Pogoj PCT v šolah in izpolnjevanje izjav

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

pri Informacijskem pooblaščencu (IP) smo dne 31. 8. 2021 prejeli vaša vprašanja:

1. Ali je z vidika varstva osebnih podatkov ustrezno, če bi obiskovalci šole izpolnili in podpisali (le) izjavo o izpolnjevanju pogoja PCT in se pri tem izrecno opredelili do tega, katerega od pogojev izpolnjujejo (4 variante);
2. Ali se lahko od obiskovalca na istem obrazcu zahteva tudi namen oziroma razlog obiska (npr. sestanek) ter h komu je obiskovalec namenjen;
3. Ali zadošča, da nekdo samo podpiše, da izpolnjuje pogoj PCT;
4. Ali je potrebna podobna izjava tudi za učitelje in študente.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Pri tem še pojasnjujemo, da IP:

- izven inšpekcijskega postopka ne more podajati dokončnih mnenj o konkretnih primerih obdelave osebnih podatkov;

- izven inšpekcijskega postopka ne more presojati internih obrazcev, ki ste jih priložili;

- ni pristojen za svetovanje glede vašega 3. in 4. vprašanja, ker v izhodišču ne gre za področje varstva osebnih podatkov;

- v tem mnenju izhaja iz predpostavke, da je izpolnjevanje pogoja PCT za obiskovalce po predpisih obvezno.

1. Z vidika načela najmanjšega obsega podatkov je zbiranje izjav o izpolnjevanju pogoja PCT (namesto preverjanja pogojev z vpogledom v dokazilo) sicer ustrezno, vendar predlagamo, da se v tem primeru obiskovalcu ni treba opredeljevati do konkretnega pogoja, ki ga izpolnjuje (tj. da mu ni treba obkrožiti enega od ponujenih pogojev).

2. Zbiranje podatka o namenu obiska načeloma ni sporno med tem, ko zbiranje drugih podrobnosti o obisku na splošno ni primerno, če ti podatki niso povezani z izpolnjevanjem pogoja PCT (izjava je namreč namenjena le spoštovanju pogoja PCT), kar pa je odvisno od okoliščin konkretnega primera.

O b r a z l o ž i t e v:

Obvezno načelo najmanjšega obsega podatkov je urejeno v 5. členu Splošne uredbe o varstvu podatkov. Če se, namesto preverjanja dokazil in vodenja evidence o tem, od obiskovalcev pridobiva le podpisane izjave o izpolnjevanju pogoja PCT, potem ni videti utemeljenega razloga, da bi se zbirali podatki o konkretnem pogoju, ki ga obiskovalec izpolnjuje. Ti podatki bi namreč izničili zasebnosti prijazen način preverjanja pogoja PCT, saj bi bil z navedbo konkretnega pogoja učinek obdelave osebnih podatkov skoraj enak, kot če bi se od obiskovalcev preverjalo predložena dokazila in bi se o tem vodila evidenca. Poleg tega izjava – kot nezanesljiv način izkazovanja, da je izpolnjen pogoj PCT – nima nobene večje dokazne vrednosti, če obiskovalec v izjavi dodatno navede konkreten pogoj, ki naj bi bil izpolnjen.

Zgornje stališče o primernosti uporabe tovrstnih izjav velja le z vidika varstva osebnih podatkov in le, če nek predpis ne določa, da se preverjanje pogoja obvezno izvaja na drug način.   

Primernost zbiranja podatka o namenu obiska je odvisna od konkretnega namena, ki ga z zbiranjem tega podatka zasleduje šola. Praviloma je podatek o namenu vstopa v prostore upravljavca lahko utemeljen iz razlogov varnosti, v konkretnem primeru pa se tem pridružuje še na primer razlog ugotavljanja tveganih stikov, če bi se kasneje ugotovile okoliščine, zaradi katerih bi to bilo potrebno. Podlaga za vodenje podatka o razlogu vstopa je določena tudi v 82. členu ZVOP-1 – po tej podlagi se podatki o razlogu vstopa lahko vodijo tudi izven zbiranja podatkov o izpolnjevanju pogoja PCT. Ni pa videti prepričljivih razlogov, da bi se od obiskovalcev šole lahko na izjavi zahtevale podrobnosti, ki niso bistvene za doseganje namena zbiranja izjav o izpolnjevanju pogoja PCT in s tem pogojem tudi nimajo neposredne povezave, hkrati pa jih ne določa noben predpis (npr. koliko časa se bo obiskovalec zadrževal v prostorih, ali pogosto prihaja, h komu je namenjen, ali in kako je bil povabljen). Navedena obrazložitev se nanaša le na izjavljanje na obrazcu v zvezi s COVID-19 in je splošna, saj je dokončna ocena o dopustnosti odvisna od konkretnih okoliščin posameznega primera. 

Lepo vas pozdravljamo,

Pripravil:

mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka