Številka: 07100-24/2022/66
Datum: 22. 6. 2023
Informacijski pooblaščenec po nadzorni osebi (v nadaljevanju IP), na podlagi 77. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov) in 30. do 34. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), o prijavi prijavitelja: ….., z dne 14. 7. 2022 zoper obvestilo upravljavca: ….banka…., z dne 30. 6. 2022, v zadevi seznanitve z lastnimi osebnimi podatki izdaja naslednjo
O D L O Č B O:
1. Ugotovi se, da je upravljavec glede prijaviteljeve zahteve za seznanitev z lastnimi osebnimi podatki, z dne 12. 5. 2022 in 3. 6. 2022 kršil 15. člen Splošne uredbe o varstvu podatkov, in sicer glede osebnih podatkov, o katerih je odločeno v 2. točki izreka te odločbe in glede informacij o uporabnikih, o katerih je odločeno v 3. točki izreka te odločbe. V preostalem delu prosilčeve zahteve, upravljavec ni kršil 15. člena Splošne uredbe o varstvu podatkov.
2. Upravljavec mora prijavitelju v 15 dneh od vročitve te odločbe posredovati naslednje osebne podatke, ki se nanašajo na prosilca:
- besedilo pod točko 1.7.1. »osnovno zavarovanje« na 2. strani (9 vrstic skupaj z naslovom rubrike), pogodbe o najetju dolgoročnega deviznega kredita, z dne 16. 8. 2005;
- poročilo o prenesenih terjatvah banke do komitenta v upravljanje v službo (šest strani), in sicer naslednji deli: druga do deveta vrstica (vrsta zavarovanja PD0101, PD0301, PS0701, PD0301, PD0301, PD0301, PD301, PP0401), dvanajsta vrstica (PS0701), štirinajsta vrstica (PD0301) ter šestnajsta do devetnajsta vrstica (vse PD0101) točke 3.b (»zavarovanja kredita po partijah«) na drugi in tretji strani, ter celotna rubrika (vse vrstice in stolpci) pod točko 1, 3, 4a, 4b in 5 v tabeli na strani 4;
- celotno poglavje »Vknjižba lastninske pravice« (»devetič«) na 5. strani Pogodbe o prodaji in nakupu nepremičnine med KRUH-PECIVO d.d. in NIAGARA FALLS BAR, …., s.p., z dne 28. 7. 2006.
3. Upravljavec mora prijavitelju v 15 dneh od vročitve te odločbe posredovati informacije o konkretnih uporabnikih podatkov iz a) in b) točke 1. točke izreka delne odločbe IP št. 07100-24/2022/21 in o konkretnih uporabnikih osebnih podatkov iz 2. točke izreka te odločbe.
4. Prijavitelj lahko pravico do pregledovanja upravne zadeve št. 07100-24/2022 pri IP izvršuje v celoti, glede dokumentov, ki so predmet zahteve pa le v delu, do katerega je upravičen v skladu s 1. točko izreka delne odločbe IP št. 07100-24/2022/21 in v skladu z 2. točko izreka te odločbe.
5. Posebni stroški organu v tem postopku niso nastali. Prijavitelj in upravljavec sama nosita svoje stroške, vključno z zastopanjem.
O b r a z l o ž i t e v:
Prijavitelj je dne 12. 5. 2022 prek pooblaščenca pri upravljavcu vložil prvo zahtevo za seznanitev z lastnimi osebnimi podatki, in sicer je zahteval seznanitev z vsemi osebnimi podatki, ki se nanašajo na kreditno pogodbo v notarskem zapisu opr. št. SV 1058/06 (dolgoročni devizni kredit v višini CHF 2.361.400,00) in sporazum o zavarovanju denarne terjatve z vknjižbo skupne hipoteke). Sem spada tudi:
- sklep kreditnega odbora, z dne 9. 8. 2006,
- dokumentacija, ki je bila podlaga za odločanje kreditnega odbora,
- še kakšen morebiten sklep kreditnega odbora,
- listine, iz katerih izhajajo značilnosti oziroma pogoji posla, ki ga je prijavitelj sklenil z upravljavcem,
- listine, iz katerih izhaja, kakšna zavarovanja kreditnega posla naj bi bila zagotovljena s strani prijavitelja.
Poleg tega je zahteval tudi seznam uporabnikov pri upravljavcu, katerim so bili posredovani zgornji osebni podatki, kdaj, na kakšni pravni podlagi in za kakšen namen. Prijavitelj je zahtevo oprl na 30. člen ZVOP-1.
Upravljavec je dne 1. 6. 2022 izdal prvo obvestilo. V njem je najprej nasprotoval pooblastilu, ki je bilo izdano s strani …., s.p. in ne s strani prijavitelja kot posameznika. Nadalje je navedel, da zahtevani osebni podatki ne predstavljajo zbirke osebnih podatkov in kataloga zbirk osebnih podatkov. Gre za interne listine, ki predstavljajo tudi poslovno skrivnost. Glede prijaviteljeve zahteve po pridobitvi »listin, iz katerih izhajajo značilnosti in pogoji posla« pa je pojasnil, da ni specificirana do te mere, da bi lahko upravljavec ugotovil, na kaj se zahteva nanaša.
Prijavitelj je dne 3. 6. 2022 vložil drugo zahtevo, s katero je argumentirano nasprotoval stališču upravljavca. Pojasnil je, da se tudi podatki, ki se nanašajo na na s.p. nanašajo na njenega nosilca kot posameznika. Nadalje je pojasnil razloge, zakaj gre pri zahtevanih osebnih podatkih za zbirko osebnih podatkov v smislu definicije iz Splošne uredbe o varstvu podatkov. Opozoril je tudi, da sklicevanje upravljavca na poslovno skrivnost ni v skladu z 2. členom Zakona o poslovni skrivnosti (ZPosS), ki določa elemente poslovne skrivnosti. Irelevantno je tudi, ali gre za interno listino, saj ZVOP-1 in Splošna uredba o varstvu podatkov take izjeme ne predvidevata. Ponovil je zahtevo, da se mu omogoči vpogled in kopije:
- sklepa kreditnega odbora, z dne 9. 8. 2006,
- drugih sklepov kreditnega odbora glede istega posla,
- vse dokumentacije, ki je bila podlaga za odločanje kreditnega odbora,
- vse dokumentacije, iz katere izhajajo značilnosti oziroma pogoji predmetnega posla, vključno s podatkom o tem, kakšna zavarovanja naj bi bila pri omenjenem poslu zagotovljena s strani prosilca.
Vztrajal je tudi pri pridobitvi seznama uporabnikov, katerim so bili posredovani zgornji osebni podatki, kdaj, na kakšni pravni podlagi in za kakšen namen.
Upravljavec je dne 30. 6. 2022 po pooblaščencu izdal drugo obvestilo, s katerim je zahtevi ugodil le glede kopije celotnega notarskega zapisa (ta vključuje kreditno pogodbo in sporazum o zavarovanju) in glede seznama notranjih organizacijskih enot, brez navedbe osebnih podatkov zaposlenih. Upravljavec je še pojasnil zakonske podlage in namene za obdelavo prijaviteljevih osebnih podatkov ter pojasnil, da osebni podatki niso bili posredovani zunanjim uporabnikom, pri čemer ni preverjal evidenc glede morebitnega posredovanja podatkov državnim organom v skladu s posebnimi določbami Zakona o kazenskem postopku in Zakona o preprečevanju pranja denarja, ker v tem delu velja prepoved razkritja. Na splošno je pojasnil, da se osebni podatki lahko posredujejo državnim organom, če tako določa zakon (Banka Slovenije, UPPD, FURS, sodišča) ter zunanjim pogodbenim izvajalcem (na primer tiskarji, klicni center, revizijske družbe, Pošta Slovenije glede bančnih storitev na okencih pošte). Primeri takih posredovanj izhajajo iz: 39. člena Zakona o davčnem postopku (ZDavP-2), 51. člena Zakona o uveljavljanju pravic iz javnih sredstev (ZUPJS) in ZBan-3 glede posredovanja podatkov v SISBON. Upravljavec je nadalje pojasnil, da so osebni podatki prijavitelja poslovna skrivnost upravljavca in hkrati zaupni bančni podatki po ZBan-3. Upravljavec je na koncu še pojasnil, da sklepi kreditnega odbora ne predstavljajo osebnih podatkov prijavitelja, saj po vsebini ne gre za pogodbeno ali drugo razmerje med banko in prijaviteljem, poleg tega gre za poslovno skrivnost. Enako velja za dokumentacijo, ki je bila podlaga za odločanje kreditnega odbora.
Prijavitelj je dne 14. 7. 2022 pri vložil pritožbo, v kateri je najprej navedel že prej podane argumente:
- da je podatek o pogodbenem razmerju, v katerega je prijavitelj vstopil, njegov osebni podatek. Enako so njegovi osebni podatki tisti, ki se nanašajo na to pogodbeno razmerje;
- da podatki iz kreditne mape presegajo zgolj podatke, ki se nanašajo na poslovanje s.p.;
- da kreditna mapa ustreza pojmu zbirke osebnih podatkov iz definicije v Splošni uredbi o varstvu podatkov, tako kot na primer zdravstvena dokumentacija, osebna mapa delavca in osebna mapa učenca;
- da osebni podatki prijavitelja ne morejo biti poslovna skrivnost po 2. členu Zakona o poslovni skrivnosti (ZPosS), zlasti ker osebni podatki ne morejo predstavljati »nerazkritega strokovnega znanja, izkušenj in poslovnih informacij«, in ker nimajo »tržne vrednosti«;
- da Splošna uredba o varstvu podatkov ne določa izjeme »internega dokumenta«.
Prijaviteljeve nove pritožbene navedbe so:
- da je upravljavec glede pogodbenih izvajalcev razkril le, da ti obstajajo, in da so to zaupanja vredne družbe, ni pa posredoval konkretnih informacij. Ker gre za gospodarske družbe, ni razloga za skrivanje njihove identitete;
- da upravljavec ni pojasnil, kateri konkretni podatki predstavljajo poslovno skrivnost in zakaj. Pavšalno sklicevanje na poslovno skrivnost upravljavca ne more odvezovati od obveznosti seznanitve z osebnimi podatki posameznika. Poleg tega osebni podatki že pojmovno ne morejo biti poslovna skrivnost;
- da prijavitelj še vedno ni prejel sklepa kreditnega odbora, z dne 9. 8. 2006, drugih sklepov kreditnega odbora, dokumentacije, ki je bila podlaga za odločanje kreditnega odbora, vseh listin, iz katerih izhajajo značilnosti oziroma pogoji posla, vključno z informacijo o tem, kakšna zavarovanja bi naj bila pri poslu zagotovljena, seznama uporabnikov, katerim so bili posredovani osebni podatki, kdaj, na kakšni podlagi in za kakšen namen.
IP je dne 18. 7. 2022 upravljavca pozval, da mu posreduje kopijo vse in celotne dokumentacije, ki je predmet prijaviteljeve zahteve ter morebitna dodatna pojasnila o nedostopnosti osebnih podatkov. IP je na prošnjo upravljavca rok za odgovor podaljšal do 5. 9. 2022. IP je dne 7. 9. 2022 prejel odziv upravljavca – ta je spremnemu dopisu priložil: odgovor na pritožbo z zahtevo za izločitev uradne osebe (25 strani) s prilogami,
IP je dne 13. 9. 2022, na podlagi 9. in 146. člena ZUP, pozval prijavitelja, da se neobvezujoče opredeli do odgovora upravljavca. Dne 15. 9. 2022 je IP dodatno pozval prijavitelja še za opredelitev do vrste uporabnikov, ki jih je imel v mislih v zahtevi in pritožbi, ter ali se pritožba nanaša tudi na gradivo, ki ga je predložil prijavitelj sam. IP je prejel odziv prijavitelja dne 19. 9. 2022 in 23. 9. 2022.
Dne 15. 9. 2022 je IP dodatno pozval upravljavca, da IP-ju ponovno predloži že predložene dokumente, ki so predmet prijaviteljeve zahteve brez delnega prikritja vsebine. Poleg tega ga je pozval, da predloži reprodukcijo preostalega dela kreditne mape, ki se nanaša na predmetni kredit ali podpisano izjavo pooblaščene osebe upravljavca o tem, da upravljavec nima drugih dokumentov, ki bi ustrezali zahtevi prijavitelja in ki še niso bili predloženi IP. IP je prejel odziv upravljavca dne 22. 9. 2022. Upravljavčevo zaprosilo za podaljšanje roka in za izvedbo sestanka je bilo dne 23. 9. 2022 zavrnjeno. Zaradi pravnega naziranja iz 3.1. točke te odločbe, je IP začasno preklical poziv za dostavo manjkajočega dokumentarnega gradiva. V zvezi z zahtevo upravljavca za izločitev uradne osebe je IP po predstojnici dne 28. 9. 2022 izdal ločen sklep o zavrženju zahteve.
Prijavitelj je dne 29. 9. 2022 IP-ju poslal dodatno mnenje glede navezovanja prijavitelja na zahtevane podatke, ker je prijavitelj v kreditnem poslu nastopal kot zastavitelj v zasebnem svojstvu.
Dne 20. 10. 2022 je IP izdal delno odločbo št. 07100-24/2022/21, s katero je pritožbi prijavitelja, z dne 14. 7. 2022 zoper obvestilo upravljavca, z dne 30. 6. 2022 delno ugodil in upravljavcu naložil, da mora v 10 dneh prosilcu zagotoviti vpogled in kopije:
a) celotne rubrike »osnovno zavarovanje« v sklepu kreditnega odbora banke št. 1, z dne 8. 8. 2006, skupaj z okvirjem sklepa, ki obsega uvodni stavek, številko sklepa, prvo vrstico z identifikacijo kreditojemalca, datum sklepa ter grafične elemente, in
b) celotnega besedila v točki 7.1. »osnovno« v poglavju »7. ZAVAROVANJE«, kategorija »Dolgoročni kredit«, ki se nahaja na 5. strani kreditnega predloga, ki se začne s poglavjem »1. Kratka predstavitev zasebnika in naložbe ter ocena predlagatelja« (na obrazcu št. 1983/01), skupaj s številko obrazca in številko strani.
IP je z omenjeno delno odločbo pritožbo prosilca zavrnil v delu, ki se nanaša na naslednje dokumente:
a) elektronska soglasja k predlogu za dolgoročni in kratkoročni kredit (5 elektronskih sporočil, z dne 10. 8. 2006 in 11. 8. 2006 skupaj s predlogom in prilogami 4x, z dne 10. 8. 2006);
b) neformalni ročni zaznamki, točka 3. 6. (na dveh straneh);
c) vabilo na 67. sejo kreditnega odbora banke (KOB) (ena stran);
d) preostali deli sklepa KOB št. 1, z dne 8. 8. 2006 glede dolgoročnega kredita na obrazcu (ena stran);
e) sklep KOB št. 2, z dne 8. 8. 2006 glede kratkoročnega kredita na obrazcu (ena stran);
f) preostali deli kreditnega predloga, ki se začne s poglavjem »1. Kratka predstavitev zasebnika in naložbe ter ocena predlagatelja« (na obrazcu št. 1983/01, šest strani);
g) bonitetno poročilo – samostojni podjetniki, z dne 8. 8. 2006 (dve strani);
h) dodatni parametri določanja bonitete (ena stran);
i) bonitetno poročilo, z dne 8. 8. 2006 (šest strani);
j) dodatni parametri določanja bonitete (ena stran);
k) tabelarični prikaz z rubrikami »predračunska vrednost«, »viri financiranja«, »amortizacija stalnih sredstev« in »amortizacijske stopnje« (ena stran);
l) izkaz finančnih tokov »z investicijo« (ena stran);
m) bilanca stanja »z investicijo« (ena stran);
n) bilanca uspeha »z investicijo«;
o) informacije o uporabnikih podatkov iz točk (a) do (n).
Dne 3. 11. 2022 je IP zaprosil prijavitelja, da se izjavi o nadaljevanju pritožbenega postopka. Prijavitelj je dne 14. 11. 2022 izjavil, da vztraja pri pritožbi oziroma pri vseh zahtevkih.
Dne 16. 11. 2022 je IP upravljavca pozval, da mu na podlagi 34.a, 139. in 245. člena Zakona o splošnem upravnem postopku (ZUP) ter (a) in (e) točke prvega odstavka 58. člena Splošne uredbe o varstvu podatkov, da IP-ju posreduje:
1. reprodukcijo celotnega preostalega dela kreditne mape (o katerem ni bilo odločeno z delno odločbo IP), ki se nanaša na predmetni kredit ali podpisano izjavo pooblaščene osebe upravljavca, dano pod kazensko in materialno odgovornostjo za morebitno neresnično izjavo, o tem, da upravljavec nima drugih dokumentov, ki bi ustrezali zahtevi prijavitelja in ki še niso bili predloženi IP;
2. reprodukcijo celotne dokumentacije, ki jo je prijavitelj posredoval banki v zvezi s predmetnim kreditom v predpogodbeni fazi in po njej;
3. informacije o zunanjih uporabnikih podatkov iz predmetne kreditne mape, razen o uporabnikih, o katerih je že bilo odločeno v o) točki 2. točke izreka delne odločbe;
4. posebej informacije o zunanjih uporabnikih podatkov iz:
- rubrike »osnovno zavarovanje« v sklepu kreditnega odbora banke št. 1, z dne 8. 8. 2006, in
- besedila v točki 7.1. »osnovno« v poglavju »7. ZAVAROVANJE«, kategorija »Dolgoročni kredit«, ki se nahaja na 5. strani kreditnega predloga.
Upravljavec je na zgornji poziv odgovoril dne 21. 12. 2022 (datum prejema s strani IP). Upravljavčev odgovor, z dne 19. 12. 2022 je vseboval spremna pojasnila ter priloge, ki so predmet odločanja.
Dne 5. 1. 2023 je IP, na podlagi 9. in 146. člena ZUP, prijavitelju poslal v opredelitev upravljavčeva spremna pojasnila. Prijavitelj je na poziv odgovoril dne 19. 1. 2023. Argumentirano je pojasnil, da je izdaja napovedane dopolnilne odločbe IP potrebna in da je iz izreka delne odločbe jasno razvidno, o čem je že bilo odločeno. Izrazil je tudi argumentirano stališče, da je upravljavec zgolj prvostopenjski organ in ne stranka postopka. Glede sklicevanja upravljavca na poslovno skrivnost je pojasnil, da je treba izjeme od pravice do seznanitve tolmačiti ozko oziroma omejujoče. Glede sklicevanja upravljavca na ozko pojmovanje pojma osebnega podatka je pojasnil, da je že Upravno sodišče RS pojasnilo, da so podatki v zvezi s kreditnimi, finančnimi oziroma pogodbenimi razmerji osebni podatki posameznika. Dodal je še, da obstoj civilnopravnega spora, ki se med upravljavcem in prijaviteljem rešuje na sodišču, ne sme vplivati na vsebino odločanja o pravici do seznanitve, torej se ta presoja samostojno in ne glede na motiv posameznika. Glede uporabnikov je pojasnil, da je upravljavčeva dolžnost, da vodi seznam uporabnikov osebnih podatkov.
Dne 9. 1. 2023 je IP, na podlagi 9., 67., 139. in 146. člena ZUP, prijavitelja pozval, da se opredeli, katere posebej naštete nepremičnine spadajo v zastavno pogodbo (eno ali več), ki jo je sklenil prijavitelj kot posameznik in po kateri zastavni pogodbi. Prijavitelj je na poziv odgovoril dne 20. 1. 2023. Pojasnil je, da se zaradi presplošnih opisov nepremičnin ne more povsem z gotovostjo opredeliti, da zastavljenih nepremičnin ne predstavljajo garaže, da so bile zastavljene nepremičnine, ki ustrezajo opisu »Kruh-pecivo, Grajski trg 6, Maribor« ne pa tudi drugim opisom pod točko 2 poziva IP, da dodatna zastavna pogodba ni bila sklenjena.
Dne 10. 1. 2023 je IP upravljavca pozval za podobna pojasnila kot prijavitelja. Upravljavec je na poziv odgovoril dne 24. 1. 2023. V odzivu je pojasnil:
- da razmerja med zastavno pogodbo in označenimi nepremičninami izhajajo iz priloge 1;
- da je bil v trenutku sklenitve pogodb lastnik nepremičnin ….. To ne velja za nepremičnine, ki bi morale biti zastavljene za zavarovanje terjatev po kreditni pogodbi št. 31729/18. Glede teh …. ni zastavil nepremičnin, ki so navedene v tej kreditni pogodbi;
- da se v zemljiško knjigo kot lastnik nepremičnine vedno vpiše fizična oseba kot posameznik in ne kot samostojni podjetnik;
- da dodatno pridobljena dokumentacija izhaja iz priloge 2.
IP je dne 16. 1. 2023 prejel vročeno tožbo prijavitelja v upravnem sporu zoper delno odločbo IP. O tožbi Upravno sodišče RS še ni sprejelo odločitve.
IP je dne 14. 3. 2023 prijavitelju in upravljavcu posredoval zapis bistvenih ugotovitev in poziv za izjavo pred končno odločitvijo v skladu z 32. in 33 členom ZVOP-2.
Upravljavec je na zgornji poziv odgovoril dne 28. 3. 2023. Argumentirano je pojasnil:
- da dokumentov iz zapisa ugotovitev ni prepoznal kot prijaviteljeve zahteve, da je o njih že bilo odločeno z delno odločbo in da vsebinsko ne ustrezajo prijaviteljevi zahtevi,
- da je bilo že z delno odločbo o pritožbi dokončno in v celoti odločeno, zaradi česar izdaja dopolnilne odločbe ni utemeljena;
- da predvidena odobritev pritožbe kot izhaja iz zapisa ugotovitev ni utemeljena, zlasti zato, ker je nepremičnine zastavil prijavitelj kot gospodarski subjekt, vendar se v zemljiško knjigo ne vpiše kot s.p., pač pa kot posameznik;
- da zadevna dokumenta vsebujeta zlasti analizo možnosti izterjave zoper skupino ….in ne zoper prijavitelja kot fizično osebo. Gre za presojo, vezano na kredit kot temeljni posel. Mnenja in stališča banke ne predstavljajo osebnega podatka prijavitelja. Dokumenta vsebujeta tudi osebne podatke tretjih oseb in se nanašata na kreditojemalca, torej na s.p.;
- da dostop prijavitelja do celotne kreditne mape onemogočata ZPosS (gl. drugi odstavek 2. člena) in ZBan-3 (gl. 145. člen; tretja oseba je tudi prijavitelj, ker ne nastopa kot s.p.), ker gre za poslovno skrivnost oz. zaupne bančne podatke;
- da namerava prijavitelj pridobljeno dokumentacijo razkriti v pravdnem sodnem postopku, kar pomeni ravnanje v nasprotju z ZPosS. Prijavitelj želi mimo sodnega postopka pridobiti dokumente, ki mu bodo koristili v sodnem postopku;
- da Splošna uredba o varstvu podatkov od upravljavca ne zahteva razkritje konkretnih uporabnikov, temveč le kategorije uporabnikov;
- da bi moral IP upravljavca šteti kot stranko postopka (gre za stališče, ki se nanaša na čas pred začetkom veljavnosti ZVOP-2 – op. IP).
Prijavitelj je na zgornji poziv IP odgovoril dne 30. 3. 2023. Pojasnil je, da vztraja pri zahtevi in prijavi. Nadalje je pojasnil, da se ne strinja s stališčem IP o tem, da je za dokumente oz. dele dokumentov, ki jih IP ne namerava razkriti, zveza s prijaviteljem kot posameznikom prešibka. Po mnenju prijavitelja je treba bolj upoštevati akcesornost posla, čeprav se IP z akcesornostjo strinja. Zastavna pravica je soodvisna od zavarovane terjatve. Stališče IP o pravici do vpogleda v podatke, ki se nanašajo na zastavljeno stvar, po mnenju prijavitelja nasprotuje načelu akcesornosti. Zastavna pravica je vezana na zavarovano terjatev in ne na zastavljeno stvar. Stališče IP o tem, da zahtevani podatki nič ne povedo o prosilčevih lastnostih, njegovem stanju in statusu, je napačno, ker prijavitelj nastopa v vlogi zastavitelja s funkcijo zavarovanja tujega kredita. Zato iz podatkov izhajajo vsaj informacije o dolgu, za katerega prijavitelj odgovarja s celotni premoženjem. Ker je torej realni dolžnik tujega dolga, je zveza med njim in temeljnim poslom zelo močna. Zastavna pogodba sama po sebi nima nobenega pomena, če se jo izolira od temeljnega posla. Če podatki o pogodbenem razmerju posameznika predstavljajo njegove osebne podatke, potem po mnenju prijavitelja podatki o temeljnem poslu nedvomno predstavljajo osebne podatke zastavitelja, ki je vstopil v (temeljnemu poslu) akcesorno pravno razmerje, saj brez temeljnega posla tudi njegov posel ne more obstajati.
IP je ocenil, da dodatna procesna dejanja v tem nadzornem postopku niso potrebna.
1. Predmet in meje nadzornega postopka
IP najprej ugotavlja:
1. da je bilo treba v tem nadzornem postopku odločiti le o preostalem delu pritožbe oziroma prijave, tj. o katerem še ni bilo odločeno z delno odločbo IP. IP je v pritožbenem postopku že izdal samostojno delno odločbo št. 07100-24/2022/21 v skladu z 219. členom ZUP zaradi razlogov, ki so navedeni v omenjeni odločbi. Zato je bilo treba s samostojno dopolnilno odločbo odločiti še o preostalih osebnih podatkih in informacijah o obdelavi osebnih podatkov v skladu z 219. členom ZUP, in sicer:
- o morebitnih dodatnih podatkih oziroma dokumentih, ki jih upravljavec še ni posredoval IP in ki ustrezajo zahtevi prosilca, vključno s podatki oziroma dokumenti, ki jih je prosilec posredoval banki,
- o uporabnikih podatkov, razen o uporabnikih, o katerih je že bilo odločeno v o) točki 2. točke izreka delne odločbe št. 07100-24/2022/21 in
- posebej o uporabnikih podatkov iz a) in b) točke 1. točke izreka delne odločbe št. 07100-24/2022/21;
2. da je postopek do izdaje delne odločbe potekal po pravilih ZUP, ki veljajo za pritožbeno odločanje. Postopek, v katerem je izdana predmetna odločba, pa je potekal po novih pravilih iz 30. do 34. člena novega ZVOP-2, ki veljajo od 26. 1. 2023 dalje. Zato v tem nadzornem postopku ni bila izdana dopolnilna odločba v smislu ZUP, temveč odločba po 34. členu ZVOP-2, ki pa ima de facto naravo dopolnilne odločbe v razmerju do že izdane delne odločbe. Polega tega ima upravljavec v nadzornem postopku po novem status stranke. Ta status je bil v nadzornem postopku upoštevan, saj se je imel tudi upravljavec možnost seznaniti z upravno zadevo ter se opredeliti do predhodnih ugotovitev in stališč tako IP kot tudi prijavitelja, ter je to možnost tudi izkoristil.
Sporna vprašanja, ki jih je bilo treba razrešiti v tej nadzorni zadevi so:
- kateri dokumenti, o katerih še ni bilo odločeno z delno odločbo, ustrezajo prijaviteljevi zahtevi, ali upravljavec z njimi razpolaga in v kakšnem obsegu,
- ali se dokumenti oziroma posamezni zapisni na njih nanašajo na prijavitelja,
- ali so za seznanitev izpolnjeni tudi drugi materialnopravni pogoji, zlasti, ali je v konkretnem primeru glede pravice do seznanitve podana izjema varstva poslovne skrivnosti, izjema varstva internega dokumenta ali kakšna druga omejitev,
- ali je upravljavec v celoti in pravilno odločil o zahtevanih informacijah, ki se nanašajo na uporabnike osebnih podatkov.
IP ugotavlja, da so predmet prijaviteljeve prijave, ki se tičejo te odločbe še naslednji dodatni dokumenti (1) ki jih je upravljavec naknadno pripoznal kot predmet prosilčeve zahteve ter jih posredoval IP (2) ki vsebinsko ustrezajo prijaviteljevi zahtevi, in (3) o katerih še ni bilo odločeno z delno odločbo (v nadaljevanju zahtevani dokumenti):
(a) ki so bili s strani IP prejeti dne 21. 12. 2022:
- finančni podatki za solidarnega poroka ….
- odstop od kreditne pogodbe s strani banke, z dne 3. 9. 2015 (ena stran) s prilogo »stanje kredita na dan 1. 9. 2015« (ena stran);
- nalog za knjiženje sprememb po kreditu (ena stran);
- vročilnica, z dne 4. 9. 2015;
- pogodba o najetju dolgoročnega deviznega kredita, z dne 16. 8. 2005 (pet strani);
- poroštvena pogodba št. 203, z dne 16. 8. 2005 (dve strani);
- poroštvena pogodba št. 204, z dne 16. 8. 2005 (dve strani);
- poročilo o prenesenih terjatvah banke do komitenta v upravljanje v službo (šest strani), in sicer naslednji deli: druga do deveta vrstica (vrsta zavarovanja PD0101, PD0301, PS0701, PD0301, PD0301, PD0301, PD301, PP0401), dvanajsta vrstica (PS0701), štirinajsta vrstica (PD0301) ter šestnajsta do devetnajsta vrstica (vse PD0101) točke 3.b (»zavarovanja kredita po partijah«) na drugi in tretji strani, ter celotna rubrika (vse vrstice in stoplci) pod točko 1, 3, 4a, 4b in 5 v tabeli na strani 4;
- priloga poročila iz prejšnje alineje SUTT (pet strani);
- odgovor upravljavca prijavitelju, z dne 7. 10. 2015 (ena stran);
- odgovor prijavitelja na dopise upravljavca, z dne 3. 9. 2015 (ena stran).
(b) ki so bili s strani IP prejeti dne 24. 1. 2023:
- Redni izpisek iz Zemljiške knjige, izdan dne 30. 5. 2006;
- Redni izpisek iz Zemljiške knjige, izdan dne 11. 7. 2006;
- Redni izpisek iz Sodnega registra, izdan dne 4. 7. 2006 za družbo ….
- Pogodba o prodaji in nakupu nepremičnine med …. in …., s.p., z dne 28. 7. 2006, skupaj z izjavama;
- Pogodba o prodaji in nakupu nepremičnin med …. in …., s.p. (28. 7. 2006) – drugi izvod oziroma odpravek pogodbe iz prejšnje alineje;
- Pogodba med ŽITO, d.d. in drugi, ter …, …., s.p., skupaj s prilogo;
- Vloga za odobritev kredita za financiranje odkupa poslovnega prostora …., d.d. (30. 6. 2006);
- Lokacijska informacija za promet z nepremičninami (5. 6. 2006).
IP ugotavlja, da naslednji dokumenti, ki jih je IP-ju dne 21. 12. 2022 poslal upravljavec niso predmet tega nadzornega postopka oziroma te odločbe:
- notarski zapis pogodbe o najetju dolgoročnega deviznega kredita in sporazum o zavarovanju denarne terjatve z vknjižbo skupne hipoteke na nepremičnini po 142. členu SPZ (štirinajst strani),
- elektronska soglasja k predlogu za dolgoročni in kratkoročni kredit (5 elektronskih sporočil, z dne 10. 8. 2006 in 11. 8. 2006 skupaj s predlogom in prilogami 4x, z dne 10. 8. 2006);
- neformalni ročni zaznamki, točka 3. 6. (na dveh straneh);
- vabilo na 67. sejo kreditnega odbora banke (KOB) (ena stran);
- sklep KOB št. 1, z dne 8. 8. 2006 glede dolgoročnega kredita na obrazcu (ena stran) z rubrikami: podatki o stranki, podatki o naložbi in znesku, pogoji odobritve, izjave in podpisi;
- sklep KOB št. 2, z dne 8. 8. 2006 glede kratkoročnega kredita na obrazcu (ena stran) z rubrikami: podatki o stranki, podatki o naložbi in znesku, pogoji odobritve, izjave in podpisi;
- kratka predstavitev zasebnika in naložbe ter ocena predlagatelja (šest strani) z glavnimi poglavji oziroma rubrikami: »kratka predstavitev zasebnika in naložbe ter ocena predlagatelja« (prvo poglavje), »predstavitev zasebnika in komentar o finančnem poslovanju«, »sodelovanje zasebnika z banko in drugimi družbami iz finančne skupine«, »izpostavljenost banke do zasebnika«, »izpostavljenost banke do povezanih družb«, »predstavitev naložbe«, »zavarovanje«, »obrestna mera in stroški«, »odstopanje od veljavnih navodil«;
- bonitetno poročilo – samostojni podjetniki, z dne 8. 8. 2006 (dve strani);
- dodatni parametri določanja bonitete (ena stran);
- bonitetno poročilo, z dne 8. 8. 2006 (šest strani);
- dodatni parametri določanja bonitete (ena stran);
- tabelarični prikaz z rubrikami »predračunska vrednost«, »viri financiranja«, »amortizacija stalnih sredstev« in »amortizacijske stopnje« (ena stran);
- izkaz finančnih tokov »z investicijo« (ena stran);
- bilanca stanja »z investicijo« (ena stran);
- bilanca uspeha »z investicijo«.
O vseh teh dokumentih je namreč že bilo odločeno z delno odločbo IP, z dne 20. 10. 2022.
2. Splošno o pravici do seznanitve z lastnimi osebnimi podatki
Po prvem odstavku 15. člena Splošne uredbe o varstvu podatkov ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov. V skladu s tretjim odstavkom ima posameznik pravico do kopije osebnih podatkov. V skladu s točko (c) prvega odstavka ima posameznik tudi pravico do informacij o uporabnikih ali kategorijah uporabnikov, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah.
Poleg izhodiščne predpostavke – obstoja zahtevanih osebnih podatkov oziroma dokumentov, so materialnopravni pogoji za uresničitev pravice do seznanitve z lastnimi osebnimi podatki po 15. členu Splošne uredbe o varstvu podatkov naslednji:
1. Zahtevani osebni podatki morajo ustrezati definiciji osebnih podatkov v smislu (1) točke člena 4 Splošne uredbe o varstvu podatkov (pogoj podvrženosti pojmu osebnega podatka);
2. Zahtevani osebni podatki se morajo nanašati na posameznika, ki zahteva seznanitev (pogoj navezovanja osebnih podatkov na prosilca);
3. Zahtevani osebni podatki oziroma zahtevano dokumentarno gradivo kot nosilec osebnih podatkov mora obstajati v zunaj zaznavni fizični ali elektronski obliki (pogoj materializirane oblike);
4. Zahtevani osebni podatki se morajo nahajati v zbirki osebnih podatkov v smislu definicije zbirke iz (6) točke 4. člena Splošne uredbe o varstvu podatkov oziroma morajo biti osebni podatki vodeni na način, da ustvarjajo zbirko osebnih podatkov (pogoj obstoja zbirke osebnih podatkov);
5. Z zahtevanimi osebnimi podatki mora razpolagati upravljavec v smislu (7) točke 4. člena Splošne uredbe o varstvu podatkov (pogoj obstoja upravljavca osebnih podatkov);
6. Pogoj neobstoja posebnih zakonskih omejitev (ali omejitev, določenih s predpisi prava EU) pravice do seznanitve z lastnimi osebnimi podatki.
3. Presoja upravičenosti do seznanitve v konkretnem primeru
3.1. Podatki in informacije, do katerih prijavitelj ni upravičen
IP sicer ugotavlja, da bi bili glede vseh zahtevanih dokumentov iz 1. točke obrazložitve te odločbe načeloma lahko izpolnjeni vsi materialnopravni pogoji za seznanitev ob teoretični predpostavki, če bi šlo za osebne podatke, ki bi se nanašali na posameznika (fizično osebo, ki ne opravlja dejavnosti), in sicer:
- pogoj obstoja upravljavca, ker je banka tipičen upravljavec osebnih podatkov komitentov v smislu sedmega odstavka 4. člena Splošne uredbe o varstvu podatkov, saj gre za pravno osebo, ki v okviru sklepanja kreditnih in drugih bančnih poslov sama določa namen in sredstva zbiranja ter druge obdelave osebnih podatkov komitentov, delno pa je to določeno z zakoni, zlasti z Zakonom o preprečevanja pranja denarja in financiranja terorizma (ZPPDFT-2), Zakonom o bančništvu (ZBan-3) in Obligacijskim zakonikom (OZ). Obdelava osebnih podatkov se sicer izvaja zlasti na podlagi (b) in (f) točke prvega odstavka 6. člena Splošne uredbe o varstvu podatkov;
- pogoj materializirane oblike, ker se podatki nahajajo na dokumentih (izpisi, prikazi, predlogi, izpolnjeni obrazci, pripombe, mnenja) najmanj v obliki digitaliziranega dokumentarnega gradiva;
- pogoj zbirke osebnih podatkov, ker so podatki oziroma dokumentov nedvomno del kreditne mape, kot sistematično in logično urejenega ter funkcionalno povezanega zbira dokumentov, ki so relevantni za kreditni posel. Pri tem ni važno, ali se mapa vodi (tudi) v papirni obliki ali le v digitalizirani obliki. Kreditna mapa se nanaša na točno določenega komitenta, njeno iskanje pa je enostavno po osnovnih identifikacijski podatkih prosilca ter spremljajočih okoliščinah (vrsta posla, leto) in po dodatnih identifikatorjih (npr. številka pogodbe). Iskanje osebnih podatkov je enostavno tako znotraj celotnega dokumentarnega gradiva upravljavca kot tudi znotraj same kreditne mape;
- pogoj neobstoja zakonskih omejitev pravice do seznanitve, na primer v Splošni uredbi o varstvu podatkov, Zakonu o varstvu osebnih podatkov (ZVOP-1), Zakonu o bančništvu (ZBan-3) in ZPoS.
Toda kljub navedenemu, IP ugotavlja, da prijavitelj ni upravičen do seznanitve z zahtevanimi podatki oziroma dokumenti iz 1. točke obrazložitve te odločbe ter s pripadajočimi informacijami o uporabnikih teh podatkov, ker ne gre za osebne podatke, ki bi se nanašali na prosilca kot posameznika, ki ne opravlja dejavnosti. Razlogi za to so naslednji:
· IP ne zanika dejstva, da se predmetni podatki sicer nanašajo na poslovni subjekt …., s.p., saj gre za podatke:
a) o ravnanjih tega subjekta - na primer o tem, da je v zaprosil za devizni kredit v določeni višini, da je upravljavcu ponudil zavarovanje s predložitvijo bianko menic in da je v tej fazi sprejel določene pogoje upravljavca glede predčasnega odplačila, rezervacije, nadomestila odobritve, konverzije, roka vračila, obrestne mere itd.;
b) o njegovih lastnostih – na primer o pripravljenosti in angažiranosti za prevzem poslovnega tveganja in odgovornosti za odplačilo kredita in za izvedbo velike poslovne investicije, ter o udejstvovanju v gospodarstvu;
c) o njegovem stanju in statusu – na primer o gospodarskem udejstvovanju kot s.p., o verjetni nezmožnosti za nakup nepremičnine brez najetja kredita, o finančnih potrebah za opravljanje dejavnosti;
d) o njegovih razmerjih – na primer o udeležbi v pogajanjih z upravljavcem za najem določenega kredita, in o pogodbenih lastnostih in pogojih, ki jih je predlagal ali so mu bili ponujeni ali jih je sprejel.
Toda predmetni podatki se objektivno in neposredno nanašajo le na …., s.p., ki je samostojni podjetnik posameznik in je zaradi tega (1) gospodarski subjekt, (2) zasebnik, ki opravlja gospodarsko dejavnost in (3) subjekt vpisa v poslovni register. Prijavitelj v postopku seznanitve je resda posameznik, ki ne opravlja dejavnosti, toda podatki, ki jih zahteva se ne navezujejo nanj v tej vlogi. Gre torej za podatke, ki se nanašajo na opravljanje gospodarske dejavnosti kot podjetnika oziroma podatke, ki se nanašajo na nastopanje na trgu v vlogi poslovnega subjekta in ne za osebne podatke posameznika ali fizične osebe, ki ne opravlja dejavnosti. Upoštevajoč zgoraj navedeno, zahtevani podatki niso osebni podatki, ker gre za podatke, ki so povezani le s posameznikom v funkciji samostojnega podjetnika posameznika;
· Iz kreditnega predloga, obeh sklepov KOB, bonitetnih poročil in bilanc izhaja, da so se predpogodbene aktivnosti izvajale izključno v korist …., s.p., saj je zgolj ta nastopal kot pogodbena stranka;
· Enako potrjuje tudi notarski zapis o kreditni pogodbi št. SV 1058/06, v katerem kot kreditodajalec (dolžnik) nastopa le …., s.p.;
· Tudi namen najetja kredita je bil v nakupu nepremičnine za potrebe opravljanja poslovne dejavnosti;
· V odločbi Ustavnega sodišča RS št. U-I-298/04-26, z dne 27. 10. 2005 je med drugim navedeno, da podatkov v registru transakcijskih računov zasebnika ni mogoče šteti za osebne podatke, saj se ne nanašajo na fizično osebo kot posameznika, temveč na osebo, ki opravlja dejavnost v skladu z veljavnimi predpisi. Ta odločba se nanaša na podatke samostojnega podjetnika posameznika v registru transakcijskih računov po takratnem Zakonu o plačilnih storitvah, storitvah izdajanja elektronskega denarja in plačilnih sistemih (ZPlaSSIED);
· Tudi v odločbi št. U-I-84/03-15 je Ustavno sodišče RS navedlo, da varstvo osebnih podatkov uživajo posamezniki samo, če gre za osebne podatke. Podatkov, ki se nanašajo na eno od oblik, ki jih Zakon o gospodarskih družbah predvideva za opravljanje pridobitne dejavnosti, na splošno ni mogoče obravnavati kot osebne podatke, saj se ne nanašajo na fizično osebo kot posameznika, temveč na fizično osebo kot podjetnika. Čeprav podjetnik lahko nastopa tudi kot fizična oseba, pri opravljanju pridobitne dejavnosti obeh vlog ni mogoče enačiti. Tudi v primerih, ko je dejavnost samostojnega podjetnika že prenehala, podatka, ki se nanaša na podjetnika, ni mogoče šteti za osebni podatek, temveč na podatke v povezavi z dejavnostjo podjetnika;
· Podobno je Ustavno sodišče RS zapisalo v odločbi, št. U-I-229/03-18: »(…) podatkov, vsebovanih v imeniku nepremičninskih posrednikov, na splošno ni mogoče obravnavati kot osebne podatke, saj se ne nanašajo na fizično osebo kot posameznika, temveč na fizično osebo, ki opravlja posle posredovanja v prometu z nepremičninami za nepremičninsko družbo«;
· Zgornje stališče IP o tem, da podatki o s.p. niso osebni podatki o posamezniku - nosilcu dejavnosti, je skladno tudi z mnenji IP, ki so objavljena na spletni strani IP, na primer št. 07121-1/2020/347 (10. 3. 2020), št. 0712-1/2019/104 (23. 1. 2019), št. 07121-1/2021/1594 (26. 8. 2021) in št. 07121-1/2020/1147 (25. 6. 2020);
· Na podlagi pregleda vseh razpoložljivih dokumentov je bilo ugotovljeno, da ti ne vsebujejo podatkov, ki bi se nanašali le na prijavitelja. Vsi dokumenti kot celota ter njihovi deli se nanašajo le na s.p. – to so predvsem dosedanje poslovanje in bilance s.p. in povezanih družb, kreditno tveganje, predlagana oz. zahtevana zavarovanja kredita, predlagani oz. zahtevani pogoji, lastnosti kredita in predvidena naložba;
· IP je analitično presodil, ali bi se dokumenti in njihovi deli utegnili nanašati tudi na prijavitelja, zlasti z vidika ugotovitve: - da je nosilec podjema posameznik, - da ne gre za gospodarsko družbo ali drugo pravno osebo, - da prijavitelj v razmerju do lastnega gospodarskega podjema ni zakoniti zastopnik ali pooblaščenec, - da gre za specifično organizacijsko obliko opravljanja gospodarske dejavnosti, - da gre za isto fizično osebo, pa čeprav nastopa v dveh pojavnih oblikah, »gospodarski« in »negospodarski«. Presoja je pokazala, da kljub navedenim elementom podatki v zahtevanih dokumentih ne kažejo na očitno objektivno in neposredno navezovanje na prijavitelja, ker je prijavitelj v razmerju do vloge, ki jo ima kot nosilec gospodarskega podjema vendarle tako oddaljena entiteta, da ni možno govoriti o »enosti«. To pomeni, da podatki v zahtevanih dokumentih niso v dovolj tesni zvezi s prijaviteljem, da bi jih bilo možno šteti tudi kot njegove osebne podatke.
Ker prijavitelj ni upravičen do seznanitve z zahtevanimi dokumenti oziroma podatki, posledično tudi ni upravičen do pridobitve informacij o uporabnikih teh podatkov. Splošna uredba o varstvu podatkov v 15. členu ureja pravico do seznanitve z lastnimi osebnimi podatki, ki je sestavljena iz več upravičenj – pravice do dostopa do osebnih podatkov v obliki reprodukcije in pravice do taksativno naštetih informacij o obdelavi osebnih podatkov, kamor spadajo tudi informacije o uporabnikih osebnih podatkov. Pravica do informacij je popolnoma odvisna od obstoja osebnih podatkov in upravičenosti do njih. Če niso izpolnjeni pogoji za dostop do osebnih podatkov, pomeni, da avtomatično ni izpolnjena temeljna predpostavka za realizacijo pravice do informacij.
Iz vsega zgoraj navedenega izhaja sklep, da upravljavec glede zahtevanih dokumentov iz 1. točke obrazložitve v trenutku vložitve prijave ni kršil 15. člena Splošne uredbe o varstvu podatkov, kot to izhaja iz drugega stavka 1. točke izreka te odločbe. Izjeme od navedene ugotovitve so obravnavane v nadaljevanju v točki 3.2.
3.2. Podatki, do katerih prijavitelj je upravičen
IP je posebej presojal vprašanje, ali se v zahtevani dokumentaciji morebiti nahajajo osebni podatki prijavitelja iz razloga, ker je prijavitelj v zasebnem svojstvu (torej kot posameznik ali fizična oseba, ki ne opravlja dejavnosti) nastopal kot zastavitelj naslednjih nepremičnin, katerih lastnik je bil v času sklepanja bančnega posla: parc. št. …., parc. št. …., parc. št. …. in parc. št. …., vse k.o. Maribor – Grad, ali ker je nastopal kot kupec nepremičnin, ki se v zemljiško knjigo vknjižijo z nazivom fizične osebe – posameznika in ne kot s.p.
I.
V zvezi z zgoraj navedenim IP ugotavlja, da je prijavitelj upravičen do seznanitve s podatki, ki se objektivno in neposredno nanašajo na eno ali več zavarovanj kredita, ki je bilo izvedeno v vlogi prijavitelja kot posameznika, ki ne opravlja dejavnosti. Ti podatki so:
- besedilo pod točko 1.7.1. »osnovno zavarovanje« na 2. strani (skupaj z naslovom rubrike 9 vrstic), ki se nahaja na pogodbi o najetju dolgoročnega deviznega kredita, z dne 16. 8. 2005 (pet strani);
- poročilo o prenesenih terjatvah banke do komitenta v upravljanje v službo (šest strani), in sicer naslednji deli: druga do deveta vrstica (vrsta zavarovanja PD0101, PD0301, PS0701, PD0301, PD0301, PD0301, PD301, PP0401), dvanajsta vrstica (PS0701), štirinajsta vrstica (PD0301) ter šestnajsta do devetnajsta vrstica (vse PD0101) točke 3.b (»zavarovanja kredita po partijah«) na drugi in tretji strani, ter celotna rubrika (vse vrstice in stoplci) pod točko 1, 3, 4a, 4b in 5 v tabeli na strani 4.
Ti osebni podatki se nanašajo na zavarovanje kredita z zastavitvijo nepremičnin, ki so bile v lasti prijavitelja kot posameznika, ki ne opravlja dejavnosti (tj. subjekta pravice do seznanitve z lastnimi osebnimi podatki), prijavitelj pa je stranka zastavne pogodbe v vlogi zastavitelja v korist …., s.p. Prijavitelj je nosilec oziroma stranka posla zavarovanja, ki je resda akcesorni stvarnopravni posel v razmerju do pogodbe o najemu kredita, a zaradi tega prijavitelj ni stranka osnovnega kreditnega posla. Akcesornost stvarnopravnega zavarovanja se tiče le obligacijskega oz. stvarnopravnega razmerja med udeleženci, nima pa bistvenega vpliva na naravo osebnih podatkov in njihovo pripadnost. Če so neki podatki o bančnem poslu zgolj v posredni zvezi z zastaviteljem, je ta zveza prešibka, da bilo moč govoriti o navezovanju na prosilca. Kreditni posel ni prijaviteljev posel, pač pa le posel med upravljavcem in …., s.p., zato tudi podatki o tem poslu niso prosilčevi osebni podatki, temveč le podatki o …., s.p. Upravno sodišče RS je v sodbi opr. št. I U 1404/2015-20 navedlo, da dokumenti v zvezi s kreditnimi, finančnimi oziroma pogodbenimi razmerji stranke, brez dvoma pomenijo njene osebne podatke v skladu s takrat veljavnim ZVOP-1. Na enak argument se sklicuje tudi prijavitelj. Vsi preostali oziroma neodobreni podatki v zahtevanih dokumentih imajo le posredno in preveč oddaljeno zvezo s prijaviteljem. Ti podatki ne govorijo o prijaviteljevih ravnanjih (npr. o pogajanjih za najetje kredita, o sklenitvi kreditne pogodbe, o poslovni naložbi), ne govorijo o prijaviteljevih razmerjih, ker prijavitelj v teh ni stranka. Podatki tudi ne govorijo o prijaviteljevih lastnostih, prijaviteljevemu stanju in njegovem statusu (npr. o osebnem premoženju, poklicu, življenju, osebnostnih lastnostih). Vsi podatki se neposredno nanašajo le na …., s.p. Za prijavitelja je kreditni posel tuj posel, s katerim je le v posredni in vsebinsko šibki zvezi. Prosilčevi osebni podatki so lahko le tisti, ki govorijo o zavarovanju oziroma o zastavitvi njegovih nepremičnin, ne pa tudi podatki, ki se tičejo glavnega posla.
Poleg navedenega so glede osebnih podatkov, do katerih je prijavitelj upravičen, izpolnjeni tudi preostali materialnopravni pogoji za seznanitev, in sicer:
- pogoj obstoja upravljavca, ker je banka tipičen upravljavec osebnih podatkov komitentov v smislu sedmega odstavka 4. člena Splošne uredbe o varstvu podatkov. Gre namreč za pravno osebo, ki v okviru sklepanja kreditnih in drugih bančnih poslov sama določa namen in sredstva zbiranja ter druge obdelave osebnih podatkov komitentov, delno pa je to določeno z zakoni, zlasti z Zakonom o preprečevanja pranja denarja in financiranja terorizma (ZPPDFT-2), Zakonom o bančništvu (ZBan-3) in Obligacijskim zakonikom (OZ). Obdelava osebnih podatkov se sicer izvaja zlasti na podlagi (b) in (f) točke prvega odstavka 6. člena Splošne uredbe o varstvu podatkov;
- pogoj materializirane oblike, ker se podatki nahajajo na dokumentih (izpisi, prikazi, predlogi, izpolnjeni obrazci, pripombe, mnenja) najmanj v obliki digitaliziranega dokumentarnega gradiva;
- pogoj zbirke osebnih podatkov, ker so podatki oziroma dokumenti nedvomno del kreditne mape, kot sistematično in logično urejenega ter funkcionalno povezanega zbira dokumentov, ki so relevantni za kreditni posel. Pri tem ni važno, ali se mapa vodi (tudi) v papirni obliki ali le v digitalizirani obliki. Kreditna mapa se nanaša na točno določenega komitenta, njeno iskanje pa je enostavno po osnovnih identifikacijski podatkih prosilca ter spremljajočih okoliščinah (vrsta posla, leto) in po dodatnih identifikatorjih (npr. številka pogodbe). Iskanje osebnih podatkov je enostavno tako znotraj celotnega dokumentarnega gradiva upravljavca kot tudi znotraj same kreditne mape;
- pogoj neobstoja omejitev pravice do seznanitve, ker ne obstaja zakon, ki bi v skladu s 23. členom Splošne uredbe določal omejitve pri dostopu zastavitelja do kreditne mape oziroma do dokumentov in podatkov, ki se nanašajo nanj, na primer v ZVOP-2, Zakonu o bančništvu (ZBan-3) in ZPosS. Prav tako ne obstaja nadzakonska omejitev pravice (npr. v Splošni uredbi o varstvu podatkov ali v mednarodni pogodbi). Upravljavec meni, da je tudi poslovna skrivnost ovira za uresničitev pravice do seznanitve z lastnimi osebnimi podatki. V zvezi z zatrjevano poslovno skrivnostjo, ki je v interesnem konfliktu s pravico do seznanitve z lastnimi osebnimi podatki, IP ugotavlja naslednje:
· Zapisi o zavarovanju kredita, niso poslovna skrivnost, ker ne izpolnjujejo pogojev po prvem odstavku 2. člena ZPosS, po katerem je poslovna skrivnost nerazkrito strokovno znanje, izkušnje in poslovne informacije, ki izpolnjuje naslednje zahteve (kumulativno): - je skrivnost, ki ni splošno znana ali lahko dosegljiva osebam v krogih, ki se običajno ukvarjajo s to vrsto informacij; - ima tržno vrednost; - imetnik poslovne skrivnosti je v danih okoliščinah razumno ukrepal, da jo ohrani kot skrivnost. V konkretnem primeru je izpolnjen le tretji pogoj. Dejstvo, da je prijavitelj (ali kdorkoli) sklenil dogovor o zavarovanju kredita z zastavno pravico na nepremičninah, ne razkriva nikakršne skrite informacije, saj je upravljavčeva zahteva po stvarnopravnem zavarovanju in sklepanje teh zavarovanj za večje kreditne obveznosti (zlasti pri dolgoročnih kreditih) zelo običajna praksa vseh bank. S tem se nikomur ne razkriva nič novega, zlasti pa ne prijavitelju, ki je v tem poslu neposredno udeležen subjekt. Enako velja za podatek o razmerju pokritosti, ki je prav tako običajen bančni kriterij za presojo ustreznosti oziroma zadostnosti zavarovanja. Upravljavec tudi ni izkazal nikakršne konkretne tržne vrednosti teh podatkov, kar bi moral proaktivno storiti;
· Tudi če bi šlo za poslovno skrivnost, ta zakonska kategorija, ki varuje interese gospodarskih subjektov ne more avtomatično prevladati nad pomembno ustavno pravico posameznika do seznanitve z lastnimi osebnimi podatki (tretji odstavek 38. člena Ustave RS), ker v konkretnem primeru ni podanih nikakršnih elementov, ki bi pretehtali varstvo poslovne skrivnosti nad pravico do seznanitve z lastnimi osebnimi podatki. Upravljavec ni upošteval, da zgolj obstoj dveh nasprotujočih pravic še ne pomeni, da je avtomatično izničena ena od njih. Poslovna skrivnost je sicer varovana v okviru prvega odstavka 74. člena Ustave (o tem npr. odločba US RS, opr. št. U-I-52/16). Tretji odstavek 15. člena Ustave RS določa, da so človekove pravice in temeljne svoboščine lahko omejene s pravicami drugih, kar pa zahteva argumentirano tehtanje pravic, ki ga upravljavec ni uspel izvesti;
· Tudi če bi šlo za poslovno skrivnost, se ta na more uveljavljati nasproti prosilcu, kot aktivnemu udeležencu posla, ki uveljavlja pravico do seznanite z lastnimi osebnimi podatki, saj bi šlo za t.i. zakonito pridobitev pod drugem odstavku 4. člena ZPosS, prosilec pa bi seveda moral pridobljeno poslovno skrivnost varovati pred nadaljnjim razkritjem tretjim osebam ali pred njeno zlorabo z njegove strani. Tretje osebe so mišljene tiste osebe, ki nimajo pravne podlage za pridobitev poslovne skrivnosti, kamor pa ne spada pristojno sodišče v pravdnem postopku;
· IP ugotavlja, da Splošna uredba o varstvu podatkov, ZVOP-1, ZBan-3, ZGD-1, ZPoS ali kakšen drug zakon izrecno ne določajo, da je poslovna skrivnost upravljavca ali drugega gospodarskega subjekta izjema od pravice do seznanitve z lastnimi osebnimi podatki;
· Po drugem odstavku 4. člena ZPosS je zakonita pridobitev, uporaba ali razkritje poslovne skrivnosti, če tako pridobitev, uporabo ali razkritje zahteva ali dovoli zakon ali predpisi Evropske unije (…), kamor po prepričanju IP spada tudi 15. člen Splošne uredbe o varstvu podatkov in tretji odstavek 38. člena Ustave RS;
· Seveda je treba upoštevati in opozoriti, da bi prijavitelj, pod pogojem, da bi šlo za poslovno skrivnost, do katere je sicer upravičen, bil v celoti in brezpogojno zavezan, da pod grožnjo civilne in kazenske odgovornosti (prim. 236. člen KZ-1) pridobljene zapise varuje pred razkritjem v razmerju do tretjih nepooblaščenih oseb, kot to zahteva 5. člen ZPosS. Prav tako bi bila prepovedana uporaba podatkov za lastne potrebe, ki bi bile v konkurenčnem konfliktu z interesi upravljavca (npr. če bi bil prosilec zaposlen pri drugi banki);
· nenazadnje tudi ne gre za bančno »tajnost« oziroma zaupnost bančnih podatkov v smislu 145. člena ZBan-3, ker so predmet varstva zaupnosti »podatki, dejstva in okoliščine o posamezni stranki«, kar pomeni, da je varstveni subjekt sama stranka (in ne banka), v konkretnem primeru prosilec. Pri uresničevanju pravice do seznanitve z lastnimi osebnimi podatki ne gre za razkrivanje osebnih podatkov tretjim osebam, pač pa za razkritje osebi, na katero se podatki neposredno nanašajo. Po drugem odstavku 146. člena ZBan-3 je treba zaupne bančne podatke varovati nasproti tretjim osebam. Med tretje osebe nikakor ne sodi pogodbena stranka banke.
Vsi preostali oziroma neodobreni podatki v zahtevanih dokumentih imajo le posredno in preveč oddaljeno zvezo s prosilcem. Ti podatki ne govorijo prosilčevih ravnanjih (npr. o pogajanjih za najetje kredita, o sklenitvi kreditne pogodbe, o poslovni naložbi), ne govorijo o prosilčevih razmerjih, ker prosilec ni stranka osnovnega posla ter ne nastopa v kakšni drugi podobni vlogi. Podatki tudi ne govorijo o prosilčevih lastnostih, prosilčevem stanju in njegovem statusu (npr. o osebnem premoženju, poklicu, življenju, osebnostnih lastnostih). Vsi podatki se neposredno nanašajo le na …., s.p. kot je to navedeno že v točki 3.1. te obrazložitve. Za prosilca je kreditni posel tuj posel, s katerim je le v posredni in vsebinsko šibki zvezi.
IP še pojasnjuje, da priloga SUTT »poročila o prenesenih terjatvah banke do komitenta v upravljanje v službo« ne vsebuje prijaviteljevih osebnih podatkov, razen kopije zgoraj že obravnavane druge do devete vrstice (vrsta zavarovanja PD0101, PD0301, PS0701, PD0301, PD0301, PD0301, PD301, PP0401), dvanajste vrstice (PS0701), štirinajste vrstice (PD0301) ter šestnajste do devetnajste vrstice (vse PD0101) točke 3.b (»zavarovanja kredita po partijah«) na drugi in tretji strani, ter celotne rubrike (vse vrstice in stolpci) pod točko 1, 3, 4a, 4b in 5 v tabeli na četrti strani poročila o prenesenih terjatvah banke do komitenta v upravljanje v službo (šest strani). Zaradi tega IP te priloge ni obravnaval kot poseben dokument, o katerem bi bilo treba posebej odločiti.
II.
Nadalje IP ugotavlja, da je prijavitelj upravičen tudi do seznanitve s podatki, ki se objektivno in neposredno nanašajo nanj v vlogi posameznika in ne kot s.p., ker je kot tak naveden v intabulacijski klavzuli prodajne pogodbe. Ti podatki se nahajajo v besedilu celotnega poglavja »Vknjižba lastninske pravice« (»devetič«) na 5. strani Pogodbe o prodaji in nakupu nepremičnine med ….. in …., s.p., z dne 28. 7. 2006. Za te podatke veljajo smiselno enaki razlogi za upravičenost do seznanitve, kot za podatke iz točke II. zgoraj, s to razliko, da gre v tem primeru za prijavitelja v vlogi bodočega lastnika in ne zastavitelja. Pomembno je, da se podatki (osebno ime prijavitelja, naslov, EMŠO, dejstvo t.i. razpolagalnega posla, predmet vknjižbe), v intabulacijski klavzuli nanašajo na prijavitelja kot fizično osebo – posameznika, ki ne opravlja dejavnosti. Pri tem je irelevantna navedba upravljavca, da se nepremičnine in druge pravice v zemljiško knjigo ne vpisujejo v imenu s.p., pač pa v imenu fizične osebe, ki je nosilec dejavnosti. Za presojo upravičenosti je namreč bistveno le to, da so so v obravnavanem besedilu navedeni zgolj osebni podatki prijavitelja kot fizične osebe – posameznika, ki ne opravlja dejavnosti.
III.
Iz vsega zgoraj navedenega izhaja sklep, da je upravljavec glede zahtevanih podatkov, ki so obravnavani v tem podpoglavju (3.2.), točka I. in II. v trenutku vložitve prijave kršil 15. člen Splošne uredbe o varstvu podatkov, kot to izhaja iz prvega stavka 1. točke izreka te odločbe. IP je zato upravljavcu naložil posredovanje odobrenih osebnih podatkov prijavitelju kot to izhaja iz 2. točke izreka te odločbe.
3.3. Posebej o uporabnikih osebnih podatkov
Vsak posameznik, ki je upravičen do seznanitve z lastnimi osebnimi podatki po uvodnem stavku prvega odstavka 15. člena Splošne uredbe, je avtomatično upravičen tudi do pridobitve informacij o zunanjih uporabnikih (v nadaljevanju uporabniki) teh osebnih podatkov po (c) točki prvega odstavka istega člena, če to od upravljavca zahteva. Pogoji za uresničitev obeh pravic so popolnoma enaki, pri čemer je med njima podano razmerje akcesornosti, saj je upravičenost do informacij o uporabnikih odvisna oziroma pogojena z obstojem osebnih podatkov in upravičenostjo do seznanitve z njimi. Posledično bi moral upravljavec v konkretnem primeru prijavitelju razkriti informacije o uporabnikih za vse osebne podatke, katerih dostop je bil prijavitelju odobren v 2. točki izreka te odločbe ter s 1. točko izreka delne odločbe IP št. 07100-24/2022/21. Ker upravljavec tega ni storil, je s tem kršil 15. člen Splošne uredbe. Prijavitelj se je v zahtevi izrecno odločil za pridobitev informacij o uporabnikih in ne le o kategorijah uporabnikov. To pomeni, da je realiziral izbirno upravičenje v (c) točki prvega odstavka, po katerem je posameznik upravičen do informacij o »uporabnikih ali kategorijah uporabnikov«. Upravljavec bi lahko sam sprejel odločitev o tem, ali bo prijavitelju alternativno posredoval informacije o uporabnikih ali zgolj o kategorijah uporabnikov, zgolj v primeru, če tega ne bi storil prijavitelj (npr. če bi v zahtevi na splošno navedel, da želi informacije o obdelavi osebnih podatkov po 15. členu Splošne uredbe). Poleg tega ima upravljavec pravico do izbire v zvezi z obveznostjo proaktivnega informiranja posameznikov, ki jo ima po 13. in 14. členu Splošne uredbe; ta obveznost upravljavca je povsem ločena od pravice posameznika iz 15. člena Splošne uredbe. Prijavitelj ni upravičen do pridobitve informacij o uporabnikih tistih osebnih podatkov, do katerih nima pravice do seznanitve.
Glede na navedeno je bilo treba odločiti, da mora upravljavec prijavitelju posredovati informacije o uporabnikih podatkov iz a) in b) točke 1. točke izreka delne odločbe IP št. 07100-24/2022/21 in uporabnikih iz 2. točke izreka te odločbe. Ta obveznost upravljavca velja ne glede na to, ali je šlo za uporabnike v javnem sektorju ali za uporabnike zasebnem sektorju, ter ne glede na to, ali je do posredovanja osebnih podatkov dejansko sploh prišlo. Informacija o uporabnikih ni le informacija o tem, komu so bili posredovani osebni podatki, temveč je lahko tudi informacija, da podatki niso bili posredovani nikomur. Upravljavec je upravičen, da prijavitelju ne razkrije konkretnega uporabnika le v primeru, če tako določa nek zakon v interesu preprečevanja pranja denarja in financiranja terorizma, v interesu policijskih postopkov ali v interesu postopkov na področju varnostno-obveščevalnih služb.
IP še dodaja, da je njegova pristojnost glede odločanja o pravici iz (c) točke prvega odstavka 15. člena Splošne uredbe omejena le na presojo, ali je upravljavec prosilca seznanil s seznamom uporabnikov osebnih podatkov prijavitelja, ne pa na presojo ustreznosti vsebine in obsega ali resničnosti teh informacij. To pomeni, da IP v odločbi ne more upravljavcu naložiti razkritja konkretno določenih uporabnikov torej konkretne vsebine informacij. Obravnavana določba Splošne uredbe govori o tem, da ima posameznik pravico do informacije in ne pravico do informacije s točno določeno vsebino, kakovostjo in obsegom. Splošna uredba torej ne ponuja kriterijev, kakšna mora biti ta informacija po konkretni vsebini, kakovosti in obsegu, pač pa z vsebinskega vidika le na splošno zahteva, da mora posameznik prejeti seznam konkretnih uporabnikov. Poleg tega bi IP, če bi konkretne uporabnike naštel v izreku te odločbe, s tem razkril uporabnike še pred pravnomočnostjo odločbe, kar bi bilo v nasprotju s tem institutom ter v nasprotju z varstvom morebiti upravičenih nasprotnih interesov upravljavca.
3.4. Opredelitev do drugih navedb strank
IP se je do argumentov obeh strank že opredelil v prejšnjih poglavjih te odločbe. Glede preostalih argumentov IP pojasnjuje:
- da v izreku te odločbe odobreni osebnih podatki oziroma deli dokumentov ne vsebujejo nikakršnih osebnih podatkov tretjih oseb, kot to zatrjuje upravljavec, posredno pa se nanašajo le na gospodarske subjekte, ki so sodelovali v kreditnem poslu;
- da je eden od namenov pravice do seznanitve tudi pridobitev (potencialno) koristnih osebnih podatkov v času pred (potencialnim) sodnim ali drugim uradnim postopkom ali vzporedno z njim. Posameznik lahko na tak način povsem legitimno pridobiva dokazno in informativno gradivo, ki mu bo lahko prišlo prav za namen takega postopka. Pravica do seznanitve ima svojo uporabno oziroma praktično vrednost, ki je neodvisna od uradnih postopkov in tamkajšnjih procesnih pravic. Zato ne drži upravljavčevo stališče o nepoštenem uveljavljanju pravice s strani prijavitelja.
4. Sklepno
Prvi odstavek 34. člena ZVOP-2 določa, da odločba v postopku nadzora poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje:
1. ugotovitev o obstoju ali neobstoju zatrjevane kršitve obdelave osebnih podatkov prijavitelja s posebnim položajem v trenutku vložitve prijave;
2. ukrepe, odrejene upravljavcu ali obdelovalcu glede obdelave osebnih podatkov, ki se nanašajo na prijavitelja s posebnim položajem, in rok za njihovo izvedbo;
3. dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem.
Glede 3. točke zgoraj je IP odločil, da lahko prijavitelj pravico do pregledovanja upravne zadeve št. 07100-24/2022 pri IP izvršuje v celoti. Le glede dokumentov, ki so predmet zahteve in se nahajajo v zadevi, lahko pravico izvršuje zgolj v delu, do katerega je upravičen v skladu s 1. točko izreka delne odločbe IP št. 07100-24/2022/21 in v skladu z 2. točko izreka te odločbe.
Posebni stroški v tem nadzornem postopku niso nastali (5. točka izreka). Prijavitelj in upravljavec nosita svoje stroške, vključno z zastopanjem (drugi odstavek 30. člena ZVOP-2).
Ta odločba je v skladu z določbami Zakona o upravnih taksah (ZUT) oproščena plačila upravne takse.
Pouk o pravnem sredstvu:
Zoper to odločbo ni dovoljena pritožba, pač pa je dopustna tožba, ki se vloži v 30 dneh po prejemu te odločbe na Upravno sodišče v Ljubljani, Fajfarjeva 33, Ljubljana, pisno neposredno pri navedenem sodišču ali priporočeno po pošti ali ustno na zapisnik. Če je tožba poslana priporočeno po pošti, se šteje, da je prispela pravočasno, če je bila oddana na pošto zadnji dan roka za vložitev tožbe. Tožba z morebitnimi prilogami se vloži najmanj v treh izvodih. Tožbi je treba priložiti tudi to odločbo v izvirniku ali prepisu ter plačati sodno takso.
dr. Urban Brulc, univ. dipl. prav.
državni nadzornik za varstvo osebnih podatkov
….
