Biometrija

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede uvedbe biometrijskih ukrepov na podlagi določil Zakona o plačilnih storitvah, storitvah izdajanja elektronskega denarja in plačilnih sistemih.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma poudarja, da se lahko opredelimo zgolj do določb veljavnega ZVOP-1, glede določb ZVOP-2, ki je trenutno v pripravi, pa lahko podajamo zgolj neformalna stališča.

V skladu z določbo prvega odstavka 80. člena ZVOP-1, ki v tem delu do morebitnega sprejema novega zakona (ZVOP-2) ostaja v uporabi tudi po 25. 5. 2018, lahko zasebni sektor izvaja biometrijske ukrepe le, če so nujno potrebni za opravljanje dejavnosti, za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ali poslovne skrivnosti. Biometrijske ukrepe lahko izvaja le nad svojimi zaposlenimi, če so bili predhodno o tem pisno obveščeni.

Biometrijske ukrepe je v zasebnem sektorju, kamor sodi tudi vaša družba, torej dopustno izvajati le nad svojimi zaposlenimi, ne pa tudi nad drugimi osebami, zato tovrstnih ukrepov ni dopustno izvajati nad vašimi strankami.

IP nadalje pojasnjuje, da so se z določbami Zakona o plačilnih storitvah, storitvah izdajanja elektronskega denarja in plačilnih sistemih (ZPlaSSIED; Uradni list RS, št. 7/18, 9/18 – popr., 39/18) v pravni red Republike Slovenije med drugim prenesle tudi določbe Direktive (EU) 2015/2366 Evropskega parlamenta in Sveta z dne 25. novembra 2015 o plačilnih storitvah na notranjem trgu, spremembah direktiv 2002/65/ES, 2009/110/ES ter 2013/36/EU in Uredbe (EU) št. 1093/2010 ter razveljavitvi Direktive 2007/64/ES, katere cilji so predvsem višja stopnja varnosti plačil in hkrati varstva potrošnikov, spodbujanje inovacij in konkurenčnosti ter zagotavljanje enakih pogojev poslovanja za vse ponudnike plačilnih storitev, ki na trgu delujejo. Države članice so morale sprejeti in objaviti predpise, potrebne za uskladitev s to direktivo, pred 13. januarjem 2018. Pomemben razlog za sprejem ZPlaSSIED je bila torej zahteva po prenosu omenjene direktive, ne pa jasna in izražena namera zakonodajalca, da bi posebej oziroma drugače uredil izvajanje biometrijskih ukrepov v odnosu na obstoječo ureditev.

Kot navajate v vašem zaprosilu, ZPlaSSIED v 16. členu določa, da je močna avtentikacija strank avtentikacija z uporabo dveh ali več elementov, ki spadajo v kategorijo znanja uporabnika (nekaj, kar ve samo uporabnik), lastništva uporabnika (nekaj, kar je v izključni lasti uporabnika) in neločljive povezanosti z uporabnikom (nekaj, kar uporabnik je), ki so med seboj neodvisni, kar pomeni, da kršitev enega elementa ne zmanjšuje zanesljivosti drugih, in so zasnovani tako, da varujejo zaupnost podatkov, ki se preverjajo. Za močno avtentikacijo torej zadostujeta dva od navedenih elementov in bi po mnenju IP uvedba biometrijskih ukrepov lahko predstavlja kvečjemu možen, nikakor pa ne nujen element močne avtentikacije. Prav tako določbe ZPlaSSIED ne vsebujejo nadaljnjih določb glede izvajanja biometrijskih ukrepov, pogojev, pod katerimi bi se ti lahko izvajali, ter varovalk za pravice in svoboščine posameznikov (strank). Po mnenju IP zato določb ZPlaSSIED nikakor ne gre šteti kot lex specialis v odnosu na ZVOP-1, temeljno pravno podlago za uvedbo biometrijskih ukrepov v RS pa tako trenutno še vedno predstavljajo določbe ZVOP-1, v skladu s katerimi se lahko, kot rečeno, biometrijski ukrepi v zasebnem sektorju izvajajo le nad zaposlenimi.

IP podaja še informacijo, da obstaja možnost, da bo ZVOP-2 razširil krog posameznikov, nad katerimi je biometrijske ukrepe v zasebnem sektorju dopustno izvajati in v ta krog vključil tudi stranke (seveda pod točno določenimi pogoji). Vse pa je seveda odvisno od dejanskega besedila in vsebine ZVOP-2, ko bo ta enkrat dejansko sprejet. Predlog ZVOP-2, ki je bil spomladi leta 2018 že v zakonodajnem postopku, pa nato ni bil sprejet, je vseboval tako možnost.

S spoštovanjem.

Pripravil:

Matej Sironič,

Svetovalec pooblaščenca

za varstvo osebnih podatkov

Informacijski pooblaščenec:

Mojca Prelesnik, univ. dipl. prav.,

pooblaščenka