Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 20.11.2007
Naslov: Davčna številka, naročniško razmerje in posojilo
Številka: 0712-923/2007/2
Vsebina: Razno
Pravni akt: Mnenje

Spoštovani!

Prejeli smo vaša vprašanja z dne 09.10.2007, v katerih nas sprašujete:

1.) Ali lahko pri sklenitvi naročniškega razmerja s ponudnikom ..., v prijavnem obrazcu od vas zahtevajo davčno številko? Če je ne boste vpisali, namreč ne boste mogli oddati obrazca.
2.) Ali lahko prodajalec od vas na obrazcih pri nakupu masažne blazine s posojilno kartico zahteva EMŠO, davčno številko in ožigosane ter podpisane bančne obrazce s podatki o vaših treh zadnjih mesečnih plačah?
3.) Kaj lahko v nasprotnih primerih storite?


Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke 1. odstavka 49. člena Zakona o varstvu osebnih podatkov (Ur. l. RS, št. 86/04,113/05, 51/07 – ZUstS-A in 27/07 v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Ur. l. RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji:

1. Ponudnik ... lahko pri sklenitvi naročniškega razmerja skladno z določilom sedme alineje 1. odstavka 110. člena ZEKom-UPB1 v zvezi s prvo alinejo 2. odstavka istega člena v prijavnem obrazcu zahteva davčno številko.
2.      V primeru nakupa masažne blazine s posojilno kartico, ki ga je Informacijski pooblaščenec obravnaval kot nakup z negotovinskim kreditom, namenjenemu kreditiranju nakupa blaga in storitev manjših vrednosti, lahko prodajalec, ki je v tem primeru le kreditni posrednik in zato skladno z 11. členom ZVOP-1 pogodbeni obdelovalec podatkov, od kupca na obrazcu zahteva EMŠO, davčno številko, ožigosane ter podpisane bančne obrazce s podatki o zadnjih treh mesečnih plačah in navedene podatke posreduje banki. Vendar pa je z vidika izvrševanja pogodbene obdelave, torej 7. točke 6. člena v povezavi z 11. členom ZVOP-1, banka tista, ki ne bi smela od trgovin, in s tem od strank, pri takšnih pravnih poslih hkrati zahtevati EMŠO in davčno številko, saj je to v nasprotju z načelom sorazmernosti (3. člen ZVOP-1) oziroma tudi ni nujno potrebno in primerno za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe v smislu 2. odstavka 10. člena ZVOP-1.
3.  Morebitne kršitve ZVOP-1 lahko prijavite Informacijskemu pooblaščencu, ki je po določbi
        druge alineje 1. odstavka 2. člena ZInfP samostojen in neodvisen državni organ, pristojen
        za inšpekcijski nadzor nad izvajanjem zakona in drugih predpisov, ki urejajo varstvo ali
        obdelavo osebnih podatkov oziroma iznos osebnih podatkov iz Republike Slovenije, ter
        opravljanje drugih nalog, ki jih določajo ti predpisi.

O b r a z l o ž i t e v:

ZVOP-1 v 1. odstavku 10. člena določa, da se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Ne glede na navedeni odstavek pa se lahko po določbi 2. odstavka istega člena v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe.

Osebni podatki, ki se obdelujejo pa morajo biti skladno z načelom sorazmernosti, urejenim v 3. členu ZVOP-1, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo.

Ad 1.
Z vidika zbiranja osebnih podatkov pri sklepanju naročniškega razmerja z operaterjem ... je področni zakon v smislu 1. odstavka 10. člena ZVOP-1 Zakon o elektronskih komunikacijah (Ur. l. RS, št. 13/07, uradno prečiščeno besedilo, v nadaljevanju ZEKom-UPB1), ki v 1. odstavku 110. člena določa, da lahko operaterji zbirajo o svojih naročnikih naslednje podatke:
- priimek in ime oziroma firmo naročnika in njeno organizacijsko obliko;
- dejavnost naročnika na njegovo željo;
- naslov naročnika;
- naročniško številko;
- na željo naročnika akademski, znanstveni ali strokovni naziv naročnika;
- na podlagi plačila še dodatne podatke, če to želi naročnik in se s tem ne poseže v pravice tretjih oseb;
- davčno številko za fizično osebo ter davčno in matično številko za pravno osebo.
Predhodno navedene podatke, ki jih o svojih naročnikih zbirajo operaterji, pa lahko v skladu z 2. odstavkom 110. člena ZEKom-UPB1 uporabljajo le za:
-    sklepanje, izvajanje, spremljanje in prekinitev naročniške pogodbe;
-    zaračunavanje storitev;
-    pripravo in izdajanje naročniških imenikov v skladu s tem zakonom.
Podatke pa se mora glede na določilo 3. odstavka 110. člena ZEKom-UPB1 ob prenehanju naročniškega razmerja hraniti še eno leto od takrat, ko je bil naročniku izstavljen obračun za opravljene storitve, če je v tem času izdana odredba pristojnega organa za hranjenje in posredovanje teh podatkov, pa še toliko časa, kot je določeno v odredbi pristojnega organa.

Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) zato zaključuje, da lahko ponudnik ... pri sklenitvi naročniškega razmerja skladno z določilom sedme alineje 1. odstavka 110. člena ZEKom-UPB1 v zvezi s prvo alinejo 2. odstavka istega člena v prijavnem obrazcu od vas zahteva davčno številko.

Ad 2.
V zvezi z drugim vprašanjem pa Pooblaščenec pojasnjuje, da je nakup masažne blazine s posojilno kartico, pri katerem se na obrazcu zahteva EMŠO, davčno številko in ožigosane ter podpisane bančne obrazce s podatki o vaših treh zadnjih plačah obravnaval kot nakup z negotovinskim kreditom, ki namenjen kreditiranju nakupa blaga in storitev manjših vrednosti in ga je mogoče dobiti neposredno na prodajnem mestu (v nadaljevanju BanKredit).

To možnost lahko prodajalci blaga in storitev kupcem ponudijo, če so z eno ali več bankami sklenili pogodbo o kreditnem posredovanju in medsebojnem poslovnem sodelovanju za prodajo blaga in storitev na več obrokov. Kreditni postopki pri kreditnem posredniku so usklajeni z bankami, uporabljajo se enotna izhodišča, dogovorjeni so elementi pogodbe in način izmenjave podatkov. Pogojev odobritve in odplačevanja takšnega negotovinskega kredita ne določa prodajalec, ki je le kreditni posrednik, temveč banka.

Zato je z vidika 1. odstavka 10. člena ZVOP-1, torej zakonske določenosti obdelave osebnih podatkov in osebnih podatkov, ki se obdelujejo v zasebnem sektorju, poleg privolitve posameznika, ki jo v obravnavanem primeru prostovoljno poda kupec z nakupom blaga in storitev preko negotovinskega kredita (sicer v nasprotnem primeru pristane na to, da se mu odobritev kredita zavrne), relevanten Zakon o bančništvu. Ker slednji ne določa, katere podatke za obdelavo kreditov banke lahko vodijo in katerih ne, Pooblaščenec ugotavlja, da gre v obravnavanem primeru za podatke, ki jih banke določajo same v splošnih pogojih poslovanja in jih stranke sprejmejo na podlagi osebne privolitve. Podobno izhaja tudi iz določbe 5. odstavka 3. člena Bančnega kodeksa, objavljenega na spletnih straneh Združenja bank Slovenije, ki določa, da se podrobnejša pravila o postopku in delu s komitenti pri posameznih poslih določajo v splošnih poslovnih pogojih bank, ki same urejajo pogoje za odobritve kreditov in ostalih storitev, kot to smiselno izhaja tudi iz Protokola o oblikovanju in izvajanju skupnega produkta BanKredit, ki ga je Združenje bank Slovenije sprejelo. Ker je po določbi točke 2.6 omenjenega protokola zavarovanje kredita stvar vsake banke, lahko banke na primer tudi same določijo število izpiskov, ki jih potrebujejo za zavarovanje in minimalni znesek priliva plače – podatke, ki jih praviloma od banke zahteva zavarovalnica, pri kateri banka zavaruje svoje kredite.

Skladno z navedenim Pooblaščenec meni, da prodajalci, ki od svojih strank z namenom omogočanja nakupa s posojilno kartico (oziroma z negotovinskim kreditom, ki je namenjen kreditiranju nakupa blaga in storitev manjših vrednosti in ga je mogoče dobiti neposredno na prodajnem mestu) zahtevajo EMŠO, davčno številko in ožigosane ter podpisane bančne obrazce s podatki o zadnjih treh mesečnih plačah, ne ravnajo v nasprotju z ZVOP-1. Prodajalne so namreč v takšnih primerih le kreditne posrednice, ki uredijo celotno kreditno dokumentacijo na prodajnem mestu – zato, da kreditojemalcu ni potrebno hoditi na banko –  in osebnih podatkov kreditojemalca ne hranijo, temveč jih posredujejo banki. Pri takšnem razmerju gre zato za pogodbeno obdelavo podatkov, ki je natančneje opredeljena v 11. členu ZVOP-1, kjer je trgovina pogodbeni obdelovalec, ki osebne podatke obdeluje v imenu in na račun upravljavca osebnih podatkov, banke (7. točka 6. člen ZVOP-1).

Po določbi 1. odstavka 11. člena ZVOP-1 lahko upravljavec osebnih podatkov (banka) posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu (trgovini), ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz 24. člena tega zakona. Po določbi 2. odstavka istega člena pa sme pogodbeni obdelovalec opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz 24. člena tega zakona. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz 24. člena tega zakona.

Osebni podatki, ki jih zahteva banka in zanjo ter v njenem imenu trgovina, pa morajo biti vseeno skladni s splošnimi načeli obdelave osebnih podatkov, ki jih določa ZVOP-1. To pomeni, da morajo biti na obrazcih zahtevani podatki vseeno sorazmerni z namenom zbiranja (3. člen ZVOP-1) oziroma morajo biti osebni podatki tudi v smislu 2. odstavka 10. člena ZVOP-1 nujno potrebni in primerni za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe.

Napisano je v obravnavanem primeru pomembno predvsem z vidika zbiranja kar dveh enoznačnih identifikatorjev, torej davčne številke (33. člen Zakona o davčnem postopku, Ur. l. RS, št. 117/06) in EMŠO (6. člen Zakona o centralnem registru prebivalstva, Ur. l. RS, št. 72/06, v nadaljevanju ZCRP). Skladno z določbo Ustavnega Sodišča Republike Slovenije št. U-I-229/03, z dne 9.2.2006, kjer je sodišče med drugim zapisalo, da je določitev davčne številke in EMŠO, torej kar dveh podatkov, ki omogočata popolno identifikacijo posameznika odveč, saj zadostuje zgolj eden, Pooblaščenec meni, da je v konkretnem primeru zbiranje obravnavanih dveh podatkov neskladno z načelom sorazmernosti iz 3. člena ZVOP-1. Banki za enoznačno identifikacijo zadostuje le en podatek, ali davčna številka ali EMŠO. Zbiranje obeh podatkov predstavlja namreč prekomerno obdelavo osebnih podatkov, saj je že en od teh dveh podatkov dovolj, da se posameznika nedvoumno določi. Hkrati pa oba podatka tudi nista potrebna in primerna za sklenitev pogodbe (nakupa z negotovinskim kreditom) v smislu 2. odstavka 10. člena ZVOP-1.

Pri tem Pooblaščenec zgolj dodaja, da pomeni EMŠO po določbi 6. člena ZCRP osnovno in najbolj točno identifikacijo posameznika, iz katere se lahko razberejo tudi drugi podatki o posamezniku, kot so njegova starost, spol in datum rojstva. Zato predstavlja ob primerjavi z davčno številko bistveno večji poseg v zasebnost in je davčna številka s tega stališča v konkretnem primeru primernejša za obdelavo.

Ad 3.
Morebitne kršitve zgoraj predstavljena določila ZVOP-1 lahko prijavite Informacijskemu pooblaščencu, ki je po določbi druge alineje 1. odstavka 2. člena ZInfP samostojen in neodvisen državni organ, pristojen za inšpekcijski nadzor nad izvajanjem zakona in drugih predpisov, ki urejajo varstvo ali obdelavo osebnih podatkov oziroma iznos osebnih podatkov iz Republike Slovenije, ter opravljanje drugih nalog, ki jih določajo ti predpisi.
    
S spoštovanjem,

Informacijski pooblaščenec:
Nataša Pirc Musar, univ. dipl. pravnik
pooblaščenka