Številka: 07100-43/2022/20
Datum: 18. 5. 2023
Informacijski pooblaščenec po informacijski pooblaščenki Mojci Prelesnik (v nadaljevanju IP), na podlagi 77. člena v zvezi s 15. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), na podlagi 34. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2) o pritožbi … (v nadaljevanju prosilka) z dne 29. 12. 2022, zoper zavrnilno odločbo … (v nadaljevanju upravljavec), št. …, v zadevi dostopa do osebnih podatkov izdaja naslednjo
O D L O Č B O:
1. Ugotovi se, da upravljavec glede prosilkine zahteve za dostop do osebnih podatkov z dne 15. 2. 2022 s svojo odločbo št. … ni kršil 15. člena Splošne uredbe na način, da bi neutemeljeno zavrnil prosilkino zahtevo za dostop do osebnih podatkov z dne 15. 2. 2022.
2. Zahtevi prosilke za pregled spisa zadeve v delu, ki se nanaša na posredovanje prilog dokumenta upravljavca št. …, se ugodi. Prosilki dokumente posreduje IP prek varnega odložišča velikih datotek Ministrstva za javno upravo, o čemer bo obveščena s posebnim dopisom, po vročitvi te odločbe strankama.
3. Posebni stroški v tem postopku niso nastali. Prosilka in upravljavec sama nosita svoje stroške postopka.
O b r a z l o ž i t e v:
Prosilka je 15. 2. 2022 pri upravljavcu vložila zahtevo za dostop do lastnih osebnih podatkov, s katero je prosila, da ji upravljavec po e-pošti oz. v e-predal eDavki v e-obliki na podlagi 15. člena Splošne uredbe omogoči dostop do osebnih podatkov ter posreduje informacije o obdelavi njenih podatkov. Podrobneje je prosilka opredelila, da želi seznanitev in dostop v obliki izpisov - kopij do podatkov in evidenc iz naslednjih področij dela FURS: davčni register, prispevki za socialno varnost, dohodnina, davčni nadzor in inšpekcija, obračuni davčnega odtegljaja, mednarodna izmenjava, plačevanje in izvršba.
Upravljavec je (po postopku zaradi molka, ki ga je vodil IP v zadevi št. 07101-15/2022) o zahtevi prosilke odločil z odločbo št. … (v nadaljevanju izpodbijana odločba), s katero je zahtevo prosilke za posredovanje obračunov REK zavrnil.
Po pritožbi prosilke z dne 3. 10. 2022 zoper odločbo št. … je IP izdal odločbo št. 07100-33/2022/20 z dne 9. 12. 2022, s katero je odločbo upravljavca odpravil ter zadevo vrnil upravljavcu v ponovno odločanje z napotilom, da popolnoma ugotovi dejansko stanje glede na zahtevo prosilke.
Upravljavec je v ponovljenem postopku izdal odločbo št. … ter prosilki posredoval izpis vseh iREK-1 obrazcev, ki se nanašajo nanjo (dne 15. 12. 2022), nato pa je odločal še o zahtevi za posredovanje zbirnih REK obrazcev, za katero je odločil, da ni utemeljena. Upravljavec je pojasnil, da je REK obrazec sestavljen iz zbirnega dela in individualnih podatkov po posameznem prejemniku dohodka (individualni REK obrazec). Medtem ko so bili podatki iz individualnih REK obrazcev prosilki že posredovani, pa za zbirne REK obrazce po presoji upravljavca velja, da ne gre za osebne podatke prosilke, ampak za podatek o davčnih obveznostih pravne osebe, ki hkrati predstavljajo tudi davčno tajnost. Zbirni REK vsebuje poleg podatkov, potrebnih za določitev davčne obveznosti plačnika davka, tudi podatek o številu oseb, za katere je prikazan obračun davčnih odtegljajev, ne pa individualnih (osebnih) podatkov – ti so prikazani v individualnem iREK obrazcu. Ker zbirni REK obračuni, ki jih zahteva prosilka, po presoji upravljavca, niso osebni podatki prosilke, temveč podatki pravne osebe, niso podani pogoji za posredovanje prosilki, zaradi česar je upravljavec zavrnil zahtevo prosilke.
Prosilka je zoper izpodbijano odločbo dne 29. 12. 2022 pri IP vložila pritožbo. Navedla je, da ji je upravljavec posredoval le datoteko z imenom …, ki vsebuje tabelo obsega A1: N249 na listu Napovedi(32). Navedeni tabelarični prikaz po zatrjevanju prosilke niso REK obrazci, kot jih je zahtevala dne 15. 2. 2022. Nadalje je prosilka zapisala, da se njena zahteva ni glasila zgolj na posamezne podatke na obračunih REK, ampak ponovno vsi REK obrazci. Prosilka je še navedla, da FURS zavaja z imeni lastnih vlog, predpisanih s strani FURS, tj. vloga za izpis podatkov o plačanih prispevkih iz 21. člena Zakona o davčnem postopku (iREK-21) in zahtevami in neposredovanimi REK obrazci na podlagi vloge za seznanitev z lastnimi osebnimi podatki z dne 15. 2. 2022.
IP je na podlagi drugega odstavka 239. člena Zakona o splošnem upravnem postopku (ZUP) pritožbo prosilke z dopisom št. 07100-43/2022/2 z dne 3. 1. 2023 odstopil upravljavcu, hkrati pa ga je pozval, da priloži vse dokumente zadeve ter določena pojasnila, potrebna za odločanje v postopku.
Upravljavec je z dopisom št. … kot dovoljeno, pravočasno in vloženo po upravičeni osebi odstopil pritožbo prosilke v pristojno reševanje IP. Dopisu je upravljavec priložil kopijo dokumentov, ki jih je posredoval prosilki dne 15. 12. 2022 ter kopije zbirnih REK obrazcev za izplačevalce, ki jih je navedel v odločbi (po en REK za posameznega izplačevalca). Upravljavec je glede na zaprosilo IP v dopisu št. 07100-43/2022/2 z dne 3. 1. 2023 dodatno pojasnil, da obliko obračuna davčnega odtegljaja predpiše minister, pristojen za finance. Za izplačila dohodkov do vključno 31. 12. 2022 je veljal Pravilnik o vsebini in obliki obračuna ter o načinu predložitve davčnemu organu, ki je določal, da je obračun davčnih odtegljajev (REK obrazec) sestavljen iz zbirnih podatkov ter podatkov, ki so izkazani individualno po davčnem zavezancu. Tako pravilnik kot Zakon o davčnem postopku določata obvezno oddajo REK obrazcev prek sistema eDavki, zato oblika obrazca ni bila objavljena s Pravilnikom. Glede na navedeno individualni REK obrazci niso samostojen davčni obračun, ampak obvezna priloga k obračunu davčnega odtegljaja – REK obrazca za izplačila od leta 2008 dalje, ki ga ne predloži prejemnik dohodka niti ga ne kreira FURS, temveč ga predloži izplačevalec dohodka. Upravljavec se je opredelil do pritožbene navedbe prosilke, da je FURS posredoval le datoteko z imenom "…", kar pa niso zahtevani REK obrazci. Upravljavec je v zvezi s tem potrdil, da (zbirni) REK obrazci niso posredovani, in sicer iz razlogov, navedenih v odločbi z dne 19. 12. 2022. Glede navedbe, da naj bi FURS zavajal z imeni lastnih vlog, pa je upravljavec zapisal, da mu ni razumljiva. Upravljavec je dopisu priložil obračun davčnih odtegljajev od dohodkov po ZDoh-2, ki niso dohodki iz delovnega razmerja, za naslednje izplačevalce: …. Upravljavec je dodal še elektronsko sporočilo prosilki z dne 15. 12. 2022, v katerem je upravljavec navedel, da prosilki posreduje izpis iREK za njeno davčno številko skladno z določbo IP št. 07100-33/2022/20 z dne 9. 12. 2022, omenjene izpise pa je tudi priložil.
IP je prosilki in upravljavcu vročil zapis bistvenih ugotovitev v postopku št. 07100-43/2022/8 z dne 6. 3. 2023, s katerim ju je tudi pozval, da se v roku 7 dni izjavita o vseh dejstvih in okoliščinah, ki so pomembne za izdajo odločbe, kot to izhaja iz drugega odstavka 32. in drugega odstavka 33. člena ZVOP-2.
Na poziv št. 07100-43/2022/8 z dne 6. 3. 2023 se je odzvala samo prosilka in dne 28. 3. 2023 poslala svoj odziv. V dopisu je postavila vprašanje, in sicer (povzeto), ali se navedba upravljavca nanaša na datoteko Excel z imenom "…". Prosilka je svojemu dopisu priložila kopijo delovne knjižice. Prosilka je 29. 3. 2023 poslala ponoven dopis, v katerem je navedla pomislek glede zakonitosti postopka IP po določbah ZVOP-2 (prijavitelj s posebnim položajem), zapisala pa je tudi, da z dokazi zavrača navedbe upravljavca in IP o t.i. ''zbirnih REK obrazcih'', ki naj ne bi vsebovali osebnih podatkov. V prilogi je prosilka posredovala dokaz o nasprotnem, in sicer priponki ….
IP je s pozivom št. 07100-43/2022/11 z dne 30. 3. 2023 nadzorovanega subjekta (upravljavca) pozval za določena pojasnila, predvsem v smeri, ali posredovani podatki v obliki excel tabele dejansko vsebujejo vse zahtevane podatke. IP je pozval upravljavca tudi za njegov odziv na navedbe prosilke, da tudi t.i. zbirni REK obrazci vsebujejo osebne podatke prosilke, kot to izhaja iz njenih prilog k vlogi z dne 29. 3. 2023. Upravljavec je odgovoril z dopisom št. …, in sicer je poudaril, da 57. člen Zakon o davčnem postopku določa obveznost plačnikov davka, da obračun davčnega odtegljaja predložijo davčnemu organu prek sistema eDavki. Plačniki davka lahko podatke vnesejo ročno, za kar je na voljo v sistemu eDavki vnosna maska. Praviloma pa plačniki davka podatke pošiljajo v formatu XML in jih davčni organ ustrezno upošteva v davčnih evidencah. Podatki, ki so jih plačniki davka v formatu XML poročali davčnemu organu za prosilko so razvidni iz priložene excel tabele, pri čemer so v tabeli izpisana vsa polja iREK obrazca. Upravljavec je dodal, da je iz podatkov REK obrazca, posredovanega v formatu xml, na eDavkih (v pomoč zavezancem) oblikovan tudi shematičen prikaz zbirnega REK obrazca in vseh iREK obrazcev. Za obdobje, ko so podatki oblikovani v obliki iREK (od 2010 dalje) je upravljavec izpise iREK poslal v prilogi. Za obdobje pred 1.1.2010 pa na eDavkih upravljavec nima oblikovanega shematičnega prikaza iREK obrazca in se podatki za leto 2009 tako lahko pridobijo zgolj v excel obliki, ki jo je upravljavec priložil. Upravljavec je še navedel, da zbirnega dela REK obrazca (REK-1, REK-1b, REK-2), katerega priloga so posamezni posredovani iREK obrazci, ne pošilja, saj se podatki na zbirnem delu nanašajo na skupne obveznosti delodajalca in predstavljajo davčno tajnost.
Prosilka je na IP naslovila še tri dopise. V dopisu z dne 16. 4. 2023 je navedla, da tabela zloženih številk v xls formatu datoteke ni odgovor na zahtevo za seznanitev z lastnimi osebnimi podatki z dne 15. 2. 2022, saj se vsi dokumenti v eDavkih ob podpisu žigosajo s časovnim žigom, kar onemogoča ponarejanje časa oddaje dokumenta. V dopisu z dne 24. 4. 2023 je prosilka opozorila na obvestilo upravljavca, da v evidenci davčnega organa za vložnico ni evidentiranih vseh individualnih obrazcev REK za mesečne plače, kar pomeni, da delodajalec ni obračunal obveznih prispevkov v REK obrazcu in ga ni predložil davčnemu organu. Manjkajoči podatki se po evidenci davčnega organa nanašajo na plačo(e) za mesec oktober 2011. V dopisu z dne 25. 4. 2023 pa je prosilka IP zaprosila za posredovanje odziva upravljavca po pozivu IP št. 07100-43/2022/11 z dne 30. 3. 2023.
Ker je IP ocenil, da je dejansko stanje dovolj razčiščeno, ni izvedel drugih procesnih dejanj.
1. Postopek odločanja v nadzornem postopku
IP je v predmetnem nadzornem postopku postopal po določbah 30. do 35. člena ZVOP-2 (postopek na podlagi vloge prijavitelja s posebnim položajem). Za ta postopek je med drugim značilno, da IP postopa v skladu s preiskovalnimi in ureditvenimi pooblastili iz 58. člena Splošne uredbe o varstvu podatkov in 28. ter 29. člena ZVOP-2 ter v skladu s splošnimi pravili Zakona o splošnem upravnem postopku (Uradni list RS, št. 24/06 – UPB, s sprem. in dop.; v nadaljevanju ZUP).
Prvi odstavek 30. člena novega ZVOP-2 določa, da lahko posameznik, ki meni, da obdelava njegovih osebnih podatkov s strani upravljavca ali obdelovalca krši določbe Splošne uredbe, tega zakona ali drugih zakonov, ki urejajo obdelavo ali varstvo osebnih podatkov, ali krši določbe s temi zakoni povezanih podzakonskih predpisov ali splošnih aktov za izvrševanje javnih pooblastil (v nadaljnjem besedilu: prijavitelj s posebnim položajem), pri nadzornem organu vloži zahtevo v skladu z zakonom, ki ureja splošni upravni postopek, s katero zahteva nadzor zakonitosti obdelave svojih osebnih podatkov (v nadaljnjem besedilu: prijava), lahko pa v njej predlaga tudi potrebno ukrepanje v skladu s prejšnjim členom v primeru ugotovljenih kršitev, tako da se doseže vzpostavitev zakonitega stanja. Drugi odstavek istega člena ZVOP-2 določa, da vsaka stranka krije svoje stroške postopka.
V konkretnem primeru je prosilka sicer še pred uveljavitvijo ZVOP-2 vložila pritožbo zoper izpodbijano odločitev upravljavca, IP pa postopek nadaljuje po uveljavitvi ZVOP-2 (in sicer 26. 1. 2023) po novi ureditvi. Pritožba prosilke z dne 29. 12. 2022 se tako v smislu prvega odstavka 30. člena ZVOP-1 sedaj obravnava kot zahteva za nadzor zakonitosti obdelave osebnih podatkov, ki se nanašajo na prosilko. Nadzor namreč zajema presojo skladnosti s celotno Splošno uredbo v smislu prvega odstavka 77. člena Splošne uredbe, ki določa, da ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico, da vloži pritožbo pri nadzornem organu, če meni, da obdelava osebnih podatkov v zvezi z njim krši to uredbo. Možna kršitev Splošne uredbe je tudi kršitev pravice do dostopa do lastnih osebnih podatkov kot jo opredeljuje prvi odstavek 15. člena Splošne uredbe.
Prosilka torej do določene mere s svojim zahtevkom lahko izbira postopek pred IP glede na vsebino svoje vloge, naslovljene na IP, vendar je IP pri tem vezan na določbe obstoječe zakonodaje, zato po vsebini zahtevka določa procesno vodstvo ter uporablja svoje pristojnosti v tistem postopku, kot mu ga nalagajo določbe zakona. Slednje je opredeljeno v zgornjem odstavku te odločbe in utemeljuje vodenje postopka po 2. oddelku 4. poglavja ZVOP-2.
IP kot nadzorni organ po izvedenem postopku nadzora skladno s prvim odstavkom 34. člena izda odločbo, ki poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje:
1. ugotovitev o obstoju ali neobstoju zatrjevane kršitve obdelave osebnih podatkov prijavitelja s posebnim položajem v trenutku vložitve prijave;
2. ukrepe, odrejene upravljavcu ali obdelovalcu glede obdelave osebnih podatkov, ki se nanašajo na prijavitelja s posebnim položajem, in rok za njihovo izvedbo;
3. dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem.
2. Splošno o pravici posameznika do dostopa do lastnih osebnih podatkov
Pravica posameznika do seznanitve z lastnimi osebnimi podatki je temeljna človekova pravica, določena v tretjem odstavku 38. člena Ustave Republike Slovenije (Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami), ki predpisuje, da se ima vsakdo pravico seznaniti z zbranimi osebnimi podatki, ki se nanašajo nanj. Ta pravica posameznika je konkretizirana v prvem odstavku 15. člena Splošne uredbe, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov ter določene konkretne informacije v zvezi z obdelavo osebnih podatkov. V konkretnem primeru je prosilka v zahtevi uveljavljala pravico do dostopa do osebnih podatkov iz omenjenega 15. člena Splošne uredbe.
3. Presoja utemeljenosti pritožbe v konkretnem primeru
Uvodoma IP ugotavlja, da iz postopkov v zadevi št. 07101-15/2022 in št. 07100-33/2022 sledi, da od vseh zahtevanih osebnih podatkov in informacij o obdelavi prosilka zahteva "le" še REK obrazce (tako izhaja npr. iz pritožbe prosilke z dne 29. 12. 2022 v tej zadevi ter pritožbe prosilke z dne 3. 10. 2022 v zadevi, ki jo je IP vodil pod št. 07100-33/2022). Prosilka vztraja pri pridobitvi »vseh« REK obrazcev, ki se nanašajo na njo.
a. Dostop do individualnih REK obrazcev
IP ugotavlja, da je upravljavec prosilki z elektronskim sporočilom z dne 15. 12. 2022 posredoval izpis iREK za njeno davčno številko skladno z določbo IP št. 07100-33/2022/20 z dne 9. 12. 2022. IP se je o tem prepričal z vpogledom v priponko, ki jo je upravljavec poslal na prosilkin e-naslov, prosilka pa prejema omenjene priponke ni zanikala.
Nadalje je treba ugotoviti, da je prosilka v pritožbi navedla, da prejeti tabelarični prikaz niso REK obrazci, kot jih je zahtevala dne 15. 2. 2022. Prosilka je v odgovorih na zapis bistvenih ugotovitev IP št. 07100-43/2022/8 z dne 6. 3. 2023 vztrajala, da ni prejela vseh zahtevanih podatkov, IP pa je pri tem ugotovil, da prosilka nasprotuje temu, na kakšen način so podani prejeti podatki (torej tabelarični prikaz v nasprotju s prikazom REK obrazcev, kot so prikazani v sistemu e-Davki). Prosilka trdi, da to niso zahtevani REK obrazci.
IP ugotavlja, da po določbah Splošne uredbe posameznik nima pravice izbirati načina prikaza zahtevanih podatkov (kot na primer v tem primeru prek prikazne »maske«, kot je dostopna v sistemu e-Davki), temveč ima skladno z 12. in 15. členom Splošne uredbe pravico do samih podatkov. Kot izhaja iz Smernic Evropskega odbora za varstvo podatkov (v nadaljevanju: EOVP) št. 01/2022 o pravicah posameznika – pravici do dostopa, lahko upravljavec poda podatke v prepisu ali v zbirni obliki, če so pri tem vključene vse informacije in to ne spreminja ali preoblikuje vsebine podatkov. Bistveno pri tem je, da posredovani zahtevani podatki posamezniku omogočijo seznanitev z obdelavo in preverjanje zakonitosti obdelave njegovih osebnih podatkov. Skladno z določbami Splošne uredbe je torej pravilno, da upravljavec izbere način prikaza osebnih podatkov, dokler s tem zadosti namenu pravice posameznika do dostopa do lastnih osebnih podatkov in če so pri tem vsebovani vsi zahtevani podatki, do katerih upravljavec prosilcu odobri dostop.
IP je natančno preučil dokumente z osebnimi podatki prosilke, ki jih je upravljavec prosilki posredoval dne 15. 12. 2022 (tabelarični prikaz). Navedeno je IP primerjal še s podatki, ki jih je upravljavec poslal zgolj IP-ju z dopisom št. … (shematični prikaz iREK obrazca). Upravljavec je sicer pojasnil, da pošilja takšne podatke v shematičnem prikazu iREK obrazca zgolj od 1. 1. 2010, saj za prejšnja obdobja nima takšnega shematičnega prikaza. Vendar se je IP s primerjavo podatkov, poslanih prosilki v tabelarični obliki dne 15. 12. 2022, ter podatkov, prejetih z dopisom upravljavca št. … v shematični obliki, prepričal, da gre za »iste« podatke prosilke in je tako treba ugotoviti, da je upravljavec prosilki s posredovanjem tabelaričnih podatkov posredoval vse podatke, ki se nahajajo na shematičnem prikazu iREK obrazcev oziroma še nekoliko več podatkov, kot jih je zapisanih v shematičnem prikazu. IP je tako preveril, da so v obeh prikazih (tabelaričnem in shematičnem) izpolnjene iste postavke (primerjava po 1. 1. 2010), torej postavke, kot so A004, A005, VD REK, VD DOH, bruto dohodek, P01, P02, P03, P04 idr. V tabelaričnem prikazu, ki ga je prejela prosilka, je celo nekoliko več podatkov kot v shematičnem prikazu (na primer davčna številka izplačevalca, naziv izplačevalca itd.), ki pa jih je sicer upravljavec IP-ju v dopisu št. … priložil v ločenem dokumentu z naslovom »Napovedi (60)« v obliki excel dokumenta.
Iz vsega navedenega izhaja, da je upravljavec prosilki omogočil seznanitev z njenimi osebnimi podatki, ki se sicer lahko nahajajo v shematičnem prikazu, lahko pa tudi v tabelarični obliki. Vsebina podatkov se ujema, zato je IP ugotovil, da je bilo zahtevi prosilke za dostop do podatkov, ki se nahajajo v iREK obrazcih (čeprav ne v prikazu iREK obrazca) ugodeno. Kot že navedeno in utemeljeno, pa prosilka po 12. in 15. členu Splošne uredbe nima pravice izbirati načina prikaza podatkov, temveč podatke same.
a. Dostop do zbirnih REK obrazcev
Ker IP nima razloga za dvom, da je upravljavec prosilki posredoval vse osebne podatke, ki se sicer nahajajo v individualnih REK obrazcih, je ostalo odprto le še vprašanje posredovanja zbirnih REK obrazcev. Tudi prosilka je v pritožbi z dne 29. 12. 2022 navedla, da njena zahteva z dne 15. 2. 2022 niso bili le posamezni podatki na obračunih REK, ampak ponovno "vsi REK obrazci."
V nadaljevanju se IP torej opredeljuje še do posredovanja zbirnih REK obrazcev, saj vsi REK obrazci (kar je vsebina prosilkine zahteve) sestojijo iz individualnih obrazcev (podatke iz teh je prosilka prejela dne 15. 12. 2022) ter zbirnih REK obrazcev (posredovanje le-teh je upravljavec zavrnil).
IP je s preučitvijo upravljavčevih navedb ter z vpogledom v same zbirne REK obrazce, ki jih je upravljavec v tem postopku posredoval IP-ju, ugotovil, da se v zbirnih REK obrazcih, ki jih je posredoval upravljavec, ne nahajajo osebni podatki prosilke. Prosilka je sicer predložila priponko …, iz katere naj bi izhajalo, da se tudi v zbirnih REK obrazcih nahajajo osebni podatki prosilke. Vendar IP ugotavlja, da gre pri tem očitno za prikazno shemo, ki je na voljo delodajalcu oziroma izplačevalcu dohodka, po pojasnilih upravljavca pa sam ne vodi »zbirnih REK obrazcev« na način, da bi ti vsebovali individualne osebne podatke posameznikov. Kot je bilo že pojasnjeno, je namen pravice do dostopa do osebnih podatkov seznanitev s samimi podatki, ne pa z določenim (s strani prosilca zahtevanim) načinom prikaza osebnih podatkov.
Prvi odstavek 4. člena Splošne uredbe določa, da pojem „osebni podatki“ pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom (v nadaljnjem besedilu: posameznik, na katerega se nanašajo osebni podatki); določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.
V primeru zbirnih REK obrazcev, kot jih opredeljuje upravljavec, pa ne moremo govoriti o osebnih podatkih prosilke, temveč gre za podatke pravnih oseb, kot je pravilno navedel že upravljavec. Osebnih podatkov prosilke v zbirnih REK obrazcih ni, saj se na podlagi teh podatkov nikakor ne da določiti posameznika, temveč gre za zbrane oziroma zbirne podatke mnogih posameznikov, pri čemer se enega samega ne da ne identificirati ne na podlagi teh podatkov kar koli sklepati o njegovih lastnostih.
Za zaključek IP še ugotavlja, da je prosilka upravljavcu očitala "zavajanje" z imeni lastnih vlog (npr. vloga za izpis podatkov o plačanih prispevkih iz 21. člena Zakona o davčnem postopku (iREK-21)), vendar tudi IP-ju ni jasna natančna narava oziroma vsebina omenjenega pritožbenega očitka. Res je sicer, da je pri upravljavcu mogoče vložiti zahtevo za dostop do lastnih osebnih podatkov, hkrati pa prek sistema eDavki vložiti ustrezno vlogo, s pomočjo katere lahko posameznik pridobi podatke iz iREK obrazcev. IP ugotavlja, da je bila prosilka uspešna z zahtevo z dne 15. 2. 2022 za dostop do lastnih osebnih podatkov, ki se nahajajo v iREK obrazcih, obenem pa iz zadeve št. 07100-33/2022 izhaja, da naj bi pridobila dostop do podobnih podatkov tudi prek vlog v sistemu eDavki (kar sicer ni predmet tega pritožbenega postopka). V konkretnem postopku je sicer prišlo do vprašanja, ali podatki v tabelaričnem prikazu predstavljajo osebne podatke, ki jih je prosilka zahtevala iz REK obrazcev, kar pa ni vprašanje poimenovanja dokumentov, temveč vprašanje načina / formata / prikaza osebnih podatkov, do česar se je IP opredelil v 3.a točki obrazložitve te odločbe.
Sklepno IP ugotavlja, da je prosilka podatke iz iREK obrazcev, ki se nanašajo nanjo, že prejela, do zbirnih REK obrazcev pa po določbah 15. člena Splošne uredbe ni upravičena, saj ne gre za njene osebne podatke.
Glede na vse navedeno je IP ugotovil, kot izhaja iz 1. točke izreka te odločbe, in sicer, da upravljavec glede prosilkine zahteve za dostop do osebnih podatkov z dne 15. 2. 2022 s svojo odločbo št. … ni kršil 15. člena Splošne uredbe na način, da bi neutemeljeno zavrnil prosilkino zahtevo z dne 15. 2. 2022.
4. Dovoljen obseg pregleda spisa zadeve
Prosilka je dne 25. 4. 2023 v zadevi zahtevala posredovanje vsega prejetega po pozivu IP št. 07100-43/2022/11 z dne 30. 3. 2023 upravljavcu. IP je prosilki z dopisom št. 07100-43/2022/17 z dne 9. 5. 2023 posredoval dopis upravljavca št. … ter zapisal, da bo o dostopu do samih podatkov, ki so predmet prosilkine zahteve z dne 15. 2. 2022, odločeno z odločbo. Prosilka je nato z dopisom z dne 10. 5. 2023 še konkretno zahtevala posredovanje prilog dokumentov upravljavca iz dopisa št. ….
Točka 3. prvega odstavka 34. člena ZVOP-2 določa, da odločba v postopku nadzora po določbah tega oddelka vsebuje tudi dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem.
IP je sicer v tej odločbi ugotovil, da je prosilka po svoji zahtevi z dne 15. 2. 2022 že prejela vse podatke, do katerih je bila upravičena v skladu z 12. in 15. členom Splošne uredbe. Vendar pa IP ugotavlja tudi, da ni razlogov, da se prosilki ne bi omogočil vpogled v spis v delu, ki se nanaša na podatke, ki jih je upravljavec posredoval tekom tega nadzornega postopka kot prilogo dopisa št. …. Gre za shematični prikaz iREK obrazcev ter dokument z naslovom »Napovedi (60)« v obliki excel dokumenta. Po presoji IP posredovanje zahtevanih prilog ne bi škodilo izvedbi tega postopka, dokumenti ne vsebujejo osebnih podatkov tretjih oseb, prav tako ne obstoji noben drug razlog za zavrnitev pregleda omenjenih dokumentov v zadevi. IP je zato odločil kot izhaja iz 2. točke izreka te odločbe, pri čemer IP posreduje zahtevane dokumente prek varnega odložišča velikih datotek Ministrstva za javno upravo, o čemer bo obveščena s posebnim dopisom, in sicer po vročitvi te odločbe strankama.
5. Stroški
Posebni stroški v tem nadzornem postopku niso nastali (3. točka izreka odločbe). Prosilka in upravljavec nosita svoje stroške, ki so jima morebiti nastali zaradi postopka (drugi odstavek 30. člena ZVOP-2).
Ta odločba je v skladu z določbami Zakona o upravnih taksah (ZUT) oproščena plačila upravne takse.
Pouk o pravnem sredstvu:
Zoper to odločbo ni dovoljena pritožba, pač pa je dopustna tožba, ki se vloži v 30 dneh po prejemu te odločbe na Upravno sodišče v Ljubljani, Fajfarjeva 33, Ljubljana, pisno neposredno pri navedenem sodišču ali priporočeno po pošti ali ustno na zapisnik. Če je tožba poslana priporočeno po pošti, se šteje, da je prispela pravočasno, če je bila oddana na pošto zadnji dan roka za vložitev tožbe. Tožba z morebitnimi prilogami se vloži najmanj v treh izvodih. Tožbi je treba priložiti tudi to odločbo v izvirniku ali prepisu ter plačati sodno takso.
Postopek vodila:
…
državna nadzornica za varstvo
osebnih podatkov
Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka
Vročiti:
- … (osebna vročitev po ZUP, v varni elektronski predal);
- … (osebna vročitev po ZUP).
[2] Kot zgoraj, odst. 152.
