Informacijski pooblaščenec odločil v postopku glede dostopa do lastnih osebnih podatkov v primeru spornih spletnih bančnih transakcij
+ -Informacijski pooblaščenec (IP) je zaključil nadzorni postopek v zvezi z obravnavo zahteve posameznika, ki je želel vpogled v svoje osebne podatke, povezane z izvedbo spornih transakcij v spletni banki enega izmed slovenskih ponudnikov bančnih storitev. IP je ugotovil, da upravljavec posamezniku glede na posebne okoliščine primera – šlo je za zlorabo bančnega računa – ni zagotovil celovitega dostopa do njegovih osebnih podatkov, kot to zahteva 15. člen Splošne uredbe o varstvu podatkov, zato mu je odredil posredovanje vseh zadevnih podatkov.
Ozadje postopka
Posameznik je pri IP vložil prijavo, ker od upravljavca kljub večkratnim zahtevam ni prejel vseh osebnih podatkov, ki naj bi jih ta hranil v zvezi z dostopi do njegovega spletnega bančnega računa na določen dan. Med drugim je zahteval podatke o IP‑naslovih, uporabljenem operacijskem sistemu, brskalniku ter drugih tehničnih metapodatkih, ki jih je sistem zabeležil ob izvedbi transakcij na njegovem računu. Upravljavec mu je posredoval le del podatkov, in sicer izpis revizijske sledi z datumom, uro in opisom dogodkov, ne pa tudi tehničnih podatkov, ki jih je zahteval.
Upravljavec je v postopku navajal, da bi razkritje IP‑naslovov in tehničnih podatkov lahko pomenilo razkritje osebnih podatkov tretjih oseb. Poleg tega je menil, da primer ni primerljiv s krajo identitete, temveč z ribarjenjem podatkov (angleško phishingom), zaradi česar naj posameznik ne bi bil upravičen do celotnega obsega podatkov.
Presoja IP glede pravice do dostopa v primerih zlorabe podatkov
IP je v postopku ugotovil, da za pravni položaj posameznika ni relevantno, ali se primer obravnava kot kraja identitete ali ribarjenja podatkov (angleško phishing). Ne glede na pravno opredelitev zlorabe je bila transakcija izvedena v njegovem imenu in z neposrednim vplivom na njegov račun, zato so bili tudi tehnični podatki, zabeleženi ob nepooblaščenem dostopu — med njimi IP-naslovi, iz katerih so bila izvedena nakazila, uporabljen operacijski sistem ter morebitni drugi osebni podatki, ki se nanašajo na posameznika in, ki jih je sistem zavezanca zabeležil pri izvedenih nakazilih ter so vsebovani v izpisu revizijske sledi — osebni podatki posameznika, četudi bi šlo lahko hkrati za podatke tretje osebe.
Upravljavčevega sklicevanja na varstvo pravic tretjih oseb v primeru podatkov z dvojno naravo zato IP ni sprejel kot razlog, ki bi pretehtal pri odločitvi za zavrnitev zahteve. Po presoji IP morebitni storilec, ki je zlorabil tuje osebne podatke za izvedbo transakcij, v takšnem primeru nima prevladujočega interesa za varovanje svojih podatkov, ki so hkrati podatki drugega posameznika, v čigar račun je bilo z zlorabo poseženo. Pravica posameznika do dostopa do lastnih osebnih podatkov je zato v tem primeru prevladala.
Odrejeni ukrepi
IP je upravljavcu odredil, da mora posamezniku posredovati vse osebne podatke, ki jih je obdeloval v zvezi z dostopi do njegovega računa povezanimi s spornimi nakazili za ozko časovno obdobje na sporni dan, vključno z IP‑naslovi, podatki o uporabljenem operacijskem sistemu, ter morebitnimi drugimi osebnimi podatki, ki se nanašajo na posameznika in, ki jih je sistem v revizijski sledi zabeležil v zvezi z izvedenimi nakazili.
Širši pomen primera
Primer je po oceni IP pokazal, da pravica do dostopa do lastnih osebnih podatkov lahko v določenih primerih, in upoštevajoč konkretne okoliščine, zajema tudi tehnične podatke, ki nastanejo ob nepooblaščenih dostopih. IP je poudaril, da način zlorabe osebnih podatkov — ne glede na to, ali gre za krajo identitete, ribarjenja podatkov (angleško phishing) ali drugo obliko prevare — na obstoj te pravice ne vpliva. Upravljavci morajo pretehtati vse okoliščine primera in če pravice posameznika prevladajo, posameznikom omogočiti vpogled v vse podatke, ki se nanašajo nanje, tudi kadar se ti podatki hkrati nanašajo na storilca.
Primer hkrati kaže na pomen preglednih postopkov in ustreznega ravnanja upravljavcev v primerih, ko posamezniki uveljavljajo svoje pravice. Celovit dostop do lastnih osebnih podatkov je namreč ključen za razumevanje okoliščin spornih dogodkov, za zaščito pravic posameznikov ter za krepitev zaupanja v digitalne storitve.