Posredovanje osebnih podatkov dobaviteljem
+ -Številka: 0712-1/2017/1425
Kategorije:Posredovanje OP med upravljavci, Razno, Trgovinska dejavnost
Spoštovani,Informacijskemu pooblaščencu (v nadaljevanju IP) ste podali prošnjo za podajo mnenja, v kateri navajate, da nekatere firme v zadnjem času pri sklepanju pogodb ali celo samo pri naročilu blaga oziroma storitev od vas, kot direktorice javnega zavoda, zahtevajo številko osebnega dokumenta. Zanima vas, ali je številka osebnega dokumenta osebni podatek, ki ga glede na direktorsko funkcijo javnega zavoda morate dati dobaviteljem blaga in storitev.Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.V skladu z načelom sorazmernosti, ki je urejeno v 3. členu ZVOP-1, morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo.Pravno podlago za posredovanje številke osebnega dokumenta zakonitega zastopnika pravne osebe, v imenu in na račun katere je z dobaviteljem ali izvajalcem sklenil pravni posel ali pa je z njim v fazi pogajanj za sklenitev pravnega posla (bodisi po pogodbi ali zgolj naročilnici), lahko predstavlja drugi odstavek 10. člena ZVOP-1, na podlagi katerega se lahko obdelujejo le tisti osebni podatki, ki so v tako tesni, neposredni povezavi z izvedbo pogajanj ali izpolnitvijo že sklenjenega pravnega posla, da prestanejo test nujne potrebnosti in primernosti, kot sestavini t.i. strogega testa sorazmernosti. Ali je to v konkretnem primeru res nujno potrebno, pa IP izven inšpekcijskega postopka ne more dokončno potrditi.IP poudarja, da mora biti obdelava osebnih podatkov vselej sorazmerna in da gre v primerih ugotovljene nesorazmernosti (na podlagi predhodne pridobitve vseh informacij, ki jih je upravljavec v skladu z 19. členom ZVOP-1 dolžan podati posamezniku, katerega osebne podatke obdeluje), upravljavce opozoriti na to, da uporabljajo manj invazivne rešitve preverjanja istovetnosti oseb ali jim predlagati take, ki so za posameznika sprejemljive (npr. osebno sklepanje (dogovarjanje) pravnega posla, zgolj z vpogledom v osebni dokument (brez prepisa podatkov, kopiranja ipd.).Osebni podatki se v zasebnem sektorju (v zasebnem podjetju oz. firmi) skladno s prvim odstavkom 10. člena ZVOP-1 lahko obdelujejo samo, če obdelavo osebnih podatkov in osebne podatke, ki se jih obdeluje, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Ne glede na prejšnji odstavek se lahko v zasebnem sektorju obdelujejo tudi osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe. Ravno tako se lahko v zasebnem sektorju obdelujejo osebni podatki, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki.Za osebne dokumente v Republiki Sloveniji veljajo osebna izkaznica, potni list, vozniško dovoljenje, ali katera druga javna listina, ki jo izda ustrezen organ, in je opremljena s fotografijo državljana. Navedene dokumente podrobneje urejajo Zakon o osebni izkaznici (Uradni list RS, št. 35/11, v nadaljnjem besedilu ZOIzk-1), Zakon o potnih listinah (Uradni list RS, št. 29/11 - uradno prečiščeno besedilo, v nadaljnjem besedilu ZPLD-1) ter Zakon o varnosti cestnega prometa (Uradni list RS, št. 56/08 – uradno prečiščeno besedilo, 57/08 – ZLDUVCP, 58/09, 36/10, 106/10 – ZMV, 109/10 – ZCes-1, 109/10 – ZPrCP, 109/10 – ZVoz in 39/11 – ZJZ-E). Navedeni zakoni vsebujejo določbe o tem, kdaj posameznik mora omogočiti vpogled v katerega od osebnih dokumentov (njegovo kopiranje oziroma prepis podatkov) na zahtevo uradne osebe, ki je po zakonu za to pooblaščena (tako npr. v 3. in 4. členu ZOIzk-1 ali v 4.a členu ZPLD-1), ne vsebujejo pa določb o tem, kdaj jih je posameznik dolžan pokazati ali posredovati tretjim osebam (npr. zastopniku zasebnega podjetja oz. firme, pri katerem naroča blago ali storitve), zato se o tem posameznik odloča po lastni volji oziroma samo, če tako sam želi, pri čemer se mora zavedati možnih posledic zavrnitve (npr. zavrnitev naročila ali izvedbe storitve oz. dobave blaga v primeru dvoma o istovetnosti naročnika ipd.). Poleg v prejšnjem odstavku opisanih pravnih podlag, temelječih na prvem odstavku 10. člena ZVOP-1, bi v primeru sklepanja pravnega posla v imenu in na račun javnega zavoda, katerega direktorica ste, z zasebnim podjetjem oz. firmo, lahko prišla v poštev tudi določba iz drugega odstavka 10. člena ZVOP-1, v skladu s katero je dopustna obdelava osebnih podatkov posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna ali primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe. To pa pomeni, da zasebno podjetje oz. firma, s katero kot direktorica javnega zavoda, v njegovem imenu in na njegov račun, sklepate pravni posel dobave blaga ali izvedbe storitve (bodisi s sklenitvijo pogodbe ali pa zgolj z izdajo naročilnice), na podlagi navedene določbe od vas ne more zahtevati vaših osebnih podatkov, za katere ne izkaže, da so potrebni za izvedbo pogajanj ali potrebni in primerni za izpolnitev pogodbe. Na tej pravni podlagi se torej lahko obdelujejo le tisti vaši osebni podatki, ki so v tako tesni, neposredni povezavi z izvedbo pogajanj ali izpolnitvijo že sklenjenega pravnega posla, da prestanejo test nujne potrebnosti in primernosti, kot sestavini t.i. strogega testa sorazmernosti. Ta test obsega presojo treh vidikov posega: 1) ali je poseg sploh nujen (potreben); 2) ali je ocenjevani poseg primeren za dosego zasledovanega cilja; 3) ali je teža posledic ocenjevanega posega v prizadeto človekovo pravico proporcionalna vrednosti zasledovanega cilja oziroma koristim, ki bodo zaradi posega nastale (načelo sorazmernosti v ožjem pomenu oziroma načelo proporcionalnosti).IP zgolj na podlagi informacij iz vaše prošnje za podajo mnenja ne more kar na splošno oceniti potrebnosti in primernosti zahtev dobaviteljev in izvajalcev glede posredovanja številke osebnega dokumenta posameznika (zakonitega zastopnika ali predstavnika pravne osebe), s katerim je sklenil pravni posel (s pogodbo ali z naročilnico) ali pa je z njim v fazi pogajanj za sklenitev pravnega posla, saj bi sorazmernost bilo potrebno tehtati v vsakem primeru posebej, pri čemer bi tehtanje v veliki meri bilo odvisno od namena obdelave zahtevanih osebnih podatkov, načina sklepanja pravnega posla (osebno, preko telekomunikacijskih sredstev ipd.) in tudi od same vsebine posamezne pogodbe. Sicer pa z vidika obvladovanja poslovnih tveganj ni neobičajno, da dobavitelji in izvajalci zahtevajo, da se (vsaj) za bistvene sestavine sklepanja oziroma izvajanja sklenjenega pravnega posla v imenu in na račun določene pravne osebe (npr. cena, količina, pogoji dobave ali izvedbe, zavarovanja ipd.), pogaja oziroma dogovarja le njen zakoniti zastopnik ali od njega pooblaščena oseba, ki pred tem izkaže svojo istovetnost (še zlasti, če komunikacija ne poteka osebno), vprašanje pa je, ali zahteva po posredovanju številke osebnega dokumenta ni samo najhitrejši in najbolj enostaven način preverjanja istovetnosti pristojne osebe za izvedbo pogajanj ali izpolnjevanje pogodbe, ne pa tudi najmilejši možni način, s katerim bi dobavitelji oz. izvajalci lahko dosegli enak učinek. To vprašanje in odločitev ali želite zahtevane podatke prostovoljno posredovati, boste v vsakem posamičnem primeru morali pretehtati in presoditi sami, pri čemer si lahko pomagate tudi z določbo 19. člena ZVOP-1, ki upravljavcem osebnih podatkov nalaga dolžnost obveščanja posameznika o obdelavi njegovih osebnih podatkov. Ta v prvem odstavku določa, da mora v primeru, ko se osebni podatki zbirajo neposredno od posameznika, na katerega se nanašajo, upravljavec osebnih podatkov ali njegov zastopnik posamezniku sporočiti naslednje informacije, če z njimi posameznik še ni seznanjen: - podatke o upravljavcu osebnih podatkov in njegovem morebitnem zastopniku (osebno ime, naziv oziroma firma in naslov oziroma sedež), - namen obdelave osebnih podatkov. Nadalje pa drugi odstavek istega člena določa, da mora, če je glede na posebne okoliščine zbiranja osebnih podatkov iz prejšnjega odstavka potrebno, da se zagotovi zakonita in poštena obdelava osebnih podatkov posameznika, oseba iz prejšnjega odstavka posamezniku sporočiti tudi dodatne informacije, če posameznik z njimi še ni seznanjen, zlasti pa: - navedbo uporabnika ali vrste uporabnikov njegovih osebnih podatkov, - navedbo, ali je zbiranje osebnih podatkov obvezno ali prostovoljno, ter možne posledice, če ne bo prostovoljno podal podatkov,- informacijo o pravici do vpogleda, prepisa, kopiranja, dopolnitve, popravka, blokiranja in izbrisa osebnih podatkov, ki se nanašajo nanj.
Katerikoli dobavitelj ali izvajalec vam mora torej ob zahtevi o posredovanju vaših osebnih podatkov (najkasneje pa na vašo izrecno zahtevo) sporočiti vse informacije določene v prvem in drugem odstavku 19. člena ZVOP-1, če z njimi še niste seznanjeni, saj je temeljito informiranje posameznika predpogoj za pošteno in zakonito obdelavo osebnih podatkov in tehtanje po načelu sorazmernosti.
Lep pozdrav, Pripravila: mag. Petra Ratajec državna nadzornica za varstvoosebnih podatkovInformacijski pooblaščenec:Mojca Prelesnik, univ. dipl. prav.,informacijska pooblaščenka