Dostop do podatkov CRP za člane SISBON

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Prejeli smo vaš dopis, v katerem nas sprašujete za dodatno mnenje glede obveznosti posredovanja podatkov iz Centralnega registra prebivalstva (CRP) na podlagi 16. člena Zakona o centralnem kreditnem registru (Uradni list RS št. 77/16; ZCKR). Konkretno v zvezi z mnenji IP št. 0712-1/2018/114 z dne 24. 1. 2018 in 0712-3/2018/2609 z dne 18. 12. 2018 pojasnjujete, da mnenje Ministrstvo za notranje zadeve (MNZ) tolmači drugače kot Banka Slovenije in eden od članov sistema, in sicer med vami ni soglasja o trenutku, od katerega naj bi bili člani sistema v primeru sklenitve pogodbe in odobritve porabe na plačilnem instrumentu upravičeni do pridobivanja podatkov iz CRP.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) moramo najprej ponovno pojasniti, da IP v okviru mnenja ne more in ne sme odrejati konkretnih obdelav osebnih podatkov.

IP na podlagi pridobljenih informacij (ponovno) pritrjuje vašemu stališču, da so člani sistema upravičeni pridobiti podatke od trenutka, ko morajo v skladu s 16. členom ZCKR vnašati podatke v sistem. Kot smo že pojasnili, namreč nastopi pravna podlaga za posredovanje osebnih podatkov posameznika iz CRP, v trenutku, ko je razmerje med fizično osebo in članom sistema predmet poročanja na podlagi ZCKR. To je tudi namen, ki ga ZCKR opredeljuje kot dopusten razlog pridobivanja osebnih podatkov iz CRP v drugem odstavku 16. člena ZCKR.

Ponovno poudarjamo, da IP namesto MNZ dokončne presoje o tem, do katerih osebnih podatkov so posamezni upravljavci ali uporabniki upravičeni, ne more narediti. Vsekakor pa razumemo, da je o tem, kateri konkretni zavezanci so dolžni poročati podatke v sistem po ZCKR najbolj pristojna svetovati Banka Slovenije, ki je v tem delu nadzorni organ. Upoštevaje določbe 7. člena ZCKR o obsegu zbiranja in obdelave osebnih podatkov o fizičnih osebah – podatki niso predmet poročanja v Centralni kreditni register, če posamezniki z operaterjem niso sklenili nobenega kreditnega posla ali niso v razmerju, ki terja poročanje. Kateri posamezniki sodijo v to kategorijo, pa IP v okviru mnenja ne more presojati.

Lepo vas pozdravljamo,

Pripravila:

Alenka Jerše, univ. dipl. prav.

namestnica informacijske pooblaščenke

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka