Posredovanje zdravstvene dokumentacije FURS

Datum

15.12.2025

Številka

07121-1/2025/1490

Kategorije

Davčni postopki, Posebne vrste OP, Posredovanje osebnih podatkov, Zdravstveni osebni podatki

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede tega, ali davčni inšpektor lahko zahteva, uporabi ali fotografira določeno dokumentacijo, ki jo kot podjetje, ki izvaja bioresonančno diagnostiko in terapije, vodite o svojih pacientih.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

17. členu ZFU določa, da uradna oseba od zavezanca in osebe, ki je dolžna sporočiti podatke in predložiti listine, dokumente in druge zapise lahko zahteva, da ji v določenem roku in na določenem kraju sporoči kateri koli podatek ali predloži dokument, potreben za opravljanje nalog finančne uprave, ne glede na obliko, v kateri se nahaja.

Vsak upravljavec je pri obdelavi podatkov dolžan spoštovati načelo sorazmernosti oziroma načelo najmanjšega obsega podatkov, ki zahteva, da se podatki obdelujejo zgolj v obsegu, ki potreben za dosego določenega namena. Če menite, da le-to ni bilo spoštovano, se lahko na davčnega inšpektorja obrnete neposredno in zahtevate dodatna pojasnila, zakaj je specifična dokumentacija potrebna za postopek, ki ga vodi.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru, zato v nadaljevanju podaja zgolj splošna pojasnila.

IP nadalje pojasnjuje, da ni pristojen za komentiranje vodenja postopkov drugih inšpekcijskih ali prekrškovnih organov, zato o tem tudi ne more izdajati mnenj. Skladno s sklepom Ustavnega sodišča RS, št. U-I-92/12-13, z dne 10. 10. 2013 (http://odlocitve.us-rs.si/documents/8b/89/u-i-92-122.pdf), tudi ne sme izvajati inšpekcijskega nadzora nad izvajanjem določb, ki urejajo varstvo osebnih podatkov, tako, da pri izvrševanju svojih zakonsko določenih pooblastil poseže v posamične pravne postopke, ki jih vodijo za to pristojni državni organi ter ne sme preverjati, ali se v konkretnih pravnih postopkih ustavnoskladno in zakonito spoštuje varstvo osebnih podatkov. Kot je v citiranem sklepu ugotovilo Ustavno sodišče, bi bila zakonska podlaga, ki bi to omogočala, v nasprotju z načelom samostojnosti pristojnega državnega organa pri odločanju (2. odstavek 120. člena Ustave RS za upravne organe, 125. člen Ustave RS za sodišča) ter v nasprotju z rednim sistemom pravnih sredstev oziroma vzpostavljeno hierarhično strukturiranostjo državne oblasti (načelo večstopenjskega odločanja) in s tem v nasprotju z načeli pravne države (2. člen Ustave Republike Slovenije). Ta načela zahtevajo, da o pravicah in obveznostih fizičnih in pravnih oseb odločajo pristojni organi v postopkih, ki so vnaprej zakonsko določeni, pri čemer se njihove odločitve lahko preverjajo le v vnaprej določenih postopkih s pravnimi sredstvi pred pristojnimi organi.

IP tako splošno pojasnjuje, da Splošna uredba v 6. členu določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

Ob tem IP dodaja, da je za obdelavo posebnih vrst osebnih podatkov, kamor spadajo tudi osebni podatki v zvezi z zdravjem, izpolnjen še eden izmed pogojev iz člena 9(2) Splošne uredbe.

Zakonske obveznosti in pooblastila FURS so opredeljena v Zakonu o finančni upravi (Uradni list RS, št. 25/14, 39/22, 14/23, 47/24 – odl. US,104/24 – ZDDV-1O, v nadaljevanju: ZFU), ki v 17. členu določa, da uradna oseba od zavezanca in osebe, ki je dolžna sporočiti podatke in predložiti listine, dokumente in druge zapise lahko zahteva, da ji v določenem roku in na določenem kraju sporoči kateri koli podatek ali predloži dokument, potreben za opravljanje nalog finančne uprave, ne glede na obliko, v kateri se nahaja. Potrebnost podatkov za izvedbo neke konkretne naloge je FURS vedno dolžan izkazati. Poleg tega mora pri obdelavi osebnih podatkov vedno ravnati skladno s preostalimi določbami Splošne uredbe; med drugim tudi z načelom sorazmernosti oziroma najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izpolnitev posamičnega zakonitega namena obdelave. To pomeni, da osebnih podatkov ni dopustno zbirati »na zalogo«, ampak je pridobivanje posameznih vrst osebnih podatkov in njihova uporaba dopustna v primeru jasno izkazane pravne podlage, torej če so ti osebni podatki (v konkretnem primeru dokumentacija o pacientih) potrebni za konkreten davčni postopek ali za druge zakonite namene.

Glede na to, da na prvi pogled ni razvidno, zakaj naj bi FURS v okviru konkretnega postopka potreboval zdravstvene osebne podatke, bi lahko prišlo do kršitve načela sorazmernosti. Možno pa je tudi, da je v konkretnem primeru davčni inšpektor do podatkov povsem upravičen, vendar pa mora biti to sposoben tudi utemeljiti. Če menite, da načelo sorazmernosti ni bilo spoštovano, se lahko na davčnega inšpektorja obrnete neposredno in zahtevate dodatna pojasnila, zakaj je specifična dokumentacija potrebna za postopek, ki ga vodi.

IP sklepno ponovno poudarja, da v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, v konkretnem primeru torej vaš zavod, ki nosi tudi odgovornost za tovrstno opravljeno presojo. IP se namreč ne more in ne sme postaviti v vlogo odločevalca (razsojevalca) v posameznih primerih in odločiti o upravičenosti posredovanja podatkov ali celo odrediti/prepovedati določenemu zavezancu posredovanje določenih podatkov.

Za dodatne informacije vas IP napotuje na mnenji IP, ki obravnavata vprašanji, podobni vašemu: št. 0712-1/2019/338 z dne 14. 2. 2019 in št. 07120-1/2021/535 z dne 11. 10. 2021.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka