Posredovanje podatkov na podlagi 39. člena ZDavP-2

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede posredovanja podatkov na podlagi 39. člena ZDavP-2. Upravljavec (družba z omejeno odgovornostjo) meni, da davčni organ od njega zahteva posredovanje nesorazmernega nabora podatkov njegove stranke in tretjih oseb, pri čemer mu organ že v dopisu za posredovanje grozi z globo za prekršek na podlagi 17. točke 397. člena ZDavP-2 v višini do 30.000 EUR, v kolikor zahtevanih podatkov ne posreduje v 8 dneh. Zanima vas, ali ima v tem primeru upravljavec možnost zavrniti posredovanje zahtevanih osebnih podatkov sklicujoč se na drugi odstavek 41. člena ZVOP-2, če meni, da ni izkazana potrebnost in primernost podatkov glede na zatrjevani namen obdelave (neizpolnjenost pogoja 3. točke prvega odstavka 41. člena ZVOP-2). Zavedate se, da je ZDavP-2 specialnejši predpis, vendar se vam zdi nevzdržna razlaga, da je upravljavec dolžan posredovati prosilcu osebne podatke brez možnost presoje, ali je le-ta do podatkov upravičen ter ali je posredovanje v skladu s temeljnimi načeli varstva osebnih podatkov. 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Določbe 39. člena ZDavP-2 so specialne v delih, v katerih določajo drugače kot 41. člen ZVOP-2. Zato mora davčni organ tudi v primeru zahteve za posredovanje podatkov po 2. točki drugega odstavka v zvezi s prvim odstavkom 39. člena ZDavP-2 upoštevati vsebino zahteve, kot je določena v prvem odstavku 41. člena ZVOP-2, in med drugim navesti namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve.

Davčni organ ima po ZDavP-2 relativno široka pooblastila, da od upravljavcev zahteva podatke, ki so pomembni za odločanje v davčnih zadevah, v določenih primerih torej tudi osebne podatke tretjih oseb.

Upravljavec bi lahko načeloma zavrnil zahtevo davčnega organa za posredovanje podatkov, če bi bila ta očitno pretirana, v primeru izrečene globe pa uveljavljal sodno varstvo v okviru prekrškovnega postopka.

O b r a z l o ž i t e v:

Upravljavec mora imeti za vsako obdelavo osebnih podatkov, tudi za njihovo posredovanje, zakonito in ustrezno pravno podlago. Po prvem odstavku 6. člena ZVOP-2 se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Poleg tega ZVOP-2 vsebuje posebne določbe glede posredovanja osebnih podatkov v 39. do 41. členu ZVOP-2. Skladno s prvim odstavkom 40. člena ZVOP-2 lahko osebe zasebnega sektorja posredujejo osebne podatke drugim fizičnim ali pravnim osebam ali osebam javnega sektorja samo na podlagi zahteve iz prvega odstavka 41. člena tega zakona, iz katere izhaja veljavna pravna podlaga za pridobitev podatkov in utemeljenost zahteve, razen če zakon določa drugače.

Skladno s prvim odstavkom 41. člena ZVOP-2 zahteva za posredovanje osebnih podatkov vsebuje (če drug zakon ne določa drugače):

1.     podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

2.     pravno podlago za pridobitev zahtevanih osebnih podatkov;

3.     namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

4.     predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

5.     vrste osebnih podatkov, ki naj se mu posredujejo;

6.     obliko in način pridobitve zahtevanih osebnih podatkov.

Obveznost dajanja podatkov davčnemu organu za pobiranje davkov ureja 39. člen Zakona o davčnem postopku (Uradni list RS, št. 13/11 – uradno prečiščeno besedilo, s spremembami in dopolnitvami; v nadaljevanju ZDavP-2). Določbe tega člena pa so specialne zgolj v delih, v katerih določajo drugače kot 41. člen ZVOP-2 (npr. avtomatično pridobivanje podatkov ali pridobivanje na kraju samem po 1. in 3. točki drugega odstavka 39. člena ZDavP-2 ter možnost izreka globe v primeru zavrnitve zahteve po 17. točki prvega odstavka 397. člena ZDavP-2). Davčni organ torej zavezujejo določbe o obličnosti zahteve po prvem odstavku 41. člena ZVOP-2.

39. člen ZDavP-2 lahko predstavlja pravno podlago za pridobitev zahtevanih osebnih podatkov v smislu 2. točke prvega odstavka 41. člena ZVOP-2. Iz prvega odstavka člena 39. člena ZDavP-2 pa izhaja, da je obveznost dajanja podatkov omejena na tiste podatke, ki so potrebni »za pobiranje davkov ali izpolnitev obveznosti, ki so povezane z mednarodnim sodelovanjem v davčnih zadevah«. Če se davčni organ v zahtevi za posredovanje podatkov sklicuje na pravno podlago po 39. členu ZDavP-2, mora skladno s 3. točko prvega odstavka 41. člena ZDavP-2 opredeliti tudi namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve. To pomeni, da mora davčni organ v zahtevi konkretno navesti denimo, za katero vrsto postopka iz njegove pristojnosti so podatki potrebni, zakaj so potrebni prav zahtevani podatki, kako bodo uporabljeni in podobno.

Tako davčni organ kot tudi upravljavec, od katerega zahteva osebne podatke, sta dolžna spoštovati načeli omejitve namena in najmanjšega obsega podatkov iz točk (b) in (c) prvega odstavka 5. člena Splošne uredbe, po katerem morajo biti osebni podatki, ki se obdelujejo zbrani za določene, izrecne in zakonite namene ter ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. IP pa izpostavlja, da ima davčni organ po ZDavP-2 relativno široka pooblastila, da od upravljavcev zahteva podatke, ki so pomembni za odločanje v davčnih zadevah, v določenih primerih torej tudi osebne podatke tretjih oseb.

V zvezi z vprašanjem načela sorazmernosti IP izpostavlja tudi sodbo in sklep Vrhovnega sodišča I Up 168/2017 z dne 5. 3. 2019, v kateri je obrazloženo, da mora davčni organ za pridobivanje in nadaljnjo obdelavo osebnih podatkov določene fizične osebe izkazati, da je to potrebno za izvrševanje njegove funkcije oziroma njegovih nalog v okviru zakonsko določenih pristojnosti, ter da to izhaja tudi iz zahteve po zakonitosti poseganja v ustavno varovano človekovo pravico do varstva osebnih podatkov oziroma v pravico do informacijske zasebnosti (38. člen Ustave). Sodišče je v tej odločbi poudarilo, da je v primeru, da so bili pridobljeni osebni podatki določene fizične osebe, na davčnemu organu dokazno breme, da razumno utemelji potrebo po pridobitvi teh podatkov za namen iz 39. člena ZDavP-2, ter da bi odstop od te obveznosti pomenil ustavno nedopustno širjenje pooblastila toženi stranki za dostop do osebnih podatkov fizičnih oseb.

IP ob tem opozarja, da zaradi novosti določb o posredovanju podatkov po ZVOP-2 sodne prakse na tem področju še ni vzpostavljene. Upravljavec bi načeloma lahko zavrnil zahtevo davčnega organa, če bi bila ta očitno pretirana, kar pa iz vašega zaprosila ne izhaja, niti tega IP v mnenju ne more presojati, prav tako pa IP v takšnem primeru ni pritožbeni organ, temveč bi imel upravljavec v primeru izrečene globe po 17. točki prvega odstavka 397. člena ZDavP-2 na voljo sodno varstvo v okviru prekrškovnega postopka.

Na podobno vprašanje je IP že odgovarjal tudi v mnenju št. 07120-1/2023/193 z dne 4. 4. 2023, ki je dostopno na: https://www.ip-rs.si/mnenja-zvop-2/.

Lepo vas pozdravljamo,

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka