Objava podatkov aktivnih s.p. v poslovnem imeniku

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede vprašanj v zvezi z ustvarjanjem poslovnega imenika, katerega namen je uporabnikom omogočati iskanje, identifikacijo in pridobivanje informacij o registriranih poslovnih subjektih v Sloveniji. Podatke za imenik sistemsko pridobivate oziroma usklajujete s podatki Poslovnega registra Slovenije (AJPES). Zanima vas:

1. Ali lahko aktivni samostojni podjetnik na podlagi izrecne zahteve doseže, da zasebni poslovni imenik preneha objavljati vse njegove sicer zakonito pridobljene javne poslovne oziroma registrske podatke pridobljene iz PRS?

2. Ali glede podatkov, ki se nanašajo na aktivni s.p. kot poslovni subjekt oziroma na opravljanje njegove dejavnosti, posameznik res ne more zahtevati njihovega izbrisa na podlagi 17. člena Splošne uredbe zgolj zato, ker ne želi, da so objavljeni v zasebnem poslovnem imeniku?

3. Ali se lahko podatki, kot so firma, matična številka, status poslovnega subjekta, pravnoorganizacijska oblika, dejavnost, sedež in poslovni naslov, pri aktivnem s.p. obravnavajo kot osnovni poslovni oziroma registrski podatki, ki jih poslovni imenik lahko prikazuje tudi brez privolitve nosilca s.p.?

4. Ali se lahko davčna številka aktivnega s.p. javno prikazuje tudi v zasebnem poslovnem imeniku, ki podatke zakonito ponovno uporablja iz PRS?

5. Če je naslov zaradi vpisa s.p. v PRS javni podatek, ali ga lahko poslovni imenik prikazuje kot sedež aktivnega poslovnega subjekta tudi v primeru, ko podjetnik izrecno zahteva njegov umik iz poslovnega imenika?

6. Ali izjava nosilca aktivnega s.p., da ne želi, da je njegovo podjetje oziroma njegovi podatki objavljeni na vašem portalu, sama po sebi povzroči pravno obveznost zasebnega poslovnega imenika, da preneha objavljati sicer javne poslovne podatke?

7. Vaš informacijski sistem podatke velikega števila poslovnih subjektov periodično ponovno usklajuje s PRS. Če nosilca s.p. ročno odstranite javni registrski podatek iz trenutnega prikaza PIRS, ta podatek ostane aktiven in javno objavljen v PRS, zato vas zanima, ali mora upravljavec voditi posebno trajno blokado, ki preprečuje njegov ponovni prikaz ob prihodnjih sinhronizacijah?

8. Ali je zagotavljanje celovitosti, pravilnosti in ažurnosti poslovnega imenika legitimen namen za sistemsko vključevanje javnih registrskih podatkov aktivnih poslovnih subjektov?

9. Razmišljate tudi o možnosti dodatne predstavitve podjetja, pri čemer bi obstajala jasna ločitev med osnovnim registrskim profilom poslovnega subjekta, ki temelji na javnih podatkih PRS, in dodatnimi podatki oziroma predstavitvijo podjetja, kot so opis podjetja, dodatni kontaktni podatki, fotografije, predstavitvene vsebine in druge informacije, ki niso nujno del osnovnega registra. Ali je z vidika varstva osebnih podatkov ustrezno, da se zahteva poslovnega subjekta, da se ne želi dodatno predstavljati v PIRS, upošteva tako, da se odstranijo dodatni oziroma prostovoljni podatki, osnovni javni registrski zapis aktivnega poslovnega subjekta pa ostane v imeniku?

10. Zanima vas še, če je treba primere, ko je v profilu poslovnega subjekta objavljen podatek fizične osebe, ki ni povezan z opravljanjem dejavnosti (npr. zasebna telefonska številka tretje osebe, ki je bila k subjektu pripisana pomotoma), obravnavati drugače od zahteve nosilca aktivnega s.p. po odstranitvi njegove firme, sedeža, matične številke in drugih podatkov, ki se neposredno nanašajo na njegovo registrirano dejavnost?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22 in 40/25 – ZInfV-1; v nadaljevanju ZVOP-2) in 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Podatki o podjetjih ne predstavljajo osebnih podatkov, kar pomeni, da se za njihovo obdelavo Splošna uredba in ZVOP-2 ne uporabljata.

Podatki posameznikov, ki niso povezani z opravljanjem dejavnosti (npr. zasebna telefonska številka tretje osebe, ki je bila k subjektu pripisana pomotoma) in so vezani na določenega ali določljivega posameznika, so osebni podatki tega posameznika, in jih je zato treba obdelovati skladno z določbami Splošne uredbe in ZVOP-2.

O b r a z l o ž i t e v:

Uvodoma IP poudarja, da izven inšpekcijskega postopka oziroma drugega upravnega postopka IP ni pristojen presojati zakonitosti konkretne obdelave osebnih podatkov. V okviru neobvezujočega mnenja lahko zato glede vašega vprašanja poda zgolj splošne usmeritve.

1.-7. vprašanje:

IP pojasnjuje, da je v preteklosti že izdal neobvezujoča mnenja, v katerih je zavzel stališče, da podatki, ki se nanašajo na samostojnega podjetnika (s.p.) kot pravno obliko za opravljanje pridobitne dejavnosti, niso osebni podatki, tudi če se prekrivajo z osebnimi podatki fizične osebe, ki je imetnik s.p.-ja. To pomeni, da v takem primeru ni mogoče uveljavljati pravic iz Splošne uredbe, med katere spada tudi pravica do izbrisa iz 17. člena Splošne uredbe. Subjekt varstva Splošne uredbe in ZVOP-2 so namreč fizične in ne pravne osebe.

Nekaj mnenj IP v zvezi z obdelavo podatkov samostojnega podjetnika lahko najdete na spletni strani IP:

• https://www.ip-rs.si/mnenja-gdpr/6048a64136204
• https://www.ip-rs.si/mnenja-gdpr/60489fb8e5e32
• https://www.ip-rs.si/mnenja-gdpr/podatki-o-izbrisanem-sp-na-spletu-1672835893

Gre namreč za podatke, ki se nanašajo na opravljanje gospodarske dejavnosti kot podjetnika oziroma podatke, s katerimi nastopa na trgu kot poslovni subjekt in ne za njegove osebne podatke kot posameznika. Upoštevajoč zgoraj navedeno, torej ne gre za osebne podatke, kadar gre za podatke, ki so povezani z opravljanjem posameznika v funkciji samostojnega podjetnika posameznika. Takšno stališče izhaja tudi iz odločb Ustavnega sodišča RS v odločbah št. U-I-84/03 (tč. 11) in št. U-I-298/04 (tč. 11). Posledično obdelava takih podatkov presega pristojnosti IP, saj je IP pristojen zgolj za nadzor nad zakonitostjo obdelave osebnih podatkov. 

8. in 9. vprašanje:

Kot obrazloženo zgoraj v navedenem primeru pri vprašanju 8 ne gre za osebne podatke, za obdelavo katerih bi veljale pravne podlage iz člena 6(1) Splošne uredbe. Tega pa na podlagi opisanega za podatke, ki jih navajate v vprašanju 9 ni mogoče trditi. Dodatni podatki oziroma predstavitev podjetja, kot so opis podjetja, dodatni kontaktni podatki, fotografije, predstavitvene vsebine in druge informacije, ki niso nujno del osnovnega registra lahko vsebujejo podatke, ki izpolnjujejo pogoje iz definicije osebnega podatka in posledično sodijo v področje uporabe Splošne uredbe in ZVOP-2 ter s tem tudi v pristojnost presoje IP. IP v svojih mnenjih poudarja, da mora imeti vsaka obdelava osebnih podatkov veljavno pravno podlago glede na namen obdelave, pri čemer je izbira in presoja zakonitosti v izključni pristojnosti upravljavca podatkov. Na upravljavcu je torej odgovornost, da obdeluje le tiste osebne podatke, za katere ima pravno podlago in da je obdelave skladna z vsemi drugimi določbami in zahtevami Splošne uredbe in ZVOP-2. IP le splošno pojasnjuje, da so v skladu s členom 6(1) Splošne uredbe možne pravne podlage:

1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
4. obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
5. obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

10. vprašanje:

Kot je IP navedel že pri odgovorih na zgoraj navedena vprašanja, je podatke s.p., ki se nanašajo na opravljanje dejavnosti treba obravnavati drugače, kot npr. podatek fizične osebe objavljen v profilu poslovnega subjekta, ki ni povezan z opravljanjem dejavnosti s.p., saj gre v slednjem primeru za podatek posameznika, torej za njegov osebni podatke. To pomeni, da za obdelavo tega osebnega podatka veljajo določbe Splošne uredbe in ZVOP-2. Posledično mora upravljavec za njegovo obdelavo imeti pravno podlago iz 6 (1) člena Splošne uredbe in za takšen podatek lahko posameznik, na katerega se nanašajo osebni podatki, uveljavlja tudi pravico do izbrisa iz 17. člena Splošne uredbe, če meni, da so podani razlogi za izbris.

V upanju, da ste dobili odgovore na vaša vprašanja vas lepo pozdravljamo,

Pripravila:
mag. Nuša Kavšek Kostevc, univ. dipl. prav.
svetovalka pooblaščenca za varstvo osebnih podatkov

dr. Jelena Virant Burnik,
informacijska pooblaščenka