Odprta zbornica za sodobno umetnost

Osebni podatki so v primeru samozaposlenih v kulturi nezaš?iteni, online javno dostopni na internetu in drugod, z njimi se tudi trguje.

Novinarki Rener Maša in Metka Pravst sta glede te problematike naslovili na javnost in Informacijsko pooblaš?enko odprto pismo, s katerim zbirata podpise podpore.

O tej priložnosti objavljam svojo korespodenco z Informacijsko pooblaš?enko glede nezaš?ite podatkov oz. njene komercialne eksploatiranosti. Problem, na katerega sem decembra 2006 opozorila Natašo Pirc Musar, je žal takrat ostal brez epiloga.

Korespodenca ima 4 poglavja!

1. Vprašanje za Informacijsko pooblaš?enko, 7. 12. 2006:

Tole je podjetje, ki na prostem trgu prodaja podatke o subjektih, ki izvajajo dejavnost: http://www.noviforum.si/ipis/
med drugimi tudi podatke o prihodkih iz prodaje itd., kot je razvidno iz vzorca ponudbe: http://www.noviforum.si/ipis/pic/sp.gif

Kateri zakon jim to omogo?a?
Kdo jim te podatke posreduje?
Kam gre dobi?ek?

Marija Mojca Punger?ar, samozaposlena v kulturi

2. Odgovor, 14. 12. 2006:

Spoštovani,
Informacijski pooblaš?enec (v nadaljevanju Pooblaš?enec) je dne 7. 12. 2006 prejel vaše esporo?ilo, sovaldi v katerem nas v zvezi s Poslovnim registrom Slovenije (IPIS) gospodarske družbe Registri Noviforum d.o.o. sprašujete:
- Kateri zakon jim to omogo?a?
- Kdo jim te podatke posreduje?
- Kam gre dobi?ek?

Ker lahko avtenti?no razlago posameznih dolo?b relevantnih predpisov daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. to?ke prvega odstavka 49. ?lena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05 – ZInfP; v nadaljevanju ZVOP-1) ter 2. ?lena Zakona o informacijskem pooblaš?encu (Uradni list RS, št. 113/05) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

1 Uvodno

1.1 Opredelitve pojmov
Uvodoma je potrebno pojasnilo o relevantni ureditvi v ZVOP-1, kjer v 6. ?lenu najdemo naslednje opredelitve pojmov, ki so pomembni za razumevanje vašega primera:
- Osebni podatek pomeni katerikoli podatek, ki se nanaša na dolo?eno ali dolo?ljivo fizi?no osebo, torej posameznika, na glede na obliko, v kateri je izražen. Posameznik pa je dolo?ena ali dolo?ljiva fizi?na oseba, na katero se nanaša osebni podatek, pri ?emer je dolo?ljiva, ?e se jo lahko neposredno ali posredno identificira s pomo?jo njenih identifikacijskih številk (npr. EMŠO, dav?na številka, številka zdravstvenega zavarovanja, telefonska številka, registrska številka vozila), ali s sklicevanjem na dejavnike, ki so zna?ilni za njeno fizi?no, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto (npr. zaposlitev, naslov, funkcijo, položaj ali status v dolo?enem subjektu, ipd.), pri ?emer na?in identifikacije ne povzro?a velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko ?asa;
- Obdelava osebnih podatkov je definirana kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ro?ni obdelavi del zbirke osebnih podatkov ali so namenjeni vklju?itvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, sporo?anje in podobno;
- Zbirka osebnih podatkov je vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogo?ajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen nacin, da dolo?i ali omogo?i dolo?ljivost posameznika.

Glede na dolo?bo prvega odstavka 9. ?lena ZVOP-1, se osebni podatki v javnem sektorju (npr. sodiš?e, ki vodi sodni register; Agencija RS za javnopravne evidence in storitve; Banka Slovenije; Zavod RS za zaposlovanje itd.) lahko obdelujejo, ?e obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, dolo?a zakon. Z zakonom se lahko dolo?i, da se dolo?eni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika.

ZVOP-1 v prvem odstavku 10. ?lena dolo?a, da se osebni podatki v zasebnem sektorju (kamor spadajo tudi bonitetna podjetja oziroma podjetja, ki tržijo storitve poslovnih registrov in podobnih zbirk podatkov) lahko obdelujejo, ?e obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, dolo?a zakon ali ?e je obdelava dolo?enih osebnih podatkov podana osebna privolitev posameznika.

1.2 Zbirka IPIS in na?in pridobivanja podatkov
Storitev IPIS predstavlja eno izmed komercialnih programskih orodij gospodarske družbe Registri Noviforum d.o.o., ki združuje vrsto podatkov, grupiranih v razli?ne kategorije (npr. registrski, statusnopravni, kontaktni, poslovni in podobni podatki), ki se nanašajo na poslovne subjekte (gospodarske družbe, samostojne podjetnike, fizi?ne osebe, ki opravljajo samostojne poklice in tudi negospodarske organizacije, državne organe in organe lokalne samouprave, izvajalce javnih služb, društva ipd.).

Obravnavana zbirka IPIS predstavlja tržno in zakonito dejavnost omenjenega podjetja, ki za ustvarjanje zbirke pridobiva del podatkov na neodpla?en, del podatkov pa na odpla?en na?in. Vsi podatki o poslovnih subjektih v IPIS-u so pridobljeni iz javnih virov npr. iz uradnih evidenc Agencije RS za javnopravne evidence in storitve, Statisti?nega urada RS, Zavoda RS za zaposlovanje, Dav?ne uprave RS, Banke Slovenije, nadalje iz Telefonskega imenika Slovenije, internetnih strani podjetij in podobno, pri ?emer se tako zbrani podatki obdelani na na?in, ki uporabnikom nudijo dodano vrednost.

V zgoraj omenjenih javnih evidencah in drugih javno dostopnih virih se zbirajo podatki na podlagi: zakonov, privolitev oseb oziroma prostovoljnega sporo?anja podatkov ali zakonitega združevanja (povezovanja) podatkov iz drugih obstoje?ih virov. Primeroma naštevamo nekaj izrecnih zakonskih podlag za vodenje posameznih uradnih zbirk:
- Poslovni register Slovenije (PRS) in Zbirko finan?nih podatkov FI-PO (podatki in kazalniki iz ra?unovodskih izkazov) vodi Agencija RS za javnopravne evidence in storitve (AJPES) na podlagi Zakona o pla?ilnem prometu;
- Register transakcijskih ra?unov (podatki o transakcijskih ra?unih in imetnikih transakcijskih ra?unov, ki so pravne osebe in zasebniki) vodi Banka Slovenije na podlagi Zakona o placilnem prometu;
- Statisti?ni poslovni register vodi Statisti?ni urad RS na podlagi Zakona o državni statistiki in uredbe ES;
- Seznam dav?nih zavezancev vodi Dav?na uprava RS na podlagi Zakona o davcni službi.

2. Utemeljitev dopustnosti zbiranja in nadaljnje obdelave podatkov

2.1 Ali gospodarski subjekti uživajo varstvo po ZVOP-1?
ZVOP-1 je sistemski in temeljni predpis s podro?ja varstva osebnih podatkov, ki dolo?a pravice, obveznosti, na?ela in ukrepe, s katerimi se prepre?ujejo neustavni, nezakoniti in neupravi?eni posegi v zasebnost in dostojanstvo posameznika pri obdelavi osebnih podatkov.

Glede na omenjeno podro?je, ki ga ureja ZVOP-1 in definicijo posameznika v istem zakonu (gl. poglavje 1.1), varstvo osebnih podatkov uživajo le posamezniki.

Ve?ine podatkov v zbirki IPIS, ki združuje podatke o poslovnih (gospodarskih) subjektih, ki nastopajo na trgu, ne moremo šteti za osebne podatke.

Omenjeno dejstvo pomeni, da javna objava poslovnih, bonitetnih in drugih podatkov o gospodarskih subjektih ne predstavlja posega v sistem varstva osebnih podatkov po ZVOP-1, saj gospodarski subjekti ne uživajo varstva osebnih podatkov kot ga vzpostavlja ZVOP-1.

2.2 Ali samostojni podjetniki uživajo varstvo podatkov, ki se nanašajo na njihov gospodarski podjem?
Samostojni podjetnik posameznik (s.p.) je, glede na glede na veljavno statusno pravno ureditev gospodarskih subjektov, fizi?na oseba, ki na trgu samostojno opravlja pridobitno dejavnost kot svojo izklju?no dejavnost. S.p. ni pravna oseba in tudi ni gospodarska družba, je pa nosilec gospodarskega podjema, »imetnik« podjetja in zato enakovreden gospodarski subjekt nasproti npr. gospodarskim družbam.

Skladno z opredelitvijo samostojnega podjetnika v to?ki 1.3, je potrebno lociti fizi?no osebo kot zasebnika oziroma kot gospodarski subjekt, ter isto fizi?no osebo, kot od gospodarskega podjema lo?enega posameznika.
Razlikovanje je utemeljeno tudi v Zakonu o pla?ilnem prometu (Uradni list RS, št. 110/06 – uradno pre?išceno besedilo; v nadaljevanju ZPlaP), ki v prvem odstavku 29. ?lena dolo?a, da so podatki o transakcijskih ra?unih pravnih oseb, zasebnikov v delu, ki se nanaša na njihovo dejavnost, in drugih imetnikov, ki niso fizi?ne osebe, javni in jih lahko pridobi vsak, ne da bi moral za to izkazati pravni interes. Ti podatki so dostopni tudi na spletni strani Banke Slovenije. Zasebnik je po definiciji 14. to?ke 3. ?lena ZPlaP fizi?na oseba, ki opravlja dejavnost v skladu z veljavnimi predpisi.

ZPlaP in pravna teorija torej razlikujeta med fizi?nimi osebami, ki niso zasebniki, in fizi?nimi osebami, ki so zasebniki; obeh vlog ni mogo?e ena?iti, ker gre za dve samostojni in neodvisni vlogi. (prim. tudi odlo?bi Ustavnega sodišca RS št. U-I-84/03 in št. U-I-298/04).

Na podlagi povedanega lahko zaklju?imo, da samostojni podjetnik uživa varstvo po dolo?bah ZVOP-1 in specialnih zakonov s podro?ja varstva osebnih podatkov samo kadar nastopa kot fizi?na oseba v smislu posameznika po ZVOP-1, torej kot ne-gospodarski subjekt.

2.3 Ali ustanovitelji in zastopniki gospodarskih družb in drugih gospodarskih subjektov uživajo varstvo osebnih podatkov, ki se nanašajo na njih?
?eprav IPIS ne vsebuje osebnih podatkov, zaradi lažjega razumevanja omenjamo še bonitetno zbirko iBON. Iz enakega razloga kot izhaja iz navedb v poglavju 2.1, velika ve?ina podatkov v bonitetni zbirki iBON ne predstavlja osebnih podatkov. Res pa je, da zbirka iBON vsebuje tudi nekatere osebne podatke v smislu ZVOP-1 (npr. osebna imena ustanoviteljev ter zastopnikov gospodarskih družb in s.p.-jev), vendar ti ne predstavljajo kategorije varovanih osebnih podatkov. Razlog je v tem, da pravni red (predvsem predpisi s podro?ja gospodarskega prava) tovrstne podatke v interesu pravne varnosti oziroma varnosti pravnega prometa opredeljuje kot javne.

Tako se po pravilih registrskega prava npr. v sodni register obvezno vpisujejo osebno ime in bivališ?e ustanoviteljev ter zastopnikov posameznih gospodarskih družb. Obdelava omenjenih osebnih podatkov ima v tem primeru zakonsko podlago (Zakon o gospodarskih družbah ter Zakon o sodnem registru) kot jo zahteva dolo?ba prvega odstavka 9. clena ZVOP-1 (glej poglavje 1.1).

Kljub zgornjim navedbam je potrebno opozoriti, da v okviru storitev kot sta IPIS in iBON osebnih podatkov ustanoviteljev in zastopnikov ni dopustno obdelovati na na?in, ki bi uporabnikom omogo?al iskanje po imenu in priimku. Že omenjeni Zakon o sodnem registru (Uradni list RS, št. 114/05 – UPB; ZSReg) v 50. ?lenu omejuje na?elo javnosti sodnega registra tako, da ne dopuš?a dostopa do podatkov, ki niso vezani na posamezen subjekt vpisa, cetudi je takšen dostop v centralni informatizirani bazi sodnega registra tehni?no (programsko) mogo?. Poleg tega ne dopuš?a iskanja po registru na na?in, ki bi posamezniku omogo?al ugotovitev ali je dolo?ena oseba ustanovitelj (družbenik) v subjektu vpisa in v katerem subjektu vpisa je ustanovitelj (družbenik) oziroma ali je dolo?ena oseba ?lan uprave ali nadzornega sveta v subjektu vpisa in v katerem subjektu vpisa je ?lan uprave ali nadzornega sveta. Res je, da ZSReg ne zavezuje neposredno bonitetnih podjetij, vendar je potrebno upoštevati, da gre pri vzpostavitvi in ažuriranju dela zbirk IPIS in iBON za t.i. ponovno uporabo informacij javnega zna?aja, ki jo ureja Zakon o dostopu do informacij javnega znacaja (ZDIJZ). Ponovna uporaba pa po dolo?bah 6. ?lena ZDIJZ ni mogo?a, kadar informacija javnega zna?aja (tudi ce je sicer objavljena v javni knjigi) vsebuje osebne podatke katerih razkritje bi pomenilo kršitev varstva osebnih podatkov v skladu z zakonom, ki ureja varstvo osebnih podatkov.

Osebni podatki iz javne knjige se lahko skladno z dolo?bami 38. ?lena Ustave RS ter dolo?bami 83. ?lena ZVOP-1 uporabljajo le v skladu z namenom, za katerega so bili zbrani ali se obdelujejo, ?e je zakoniti namen njihovega zbiranja ali obdelave dolo?en ali dolo?ljiv. Glede na to, da je sodni register javna knjiga, to pomeni, da se osebni podatki iz sodnega registra lahko uporabljajo le za namene, za katere so bili zbrani, to je za namene, ki so dolo?eni ali dolo?ljivi v ZSReg ali kakšnem drugem zakonu.

Dolo?be ZSReg dajejo gospodarski družbi Registri Noviforum d.o.o. ter ostali javnosti zakonsko podlago le za to, da si lahko iz navedenih zbirk pridobijo tiste podatke, za katere je dolo?eno, da so javni. Tako pridobljene podatke je ob upoštevanju dolo?b 16. ?lena ZVOP-1 za tem dovoljeno obdelovati le za dolocene in zakonite namene, to je za namene, ki so izrecno doloceni v zakonu. Namen zbiranja in nadaljnje obdelave osebnih podatkov mora biti torej dolo?en v zakonu, kar pomeni, da bi gospodarska družba osebne podatke iz javno dostopnih zbirk osebnih podatkov lahko zbirala le za namene združevanja, urejanja, prilagajanja in shranjevanja v novih zbirkah osebnih podatkov. Za namene nadaljnjega razkrivanja, sporo?anja, širjenja in dajanja na razpolago drugim uporabnikom osebnih podatkov (t.j. na na?in, ki bi omogo?al iskanje po imenu in priimku) pa bi se to smelo izvajati le v primeru, ce bi bila takšna obdelava izrecno dolo?ena v katerem od podro?nih zakonov. Kot pa je razvidno iz ZSReg, ta ne vsebuje takšnih dolo?b, prav tako pa jih ni zaslediti v drugih podro?nih zakonih.

Lepo vas pozdravljamo,
Informacijski pooblaš?enec:
Nataša Pirc Musar, univ. dipl. prav.,
Pooblaš?enka

3. Vprašanje, 15. 12. 2006:

Spoštovana ga. Musar,

Hvala za odgovor. Sem sicer samozaposlena v kulturi in ne s. p., vendar pa to najbrž ne spremeni pomena odgovora.

?e sem vas prav razumela, ste mi povedali tole:
- ker se ukvarjam s samostojno dejavnostjo, moji podatki ne uživajo zaš?ite, ki po zakonu priti?e fizi?nim osebam. To, da moja pravna in fizi?na pojavnost delita iste podatke (ime in priimek, naslov, EMŠO, dav?na številka, transakcijski ra?un), ne igra pri tem nobene vloge.
- IPIS lahko po zakonu prodaja moje podatke komurkoli, ki jih želi kupiti, saj je za tovrstno komercialno dejavnost registriran.

Vendar pa navajate tudi, da gre pri “vzpostavitvi in ažuriranju dela zbirk IPIS in iBON za t.i. ponovno uporabo informacij javnega zna?aja, ta pa ni mogo?a, kadar informacija javnega zna?aja (tudi ?e je sicer objavljena v javni knjigi) vsebuje osebne podatke, katerih razkritje bi pomenilo kršitev varstva osebnih podatkov.”

Mar ne bi bilo mogo?e predpisov povsem logi?no intepretirati tudi tako, da se pri trženju mojih ‘samozaposlenih” podatkov širijo v javnosti tudi moji osebni podatki, saj informacija javnega zna?aja o moji dejavnosti nelo?ljivo vsebuje tudi osebne podatke o moji fizi?ni osebi?

Samozaposleni v kulturi in samostojni podjetniki imamo namre? registrirano dejavnost na osebni dav?ni številki in na naslovu osebnega stalnega bivališ?a. Druga?e pravnoformalno tovrstne dejavnosti sploh ni mogo?e registrirati. Lo?ene na osebno in poslovno dejavnost vodimo le ban?ne ra?une. Mar ni logi?no, da je torej le naš poslovni transakcijski ra?un tisti javni podatek, ki ga po zakonu »lahko” prodajajo razni IPIS-i, ostali podatki (ime in priimek, naslov, dav?na) pa ne? Kajti razkritje poslovnega imena in priimka, naslova in dav?ne pomeni v našem primeru izdajo osebnih podatkov, kar pa Zakon opredeljuje kot kršitev!

Prosim za vaše mnenje!

Lep pozdrav,
Marija Mojca Punger?ar

4. Odgovora nisem prejela.