Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vprašanje, zakaj je potrebno na pogodbo za šolsko prehrano poleg navedbe podatkov obeh staršev dopisati tudi davčno številko.
***
Na podlagi informacij IP v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posreduje nezavezujoče mnenje v zvezi z vprašanjem.
1. Za vsako obdelavo osebnih podatkov (npr. za zbiranje davčne številke) mora obstajati ustrezna pravna podlaga, ki jo mora že pred samo obdelavo upravljavec na lahko dostopen, jasen in razumljiv način predstaviti posameznikom.
2. IP-u ni poznana izrecna pravna podlaga, ki bi dovoljevala zbiranje davčnih številk za namene sklepanja pogodbe o šolski prehrani.
3. ZŠolPre-1 izrecno ne navaja, da bi bile davčne številke potrebne za organizacijo šolske prehrane, niti podatek o davčni številki ni naveden kot eden izmed podatkov, ki se vodi v evidenci šolske prehrane.
4. Popolno dejansko in pravno stanje v konkretnem primeru (obstoj morebitne druge področne zakonodaje glede na konkreten namen zbiranja takega podatka) bi IP lahko raziskal in preveril zgolj v inšpekcijskem postopku. Presojo vseh možnih situacij in namenov zbiranja, na splošno, v kontekstu izdaje nezavezujočega mnenja, ni mogoče povsem zajeti in celovito presojati.
O b r a z l o ž i t e v:
IP najprej pojasnjuje, da mora za zakonito obdelavo osebnih podatkov vedno obstajati ustrezna pravna podlaga. Pravne podlage za obdelavo osebnih podatkov ureja Splošna uredba o varstvu podatkov v 6. členu, ki med drugim določa, da je obdelava zakonita, če je podana privolitev posameznika; če je obdelava potrebna za izvajanje pogodbe; za izpolnitev zakonske obveznosti upravljavca; za zaščito življenjskih interesov posameznika; zaradi javnega interesa ali zakonitih interesov upravljavca (vse pod določenimi strogimi pogoji).
Za vsako obdelavo osebnih podatkov (npr. za zbiranje davčne številke) mora torej obstajati ustrezna pravna podlaga, ki jo mora že pred obdelavo osebnih podatkov natančno razčistiti upravljavec osebnih podatkov (npr. šola), ki mora biti zmožen tudi dokazati zakonitost obdelave osebnih podatkov.
V zvezi s tem IP še poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov IP ne more presojati, zato se ne more opredeliti do vprašanja, ali je zbiranje davčnih številk v opisanem primeru (nujno) potrebno in s tem zakonito ali ne. Presoja zakonitosti posameznih obdelav oziroma spoštovanje izvajanja zakonodaje s področja varstva osebnih podatkov se lahko opravlja zgolj v postopku inšpekcijskega nadzora, v katerem so zagotovljene vse varovalke in procesne pravice vsem udeležencem postopka.
Vsekakor pa velja, da kljub temu, da bi upravljavec za določeno obdelavo osebnih podatkov zagotovil ustrezno in zakonito pravno podlago, mora v skladu z načelom najmanjšega obsega podatkov obdelovati le toliko osebnih podatkov, kolikor je nujno potrebno za dosego posamičnega zakonitega namena obdelave. Načelo najmanjšega obsega podatkov tako določa, da morajo biti (pod pogojem, da obstaja pravna podlaga) osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.
IP pri tem še pojasnjuje, da Splošna uredba v 13. in 14. členu določa dolžnost upravljavca, da posameznikom (pred samo obdelavo) zagotovi informacije glede obdelave njihovih osebnih podatkov. Informacije se pa morajo v vsakem primeru posamezniku zagotoviti na način, določen v 12. členu Splošne uredbe in sicer tako, da so podane na lahko dostopen način in predstavljene v jasnem in razumljivem jeziku, ki je prilagojen glede na tipičnega uporabnika njihovih storitev.
Upravljavec osebnih podatkov mora namreč posameznikom ob pridobitvi njihovih osebnih podatkov podati informacije o obdelavi osebnih podatkov, kot npr. identiteta in kontaktni podatki upravljavca, namen in pravna podlaga za obdelavo osebnih podatkov, uporabniki osebnih podatkov, podatki o morebitnem prenosu osebnih podatkov, obdobje hrambe, itd. Več informacij o obveščanju posameznikov o obdelavi osebnih podatkov je dostopnih na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/obveščanje-posameznikov-o-obdelavi-osebnih-podatkov
Zgolj z vidika dosedanje prakse IP-ja in že izdanih mnenj na tem področju (glej zlasti mnenje IP št. 0712-3/2018/728 in 07120-1/2023/61) pojasnjujejo, da z vidika določb Zakona o šolski prehrani (Uradni list RS, št. 3/13, 46/14 in 46/16 – ZOFVI-K), v nadaljevanju: ZŠolPre-1) ne izhaja, da bi šole v evidencah prijavljenih na šolsko prehrano lahko zbirale davčne številke staršev (glej 17. člen ZŠolPre-1). Zakonsko podlago, ki bi takšno zbiranje dopuščalo pa ni videti niti v Zakonu o osnovni šoli (Uradni list RS, št. 81/06 – uradno prečiščeno besedilo, 102/07, 107/10, 87/11, 40/12 – ZUJF, 63/13, 46/16 – ZOFVI-K in 76/23), niti v Zakonu o organizaciji in financiranju vzgoje in izobraževanja (Uradni list RS, št. 16/07 – uradno prečiščeno besedilo, 36/08, 58/09, 64/09 – popr., 65/09 – popr., 20/11, 40/12 – ZUJF, 57/12 – ZPCP-2D, 47/15, 46/16, 49/16 – popr., 25/17 – ZVaj, 123/21, 172/21, 207/21, 105/22 – ZZNŠPP, 141/22, 158/22 – ZDoh-2AA in 71/23). Pri tem pa poudarjamo, da nam druge pravne podlage, ki bi takšno posredovanje izrecno dovoljevale, niso poznane, vseeno pa takšne situacije ne izključujemo. Popolno dejansko in pravno stanje v konkretnem primeru bi IP namreč lahko raziskal in preveril zgolj v inšpekcijskem postopku glede na konkretne namene in razloge zbiranja osebnih podatkov s strani upravljavca. Presojo vseh možnih situacij in namenov zbiranja, na splošno, v kontekstu izdaje nezavezujočega mnenja, ni mogoče povsem zajeti in celovito presojati. Vsekakor predlaga, da se prosilec skladno s 15. členom Splošne uredbe z vprašanjem, kaj točno je pravna podlaga oz. namen zbiranja davčne številke pri prijavi otroka na šolsko prehrano, obrne neposredno na upravljavca, ki te osebne podatke zahteva.
Celotno mnenje je na voljo TUKAJ.