Kopiranje osebnih dokumentov

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Obrnili ste se na Informacijskega pooblaščenca RS (v nadaljevanju IP) s svojim zaprosilom za mnenje. Pojasnjujete, da ste finančna institucija v smislu Zakona o preprečevanju pranja denarja in financiranja terorizma (ZPPDFT – 1), ki lahko hrani kopije uradnih osebnih dokumentov v elektronski obliki, v skladu z ZPPDFT - 1. Dalje navajate, da je v pripravi projekt, ki bo vključeval uporabo skupne IT infrastruktura med vašo družbo in vašimi pogodbenimi partnerji – prodajalci motornih vozil (slednji nastopajo v razmerju do vaše družbe v vlogi obdelovalcev oz. nekateri tudi v vlogi »soupravljavcev«). Zanima vas, ali lahko obdelovalec oz. tudi »soupravljavec« vaši družbi posreduje elektronsko kopijo osebnega dokumenta posameznika prek omenjenega skupnega IT sistema - kar pomeni, da osebne dokumente pretvori v elektronsko obliko in vam jih posreduje, za namen skladen z ZPPDFT-1. Navajate, da bo sistem zagotavljal ustrezne tehnične in organizacijske ukrepe skladno s pravili varstva osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

Finančna institucija je glede na zakonodajo s področja preprečevanja pranja denarja po mnenju IP upravičena hraniti kopijo uradnega dokumenta v digitalni obliki samo v primeru izvajanja ugotavljanja in preverjanja istovetnosti na podlagi sredstva elektronske identifikacije v skladu s 26. oziroma 27. in 32. členom ZPPDFT-1.

Splošna uredba sicer ne predpisuje omejitev, da upravljavec ne bi mogel »prenesti« katerekoli obdelave osebnih podatkov s pogodbo ali drugim ustreznim aktom na obdelovalca. Kadar pa obdelava ni dopustna za upravljavca, potem je tudi obdelovalec ne more zakonito izvajati.

IP uvodoma ugotavlja, da pojma »soupravljavec«, ki ga uporabljate v svojem dopisu, Splošna uredba ali ZVOP-1 ne opredeljujeta. Iz konteksta in vsebine vašega vprašanja IP sklepa, da ste s »soupravljavcem« imeli v mislih institut »skupnih upravljavcev«, ki ga ureja člen 26 Splošne uredbe. Od skupnih upravljavcev se ločijo »obdelovalci« osebnih podatkov, za katere velja zlasti določba člena 28 Splošne uredbe. Več o skupnih upravljavcih: Priporočila Informacijskega pooblaščenca glede skupnih upravljavcev Več o pogodbeni obdelavi: Smernice o pogodbeni obdelavi.

Hramba elektronskih kopij osebnih izkaznic oziroma potnih listin je na podlagi 4. člena Zakona o osebni izkaznici (Uradni list RS, št. 35/11; ZOIzk-1) in 4.a člena Zakona o potnih listinah (Uradni list RS, št. 29/11; ZPLD-1) sicer izrecno prepovedana, vendar pa je v določenih primerih dopustna na podlagi 32. člena Zakona o preprečevanju pranja denarja in financiranja terorizma (Uradni list RS, št. 68/16 in 81/19; v nadaljevanju ZPPDFT-1) v povezavi s 26. oziroma 27. členom ZPPDFT-1. Iz navedenega sledi, da bi finančna institucija kopijo uradnega dokumenta po mnenju IP v tem primeru lahko od stranke pridobila in hranila v digitalni obliki, če gre za izvajanje ugotavljanja in preverjanja istovetnosti na podlagi sredstva elektronske identifikacije.

Splošna uredba sicer ne prepoveduje ali omejuje »predaje« katerekoli dejavnosti obdelave osebnih podatkov v pogodbeno obdelavo – tudi kadar je nacionalni zakon neposredna podlaga za obdelavo osebnih podatkov. Ker pa je po mnenju IP digitalna hramba uradnih dokumentov dopustna le v povezavi s 26. oziroma 27. členom ZPPDFT-1 – torej kadar gre za elektronsko identifikacijo – hramba elektronske kopije uradnega dokumenta v primeru identifikacije na podlagi osebne prepoznave s fizičnimi dokumenti sploh ni dopustna. Kadar pa obdelava ni dopustna za upravljavca, potem je tudi obdelovalec ne more zakonito izvajati.

IP dodaja, da sicer ni pristojen za tolmačenje izvajanja zahtev, ki jih finančnim institucijam nalaga ZPPDFT-1, temveč je to Urad RS za preprečevanje pranja denarja, http://www.uppd.gov.si/.

Lep pozdrav,

Informacijski pooblaščenec

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka

Pripravil:

Anže Novak, univ. dipl. prav.

Svetovalec Pooblaščenca za preventivo