Zbiranje osebnih podatkov pri prodaji na obroke in z odloženim plačilom

Datum

27.01.2025

Številka

07121-1/2025/31

Kategorije

EMŠO in davčna, Pravne podlage, Sodni postopki

Pri Informacijskem pooblaščencu (IP) smo dne 14. 1. 2025 prejeli vaše zaprosilo za mnenje glede zbiranja davčne številke kupcev. Pojasnjujete, da v družbi kupcem omogočate nakup na obroke in z odloženim plačilom. Zgodi se, da kupci obrokov ne plačujejo in je potrebno sprožiti izvršbo. Do sedaj ste na naročilnicah zbirali le ime in priimek, naslov in podpis naročnika, ti podatki pa za poizvedbo v Centralnem registru prebivalstva pred vložitvijo predloga za izvršbo velikokrat ne zadoščajo, saj bodisi pride do spremembe imena, priimka ali naslova naročnika. Razmišljate, da bi zato pri prodaji na obroke in z odloženim plačilom zbirali tudi davčno številko naročnika. Zbiranje bi utemeljevali na točki (b) prvega odstavka 6. člena Splošne uredbe. Zaprošate za mnenje IP.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Obdelava davčne številke naročnika bi lahko bila utemeljena na točki (f) prvega odstavka 6. člena Splošne uredbe. Pred obdelavo na tej pravni podlagi mora upravljavec izvesti t.i. test zakonitih interesov; IP tega ne more narediti namesto njega. Da obdelava temelji na pravni podlagi zakonitih interesov, morajo biti izpolnjeni trije kumulativni pogoji: 1. zasledovanje zakonitega interesa s strani upravljavca ali tretje osebe, 2. obdelava osebnih podatkov mora biti potrebna za namene zasledovanega zakonitega interesa in 3. interesi ali temeljne pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, ne smejo prevladati nad zakonitimi interesi, za katere si prizadeva upravljavec ali tretja oseba.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

Točka (b) prvega odstavka 6. člena Splošne uredbe je pravna podlaga za obdelavo osebnih podatkov, če je obdelava potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe. Navedeni člen se uporablja, kadar je izpolnjen kateri koli od dveh pogojev: zadevna obdelava mora biti objektivno potrebna za izvajanje pogodbe s posameznikom, na katerega se nanašajo osebni podatki, ali obdelava mora biti objektivno potrebna za sprejetje pred-pogodbenih ukrepov na zahtevo posameznika, na katerega se nanašajo osebni podatki. Točka (b) prvega odstavka 6. člena Splošne uredbe ne zajema obdelave, ki je sicer koristna, vendar objektivno ni potrebna za izvajanje pogodbe, ali sprejetje pred-pogodbenih ukrepov na zahtevo zadevnega posameznika, četudi je morda potrebna za druge upravičene poslovne namene. Upravljavec bi moral biti zmožen dokazati, da glavnega predmeta pogodbe s posameznikom, na katerega se nanašajo osebni podatki, dejansko ni mogoče izpolniti brez konkretne obdelave zadevnih osebnih podatkov.

IP uvodoma pojasnjuje še, da je pravno podlago za obdelavo osebnih podatkov iz točke (b) prvega odstavka 6. člena Splošne uredbe potrebno obravnavati v okviru ciljev iz 1. člena Splošne uredbe in dolžnostjo upravljavcev, da osebne podatke obdelujejo v skladu z načeli pravičnosti in preglednosti (točka (a) prvega odstavka 5. člena), omejitve namena (točka (b) prvega odstavka 5. člena) in najmanjšega obsega podatkov (točka (c) prvega odstavka 5. člena) iz Splošne uredbe. V skladu z načelom najmanjšega obsega podatkov je upravljavec dolžan obdelovati le toliko osebnih podatkov, kolikor je nujno potrebno za dosego posamičnega zakonitega namena obdelave. Načelo najmanjšega obsega podatkov namreč določa, da morajo biti (pod pogojem, da obstaja pravna podlaga) osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Davčna številka posameznika je enolični identifikacijski znak, ki posameznika nedvoumno določi, zato je upravljavci ne smejo zahtevati »na zalogo« oziroma brez ustrezne pravne podlage. V vašem zaprosilu pojasnjujete, da bi davčno številko zbirali zaradi potreb morebitne izvršbe, ko kupci obrokov ne plačujejo, saj zaradi spremembe v imenu, priimku ali naslovu naročnika do sedaj zbrani osebni podatki za poizvedbo v Centralnem registru prebivalstva pred vložitvijo predloga za izvršbo velikokrat ne zadoščajo. IP se poraja dvom o ustreznosti zbiranja davčne številke na podlagi točke (b) prvega odstavka 6. člena Splošne uredbe, v skladu s katero mora biti obdelava potrebna za izvajanje pogodbe, saj je upravljavec do sedaj tudi brez zbranih davčnih številk uspešno izvajal pogodbe z naročniki. Težava se za upravljavca pojavi le v primeru morebitnih neplačil naročnikov, odstopa od pogodbe z naročnikom in posledično izvršbe. IP je zato mnenja, da bi lahko bila bolj primerna pravna podlaga za obdelavo davčne številke točka (f) prvega odstavka 6. člena Splošne uredbe (obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti katar je posameznik, na katerega se nanašajo osebni podatki, otrok). Pred obdelavo na tej pravni podlagi mora upravljavec izvesti t.i. test zakonitih interesov (ang. legitimate interests assessment); IP tega ne more narediti namesto njega. Da obdelava temelji na pravni podlagi zakonitih interesov, morajo biti izpolnjeni trije kumulativni pogoji:

1. zasledovanje zakonitega interesa s strani upravljavca ali tretje osebe;

2. obdelava osebnih podatkov mora biti potrebna za namene zasledovanega zakonitega interesa in

3. interesi ali temeljne pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, ne smejo prevladati nad zakonitimi interesi, za katere si prizadeva upravljavec ali tretja oseba.

IP priporoča, da upravljavec presojo zakonitega interesa ustrezno pisno dokumentira, saj mora v skladu z načelom odgovornosti iz drugega odstavka 5. člena Splošne uredbe biti zmožen dokazati, da je obdelava osebnih podatkov skladna s prvim odstavkom tega člena.

IP pri tem še dodaja, da Splošna uredba v 13. členu določa dolžnost upravljavca, da posameznikom (pred samo obdelavo) zagotovi informacije glede obdelave njihovih osebnih podatkov. Informacije se morajo posamezniku zagotoviti na način, določen v 12. členu Splošne uredbe, in sicer tako, da so podane na lahko dostopen način in predstavljene v jasnem in razumljivem jeziku.

Pripravila:

Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik, informacijska pooblaščenka