Prepoved posredovanja osebnih podatkov učenca zunanjim institucijam

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Pri Informacijskem pooblaščencu (IP) smo dne 24. 2. 2021 prejeli vaše zaprosilo za mnenje o tem, ali je prav, da se upošteva zahteva oziroma pisna izjava obeh otrokovih staršev o tem, da ne dovoljujejo, posredovanja osebnih podatkov otroka zunanjim institucijam. Po vpisu osnovna šola namreč posreduje podatke o bodočih prvošolcih zdravstvenemu domu, tega pa starši ne želijo. Otrok ima izbranega pediatra v tujini in starši pravijo, da bodo iz tujine prinesli potrdilo o opravljenem zdravniškem pregledu otroka.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Pri tem še pojasnjujemo, da se lahko dokončno opredelimo do konkretnih primerov le v morebitnem inšpekcijskem postopku.

1. Posameznikova (ali zastopnikova) prepoved posredovanja osebnih podatkov s strani šole zunanjim uporabnikom, ki imajo zakonsko podlago za pridobitev osebnih podatkov, praviloma nima pravnih učinkov.

2. Taka prepoved lahko učinkuje kot preklic privolitve, če je edina podlaga za posredovanje osebnih podatkov že predhodno dana privolitev.

Prepoved ima učinke tudi, če jo nek področni zakon izrecno ureja, kar pa v vašem primeru ne velja.

Poseben tip prepovedi sta tudi pravica do ugovora, ki je urejena v 21. členu Splošne uredbe o varstvu podatkov in pravica do omejitve obdelave iz 18. člena Splošne uredbe o varstvu podatkov. Ti dve pravici v vašem primeru najverjetneje nista relevantni ob predpostavki, da osebne podatke obdelujete zakonito. 

3. Možno je tudi, da v določenem primeru odpade potreba po posredovanju osebnih podatkov zunanjemu uporabniku (npr. zdravstvenemu domu za izvedbo sistematskega zdravniškega pregleda - SZP), ker so se zaradi ravnanja posameznika spremenile okoliščine, ki narekujejo posredovanje osebnih podatkov (npr. nadomestitev SZP z nekim drugim pregledom ali pa zakonita zavrnitev izvedbe SZP).

Toda IP ni pristojen presojati, ali je možno z zdravniškim pregledom v tujini nadomestiti SZP šolske mladine po slovenskem pravilniku in ali je SZP za učenca absolutno obvezen in v kakšnem obsegu (npr. glede cepljenj).

O b r a z l o ž i t e v:

Če je za neko vrsto obdelave osebnih podatkov že določena zakonska podlaga (na primer za posredovanje učenčevih osebnih podatkov CSD, policiji, pristojnemu ministrstvu, sodišču), privolitev ni potrebna oziroma nima posebnega učinka. Obdelava bo lahko izvedena ne glede na privolitev oziroma neodvisno od volje posameznika. Enako velja za prepoved. Ker vsaka zakonska podlaga uživa opisano prednost in samostojnost nasproti privolitvi, je seveda logično, da enako velja tudi za vsako zakonsko podlago v odnosu do posameznikove prepovedi. V odnosu do zakonske podlage za obdelavo, sta torej privolitev in prepoved podrejeni in irelevantni. Včasih zakonodaja posameznikom omogoča posebno pravico do prepovedi obdelave osebnih podatkov iz posebnih razlogov, a to v vašem primeru ne velja. Podobne učinke kot prepoved imata tudi pravica do ugovora, ki je urejena v 21. členu Splošne uredbe o varstvu podatkov in pravica do omejitve obdelave iz 18. člena Splošne uredbe o varstvu podatkov.

Iz poslanega vzorca ne izhaja, da starši kategorično zavračajo vsako posredovanje osebnih podatkov, pač pa želijo biti o vsakem posredovanju predhodno obveščeni in želijo imeti možnost dodatnega dogovarjanja v zvezi s tem. Možnost dogovarjanja ni posebna pravica, ki bi izhajala iz Splošne uredbe o varstvu podatkov in tudi ne iz šolske zakonodaje. Je pa zato pridobitev informacij o zunanjih uporabnikih (npr. tak uporabnik je lahko ZD) osebnih podatkov pravica, ki jo določata 13. ter 14. člen in tudi 15. člen Splošne uredbe o varstvu podatkov. Pravica iz omenjenega 15. člena se uveljavlja na posameznikovo zahtevo. Informiranje po 13. in 14. členu pa je splošna obveznost vsakega upravljavca do vseh posameznikov, katerih osebni podatki se obdelujejo, kar pa ne pomeni nujno, da je treba vse starše individualno obveščati o vsakem posameznem posredovanju osebnih podatkov točno določenim uporabnikom.  

Lepo vas pozdravljamo,

Pripravil:
mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka