Posredovanje EMŠO ali DŠ ARRS + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 30.09.2009 Številka: 0712-2/2009/944 Kategorije:EMŠO in davčna --> Kategorije: EMŠO in davčna Spoštovani, prejeli smo vašo elektronsko pošto z dne
- 2009, v kateri nas prosite za mnenje glede obdelave osebnih podatkov s strani Javne agencije za raziskovalno dejavnost Republike Slovenije (ARRS). Zanima vas, ali ima ARRS pravico, da za pridobitev gesla za dostop do obrazcev za registrirane raziskovalce na njihovi spletni strani od vas zahtevajo ali davčno številko ali EMŠO. Pooblaščenec je v konkretni zadevi za dodatna pojasnila zaprosil tudi ARRS, kjer je dobil odgovor, da se EMŠO oz. davčna številka ob prvi registraciji uporabljata ravno z namenom preprečevanja zlorab osebnih podatkov. Predhodno so namreč uporabljali sistem, kjer se je posameznik registriral s svojim imenom, priimkom in datumom rojstva, vendar je prišlo do zlorabe, tako da je drug uporabnik vpisal ime, priimek in rojstni datum določenega raziskovalca z namenom pridobitve njegovega gesla za dostop do e-storitev ARRS. Ker pa ima ARRS v bazi podatkov že elektronske naslove raziskovalcev, se je geslo poslalo na pravi elektronski naslov raziskovalca. Ta se je na ARRS pritožil, češ da ni nikoli podal zahteve za pridobitev gesla. V izogib nadaljnjim zlorabam so na ARRS namesto vpisa datuma rojstva uvedli vpis EMŠO oz. davčne številke. Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. ARRS ima pravno podlago za zbiranje in obdelavo vaše EMŠO in davčne številke v Zakonu o raziskovalni in razvojni dejavnosti. Uporaba EMŠO ali davčne številke kot avtentikacije za dodelitev dostopnega gesla za spletno stran ARRS je po mnenju Pooblaščenca nesorazmerna in ni v skladu z namenom obdelave. O b r a z l o ž i t e v: Skladno z
- čl. ZVOP-1 se lahko osebni podatki v javnem sektorju (kamor sodi tudi ARRS) obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Zakonsko podlago glede na določbe
- člena ZVOP-1 v konkretnem primeru predstavlja Zakon o raziskovalni in razvojni dejavnosti (Uradni list RS, št. 22/2006 – prvo uradno prečiščeno besedilo in 112/2007, v nadaljevanju: ZRRD). Ta v
- členu med nalogami ARRS našteva tudi vodenje zbirke podatkov, določene z ZRRD in drugimi predpisi. V
- členu pa ZRRD določa, da se za načrtovanje politike ter za potrebe izvajanja raziskovalne in razvojne dejavnosti, določene z zakonom, statistične namene in spremljanje stanja na področju raziskovalne in razvojne dejavnosti, pri ARRS vodi med drugimi tudi zbirke podatkov, ki vsebuje podatke o izvajalcih raziskovalne in razvojne dejavnosti. Omenjena zbirka podatkov vsebuje, v skladu s
- odst.
- člena ZRRD, tudi osebne podatke, in sicer: osebno ime raziskovalca, rojstne podatke, spol, EMŠO, davčno številko, podatke o državljanstvu, podatke o prebivališču, podatke o naslovu, kjer opravlja raziskovalno dejavnost, podatke o zaposlitvi, podatke o izobrazbi. ARRS, v skladu s
- členom ZRRD, zbira omenjene osebne podatke neposredno na podlagi prijav ali predlogov od izvajalcev raziskovalne in razvojne dejavnosti ter iz drugih uradnih zbirk, ki jih v Republiki Sloveniji vodijo za to pooblaščeni organi in organizacije. ARRS na področju raziskovalne dejavnosti brezplačno pridobiva podatke iz obstoječih zbirk podatkov naslednjih upravljavcev: • ministrstva, pristojnega za notranje zadeve - podatke o raziskovalcu (osebno ime, rojstne podatke, enotno matično številko občana iz centralnega registra prebivalstva, podatke o državljanstvu); • Davčne uprave Republike Slovenije - podatke o davčni številki izvajalcev raziskovalne in razvojne dejavnosti; • delodajalcev - podatke o zaposlitvi, podatke o izplačilih plač in nadomestil ter podatke o drugih izplačilih; • javnega infrastrukturnega zavoda, ki opravlja dejavnost komunikacijske in informacijske podpore raziskovalni dejavnosti - podatke o izvajalcih raziskovalne in razvojne dejavnosti, o programih in projektih na področju raziskovalne in razvojne dejavnosti. ARRS na področju raziskovalne dejavnosti lahko osebne podatke, o katerih vodi zbirke podatkov in podatke, ki jih pridobi od upravljavcev zbirk osebnih podatkov iz drugega odstavka tega člena, obdeluje samo za potrebe izvajanja dejavnosti in vodenja zbirk podatkov po tem zakonu, za izvajanje nadzora in izplačil, za spremljanje stanja, analize ter za statistične namene. Glede na navedeno, ima torej ARRS pravno podlago za zbiranje in obdelavo vaše EMŠO in davčne številke v ZRRD. ARRS lahko obdeluje naveden podatke le za namene, opredeljene v
- odstavku
- člena ZRRD, torej za namene načrtovanja politike ter za potrebe izvajanja raziskovalne in razvojne dejavnosti, določene z zakonom, statistične namene in spremljanje stanja na področju raziskovalne in razvojne dejavnosti. Enako izhaja tudi iz
- odstavka
- člena ZRRD, po katerem lahko ARRS osebne podatke, o katerih vodi zbirke podatkov obdeluje samo za potrebe izvajanja dejavnosti in izvajanja zbirk podatkov po tem zakonu, za izvajanje nadzora in izplačil, za spremljanje stanja, analize ter statistične namene. ARRS torej nima ne zakonske podlage ne osebne privolitev posameznikov za uporabo EMŠO oz. davčne številke avtentikacijo ob prvi prijavi na spletni strani. Po mnenju Pooblaščenca je uporaba takšnega ukrepa tudi popolnoma nesorazmerna, saj lahko ARRS za avtentikacijo uporabi druge podatke oz. jo izvede drugače – npr. glede na to da ARRS poseduje elektronske naslove posameznih raziskovalcev, bi lahko določil, da se zahteva za prvo prijavo pošlje z elektronskega naslova raziskovalca, ali da avtentikacijo predstavlja številka raziskovalca, ki jo ima ta v zbirki podatkov. S tem bi bilo zagotovljeno, da je zahtevo za prijavo poslala prava oseba, izognili pa bi se uporabi EMŠO oz. davčne številke kot avtentikacije ob prijavi. Pooblaščenec še dodaja, da ne vidi nevarnosti v t.i. zlorabi dostopa do storitev ARRS prek spletne strani, na kar se je skliceval ARRS. Prvi stik z avtentikacijo raziskovalca je namenjen zgolj dodelitvi gesla, ki ga ARRS pošlje na poštni naslov raziskovalca. Šele z dodeljenim geslom je mogoče koristiti spletne storitve. Kolikor bi torej tretji vedel za avtentikacijski znak raziskovalca, bi lahko dosegel zgolj dodelitev gesla, ne pa tudi neposrednih koristi zase, do katerih kot oseba brez statusa raziskovalca ne bi bil upravičen. Pooblaščenec na koncu še dodaja, da sta tako EMŠO kot davčna številka močno razširjena enoznačna identifikatorja posameznika, zato se v konkretnem primeru upravičeno postavlja vprašanje dejanske potrebnosti njune obdelave v opisanem primeru. EMŠO pomeni osnovno in najtočnejšo identifikacijo posameznika. Iz nje se lahko razberejo tudi drugi podatki o posamezniku, kot sta njegova starost in spol. Pooblaščenec poudarja, da ob primerjavi EMŠO in davčne številke pomeni slednja bistveno manjši poseg v zasebnost. Davčna številka je z vidika natančne identifikacije posameznika primernejša, saj EMŠO razkrije več podatkov o posamezniku. Pooblaščenec priporoča, da se EMŠO uporablja v izjemnih primerih, ko razkritje EMŠO res terja potreba po višji stopnji pravne varnosti. V opisanem primeru takšna potreba ni izkazana. S spoštovanjem, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026