Zahteva za izpis dostopov do bančnega računa

Datum

20.03.2025

Številka

07121-1/2025/358

Kategorije

Bančništvo, Pravica do seznanitve z lastnimi osebnimi podatki

Pri Informacijskem pooblaščencu (IP) smo 14.3.2025 prejeli vaše zaprosilo za mnenje glede zahteve za izpis dostopov do bančnega računa. Zanimajo vas informacije glede postopka pri banki za vpogled, zaradi suma na zlorabo vaših osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1.Posameznik, na katerega se nanašajo osebni podatki, ima pravico od upravljalca zahtevati podatek o tem, ali se obdelujejo njegovi osebni podatki, in kopijo ali izpis teh podatkov. V kolikor se osebni podatki res obdelujejo, ima posameznik pravico pridobiti dodatne konkretne informacije, med drugim tudi o uporabnikih ali kategorijah uporabnikov, ki so jim bili podatki razkriti. Ob tem opozarjamo, da pravica ne omogoča pridobitve podatka o identiteti konkretnih zaposlenih, ki so vpogledovali ali drugače obdelovali osebne podatke posameznika, saj se zaposleni pri upravljavcu ne štejejo med uporabnike, s katerimi bi se lahko posameznik seznanil.

2.Upravljalec mora vlagatelju zahteve za uveljavljanje njegovih pravic odgovoriti najkasneje v enem mesecu od prejema prijave. Drugi odstavek 14. člen ZVOP-2 določa, da mora odločitev vsebovati razloge in informacijo o pravici do pritožbe pri nadzornem organu v roku 15 dni od seznanitve z odločitvijo.

3.IP lahko v konkretni zadevi odloča le kot pritožbeni organ, če bi bila vaša zahteva zavrnjena, ali pa upravljavec nanjo ne bi odgovoril v zakonskem roku.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašimi vprašanji.

Iz vašega zaprosila za mnenje izhaja, da ste pri banki vložili zahtevo za izpis vseh dostopov zaposlenih banke do vašega računa, vključno z imenom in priimkom, datumom, uro ter razlogi za dostop. Pravica do seznanitve z lastnimi osebnimi podatki je zagotovljena vsakemu posamezniku v tretjem odstavku 38. člena Ustave Republike Slovenije. Splošna uredba o varstvu podatkov pravico do seznanitve z lastnimi osebnimi podatki podrobneje ureja v 15. členu, postopkovna pravila pa so urejena v 11. in 12. členu omenjene uredbe. Nekatere postopkovne določbe ima tudi Zakon o varstvu osebnih podatkov (ZVOP-2) v členih od 12 do 21.

Upravljalec mora na zahtevo za uveljavljanje vaših pravic odgovoriti najkasneje v enem mesecu od prejema zahteve in vas informirati o izvedenih ukrepih. Ta rok se lahko podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtevkov, vendar vas morajo o zamudi obvestiti v roku enega meseca po prejemu zahteve in tudi navesti razloge za zamudo. Če vaše zahteve ne bodo izpolnili, morajo to utemeljiti najpozneje v enem mesecu po prejemu zahteve in vas hkrati tudi obvestiti, da lahko vložite pritožbo pri Informacijskemu pooblaščencu in da imate možnost uveljavljanja pravnih sredstev. Drugi odstavek 14. člen ZVOP-2 določa, da mora odločitev vsebovati razloge in informacijo o pravici do pritožbe pri nadzornem organu v roku 15 dni od seznanitve z odločitvijo.

V okviru pravice do seznanitve z lastnimi osebnimi podatki oz. pravico dostopa posameznika, na katerega se nanašajo osebni podatki, ki je določena v členu 15 Splošne uredbe, ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:

(a) namene obdelave;

(b) vrste zadevnih osebnih podatkov;

(c) uporabnike ali kategorije uporabnikov, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih ali mednarodnih organizacijah;

(d) kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;

(e) obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;

(f) pravico do vložitve pritožbe pri nadzornem organu;

(g) kadar njihovi osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;

(h) obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.

IP hkrati poudarja, da pravice posameznika niso absolutne in lahko država omeji obseg obveznosti upravljalcev in pravic posameznikov, kadar je to potrebno za zagotavljanje varstva posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih. Prav tako posameznik ne more pridobiti podatkov, ki se ne nanašajo nanj, npr. osebnih podatkov drugih oseb, če ni njihov zakoniti zastopnik, podatkov o tem, kateri posamezniki znotraj organizacije uporabljajo njegove osebne podatke ali podatkov, ki sodijo v poslovno skrivnost ali intelektualno lastnino podjetji.

Posameznik, na katerega se nanašajo osebni podatki, ima pravico od upravljalca zahtevati podatek o tem, ali se obdelujejo njegovi osebni podatki, in kopijo ali izpis teh podatkov. V kolikor se osebni podatki res obdelujejo, ima posameznik pravico pridobiti tudi dodatne konkretne informacije, med drugim tudi o uporabnikih ali kategorijah uporabnikov, ki so jim bili podatki razkriti. Ob tem opozarjamo, da pravica ne omogoča tudi pridobitve podatka o konkretnih zaposlenih, ki so vpogledovali ali drugače obdelovali osebne podatke posameznika, saj se zaposleni pri upravljavcu ne štejejo med uporabnike, glede katerih lahko posameznik prejme informacije o obdelavi podatkov. Zaposleni namreč niso zunanje osebe, ki bi jim bili podatki razkriti, temveč so del upravljavca, so pooblaščeni za obdelavo osebnih podatkov, ki jo izvajajo pod neposrednim vodstvom upravljavca ali obdelovalca.

Kot je izpostavilo Sodišče EU v zadevi št. C-579/21 z dne 22. junija 2023 (Pankki S)[1] bi se lahko posameznik izjemoma seznanil z identiteto zaposlenih, če bi v konkretnem primeru zaposleni deloval izven okvira vodstva in navodil delodajalca (če bi torej prekoračil njegova navodila in s tem dejansko postal zunanji uporabnik), oz. če bi bile informacije o identiteti zaposlenih nujne za učinkovito uveljavljanje pravic posameznika (zlasti za preverjanje zakonitosti) in hkrati podaja teh informacij ne bi negativno vplivala na pravice in svoboščine zaposlenih. Navedeno mora upravljavec (banka) ugotavljati v konkretni situaciji glede na vse okoliščine. IP lahko v konkretni zadevi odloča le kot pritožbeni organ, če bi bila vaša zahteva zavrnjena, ali pa upravljavec nanjo ne bi odgovoril v zakonskem roku.

Več o tem, kako uveljavljati svoje pravice, si lahko preberete tudi na spletni strani: https://tiodlocas.si/kako-uveljavim-svoje-pravice/. Če pa menite, da upravljavec vaše osebne podatke obdeluje nezakonito, lahko na IP vložite prijavo. Več o vložitvi prijave si lahko preberete na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/vložitev-prijave.

Lepo vas pozdravljamo.

dr. Jelena Virant Burnik,

informacijska pooblaščenka

---

[1] Pankki S, zadeva C-579/21, UL C 278, z dne 7.8.2023, str. 5–5 (dostopna na: https://eur-lex.europa.eu/legal-content/SL/TXT/?uri=CELEX%3A62021CA0579).