Dostop do podatkov o fiduciarnem računu za rezervni sklad s strani pooblaščenih etažnih lastnikov

Pri Informacijskem pooblaščencu (IP) smo dne 21. 2. 2023 prejeli vaše zaprosilo za mnenje o tem, ali je sporno, da ima pooblaščeni oziroma izbrani etažni lastnik iz tretjega odstavka 43. člena Stanovanjskega zakona (SZ-1) pri potrjevanju izplačil iz rezervnega sklada možnost vpogleda v podatke o plačnikih v rezervni sklad oziroma v vse podatke o fiduciarnem računu. Potrjevanje se izvaja na oddaljen elektronski način, pri tem pa je možno, da banka glede obsega dostopnih podatkov daje etažnemu lastniku enake pravice kot pooblaščencu na računu. V vašem primeru upravnik ne želi izvajati odločitve etažnih lastnikov o potrjevanju izplačil s sklicevanjem na mnenje IP št. 0712‐1/2017/1603, z dne 8. 8. 2017, po katerem pooblaščeni etažni lastnik ne sme obdelovati osebnih podatkov, ki niso v skladu z namenom iz takratnega 43. člena SZ-1.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim sporočilom. Dokončno opredeljevanje do konkretnih primerov obdelav osebnih podatkov je možno le v nadzornih postopkih IP.

Po mnenju IP je praviloma dolžnost banke, da zagotovi izvajanje pravic izbranega oziroma pooblaščenega etažnega lastnika tako, da ta pri potrjevanju izplačil ne bi imel tehnično omogočenega dostopa do podatkov o prilivih (izvedenih s strani posameznikov) na upravnikovem fiduciarnem računu. Pooblaščeni etažni lastnik namreč ne bi smel obdelovati (npr. vpogledati, izpisovati, hraniti, posredovati) nobenih osebnih podatkov drugih etažnih lastnikov, če taka obdelava ne služi namenu potrjevanja izplačil iz rezervnega sklada.

O b r a z l o ž i t e v:

Mnenje IP št. 0712‐1/2017/1603 je iz leta 2017 in zato temelji na določbah ZVOP-1 (pred začetkom veljavnosti Splošne uredbe o varstvu podatkov in seveda tudi pred začetkom veljavnosti ZVOP-2) in na določbah 43. člena SZ-1, ki so bile kasneje spremenjene. Tretji odstavek 43. člena SZ-1 sedaj določa, da etažni lastniki lahko sklenejo, da upravnik izplačila iz rezervnega sklada izvaja le ob potrditvi enega izmed etažnih lastnikov. Poleg izbranega etažnega lastnika lahko izmed etažnih lastnikov določijo tudi njegovega namestnika. Etažnega lastnika in namestnika določijo s sklepom. Veljavno sprejeti sklep upravnik v 15 dneh predloži banki, pri kateri je odprt fiduciarni račun za sredstva rezervnega sklada večstanovanjske stavbe. Kljub omenjeni spremembi, ni videti bistvenih razlogov za odstop od mnenja IP št. 0712‐1/2017/1603.

Splošna uredba o varstvu podatkov v (b), (c) in (f) točki prvega odstavka upravljavcu nalaga obvezno spoštovanje »načela omejitve namena«, »načela najmanjšega obsega podatkov« in »načela celovitosti in zaupnosti« oziroma varnosti.

Če je bil eden izmed etažnih lastnikov s strani ostalih etažnih lastnikov po splošnih pravilih o odločanju etažnih lastnikov izbran kot potrjevalec izplačil iz rezervnega sklada, je način in obseg izvrševanja te pravice, po tem, ko je sklep predložen banki, odvisen od banke in ne od upravnika ali etažnih lastnikov. Zato bi načeloma morala banka kot upravljavec osebnih podatkov informacijsko rešitev zasnovati tako, da bi varovala osebne podatke plačnikov (če so ti posamezniki) v rezervni sklad – to so na primer najmanj podatki o plačniku, ki je etažni lastnik ali celo tretja oseba, številki transakcijskega računa, datumu vplačila, znesku in namenu. Ti podatki naj bi bili namreč irelevantni za potrjevanje izplačil, ki jih predlaga upravnik. Pooblaščeni etažni lastnik tistih podatkov, ki jih ne potrebuje za potrjevanje izplačil ne bi smel obdelovati, npr. jih pregledovati, izpisovati, hraniti, posredovati, razkriti, uporabiti za lasten namen ipd. Tega pa sam ne more zagotoviti, saj je »prisilno« vezan na informacijsko rešitev, ki jo ponuja banka. Zato bi morala banka tehnično omejiti uporabniške pravice pooblaščenemu etažnemu lastniku. Tudi upravnik na omejitev uporabniških pravic ne more vplivati, ker je tudi on vezan na tako informacijsko rešitev, kot jo ponuja banka. Zgoraj navedeno naj bi načeloma veljalo tudi, če ima tak etažni lastnik po pravilih določene banke glede fiduciarnega računa na primer primerljivo vlogo kot običajni pooblaščenec (razen pravice izvajanja izplačil).

V konkretnem primeru ne gre za problem pravne podlage za obdelavo osebnih podatkov, temveč za problem dopustitve prekomerne obdelave osebnih podatkov, ki ni skladna s funkcijo pooblaščenega etažnega lastnika, zaradi česar se posledično omogoča nepooblaščen dostop do osebnih podatkov in s tem kršitev zaupnosti. V pristojnosti konkretne banke je, da - ob upoštevanju omenjenih načel iz 5. člena Splošne uredbe o varstvu podatkov, načina poslovanja in tehničnih rešitev - določi ustrezno raven odprtosti uporabniških pravic pooblaščenemu etažnemu lastniku.

Po 13. členu (točka (c) in (e) prvega odstavka in točka (e) drugega odstavka) Splošne uredbe o varstvu podatkov bi morala banka, med drugim, etažne lastnike na primeren način obvestiti o tem, zakaj in kakšne uporabniške pravice ima pooblaščeni etažni lastnik.

Vsaj z vidika varstva osebnih podatkov, upravnikova predložitev sklepa banki ne bi smela biti pogojena z omejitvijo uporabniških pravic s strani banke, ker to ni dolžnost upravnika, saj ni upravljavec informacijske rešitve, pač pa je to dolžnost banke.  

Dodajamo še, da je za kršitev upravnikove obveznosti predložitve sklepa banki, v 171. členu SZ-1 sankcionirana kot prekršek, za katerega je pristojna stanovanjska inšpekcija.

Lepo vas pozdravljamo,

Pripravil:

mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka