Dodatno mnenje glede davčne številke v digitalnem potrdilu + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 31.05.2022 Številka: 07121-1/2022/590 Kategorije: --> Kategorije: Delovna razmerja, EMŠO in davčna Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis, v katerem nas naprošate za dodatno glede davčne številke v digitalnem potrdilu. Kot ste navedli v zaprosilu za mnenje mora delodajalec, pri katerem je zaposlen imetnik službenega digitalnega potrdila, skrbeti za varovanje osebnih podatkov in priskrbeti ustrezno pravno podlago za obdelavo osebnih podatkov svojih zaposlenih. Splošna uredba o varstvu osebnih podatkov v 1. in 2. odstavku 25. člena določa, da se morajo izvajati ustrezni tehnični in organizacijski ukrepi za varovanje osebnih podatkov ob upoštevanju najnovejšega tehnološkega razvoja, v korist lastnika osebnih podatkov ter, da mora varovanje osebnih podatkov temeljiti na najmanjšem obsegu podatkov. Ste mnenja, da Splošni pogoji ponudnikov kvalificiranih digitalnih potrdil, ki mu moramo zaupati določene osebne podatke za enolično identifikacijo zaposlenega ob zahtevku za izdajo certifikata v tem vprašanju niso sporni, saj mora ta v skladu s Splošno uredbo o varstvu osebnih podatkov te podatke varovati in predvsem ker se vprašanje navezuje na že izdano digitalno potrdilo oziroma osebne podatke shranjene v digitalnem potrdilu. Ob uspešni obdelavi zahtevka za izdajo digitalnega potrdila, zaupanja vreden izdajatelj kvalificiranega digitalnega potrdila izda digitalno potrdilo, ki vsebuje serijsko številko digitalnega potrdila, podatke o imetniku in njegov javni ključ, poleg tega pa še podatke o izdajatelju digitalnega potrdila ter obdobje veljavnosti digitalnega potrdila. Vsako izdano digitalno potrdilo vsebuje tudi povezavo do posebnega sistema preko katerega se pri uporabi digitalnega potrdila preveri, ali je to veljavno. Ob uporabi digitalnega potrdila veljavnost digitalnega potrdila potrjuje izdajatelj digitalnega potrdila. Zakon o elektronski identifikaciji in storitvah zaupanja v 2. odstavku 11. člena določa podatke, ki jih izdajatelj digitalnega potrdila lahko evidentira. Isti zakon v 3. odstavku 11. člena določi, da če je tehnično mogoče izdati in uporabljati sredstvo elektronske identifikacije tako, da se za to ne potrebuje določenih podatkov iz prejšnjega odstavka, vlada z uredbo določi manjši nabor podatkov posamezne evidence imetnikov sredstev elektronske identifikacije. Obseg podatkov na izdanem digitalnem potrdilu določa tudi 12. člen Zakona o elektronski identifikaciji in storitvah zaupanja. V praksi ugotavljate, da različni izdajatelji kvalificiranih digitalnih potrdil v izdana digitalna potrdila vključujejo tudi druge podatke, ki pa tehnično gledano niso potrebni za delovanje digitalnega potrdila in s tem zmožnostjo njegove uporabe v določenih e-storitvah (npr. dostop do portala eDavki). Od treh preverjenih izdajateljev se takšne slabe prakse poslužuje eden. Glede na navedene ugotovitve menite, da ponudniki kvalificiranih digitalnih potrdil v primeru, ko gre za službeno digitalno potrdilo ne bi smeli vključevati osebne davčne številke ali le to nadomestiti z drugim manj osebnim podatkom (npr. številko zaposlenega). Istočasno ste glede na zapisano mnenja, da ponudniki kvalificiranih digitalnih potrdil ne bi smeli vključevati nobenih osebnih podatkov, ki niso nujno potrebi za delovanje e-storitev čeprav s temi podatki v svojih evidencah razpolagajo, jih obdelujejo in jih lahko razkrijejo v skladu z zakonodajo RS. Različne oznake, ki jih (ali
- ne)delodajalci dajejo svojim zaposlenim (številka, koda, šifra ali druga oznaka zaposlenega) niso zakonsko opredeljene, prav tako pa niso nujno enolično povezane s posameznikom oziroma trajne, zato različne šifre zaposlenih kot takšne niso primerne za enolično identifikacijo posameznika, obenem pa bi jih bilo – upoštevaje tudi, da praviloma izven okolja delodajalca niso znane oziroma dostopne – težko preveriti v elektronskem prometu. O b r a z l o ž i t e v: Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, ste v zaprosilu za mnenje med drugim navedli, da menite, da ponudniki kvalificiranih digitalnih potrdil v primeru, ko gre za službeno digitalno potrdilo ne bi smeli vključevati osebne davčne številke ali le to nadomestiti z drugim manj osebnim podatkom (npr. številko zaposlenega). IP zato glede navedenega pojasnjuje, da različne oznake, ki jih (ali
- ne)delodajalci dajejo svojim zaposlenim (številka, koda, šifra ali druga oznaka zaposlenega) niso zakonsko opredeljene, prav tako pa niso nujno enolično povezane s posameznikom oziroma trajne - v državni upravi npr. imajo vsaj zaposleni svojo šifra delovnih mest, katero pa po odhodu zaposlenega uporablja oziroma dobi zaposleni, ki je zasedel njegovo delovno mesto. Glede na navedeno različne šifre zaposlenih kot takšne niso enotno urejene in niso primerne za enolično identifikacijo posameznika, obenem pa bi jih bilo – upoštevaje tudi, da praviloma izven okolja delodajalca niso znane oziroma dostopne – težko preveriti v elektronskem prometu. Posledično je potreba po zanesljivem, trajnem in verodostojnem enoličnem identifikatorju v elektronskem prometu razumljiva, davna številka posameznika pa je z vidika sorazmernosti manj govoreča oznako kot npr. EMŠO posameznika. Navedeno, obenem pa tudi večletna praksa pri izdaji digitalnih certifikatov, ki je temeljila na davčni številki, je verjetno temeljila na odločitvi za uporabo davčne številke. 3.člen Zakona o elektronski identifikaciji in storitvah zaupanja (Zakon o elektronski identifikaciji in storitvah zaupanja (Uradni list RS, št. 121/21 in 189/21 – ZDU-1M; ZEISZ) opredeljuje Enotno številko elektronske identifikacije (EŠEI), ki je enolični identifikator fizične osebe, fizične osebe z dejavnostjo ali pravne osebe pri elektronskem poslovanju. 3. odstavek 3. člena ZEISZ določa, da je EŠEI sestavljen: za fizično osebo iz številke 11 in davčne številke fizične osebe, za poslovni subjekt iz številke 21 in davčne številke poslovnega subjekta. Zaposleni v pravnih osebah imajo pravno svojstvo fizične osebe in ne poslovnega subjekta, zato njihov enolični identifikator skladno z določbami ZEIS vsebuje davčno številko fizične osebe. Izdajatelj sredstva elektronske identifikacije za namen izdajanja in zagotavljanja uporabe sredstev elektronske identifikacije ter zagotavljanja obveznosti države, ki jo nalaga Uredba 910/2014/EU, na podlagi 11. člena ZEISZ vodi evidenco imetnikov sredstev elektronske identifikacije za vsako sredstvo elektronske identifikacije posebej; EŠEI se tako vodi v evidenci imetnikov sredstev elektronske identifikacije. 13. člen ZEISZ (uporaba sredstva elektronske identifikacije) dalje določa, da izdajatelj sredstva elektronske identifikacije ponudnikom elektronskih storitev, registriranim v Republiki Sloveniji, zagotavlja možnost uporabe informacijske rešitve za uporabo sredstev elektronske identifikacije, opredeljenih v uredbi vlade, izdani na podlagi 6. člena tega zakona, ter možnost preverjanja EŠEI na podlagi identifikacijske oznake sredstva elektronske identifikacije. Z vašim mnenjem, da ponudniki kvalificiranih digitalnih potrdil ne bi smeli vključevati nobenih osebnih podatkov, ki niso nujno potrebi za delovanje e-storitev, čeprav s temi podatki v svojih evidencah razpolagajo, jih obdelujejo in jih lahko razkrijejo v skladu z zakonodajo RS pa se upoštevaje načelo vgrajenega in privzetega varstva osebnih podatkov, se strinjamo na načelni ravni, kolikor seveda zakonodaja ne določa oziroma zahteva drugače. Pri tem opozarjamo, da ZEIS ureja osebno elektronsko identiteto, ki jo dodeli Republika Slovenija, in sredstva elektronske identifikacije, s katerimi se dokazuje ta elektronska identiteta, ter na tej elektronski identiteti temelječo shemo elektronske identifikacije v skladu z zahtevami iz Uredbe (EU) št. 910/2014. Zasebnega sektorja ZEISZ ne regulira, enako, kot tudi Uredba 910/2014/EU, se pa zasebni sektor spodbuja k uporabi informacijske rešitve za uporabo izdanih sredstev elektronske identifikacije v smislu razbremenitve zasebnega sektorja problematike elektronske identifikacije. Zaključno poudarjamo, da v okviru nezavezujočih mnenj ne moremo presojati zakonitosti obdelave osebnih podatkov v konkretnih primerih, temveč se to lahko ugotavlja le v okviru uradnega inšpekcijskega postopka. S spoštovanjem, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026