Povezava sistema eTurizem z evidenco bonov

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijskemu pooblaščencu (v nadaljevanju IP) ste dne 3. 6. 2020 poslali zaprosilo za mnenje, skupaj s pripravljeno vlogo za povezovanje zbirk osebnih podatkov. Kot navajate, bo FURS na podlagi petnajstega odstavka 35. člena ZIUOOPE dnevno pridobival podatke iz sistema eTurizem AJPES, ki vključuje podatke iz registra nastanitvenih obratov in podatke iz knjige gostov. Za namen unovčitve bona in povračila sredstev v skladu s 35. členom ZIUOOPE bo FURS za kontrolo, ali je gost res bival pri ponudniku, uporabil iz podatkov, pridobljenih iz sistema eTurizem, le tiste podatke o gostih, ki bodo unovčili bon. Za iskanje gosta med podatki iz sistema eTurizem, ki bo unovčil bon pri ponudniku, bo FURS uporabili številko in vrsto identifikacijskega dokumenta oziroma ime in priimek ter datum rojstva gosta – upravičenca, če upravičenec nima identifikacijskega dokumenta.

FURS bo klical storitev na AJEPS na vsako uro. Pridobivali boste podatke o nočitvah in jih posredovali v zaledni sistem IDIS.

Glede na to, da po vašem ne gre za povezovanje zbirk podatkov, ampak le za uporabo nekaterih podatkov iz sistema eTurizem AJPES, se vam postavlja vprašanje, ali bi v konkretnem primeru zadoščalo le obvestilo IP. IP zato prosite za mnenje, ali v tem primeru sploh gre za povezovanje podatkov in je vlogo treba vložiti.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim zgoraj navedenim zaprosilom.

IP meni, da FURS in AJPES za nameravano vzpostavitev povezave med evidenco bonov in sistemom eTurizem, ne potrebujeta predhodnega dovoljenja IP iz tretjega odstavka 84. člena ZVOP-1, pač pa sta skladno z določbo drugega odstavka 84. člena ZVOP-1 dolžna IP o nameravani povezavi zgolj predhodno pisno obvestiti.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka ne more presojati konkretnih obdelav osebnih podatkov. V mnenju lahko zato poda zgolj splošna pojasnila, ne more pa presojati ustreznosti konkretnega ravnanja posameznih upravljavcev in obdelovalcev ter ne sme in ne more prevzeti odgovornosti posameznih subjektov za njihovo poslovanje.

****

ZVOP-1 in Splošna uredba izraza »povezovanje zbirk osebnih podatkov« posebej ne definirata, pač pa je iz določb 6. člena  ZVOP-1 in  člena 4 Splošne uredbe, kjer je definiran pomen izrazov, razvidno le to, da se povezovanje šteje kot obdelava osebnih podatkov in pomeni eno od delovanj, ki se izvaja v zvezi z osebnimi podatki

 
Za razumevanje izraza »povezovanje zbirk osebnih podatkov« v smislu določb 6. poglavja VI. dela ZVOP-1 je v času čedalje širše uporabe informacijsko-komunikacijskih tehnologij (IKT) potrebno precejšnje poznavanje teorije podatkovnih komunikacij, računalniških omrežij, baz podatkov in standardnih modelov povezovanja sistemov.

Kot je IP opisal v smernicah »Varstvo osebnih podatkov pri povezovanju zbirk osebnih podatkov v javni upravi« se šteje za povezovanje zbirk osebnih podatkov avtomatsko in elektronsko povezovanje zbirk osebnih podatkov, ki jih vodijo upravljavci za različne namene, in sicer tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko.

Povezovanje zbirk osebnih podatkov iz uradnih evidenc in javnih knjig ureja 6. poglavje VI. dela ZVOP-1 (Področne ureditve), kjer je v prvem odstavku 84. člena določeno, da je zbirke osebnih podatkov iz uradnih evidenc in javnih knjig dovoljeno povezovati, če tako določa zakon. Drugi odstavek 84. člena ZVOP-1 določa, da so upravljavci ali upravljavec osebnih podatkov, ki povezuje dve ali več zbirk osebnih podatkov, ki se vodijo za različne namene, dolžni o tem predhodno pisno obvestiti državni nadzorni organ. Tretji odstavek 84. člena ZVOP-1 nadalje določa, da če vsaj ena zbirka osebnih podatkov, ki naj bi se jo povezovalo, vsebuje občutljive osebne podatke, ali če bi povezovanje imelo za posledico razkritje občutljivih podatkov ali je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka, povezovanje ni dovoljeno brez predhodnega dovoljenja nadzornega organa. V četrtem odstavku 84. člena ZVOP-1 je še določeno, da državni nadzorni organ dovoli povezavo na podlagi pisne vloge upravljavca osebnih podatkov, če ugotovi, da upravljavci osebnih podatkov zagotavljajo ustrezno zavarovanje osebnih podatkov.

Kot isti povezovalni znaki se po določbi 20. točke 6. člena ZVOP-1 štejejo osebna identifikacijska številka in druge z zakonom opredeljene enolične identifikacijske številke posameznika, z uporabo katerih je mogoče zbirati oz. priklicati osebne podatke iz tistih zbirk osebnih podatkov, v katerih so obdelovani tudi isti povezovalni znaki. Kot tipični in najpogosteje uporabljeni isti povezovalni znaki se glede na citirano definicijo štejejo enotna matična številka občana (EMŠO), davčna številka in številka zdravstvenega zavarovanja.

****

Obdelavo osebnih podatkov upravičencev do bona za izboljšanje gospodarskega položaja na področju potrošnje turizma (v nadaljevanju bon) in osebnih podatkov oseb, ki bodo bon vnovčile, ureja 35. člen Zakona o interventnih ukrepih za omilitev in odpravo posledic epidemije COVID-19 (Uradni list RS, št. 80/20, v nadaljevanju ZIUOOPE), kjer je v petnajstem odstavku določeno, da FURS za namen izvajanja tega člena pridobi podatke iz sistema eTurizem AJPES, ki vključuje podatke iz registra nastanitvenih obratov in podatke iz knjige gostov, ki jih na podlagi zakona, ki ureja prijavo prebivališča, v sistem eTurizem AJPES posreduje ponudnik storitev, in sicer:

• zaporedno številko prijave gosta,
• podatke o gostu: ime in priimek gosta, datum rojstva gosta ter številko in vrsto identifikacijskega dokumenta gosta, datum prihoda in odhoda gosta,
• podatke o ponudniku storitev: naziv ponudnika storitev, matično številko ponudnika storitev, ter naslov oziroma sedež in poslovni naslov ponudnika storitev,
• podatke o nastanitvenem obratu: naziv, naslov ter identifikacijsko številko nastanitvenega obrata iz registra nastanitvenih obratov na dan 13. marca 2020.

V istem odstavku je še določeno, da podatke iz zgoraj naštetih alinej AJPES zagotavlja FURS za goste, prijavljene v sistem eTurizem AJPES z datumom prihoda gosta od dneva uveljavitve tega zakona do 31. decembra 2020. AJPES začne posredovati podatke v sedmih dneh po uveljavitvi tega zakona. AJPES podatke zagotavlja FURS z neposrednim prevzemom podatkov.

V šestnajstem odstavku 35. člena ZIUOOPE je nadalje določeno, da FURS za namen unovčitve bona in povračila sredstev v skladu s tem členom pridobi osebne podatke, navedene v štirinajstem in petnajstem odstavku tega člena, podatke, posredovane z vnosom ponudnika storitev v informacijski sistem FURS ter uporabi podatke iz davčnega registra. Na osnovi teh podatkov FURS vzpostavi zbirko osebnih podatkov – evidenco bonov, ki vsebuje podatke:

• o upravičencu do bona,
• podatke o ponudniku storitve ter nastanitvenemu obratu, kjer je upravičenec unovčil bon in
• podatke o izplačilu bona. FURS vodi in upravlja evidenco bonov na podlagi predhodne povezave zbirk osebnih podatkov.

Za povezovanje podatkov iz petnajstega odstavka tega člena se uporabi številka in vrsta identifikacijskega dokumenta oziroma ime in priimek ter datum rojstva gosta – upravičenca, če upravičenec nima identifikacijskega dokumenta. Podatki se v evidenci bonov hranijo pet let, nato se izbrišejo

****

IP po pregledu priložene vloge za povezavo zbirk osebnih podatkov ocenjuje, da opisan način pridobivanja osebnih podatkov gostov iz sistema eTurizem in njihovo vključevanje v evidenco bonov že predstavlja povezovanje zbirk osebnih podatkov v smislu določb 6. poglavja VI. dela ZVOP-1. Kot je razbrati iz vaših pojasnil in priložene vloge, bo namreč FURS z uporabo spletnih servisov za izmenjavo podatkov klical storitev na AJEPS na vsako uro in na ta način iz sistema eTurizem pridobival podatke o gostih ter jih posredoval v zaledni sistem IDIS, pri čemer se bo vsak prevzem podatkov beležil v posebnih tabelah. Prejete podatke gostov iz petnajstega odstavka 35. člena ZIUOOPE, ki so hkrati upravičenci do bonov, bo FURS vključil v evidenco bonov, kjer jih bo hranil skladno z opredelitvijo roka hrambe v šestnajstem odstavku 35. člena ZIUOOPE. Ostale podatke o gostih, ki jih bo FURS prejel od AJPES in ki niso upravičenci oziroma niso zajeti v evidenci bonov, pa bo FURS izbrisal v 7 dneh po zadnjem dnevu, ko je izplačilo sredstev glede na uredbo iz desetega odstavka 35. člena ZIUOOPE možno.

Kot je razvidno iz zgoraj citiranih določb petnajstega in šestnajstega odstavka 35. člena ZIUOOPE, ima FURS zakonsko podlago za vzpostavitev zbirke osebnih podatkov – evidence bonov ter zakonsko podlago, da navedeno zbirko poveže s sistemom eTurizem, katerega upravljavec je AJPES. FURS lahko s pomočjo vzpostavljene povezave iz sistema eTurizem pridobiva osebne podatke za goste, prijavljene v sistem eTurizem z datumom prihoda gosta od dneva uveljavitve tega zakona do 31. decembra 2020, kar z vidika določb Splošne uredbe in ZVOP-1 pomeni, da so lahko zbirke povezne le za točno določen čas (t.j. od 31. 5. 2020 do 31. 12. 2020). Iz šestnajstega odstavka 35. člena ZIUOOPE je še razvidno, da se za povezovanje podatkov iz petnajstega odstavka tega člena ne bo uporabil isti povezovalni znak iz 20. točke 6. člena ZVOP-1 (npr. EMŠO ali davčna številka), pač pa se bo uporabila številka in vrsta identifikacijskega dokumenta oziroma ime in priimek ter datum rojstva gosta – upravičenca, če upravičenec nima identifikacijskega dokumenta. 

Glede na to, da evidenca bonov in sistem eTurizem na vsebujeta občutljivih osebnih podatkov iz 19. točke 6. člena ZVOP-1, da nameravano povezovanje ne bo imelo za posledico razkritje občutljivih podatkov ter da za izvedbo povezovanja ne bo potrebna uporaba istega povezovalnega znaka, IP ob upoštevanju določb drugega in tretjega odstavka 84. člena ZVOP-1 meni, da FURS in AJPES za vzpostavitev povezave med  zbirko bonov in sistemom eTurizem, ne potrebujeta predhodnega dovoljenja IP iz tretjega odstavka 84. člena ZVOP-1, pač pa sta skladno z določbo drugega odstavka 84. člena ZVOP-1 dolžna IP o nameravani povezavi zgolj predhodno pisno obvestiti. Upravljavca zbirk osebnih podatkov, ki se bodo povezovale, lahko predhodno pisno obvestilo o nameravani povezavi zbirk osebnih podatkov pošljeta na obrazcu »Obvestilo o povezovanju zbirk osebnih podatkov (Obrazec POVEZOVANJE-O)«, ki je objavljen na spletni strani IP, na naslovu: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/    

V upanju, da vam bo naše mnenje v pomoč, vas lepo pozdravljamo.

Pripravil:

Jože Bogataj,

namestnik informacijske pooblaščenke 

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka