Pravila sistema izmenjave informacij o boniteti strank

3965. Pravila sistema izmenjave informacij o boniteti strank – SISBON

Na podlagi prvega odstavka 372. člena Zakona o bančništvu (Uradni list RS, št. 25/15) in 31. člena Zakona o Banki Slovenije (Uradni list RS, št. 72/06 – uradno prečiščeno besedilo in 59/11) izdaja Svet Banke Slovenije

P R A V I L A
sistema izmenjave informacij o boniteti strank – SISBON

I. UVODNA DOLOČILA IN OPREDELITEV POJMOV

1. člen

(1)

Pravila sistema izmenjave informacij o boniteti strank – SISBON (v nadaljevanju »pravila«) določajo tehnične pogoje za dostop do sistema, ukrepe za zavarovanje osebnih podatkov, ki se zbirajo in obdelujejo v sistemu ter ostala vprašanja upravljanja in uporabe sistema in s tem povezane porazdelitve medsebojnih pravic, obveznosti in odgovornosti med Upravljavcem ter Uporabnikom oziroma Omejenim Uporabnikom.

(2)

Izrazi, uporabljeni v teh pravilih, pomenijo:

SISBON – slovenski elektronski informacijski sistem izmenjave informacij o boniteti strank, ki so fizične osebe, kot je opredeljen v ZBan-2. Omogoča avtomatsko obdelavo osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, povezovanje, spreminjanje, vpogled, uporabo ali sporočanje, vključno s prenosom, iskanjem, blokiranjem in brisanje osebnih podatkov Uporabnikov in njihovih Komitentov.

Upravljavec sistema in zbirke podatkov o boniteti strank –Banka Slovenije (v nadaljevanju Upravljavec) zagotavlja pravilno in nemoteno delovanje SISBON in v tem okviru predvsem delovanje programske in strojne opreme ter njeno fizično in elektronsko zaščito, kakor tudi funkcionalnost sistema v smislu določb področnih predpisov (ZBan-2, ZPotK-1) in upravlja zbirko podatkov v skladu z določbami ZBan-2 in ZVOP-1.

Uporabniki –vse banke in hranilnice, katerih glavni sedež ali sedež registrirane podružnice se nahaja v Republiki Sloveniji; finančne institucije katerih glavni sedež ali sedež registrirane podružnice se nahaja v Republiki Sloveniji in katerih izključna ali pretežna dejavnost je opravljanje storitev finančnega zakupa in ki izpolnjujejo kriterije za vključitev v SISBON v skladu z ZBan-2; pravne osebe katerih glavni sedež ali sedež registrirane podružnice se nahaja v Republiki Sloveniji, ki opravljajo storitve izdaje osebnih kartic z odloženim plačilom, izpolnjujejo pogoj za vključitev v SISBON v skladu z ZBan-2 in so se za to vključitev odločile; banke države članice EU, ki na območju Republike Slovenije v skladu z določili ZBan-2 neposredno opravljajo storitve v Republiki Sloveniji in so se za to vključitev odločile.

Omejeni uporabniki – drugi dajalci kreditov s sedežem v Republiki Sloveniji ali v drugi državi članici Evropske unije, za katere ne velja možnost vključitve v SISBON po ZBan-2, in ki imajo pravico do omejenega dostopa in obdelave podatkov iz SISBON v skladu z določili ZPotK-1.

Pogodbeni obdelovalec – pravna ali fizična oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov pod pogojem, da je registrirana za opravljanje takšne dejavnosti, in v skladu s pogodbo z upravljavcem zagotavlja operativno pravilno in nemoteno delovanje SISBON, kar pomeni, da zagotavlja delovanje programske in strojne opreme ter njeno fizično in elektronsko zaščito v skladu z ZVOP-1 in ZBan-2. Pogodbeni obdelovalec osebnih podatkov Komitentov, ki jih v SISBON posredujejo Uporabniki, je obdelovalec podatkov, s katerim Banka Slovenije sklene pogodbo za obdelavo osebnih podatkov Komitentov posameznikov in osebnih podatkov pooblaščenih oseb pri posameznemu uporabniku.

Komitent – posameznik kot fizična oseba, ki ima pri Uporabniku ali več njih izpostavljeno pogodbeno obveznost iz poslov, navedenih v 14. členu teh pravil, ali namerava vzpostaviti tovrstno obveznost kot potencialni dolžnik nasproti kateremu od Uporabnikov ali Omejenemu uporabniku.

Osebni podatki – katerikoli podatek, ki se nanaša na določeno ali določljivo fizično osebo v skladu z ZVOP-1, predvsem podatki o Komitentu, njegovih poslih, pozitivnih in negativnih poslovnih dogodkih, ki jih Uporabniki vnašajo oziroma posredujejo in si jih izmenjujejo preko SISBON kakor tudi podatki o zaposlenih pri posameznem Uporabniku ali Omejenem uporabniku. V celotnem sistemu se obravnavajo kot zaupni podatki, vsi podatki v skladu z ZBan-2 in ZVOP-1.

ZBan-2 –Zakon o bančništvu v vsakokratno veljavni vsebini.

ZPotK-1 – Zakon o potrošniških kreditih v vsakokratno veljavni vsebini.

ZVOP-1 – Zakon o varstvu osebnih podatkov v vsakokratno veljavni vsebini.

II. UPRAVLJANJE SISBON

2. člen

(1)

Upravljavec organizira in upravlja SISBON v skladu z ZBan-2 z namenom, da omogoči Uporabnikom ter Omejenim uporabnikom upravljanje s kreditnim tveganjem preko učinkovitejšega določanja kreditne sposobnosti Komitentov, s čimer se zagotavlja tudi odgovorno kreditiranje in preprečevanje primerov prezadolženosti oziroma neizterljivosti zapadlih terjatev.

(2)

Upravljavec administrira, usklajuje in nadzira vsebinsko izvajanje odnosov s pogodbenimi obdelovalci in razvijalci ter vzdrževalci SISBON in ostalimi pogodbenimi partnerji upravljavca sistema SISBON.

(3)

Upravljavec koordinira zahteve ali predloge za spremembe in nadgradnje aplikacije SISBON in organizira delo z Uporabniki in Omejenimi uporabniki.

(4)

Upravljavec komunicira z javnostmi v zadevah organizacije in delovanja SISBON.

(5)

Upravljavec upravlja zbirko podatkov v skladu z ZBan-2 in ZVOP-1

3. člen

(1)

Upravljavec ima pravico vpogleda, upravljanja in obdelavo osebnih podatkov Skrbnikov in njihovih namestnikov Uporabnikov ali Omejenih uporabnikov in ima za namene, predvidene v ZBan-2, pravico in pooblastilo za obdelavo osebnih podatkov Komitentov, ki so predmet obdelave v SISBON.

(2)

Upravljavec upravlja s podatki v sistemu SISBON v smislu ZBan-2 in ZVOP-1. Uporabniki ter Omejeni uporabniki so obdelovalci osebnih podatkov o svojih Komitentih ter so istočasno uporabniki osebnih podatkov v smislu ZVOP-1, in sicer glede tistih osebnih podatkov posameznih Komitentov, za katere pridobivajo podatke iz SISBON na podlagi ZBan-2 in ZPotK-1. Uporabniki so v smislu določb ZBan-2 odgovorni za pravilnost podatkov, ki jih vnašajo v SISBON in jih morajo v primeru napak izbrisati ali popraviti.

4. člen

(1)

Upravljavec pred vključitvijo in kasneje v rednih intervalih zagotovi pregled organizacije in delovanja SISBON pri Uporabnikih, ki z upravljavcem sklenejo pogodbo o vključitvi v SISBON, Omejenih Uporabnikih in morebitnih drugih zunanjih izvajalcih.

(2)

Stroške pregleda iz prvega odstavka tega člena organizacije in delovanja SISBON nosi subjekt pregleda iz prvega odstavka tega člena v skladu z veljavno Tarifo SISBON.

III. VKLJUČITEV IN DOSTOP DO SISBON

5. člen

(1)

Za vključitev in dostop do SISBON morajo Uporabniki z Upravljavcem skleniti pogodbo o uporabi SISBON, predhodno pa izpolniti naslednje pogoje:

-

plačajo tarifo za vključitev v skladu z veljavno Tarifo SISBON,

-

imenujejo generalnega skrbnika SISBON in njegovega namestnika,

-

vzpostavijo testno okolje SISBON v skladu s tehnično specifikacijo Upravljavca in ostalo dokumentacijo,

-

zaključijo testiranje z izpolnjeno UAT (User Acceptance Test) izjavo,

-

opravijo pregled o ustreznosti/pripravljenosti za vključitev v sistem SISBON,

-

inicialno napolnijo sistem SISBON s svojimi podatki v skladu z ZBan-2.

(2)

Upravljavec omogoči vključitev v testno okolje SISBON po plačilu tarife za vključitev v SISBON.

(3)

Pregled o ustreznosti/pripravljenosti za vključitev v produkcijsko okolje sistema SISBON se opravi pred njegovo vključitvijo v produkcijsko okolje sistema SISBON. Vsebino pregleda določi Upravljavec.

(4)

Po ugotovitvi ustrezne pripravljenosti Uporabnika na uporabo sistema SISBON Upravljavec Uporabnika obvesti o izpolnitvi pogojev za vključitev v produkcijsko okolje SISBON.

(5)

Uporabnik mora najkasneje v roku enega meseca po obvestilu iz prejšnjega odstavka izvesti inicialno polnjenje podatkov v produkcijsko okolje SISBON. Pri Uporabniku, ki v predpisanem roku ne izvede inicialnega polnjenja podatkov, se izvede ponoven pregled v smislu četrtega odstavka tega člena, stroške takšnega pregleda nosi Uporabnik SISBON.

(6)

Upravljavec lahko začasno onemogoči (izklopi) uporabo SISBON Uporabniku oziroma Omejenemu uporabniku, ki krši določila Pogodbe ali določila teh pravil. Ko Uporabnik iz prejšnjega stavka ali Omejeni uporabnik SISBON preneha oziroma odpravi kršitev se mu ponovno omogoči (vklopi) uporabo SISBON. Strošek začasnega izklopa in ponovnega priklopa se Uporabniku oziroma Omejenemu Uporabnika obračuna v skladu s Tarifo SISBON. V primeru, da Uporabnik oziroma Omejeni uporabnik kršitev ne odpravi v roku, ki mu ga naloži Upravljavec, lahko Upravljavec odstopi od Pogodbe o uporabi SISBON, brez obveznosti do tega uporabnika.

(7)

Uporabniki so dolžni ta Pravila izpolnjevati ves čas. Upravljavec izvaja pregled izpolnjevanja teh Pravil pri Uporabnikih oziroma Omejenega Uporabnika v okviru opravljanja pregleda v skladu s pogodbo o uporabi SISBON, pri Uporabnikih, nad katerimi ima Upravljavec pristojnost nadzora po določbah ZBan-2, pa tudi z opravljanjem nadzora v skladu z določbami ZBan-2.

6. člen

(1)

Omejeni uporabniki s sedežem v Republiki Sloveniji lahko dostopajo do podatkov SISBON v obsegu iz ZPotK-1, ko od pristojnega organa pridobijo dovoljenje (odločbo) za opravljanje storitev potrošniškega kreditiranja, podajo vlogo za pridobitev informacij iz sistema SISBON, predložijo izjavo o izpolnjevanju pogojev, ki jih zahteva ZPotK-1 ter z Upravljavcem sklenejo pogodbo o uporabi SISBON.

(2)

Omejeni uporabniki s sedežem v drugi državi členici EU dostopajo do podatkov SISBON pod enakimi pogoji kot Omejeni uporabniki s sedežem v Republiki Sloveniji.

7. člen

(1)

Nadzor vstopa v SISBON in identifikacija pooblaščenih oseb se izvaja s pomočjo kvalificiranih digitalnih potrdil (certifikatov) in ustreznega varnega medija za hrambo certifikatov in dostop do SISBON (pametne kartice s čipom, pametni ključki).

(2)

Povezava in dostop do podatkov SISBON je možen le z uporabo predhodno dodeljenih kvalificiranih digitalnih potrdil, izdanih s strani v ta namen pooblaščenih izdajateljev. Za poizvedovanje po podatkih v SISBON preko spletne aplikacije se uporablja kvalificirano digitalno potrdilo, ki je vezano na posamezno fizično (pooblaščeno) osebo. Za poizvedovanje po podatkih v SISBON z uporabo aplikacijskega vmesnika se lahko uporablja kvalificirano digitalno potrdilo, ki je vezano na posamezno fizično (pooblaščeno) osebo ali pa kvalificirano digitalno strežniško potrdilo. V primeru poizvedovanja preko kvalificiranega digitalnega strežniškega potrdila se upošteva enoznačni način identificiranja pooblaščene osebe v sistemu SISBON (ID pooblaščene osebe). Prepovedano je kakršnokoli posojanje ali skupinska uporaba digitalnih potrdil.

(3)

Uporabnik oziroma Omejeni uporabnik naroči digitalno potrdilo pri pooblaščenem izdajatelju. Po prejemu digitalnega potrdila (kartice, pametnega ključka) doda Skrbnik v sistem SISBON pooblaščeno (fizično) osebo tako, da:

-

omogoči aplikaciji, da prebere digitalno potrdilo (ID digitalnega potrdila)

-

vpiše podatke pooblaščene osebe (ime in priimek, šifro pooblaščene osebe, službeni naslov, telefon, faks in elektronski naslov)

-

potrdi vnos (sistem ID digitalnega potrdila v bazi SISBON združi s podatki pooblaščene osebe in kasneje to uporabi pri preverjanju digitalnega potrdila in upravičenosti dostopa do sistema SISBON; vsakokratno preverjanje veljavnosti samega digitalnega potrdila pa gre preko CRL list).

(4)

Kvalificirana digitalna potrdila morajo biti shranjena na varni lokaciji (pametnem ključku ali pametni kartici oziroma v primeru uporabe strežniškega potrdila na varovanem strežniku). Ob dostopu do sistema SISBON mora biti kvalificirano digitalno potrdilo dosegljivo, da lahko Upravljavec oziroma sistem SISBON opravi identifikacijo dostopajočega.

(5)

Dostop do podatkov s strani pooblaščene osebe je dovoljen le pooblaščenim osebam pri Upravljavcu in Uporabniku oziroma Omejenem uporabniku, ki se za delo s SISBON prijavljajo v sistem z uporabo digitalnega potrdila.

(6)

Vsak dostop do podatkov s strani pooblaščene osebe pri Upravljavcu in Uporabniku oziroma Omejenem uporabniku se beleži in nadzoruje z verodostojno in celovito revizijsko sledjo ter hrani za obdobje šestih let, tako, da je omogočeno poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani (vključno z vpogledi) in kdo je to storil.

IV. POOBLASTILA IN NALOGE ZNOTRAJ SISTEMA SISBON

8. člen

Pooblastila se v sistemu SISBON dodeljujejo distribuirano. Pri Upravljavcu deluje Generalni skrbnik, ki na predlog Uporabnika dodeljuje pravice (pooblastila) Generalnemu skrbniku in njegovemu namestniku posameznega Uporabnika, ta pa podeljujejo pooblastila za delo na SISBON svojim sodelavcem – pooblaščenim osebam.

9. člen

Pri Upravljavcu so pooblastila in naloge porazdeljene med Generalnega skrbnika, Pooblaščeno osebo – operaterja IT in Pooblaščeno osebo za urejanje reklamacij.

(1)

Generalni skrbnik:

-

izvaja vse potrebne postopke za vključevanje Uporabnikov SISBON v sistem SISBON,

-

izvaja vse potrebne postopke za omogočanje dostopa do podatkov s strani Omejenih uporabnikov in postopek začasnega izklopa Uporabnika oziroma Omejenega uporabnika, ki krši določila Pogodbe o uporabi SISBON ali določila teh pravil,

-

na predlog Uporabnika ali Omejenega uporabnika dodeljuje pravice Generalnemu skrbniku in njegovemu namestniku pri posameznem Uporabniku ali Omejenem uporabniku,

-

ima vpogled v seznam Generalnih skrbnikov, njihovih namestnikov in pooblaščenih oseb pri Uporabnikih ali Omejenih uporabnikih ter ažurira listo preklica Generalnih skrbnikov in njihovih namestnikov posameznega Uporabnika ali Omejenega uporabnika,

-

pri oblikovanju novih vsebinskih zahtev ali predlogov za spremembe in nadgradnje aplikacije SISBON koordinira delo z Uporabniki,

-

pripravlja statistike in poročila,

-

sodeluje pri reševanju pritožb strank v obsegu in na način kot Pooblaščena oseba za urejanje reklamacij pri Upravljavcu,

-

V sistem vnaša Zahteve komitentov za izpis osebnih podatkov iz SISBON, ki jih komitenti oddajo pri upravljavcu.

(2)

Pooblaščena oseba – operater IT opravlja naloge iz 12. člena teh pravil.

(3)

Pooblaščena oseba za urejanje reklamacij:

-

prek sistema posreduje Uporabnikom prejete reklamacije komitentov,

Pravila sistema izmenjave informacij o boniteti strank – SISBON

Časovnica