Posredovanje kopije osebne izkaznice banki

Datum

13.03.2024

Številka

07121-1/2024/282

Kategorije

Bančništvo, Informiranje posameznika, Pravne podlage

Informacijski pooblaščenec (v nadaljevanju: IP) je dne 7. 3. 2024 prejel vaše elektronsko sporočilo, iz katerega izhaja, da ste banki poslali kopijo osebne izkaznice opremljeno z vodnim žigom, vendar pravijo, da to ne zadostuje, da morate priti osebno in da bodo oni naredili kopijo. Zanima vas, zakaj banke to delajo, ali je to res potrebno in ali imajo za to osnovo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju v skladu z 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Zakonito obdelavo osebnih podatkov predstavlja tudi obdelava, ki je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca (banko). Ker je pridobivanje osebnih podatkov iz veljavnega osebnega dokumenta mogoče uvrstiti med ukrepe za poznavanje strank, ki so jih banke dolžne izvajati v skladu z določbami Zakona o preprečevanju pranja denarja in financiranja terorizma, ima banka v vašem primeru po mnenju IP ustrezno pravno podlago za pridobivanje kopije vašega veljavnega osebnega dokumenta, in to na način, da vanj vpogleda ob vaši osebni navzočnosti.

ZVOP-2 v prvem odstavku 6. člena določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Določba 6. člena Splošne uredbe kot pravno podlago za obdelavo osebnih podatkov opredeljuje: privolitev, sklenitev ali izvajanje pogodbe, izvajanje zakonskih zahtev oziroma izvajanje javnih nalog in zakoniti interesi, ki prevladajo nad interesi posameznika (pri tem je za zakonitost obdelave dovolj, da je izpolnjena ena od navedenih pravnih podlag – npr. če zakon banki nalaga pridobivanje določenih osebnih podatkov o posamezniku, banka za obdelavo teh osebnih podatkov ne potrebuje še njegove privolitve oziroma dovoljenja).

Drugi odstavek 6. člena ZVOP-2 podrobneje opredeljuje obdelavo osebnih podatkov v zasebnem sektorju zaradi izvajanja zakonske obveznosti, in sicer med drugim določa, da je obdelava osebnih podatkov v zasebnem sektorju zaradi izvajanja zakonske obveznosti iz točke c) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon.

Iz vaših navedb izhaja, da ste banki poslali kopijo osebne izkaznice, vendar pravijo, da to ne zadostuje, da morate priti osebno in da bodo kopijo naredili oni. Podlaga za ravnanje banke po mnenju IP izhaja iz Zakona o preprečevanju pranja denarja in financiranja terorizma (Uradni list RS, št. 48/22 in 145/22; ZPPDFT-2), ki določa, da zavezanci (med njimi so tudi banke) pri opravljanju svojih dejavnosti izvajajo naloge, ki med drugim obsegajo izvajanje ukrepov za poznavanje stranke (pregled stranke), pri tem pa pregled stranke zajema tudi ugotavljanje istovetnosti stranke in preverjanje njene istovetnosti na podlagi verodostojnih, neodvisnih in objektivnih virov.

Ker zakonito obdelavo osebnih podatkov v skladu s točko (c) prvega odstavka 6. člena Splošne uredbe predstavlja tudi obdelava, ki je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca, pridobivanje osebnih podatkov na način vpogleda v veljavni osebni dokument ob osebni navzočnosti stranke pa predstavlja enega od ukrepov za poznavanje strank, ki so jih dolžne izvajati banke v skladu z določbami zakona (ZPPDFT-2), ima banka v vašem primeru po mnenju IP ustrezno pravno podlago za to, da od vas zahteva predložitev veljavnega osebnega dokumenta. Ker zakon posebej določa, da banka istovetnost stranke ugotavlja in preveri z vpogledom v osebni dokument stranke ob njeni osebni navzočnosti, je po našem mnenju upravičena tudi zahteva banke, da se zglasite osebno v poslovalnici, kjer bodo naredili kopijo osebnega dokumenta. Navedeno bi vam morala pojasniti tudi banka v okviru dolžnosti zagotavljanja potrebnih informacij o obdelavi osebnih podatkov v skladu s 13. členom Splošne uredbe.

Ker zahteva banke, povezana z obdelavo vaših osebnih podatkov, najverjetneje temelji na določbah področnega zakona (ZPPDFT-2), ne gre za kršitev predpisov o varstvu osebnih podatkov. V primeru, da bi želeli v zvezi s predmetnim zakonom več pojasnil oziroma tolmačenje določb, predlagamo, da se obrnete na Urad za preprečevanje pranja denarja, saj IP za to ni pristojen. V zvezi z dodatnimi informacijami o konkretni obdelavi osebnih podatkov na podlagi ZPPDFT-2, ki bi jih morebiti potrebovali (tudi glede možnosti urejanja zadeve na daljavo), pa vam predlagamo, da se obrnete na banko in zahtevate informacije, ki so vam jih glede obdelave vaših osebnih podatkov dolžni nuditi.

Lep pozdrav,

Pripravila:

Mojca Leitinger Okršlar, državna nadzornica za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

---

[1]Prvi odstavek 6. člena Splošne uredbe se glasi: Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: (a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Pri tem se točka (f) prvega pododstavka ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

[2]3. točka drugega odstavka 17. člena ZPPDFT-2

[3]1. točka prvega odstavka 21. člena ZPPDFT-2

[4]2. točka prvega odstavka 150. člena ZPPDFT-2

[5]prvi odstavek 29. člena ZPPDFT-2

[6]Prvi odstavek 13. člena Splošne uredbe se glasi: Kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotovi vse naslednje informacije: (a) identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja; (b) kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja; (c) namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo; (d) kadar obdelava temelji na točki (f) člena 6(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba; (e) uporabnike ali kategorije uporabnikov osebnih podatkov, če obstajajo; (f) kadar je ustrezno, dejstvo, da upravljavec namerava prenesti osebne podatke v tretjo državo ali mednarodno organizacijo, ter obstoj ali neobstoj sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49(1) sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo.

Drugi odstavek istega člena nadalje določa, da upravljavec takrat, ko pridobi osebne podatke o posamezniku, na katerega se ti nanašajo, zagotovi dodatne informacije, ki so potrebne za zagotovitev poštene in pregledne obdelave: (a) obdobje hrambe osebnih podatkov ali, kadar to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; (b) obstoj pravice, da se od upravljavca zahtevajo dostop do osebnih podatkov in popravek ali izbris osebnih podatkov ali omejitev obdelave v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora obdelavi in pravice do prenosljivosti podatkov; (c) kadar obdelava temelji na točki (a) člena 6(1) ali točki (a) člena 9(2), obstoj pravice, da se lahko privolitev kadar koli prekliče, ne da bi to vplivalo na zakonitost obdelave podatkov, ki se je na podlagi privolitve izvajala do njenega preklica; (d) pravico do vložitve pritožbe pri nadzornem organu; (e) ali je zagotovitev osebnih podatkov statutarna ali pogodbena obveznost ali pa obveznost, ki je potrebna za sklenitev pogodbe, ter ali mora posameznik, na katerega se nanašajo osebni podatki, zagotoviti osebne podatke ter kakšne so morebitne posledice, če se taki podatki ne zagotovijo, in (f) obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.