Informacijski pooblaščenec (v nadaljevanju: IP) je prejel zaprosilo za mnenje. Prosilec navaja, da šola zahteva, da se v pogodbo o prehrani vpiše davčna številka obeh staršev in otroka. Prosilec ne vidi razloga, da bi šola potrebovala ta podatek, tudi na šoli prosilcu tega niso znali zadovoljivo pojasniti. Prosilec navaja, da bi razumel, da se obdeluje davčna številka npr. v primeru subvencionirane prehrane (pa še v tem primeru se upravičenost verjetno dokazuje preko CSD). Tako prosilec prosi za mnenje o upravičenosti zbiranja davčne številke za sklenitev pogodbe o prehrani.

* * *

Na podlagi informacij IP v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posreduje neobvezujoče mnenje v zvezi z vprašanjem.

IP meni, da šola skladno z določbami Zakona o šolski prehrani nima pravne podlage za obdelavo davčne številke staršev in otrok. Predlaga, da pregledate informacije o obdelavi osebnih podatkov, ki bi jih prosilcu šola kot upravljavec morala posredovati ob zbiranju osebnih podatkov oz. zahteva podatek o namenu obdelave v okviru pravice dostopa posameznika po 15. členu Splošne uredbe. Če bo prosilec na podlagi pojasnil menil, da gre za kršitev varstva osebnih podatkov, lahko pri IP vloži prijavo.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Pojasnjujejo, da mora za vsako obdelavo osebnih podatkov obstajati ustrezna pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe, in sicer:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem IP opozarja, da se točka (f) ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Na podobno vprašanje je IP že izdal nezavezujoče mnenje št. 07121-1/2023/1265 z dne 9. 10. 2023 (mnenja so dostopna s pomočjo iskalnika na www.ip-rs.si/vop). Kot izhaja iz mnenja, iz določbe 17. člena Zakona o šolski prehrani (Uradni list RS, št. 3/13, 46/14, 46/16 – ZOFVI-K in 76/23, ZŠolPre-1) ne izhaja, da bi lahko šola za namen organiziranja oz. subvencioniranja šolske prehrane v evidencah prijavljenih na šolsko prehrano zbirala davčne številke staršev (prav tako otrok, kot izhaja iz vprašanja). Zakonske podlage za zbiranje davčne številke v ta namen IP tudi ne najde v področni zakonodaji, npr. v Zakonu o osnovni šoli (Uradni list RS, št. 81/06 – uradno prečiščeno besedilo, 102/07, 107/10, 87/11, 40/12 – ZUJF, 63/13, 46/16 – ZOFVI-K in 76/23) ali v Zakonu o organizaciji in financiranju vzgoje in izobraževanja (Uradni list RS, št. 16/07 – uradno prečiščeno besedilo, 36/08, 58/09, 64/09 – popr., 65/09 – popr., 20/11, 40/12 – ZUJF, 57/12 – ZPCP-2D, 47/15, 46/16, 49/16 – popr., 25/17 – ZVaj, 123/21, 172/21, 207/21, 105/22 – ZZNŠPP, 141/22, 158/22 – ZDoh-2AA in 71/23). Opozarjamo, da bi o zakonitosti konkretne obdelave osebnih podatkov lahko odločali zgolj v inšpekcijskem postopku. 

Priporočajo, da se pri upravljavcu pozanima, kakšen je namen oz. pravna podlaga za obdelavo osebnih podatkov. Izvaja lahko pravico dostopa do osebnih podatkov, skladno s 15. členom Splošne uredbe (prejme lahko podatek, ali upravljavec obdeluje osebne podatke prosilca, in če je temu tako, njihovo kopijo in nekatere informacije, med drugimi tudi namen obdelave osebnih podatkov)[1] oz. bi prosilcu moral upravljavec informacije o obdelavi osebnih podatkov, med drugim o namenu in pravni podlagi posredovati že ob pridobitvi podatkov prosilca na podlagi 13. člena Splošne uredbe.

V kolikor bo prosilec na podlagi pojasnjenega oz. pridobljenih informacij menil, da je v konkretnem primeru prišlo do nezakonite obdelave osebnih podatkov, lahko poda prijavo na IP, tudi z obrazcem »Enotna vloga zaradi kršitve varstva osebnih podatkov (Obrazec VOP prijava)«, ki je objavljen na povezavi: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. 

Celotno mnenje je na voljo TUKAJ.