Javna objava inšpekcijskih odločb FURS o prepovedi dela na črno

Datum

25.03.2024

Številka

07120-1/2024/115

Kategorije

Svetovni splet, Uradni postopki

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da Finančna uprava RS izdaja odločbe o prepovedi opravljanja dejavnosti ali dela na črno posameznikom, ki nimajo registrirane (poslovne) dejavnosti v eni od statusnopravnih oblik. Navajate, da Zakon o inšpekcijskem nadzoru (ZIN) vsebuje možnost izrekanja ukrepov za varovanje pravic drugih oseb, med drugim lahko inšpektor objavi oziroma odredi objavo svoje odločbe ali njenega povzetka. Opisujete, da kljub izrečenim globam posamezniki svojih kršitev večinoma ne odpravijo oziroma nadaljujejo z delom na črno, zato menite, da bi bilo zaradi varovanja pravic drugih oseb potrebno, da se izdane in pravnomočne odločbe o prepovedi opravljanja dejavnosti ali dela na črno izdane posameznikom, objavijo na spletni strani e-uprava – na oglasni deski. Omenjate tudi potencialno nevarnost dela na črno (posebej na primer glede prodaje določenih prehranskih dodatkov, tinktur itd.) za življenje in zdravje ljudi in navajate še več drugih elementov, zaradi katerih se vam zdi ukrep objave odločb ustrezen in sorazmeren. Prosite nas za mnenje glede ustreznosti take objave, ki bi med drugim vsebovala ime, priimek, leto rojstva, vrsto dokumenta, rok za odpravo kršitev itd.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP določbo drugega odstavka 36. člena ZIN razume na način, da ne omogoča avtomatične, množične objave (povzetkov) odločb z osebnimi podatki o prepovedi opravljanja dela na črno, omogoča pa določeno, pretehtano in sorazmerno objavo tistih osebnih podatkov, ki so (nujno) potrebni za dosego namena javne objave, in sicer varovanje pravic drugih oseb. Menimo, da je treba v vsakem primeru posebej presoditi, ali so podani vsi elementi iz drugega odstavka 36. člena ZIN in kako se ti elementi skladajo oziroma povezujejo s temeljnimi načeli varstva osebnih podatkov.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Prav tako že na začetku navajamo, da iz vašega dopisa ni povsem jasno, ali sprašujete o objavi celotnih odločb ali zgolj podatkov, ki ste jih primeroma navedli v vašem dopisu (na primer ime, priimek, leto rojstva, vrsto dokumenta, rok za odpravo kršitev itd.). Nabor podatkov, ki naj bi jih obdelovali (na način javne objave) je bistveni element presoje sorazmernosti obdelave osebnih podatkov, kar bo razvidno tudi iz nadaljevanja tega mnenja.

Obdelava osebnih podatkov je dopustna le, če zanjo obstaja ustrezna pravna podlaga. V 6. členu Splošne uredbe so tako določene pravne podlage, in sicer:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

IP kot nadzorni organ v mnenju ne more svetovati, ali sklicevanje na določeno pravno podlago zagotavlja zakonito obdelavo osebnih podatkov ali ne. Navedemo lahko, da bi lahko določba 36. člena Zakona o inšpekcijskem nadzoru (Uradni list RS, št. 43/07 – UPB in 40/14; s sprem. in dop.) opredeljevala »naloge pri izvajanju javne oblasti«, kot jih omenja točka e) prvega odstavka 6. člena Splošne uredbe, vendar pa to terja nadaljnjo analizo predmetne določbe ZIN.

Drugi odstavek 36. člena ZIN določa, da če inšpektor »meni, da je zaradi varovanja pravic drugih oseb to potrebno, lahko inšpektor objavi oziroma s sklepom odredi objavo svoje odločbe ali njenega povzetka za določen čas na vidnem mestu v poslovnih prostorih zavezanca, na vhodu v te poslovne prostore, v javnih glasilih ali na drug primeren način. Stroške objave krije zavezanec."

Pri navedeni določbi je treba natančno preučiti vse njene posamezne elemente:

-namen objave (varovanje pravic drugih);

-potrebnost (če inšpektor meni, da je potrebno za izpolnitev zgornjega namena);

-ožja sorazmernost (odločitev, ali je potrebna objava odločbe ali njenega povzetka in posledično, kateri osebni podatki iz odločbe, če sploh);

-časovna omejenost (za določen čas);

-opredelitev lokacije objave glede na potrebnost (na vidnem mestu v poslovnih prostorih zavezanca, na vhodu v te poslovne prostore, v javnih glasilih ali na drug primeren način).

Na tem mestu je pomembno izpostaviti naslednja temeljna načeli, ki jih vključuje Splošna uredba, in sicer:

-načelo omejitve namena (točka b) prvega odstavka 5. člena Splošne uredbe): osebni podatki morajo biti zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni;

-načelo najmanjšega obsega podatkov (točka c) prvega odstavka 5. člena Splošne uredbe): osebni podatki morajo biti ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo („najmanjši obseg podatkov“);

-načelo točnosti (točka d) prvega odstavka 5. člena Splošne uredbe): osebni podatki morajo biti točni in, kadar je to potrebno, posodobljeni; sprejeti je treba vse razumne ukrepe za zagotovitev, da se netočni osebni podatki brez odlašanja izbrišejo ali popravijo ob upoštevanju namenov, za katere se obdelujejo („točnost“);

-načelo omejitve hrambe (točka e) prvega odstavka 5. člena Splošne uredbe): osebni podatki morajo biti hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo.

Povezava določbe drugega odstavka 36. člena ZIN s temeljnimi načeli varstva osebnih podatkov je ključnega pomena (če spoznate, da je načeloma podana pravna podlaga za objavo podatkov). Po našem mnenju določba drugega odstavka 36. člena ZIN res dopušča določeno objavo odločb ali povzetkov odločb inšpektorja, vendar vpeljuje tudi več različnih elementov presoje, ki jih je treba v vsakem posamičnem primeru analizirati, pretehtati in znati utemeljiti na podlagi oziroma v povezavi s temeljnimi načeli obdelave osebnih podatkov.

IP meni, da morate zaradi načela omejitve namena pretehtati vsako potencialno objavo posebej, če je potrebna zaradi varovanja pravic drugih oseb in biti zmožni to utemeljiti. Menimo namreč, da samodejno, vnaprej predvideno objavljanje vseh izdanih odločb o prepovedi dela na črno ni bil namen zakonodajalca, sicer bi bilo to nedvoumno tudi zapisano oziroma bi moralo biti zapisano. Odločbe ali njihovi povzetki pa se po obravnavani določbi objavijo le, če inšpektor meni, da je to potrebno. Pri namenu objave – potrebnost zaradi varovanja pravic drugih – je treba izpostaviti, da vsi razlogi, ki jih navajate v vašem dopisu, skupaj predstavljajo potrebo po varovanju javnega interesa, zaradi katerega se uvede, vodi in dokonča inšpekcijski postopek. Niso pa vsi ti razlogi enaki razlogom, ki jih za objavo odločb ali povzetkov določb predvideva drugi odstavek 36. člena ZIN, ko govori o varovanju pravic drugih oseb. Pri potrebi po varovanju pravic drugih oseb je treba namreč ustrezno konkretizirati, ali bi prav (javna) objava inšpekcijske odločbe ali njenega povzetka varovala pravice drugih oseb in s čim je utemeljena taka presoja. Še bolj specifično: utemeljiti je treba, zakaj bi prav (javna) objava osebnih podatkov iz inšpekcijske odločbe potrebna za zagotovitev varovanja pravic drugih oseb. To po mnenju IP ne more biti podano generalno za vse odločbe oziroma osebne podatke iz odločb, temveč je treba utemeljiti za vsak primer posebej.

Poleg oziroma hkrati z namenom objave (varovanje pravic drugih oseb) je treba presoditi tudi, kateri osebni podatki (če sploh) naj bi se objavili, da bi se dosegli nameni takšne objave. Ti osebni podatki morajo biti skladno z načelom najmanjšega obsega podatkov ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Osebni podatki, katerih objava ne bi dosegala namena varovanja pravic drugih oseb, se skladno s tem ne bi smeli objaviti. Do določene mere ima že sama določba drugega odstavka 36. člena ZIN vtkano presojo sorazmernost, ko določa, da se inšpektor lahko odloči za objavo odločbe ali njenega povzetka. Kot navedeno zgoraj pa IP meni, da načelo sorazmernosti oziroma minimalnega obsega podatkov določa še ožjo presojo, in sicer, kateri osebni podatki iz odločb, če sploh, so potrebni z namenom varovanja pravic drugih oseb. Pri tem navajamo, da žal ne moremo komentirati vašega predloga, katere osebne podatke iz odločb bi lahko objavili, saj smo večkrat poudarili, da mora biti presoja potrebnosti (oziroma nujnosti) objave specifična in vezana na konkretne okoliščine, ki se pokažejo v vsakem primeru posebej. Seveda se lahko določene okoliščine okvirno predvidijo vnaprej (na primer prodaja izdelkov, ki so potencialno nevarni za zdravje), vendar je treba vseeno za vsak primer posebej presoditi, ali bi objava osebnih podatkov zavezanca v inšpekcijskem postopku in katerih osebnih podatkov bi dejansko učinkovala varovalno na pravice drugih oseb.

Nadalje je treba nameniti pozornost tudi časovni komponenti objave, saj že ZIN opredeljuje, da se objava omogoči »za določen čas«, pri čemer je treba upoštevati tudi načelo omejitve hrambe. Po našem mnenju bi morali kot upravljavec osebnih podatkov vnaprej opredeliti še bolj natančen časovni okvir objave kot zgolj »za določen čas« ter vzpostaviti ustrezen sistem, po katerem bi se objave po izpolnitvi namena umaknilo. Obstaja pa tudi nevarnost, da bi se osebni podatki po objavi kopirali in poobjavljali na drugih mestih (na primer portalih ali v spletnih medijih), kjer bi bilo prav tako treba zagotoviti, da se objave osebnih podatkov umaknejo po preteku časa, kot ga opredelite vi in je v smislu ZIN-a »za določen čas«.

Pomemben element objave je tudi lokacija oziroma medij objave, kjer je po našem mnenju v drugem odstavku 36. člena ZIN prav tako zaznati načelo sorazmernosti. V določenih primerih bo torej zadoščala objava na vidnem mestu v prostorih zavezanca ali na vhodu v te prostore, kadar pa je zaradi varovanja pravic drugih nujno, da se z informacijami seznani širša javnost pa je lahko (samo v utemeljenih primerih) potrebna tudi javna objava. IP meni, da je skladno z določbo drugega odstavka 36. člena ZIN potrebna vsakokratna presoja o lokaciji in/ali mediju objave glede na okoliščine posameznega primera. To pa preprečuje tudi možnost vnaprejšnje odločitve o objavi vseh (povzetkov) odločb na določeni (isti) lokaciji. IP meni, da če bi vnaprej določili, da se vsi povzetki odločb z osebnimi podatki objavijo na oglasni deski / e-upravi, bi zaobšli potrebo po presoji, katera od lokacij oziroma medijev je v konkretnem primeru potrebna. IP meni, da se vseh odločb o prepovedi dela na črno najverjetneje ne da obravnavati enako.

Odgovornost za presojo glede obdelave osebnih podatkov je na upravljavcu osebnih podatkov. IP določbo drugega odstavka 36. člena ZIN razume na način, da ne omogoča avtomatične, množične objave (povzetkov) odločb z osebnimi podatki o prepovedi opravljanja dela na črno. Če bi želeli sistematično objavljati osebne podatke v opisanih okoliščinah, bi bila po mnenju IP potrebna sprememba zakonodaje, glede česar bi se morali oziroma lahko obrniti na pristojno resorno ministrstvo.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov