Pravica dedičev do izpisov transakcijskega računa zapustnika

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da sta se na vas kot banko obrnila zakonita dediča prvega dednega reda, ki poizvedujeta o vseh transakcijah na računih pokojnega za zadnjih pet let. Dediča pravni interes izkazujeta s sklicevanjem na 28. člen Zakona o dedovanju Zakon o dedovanju (Uradni list SRS, št. 15/76, s sprem. in dop.; v nadaljevanju ZD), opisujeta pa okoliščine, ki kažejo na vračanje daril, ki jih je zapustnik dal za časa svojega življenja. Skrbi vas, ker se na izpiskih o transakcijah nahajajo tudi osebni podatki tretjih oseb, na katere pa se 23. člen ZVOP-1 ne nanaša.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Zakoniti dediči prvega in drugega dednega reda imajo pravico pridobivati osebne podatke umrlih posameznikov, če za uporabo osebnih podatkov izkažejo pravni interes. IP se ne more in ne sme opredeliti do vprašanja, ali je podan pravni interes; to presojo boste morali opraviti sami. Opozarjamo pa, da morate biti pozorni na načelo sorazmernosti, saj dediča zahtevata izjemno veliko količino osebnih podatkov in z izračunom vrednosti zapuščine prav gotovo niso povezani vsi podatki, vsi izpisi.

Glede pravice tretjih oseb pa boste morali opraviti ustrezno tehtanje (torej ne avtomatično zavrniti zahteve dedičev) pravic vseh udeleženih posameznikov, izhajajoč iz namena uveljavljanja pravnega interesa za pridobitev zahtevanih podatkov (ugotavljanje vrednosti zapuščine). Opozarjamo pa na to, da vrednost zapuščine sicer ugotavlja sodišče, dokaze pa pridobiva tudi po uradni dolžnosti.

Obrazložitev

V opisanem primeru gre za vprašanje varstva osebnih podatkov umrlih posameznikov, kar ste že identificirali, prav tako že sami navajate, da je vprašanje uporabe 23. člena ZVOP-1, ki ureja pravico do varstva osebnih podatkov umrlih posameznikov.

Prvi odstavek 23. člena ZVOP-1 tako določa, da lahko upravljavec osebnih podatkov podatke o umrlem posamezniku posreduje samo tistim uporabnikom osebnih podatkov, ki so za obdelavo osebnih podatkov pooblaščeni z zakonom. Drugi odstavek istega člena pa določa, da ne glede na prejšnji odstavek upravljavec osebnih podatkov podatke o umrlem posamezniku posreduje osebi, ki je po zakonu, ki ureja dedovanje, njegov zakoniti dedič prvega ali drugega dednega reda, če za uporabo osebnih podatkov izkaže pravni interes, umrli posameznik pa ni pisno prepovedal posredovanja teh osebnih podatkov.

Informacijski pooblaščenec ne more presojati pravnega interesa v smislu drugega odstavka 23. člena ZVOP-1, prav tako ne drugih potrebnih elementov, ki morajo biti izpolnjeni (dejstva, da gre za zakonitega dediča prvega ali drugega dednega reda ter dejstva, da umrli posameznik ni pisno prepovedal posredovanja osebnih podatkov). Takšno presojo morate opraviti sami, saj IP ne nastopa v vlogi upravljavca in nima na voljo vseh relevantnih informacij.

V tem mnenju pa vam lahko ponudimo določene usmeritve in opozorila, ki jih morate kot upravljavec osebnih podatkov ustrezno upoštevati pri odločanju o zahtevi omenjenih dedičev.

V prvi vrsti vas moramo opozoriti na načelo najmanjšega obsega podatkov oziroma načelo sorazmernosti. Točka (c) prvega odstavka 5. člena Splošne uredbe namreč določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. To pomeni, da smete obdelovati (torej posredovati dedičem) le tiste in toliko osebnih podatkov, kolikor je nujno potrebno za izpolnitev konkretnih namenov obdelave, ki izhajajo iz zatrjevanega pravnega interesa. V kolikor bi dediča uspela z izkazovanjem pravnega interesa na primer zaradi vračanja daril ali vštevanja vrednosti daril v dedni delež, bi smeli posredovati izključno podatke, potrebne zaradi dokazovanja teh okoliščin, nikakor pa ne vseh izpisov o vseh opravljenih transakcijah zapustnika preteklih petih let. Posredovanje podatkov o prav vseh opravljenih transakcijah nikakor ne bi štelo za sorazmerno. Glede podatkov, ki v konkretnem primeru niso povezani z uveljavljanjem pravic in interesov dedičev po Zakonu o dedovanju, mora biti zapustniku absolutno zagotovljena pravica do varstva osebnih podatkov oziroma pravica do pietete.

Glede na to, da sprašujete specifično glede varstva osebnih podatkov tretjih oseb, je na tem mestu treba pojasniti, da so lahko v določenih primerih osebni podatki tretjih oseb hkrati tudi osebni podatki posameznika, v konkretnem primeru torej zapustnika. Osebni podatek je namreč po definiciji katera koli informacija v zvezi z določenim ali določljivim posameznikom (prvi odstavek 4. člena Splošne uredbe). Povedano drugače, komu je zapustnik nakazoval denarna sredstva in od koga jih je pridobival, je njegov osebni podatek in hkrati tudi osebni podatek tretje osebe (v kolikor ne gre za pravno osebo). V takšnem primeru so pravice več posameznikov v koliziji, v nasprotju, zato je treba opraviti ustrezno tehtanje pravic in interesov vseh vpletenih. Pravice tretjih ne morejo avtomatično prevladati, se je pa treba vprašati, ali obstaja pravni interes za posredovanje podatka o vsaki specifični transakciji ali ne in ali pravice tretjih v konkretnem primeru ne prevladajo nad pravicami dedičev.

IP meni, da morate v konkretnem primeru za vsako posamezno transakcijo presoditi, ali je za posredovanje podatkov o takšni transakciji podan pravni interes konkretnih dedičev. Ali bi posredovanje konkretnih podatkov pomagalo / vodilo do / bilo ključno za uveljavljanje pravic dedičev po Zakonu o dedovanju? Gre za podatke, povezane z in nujno potrebne za ugotavljanje vrednosti zapuščine, kot je natančno določeno v 28. členu Zakona o dedovanju?

Obenem pa je vendarle treba opozoriti, da po 28. členu ZD, na katerega naj bi se sklicevala dediča, vrednost zapuščine ugotavlja zapuščinsko sodišče in ne dediči sami. Ker je zapuščinski postopek nepravdni postopek, se dokazi izvajajo tako na predlog udeležencev kot tudi po uradni dolžnosti. V kolikor dediča ne pridobita dokazov za namen predložitve sodišču, ima sodišče po uradni dolžnosti (ali na predlog stranke) pravico prejeti dokumente z osebnimi podatki. V kolikor bi bila dediča napotena na pravdo, pa veljajo določbe Zakona o pravdnem postopku s ponovno novim sklopom pravil o dokazovanju.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                 

                                                                                                informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov