Posredovanje EMŠO FURS - IPRS

Posredovanje EMŠO FURS + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 29.09.2021 Številka: 07121-1/2021/1734 Kategorije: --> Kategorije: EMŠO in davčna, Posredovanje OP med upravljavci, Pravica do seznanitve z lastnimi osebnimi podatki Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zahteve izplačevalca dohodka po vaši EMŠO. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
5. točko prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter
7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa v okviru mnenja presojati ustreznosti posameznih obdelav osebnih podatkov z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za obdelavo osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določena obdelava podatkov zakonita. IP uvodoma pojasnjuje tudi, da ni pristojen za komentiranje vodenja postopkov drugih inšpekcijskih ali prekrškovnih organov, zato o tem tudi ne more izdajati mnenj. Skladno s sklepom Ustavnega sodišča RS, št. U-I-92/12-13, z dne
9. 2013 (http://odlocitve.us-rs.si/documents/8b/89/u-i-92-122.pdf), tudi ne sme izvajati inšpekcijskega nadzora nad izvajanjem določb, ki urejajo varstvo osebnih podatkov, tako, da pri izvrševanju svojih zakonsko določenih pooblastil poseže v posamične pravne postopke, ki jih vodijo za to pristojni državni organi ter ne sme preverjati, ali se v konkretnih pravnih postopkih ustavnoskladno in zakonito spoštuje varstvo osebnih podatkov. Kot je v citiranem sklepu ugotovilo Ustavno sodišče, bi bila zakonska podlaga, ki bi to omogočala, v nasprotju z načelom samostojnosti pristojnega državnega organa pri odločanju (
10. odstavek
11. člena Ustave RS za upravne organe,
12. člen Ustave RS za sodišča) ter v nasprotju z rednim sistemom pravnih sredstev oziroma vzpostavljeno hierarhično strukturiranostjo državne oblasti (načelo večstopenjskega odločanja) in s tem v nasprotju z načeli pravne države (
13. člen Ustave Republike Slovenije). Ta načela zahtevajo, da o pravicah in obveznostih fizičnih in pravnih oseb odločajo pristojni organi v postopkih, ki so vnaprej zakonsko določeni, pri čemer se njihove odločitve lahko preverjajo le v vnaprej določenih postopkih s pravnimi sredstvi pred pristojnimi organi. IP tako splošno pojasnjuje, da je pravna podlaga za obdelavo osebnih podatkov v javnem sektorju, kamor sodi tudi FURS, podana v
14. členu ZVOP-1, ki v prvem odstavku določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi tudi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Državni organ mora torej za obdelavo podatka o EMŠO posameznika imeti pravno podlago v zakonu, sicer obdelava tega podatka ni dopustna. V skladu s
15. členom Zakona o centralnem registru prebivalstva (Uradni list RS, št. 72/06 – ZCRP-UPB1; v nadaljevanju: ZCRP) je EMŠO identifikacija za enoznačno opredelitev posameznika, ki je namenjena vodenju in vzdrževanju zbirk podatkov o prebivalstvu, povezovanju podatkov v teh zbirkah ter racionalizaciji dela državnih organov in drugih uporabnikov, ki imajo zakonsko podlago za uporabo EMŠO, pa tudi uresničevanju pravic in obveznosti posameznika. Uporaba EMŠO je določena v prvem odstavku
16. člena ZCRP, ki določa, da jo morajo uporabljati upravljavci zbirk podatkov, ki jih vodijo o posamezniku na podlagi zakona na področjih statistike, notranjih zadev, zdravstvenega varstva in zdravstvenega zavarovanja, davkov in carine, obrambe, geodetske službe, urejanja prostora in ekološke zaščite, zaposlovanja in spremljanja delovne sile, pokojninskega in invalidskega zavarovanja, pravosodja, šolstva, socialnega varstva in drugi uporabniki, določeni z zakonom oziroma upravljavci zbirk podatkov, določeni z zakonom, ki v teh zbirkah podatkov uporabljajo EMŠO. Na podlagi tretjega odstavka
17. člena ZRCP pa je tisti, ki pridobiva EMŠO (v konkretnem primeru FURS), dolžan navesti zakonsko podlago in namen pridobivanja EMŠO (v konkretnem primeru jo mora torej navesti izplačevalcu vašega dohodka, od katerega zahteva EMŠO), v primeru pisne privolitve pa posameznika seznaniti z namenom pridobivanja. V skladu z
18. členom Zakona o finančni upravi (ZFU; Uradni list RS, št. 25/14) ima FURS različne naloge, med njimi tudi odmera in obračun obveznih dajatev. V skladu s prvim odstavkom
19. člena ZFU uradna oseba pridobiva obvestila in podatke od oseb, ki bi lahko dale koristne podatke za opravljanje nalog finančne uprave, določene z zakonom. Nadalje prvi odstavek
20. člena ZFU določa, da lahko uradna oseba zahteva od zavezanca in osebe, ki je dolžna sporočiti podatke in predložiti listine, dokumente in druge zapise, da ji v določenem roku in na določenem kraju sporoči kateri koli podatek ali predloži dokument, potreben za opravljanje nalog finančne uprave, ne glede na obliko, v kateri se nahaja. Oseba na zahtevo uradne osebe sporoči tudi podatke o osebi, pooblaščeni za opravljanje poslov, pri opravljanju katerih naj bi bila storjena kršitev predpisov. Uradna oseba pa lahko na podlagi drugega odstavka istega člena zahteva podatke, listine, dokumente in druge zapise tudi od vsake druge osebe, ki ni zavezanec, je pa posredno ali neposredno udeležena v poslu, ali vsake druge osebe, ki z zahtevanimi listinami in dokumenti razpolaga ali bi te listine in dokumente morala imeti. Glede zbiranja podatkov
21. člen ZFU nadalje splošno določa, da finančna uprava zbira osebne in druge podatke pri opravljanju z zakoni in drugimi predpisi določenih nalog neposredno od oseb, na katere se ti podatki nanašajo, od drugih oseb, ki razpolagajo s podatki, in iz obstoječih zbirk podatkov. FURS je v skladu z
22. členom Zakona o davčnem postopku (ZDavP-2; Uradni list RS, št. 13/11 – UPB, s spremembami in dopolnitvami) tudi davčni organ in lahko v skladu z
23. členom ZDavP-2 postopa po tem zakonu, kadar odloča o obveznostih in pravicah posameznikov v postopku pobiranja davka. V četrtem odstavku
24. člena ZDavP-2, v katerem je urejeno načelo dolžnosti dajanja podatkov, je določeno, da so organi in druge osebe, ki razpolagajo s podatki, pomembnimi za odločanje v davčnih zadevah, dolžni te podatke posredovati davčnemu organu brezplačno. Načelo dolžnosti dajanja podatkov je izpeljano tudi v
25. členu ZDavP-2, na podlagi katerega morajo osebe, ki so z zakonom pooblaščene, da vzpostavijo, vodijo in vzdržujejo zbirke podatkov, registre ali druge evidence, davčnemu organu dati na razpolago vse podatke, potrebne za pobiranje davkov, ter omogočiti davčnemu organu vpogled v svojo dokumentacijo. Na razpolago morajo dati tudi vso dokumentacijo, ki jo vodijo, in zbirke podatkov, ki jih vodijo v obliki registrov, evidenc ali zbirov podatkov, ne glede na to, ali so z zakonom predpisane kot obvezne, in informacije, ki so pomembne pri odmeri davka. Iz navedenega izhaja, da ima FURS dokaj široka pooblastila, da od organov in drugih oseb zahteva podatke in vso dokumentacijo, ki jo ti vodijo in je pomembna za opravljanje nalog FURS. Ob tem pa IP poudarja, da mora FURS izkazati, da so zahtevani podatki potrebni za odločanje v konkretni zadevi iz njegove pristojnosti. IP namreč opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izpolnitev posamičnega zakonitega namena obdelave. To pomeni, da osebnih podatkov ni dopustno zbirati »na zalogo«, ampak je pridobivanje posameznih vrst osebnih podatkov in njihova uporaba dopustna v primeru jasno izkazane pravne podlage, torej če so ti osebni podatki (v konkretnem primeru EMŠO) potrebni za konkreten davčni postopek ali za druge zakonite namene. FURS bi torej v konkretnem primeru lahko pridobil EMŠO od izplačevalca vašega dohodka, če bi bili za obdelavo (posredovanje) tega vašega osebnega podatka izpolnjeni navedeni pogoji. IP ob tem ponovno poudarja, da je navedeno mnenje neobvezno, oblikovano glede na razpoložljive informacije, o ustreznosti obdelave osebnih podatkov v konkretnem primeru pa lahko presoja le v okviru konkretnega inšpekcijskega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera, pri čemer, kot že izpostavljeno, IP v okviru posameznega postopka ne sme vsebinsko posegati v uradne postopke, ki jih vodijo drugi organi. IP pojasnjuje še, da Splošna uredba o varstvu podatkov v
26. členu ureja pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki. Tako v prvem odstavku določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije: namene obdelave; vrste zadevnih osebnih podatkov; uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacija; kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi; pravico do vložitve pritožbe pri nadzornem organu; kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom; obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22