Novi ZPotK-3 za nezakonito kreditno posredovanje predvideva globe do 125.000 evrov.
Spletno zbiranje kreditnih povpraševanj lahko pomeni regulirano kreditno posredovanje. ZPotK-3 določa pogoje za opravljanje te dejavnosti, banke pa morajo zagotoviti tudi zakonitost obdelave pridobljenih osebnih podatkov.
Novi ZPotK-3 za opravljanje reguliranega kreditnega posredovanja brez zahtevanega dovoljenja oziroma vpisa v register predvideva globe od 50.000 do 125.000 evrov za podjetja ter dodatne globe za odgovorne osebe. Članek opozarja, da lahko v določenih primerih odgovarjajo tudi banke, zlasti če osebne podatke potencialnih kreditojemalcev pridobijo ali uporabljajo brez ustrezne pravne podlage po GDPR, nova ureditev pa lahko pod pogoji vpliva celo na veljavnost kreditne pogodbe.
Novi Zakon o potrošniških kreditih (ZPotK-3) prinaša ostro opozorilo spletnim platformam in podjetjem, ki brez predpisanega dovoljenja opravljajo kreditno posredovanje. Za takšno dejavnost zakon predvideva globe od 50.000 do 125.000 evrov, dodatnih 3.500 do 4.000 evrov pa lahko plača odgovorna oseba podjetja. Pod vprašajem se lahko znajdejo tudi banke, ki s takšnimi posredniki sodelujejo. Če osebne podatke bodočih kreditojemalcev pridobivajo in uporabljajo brez ustrezne pravne podlage, lahko same kršijo evropsko uredbo GDPR, ki za najhujše kršitve predvideva globe do 20 milijonov evrov oziroma štirih odstotkov svetovnega letnega prometa podjetja.
ZPotK-3 pod določenimi pogoji predvideva celo ničnost kreditne pogodbe, sklenjene brez zahtevanega dovoljenja oziroma vpisa v register. Evropska zakonodaja pri določenih oblikah vezanega kreditnega posredovanja določa tudi neposredno odgovornost banke za ravnanje posrednika. Za slovenski finančni trg se zato odpira vprašanje, ki ga ni več mogoče obravnavati zgolj kot stvar spletnega oglaševanja: kdo dejansko pridobiva potencialne kreditojemalce, pod kakšnimi pogoji jih posreduje bankam in kdo odgovarja, kadar se pri tem kršijo pravila?
ZPotK-3 je začel veljati 30. oktobra 2026, njegove določbe pa se praviloma začnejo uporabljati 30. aprila 2027. Za nekatere obstoječe kreditne posrednike zakon predvideva dodatne prehodne roke. Kljub temu banke in spletni ponudniki nimajo razloga, da bi z urejanjem svojih poslovnih modelov čakali. Pravila o varstvu osebnih podatkov že veljajo, kreditno posredovanje stanovanjskih kreditov pa je regulirana dejavnost tudi po dosedanji zakonodaji.
Kreditnemu posredniku brez zahtevanega dovoljenja grozi do 125.000 evrov globe. Banka lahko odgovarja za lastne kršitve.
ZPotK-3 v 141. členu med hujše prekrške uvršča opravljanje reguliranega kreditnega posredovanja brez obveznega vpisa v register oziroma brez dovoljenja, kadar ga zakon zahteva. Za podjetje je predpisana globa od 50.000 do 125.000 evrov, odgovorna oseba pa se lahko kaznuje z dodatno globo od 3.500 do 4.000 evrov. Zakon v naslednjih členih določa tudi sankcije za druge kršitve, od nepravilnega izpolnjevanja obveznosti kreditnih posrednikov do kršitev pravil, ki urejajo poslovanje dajalcev kreditov.
Vir: ZPotK-3, členi 7 in 141 do 144; Uredba (EU) 2016/679, 83. člen. Navedeni zneski predstavljajo zakonske razpone oziroma zgornje meje sankcij, ne avtomatičnih glob. Pri GDPR se upošteva višja od obeh predpisanih zgornjih mej.
