Davčna številka za prijavo na seminar

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem navajate, da organizator seminarja od prijavljenih zahteva davčno številko, tudi v primeru, ko se prijaviš kot končni potrošnik, fizična oseba. Zdi se vam nenavadno, da bi morala fizična oseba dati osebni podatek, ki ni potreben ne za izpeljavo seminarja ne za izdajo računa. Na vprašanje, za kaj potrebujejo ta podatek, so vam odgovorili, da zgolj za vpis osebe v bazo v programu, s katerim vodijo evidenco prijav in izdanih računov. Prosite za mnenje, ali je tovrstna praksa skladna z določbami Splošne uredbe o varstvu osebnih podatkov

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Obdelava osebnih podatkov je na podlagi člena 6(1) Splošne uredbe o varstvu osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
4. obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
5. obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Točka (f) prvega pododstavka se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Ob navedenem velja opozoriti, da ima upravljavec, ki je samostojni subjekt na trgu, določeno svobodo pri postavljanju pogojev poslovanja, v okviru katerega pridobiva tudi vaše osebne podatke, seveda pa mora ves čas obdelave osebnih podatkov upoštevati vse relevantne določbe Splošne uredbe o varstvu osebnih podatkov. Obstoj pravne podlage iz člena 6 Splošne uredbe o varstvu osebnih podatkov za obdelavo osebnih podatkov tako ni edino merilo na podlagi katerega se presoja skladnost neke obdelave s predpisi s področja varstva osebnih podatkov. Vsako obdelavo osebnih podatkov je namreč potrebno v prvi vrsti presojati z vidika vseh načel v zvezi z obdelavo osebnih, ki jih Splošna uredba o varstvu osebnih podatkov določa v členu 5. Glede na vaše navedbe bi bilo potrebno opraviti presojo skladnosti konkretne obdelave predvsem z vidika načela najmanjšega obsega podatkov (točka (c) člena 5). Načelo najmanjšega obsega podatkov določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Splošna uredba o varstvu osebnih podatkov določa, da je upravljavec odgovoren za zagotavljanje skladnosti s predpisi s področja varstva osebnih podatkov in mora biti to skladnost tudi zmožen dokazati – načelo odgovornosti.

Lep pozdrav,

                                                                                    Mojca Prelesnik,

                                                                                    informacijska pooblaščenka

Žiga Veber,
državni nadzornik

za varstvo osebnih podatkov

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.