37. člen ZDavP2

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Navajate, da je ureditev v 37. členu ZDavP-2, po kateri banke avtomatično pošiljajo vse prilive od vseh imetnikov računov pri nas, v nasprotju z načelom sorazmernosti, kot ga določa Splošna uredba in omogoča FURS-u zbiranje podatkov na zalogo. Opozarjate, da FURS prav tako nezakonito pridobljene podatke posreduje (ter obdeluje) tudi drugim osebam, kar sicer, v zelo omejenem obsegu, dovoljuje tudi zakon, kar tudi ni skladno z Ustavo, saj teh podatkov FURS sploh ne bi smel pridobivati. Ocenjujete, da FURS nima zadovoljivih varovalk nad varovanjem osebnih podatkov, saj ni uvedenih rednih neodvisnih nadzornih mehanizmov nad največjo bazo osebnih podatkov v državi, zato menite, da bi bila smiselna uvedba nadzora še s strani Državnega zbora in rednega nadzora s strani Računskega sodišča. Predlagate, da IP uvede postopek, s katerim bo ustavil kršitev pravic na področju zasebnosti in po potrebi predlaga presojo ustavnosti ureditve, saj MF in FURS s predlogom za spremembo zakona in uvedbo standardov, ki bi preprečile kršitve, navedenih težav ne želita urediti.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Zakon o davčnem postopku (Uradni list RS, št. 13/11 – uradno prečiščeno besedilo, 32/12, 94/12, 101/13 – ZDavNepr, 111/13, 22/14 – odl. US, 25/14 – ZFU, 40/14 – ZIN-B, 90/14, 91/15, 63/16, 69/17, 13/18 – ZJF-H, 36/19, 66/19, 145/20 – odl. US in 203/20 – ZIUPOPDVE; v nadaljevanju ZDavP-2) v drugem odstavku 37. člena določa, da ponudniki plačilnih storitev davčnemu organu pošljejo tudi podatke o transakcijskih računih fizičnih oseb in o prilivih teh oseb na teh računih zaradi pridobivanja podatkov, potrebnih za pobiranje davkov. Podatki o odlivih se pošljejo na posebno zahtevo davčnega organa. Minister, pristojen za finance, določi roke, vsebino in način pošiljanja teh podatkov.

IP je že v mnenju k Predlogu Zakona o spremembah in dopolnitvah Zakona o davčnem postopku (ZDavP-2F) z dne 16. 7. 2012 v delu, ki se nanaša no to določbo, opozoril na načelo sorazmernosti iz 3. člena ZVOP-1, ki določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. Podobno določa tudi Splošna uredba v členu 5(1)(c), skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (»najmanjši obseg podatkov«). IP je v mnenju izpostavil, da predlagana ureditev drugega odstavka 37. člena ZDavP-2 predstavlja zelo globok poseg v posameznikovo zasebnost (35. člen Ustave) in varstvo njegovih osebnih podatkov (38. člen Ustave) ter da je prepričan, da predlagana ureditev avtomatičnega in neselektivnega pridobivanja podatkov o celotnem prometu na transakcijskih računih vseh fizičnih oseb ne prestane testa sorazmernosti. Zato je predlagal, da se predlog te določbe črta. Celotno mnenje je dostopno na povezavi: https://www.ip-rs.si/zakonodaja/pripombe-informacijskega-poobla%C5%A1%C4%8Denca-na-predloge-predpisov/2012.

Ob tem pa IP pojasnjuje, da lahko podaja mnenja in izpostavlja posamezne vidike z vidika zagotavljanja spoštovanja predpisov s področja varstva osebnih podatkov, ni in ne sme pa prevzemati odgovornosti predlagatelja predpisov ali zakonodajalca. Prav tako IP poudarja, da je pri izvrševanju svojih pristojnosti vezan na veljavno zakonodajo (npr. peti odstavek 8. člena ZInfP). Zahtevo za oceno ustavnosti oziroma zakonitosti predpisa ali splošnega akta, izdanega za izvrševanje javnih pooblastil, pa lahko skladno s 23.a členom Zakona o ustavnem sodišču (Uradni list RS, št. 64/07 – uradno prečiščeno besedilo, 109/12, 23/20 in 92/21) začne le, če nastane to vprašanje v zvezi s postopkom, katerega vodi. Ta pogoj pa v času pisanja tega mnenja ni izpolnjen.

Svetujemo, da si več o pravicah posameznika glede varstva podatkov preberete na naši spletni strani www.tiodlocas.si.

Vsa mnenja IP so objavljena in dostopna na naši spletni strani: https://www.ip-rs.si/vop/.

Prav tako pa so vsa ključna področja, kot jih ureja Splošna uredba o varstvu podatkov, predstavljena na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/, kjer lahko najdete veliko koristnih nasvetov glede bistvenih obveznosti podjetij in drugih organizacij za pravilno izvajanje ukrepov varstva osebnih podatkov.

Lep pozdrav,

                                                                                                Mojca Prelesnik, univ. dipl. prav.,

                                                                                                informacijska pooblaščenka

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.