Obdelava podatkov o zaposlitvi in delovnem mestu s strani banke

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je dne 18. 11. 2021 prejel vaše elektronsko sporočilo, v katerem prosite za splošno mnenje glede obdelave osebnih podatkov, ki se nanašajo na vašo zaposlitev in delovno mesto, s strani banke ob odpiranju varčevalnega računa. V banki, kjer že imate odprt osebni račun, ste namreč želeli odpreti varčevalni račun in banka je pripravila pogodbo, v kateri so bili med drugim navedeni tudi podatki o vašem delovnem mestu in zaposlitvi, ki ste jih banki nekoč očitno že posredovali. Ker po vašem mnenju ti podatki za namen pogodbe o varčevalnem računu (pa tudi za osebni račun) niso nujno potrebni, ste želeli, da jih prenehajo voditi, vendar jih banka ni želela izbrisati, temveč so vam napisali, da jih vodijo na podlagi določb ZPPDFT-1. IP prosite za stališče, ali je ravnanje banke pravilno oziroma ali lahko zahtevate izbris podatkov oziroma da osebne podatke, ki se nanašajo na vašo zaposlitev in delovno mesto, banka preneha voditi.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju v skladu z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 in 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

Banka ima podlago za obdelavo vaših osebnih podatkov o zaposlitvi in delovnem mestu, če to izhaja iz zahtev ZPPDFT-1, pri čemer morajo biti podatki, ki jih banka obdeluje, omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Banka vas je bila ob pridobivanju teh ali katerihkoli drugih osebnih podatkov dolžna seznaniti z vsemi informacijami po 13. členu Splošne uredbe, vključno s pravno podlago za njihovo obdelavo, lahko pa te informacije od banke zahtevate tudi naknadno oziroma zahtevate dostop do vaših osebnih podatkov in informacije na podlagi 15. člena Splošne uredbe. Če banka za obdelavo vaših osebnih podatkov o zaposlitvi in delovnem mestu nima ustrezne pravne podlage, lahko od nje v skladu s 17. členom Splošne uredbe zahtevate izbris teh podatkov.

Obrazložitev:

Splošna uredba v prvem odstavku 6. člena[1] opredeljuje zakonite pravne podlage za obdelavo osebnih podatkov, in sicer: privolitev, sklenitev ali izvajanje pogodbe, izvajanje zakonskih zahtev oziroma izvajanje javnih nalog in zakoniti interesi, ki prevladajo nad interesi posameznika; pri tem je za zakonitost obdelave dovolj, da je izpolnjena ena od navedenih pravnih podlag – npr. če Zakon o preprečevanju pranja denarja in financiranja terorizma (ZPPDFT-1) banki nalaga pridobivanje določenih osebnih podatkov o posamezniku, banka za obdelavo teh osebnih podatkov ne potrebuje še privolitve oziroma dovoljenja posameznika.

Banka je pri opravljanju bančnih storitev podvržena zahtevam številnih zakonov, ki ji med drugim nalagajo tudi obdelavo[2] različnih osebnih podatkov za različne namene, npr. ZPPDFT-1, Zakon o potrošniških kreditih, Zakon o plačilnih storitvah, storitvah izdajanja elektronskega denarja in plačilnih sistemih itd., lahko pa banka osebne podatke posameznikov obdeluje tudi na drugih pravnih podlagah iz prvega odstavka 6. člena Splošne uredbe, zlasti na podlagi privolitve ali zaradi sklepanja ali izvajanja pogodbe. V vsakem primeru je banka dolžna posameznikom ob vsakem pridobivanju njihovih osebnih podatkov nuditi ustrezne informacije v skladu s 13. členom[3] Splošne uredbe, pri čemer morajo biti informacije podane v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku. IP sklepa, da bi zahteva po podatkih v vašem primeru lahko izhajala iz predpisov o preprečevanju pranja denarja, pri čemer pa je banka še vedno dolžna spoštovati osnovna načela obdelave osebnih podatkov iz prvega odstavka 5. člena[4] Splošne uredbe, med drugim načelo najmanjšega obsega podatkov, ki določa, da morajo biti podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Glede na navedeno bi banka po mnenju IP lahko imela podlago za obdelavo vaših osebnih podatkov o zaposlitvi in delovnem mestu v skladu s točko (c) prvega odstavka 6. člena Splošne uredbe, če to izhaja iz zahtev ZPPDFT-1, vas je pa bila banka ob pridobivanju teh podatkov dolžna seznaniti z vsemi informacijami po 13. členu Splošne uredbe, kar vključuje tudi navedbo pravne podlage, ki pokriva vsak osebni podatek, ki ga pridobiva od vas. Če se želite seznaniti z informacijami, ki vam bi jih banka morala na podlagi 13. člena Splošne uredbe zagotoviti ob pridobivanju vaših osebnih podatkov o zaposlitvi in delovnem mestu, oziroma se želite seznaniti s podatki, ki jih banka vodi o vas, vam predlagamo, da naknadno zahtevate informacije po 13. členu Splošne uredbe oziroma zahtevate dostop do vaših osebnih podatkov in informacije v skladu s 15. členom[5] Splošne uredbe (pri tem si lahko pomagate z obrazcem, objavljenim na spletni strani IP). Banka vam je zahtevane informacije dolžna zagotoviti – če vam jih ne zagotovi, to predstavlja kršitev določb Splošne uredbe in lahko pri IP podate prijavo oziroma pritožbo. Enako velja v primeru, da bi na podlagi informacij, ki bi jih na ta način pridobili od banke, ugotovili ali sumili, da banka za obdelavo vaših osebnih podatkov nima ustrezne pravne podlage oziroma da od vas zahteva več podatkov, kot jih potrebuje za dosego zakonitega namena.

Izbris podatkov o zaposlitvi in delovnem mestu bi lahko od banke v skladu s 17. členom[6] Splošne uredbe zahtevali v primeru, da banka teh vaših osebnih podatkov ne bi več potrebovala za namene, za katere so bili zbrani, oziroma za obdelavo nikoli ni imela pravne podlage.

Lep pozdrav,

Pripravila:                                                                                

Mojca Leitinger Okršlar,

državna nadzornica za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka