Slo-Tech - Finančna uprava RS je 31. marca zavezancem poslala prvi sveženj informativnih izračunov dohodnine za leto 2016. Na svoji spletni strani so zavezancem omogočili, da preverijo ali je bil njihov informativni izračun dohodnine že odpremljen. Preverjanje poteka tako, da zavezanci v okence vpišejo svojo davčno številko, ki se posreduje spletišču eDavki, ki nato sporoči ali je bil informativni izračun že odpremljen ali še ne.
A težava je v tem, da je spletišče FURS (fu.gov.si) dostopno samo preko nešifrirane, HTTP povezave. Ko na to povezavo vpišemo davčno številko, se - kot je razvidno iz izvorne kode spletne strani - posreduje na nešifrirano različico portala eDavki. Če je davčna številka 10000003, je HTTP klic na eDavke sledeč: "http://edavki.durs.si/OpenPortal/Pages/Faq/Faq.aspx?qq=10000003".
Spletišče eDavki sicer nato samodejno preklopi v HTTPS šifriran način, a sama davčna številka je do tja v osnovi poslana nešifrirano. Hkrati nato spletišče - sicer šifrirano, a za to ni potrebna nikakršna prijava z digitalnim potrdilom - uporabniku razkrije, ali je oseba z vpisano davčno številko prejela informativni izračun dohodnine, ali ne.
To sicer načeloma ni problem, saj gre pri tem zgolj za preverjanje "naključne" 8-mestne številke (povsem naključna sicer ni, saj za njeno ustvarjanje obstajajo določena pravila).
A po drugi strani je davčna številka po mnenju Informacijskega pooblaščenca "tako kot EMŠO, enolični identifikacijski znak, ki posameznika nedvoumno določi".
Še več, če bi nekdo računalniško zgeneriral vse možne davčne številke in jih samodejno posredoval na spletišče eDavki. Pri tem je zanimiv zlasti podatek kdaj je bil neki davčni številki izdan informativni izračun. Glede na FURS-ovo sporočilo za javnost so bili namreč v prvi tranši informativni izračuni izdani rezidentom Republike Slovenije, ki so zavezanci za vložitev dohodninskih napovedi in niso uveljavljali vzdrževanih družinskih članov ali niso dosegali dohodkov iz dejavnosti ali nimajo katastrskih dohodkov. Na podlagi časa izdaje informativnega izračuna je torej mogoče sklepati tudi na nekatere "lastnosti" davčnega zavezanca - ali so uveljavljali vzdrževane družinske člane, ali so dosegali dohodke iz dejavnosti ter ali imajo katastrske dohodke.
Če bi preostale možne davčne številke preveril še po pošiljanju druge tranše informativnih izračunov, bi s tem dobil vse veljavne davčne številke fizičnih oseb. Številke poslovnih subjektov pa so tako ali tako že javne.
A še vedno, gre vendarle zgolj za golo številko, brez imena ali ostalih identifikacijskih podatkov, kajne?
No, zadeva morda le ni tako preprosta. Konec lanskega februarja je namreč Informacijski pooblaščenec bivšega in sedanjega predsednika Komisije za preprečevanje korupcije (KPK) Gorana Klemenčiča in Borisa Štefaneca ter generalno direktorico uprave za javna plačila Aleksandro Miklavčič oglobil zaradi neupravičenega posredovanja oziroma pridobivanja številk transakcijskih računov (TRR) fizičnih oseb, katerih transakcije so bile zabeležene pri upravi za javna plačila.
Pri tem je bilo zanimivo dejstvo, da transakcijski računi v Supervizorju niso bili povezani z imeni posameznikov. Uprava za javna plačila je namreč KPK v primerih fizičnih oseb posredovala le številko transakcijskega računa, proračunskega uporabnika, ki je denar nakazal na ta račun, datum transakcije ter znesek in namen plačila. Imen in priimkov prejemnikov in njihovih davčnih številk pa v primeru fizičnih oseb ni posredovala.
Nekateri smo se zato javno spraševali ali je lahko zgolj neka številka brez kakršnihkoli drugih identifikacijskih podatkov in brez povezave s konkretno osebo, res osebni podatek, ki zahteva pravno varstvo?
Informacijski pooblaščenec je takrat zavzel stališče, da je temu tako. Zdaj pa imamo na FURS podobno situacijo. S pomočjo preprostega preverjanja je mogoče za neko 8-mestno številko - sicer brez identifikacijskih podatkov - ugotoviti ali gre za davčno številko fizične osebe ali ne, ter za kakšnega dohodninskega zavezanca gre.
Zakaj ime? Kje si zdaj našel ime? Vpišeš davčno in nazaj dobiš "Odpremljeno." oziroma "Ni še bilo odpremljeno.". Kaj oprijemljivega bi ti lahko dobil samo iz davčne?
Poleg tega to ni nič novega. Kaj je že bila una virtualna davčna svetovalka 5 let nazaj... si vpisal svojo davčno in dobil kontakt svojega kontrolorja.
Na spletni strani Mozille piše, naj zamenjamo finančno upravo.
Naročnikom Telemacha priporočamo zamenjavo ponudnika telekomunikacijskih storitev s Telekomom Slovenije ali T-2, ki vas ne omejujeta pri izbiri spletnega brskalnika. Uporabnikom sistema eDavki priporočamo zamenjavo Finančne uprave.
Če odpreš s.p. je tvoja davčna vidna na vseh bizi portalih, googlu, younameit... Sicer pa, kaj pa telekomov imenik, dvomim da je tam kdo podpisoval, da lahko objavijo tvoje podatke na internet, čeprav si se strinjal samo s tem, da se nahajajo zgolj v tiskani obliki aka fizičnem imeniku, ki ga primeš v roke.
Mogoče sem jst malo čuden, ampak ne razumem v čem je problem, če gre prvi del komunikacije po nešifrirani povezavi? Torej, tisti del, v katerem uporabnik računalnika v obrazec vpiše neko osemmestno številko?
Pa še to: davčna številka (sama zase) NI osebni podatek.
Mogoče sem jst malo čuden, ampak ne razumem v čem je problem, če gre prvi del komunikacije po nešifrirani povezavi? Torej, tisti del, v katerem uporabnik računalnika v obrazec vpiše neko osemmestno številko?
Pa še to: davčna številka (sama zase) NI osebni podatek.
Ker to ljudje počnejo na nezavarovanih povezavah (faksi, šole, kavarne, sosedov wifi), kjer je precej trivialno pobrati to številko prestreči in precej verjetno tudi osebne podatke zraven. To sam po sebi ne bi bil tak problem, ampak se izkaže da se da na precej organizacijah narediti precej škode samo z nekaj podatki (npr. odpovedati kreditne kartice, odklopiti internet pa še kaj se vse da). Glede na to kako zelo preprosta in osnovna je uporaba HTTPS je primerno da se pri delanju s takimi podatki vsaj malo poskrbi za uporabnike.
Na beta eDavkih, je včasih pisalo, da so "v kvaliteti alpha", iz tega sem sklepal, da je uradna verzija v kvaliteti "beta" in smo državljani beta testerji. Sedaj sem šel pogledat in nisem več našel tega napisa, a glede na navedbe člankov (tudi odstalih), ni daleč od resnice.
Ker to ljudje počnejo na nezavarovanih povezavah (faksi, šole, kavarne, sosedov wifi), kjer je precej trivialno pobrati to številko prestreči in precej verjetno tudi osebne podatke zraven. To sam po sebi ne bi bil tak problem, ampak se izkaže da se da na precej organizacijah narediti precej škode samo z nekaj podatki (npr. odpovedati kreditne kartice, odklopiti internet pa še kaj se vse da). Glede na to kako zelo preprosta in osnovna je uporaba HTTPS je primerno da se pri delanju s takimi podatki vsaj malo poskrbi za uporabnike.
Mogoče sem jst malo čuden, ampak ne razumem v čem je problem, če gre prvi del komunikacije po nešifrirani povezavi? Torej, tisti del, v katerem uporabnik računalnika v obrazec vpiše neko osemmestno številko?
Pa še to: davčna številka (sama zase) NI osebni podatek.
V resnici ni problema in tole ne leti na FURS. Problem je v tem, da je pri Supervizorju IP-RS trdil, da je TRR sam zase osebni podatek. UJP namreč tam tudi ni dajal nikakršnih drugih identifikacijskih podatkov. Zgolj številko TRR ter datume in zneske nakazil. Skratka, tam si imel neko številko in par spremljajočih podatkov, tukaj je pa podobno.
Zdaj... ali pri IP-RS ne razumejo kaj so osebni podatki (tega ne verjamem), ali zavajajo z nepopolnimi informacijami na svoji spletni strani, ali pa določene institute nategujejo enkrat v eno, drugič v drugo smer (primer Supervizor).
Davčna številka Zakon o davčnem postopku (Uradni list RS, št. 13/11, uradno prečiščeno besedilo, s spremembami in dopolnitvami, v nadaljevanju ZDavP-2) v 33. členu z naslovom Davčna številka določa, da se zavezancu za davek pod določenimi zakonskimi pogoji dodeli davčna številka, ki se uporablja v zvezi z vsemi davki.
Davčna številka je torej, tako kot EMŠO, enolični identifikacijki znak, ki posameznika nedvoumno določi. Zato je upravljavci ne smejo zahtevati "počez", kar se še vedno prepogost dogaja v primeru nagradnih iger. V takšnih primerih navadno izvajalci nagradnih iger že vnaprej zahtevajo razkritje davčne številke, kar pa je v skladu s prejšnjim odstavkom prepovedano, saj davčno razmerje, do podelitve nagrade zmagovalcu nagrade igre, ne nastane. Pravilno ravnanje v takšnem primeru je, da izvajalci nagradne igre zahtevajo davčno številko šele potem, ko je ugotovljeno, kdo je nagrajenec in zgolj od nagrajenca (-ev).
Kot je že bilo izpostavljeno, ko imaš enkrat s.p. je tvoja DŠ javno objavljena. Če je to tako problematično, potem naj osebam z dejavnostjo določijo še eno DŠ za namen opravljanja dejavnosti.
V Sloveniji imamo zakonodajo, ki te v določenih primerih prisili da objaviš vse svoje osebne podatke v povezavi z davčno številko. V tem primeru nekako nima smisla razlikovati med "število samo" in "številko + ostali podatki", ker par deset (ali bo zdaj že sto?) tisoč ljudi država kaznuje če te povezave ne objavijo.
S temi podatki se potem dela zlahka škodo drugim (ti gre sosed na živce? Ukini mu internet / bančne kartice).
Edini problem je, da namesto, da bi se naredil sistem varstva osebnih podatkov na podlagi razmisleka, namesto, da bi se postavilo prioritete in usmerilo sile v smiselne cilje - se strelja kakor komu paše.
Cookije se strelja s protiletalskimi topovi, HTTPS v UKC se niti ne pogleda. Davčna ni problem, TRR je ful velik problem. Iskanje po PRS ni dovoljeno, ampak podatki so javni.
Itd.
Jaz samo kažem na to stihijsko razmišljanje brez neke resne strategije.
Evo, primer za podkrepitev moje trditve: 76349247 Ali pa 01012017500033. EMŠO dojenčka, rojenega 1.1.2017. Fanta. Ravnokar sem izdal DŠ in EMŠO dveh fizičnih oseb v Sloveniji (recimo, da je kontrolna cifra OK in da DŠ/EMŠO res pripada konkretni fizični osebi). Katerih? Nimam pojma. Sta to osebna podatka? According to IP, je, s čimer zanika lastno definicijo os. podatka. According to moja kmečka pamet, ne.
V danem primeru je pošiljanje DŠ prek http problematično predvsem iz vidika povezovanja podatka o DŠ s podatki o prijavah na različne spletne storitve in forume - malware bi hitro sestavil skupaj dobro sliko identitete lastnika / uporabnika naprave.
Pa mi je pravica do zasebnosti svetinja. Ampak, kar je butasto, je pač butasto. In IP gre vsaj na področju definicije os. podatka v to smer.
Antifašizem je danes poslednje pribežališče ničvredneža, je ideologija ničesar
in neizprosen boj proti neobstoječemu sovražniku - v zameno za državni denar
in neprofitno najemno stanovanje v središču Ljubljane. -- Tomaž Štih, 2021
Ne razumem kako lahko z davcno stevilko ukines internet. Za take stvari je potreben podpis. Ce ga ponaredis, storis kaznivo dejanje.
Poleg tega ne vidim kako povezujes davcne stevilke pri funkcionalnosti iz zgornje novice z objavljanjem teh podatkov pri spjih.
Razen ce hoces povedat, da je sporno objavljanje osebnih podatkov spjev.
Sprehodiš se v pisarno operaterja in podpišeš dokument. Večina teh organizacij sploh ne preverja identitete podpisnikov dokumentov in nekatere uporabljajo davčno številko celo kot dokazilo identitete (recimo za bančne kartice na bankartu je bila davčna en čas dovolj za blokado vseh kartic :P ).
Ne vem pa kaj ima to da je podpis kaznivo dejanje z zlorabami - prehitra vožnja je tudi pa to ne pomeni da tega ljudje ne počnejo a ne? ;) Kraja identitete je problem kljub temu da je kaznivo dejanje.
Razen ce hoces povedat, da je sporno objavljanje osebnih podatkov spjev.
Ja objavljanje osebnih podatkov spjev je taka krasna osnova za zelo veliko zlorab in kraj identitete, ki je omogočena z lepim socialističnim "jebeš ga, saj je grdi grdi privatnik in si ne zasluži zaščite" pristopom :)
Mavrik> Ja objavljanje osebnih podatkov spjev je taka krasna osnova za zelo veliko zlorab in kraj identitete, ki je omogočena z lepim socialističnim "jebeš ga, saj je grdi grdi privatnik in si ne zasluži zaščite" pristopom :)
Zelo uporabno tudi za vse kripsterje - ti je všeč ta-in-ta znana oseba? Zagotovo dela preko S.P. Njeno ime vpišeš v bizi.si in veselo stokaš. Ja, to se dejansko dogaja.
Ne razumem kako lahko z davcno stevilko ukines internet. Za take stvari je potreben podpis. Ce ga ponaredis, storis kaznivo dejanje.
Poleg tega ne vidim kako povezujes davcne stevilke pri funkcionalnosti iz zgornje novice z objavljanjem teh podatkov pri spjih.
Razen ce hoces povedat, da je sporno objavljanje osebnih podatkov spjev.
Sprehodiš se v pisarno operaterja in podpišeš dokument. Večina teh organizacij sploh ne preverja identitete podpisnikov dokumentov in nekatere uporabljajo davčno številko celo kot dokazilo identitete (recimo za bančne kartice na bankartu je bila davčna en čas dovolj za blokado vseh kartic :P ).
Ne vem pa kaj ima to da je podpis kaznivo dejanje z zlorabami - prehitra vožnja je tudi pa to ne pomeni da tega ljudje ne počnejo a ne? ;) Kraja identitete je problem kljub temu da je kaznivo dejanje.
Nedavno sem po telefonu preklical svojo kartico pri Bankartu in niso zahtevali niti davčne številke. Ime, priimek in vrsto kartice, ki jo želim preklicati. Zanimiv način kako znancu popestriti dan, oz kar cel teden kolikor mine, da dobi novo. Bi pa seveda predstavljanje s tujim imenom pomenilo krajo identitete.
No, pa zato, ker bi mi sicer naša občina veselo upilila dodaten davek...
Do tell na kaki osnovi ?
In kje imaš pisarno?
Jaz sem imel v občini Kamnik in so po nekaj letih začeli dobivati ideje, da (čeprav imam delo na terenu) zagotovo delam tudi kaj doma in so hoteli določiti nekaj m2 kot poslovni prostor, pa mi dati še en komplet kant za smeti...
Na srečo sem potem zaprl in se mi ni bilo treba ubadati z njihovimi molznimi domislicami.
@Matthai: Sam tudi s.p. ja nimam na domačem naslovu ravno iz razlogol stalkanja pa tega. Ampak ko sem v nek EU/FURS obrazec za preverjanje davčne številke svojo vpisal, je ven vrglo domač naslov ne pa naslov s.p. ja.
Everyone started out as a newbie.
Sadly only a handful ever progress past that point.
.