Ugotavljanje istovetnosti

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zahteve banke glede ugotavljanja vaše istovetnosti.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma pojasnjuje, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih ali drugih upravnih postopkov presojati ustreznosti posameznih rešitev oziroma ravnanja posameznih zavezancev.

V skladu z določbami Zakona o preprečevanju pranja denarja in financiranja terorizma (ZPPDFT-1; Uradni list RS, št. 68/16, 81/19) zavezanci (v to kategorijo na podlagi 4. člena ZPPDFT-1 spadajo tudi banke) med svojimi nalogami izvajajo tudi ukrepe za poznavanje stranke (pregled stranke) na način in pod pogoji, ki jih določa ta zakon. Sestavni del pregleda stranke je med drugim tudi ugotavljanje istovetnosti stranke in preverjanje njene istovetnosti na podlagi verodostojnih, neodvisnih in objektivnih virov. Po 23. členu ZPPDFT-1 se ugotavljanje in preverjanje istovetnosti stranke ter pridobitev podatkov iz  2. točke prvega odstavka 137. člena ZPPFD-1 opravi z vpogledom v uradni osebni dokument stranke ob njeni osebni navzočnosti. Če iz tega dokumenta ni mogoče dobiti vseh predpisanih podatkov, se manjkajoči podatki pridobijo iz druge veljavne javne listine, ki jo predloži stranka, oziroma neposredno od stranke.

IP pojasnjuje, da vprašanje, za kakšen način in raven zanesljivosti identifikacije posameznikov oziroma strank se odloči banka, v izhodišču ne spada v pristojnost IP, saj to vprašanje le posredno navezuje na področje varstva osebnih podatkov. Če se banka odloči za način identifikacije z vpogledom v uradno listino ob osebni navzočnosti, to ne posega neposredno v pravila varstva osebnih podatkov. Taka praksa je najverjetneje tudi najbolj ugodna z vidika varnosti pravnega prometa, varnosti bančnega poslovanja ter varnosti obdelave osebnih podatkov v zvezi s tem, saj omogoča neposredno ugotovitev oziroma potrditev istovetnosti osebe in ne prihaja do kakršnegakoli posredovanja kopij osebnih dokumentov ali podobnih obdelav osebnih podatkov, ki lahko predstavljajo večje tveganje za posameznika z vidika varstva njegovih osebnih podatkov.

Kot navajate v vašem zaprosilu, se banka sklicuje na določbe ZPPDFT-1. IP meni, da je preverjanje istovetnosti v opisanem primeru izplačila sredstev s pokojnikovega transakcijskega računa upravičeno,  saj bi v primeru nakazila na napačen račun lahko nastale škodljive posledice tako za posameznika kot za banko.

IP domneva, da zahteva banke, ki jo navajate v vašem zaprosilu, temelji na predhodno navedenih določbah ZPPDFT-1 in bi posledično lahko bila zakonsko dopustna. IP sicer ni pristojen za tolmačenje izvajanja zahtev, ki jih bankam nalaga ZPPDFT-1, temveč je to Urad RS za preprečevanje pranja denarja.

Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov uporabnikov, kolikor je nujno potrebno za izpolnitev namena v konkretnem primeru (potrditev vaše identitete za nakazilo sredstev).

Sklepno IP ponavlja, da v okviru mnenja ne more presojati, ali gre v konkretnem primeru za kakršnokoli kršitev s področja varstva osebnih podatkov, saj presojo o ustreznosti ukrepov lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka.

S spoštovanjem.

Pripravil:

Matej Sironič,                                                  

Svetovalec pooblaščenca

za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka