Načelo najmanjšega obsega podatkov

Načelo najmanjšega obsega podatkov

Datum

Datum

21.05.2025

Številka

21.05.2025

07121-1/2025/571

Številka

Kategorije

Bančništvo, Pravne podlage

07121-1/2025/571

pri Informacijskem pooblaščencu (IP) smo 11. 4. 2025 prejeli vaše zaprosilo za mnenje, ki se nanaša na načelo najmanjšega obsega podatkov. Zanima vas, ali je v skladu z načelom minimizacije osebnih podatkov, da posojilodajalec (banka) od posojilojemalca zahteva mesečno posredovanje ažurnega seznama terjatev, ki so bile odstopljene banki v zavarovanje posojila, z jasno razmejitvijo zapadlih in nezapadlih terjatev, skupaj s kopijami najemnih pogodb ter naziv najemnika, njegov naslov, davčno številko, številko fakture, zapadlost ter višino mesečne terjatve iz naslova najemnine. Zanima vas, ali gre v danem primeru za prekomerno zbiranje podatkov na strani posojilodajalca.

Kategorije

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Posojilodajalec / kreditodajalec bi obdelavo osebnih podatkov dolžnikov

Bančništvo, Pravne podlage

(tretjih fizičnih oseb – v konkretnem primeru najemnikov) posojilojemalca / kreditojemalca iz naslova zavarovanja posojila / kredita z odstopom terjatev do teh tretjih fizičnih oseb/najemnikov v zavarovanje, lahko utemeljeval na podlagi zakonitih interesov po točki (f) prvega odstavka 6. člena Splošne uredbe, pri čemer bi moral upnik (upravljavec) izkazati, da je to nujno potrebno zaradi uresničevanja zakonitih interesov upravljavca (upnika) in da nad temi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznikov, na katere se osebni podatki nanašajo (najemnikov).

pri Informacijskem pooblaščencu (IP) smo 11. 4. 2025 prejeli vaše zaprosilo za mnenje, ki se nanaša na načelo najmanjšega obsega podatkov. Zanima vas, ali je v skladu z načelom minimizacije osebnih podatkov, da posojilodajalec (banka) od posojilojemalca zahteva mesečno posredovanje ažurnega seznama terjatev, ki so bile odstopljene banki v zavarovanje posojila, z jasno razmejitvijo zapadlih in nezapadlih terjatev, skupaj s kopijami najemnih pogodb ter naziv najemnika, njegov naslov, davčno številko, številko fakture, zapadlost ter višino mesečne terjatve iz naslova najemnine. Zanima vas, ali gre v danem primeru za prekomerno zbiranje podatkov na strani posojilodajalca.

Osebni podatki, ki se obdelujejo, morajo biti ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego posamičnega zakonitega namena obdelave.

Po mnenju IP bi upnik v primeru zavarovanja posojila / kredita s terjatvami, ki jih ima posojilojemalec / kreditojemalec do najemnikov lahko imel zakoniti interes za obdelavo tistih osebnih podatkov najemnikov, ki bi bili potrebni za njihovo nedvoumno identifikacijo (npr. ime in priimek, naslov, davčna številka) in vseh potrebnih podatkov za oceno vrednosti zavarovanja s terjatvijo, vključno z listinami, ki izkazujejo njen obstoj, višino in zapadlost.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Obrazložitev

Posojilodajalec / kreditodajalec bi obdelavo osebnih podatkov dolžnikov (tretjih fizičnih oseb – v konkretnem primeru najemnikov) posojilojemalca / kreditojemalca iz naslova zavarovanja posojila / kredita z odstopom terjatev do teh tretjih fizičnih oseb/najemnikov v zavarovanje, lahko utemeljeval na podlagi zakonitih interesov po točki (f) prvega odstavka 6. člena Splošne uredbe, pri čemer bi moral upnik (upravljavec) izkazati, da je to nujno potrebno zaradi uresničevanja zakonitih interesov upravljavca (upnika) in da nad temi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznikov, na katere se osebni podatki nanašajo (najemnikov).

Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. V okviru nezavezujočega mnenja vam lahko podamo zgolj splošna pojasnila in priporočila.

Načelo najmanjšega obsega podatkov določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego posamičnega zakonitega namena obdelave. Uresničevanje tega načela v praksi je torej odvisna od specifičnih okoliščin vsakega konkretnega primera, zato ni mogoče vnaprej podajati splošne in konkretne opredelitve. Odločitev o tem, kako to načelo upoštevati v posameznem primeru, pa lahko sprejme izključno upravljavec, ki je tudi odgovoren za to presojo (kot to velja nasploh za zagotavljanje zakonite obdelave osebnih podatkov).

Osebni podatki, ki se obdelujejo, morajo biti ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego posamičnega zakonitega namena obdelave. Po mnenju IP bi upnik v primeru zavarovanja posojila / kredita s terjatvami, ki jih ima posojilojemalec / kreditojemalec do najemnikov lahko imel zakoniti interes za obdelavo tistih osebnih podatkov najemnikov, ki bi bili potrebni za njihovo nedvoumno identifikacijo (npr. ime in priimek, naslov, davčna številka) in vseh potrebnih podatkov za oceno vrednosti zavarovanja s terjatvijo, vključno z listinami, ki izkazujejo njen obstoj, višino in zapadlost.

IP meni, da bi upnik (posojilodajalec / kreditodajalec) obdelavo osebnih podatkov dolžnikov

Obrazložitev

(tretjih fizičnih oseb – v konkretnem primeru najemnikov)

svojega dolžnika (posojilojemalca / kreditojemalca)

Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. V okviru nezavezujočega mnenja vam lahko podamo zgolj splošna pojasnila in priporočila.

iz naslova zavarovanja

Načelo najmanjšega obsega podatkov določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego posamičnega zakonitega namena obdelave. Uresničevanje tega načela v praksi je torej odvisna od specifičnih okoliščin vsakega konkretnega primera, zato ni mogoče vnaprej podajati splošne in konkretne opredelitve. Odločitev o tem, kako to načelo upoštevati v posameznem primeru, pa lahko sprejme izključno upravljavec, ki je tudi odgovoren za to presojo (kot to velja nasploh za zagotavljanje zakonite obdelave osebnih podatkov).

posojila / kredita z odstopom terjatev do teh tretjih fizičnih oseb v zavarovanje (ali morebiti z zastavo terjatev do teh tretjih fizičnih oseb),

IP meni, da bi upnik (posojilodajalec / kreditodajalec) obdelavo osebnih podatkov dolžnikov (tretjih fizičnih oseb – v konkretnem primeru najemnikov) svojega dolžnika (posojilojemalca / kreditojemalca) iz naslova zavarovanja posojila / kredita z odstopom terjatev do teh tretjih fizičnih oseb v zavarovanje (ali morebiti z zastavo terjatvij do teh tretjih fizičnih oseb), lahko utemeljeval na podlagi zakonitih interesov po točki (f) prvega odstavka 6. člena Splošne uredbe, pri čemer bi moral upnik (upravljavec) izkazati, da je to nujno potrebno zaradi uresničevanja zakonitih interesov upravljavca (upnika) in da nad temi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznikov, na katere se osebni podatki nanašajo (dolžnikovih dolžnikov) – upravljavec mora opraviti t. i. test tehtanja. Upnik bi določene osebne podatke (npr. ime in priimek, davčno številko, naslov, višino dolga) o dolžnikih svojega dolžnika in določene podatke o sredstvu zavarovanja (terjatvah) (npr. listine in druga dokazila o zastavljeni/v zavarovanje odstopljeni terjatvi, njena višina, rok zapadlosti) lahko potreboval za preverbo obstoja terjatev, ugotovitev, ali morebiti obstaja pogodbena prepoved prenosa terjatev na drugega upnika, oceno vrednosti in unovčljivosti takšnega zavarovanja, zagotovitev možnosti identifikacije dolžnikovega dolžnika za potrebe unovčitve zavarovanja, ipd. Gre za interes upravljanja s kreditnim tveganjem in izvrševanjem pogodbenih pravic, kar lahko predstavlja zakoniti interes po točki (f) prvega odstavka 6. člena Splošne uredbe. Presoja, kaj je »nujno« vključuje ugotavljanje, ali v praksi zakonitega interesa za obdelavo podatkov, ki ga zasleduje upravljavec, ni mogoče razumno enako učinkovito doseči z drugimi sredstvi, ki manj posegajo v temeljne svoboščine in pravice posameznikov, na katere se nanašajo osebni podatki, zlasti v pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov. Če obstajajo razumna, enako učinkovita, a manj invazivna sredstva, obdelave ni mogoče šteti za »nujno«. V tem okviru je Sodišče EU izrecno poudarilo, da je treba pogoj glede nujnosti obdelave presojati skupaj z načelom »najmanjšega obsega podatkov« iz člena 5(1)(c) Splošne uredbe. Sodišče je prav tako poudarilo, da se obdelava lahko izvaja »le v mejah nujno potrebnega« za uresničitev zakonitega interesa, ki je bil opredeljen.

lahko utemeljeval na podlagi zakonitih interesov po točki (f) prvega odstavka 6. člena Splošne uredbe

, pri čemer bi moral upnik (upravljavec) izkazati, da je to nujno potrebno zaradi uresničevanja zakonitih interesov upravljavca (upnika) in da nad temi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznikov, na katere se osebni podatki nanašajo (dolžnikovih dolžnikov) – upravljavec mora opraviti t. i. test tehtanja. Upnik bi določene osebne podatke (npr. ime in priimek, davčno številko, naslov, višino dolga) o dolžnikih svojega dolžnika in določene podatke o sredstvu zavarovanja (terjatvah) (npr. listine in druga dokazila o zastavljeni/v zavarovanje odstopljeni terjatvi, njena višina, rok zapadlosti) lahko potreboval za preverbo obstoja terjatev, ugotovitev, ali morebiti obstaja pogodbena prepoved prenosa terjatev na drugega upnika, oceno vrednosti in unovčljivosti takšnega zavarovanja, zagotovitev možnosti identifikacije dolžnikovega dolžnika za potrebe unovčitve zavarovanja, ipd. Gre za interes upravljanja s kreditnim tveganjem in izvrševanjem pogodbenih pravic, kar lahko predstavlja zakoniti interes po točki (f) prvega odstavka 6. člena Splošne uredbe.

Glede na navedeno bi po mnenju IP upnik v primeru zavarovanja posojila / kredita s terjatvami, ki jih ima posojilojemalec / kreditojemalec do tretjih oseb (najemnikov) lahko imel zakoniti interes za obdelavo tistih osebnih podatkov najemnikov, ki bi bili potrebni za njihovo nedvoumno identifikacijo (npr. ime in priimek, naslov, davčna številka) in vseh potrebnih podatkov za oceno vrednosti zavarovanja s terjatvijo, vključno z listinami, ki izkazujejo njen obstoj, višino in zapadlost.

Presoja, kaj je »nujno« vključuje ugotavljanje, ali v praksi zakonitega interesa za obdelavo podatkov, ki ga zasleduje upravljavec, ni mogoče razumno enako učinkovito doseči z drugimi sredstvi, ki manj posegajo v temeljne svoboščine in pravice posameznikov, na katere se nanašajo osebni podatki, zlasti v pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov.

Lepo vas pozdravljamo.

Če obstajajo razumna, enako učinkovita, a manj invazivna sredstva, obdelave ni mogoče šteti za »nujno«.

V tem okviru je Sodišče EU izrecno poudarilo, da je treba pogoj glede nujnosti obdelave presojati skupaj z načelom »najmanjšega obsega podatkov« iz člena 5(1)(c) Splošne uredbe.

Pripravila

Sodišče je prav tako poudarilo, da se obdelava lahko izvaja »le v mejah nujno potrebnega« za uresničitev zakonitega interesa, ki je bil opredeljen.

Sandra Kajtazović, univ. dipl. prav.

Glede na navedeno bi po mnenju IP upnik v primeru zavarovanja posojila / kredita s terjatvami, ki jih ima posojilojemalec / kreditojemalec do tretjih oseb (najemnikov) lahko imel zakoniti interes za obdelavo tistih osebnih podatkov najemnikov, ki bi bili potrebni za njihovo nedvoumno identifikacijo (npr. ime in priimek, naslov, davčna številka) in vseh potrebnih podatkov za oceno vrednosti zavarovanja s terjatvijo, vključno z listinami, ki izkazujejo njen obstoj, višino in zapadlost.

Lepo vas pozdravljamo.

dr. Jelena Virant Burnik, informacijska pooblaščenka

Pripravila

---

Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik, informacijska pooblaščenka

[1]Sodba sodišča EU, z dne 4. julija 2023, v zadevi C-252/21, Meta v. Bundeskartellamt (ECLI:EU:C:2023:537), odst. 108.

---

[2]Ibid.

[1]Sodba sodišča EU, z dne 4. julija 2023, v zadevi C-252/21, Meta v. Bundeskartellamt (ECLI:EU:C:2023:537), odst. 108.

[2]Ibid.

[3]Sodba sodišča EU, z dne 4. julija 2023, v zadevi C-252/21, Meta v. Bundeskartellamt (ECLI:EU:C:2023:537), odst. 109.

[3]Sodba sodišča EU, z dne 4. julija 2023, v zadevi C-252/21, Meta v. Bundeskartellamt (ECLI:EU:C:2023:537), odst. 109.

[4]Sodba sodišča EU, z dne 4. julija 2023, v zadevi C-252/21, Meta v. Bundeskartellamt (ECLI:EU:C:2023:537), odst. 126.

[4]Sodba sodišča EU, z dne 4. julija 2023, v zadevi C-252/21, Meta v. Bundeskartellamt (ECLI:EU:C:2023:537), odst. 126.