Obdelava davčne številke in pravica do seznanitve

Datum

06.02.2025

Številka

07121-1/2025/120

Kategorije

EMŠO in davčna, Pravica do seznanitve z lastnimi osebnimi podatki, Pravne podlage

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave vaše davčne številke s strani ponudnika sredstev digitalne identitete, ki je vašo davčno številko posredoval aplikaciji »Moj elektro« ob prijavi vanjo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Osebni podatki uporabnikov sistema, ki se obdelujejo na podlagi ZOEE, so določeni v drugem odstavku 30. člena. To so: ime in priimek, naslov, davčna številka; identifikator prevzemno-predajnega mesta in z njim povezanih enoličnih identifikatorjev merilnih točk ter naziv in naslov prevzemno-predajnega mesta; merilni in obračunski podatki, ki jih je mogoče nedvoumno povezati z uporabnikom sistema, in sicer:

a) izmerjena delovna energija v intervalu 15 minut ali krajšem časovnem intervalu, ki ga omogoča stanje tehnike, in

b) časovni agregati izmerjene delovne energije, ki se nanašajo na uporabnika sistema.

V tretjem, četrtem in petem odstavku 30. člena ZOEE so določeni tudi upravljavci oziroma uporabniki, ki lahko obdelujejo te osebne podatke, ter nameni, za katere jih lahko obdelujejo.

Splošna uredba pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki ureja v 15. členu.

Posameznik, na katerega se nanašajo osebni podatki, ima tako pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in določene informacije.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP splošno pojasnjuje, da mora vsaka obdelava osebnih podatkov potekati transparentno in skladno z določbami Splošne uredbe. Ta v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Zakon o oskrbi z električno energijo (Uradni list RS, št. 172/21; v nadaljevanju: ZOEE) v 124. členu določa, da uporabniki sistema plačujejo omrežnine, ki predstavljajo plačilo za storitve elektrooperaterja, ki jih je ta dolžan izvajati skladno s tem zakonom. Nadalje je v prvem odstavku 139. člena ZOEE določeno, da mora za priključitev na prenosni ali distribucijski sistem ali njeno spremembo pravna ali fizična oseba pridobiti soglasje za priključitev, skladno s tem zakonom. Na podlagi soglasja za priključitev skleneta elektrooperater in uporabnik sistema pogodbo o uporabi sistema, v kateri so urejena medsebojna razmerja v zvezi s plačilom omrežnine. Uporabnik sistema je dolžan pred izvedbo priklopa plačati omrežnino za priključno moč v skladu s soglasjem za priključitev in veljavnim cenikom za priključno moč.

Dobavitelj in uporabnik sistema skladno s prvim odstavkom 12. člena ZOEE skleneta pogodbo o dobavi električne energije, ki določa bilančno pripadnost posameznih merilnih točk (v nadaljnjem besedilu: odprta pogodba). Pogodba o dobavi med končnim odjemalcem in dobaviteljem mora biti v skladu s prvim odstavkom 15.člena ZOEE sklenjena v pisni ali elektronski obliki skladno s predpisi o elektronskem poslovanju, v drugem odstavku 15.člena ZOEE pa je določeno tudi, kaj mora pogodba določati. V skladu z 28. členom ZOEE mora distribucijski operater končnim odjemalcem zagotoviti merjenje porabe energije z uvedbo naprednega merilnega sistema. Končni odjemalci so na zahtevo distribucijskega operaterja dolžni namestiti oziroma dovoliti namestitev naprednega števca. Do namestitve naprednega števca mora distribucijski operater zagotoviti delovanje običajnih števcev, ki natančno merijo dejansko porabo in ki jo lahko končni odjemalci brez težave odčitavajo neposredno ali prek spletnega oziroma drugega ustreznega standardiziranega vmesnika. Napredni števci morajo v skladu s tretjim odstavkom 28. člena ZOEE zagotavljati potreben nabor podatkov za porabniške sisteme za upravljanje energije skladno z ustreznimi razpoložljivimi standardi, vključno s tistimi, ki omogočajo interoperabilnost, ob upoštevanju najboljših praks, razvoja naprednih omrežij in notranjega trga električne energije. Zahteve, ki jih morajo izpolnjevati napredni števci, ter njihove funkcionalnosti so določene v 29. členu ZOEE.