Pri globah po GDPR se uporabi višja od obeh navedenih zgornjih mej. Dejanska sankcija je odvisna od okoliščin in teže kršitve, pri čemer je treba upoštevati tudi nacionalna pravila o prekrškovnem postopku.
Posebej je treba poudariti, da globa do 125.000 evrov ni splošna kazen za vsako spletno stran, ki banki posreduje kontakt. Predpisana je za konkretne prekrške, med katere spada tudi opravljanje reguliranega kreditnega posredovanja brez obveznega dovoljenja oziroma vpisa.
Enako velja za banke. Če banka kupi podatke od ponudnika brez dovoljenja, to samo po sebi še ne pomeni, da je storila prekršek. Če pa jih pridobi ali uporablja brez ustrezne pravne podlage, lahko odgovarja za lastno kršitev GDPR. Odgovornost je mogoča tudi po drugih predpisih, kadar so izpolnjeni ustrezni zakonski pogoji.
Na slovenskem spletu so na voljo različne storitve, ki obiskovalcem obljubljajo pomoč pri iskanju stanovanjskega kredita ali primerjavi bančnih ponudb. Uporabnik praviloma izpolni spletni obrazec, navede kontaktne podatke, želeni znesek kredita in včasih tudi informacije o svojih prihodkih ter zaposlitvi. Nato pričakuje, da bo prejel ustrezne kreditne ponudbe.
Takšna storitev je lahko zakonito spletno oglaševanje, lahko pa pomeni opravljanje reguliranega kreditnega posredovanja.
ZPotK-3 v 18. točki 3. člena kreditnega posrednika opredeljuje glede na dejavnosti, ki jih opravlja. Mednje sodijo predstavljanje ali ponujanje kreditov potrošnikom, pomoč pri postopkih pred sklenitvijo kreditne pogodbe in sklepanje kreditnih pogodb v imenu dajalca kredita.
Zakon iz te opredelitve izrecno izključuje osebo, ki potrošnika zgolj neposredno ali posredno predstavi dajalcu kredita oziroma kreditnemu posredniku.
Če spletna stran objavlja splošne informacije o kreditih in uporabnika preusmeri na spletno stran banke, kjer samostojno nadaljuje postopek, takšna dejavnost sama po sebi praviloma še ne pomeni kreditnega posredovanja.
Bolj zapleten je položaj, ko platforma zbira finančne podatke posameznika, jih analizira, izbira ustrezne kreditne ponudnike, uporabniku predstavlja konkretne možnosti financiranja ali sodeluje pri pripravi dokumentacije za pridobitev kredita.
V takšnem primeru je treba preveriti, ali ponudnik že opravlja dejavnosti, za katere zakon zahteva dovoljenje ali ustrezen vpis v register.
Samo dejstvo, da platforma zbira tudi podatke o prihodkih ali želenem kreditu, še ne dokazuje kršitve. Prav tako plačilo za pridobljen kontakt ni samo po sebi dokaz nedovoljenega kreditnega posredovanja.
Odločilno je, kakšne storitve ponudnik dejansko opravlja in kakšno vlogo ima pri postopku pridobivanja kredita.
To pomeni, da oznake, kot so »finančni portal«, »primerjalnik kreditov«, »marketinška agencija« ali »lead generator«, ne določajo pravnega statusa podjetja. Regulirano dejavnost je treba presojati po njeni dejanski vsebini.
Pri stanovanjskih kreditih je pomemben predvsem 114. člen ZPotK-3. Ta določa, da mora kreditni posrednik pred začetkom opravljanja storitev posredovanja potrošniških kreditov za nepremičnino oziroma svetovalnih storitev v zvezi s temi krediti pridobiti ustrezno dovoljenje.
Dovoljenje izda Banka Slovenije, če so izpolnjeni predpisani pogoji.
Med njimi so ustrezna strokovna usposobljenost osebja in poslovodstva, organizacijski pogoji, zavarovanje poklicne odgovornosti in drugi pogoji, ki jih določa zakon. Pomembno je tudi razmerje med posrednikom in dajalcem kredita ter to, ali posrednik nastopa kot povezani ali nepovezani kreditni posrednik.
Za posredovanje drugih potrošniških kreditov zakon v 75. členu določa pogoje glede vpisa v register, soglasja dajalca kredita oziroma pogodbenega razmerja, kadar je to potrebno.
Sistem torej ne temelji na enem samem dovoljenju, ki bi vsem ponudnikom omogočalo opravljanje vseh vrst kreditnega posredovanja.
Pri stanovanjskih kreditih je treba posebej preveriti dovoljenje za posredovanje potrošniških kreditov za nepremičnino. Pri drugih potrošniških kreditih pa je pomembno, ali mora biti ponudnik vpisan v ustrezen register in katere dodatne pogoje mora izpolnjevati.
To je bistvena razlika za podjetja, ki prek spletnih obrazcev pridobivajo potencialne kreditojemalce za različne kreditne produkte.
Pravna ureditev stanovanjskih kreditov ne izhaja samo iz slovenskega zakona. Eden njenih temeljev je Direktiva 2014/17/EU o potrošniških kreditnih pogodbah za stanovanjske nepremičnine.
Direktiva določa zahteve za kreditne posrednike, njihovo registracijo, strokovno usposobljenost in nadzor.
Posebej pomembna sta 29. in 30. člen.
29. člen ureja sprejem kreditnih posrednikov v opravljanje dejavnosti. Namen te ureditve je zagotoviti, da kreditno posredovanje opravljajo ponudniki, ki izpolnjujejo zahtevane pogoje in so pod ustreznim nadzorom.
30. člen pa obravnava določene kreditne posrednike, povezane izključno z enim dajalcem kredita.
Direktiva državam članicam omogoča, da za takšne posrednike dovolijo poseben način sprejema oziroma registracije prek dajalca kredita, ki ga posrednik izključno zastopa.
Kadar se uporabi ta ureditev, dajalec kredita ostaja neomejeno in brezpogojno odgovoren za dejanja in opustitve povezanega posrednika, ki deluje v njegovem imenu na področjih, ki jih ureja direktiva.
Gre za pomembno določbo evropskega prava, vendar njenega pomena ne smemo širiti na vse oblike spletnega oglaševanja in pridobivanja potencialnih strank.
Neomejena in brezpogojna odgovornost iz 30. člena ne velja samodejno za vsako podjetje, ki banki proda kreditno povpraševanje. Uporabi se pod posebnimi pogoji, povezanimi s statusom posrednika in načinom njegovega delovanja.
Za banko je zato pomembno, da pozna pravni status poslovnega partnerja in razume, ali ta zanjo opravlja regulirano kreditno posredovanje.
Drugi pomemben evropski predpis je Direktiva (EU) 2023/2225, ki posodablja pravila za potrošniške kreditne pogodbe.
Njena ureditev zajema tudi nove oblike potrošniškega kreditiranja, predvsem digitalne kreditne storitve in določene modele odloženega plačevanja.
Za kreditne posrednike je pomemben 37. člen, ki ureja sprejem v opravljanje dejavnosti, registracijo in nadzor. Države članice morajo zagotoviti ustrezno ureditev nadzora kreditnih posrednikov, ob upoštevanju izjem, ki jih direktiva dopušča.
38. člen določa posebne obveznosti kreditnih posrednikov glede informacij, ki jih morajo posredovati potrošnikom.
Posrednik mora med drugim razkriti obseg svojih pooblastil in pojasniti, ali sodeluje z enim ali več dajalci kreditov oziroma deluje kot neodvisni posrednik.
Prav transparentnost tega razmerja je pomembna pri spletnih platformah, ki uporabnikom obljubljajo primerjavo kreditnih ponudb.
Potrošnik mora razumeti, ali platforma deluje kot samostojen ponudnik storitev, ali sodeluje z določenimi bankami in kakšen vpliv ima takšno sodelovanje na storitev, ki mu jo ponuja.
Vendar evropska direktiva ne določa, da je vsako posredovanje kontaktnih podatkov banki regulirano kreditno posredovanje. Tudi pri uporabi novih pravil ostaja odločilna dejanska vsebina storitve.
Za banke je lahko še resnejše vprašanje varstva osebnih podatkov. Predstavljajmo si, da posameznik na spletni strani izpolni obrazec za primerjavo stanovanjskih kreditov. Navede svoje ime, telefonsko številko, elektronski naslov, prihodke in želeni znesek kredita. Nekaj dni pozneje ga pokliče banka, pri kateri sam ni neposredno oddal povpraševanja. Morda ga kontaktira celo več bank. Posameznik se upravičeno vpraša, kdo je njegove podatke posredoval tem ustanovam in ali je bilo takšno posredovanje zakonito.
Odgovor določa predvsem Splošna uredba o varstvu podatkov (GDPR). Po njenem 6. členu mora imeti vsak upravljavec ustrezno pravno podlago za obdelavo osebnih podatkov. To velja tako za podjetje, ki podatke prvotno zbira, kot za banko, ki jih pozneje prejme in uporablja. Pravna podlaga je lahko veljavna privolitev posameznika, izvajanje predpogodbenih ukrepov na njegovo zahtevo ali druga ustrezna podlaga, če so izpolnjeni zakonski pogoji. Pri neposrednem trženju je treba upoštevati tudi posebna pravila, ki veljajo za uporabljeni način komunikacije.
Plačilo za kontaktne podatke samo po sebi ni pravna podlaga za njihovo uporabo. Prav tako pogodba, v kateri zunanji ponudnik banki zagotavlja, da so vsi podatki pridobljeni zakonito, banke samodejno ne razbremeni odgovornosti. Kot upravljavec mora biti sposobna izkazati zakonitost lastne obdelave. To izhaja iz načela odgovornosti iz 5. člena GDPR.
Posebej pomemben je 14. člen GDPR, ki določa obveznosti obveščanja posameznika, kadar upravljavec njegovih podatkov ne pridobi neposredno od njega. Banka mora posamezniku praviloma pojasniti, katere podatke obdeluje, za kakšen namen, na kateri pravni podlagi in od kod jih je pridobila. Če podatke uporablja za komunikacijo s posameznikom, mora predpisane informacije praviloma zagotoviti najpozneje ob prvi komunikaciji, razen kadar velja zakonska izjema. Posameznik lahko po 15. členu GDPR tudi sam zahteva dostop do podatkov in informacije o njihovi obdelavi.
Če banka osebne podatke pridobi in uporablja brez ustrezne pravne podlage, lahko neposredno krši GDPR. Za kršitve temeljnih načel obdelave osebnih podatkov so predpisane globe do 20 milijonov evrov oziroma štirih odstotkov skupnega svetovnega letnega prometa podjetja, pri čemer se uporabi višji znesek. Za določene kršitve obveznosti obveščanja so predpisane globe do 10 milijonov evrov oziroma dveh odstotkov prometa. To so najvišje dovoljene sankcije za ustrezne kategorije kršitev, ne avtomatične globe za posamezen nezakonito pridobljen kontakt.
Nadzorni organ mora pri določitvi ukrepov upoštevati konkretne okoliščine. Poleg globe lahko odredi tudi odpravo nepravilnosti, omejitev obdelave ali druge ukrepe, ki jih dopušča GDPR. Banke se zato ne morejo zanesti zgolj na izjave zunanjih ponudnikov, temveč morajo biti sposobne dokazati zakonitost lastnega ravnanja.
Vprašanje varstva osebnih podatkov je pravno ločeno od vprašanja dovoljenja za kreditno posredovanje.
Tudi če spletna platforma ne potrebuje dovoljenja za posredovanje kreditov, to še ne pomeni, da lahko poljubno zbira, prodaja ali posreduje osebne podatke uporabnikov.
Enako velja za banko, ki takšne podatke kupuje.
Po 6. členu GDPR mora za vsako obdelavo osebnih podatkov obstajati ustrezna pravna podlaga.
Med možnimi pravnimi podlagami so privolitev posameznika, izvajanje pogodbe oziroma predpogodbenih ukrepov na njegovo zahtevo in zakoniti interes, če so izpolnjeni ustrezni pogoji.
Pri tem je treba ločiti prvotno zbiranje podatkov, njihovo posredovanje banki in poznejšo uporabo podatkov pri banki. Za vsako od teh dejavnosti mora biti mogoče utemeljiti zakonitost obdelave.
Samo dejstvo, da je banka podatke kupila, ne ustvarja pravne podlage za njihovo uporabo.
Banka mora kot upravljavec osebnih podatkov izkazati zakonitost lastne obdelave. To izhaja tudi iz načela odgovornosti iz 5. člena GDPR.
Če banka podatke uporablja brez ustrezne pravne podlage, lahko sama krši GDPR, ne glede na odgovornost podjetja, od katerega jih je prejela.
To pomeni, da pogodbeno zagotovilo zunanjega ponudnika o zakonitosti pridobljenih kontaktov še ne zadostuje za ugotovitev, da je obdelava podatkov pri banki zakonita.
Banka mora biti sposobna utemeljiti, zakaj je podatke pridobila, za kaj jih uporablja in ali je posamezniku zagotovila predpisane informacije.
Kadar se banka opira na privolitev posameznika, mora biti ta veljavna in ustrezna glede na namen obdelave. Če se opira na drugo pravno podlago, mora izkazati izpolnjevanje njenih pogojev.
Pri neposrednem trženju je treba poleg GDPR upoštevati tudi posebna pravila, ki veljajo za posamezne komunikacijske kanale.
Pomembno zaščito zagotavlja 14. člen GDPR.
Ta ureja obveznost obveščanja posameznika, kadar upravljavec njegovih osebnih podatkov ne pridobi neposredno od njega.
Če banka prejme podatke od spletnega ponudnika, mora posamezniku praviloma zagotoviti informacije o obdelavi, med drugim tudi o kategorijah pridobljenih podatkov in njihovem viru.
Obveščanje mora biti izvedeno v rokih, ki jih določa uredba. Kadar se podatki uporabijo za komunikacijo s posameznikom, je treba predpisane informacije praviloma zagotoviti najpozneje ob prvi komunikaciji, razen če velja ustrezna izjema.
Potrošnik ima poleg tega po 15. členu GDPR pravico zahtevati dostop do svojih osebnih podatkov in informacije o njihovi obdelavi.
Predstavljajmo si, da posameznika pokliče banka, pri kateri nikoli ni neposredno oddal kreditnega povpraševanja.
Takšen klic sam po sebi še ni dokaz nezakonitega ravnanja. Posameznik pa lahko od banke zahteva pojasnilo, katere podatke obdeluje, za kakšen namen, na kateri pravni podlagi in od kod jih je pridobila.
Če se izkaže, da banka nima ustrezne pravne podlage za obdelavo, lahko posameznik vloži prijavo pri Informacijskem pooblaščencu.
Prav tu postane vprašanje nakupa kreditnih povpraševanj posebej občutljivo. Podatki o dohodkih, zaposlitvi, želenem znesku posojila in finančnih okoliščinah posameznika lahko precej povedo o njegovem ekonomskem položaju. Zato mora biti njihova obdelava skladna z veljavnimi pravili.
Za kršitve temeljnih načel obdelave osebnih podatkov, med katere spada tudi zakonitost obdelave, GDPR v 83. členu predvideva upravne globe do 20 milijonov evrov oziroma do štirih odstotkov skupnega svetovnega letnega prometa podjetja v predhodnem poslovnem letu, odvisno od tega, kateri znesek je višji.
Za določene druge kršitve, med drugim kršitve obveznosti obveščanja posameznika, so določene globe do 10 milijonov evrov oziroma dveh odstotkov svetovnega letnega prometa.
To so zakonske zgornje meje. Ne pomenijo, da bi banka za vsak nezakonito pridobljen kontakt prejela takšno globo.
Nadzorni organ mora pri odločanju upoštevati okoliščine konkretne kršitve, vključno z njeno težo, trajanjem in drugimi dejavniki iz GDPR.
Poleg glob lahko pridejo v poštev tudi drugi nadzorni ukrepi, na primer zahteva po odpravi kršitev ali omejitev določene obdelave osebnih podatkov.
Za banko je zato pomembno, da lahko zakonitost pridobivanja in uporabe podatkov izkaže tudi takrat, ko jih prejema od zunanjih poslovnih partnerjev.
ZPotK-3 v petem odstavku 74. člena ureja tudi odgovornost za škodo pri kreditnem posredovanju.
Določa, da sta dajalec kredita in kreditni posrednik solidarno odgovorna za škodo, ki jo posrednik povzroči potrošniku s prekoračitvijo pooblastil ali drugače pri kreditnem posredovanju.
Za neodvisnega kreditnega posrednika zakon določa samostojno odgovornost.
To pomeni, da mora biti pri presoji odgovornosti jasno, kakšen status ima posrednik in v kakšnem razmerju je z dajalcem kredita.
Solidarna odgovornost pomeni, da lahko oškodovanec ob izpolnjenih zakonskih pogojih zahteva povračilo škode od solidarno odgovornih oseb.
Ne pomeni pa, da je banka avtomatično odgovorna za vsako ravnanje vseh spletnih ponudnikov, od katerih pridobiva potencialne stranke.
Gre za civilnopravno odgovornost, ki jo je treba razlikovati od prekrškovne odgovornosti in upravnih sankcij.
Med pravno najpomembnejšimi določbami novega zakona je četrti odstavek 7. člena ZPotK-3. Ta določa, da je kreditna pogodba, ki jo dajalec kredita ali kreditni posrednik sklene brez ustreznega dovoljenja oziroma obveznega vpisa v register, nična. V takšnem primeru je dajalec kredita upravičen samo do vračila že črpanega dela skupnega zneska kredita.
Posledice so lahko bistveno resnejše od same globe. Vendar to ne pomeni, da je vsaka kreditna pogodba, pri kateri je banka pridobila kontakt prek spletnega ponudnika brez dovoljenja, avtomatično nična. Za uporabo navedene določbe je treba preveriti, kdo je pogodbo sklenil, kakšno vlogo je imel posrednik in ali konkretni primer izpolnjuje zakonske pogoje za ničnost.
Zakon v 74. členu ureja tudi odgovornost za škodo. Če kreditni posrednik pri opravljanju storitev prekorači pooblastila ali kako drugače povzroči škodo potrošniku, sta lahko dajalec kredita in posrednik zanjo solidarno odgovorna. Pri neodvisnem kreditnem posredniku zakon določa njegovo samostojno odgovornost. Tudi tu je torej odločilen status posrednika in dejanska vsebina njegovega sodelovanja z banko. Gre za civilnopravno odgovornost, ki jo je treba razlikovati od glob in drugih nadzornih ukrepov.
Slovenski potrošniki lahko podatke o kreditnih posrednikih preverjajo v javnih registrih Banke Slovenije in pristojnih organov drugih držav članic Evropske unije. V teh registrih so navedeni tudi posredniki, ki imajo registracijo v drugi državi članici in so evidentirani za opravljanje dejavnosti na slovenskem trgu.
Med njimi je tudi gospod Dimiter Kirkov, ustanovitelj in direktor podjetja N24 d.o.o., ki je v registru Banke Slovenije naveden z nemško registrsko številko D-W-110-81S9-31. Register kot način opravljanja storitev v Sloveniji navaja poslovanje prek podružnice n24, informacijske tehnologije, d. o. o.
Pri tem je potrebna natančnost. V javnem zapisu Banke Slovenije je pri vrsti storitev navedeno »Ni obvestila«, zato zgolj na podlagi tega podatka ni mogoče zanesljivo potrditi celotnega obsega storitev, ki jih lahko posrednik opravlja v Sloveniji. Javna evidenca potrjuje registracijske podatke in evidentiranje na slovenskem trgu, za presojo konkretne dejavnosti pa je treba upoštevati še obseg registracije, morebitno dovoljenje in pravila čezmejnega opravljanja storitev.
Ta primer pokaže, zakaj je preverjanje uradnih registrov koristno. Potrošnik lahko ugotovi, kdo je posrednik, kateri organ je pristojen za njegov nadzor in kakšen status ima. Prav tako lahko preveri, ali ponudnik nastopa kot povezani ali nepovezani kreditni posrednik. Vendar registracija sama po sebi še ne dokazuje, da sme posrednik opravljati prav vsako storitev, ki jo oglašuje.
Banke imajo pri pridobivanju novih strank legitimne poslovne interese. Sodelovanje z zunanjimi oglaševalskimi podjetji, primerjalniki in ponudniki digitalnih storitev ni samo po sebi nezakonito.
Težava lahko nastane, ko zunanja platforma dejansko začne opravljati dejavnost, za katero je potrebno dovoljenje, ali ko se osebni podatki uporabnikov prenašajo brez ustrezne pravne podlage.
Takrat ne zadostuje več samo vprašanje, koliko potencialnih strank je zunanji ponudnik zagotovil in koliko je banka zanje plačala.
Pravno pomembno postane tudi, kakšne storitve platforma opravlja, ali zanjo velja regulacija kreditnega posredovanja, kakšna pooblastila ima in kako pridobiva osebne podatke.
Za banko je zato smiselno, da pred začetkom sodelovanja preveri pravni status ponudnika in svojo odgovornost pri obdelavi prejetih podatkov.
Pri reguliranem kreditnem posredovanju je pomembno dovoljenje oziroma predpisani vpis v register. Pri pridobivanju osebnih podatkov pa mora banka izkazati zakonitost lastne obdelave.
Tudi če ponudnik zatrjuje, da opravlja zgolj spletni marketing, je treba upoštevati dejansko vsebino njegove dejavnosti.
Potrošniki imajo za prijavo domnevnih nepravilnosti na voljo več pristojnih organov. Izbira je odvisna od tega, za kakšno kršitev gre.
Banka Slovenije
Banka Slovenije je pristojna za nadzor bank in določenih kreditnih posrednikov v skladu s svojimi zakonskimi pristojnostmi.
Nanjo se lahko obrnete, če sumite nepravilnosti pri poslovanju banke ali reguliranega kreditnega posrednika.
Prijava kršitev: https://www.bsi.si/sl/fizicne-osebe/prijava-krsitev-v-bankah-in-drugih-subjektih-ki-jih-nadzira-banka-slovenije
Tržni inšpektorat Republike Slovenije
Tržni inšpektorat nadzira izvajanje predpisov s področja potrošniškega kreditiranja v okviru svojih pristojnosti.
Prijava je mogoča tudi anonimno.
Prijava kršitev: https://www.gov.si/zbirke/storitve/prijava-krsitve-trznemu-inspektoratu/
Informacijski pooblaščenec
Če sumite, da so bili vaši osebni podatki brez ustrezne pravne podlage posredovani banki ali drugi organizaciji, lahko vložite prijavo pri Informacijskem pooblaščencu.
Prijava: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/vložitev-prijave
Za prijavo je koristno shraniti spletno stran in obrazec, prek katerega ste oddali povpraševanje, obvestilo o obdelavi osebnih podatkov, elektronsko korespondenco in podatke o podjetjih, ki so vas pozneje kontaktirala.
Pomembna je tudi razlika med prijavo in ugotovljeno kršitvijo. Prijava je lahko podlaga za nadzorni postopek, ne pomeni pa sama po sebi, da je podjetje ravnalo nezakonito.
ZPotK-3 je bil sprejet 20. oktobra 2026 in objavljen v Uradnem listu 29. oktobra 2026.
Veljati je začel 30. oktobra 2026, uporabljati pa se praviloma začne 30. aprila 2027.
Zakon v 146. členu posebej ureja prehodni položaj kreditnih posrednikov, ki na dan njegove uveljavitve že opravljajo dejavnost in se morajo po novih pravilih vpisati v ustrezen register.
Ti morajo vlogo za vpis vložiti najpozneje v treh mesecih od začetka uporabe zakona. Če tega ne storijo, po poteku petih mesecev od začetka uporabe zakona do vpisa v register dejavnosti ne smejo več opravljati.
Prehodna ureditev pa ne pomeni splošnega dovoljenja za opravljanje vseh vrst kreditnega posredovanja brez izpolnjevanja pogojev, ki so veljali že prej.
Podjetja morajo zato preveriti, katera pravila zanje veljajo danes, katere nove zahteve bodo začele veljati aprila 2027 in ali se nanje nanaša posamezna prehodna določba.
Za banke je časovni vidik pomemben tudi zato, ker GDPR že velja. Za zakonitost obdelave osebnih podatkov ni treba čakati na začetek uporabe ZPotK-3.
ZPotK-3 jasno določa pogoje za opravljanje reguliranega kreditnega posredovanja in predvideva občutne sankcije za kršitelje. Ali bo to dejansko spremenilo slovenski trg spletnih kreditnih povpraševanj, pa bo odvisno predvsem od izvajanja nadzora.
Nadzorni organi bodo morali pri presoji posameznih ponudnikov ugotavljati, kaj ti dejansko počnejo. Podjetje, ki zgolj oglašuje bančne storitve ali potrošnika predstavi banki, ni v enakem pravnem položaju kot ponudnik, ki uporabniku že predstavlja konkretne kreditne produkte in mu pomaga pri pridobivanju kredita. Če za takšno dejavnost zakon zahteva dovoljenje, ga ponudnik ne more nadomestiti s pogodbo o spletnem oglaševanju.
Za banke se odpira še širše vprašanje odgovornosti. Koliko vedo o tem, kako njihovi poslovni partnerji pridobivajo potencialne kreditojemalce? Ali preverjajo njihov pravni status, način zbiranja podatkov in podlage za njihovo posredovanje? In ali lahko ob morebitnem nadzoru dokažejo, da so podatke uporabljale zakonito?
Ta vprašanja niso pomembna samo zaradi morebitnih glob. Posameznik, ki prek spleta išče stanovanjski kredit, pogosto posreduje podatke o svojih prihodkih in finančnem položaju, še preden ve, s katero banko bo sploh sodeloval. Upravičeno lahko pričakuje, da bo jasno obveščen, kdo njegove podatke prejme in za kaj jih uporablja.
Lahko, če opravlja dejavnost, ki ne pomeni reguliranega kreditnega posredovanja, in pri tem spoštuje pravila o varstvu osebnih podatkov ter druge veljavne predpise. Če dejansko opravlja kreditno posredovanje, mora izpolnjevati zakonske pogoje.
Ne nujno. ZPotK-3 razlikuje med zgolj predstavitvijo potrošnika dajalcu kredita in opravljanjem kreditnega posredovanja. Odločilna je dejanska vsebina storitve.
Ne. Za sankcioniranje banke mora biti ugotovljena konkretna kršitev obveznosti, ki velja zanjo. Sam nakup podatkov še ne pomeni avtomatičnega prekrška.
Da. GDPR zahteva ustrezno pravno podlago za obdelavo osebnih podatkov. Plačilo za kontaktne podatke samo po sebi ne pomeni zakonite podlage za njihovo uporabo.
Da. Podatke o določenih kreditnih posrednikih je mogoče preveriti v javnih registrih Banke Slovenije oziroma drugih pristojnih organov. Pomembno je preveriti tudi obseg dovoljenih storitev.