Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 17.12.2019
Naslov: Zbiranje EMŠO in DŠ
Številka: 0712-1/2019/2452
Vsebina: EMŠO in davčna, Občine, Uradni postopki
Pravni akt: Mnenje

Obrnili ste se na Informacijskega pooblaščenca RS (v nadaljevanju IP) s svojim zaprosilom za mnenje. Pojasnjujete, da ste kot Svetniška skupina Občinskega sveta Občine Izola podali predlog, da se občinski odloki, v postopku spreminjanja uskladijo s Splošno uredbo o varstvu podatkov (ang. GDPR). V konkretnem primeru ste na 4. redni seji Odbora za gospodarske javne službe in promet z dne 10. 6. 2019 predlagali spremembo 18. člena ODLOKA o občinskem pristanišču Izola, ki zahteva od uporabnika, ki podaja vlogo, da poda EMŠO in DAVČNO številko. Po vašem mnenju je zbiranje obeh podatkov v neskladju z načelom najmanjšega obsega podatkov iz Splošne uredbe o varstvu podatkov, zato ste predlagali, da se eden od identifikatorjev iz 18. člena odloka odstrani. V razpravi, ki je razvidna iz zapisnika št. 011-60/2019 pod točko Ad 3, je bil predlog zavrnjen z naslednjo obrazložitvijo:

»V 6. členu Uredbe 2016/679, Evropskega parlamenta in Sveta, z dne 27. aprila 2016, o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov, je določeno, da je obdelava podatkov zakonita le in kolikor sta med ostalimi izpolnjena naslednja pogoja: da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov in je obdelava potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe.

Zato menimo, da kakršnekoli spremembe odloka niso potrebne, saj je JP Komunala Izola d. o. o., kot upravljavec pristanišča, ki sklepa pogodbe s prosilci za privez (opomba: enako velja tudi pri vključitvi v sistem ravnanja z odpadki, z odpadnimi vodami, pri sklepanju pogodb  za abonmaje in dovolilnice za parkiranje na parkiriščih, pri zbiranju podatkov zagotovila zakonitost in transparentnost obdelave, uredila evidenco obdelave, objavila politiko varstva osebnih podatkov, uvedla ukrepe za ustrezno varstvo osebnih podatkov - pravnoorganizacijski in tehnični – in vseskozi zagotavlja uveljavitev pravic posameznikov (informiranje in dostop).«

IP prosite za mnenje z vidika varstva osebnih podatkov. Pojasnjujete še, da je v Občini Izola veliko aktov, v katerih se predvideva od uporabnika, da poda EMŠO in Davčno.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

 

V nasprotju z načelom najmanjšega obsega podatkov iz Splošne uredbe je, če upravljavci za namen enolične identifikacije posameznika zbirajo več enoličnih identifikatorjev (npr. EMŠO in davčno številko). IP v okviru mnenja ne more podati obvezujočega stališča glede potrebnosti zbiranja obeh podatkov v konkretnem primeru, kljub temu IP opozarja, da če občinski predpis določa kot obvezno, da se zbira več podatkov, kot je potrebno glede na namen obdelave, potem je tak predpis v nasprotju z veljavno Splošno uredbo in Ustavo RS (smiselno enako izhaja tudi iz odločbe Ustavnega sodišča I-U-229/03). V konkretnem primeru je treba presojati ali je za namen izvajanja javne oblasti podeljene upravljavcu (člen 6(1)(e) Splošne uredbe)odločanje v upravnem postopku o pravici do pridobitve privezapotrebno zbirati oba enolična identifikatorja (EMŠO in davčno številko).

 

 

 

O b r a z l o ž i t e v

 

Za zakonito obdelavo osebnih podatkov mora obstajati ustrezna pravna podlaga. Pravne podlage za obdelavo osebnih podatkov so urejene v prvem odstavku člena 6 Splošne uredbe. Obdelava osebnih podatkov je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

 

  1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
  2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe
  3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
  4. obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
  5. obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
  6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

 

Ob navedenem je treba za skladno obdelavo osebnih podatkov spoštovati tudi načelo najmanjšega obsega podatkov, ki v določbi 5 (1)(d) Splošne uredbe določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

 

Iz 18. člena Odloka o občinskem pristanišču Izola (UO 24/15, 16/18, 16/19, v nadaljevanju Odlok) izhajajo obvezne sestavine vloge, ki jih morajo za potrebe upravnega postopka predložiti stranke, ki želijo pridobiti pravico do pridobitve priveza. Po 17. členu Odloka postopke v zvezi s pridobitvijo priveza vodi upravljavec, skladno z določili Zakona o splošnem upravnem postopku. Prosilec z vlogo na obrazcu, ki ga pripravi upravljavec, zaprosi za pridobitev priveza v uporabo. Če je vloga nepopolna ali nerazumljiva, upravljavec od prosilca zahteva, da pomanjkljivosti odpravi, če tega prosilec ne stori, upravljavec vlogo s sklepom zavrže. Če prosilec ne izpolnjuje pogojev za pridobitev priveza, upravljavec vlogo zavrne z odločbo. O pritožbi odloča župan. Po prvem odstavku 18. člena Odloka mora obrazec vloge iz prejšnjega člena vsebovati naštete podatke, med katerimi se nahajata tudi EMŠO in davčna številka.

 

Iz zgoraj navedenega sledi, da pravna podlaga za zbiranje podatkov o EMŠO in davčni številki na podlagi 18. člena Odloka, NI privolitev posameznika (člen 6 (1)(a) Splošne uredbe), oziroma izvajanje pogodbe s posameznikom ali ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe (člen 6 (1)(b) Splošne uredbe) – kot to zmotno izhaja iz obrazložitve k 3. točki seje odbora za gospodarske javne službe in promet pri Občini Izola, zapisnik št. 011-60/2019 – temveč gre lahko za obdelavo, ki je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu (člen 6 (1)(e) Splošne uredbe). Odlok namreč predpisuje nabor podatkov kot obvezno sestavino vloge, ki bo v primeru, če prosilec ne bo navedel vseh podatkov, zavržena kot nepopolna. Iz ureditve torej izhaja, da gre za nabor podatkov, ki jih je predpisala občina kot nujne podatke za odločanje v upravnem postopku, ki je po vsebini oblastno odločanje o pravici posameznika. Podatki, četudi bi jih morda upravljavec kasneje potreboval (tudi) pri sklepanju pogodbe o privezu, niso bili dani za namen sklepanja pogodbe, temveč za namen odločanja o pravici posameznika do pridobitve priveza. V tem smislu je treba presojati tudi upravičenost upravljavca do vseh navedenih podatkov (ob tem je treba upoštevati tudi tretji odstavek 139. člena ZUP, po katerem si uradna oseba, ki vodi postopek, po uradni dolžnosti priskrbi podatke o dejstvih, o katerih vodi uradno evidenco organ, ki je pristojen za odločanje. Enako ravna uradna oseba glede dejstev, o katerih vodi uradno evidenco kakšen drug državni organ oziroma organ samoupravne lokalne skupnosti ali nosilec javnega pooblastila.) 

 

Glede hkratnega zbiranja dveh enoličnih identifikatorjev (EMŠO in davčna številka) za potrebe konkretnega upravnega postopka IP poudarja, da to ni potrebno, če se podatke zbira le za identifikacijo posameznika. Tako izhaja tudi iz odločbe Ustavnega sodišča RS (U-I-229/03 z dne 9. 2. 2006, U.l. RS, št. 21/2006), ki je (tudi) iz tega razloga delno razveljavilo Zakon o nepremičninskem posredovanju. Ustavno sodišče je navedlo, da »popolno identifikacijo posameznika omogoča tako podatek o EMŠO kot tudi podatek o davčni številki. To pa pomeni, da je določitev kar dveh podatkov, ki omogočata popolno identifikacijo posameznika, odveč, saj zadostuje zgolj eden.« IP ob navedenem poudarja, da ne pozna konkretnih razlogov za hkratno zbiranje EMŠO in davčne številke za odločanje o pravici do pridobitve priveza. Razlogi za hkratno zbiranje obeh identifikacijskih podatkov pa bi morali utemeljevati, zakaj je potrebno, za izvajanje javne oblasti podeljene upravljavcu (za odločanje v konkretnem upravnem postopku), da upravljavec pridobi oba identifikacijska podatka od posameznika. Če hipotetično predpostavimo, da je razlog zgolj zaradi lažje kasnejše izterjave morebitnih neplačanih obveznosti v zvezi s privezom, IP poudarja, da v tem primeru podatek o davčni številki ne bi bil potreben za odločanje o pravici do pridobitve priveza. Navedeni podatek bi bilo po mnenju IP primerneje zbirati ob drugem času oziroma na drugi ustrezni pravni podlagi (npr. privolitvi posameznika ali ob sklenitvi pogodbe na podlagi člena 6(1)(b) – če upravljavec izkaže, da je to potrebno za sklenitev pogodbe). Občinski predpis, ki bi po nepotrebnem zahteval zbiranje več podatkov, kot je to potrebno glede na namen zbiranja, pa ni skladen z načelom najmanjšega obsega podatkov iz Splošne uredbe.

 

IP ob zgoraj navedenem še dodaja, da je ustrezna opredelitev – na kateri pravni podlagi upravljavec zbira osebne podatke in za kakšen namen, tudi izredno pomembna zaradi izpolnjevanja drugih obveznosti upravljavca po Splošni uredbi – npr. zagotavljanja pravic posameznikov, ki se vežejo na specifične pravne podlage (npr. pravica do ugovora za obdelave, ki se vršijo na podlagi točk (e) ali (f); na vsebino informacij, ki jih je skladno s členoma 13 in 14 Splošne uredbe dolžan posredovati upravljavec posamezniku; na vsebine evidenc dejavnosti obdelave po členu 30 Splošne uredbe, itd.

 

Lep pozdrav,

 

 

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka

 

Pripravil:

Anže Novak, univ. dipl. prav.                                       

Svetovalec Pooblaščenca za preventivo