Obdelava EMŠO za namen pošiljanja elektronskih računov
+ -Številka: 07121-1/2026/743
Kategorije: Pravne podlage, Pridobivanje OP iz zbirk
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave elektronskega naslova stranke v povezavi z EMŠO za namen elektronskega pošiljanja računov.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.
Obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe je zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon.
V javnem sektorju se lahko v skladu s prvim odstavkom 6. člena ZVOP-2 obdelujejo osebni podatki posameznika, ki je dal privolitev za obdelavo svojih osebnih podatkov za enega ali več določenih namenov, če tako možnost določa zakon, sicer pa na podlagi privolitve, če ne gre za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja.
Upravljavec osebnih podatkov (v konkretnem primeru vaš član) sme obdelovati le tiste osebne podatke, ki so ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.
Registracijske organizacije so upravičene do obdelave podatka o EMŠO, ampak le v primerih in za namene, določene v ZMV-1.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP tako ne nudi storitve pregleda ali vnaprejšnje odobritve različnih obrazcev, storitev, aplikacij, ocen ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja tako ne more presojati skladnosti rešitve (izdaja elektronskega računa), ki ste jo opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov, ampak v nadaljevanju podaja splošna pojasnila.
IP tako splošno pojasnjuje, da mora upravljavec pred uvedbo posamezne rešitve presoditi dopustnost in sorazmernost obdelav osebnih podatkov, ki bodo obdelovani v njenem okviru. Vsaka obdelava osebnih podatkov mora potekati transparentno in skladno z določbami Splošne uredbe. Ta v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:
(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.
Ob tem je treba upoštevati, da se zadnja točka (f) ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog.
Ob tem IP posebej poudarja, da je vsaka od navedenih samostojna pravna podlaga za obdelavo osebnih podatkov. IP opozarja, da mora upravljavec pri uvedbi tovrstnih rešitev zagotoviti skladnost s Splošno uredbo ter tako poleg ustrezne pravne podlage upoštevati tudi vsa temeljna načela iz 5. člena Splošne uredbe, še posebej IP izpostavlja t.i. načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave. Obseg obdelave je torej treba presojati glede na konkreten namen obdelave, kar je presoja upravljavca. Upravljavec mora nadalje tudi temeljito presoditi dopustnost in utemeljenost namena, za katerega želi uvesti rešitev, ter ali je uporaba rešitve v dane namene primerna in sorazmerna ter opraviti predhodno presojo, ali je mogoče uporabiti alternativno možnost, ki manj posega v zasebnost, ali bi isti namen lahko zadovoljivo dosegel tudi z uvedbo ukrepov, ki manj posegajo v zasebnost posameznikov.
IP pojasnjuje, da ZVOP-2 v drugem odstavku 6. člena določa, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave. V javnem sektorju se lahko v skladu s prvim odstavkom 6. člena ZVOP-2 obdelujejo osebni podatki posameznika, ki je dal privolitev za obdelavo svojih osebnih podatkov za enega ali več določenih namenov, če tako možnost določa zakon, sicer pa na podlagi privolitve, če ne gre za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja. V konkretnem primeru gre po mnenju IP za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja, saj so registracijske organizacije nosilci javnega pooblastila in izvajajo te naloge.
Nadalje ZVOP-2 v četrtem odstavku 6. člena sicer določa še, da se ne glede na določbe drugega odstavka tega člena za izvrševanje točke e) prvega odstavka 6. člena Splošne uredbe lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujno potrebni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo, vendar bi po mnenju IP ta določba le stežka prišla v poštev v konkretnem primeru.
IP nadalje pojasnjuje, da v skladu s tretjim odstavkom 63. člena ZMV-1 evidenca registriranih vozil vsebuje podatke o posameznem vozilu, ki morajo biti navedeni na prometnem dovoljenju, o njegovi registraciji, izdanem prometnem dovoljenju, lastniku vozila ali osebi, na katero je vozilo registrirano, tehničnih pregledih, obveznem zavarovanju in druge tehnične podatke. Podatki o lastniku vozila ali osebi, na katero je vozilo registrirano, vsebujejo njeno osebno ime oziroma firmo, datum rojstva, EMŠO oziroma matično številko, status lastnika vozila ter naslov stalnega ali začasnega prebivališča oziroma sedeža. Ta evidenca vsebuje tudi podatke o dovoljenjih za preskusno vožnjo in izdanih preskusnih tablicah ter njihovih uporabnikih, in sicer osebno ime oziroma firmo ter naslov stalnega ali začasnega prebivališča oziroma sedeža. Prav tako evidenca vsebuje podatke o dovoljenjih za daljšo dobo uporabe preskusnih tablic in trajnih preskusnih tablicah, osebno ime oziroma firmo in naslov stalnega ali začasnega prebivališča oziroma sedeža subjektov iz četrtega odstavka 37. člena tega zakona, osebno ime oseb, ki so upravičene za izdajo dovoljenj za preskusno vožnjo ter EMŠO.
Iz navedene zakonske ureditve izhaja, da so registracijske organizacije sicer upravičene do obdelave podatka o EMŠO, ampak le v primerih in za namene, določene v ZMV-1.
V skladu s 6. členom Zakona o centralnem registru prebivalstva (Uradni list RS, št. 72/06 – UPB, 3/22 – ZDeb, 32/24; v nadaljevanju: ZCRP) je EMŠO identifikacija za enoznačno opredelitev posameznika, ki je namenjena vodenju in vzdrževanju zbirk podatkov o prebivalstvu, povezovanju podatkov v teh zbirkah ter racionalizaciji dela državnih organov in drugih uporabnikov, ki imajo zakonsko podlago za uporabo EMŠO, pa tudi uresničevanju pravic in obveznosti posameznika. Uporaba EMŠO je določena v prvem odstavku 9. člena ZCRP, ki določa, da jo morajo uporabljati upravljavci zbirk podatkov, ki jih vodijo o posamezniku na podlagi zakona na področjih statistike, notranjih zadev, zdravstvenega varstva in zdravstvenega zavarovanja, davkov in carine, obrambe, geodetske službe, urejanja prostora in ekološke zaščite, zaposlovanja in spremljanja delovne sile, pokojninskega in invalidskega zavarovanja, pravosodja, šolstva, socialnega varstva in drugi uporabniki, določeni z zakonom oziroma upravljavci zbirk podatkov, določeni z zakonom, ki v teh zbirkah podatkov uporabljajo EMŠO.
Tudi sami v svojem zaprosilu za mnenje ugotavljate, da gre pri EMŠO za posebej občutljiv identifikacijski podatek posameznika. IP dodaja, da je tveganje njegove zlorabe zelo visoko, saj lahko pripelje do hudega posega v zasebnost posameznika, zato je treba biti pri njegovi uporabi posebej previden in zanjo zagotoviti ustrezno zakonsko podlago ter strogo vezanost na zakonsko dopusten namen uporabe. IP tako meni, da bi v konkretnem primeru le stežka lahko zagotovili v tem mnenju predstavljene pogoje za uporabo EMŠO za namen izdaje elektronskega računa, prav tako bi bilo po mnenju IP težko izkazati, da je obdelava EMŠO nujna za ta namen oziroma da se tega namena ne da doseči na način, ki bi manj posegal v zasebnost posameznika (stranke). Kot rečeno, pa to IP dokončno lahko presoja le v okviru konkretnega nadzornega ali drugega upravnega postopka, ko so znane vse okoliščine konkretnega primera.
IP priporoča, da premislite o izvedbi ocene učinka v zvezi z varstvom osebnih podatkov v skladu s 35. členom Splošne uredbe. Gre za vnaprejšnjo presojo, ali oziroma pod kakšnimi pogoji bi bila predlagana rešitev zakonita, sorazmerna, transparentna, varna itd. Bistven element ocene je tudi določitev oziroma presoja pravne podlage za nameravano obdelavo osebnih podatkov. Zelo pomembno je izhajati iz težav, ki naj bi jih reševali z uvedbo rešitve, pri čemer je treba realno oceniti, ali se bo na tak način dejansko doseglo zasledovane cilje in ali teh ciljev ni mogoče doseči na drug način, ki bi manj posegal v pravice posameznika.
IP nadalje pojasnjuje, da je v skladu s prvim odstavkom 35. člena Splošne uredbe temeljni kriterij za vprašanje, kdaj je ocena učinkov obvezna, zlasti ocena, ali bo obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov. Dodatni kriteriji so opredeljeni v tretjem odstavku istega člena.
Ob tem je treba preveriti tudi, ali gre morda za obliko obdelave iz Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku 35. člena Splošne uredbe in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. IP je pripravil tak seznam in ga objavil na spletni strani:
IP pojasnjuje, da se navedeni kriteriji lahko uporabljajo prepleteno in ne predstavljajo izključnega seznama. Več informacij o sami izdelavi ocene učinka je na voljo v smernicah, ki jih je pripravil IP in so dostopne na spletni strani IP:
IP sklepno pojasnjuje še, da so obvezne sestavine računov, ki jih mora davčni zavezanec navesti na računih, ki jih izda, določene v 82. in 83. členu Zakona o davku na dodano vrednost (ZDDV-1; Uradni list RS, št. 13/11–UPB, 18/11, 78/11, 38/12, 83/12, 86/14, 90/15, 77/18, 59/19, 72/19, 196/21 – ZDOsk, 3/22, 29/22 – ZUOPDCE, 40/23 – ZDavPR-B, 122/23, 104/24; v nadaljevanju: ZDDV-1), pri čemer v navedenih členih ni navedeno, da je EMŠO stranke sestavni del računa. Dodatne sestavine računa, izdanega z uporabo elektronske naprave za izdajo računov, določa 5. člen Zakona o davčnem potrjevanju računov (Uradni list RS, št. 57/15, 69/17, 3/22 – ZDDV-1M, 40/23, 100/24; v nadaljevanju: ZDavPR), v skladu s katerim mora račun vsebovati še naslednje podatke: čas izdaje računa (uro in minute), oznako fizične osebe, ki izda račun z uporabo elektronske naprave za izdajo računov, enkratno identifikacijsko oznako računa in zaščitno oznako izdajatelja računa. Drugi odstavek 5. člena ZDavPR nadalje določa, da mora zavezanec povezati oznako fizične osebe, ki izda račun z uporabo elektronske naprave iz 2. točke prvega odstavka tega člena, z davčno številko te osebe, davčna številka osebe, ki je izdala račun, pa se pošlje davčnemu organu kot podatek o računu iz 6. točke drugega odstavka 6. člena tega zakona v postopku potrditve računa. Davčna številka fizične osebe, ki izda račun z uporabo elektronske naprave, je torej eden od podatkov, ki jih mora zavezanec sporočiti davčnemu organu, ti podatki pa se lahko obdelujejo samo za namene preverjanja zakonitosti zaposlitve in dela ter nadzora pravilnosti obračuna davkov in prispevkov (tretji odstavek 6. člena ZDavPR). Iz navedenih zakonskih določb tako izhaja, da EMŠO kupca (fizične osebe), ni obvezna sestavina računa, v nasprotnem primeru bi bilo to namreč izrecno zakonsko določeno. IP tudi ni poznana nobena druga zakonska podlaga, ki bi ta podatek določala kot obvezni sestavni del računa.
Lepo vas pozdravljamo.
Pripravil:
Matej Sironič,
Svetovalec pooblaščenca I
dr. Jelena Virant Burnik,
Informacijska pooblaščenka