Obdelava davčne številke s strani šole

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da šola zahteva, da se v pogodbo o prehrani vpiše davčna številka obeh staršev in otroka. Ne vidite razloga, da bi šola potrebovala ta podatek, tudi na šoli vam tega niso znali zadovoljivo pojasniti. Razumeli bi, da se obdeluje davčna številka npr. v primeru subvencionirane prehrane (pa še v tem primeru se upravičenost verjetno dokazuje preko CSD). Proste nas za mnenje o upravičenosti zbiranja davčne številke za sklenitev pogodbe o prehrani.

* * *

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP meni, da šola skladno z določbami Zakona o šolski prehrani nima pravne podlage za obdelavo davčne številke staršev in otrok. Predlagamo vam, da pregledate informacije o obdelavi osebnih podatkov, ki bi vam jih šola kot upravljavec morala posredovati ob zbiranju osebnih podatkov oz. zahtevate podatek o namenu obdelave v okviru pravice dostopa posameznika po 15. členu Splošne uredbe. Če na podlagi pojasnil menite, da gre za kršitev varstva osebnih podatkov, lahko pri IP vložite prijavo.

O b r a z l o ž i t e v:

Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Pojasnjujemo, da mora za vsako obdelavo osebnih podatkov obstajati ustrezna pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe in sicer:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem opozarjamo, da se točka (f) ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Na podobno vprašanje, kot je vaše, je IP že izdal nezavezujoče mnenje št. 07121-1/2023/1265 z dne 9. 10. 2023 (mnenja so dostopna s pomočjo iskalnika na www.ip-rs.si/vop). Kot izhaja iz mnenja, iz določbe 17. člena Zakona o šolski prehrani (Uradni list RS, št. 3/13, 46/14, 46/16 – ZOFVI-K in 76/23, ZŠolPre-1) ne izhaja, da bi lahko šola za namen organiziranja oz. subvencioniranja šolske prehrane v evidencah prijavljenih na šolsko prehrano zbirala davčne številke staršev (prav tako otrok, kot izhaja z vašega vprašanja). Zakonske podlage za zbiranje davčne številke v ta namen IP tudi ne najde v področni zakonodaji, npr. v Zakonu o osnovni šoli (Uradni list RS, št. 81/06 – uradno prečiščeno besedilo, 102/07, 107/10, 87/11, 40/12 – ZUJF, 63/13, 46/16 – ZOFVI-K in 76/23) ali v Zakonu o organizaciji in financiranju vzgoje in izobraževanja (Uradni list RS, št. 16/07 – uradno prečiščeno besedilo, 36/08, 58/09, 64/09 – popr., 65/09 – popr., 20/11, 40/12 – ZUJF, 57/12 – ZPCP-2D, 47/15, 46/16, 49/16 – popr., 25/17 – ZVaj, 123/21, 172/21, 207/21, 105/22 – ZZNŠPP, 141/22, 158/22 – ZDoh-2AA in 71/23). Opozarjamo, da bi o zakonitosti konkretne obdelave osebnih podatkov lahko odločali zgolj v inšpekcijskem postopku. 

Priporočamo vam, da se pri upravljavcu pozanimate, kakšen je namen oz. pravna podlaga za obdelavo osebnih podatkov. Izvajate lahko pravico dostopa do osebnih podatkov, skladno s 15. členom Splošne uredbe (prejmete lahko podatek, ali upravljavec obdeluje vaše osebne podatke, in če je temu tako, njihovo kopijo in nekatere informacije, med drugimi tudi namen obdelave osebnih podatkov)[1] oz. bi vam moral upravljavec informacije o obdelavi osebnih podatkov, med drugim o namenu in pravni podlagi posredovati že ob pridobitvi vaših podatkov na podlagi 13. člena Splošne uredbe.

V kolikor boste na podlagi pojasnjenega oz. pridobljenih informacij menili, da je v konkretnem primeru prišlo do nezakonite obdelave osebnih podatkov, lahko podate prijavo na IP. Pomagate si lahko z obrazcem »Enotna vloga zaradi kršitve varstva osebnih podatkov (Obrazec VOP prijava)«, ki je objavljen na povezavi: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. 

V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav.,                                                  

informacijska pooblaščenka

Pripravila:                                                                                                                                

Barbara Žurej, univ. dipl. prav.,

svetovalka pooblaščenca za preventivo             

[1] Več o tem lahko preberete na: https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/.