Obrada osobnih podataka od strane banke i tzv. “Crne liste”


Obrada osobnih podataka od strane banke i tzv. “Crne liste”


Agenciji za zaštitu osobnih podataka upućen je dopis u kojem uz obrazloženje događanja vezano uz potpisivanje nekih formulara i davanje podataka i kopije osobne iskaznice kreditnom posredniku koji nije za podnositelja upita na koncu ishodio odobrenje i realizaciju kredita, te kasnijeg postupanja policije prema podnositelju upita po navodnom davanju falsifikata o zaposlenju banci, je zatraženo od Agencije za zaštitu osobnih podataka da odgovori na pet pitanja odnosnih na zaštitu osobnih podataka i obradu osobnih podataka od strane banke tj. tzv. "Crne liste" iz razloga što je podnositelj upita navodno na tzv. "Crnoj listi" banke zbog kako mu je priopćeno krivotvorenja te mu je odbijen zahtjev za kredit.

1. Smije li banka voditi svoju Crnu listu nepoželjnih osoba i obrađivati moje osobne podatke iako im ja nisam za to potpisao suglasnost ?

Prema Zakonu o kreditnim institucijama ("Narodne novine" 117/08, 74/09, 153/09) članku 169. stavku 3. između ostalog obveza kreditne institucije na čuvanje bankovne tajne ne odnosi se na sljedeće slučajeve: 1) ako se klijent pisano izričito suglasi da se određeni povjerljivi podaci mogu priopćiti, 4) ako se povjerljivi podaci razmjenjuju unutar grupe kreditnih institucija radi upravljanja rizicima, 5) ako se povjerljivi podaci priopćavaju pravnoj osobi koja je osnovana radi prikupljanja i pružanja podataka o bonitetu pravnih i fizičkih osoba, i to u skladu s posebnim zakonom, 6) ako se povjerljivi podaci razmjenjuju između kreditnih i/ili financijskih institucija o klijentima koji nisu ispunili svoju dospjelu obvezu u roku, a povjerljivi podaci se priopćavaju pravnoj osobi koja je osnovana radi prikupljanja i razmjene ovih podataka.

Dakle, prethodno navedenim odredbama propisano je pod kojim okolnostima kreditne institucije (banke) mogu dalje obrađivati (i davati na korištenje) osobne podatke klijenata, u što je obuhvaćena i tzv. "Crna lista".

Međutim, ukoliko Vi niste nikada bili ni na koji način klijent određene kreditne institucije (banke) niti ste joj dali svoje osobne podatke i privolu za obradu istih, onda ista Vaše osobne podatke može obrađivati samo ukoliko ih je dobila na zakonom predviđeni način u prethodno citiranim slučajevima (od druge kreditne institucije ili za to osnovane pravne osobe) vezano na nekakav prethodni poslovni odnos sa nekom drugom kreditnom institucijom.

No, ukoliko niste imali nikakav prethodni poslovni odnos s niti jednom kreditnom institucijom a temeljem kojeg bi se Vaši podaci mogli na navedene načine propisane Zakonom o kreditnim institucijama dalje obrađivati, tada se Vaši osobni podaci ne bi smjeli naći na tzv. "Crnoj listi".

2. Što ako je na nekom od formulara bio tekst suglasnosti, a ja to u zabludi potpisao kada me kreditni posrednik tražio – da li onda banka može moje osobne podatke staviti na Crnu listu i dalje ih obrađivati ?

Ukoliko je neki službeni obrazac za traženje određene poslovne usluge ispunjen sa Vašim osobnim podacima te potpisan od Vas i predan kreditnoj instituciji na propisani način (predan i zaprimljen od ovlaštenih osoba) tada Vas isti kao i na to odnosni uvjeti kreditne institucije obvezuju, sve dok kroz propisano postupanje (povlačenje zahtjeva za uslugom koja još nije odobrena, raskid postojećeg ugovornog odnosa ili sudski postupak u npr. slučaju kaznenog djela prevare) Vaša obveza po istom ne bude odgovarajuće regulirana.

Konkretno, ukoliko postoji potpisana privola za prikupljanje i daljnju obradu Vaših osobnih podataka tada se oni sukladno istoj kao i zakonskom okviru smiju odgovarajuće obrađivati.

Dakle, u načelu ako ste nešto potpisali smatra se da ste pročitali što potpisujete i da ste s istim suglasni, osim ako ste maloljetni ili bez poslovne sposobnosti ili ako se radi o kakvom kaznenom djelu (primjerice da ste bili prisiljeni ili prevareni).

3. Ako me je banka stavila na svoju Crnu listu da li me je dužna o tome obavijestiti u vrijeme stavljanja na Crnu listu ili mi ne moraju javiti ništa ?

Člankom 9. Zakona o zaštiti osobnih podataka ("Narodne novine" 103/03, 118/06, 41/08 i 130/11, u daljnjem tekstu ZZOP) propisana je obveza informiranja ispitanika koja uključuje i obvezu informiranja prije davanja osobnih podataka na korištenje drugim primateljima, no također su propisane i iznimke od obveze informiranja, gdje je navedena i iznimka ako je obrada osobnih podataka izričito navedena zakonom.

