Nepravilno obveščanje prek SMS

Datum

29.07.2025

Številka

07121-1/2025/947

Kategorije

Bančništvo, Pravica do popravka, Pravica do seznanitve z lastnimi osebnimi podatki

pri Informacijskem pooblaščencu (IP) smo prejeli vaš dopis, v katerem pojasnjujete, da je vaša banka pri menjavi plačilne kartice pomotoma uporabila vašo prejšnjo telefonsko številko, ki je bila službena (last vašega bivšega delodajalca). Posledično so obvestila o vseh transakcijah, vključno s podatki o vaši plači, prejemali pri vašem bivšem delodajalcu. Zanima vas, ali gre v tem primeru za kršitev varstva osebnih podatkov in kaj lahko storite.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Na podlagi 15. člena Splošne uredbe lahko pri upravljavcu (banki) uveljavljate pravico dostopa do osebnih podatkov, ki se nanašajo na vas ter na podlagi 16. člena Splošne uredbe pravico do popravka netočnih osebnih podatkov. Prav tako lahko pod določenimi pogoji zahtevate izbris podatkov (17. člen Splošne uredbe). O vsaki zahtevi je upravljavec dolžan odločiti brez nepotrebnega odlašanja oziroma najkasneje v roku enega meseca. V kolikor upravljavec v roku na zahtevo ne odgovoru oziroma jo zavrne, lahko na IP vložite pritožbo.

V kolikor ste mnenje, da je banka kršila predpise s področja varstva osebnih podatkov, lahko podate prijavo. Prijavo pošljete po elektronski pošti naslov gp.ip(at)ip-rs.si, pri čemer lahko pri prijavi uporabite https://www.ip-rs.si/obrazci/, ki je objavljen na spletni strani IP oziroma prijavo pošljete po navadni pošti na naslov IP.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. Zato vam v okviru svojih pristojnosti podajamo zgolj splošna pojasnila v zvezi z obdelavo osebnih podatkov.

Pri upravljavcu lahko uveljavljate pravico dostopa do vaših osebnih podatkov in tako med drugim preverite, katere podatke o vas upravljavec (banka) obdeluje ter pravico do popravka, v kolikor ugotovite, da so vaši osebni podatki netočni. Pod določenimi pogoji lahko zahtevate izbris vaših osebnih podatkov (17. člen Splošne uredbe). Pravica dostopa posameznika, na katerega se nanašajo osebni podatki, je konkretizirana v 15. členu Splošne uredbe, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti 1) potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, 2) dostop do osebnih podatkov in do njihove kopije ter 3) naslednje informacije:

-namene obdelave;

-vrste zadevnih osebnih podatkov;

-uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah;

-kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;

-obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;

-pravico do vložitve pritožbe pri nadzornem organu;

-kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;

-obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.

Skladno s tretjim odstavkom 15. člena Splošne uredbe je upravljavec posamezniku dolžan zagotoviti tudi brezplačno kopijo osebnih podatkov, ki se obdelujejo. Splošna uredba določa razloge in pogoje, pod katerimi lahko upravljavec omeji pravice posameznika na področju varstva osebnih podatkov. 23. člen Splošne uredbe določa, da se lahko pravica do dostopa iz 15. člena omeji, če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je potreben in sorazmeren ukrep v demokratični družbi za zagotavljanje določenih interesov, kot so državna varnost, obramba, interesi, povezani na področju kazenskega prava, neodvisnosti sodstva, varstva posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih ter uveljavljanja civilnopravnih zahtevkov. Prav tako pravica do pridobitve kopije osebnih podatkov ne sme vplivati negativno na pravice in svoboščine drugih (četrti odstavek 15. člena Splošne uredbe).

Pravica do popravka pa je urejena v 16. členu Splošne uredbe, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico doseči, da upravljavec brez nepotrebnega odlašanja popravi netočne osebne podatke v zvezi z njim. Posameznik, na katerega se nanašajo osebni podatki, ima ob upoštevanju namenov obdelave, pravico do dopolnitve nepopolnih osebnih podatkov, vključno s predložitvijo dopolnilne izjave.

Dalje IP izpostavlja tudi pravico do izbrisa osebnih podatkov, ki je možen pod pogoji iz 17. člena Splošne uredbe (med drugim npr. kadar osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani, kadar posameznik prekliče privolitev v obdelavo, pa zanjo ne obstaja druga pravna podlaga ali kadar je bila obdelava nezakonita).

Na podlagi 15. člena Splošne uredbe lahko torej pri upravljavcu (banki) uveljavljate pravico dostopa do osebnih podatkov, ki se nanašajo na vas ter pravico do popravka na podlagi 16. člena Splošne uredbe, pod določenimi pogoji pa lahko uveljavljate tudi pravico do izbrisa iz 17. člena Splošne uredbe. Upravljavec se mora na vsako podano zahtevo odzvati brez nepotrebnega odlašanja in mora v vsakem primeru posredovati informacije oziroma zavrnilni odgovor v enem mesecu po prejemu zahteve. Ta rok se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti zahteve (tretji odstavek 12. člena Splošne uredbe).

Če upravljavec na zahtevo ne odgovori v enomesečnem roku oz. zahtevo zavrne, lahko zoper molk upravljavca ali zavrnitev zahteve vložite pritožbo pri IP. Pritožba se lahko vloži na obrazcu, ki je dostopen na naši spletni strani: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/, ni pa uporaba obrazca obvezna. Več informacij o pravici do seznanitve lahko pridobite na spletnih straneh: https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/ in https://tiodlocas.si/kako-uveljavim-svoje-pravice/.

IP sklepno ponavlja, da v okviru mnenja ne more presojati konkretne obdelave osebnih podatkov z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko IP izvede le v okviru inšpekcijskega ali drugega upravnega postopka. V kolikor ste mnenja, da je banka kršila predpise s področja varstva osebnih podatkov, lahko podate tudi prijavo. Pošljete jo lahko po elektronski pošti na naslov gp.ip(at)ip-rs.si, pri čemer lahko pri prijavi uporabite https://www.ip-rs.si/obrazci/, ki je objavljen na spletni strani IP oziroma po navadni pošti na naslov IP.

Lepo vas pozdravljamo.

Pripravila

Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik, informacijska pooblaščenka