Posredovanje osebnih podatkov FURS

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Pojasnjujete, da ste od Finančne uprave Republike Slovenije (v nadaljevanju FURS) prejeli zahtevo za posredovanje podatkov o poštnih nakaznicah iz naslova poslanih oziroma vročenih odkupnih pošiljk, in sicer na podlagi 17. člena Zakona o finančni upravi. Poštne nakaznice vsebujejo osebne podatke o pošiljatelju, osebne podatke o prejemniku ter podatke o sami nakaznici, npr. datum, pošto vplačila, vrednost, serijsko številko nakaznice ipd.. Izpostavljate, da iz zahteve ne izhaja, da bi FURS že vodil konkreten inšpekcijski postopek, temveč zahteva vse podatke o poštnih nakaznicah za določeno obdobje. Navajate, da vaš dvom glede utemeljenosti zahteve FURS za posredovanje podatkov izhaja predvsem iz tega, da je namen opredeljen presplošno; da gre za zbiranje podatkov na zalogo, ne pa v okviru konkretnega inšpekcijskega postopka ter da zahteva ne spoštuje načela minimalnosti, saj se zahteva prav vse podatke o poštnih nakaznicah v določenem letu. Zanima vas, ali je 17. člen Zakona o finančni upravi ustrezna pravna podlaga za posredovanje zahtevanih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Uvodoma pojasnjujemo, da lahko IP posamezne primere obdelave podatkov konkretno presoja le v okviru inšpekcijskega ali drugega upravnega postopka. IP namreč ne sme in ne more prevzeti odgovornosti posameznih subjektov za njihovo poslovanje, podobno kot to velja za druge inšpekcijske organe. Zato poudarjamo, da IP v mnenju ne more namesto upravljavca presojati, ali je posamezna zahteva za posredovanje podatkov utemeljena, to je izključna naloga in odgovornost upravljavca. Iz tega razloga IP na vaše vprašanje v okviru tega mnenja ne more dokončno odgovoriti, temveč v nadaljevanju podaja zgolj splošna pojasnila.

Za zakonito obdelavo osebnih podatkov, torej med drugim tudi za njihovo zbiranje, shranjevanje, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, mora imeti upravljavec ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe. Skladno s členom 6(1)(c) je obdelava zakonita, če je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca.

Zakon o finančni upravi (Uradni list RS, št. 25/14, v nadaljevanju ZFU) v 11. členu opredeljuje naloge FURS v 20. točkah, med drugim so to odmera in obračun obveznih dajatev, carinjenje blaga, finančni nadzor, finančna preiskava, itn. Prvi odstavek 17. člena ZFU nadalje določa, da lahko uradna oseba zahteva od zavezanca in osebe, ki je dolžna sporočiti podatke in predložiti listine, dokumente in druge zapise, da ji v določenem roku in na določenem kraju sporoči kateri koli podatek ali predloži dokument, potreben za opravljanje nalog finančne uprave, ne glede na obliko, v kateri se nahaja. Oseba na zahtevo uradne osebe sporoči tudi podatke o osebi, pooblaščeni za opravljanje poslov, pri opravljanju katerih naj bi bila storjena kršitev predpisov.

Iz navedenega izhaja, da ima FURS relativno široka pooblastila, da od upravljavcev zbirk zahteva podatke in vso dokumentacijo, ki jo ti vodijo in je pomembna za opravljanje nalog FURS. Vendar pa je FURS dolžan izkazati, da so zahtevani podatki potrebni za izvedbo konkretne naloge finančne uprave. IP zato meni, da lahko člen 17. ZFU predstavlja ustrezno pravno podlago za posredovanje zahtevanih osebnih podatkov v zvezi s poštnimi nakaznicami, vendar le, če FURS ta podatek nujno potrebuje za izvajanje svojih zakonsko predpisanih nalog.

IP namreč opozarja na načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (člen 5(1)(c) Splošne uredbe). To pomeni, da osebnih podatkov ni dopustno zbirati »na zalogo« ter da je pridobivanje posameznih vrst osebnih podatkov in njihova uporaba dopustna v primeru jasno izkazane pravne podlage ter zakonitega namena. To načelo zavezuje FURS kot uporabnika podatkov in tudi vas kot upravljavca podatkov. Če se kot upravljavec na podlagi prejete zahteve FURS niste mogli prepričati o spoštovanju načela najmanjšega obsega podatkov in zakonske zahteve po potrebnosti podatkov za izvajanje zakonskih nalog FURS, ste upravičeni, da od njih zahtevate dodatna pojasnila o namenu uporabe podatkov in drugih okoliščinah, ki so pomembne za presojo navedenega pogoja. IP se namreč strinja, da na podlagi prejete zahteve FURS ne morete presoditi, ali je posredovanje zahtevanih podatkov zakonito, saj zgolj pavšalno sklicevanje na 17. člen ZFU za takšno presojo ne zadostuje. Po oceni IP bi bilo zato v tem primeru ustrezno, da FURS poda dodatna pojasnila glede pravne podlage in namena zbiranja zahtevanih podatkov, npr. kaj želijo z zahtevanimi podatki dokazati oziroma ugotoviti, zakaj so takšna dejstva pomembna za izvajanje njihove naloge, v katerem postopku oziroma v zvezi s katero nalogo so podatki potrebni, utemeljiti morebitno dodatno pravno podlago in podobno.

Lep pozdrav,

Mojca Prelesnik, univ. dipl. prav.,                                               

informacijska pooblaščenka

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov