhaja, da ste ob obisku poslovalnice banke ugotovili, da v informacijskem sistemu banke hranijo vaše osebne podatke, pri čemer ste imeli pri tej banki zgolj hranilno knjižico pred 25 leti. Na podlagi 142. člena Zakona o preprečevanju pranja denarja in financiranja terorizma (Uradni list RS, št. 48/22 in 145/22; ZPPDFT-2) banke, ki spadajo med zavezance po tem zakonu, hranijo podatke, ki so jih pridobile na podlagi različnih določb tega zakona, in pripadajočo dokumentacijo, ki se nanaša na pregled stranke in posamezne transakcije, deset let po prenehanju poslovnega razmerja ali opravljeni transakciji, razen če drug zakon ne predvideva daljšega roka hrambe. V primeru hrambe podatkov, pridobljenih v okviru poslovnega razmerja, in pripadajoče dokumentacije začne rok hrambe vseh pridobljenih podatkov, vključno s podatki o posameznih transakcijah, teči prvi dan po prenehanju poslovnega razmerja. Primerljive določbe so v zakonodaji prisotne že vrsto let, zato po mnenju IP obstaja velika verjetnost, da so veljale tudi ob prenehanju vašega poslovnega razmerja z banko, IP pa ni seznanjen, da bi kak drug zakon bankam določal daljši rok hrambe podatkov in dokumentacije.

Glede na predhodno navedeno gre v vašem primeru po mnenju IP za hrambo podatkov preko zakonsko določenega roka hrambe in s tem nezakonito obdelavo vaših osebnih podatkov s strani banke v primeru, da je bilo vaše poslovno razmerje, vezano na hranilno knjižico, ali katero koli drugo vaše poslovno razmerje z banko zaključeno pred več kot 10 leti. Predlagamo vam, da na banko naslovite uradno zahtevo za seznanitev z lastnimi osebnimi podatki po 15. členu Splošne uredbe (lahko si pomagate z obrazcem na spletni strani IP) ter na podlagi odgovora banke ugotovite, ali ima banka za hrambo vaših osebnih podatkov v svojem informacijskem sistemu (še vedno) ustrezno pravno podlago. Če vam banka v roku 30 dni ne bi odgovorila ali če odgovor banke ne bi vseboval zahtevanih informacij, lahko v zvezi s tem na IP naslovite pritožbo.

Lep pozdrav,

Pripravila

Mojca Leitinger Okršlar, državna nadzornica za varstvo osebnih podatkov

Informacijski pooblaščenec

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

---

[1]Prvi odstavek 6. člena Splošne uredbe se glasi: Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: (a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Pri tem se točka (f) prvega pododstavka ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.