Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 08.01.2019
Naslov: Zbiranje davčne številke
Številka: 0712-3/2018/2747
Vsebina: Vrtec
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zbiranja davčne številke staršev otrok v vrtcih.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

 

IP pojasnjuje, da je za zakonito obdelavo osebnih podatkov treba imeti ustrezno pravno podlago. Splošna uredba o varstvu podatkov določa pravne podlage v prvem odstavku 6. člena, kjer določa, da je obdelava zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

Ob tem je treba upoštevati, da se zadnja točka (f) ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

 

IP poudarja še, da iz vašega zaprosila ni razvidno, ali gre pri upravljavcih osebnih podatkov (vrtcih), ki želijo zbirati podatek o davčni številki staršev, za upravljavce iz javnega ali zasebnega sektorja. Za vsako obdelavo osebnih podatkov mora namreč obstajati pravna podlaga, vendar pri tem obstaja razlika, ali gre za obdelavo osebnih podatkov v javnem ali v zasebnem sektorju.

Pravne podlage za obdelavo osebnih podatkov v javnem sektorju so določene v 9. členu ZVOP-1. Osebni podatki v javnem sektorju se tako lahko na podlagi prvega odstavka tega člena obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Ne glede na prvi odstavek pa se na podlagi četrtega odstavka istega člena lahko v javnem sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.

 

Področni zakon v vašem primeru predstavlja Zakon o vrtcih (ZVrt; Uradni list RS, št. 12/96, 44/00, 78/03, 72/05, 25/08, 98/09 – ZIUZGK, 36/10, 94/10 – ZIU, 62/10 – ZUPJS, 40/11 – ZUPJS-A. 40/2 – ZUJF, 14/15 – ZUUJFO, 55/17), ki ureja predšolsko vzgojo, ki jo izvajajo javni in zasebni vrtci. V 42. členu ZVrt določa, da vrtci zbirajo, obdelujejo, shranjujejo, posredujejo, varujejo in uporabljajo osebne podatke, vsebovane v evidencah, v skladu s predpisi o varstvu osebnih podatkov, če s tem zakonom ni določeno drugače. V 43. členu ZVrt je določeno, katere zbirke podatkov vodijo vrtci za namen izvajanja predšolske vzgoje, za spremljanje dejavnosti in za statistične namene. Te zbirke so: Evidenca vpisanih otrok  in evidenca vključenih otrok, evidenca plačil staršev, evidenca otrok, ki potrebujejo svetovanje oz. pomoč, evidenca oseb, ki občasno varujejo otroke na domu in evidenca upravičencev do sofinanciranja plačil staršev iz državnega proračuna. V določbah 44., 45. in 46. člena ZVrt je določeno, katere osebne podatke posamezna evidenca vsebuje, pri čemer za nobeno od naštetih evidenc ni navedeno, da vsebuje tudi podatek o davčni številki. Evidenca vključenih otrok tako vsebuje naslednje podatke: osebno ime ter naslov prebivališča otroka in staršev, datum rojstva in spol otroka, EMŠO otrok in staršev, datum vključitve otroka v vrtec, zdravstvene posebnosti otroka, ki izhajajo iz potrdila pediatra ali specialista, naslov za stike, telefonsko številko osebe ali naslov elektronske pošte osebe, ki je vzgojitelju dosegljiva med otrokovim bivanjem v vrtcu in podatke o prisotnosti otrok v vrtcu.

 

Iz navedenega torej izhaja, da vrtec lahko v evidenci vključenih otrok zbira le zgoraj navedene podatke, ne pa tudi podatka o davčni številki staršev otrok, vpisanih v posamezni vrtec. ZVrt tako ne predstavlja pravne podlage za zbiranje in obdelavo davčne številke staršev. Za njeno morebitno zbiranje in obdelavo bi torej morala obstajati druga ustrezna pravna podlaga. IP je sicer že večkrat poudaril, da zbiranje dveh enoličnih identifikatorjev (EMŠO in davčne številke) načeloma ni potrebno in ni v skladu z načelom najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izvrševanje zakonitih pristojnosti, nalog ali obveznosti.

 

 

S spoštovanjem.

 

 

 

Pripravil:

Matej Sironič,                                                  

Svetovalec pooblaščenca

za varstvo osebnih podatkov

 

 

Informacijski pooblaščenec:

Mojca Prelesnik, univ. dipl. prav.,

pooblaščenka