Slijedom navedenog potrebno je iznova ukazati na vezu s prethodno citiranim odredbama članaka 169. Zakona o kreditnim institucijama.

Međutim za definitivan odgovor o obveznom postupanju određenog voditelja zbirke osobnih podataka bilo bi potrebno imati na raspolaganju sve činjenice odnosne na konkretan slučaj (koja kreditna institucija je izvršila obradu osobnih podataka, kojim pravnim temeljem su podaci prikupljani i dalje obrađivani, da li je zaključen poslovni odnos i pod kojim uvjetima i dr.).

4. Ako ja zatražim od banke da momentalno izbriše moje osobne podatke sa svoje Crne liste, mora li banka po tome postupiti ? a u slučaju da sam im ranije potpisao suglasnost za moje podatke, pa naknadno povlačim suglasnost ?

Prava ispitanika i zaštita prava regulirani su između ostalog unutar glave VIII. ZZOP-a, gdje je u članku 20. među inim propisano da voditelj zbirke osobnih podataka dužan je na zahtjev ispitanika, odnosno njegovih zakonskih zastupnika ili punomoćnika dopuniti, izmijeniti ili brisati osobne podatke ako su podaci nepotpuni, netočni ili neažurni te ako njihova obrada nije u skladu s odredbama ovog Zakona.

Također u stavku 2. članka 7. ZZOP-a propisano je između ostalog da ispitanik ima pravo u svako doba odustati od dane privole i zatražiti prestanak daljnje obrade njegovih podataka.

Dakle, iz navedenog je razvidno da su iste odredbe odnosne na situacije kada se prikupljanje i daljnja obrada osobnih podataka zasniva isključivo na privoli ispitanika i kada ju isti povlači, te kada se radi o zahtjevu za brisanjem netočnih podataka, dok se na situacije u kojima je došlo do zaključenja nekog obvezno-pravnog odnosa mora akceptirati ugovoreno istim i/ili odredbe odnosnih propisa koji moguće reguliraju predmetno.

Stoga, u konkretnoj situaciji ako bi sve Vaše obveze prema voditelju zbirke osobnih podataka (kreditnoj instituciji – banci) bile odgovarajuće podmirene prema ugovornim odredbama zaključenog poslovnog odnosa i ako odredbama istog kao i na predmetno odnosnih posebnih propisa možda nije utvrđeno/propisano dodatno vrijeme određene daljnje obrade, tada je ista u obvezi prestati s obradom Vaših osobnih podataka na Vaš zahtjev, no isto nije primjenjivo ukoliko određeni obvezno-pravni odnos s voditeljem zbirke osobnih podataka nije na odgovarajući način reguliran (zaključen) ili ukoliko je istim ugovoreno određeno daljnje vrijeme čuvanja podataka (daljnje obrade) ili je to moguće propisano posebnim propisom odnosnim na predmetno.

Konkretno to znači da primjerice banka neće biti u obvezi brisati osobne podatke osobe (ispitanika) koja je realizirala kredit kod nje dok isti nije vraćen sukladno u ugovoru o kreditu ugovorenim uvjetima bez obzira na zahtjev ispitanika tj. uskratu/povlačenje privole budući da je došlo do zaključenja određenog obvezno-pravnog odnosa čije odredbe su obvezujuće za obje strane, a koji je kao zaseban pravni temelj za prikupljanje i daljnju obradu osobnih podataka propisan i podstavkom 4. u stavku 1. članka 7. ZZOP-a.

5. Smije li banka dati drugoj banci moje osobne podatke za uvrštenje na Crnu listu u drugoj banci da me i tamo mogu odbiti ako im se obratim radi kredita ?

Prema odredbama članka 169. Zakona o kreditnim institucijama kod tzv. "Crne liste" radi se o razmjeni podataka, koje podatke potom kreditne institucije (banke) koriste u svojim poslovnim procesima, a unutar kojih podataka se stoga mogu nalaziti osim podataka klijenata određene kreditne institucije i podaci klijenata drugih kreditnih institucija (no sve u sadržaju i na način sukladno zakonom utvrđenim kriterijima). Zaključno ističemo da je konačan odgovor na pitanje o sukladnosti obrade Vaših osobnih podataka u konkretnom slučaju moguće dati samo na temelju svih potrebnih činjenica odnosnih na isto, te također treba naglasiti da je glede mogućih situacija postupanja suprotno odredbama ZZOP-a propisano da svatko tko smatra da mu je povrijeđeno neko pravo zajamčeno Zakonom o zaštiti osobnih podataka može podnijeti zahtjev za utvrđivanje povrede prava Agenciji za zaštitu osobnih podataka (članak 24. ZZOP-a), nadalje ukoliko Agencija za zaštitu osobnih podataka prilikom obavljanja nadzora utvrdi da su povrijeđene odredbe zakona kojima se uređuje obrada osobnih podataka između ostalogamože narediti da se nepravilnosti uklone u određenom roku, privremeno zabraniti prikupljanje, obradu i korištenje osobnih podataka koji se prikupljaju, obrađuju ili koriste suprotno odredbama zakona, narediti brisanje osobnih podataka prikupljenih bez pravne osnove, a može i inicirati pokretanje postupka prekršajne odgovornosti pred nadležnim tijelom (članak 34. ZZOP-a).

 
 
  Natrag