Osebni podatki uporabnikov sistema, ki se obdelujejo na podlagi ZOEE, so določeni v drugem odstavku 30. člena. To so: ime in priimek, naslov, davčna številka; identifikator prevzemno-predajnega mesta in z njim povezanih enoličnih identifikatorjev merilnih točk ter naziv in naslov prevzemno-predajnega mesta; merilni in obračunski podatki, ki jih je mogoče nedvoumno povezati z uporabnikom sistema, in sicer:

a) izmerjena delovna energija v intervalu 15 minut ali krajšem časovnem intervalu, ki ga omogoča stanje tehnike, in

b) časovni agregati izmerjene delovne energije, ki se nanašajo na uporabnika sistema.

Med navedenimi osebnimi podatki je torej tudi davčna številka. Osebni podatki se obdelujejo v skladu s Splošno uredbo in zakonom. V tretjem, četrtem in petem odstavku 30. člena ZOEE so določeni tudi upravljavci oziroma uporabniki, ki lahko obdelujejo te osebne podatke (med njimi so tudi distribucijski in sistemski operater ter dobavitelji električne energije), ter nameni, za katere jih lahko obdelujejo. Merilni podatki iz drugega odstavka tega člena se zaradi zagotavljanja podatkov za učinkovito delovanje trga z električno energijo, izvajanje energetskih storitev ter za namen obratovanja in zagotavljanja zanesljivosti oskrbe hranijo največ tri leta po poteku leta, v katerem nastanejo. Ne glede na določbe prejšnjega stavka se časovni agregati na ravni od vključno enega meseca, ki se nanašajo na uporabnika sistema, hranijo največ pet let po poteku leta, v katerem nastanejo. Drugi osebni podatki uporabnikov sistema, ki izhajajo iz pogodbenega razmerja, se hranijo tako dolgo, kot je nujno za izvajanje ukrepov na zahtevo posameznika pred sklenitvijo pogodbe, za izvajanje pogodbe ter uveljavljanje pravic in obveznosti iz sklenjene pogodbe oziroma do poteka roka za uveljavljanje pravnega varstva pogodbenih strank.

IP povzema, da je možno, da ponudnik sredstev digitalne identitete obdeluje vašo davčno številko oziroma jo posreduje aplikaciji »moj elektro« v skladu z zgoraj navedenimi določbami, ob tem pa ponavlja, da tega ne more presojati v okviru neobvezujočega mnenja.

IP nadalje pojasnjuje, da Splošna uredba v 15. členu ureja pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki. Tako v prvem odstavku določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:

a) namene obdelave;

b) vrste zadevnih osebnih podatkov;

c) uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah;

d) kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;

e) obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;

f) pravico do vložitve pritožbe pri nadzornem organu;

g) kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;

h) obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4) Splošne uredbe (EU) o varstvu podatkov, ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.

IP dodaja še, da pravica do seznanitve z lastnimi osebnimi podatki ni absolutna, ampak lahko zakonodaja posamezne države članice sorazmerno omeji obseg obveznosti upravljavcev in pravic posameznikov, kadar je to potrebno za zagotavljanje:

- državne varnosti, obrambe ter javne varnosti,

- preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij,

- drugih pomembnih ciljev v splošnem javnem interesu Unije ali države članice, zlasti pomembnega gospodarskega ali finančnega interesa Unije ali države članice, vključno z denarnimi, proračunskimi in davčnimi zadevami, javnim zdravjem in socialno varnostjo,

- varstva neodvisnosti sodstva in sodnega postopka,

- preprečevanja, preiskovanja, odkrivanja in pregona kršitev etike v zakonsko urejenih poklicih;

- spremljanja, pregledovanja ali urejanja, povezanega, lahko tudi zgolj občasno, z izvajanjem javne oblasti,

- varstva posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih in

- uveljavljanja civilnopravnih zahtevkov.

Zahteva se vloži pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke. IP vam svetuje, da pri konkretnem upravljavcu (ponudniku sredstev digitalne identitete) podate zahtevo za seznanitev z lastnimi osebnimi podatki in počakate na njihov odgovor oziroma na potek roka za odgovor. IP svetuje tudi, da v zahtevi čim bolj natančno opredelite, kaj v zvezi z vašimi osebnimi podatki vas posebej zanima (na podlagi vašega zaprosila za mnenje IP sklepa, da je to zlasti pravna podlaga za posredovanje vaših osebnih podatkov). Zoper molk upravljavca ali zoper njegov zavrnilni odgovor je mogoča pritožba pristojnemu nadzornemu organu za varstvo podatkov (IP). Za podrobnejše informacije v zvezi z navedeno pravico in kako jo uveljavljati, vas napotujemo na našo spletno stran, kjer lahko najdete tudi (neobvezujoč) obrazec zahteve:

https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka