Pridobivanje podatkov iz registra transakcijskih računov

Datum

17.03.2023

Številka

07120-1/2023/141

Kategorije

Pravne podlage, Pridobivanje OP iz zbirk

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede pridobivanja podatkov o TRR fizičnih oseb.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Določbe ZPlaSSIED jasno določajo namene, za katere se obdelujejo osebni podatki fizičnih oseb v registru transakcijskih računov ter kdo in pod katerimi pogoji lahko pridobiva osebne podatke o transakcijskih računih fizičnih oseb.

IP meni, da določba četrtega odstavka 6. člena ZVOP-2 nikakor ne more predstavljati pravne podlage za splošno pridobivanje podatkov o transakcijskih računih fizičnih oseb s strani organov javnega sektorja.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati zakonitosti in primernosti obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem postopku.

Splošna uredba določa pravne podlage za zakonito obdelavo osebnih podatkov v prvem odstavku 6. člena, ki določa, da je obdelava zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem je treba upoštevati, da se zadnja točka (f) ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

ZVOP-2 v drugem odstavku 6. člena določa, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave. V četrtem odstavku 6. člena ZVOP-2 pa je določeno, da se ne glede na določbe drugega odstavka tega člena za izvrševanje točke e) prvega odstavka 6. člena Splošne uredbe lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujno potrebni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Ob tem IP pojasnjuje, da je takšno določbo vseboval že prej veljavni ZVOP-1 (četrti odstavek 9. člena), zato določba ne pomeni nove pravne podlage, ki bi jo določil ZVOP-2, ampak gre zgolj za prenos že prej obstoječe določbe tudi v novo ureditev.

IP prav tako pojasnjuje, da sta njegovi mnenji, ki jih navajate v vašem zaprosilu za mnenje (št.: 07120-1/2020/552 in 07120-1/2020/594), še vedno veljavni in da se stališče IP do v njih obravnavanih vprašanj z uveljavitvijo ZVOP-2 ni v ničemer spremenilo. Določba drugega odstavka 194. člena Zakona o plačilnih storitvah, storitvah izdajanja elektronskega denarja in plačilnih sistemih (Uradni list RS, št. 7/18, 9/18 – popr., 102/20; v nadaljevanju: ZPlaSSIED) še vedno določa namene, za katere se obdelujejo osebni podatki fizičnih oseb v registru transakcijskih računov (med drugim tudi z namenom, da se ti podatki zagotovijo osebam, za katere poseben zakon določa pravno podlago in namen obdelave osebnih podatkov). Določbi tretjega in četrtega odstavka 194. člena ZPlaSSIED prav tako še vedno jasno določata, kdo in pod katerimi pogoji lahko pridobiva osebne podatke o transakcijskih računih fizičnih oseb.

Določba četrtega odstavka 6. člena ZVOP-2 tako po mnenju IP nikakor ne more predstavljati pravne podlage za splošno pridobivanje podatkov o transakcijskih računih fizičnih oseb s strani organov javnega sektorja. Že iz same določbe izhaja, da je obdelava osebnih podatkov na njeni podlagi dopustna zgolj izjemoma in le za tiste podatke, ki so nujno potrebni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, ob tem pa se s to obdelavo ne sme poseči v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Tudi v obrazložitvi predloga ZVOP-2 je med drugim navedeno, da ta določba ne omogoča niti začasnega omogočanja določanja osebnih podatkov v podzakonskih predpisih (zlasti v pravilnikih), ampak je kvečjemu – glede na njeno izjemnost - možni »sprožilec«, da pristojno ministrstvo po izvedeni začasni konkretni obdelavi osebnih podatkov (če je to potrebno), pripravi spremembe ali dopolnitve ustreznega zakona, tako da je spoštovano pravilo iz drugega odstavka tega člena (ki temelji na drugem odstavku 38. člena Ustave Republike Slovenije v zvezi s 87. členom Ustave Republike Slovenije).

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka