Iz agencije za naplatu potra\u017eivanja B2 Kapital u javnost su procurili osobni podaci o 77.317 fizi\u010dkih osoba. Rije\u010d je o dosad najve\u0107em curenju osobnih podataka u Hrvatskoj. Naime, iz te tvrtke iza\u0161li su podaci koji sadr\u017eavaju ime i prezime, OIB, datum ro\u0111enja, adresu stanovanja, naziv i OIB poslodavca, broj telefona\/mobitela, e-mail, dugovanje prema B2 Kapitalu, iznos glavnice te iznos zateznih kamata.<\/p>\n\n\n\n
Otkupljuju lo\u0161e kredite banaka<\/strong><\/p>\n\n\n\n Podsjetimo, agencije za naplatu potra\u017eivanja otkupljuju dugove lo\u0161ih kredita od banaka i teleoperatera i potom ih same napla\u0107uju. Oni kojima je dug prodan \u017eale se na postupanje tih agencija, no nitko im ne mo\u017ee pomo\u0107i jer su agencije osnovane kao trgova\u010dka dru\u0161tva, a ne kao kreditne institucije. B2 Kapital ve\u0107inom je otkupljivao lo\u0161e kredite od banaka.<\/p>\n\n\n\n Osim \u010dinjenice da je rije\u010d o dosad najve\u0107em curenju osobnih podataka u Hrvatskoj te \u0107e trebati utvrditi kako su se ti podaci na\u0161li u javnosti, pitanje je li ta agencija smjela obra\u0111ivati podatke na ovakav na\u010din, odnosno da se uz iznos duga nalaze i podaci o osobnom e-mailu i broju mobitela. Postavlja se i pitanje kako je B2 Kapital do\u0161ao do tih podataka<\/p>\n\n\n\n Iz Agencije za za\u0161titu podataka (AZOP) rekli su za Index da su zapo\u010deli istragu, dok su nam iz B2 Kapitala potvrdili da je do\u0161lo do neovla\u0161tenog otu\u0111enja osobnih podataka njihovih du\u017enika te da sura\u0111uju sa svim institucijama.<\/p>\n\n\n\n Kako su se podaci o du\u017enicima agencije za naplatu potra\u017eivanja na\u0161li u javnosti, zasad nije poznato, no iz B2 Kapitala nam ka\u017eu da je prodaja tih osobnih podataka tre\u0107im osobama s njihove strane isklju\u010dena.<\/p>\n\n\n\n “B2 Kapital d.o.o. obra\u0111uje osobne podatke isklju\u010divo u skladu s relevantnim zakonskim odredbama. B2 Kapital ne obra\u0111uje osobne podatke na nezakonit niti nedopu\u0161ten na\u010din”, rekli su iz B2 Kapitala za Index.<\/p>\n\n\n\n No, krenimo redom.<\/p>\n\n\n\n \u010cesto nazivaju du\u017enike i njihove poslodavce i prijete ovrhama<\/strong><\/p>\n\n\n\n Prema informacijama Index Istraga, do\u0161lo je do curenja baze podataka koja sadr\u017ei 77.317 redova zapisa o fizi\u010dkim osobama koje su du\u017enici tvrtke B2 Kapital d.o.o. Kao \u0161to smo napisali u uvodu, radi se o dokumentu u kojem se, osim imena i prezimena te OIB-a tih osoba i njihovih poslodavaca, nalaze i iznos duga, e-mail adrese te brojevi mobitela tih ljudi.<\/p>\n\n\n\n Podsjetimo da se gra\u0111ani Hrvatske ve\u0107 dugo bore protiv postupanja tih agencija, iz kojih ih nazivaju telefonom tra\u017ee\u0107i da plate dug, a zovu i njihove poslodavce. \u010cesto \u0161alju dopise na e-mail te prijete ovrhama.<\/p>\n\n\n\n Poslovanje agencija trenutno nije definirano u hrvatskom zakonu. Naime, hrvatske banke prodaju nenaplative i te\u0161ko naplative kredite tre\u0107im osobama, odnosno agencijama za naplatu potra\u017eivanja, koje nisu registrirane kao kreditne institucije, nego kao d.d. pa nisu pod nadzorom HNB-a ili Hanfe. Sada su iz jedne takve agencije procurili osobni podaci.<\/p>\n\n\n\n AZOP pokrenuo istragu<\/strong><\/p>\n\n\n\n Agenciju za za\u0161titu osobnih podataka pitali smo imaju li saznanja o tome kako je do\u0161lo do curenja osobnih podataka u javnost te koje su mjere poduzete, odnosno jesu li osobe s popisa obavije\u0161tene o tome da su njihovi podaci procurili u javnost.<\/p>\n\n\n\n “Agencija za za\u0161titu osobnih podataka zaprimila je anonimnu prijavu u odnosu na voditelja obrade B2 Kapital d.o.o. te je pokrenula nadzorno postupanje nad predmetnim voditeljem obrade. S obzirom na to da je postupanje u tijeku, ne mo\u017eemo iznositi detaljnije informacije”, rekli su nam iz AZOP-a.<\/p>\n\n\n\n Iz B2 Kapitala ka\u017eu nam da nisu bili svjesni da je do\u0161lo do curenja tolikog broja osobnih podataka te da su informaciju o mogu\u0107em kr\u0161enju odredbi GDPR-a i neovla\u0161tenom raspolaganju osobnim podacima dobili tek od AZOP-a.<\/p>\n\n\n\n “Odmah smo poduzeli intenzivne istra\u017ene radnje te postupili u skladu s na\u0161im strogim sigurnosnim protokolom postupanja s osobnim podacima. Sura\u0111ujemo sa svim nadle\u017enim institucijama kako bi se utvrdilo na koji na\u010din i gdje je do\u0161lo do neovla\u0161tenog otu\u0111enja osobnih podataka na\u0161ih klijenata, a pokrenuli smo i neovisnu vanjsku forenzi\u010dku istragu”, ka\u017eu nam iz B2 Kapitala.<\/p>\n\n\n\n Odakle agenciji brojevi mobitela i e-mailovi?<\/strong><\/p>\n\n\n\n Osim curenja podataka, pitanje je kako je B2 Kapital do\u0161ao do tih podataka. Jasno je da dolazi do imena i prezimena, adresa i podataka o poslodavcima, no kako do\u0111e do e-maila i telefona?<\/p>\n\n\n\n Naime, kad banke prodaju potra\u017eivanja, odnosno lo\u0161e kredite agencijama za naplatu potra\u017eivanja, zaklju\u010duje se ugovor o prijenosu potra\u017eivanja, odnosno kredita. S ustupljenim potra\u017eivanjem, odnosno kreditom, na novog vjerovnika prelaze i sva sporedna prava kao \u0161to su pravo na kamate, zalo\u017ena prava i drugo.<\/p>\n\n\n\n Banka agencijama predaje i podatke o svojim korisnicima kredita, odnosno ugovore o kreditima iz kojih su razvidni podaci kao \u0161to su adresa stanovanja ili teku\u0107i ra\u010dun. No u ugovorima o kreditu nema podataka kao \u0161to su e-mailovi ili brojevi mobitela.<\/p>\n\n\n\n Agencije za otkup i naplatu potra\u017eivanja imaju pravo po Ovr\u0161nom zakonu od Hrvatskog zavoda za mirovinsko osiguranje (HZMO) zatra\u017eiti podatke o tome je li neka fizi\u010dka osoba osiguranik, po kojoj osnovi i kod koga, odnosno prima li mirovinu, naknadu zbog tjelesnog o\u0161te\u0107enja ili koju drugu stalnu naknadu o kojoj vodi evidenciju. No HZMO ne daje podatke o e-mailu ili broju mobitela.<\/p>\n\n\n\n HZMO ne daje mailove i brojeve telefona<\/strong><\/p>\n\n\n\n Kako smo provjerili, HZMO na obrazlo\u017eeni zahtjev pravnih i fizi\u010dkih osoba koje tvrde da namjeravaju pokrenuti ovr\u0161ni postupak protiv neke osobe izdaje potvrdu s podacima o du\u017eniku.<\/p>\n\n\n\n “U potvrdi se ne navode podaci poput brojeva mobitela, telefona ili osobne e-po\u0161te jer HZMO ne vodi te podatke u slu\u017ebenim evidencijama niti je davanje tih podataka zakonski propisano”, odgovorili su na upit Indexa iz HZMO-a.<\/p>\n\n\n\n Dakle, jasno je da podatke o mailovima i telefonu daju banke. Pitali smo \u010detiri najve\u0107e banke \u0161to one to\u010dno predaju agencijama kad prodaju vlastita potra\u017eivanja, podrazumijeva li se mo\u017eda ugovorom o prijenosu potra\u017eivanja da banka predaje i osobne podatke du\u017enika, koji se mogu smatrati bankarskom tajnom.<\/p>\n\n\n\n Naime, jasno je da banka predaje ugovore o kreditu, no predaje li i druge podatke koje, primjerice, tra\u017ei pri otvaranju ra\u010duna? Naime, banke \u010desto uvjetuju izdavanje kredita otvaranjem ra\u010duna kod tih banaka, a za to uzimaju podatke o broju mobitela i e-mailu.<\/p>\n\n\n\n \u0160to banke predaju agencijama?<\/strong><\/p>\n\n\n\n “Banke prilikom prodaje potra\u017eivanja postupaju u skladu s Odlukom Hrvatske narodne banke o kupoprodaji plasmana kreditnih institucija, Zakonu o kreditnim institucijama i drugim va\u017ee\u0107im propisima. Sukladno zakonskim propisima, prilikom prodaje potra\u017eivanja novom vjerovniku dostavljaju se podaci koji su nu\u017eni za izvr\u0161enje prava iz ugovora o ustupu potra\u017eivanja”, glasi birokratski odgovor koji smo dobili iz Hrvatske udruge banaka, koja je odgovorila u ime \u010detiri najve\u0107e hrvatske banke.<\/p>\n\n\n\n Banke se pozivaju i na mi\u0161ljenje Agencije za za\u0161titu osobnih podataka o obradi osobnih podataka u slu\u010daju prodaje potra\u017eivanja iz lipnja 2019. godine, u kojem, izme\u0111u ostalog, stoji da “provedba instituta cesije nije mogu\u0107a bez proslje\u0111ivanja osobnih podataka”. No ako u ugovorima o kreditu ve\u0107 postoje podaci o du\u017eniku, je li nu\u017eno dati e-mail i broj mobitela? Isto pitanje postavili smo i AZOP-u.<\/p>\n\n\n\n AZOP ka\u017ee da se mogu obra\u0111ivati osobni podaci, ali koji?<\/strong><\/p>\n\n\n\n “Vezano uz obradu osobnih podataka od strane agencija za naplatu potra\u017eivanja, navodimo kako je \u010dlankom 80. Zakona o obveznim odnosima reguliran ustup tra\u017ebine (cesija) kao ugovor u kojem se tra\u017ebina s jednog vjerovnika mo\u017ee prenijeti na drugog vjerovnika, dok je \u010dlankom 82. istog zakona propisano da za ustup tra\u017ebine nije potreban pristanak du\u017enika, ve\u0107 je ustupitelj tra\u017ebine du\u017ean obavijestiti du\u017enika o ustupanju”, obja\u0161njavaju iz AZOP-a.<\/p>\n\n\n\n Naime, prema AZOP-u, ustup tra\u017ebine pretpostavlja i dostavljanje, odnosno obradu osobnih podataka, dakle, ustupanje nije provedivo u praksi ako novi vjerovnik ne zna prema kome ima svoje novoste\u010deno pravo potra\u017eivanja.<\/p>\n\n\n\n “Slijedom navedenog, a pod pretpostavkom da se radi o valjanom pravnom poslu sukladno odredbama Zakona o obveznim odnosima (cesiji, otkupu potra\u017eivanja i sl.) izme\u0111u voditelja obrade (primjerice: banke) i agencije za naplatu potra\u017eivanja u svrhu naplate dospjelih, a nenapla\u0107enih tra\u017ebina, obrada osobnih podataka od strane agencije za naplatu potra\u017eivanja odnosno novog vjerovnika je zakonita”, obja\u0161njavaju iz AZOP-a dodaju\u0107i da agencija za naplatu potra\u017eivanja, kao voditelj obrade, sukladno na\u010delu smanjenja podataka mora voditi brigu o opsegu osobnih podataka te obra\u0111ivati samo osobne podatke koji su nu\u017eni u odnosu na svrhe u koje se obra\u0111uju.<\/p>\n\n\n\n