Posredovanje davčne številke pri poslovnem sodelovanju

Datum

20.10.2023

Številka

07121-1/2023/1326

Kategorije

EMŠO in davčna

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste zaposleni na fakulteti, ki sodeluje tudi z drugo fakulteto, kjer tudi izvajate predavanja. Ta druga fakulteta na novo od vas zahteva posredovanje davčne številke, pri čemer ne gre za plačilo opravljene storitve za opravljeno delo, temveč za vpis v njihov informacijski sistem. Navajajo, da imajo pač takšen sistem. Sprašujete nas, ali ste dolžno posredovati svojo davčno številko.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP ne more v mnenju ocenjevati, ali ima fakulteta dejansko veljavno pravno podlago za takšen način obdelave vaših osebnih podatkov. Pravno podlago za obdelavo osebnih podatkov mora namreč v prvi vrsti izkazati upravljavec osebnih podatkov, pri čemer so različne možnosti (gl. spodnje točke a-f prvega odstavka 6. člena Splošne uredbe). Upoštevati pa je treba tudi načelo najmanjšega obsega podatkov oziroma načelo sorazmernosti, posebej pri obdelavi davčne številke, ob zlorabi katere lahko pride tudi do hujših posledic.

Svetujemo vam, da se v prvi vrsti poslužite pravic, ki vam jih daje na voljo Splošna uredba, v primeru neodzivnosti upravljavca ali njegove zavrnitve vaših zahtev, pa se lahko s prijavo v posamičnem primeru obrnete na IP.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče:

•privolitev

•sklenitev ali izvajanje pogodbe

•zakonska obveznost

•zaščita življenjskih interesov posameznika

•izvajanje javne naloge

•zakoniti interesi upravljavca, če ne prevladajo interesi in pravice oz. svoboščine posameznika

Za vsako obdelavo osebnih podatkov mora torej obstajati ustrezna pravna podlaga, ki jo mora že pred obdelavo osebnih podatkov natančno razčistiti upravljavec osebnih podatkov, ki mora biti zmožen tudi dokazati zakonitost obdelave osebnih podatkov.

Dodatno opozarjamo, da kljub temu, da upravljavec za določeno obdelavo osebnih podatkov zagotovi ustrezno in zakonito pravno podlago, mora v skladu z načelom najmanjšega obsega podatkov obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego posamičnega zakonitega namena obdelave. Načelo najmanjšega obsega podatkov tako določa, da morajo biti (pod pogojem, da obstaja pravna podlaga) osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Pri presoji načela sorazmernosti obdelave osebnih podatkov je bistvena ugotovitev, ali se lahko isti namen doseže z milejšimi sredstvi, torej z obdelavo manjšega nabora ali manj »invazivnih« osebnih podatkov. V okoliščinah konkretnega primera se je namreč treba zavedati, da je davčna številka sicer zelo praktičen enolični identifikator, a hkrati njena obdelava nosi tudi precejšnja tveganja. V primeru zlorabe davčne številke lahko namreč pride do znatne (med drugim predvsem finančne) škode za udeležene posameznike, saj se je davčna številka začela uporabljati v številnih poslovnih in tudi zasebnih procesih.

Sicer pa je treba omeniti, da Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06 in 50/23; v nadaljevanju ZEPDSV) v 13. členu kot enega izmed podatkov, ki se vodi o delavcu, navaja tudi davčno številko. Če bi se določbe tega zakona nanašale na vašo situacijo, bi bila obdelava davčne številke delavca obvezna.

IP pri tem še pojasnjuje, da Splošna uredba v 13. in 14. členu določa dolžnost upravljavca, da posameznikom (pred samo obdelavo) zagotovi informacije glede obdelave njihovih osebnih podatkov. Informacije se pa morajo v vsakem primeru posamezniku zagotoviti na način, določen v 12. členu Splošne uredbe in sicer tako, da so podane na lahko dostopen način in predstavljene v jasnem in razumljivem jeziku, ki je prilagojen glede na tipičnega uporabnika njihovih storitev.

Upravljavec osebnih podatkov mora namreč posamezniku ob pridobitvi njegovih osebnih podatkov podati nekatere informacije o obdelavi osebnih podatkov, npr. identiteta in kontaktni podatki upravljavca, namen in pravna podlaga za obdelavo osebnih podatkov, uporabniki osebnih podatkov, podatki o morebitnem prenosu osebnih podatkov, obdobje hrambe, itd. Več informacij o obveščanju posameznikov o obdelavi osebnih podatkov je dostopnih na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/obveščanje-posameznikov-o-obdelavi-osebnih-podatkov oz. v številnih naših že objavljenih mnenjih (npr. mnenje IP št. 0712-1/2019/1891 z dne 14. 8. 2019).

Iz informacij po 13. členu Splošne uredbe bi torej lahko (če bi vam te informacije upravljavec posredoval) razbrali, ali obstaja pravna podlaga za obdelavo vaše davčne številke na zahtevani način. Če pravne podlage ni, je obdelava osebnih podatkov nezakonita in upravljavec od vas ne sme zahtevati posredovanja ter kasneje ne sme uporabiti osebnih podatkov na način, ki bi bil v nasprotju z zakonom.

Če pa vam upravljavec ni sporočil informacij po 13. členu Splošne uredbe proaktivno, lahko po 15. členu Splošne uredbe zahtevate, da vam upravljavec posreduje določene informacije o obdelavi osebnih podatkov. Prvi odstavek 15. člena Splošne uredbe namreč določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in informacije: namen obdelave; vrste zadevnih osebnih podatkov; uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, predvideno obdobje hrambe osebnih podatkov; obstoj pravic posameznika; informacije o virih idr. Več informacij o pravici do seznanitve z lastnimi osebnimi podatki in glede njenega uveljavljanja je dostopnih tudi na naši spletni strani: https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/ oz. v naših že objavljenih mnenjih (npr. mnenje IP št. 07121-1/2022/628 z dne 8. 6. 2022).

Če se izkaže, da upravljavec obdeluje vaše osebne podatke na podlagi točk (e) ali (f) prvega odstavka 6. člena, lahko nadalje vložite tudi zahtevo za uveljavitev pravice do ugovora v skladu z 21. členom Splošne uredbe. V prvem odstavku tega člena je namreč določeno, da lahko ugovarjate obdelavi osebnih podatkov, če obdelava temelji na točki (e) ali (f) prvega odstavka 6. člena Splošne uredbe, upravljavec pa mora prenehati obdelovati osebne podatke, razen če dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov. Več o pravici do ugovora si lahko preberete na: https://tiodlocas.si/zelim-ugovarjati-obdelavi-mojih-podatkov/.

V trenutku, ko zahtevate pravico do ugovora, pa lahko hkrati zahtevate tudi omejitev obdelave osebnih podatkov, da se do odločitve o vaši zahtevi glede ugovora "zamrzne" obdelava vaših osebnih podatkov. Več o pravici do omejitve obdelave osebnih podatkov preberite na: https://tiodlocas.si/zelim-zacasno-zamrzniti-svoje-podatke/.

O vsaki od zgoraj opisanih zahtev za uveljavljanje pravic vam mora upravljavec sporočiti svojo pisno odločitev najkasneje v roku enega meseca. V primeru neodzivnosti ali zavrnitve, se lahko obrnete na IP s prijavo, pri čemer si lahko pomagate z obrazcem " Enotna vloga zaradi kršitve varstva osebnih podatkov (Obrazec VOP prijava), dostopnim na https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov