Obveščanje staršev v osnovnih šolah

Pri Informacijskem pooblaščencu (IP) smo prejeli odstopljeno pobudo za presojo plačljivega sprotnega obveščanja staršev v javnih osnovnih šolah. Navajate, da se v javnih osnovnih šolah uporabljajo elektronski informacijski sistemi zasebnih ponudnikov, v katere učitelji v okviru svojega dela vpisujejo ocene, izostanke in druge podatke o učencih. Staršem se nato ponujajo plačljivi paketi, ki omogočajo sproten oziroma takojšen elektronski dostop do teh podatkov. Menite, da starši v okviru obveznega in javno financiranega osnovnega šolstva ne bi smeli biti postavljeni pred izbiro, ali naj zasebnemu podjetju plačajo za pravočasno seznanitev z osnovnimi podatki o šolskem delu svojega otroka.

Ob tem med drugim izpostavljate vprašanja, ali zasebni ponudnik te osebne podatke obdeluje izključno v imenu in za potrebe šole, ali jih v okviru plačljive storitve uporablja tudi za lastne komercialne namene. Ključno se vam zdi preveriti pravno podlago in namen takšne obdelave ter skladnost uporabe podatkov, ki nastajajo v okviru javnega izobraževanja, z načelom omejitve namena in drugimi pravili varstva osebnih podatkov. Opozarjate tudi na pravico staršev do obveščenosti, vprašanje enakosti in morebitne diskriminacije glede na premoženjsko stanje ter na skladnost uporabe podatkov učencev v plačljivi storitvi zasebnega podjetja s pravili varstva osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1 in 10/26 – ZP-1L, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašo pobudo.

Osnovne šole lahko za potrebe informatizacije vodenja podatkov, šolskih evidenc in elektronskega komuniciranja s starši in učenci uporabljajo storitve zunanjih ponudnikov. Sama okoliščina, da zunanji ponudnik določeno dodatno funkcionalnost elektronskega obveščanja staršev ponuja kot plačljivo storitev, še ne pomeni, da je takšna ureditev v nasprotju s predpisi s področja varstva osebnih podatkov.

Pri podatkih, ki jih osnovna šola vodi v okviru zakonsko določenih evidenc, je upravljavec osebnih podatkov praviloma šola, zunanji ponudnik pa obdelovalec, če osebne podatke otrok obdeluje v imenu in po navodilih šole. Če pa bi osebne podatke, ki jih obdeluje za potrebe šole, uporabljal tudi za lastne namene, v tem delu nastopa kot upravljavec, za kar mora imeti  ustrezno pravno podlago po 6. členu Splošne uredbe.

Na podlagi 15. člena Splošne uredbe lahko starši kot zakoniti zastopniki otrok (če ni posebnih omejitev) vedno zahtevajo brezplačno osebne podatke, ki se nanašajo na njihovega otroka, iz vseh zbirk, ki jih vodi šola. Pravica do dostopa do osebnih podatkov pa sama po sebi ne pomeni nujno pravice do uporabe določene tehnične funkcionalnosti informacijskega sistema. Z vidika varstva osebnih podatkov je bistveno, da plačilo ne predstavlja pogoja za uveljavljanje pravic, ki jih posamezniku zagotavlja Splošne uredba.

IP je v preteklosti že vodil več inšpekcijskih postopkov glede obdelave osebnih podatkov v  okviru informacijske rešitve eAsistent.

O b r a z l o ž i t e v:

Uvodoma pojasnjujemo, da vprašanja, ki jih izpostavljate v pobudi, niso zgolj v pristojnosti IP, temveč sodijo tudi v pristojnost Ministrstva za izobraževanje, znanost in mladino, na katerega ste poleg IP že naslovili svojo pobudo. Pri tem je treba razlikovati med vprašanjem zakonitosti obdelave osebnih podatkov ter vprašanjem organizacije oziroma financiranja posamezne oblike elektronskega obveščanja staršev. V pristojnost IP sodi predvsem presoja skladnosti obdelave osebnih podatkov s predpisi s področja varstva osebnih podatkov, ne pa odločanje o tem, katere storitve oziroma funkcionalnosti bi morala javna šola zagotavljati brezplačno oziroma na kakšen način se te storitve financirajo.

Prav tako izpostavljamo, da IP v mnenju, torej izven nadzornega oziroma inšpekcijskega postopka ne more presojati zakonitosti obdelave osebnih podatkov v konkretnem primeru. Zato vam na vprašanja, ki jih zastavljate z vidika varstva osebnih podatkov, ne moremo dokončno odgovoriti oziroma v okviru tega odgovora presojati skladnosti ureditve obveščanja staršev v osnovnih šolah. Glede na to vam v nadaljevanju podajamo nekaj splošnih pojasnil v zvezi z vašo pobudo.

Uporaba zunanjih ponudnikov

Vzgojno-izobraževalni zavodi lahko za potrebe informatizacije vodenja podatkov, šolskih evidenc in elektronskega komuniciranja s starši in učenci uporabljajo storitve zunanjih ponudnikov. Sama okoliščina, da šola uporablja informacijski sistem zasebnega ponudnika, zato še ne pomeni, da je obdelava osebnih podatkov nezakonita.

Pri podatkih, ki jih osnovna šola vodi v okviru zakonsko določenih evidenc, je upravljavec osebnih podatkov praviloma šola. Kadar šola za tehnično izvedbo storitve uporablja zunanjega ponudnika, je treba njegovo vlogo opredeliti glede na dejanske okoliščine obdelave osebnih podatkov. Če ponudnik osebne podatke obdeluje po navodilih šole in v njenem imenu, gre praviloma za pogodbenega obdelovalca v smislu 28. člena Splošne uredbe. V takem primeru mora biti razmerje med upravljavcem in obdelovalcem pogodbeno urejeno, obdelovalec pa sme osebne podatke obdelovati le v okviru navodil upravljavca in za dogovorjene namene. Pri tem je treba poudariti, da sta pojma upravljavec in obdelovalec funkcionalna, kar pomeni, da je treba upoštevati dejanske vloge subjekta in ne zgolj formalnega poimenovanja pogodbenega razmerja ali subjekta.

Osebnih podatkov, ki jih osnovna šola zbira in obdeluje v okviru izvajanja zakonsko določenih nalog, zunanji ponudnik, če nastopa le kot obdelovalec, ne sme uporabljati za lastne namene zgolj na podlagi dejstva, da zagotavlja informacijsko rešitev. Če bi ponudnik podatke, ki jih obdeluje za potrebe šole, uporabljal tudi za lastne namene, pa je treba šteti, da nastopa kot upravljavec, za kar mora imeti  ustrezno pravno podlago po 6. členu Splošne uredbe. Pri tem je pomembno tudi načelo omejitve namena iz 5. člena Splošne uredbe, v skladu s katerim morajo biti osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni.

Pravica do dostopa do osebnih podatkov

Z vidika varstva osebnih podatkov je treba razlikovati med pravico do dostopa do osebnih podatkov in pravico do določene oblike oziroma načina obveščanja.

Na podlagi 15. člena Splošne uredbe lahko starši kot zakoniti zastopniki otrok (če ni posebnih omejitev) vedno zahtevajo brezplačno osebne podatke, ki se nanašajo na njihovega otroka, iz vseh zbirk, ki jih vodi šola. Ta pravica se lahko uveljavlja neodvisno od uporabe posameznega informacijskega sistema oziroma njegove plačljive različice. Pravica do dostopa do osebnih podatkov pa sama po sebi ne pomeni nujno pravice do uporabe določene tehnične funkcionalnosti informacijskega sistema.

Več informacij o pravici do dostopa do osebnih podatkov je na voljo na spletni strani IP: https://tiodlocas.si/pravica-vedeti-kaj-pocnejo-z-mojimi-osebnimi-podatki/ ter https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki, za lažje uveljavljanje te pravice pa je IP pripravil tudi obrazec, ki je dostopen na spletni strani IP: https://www.ip-rs.si/obrazci/ (obrazec »Zahteva za seznanitev z lastnimi osebnimi podatki«).

Nadalje izpostavljamo, da je pri uporabi zunanjih informacijskih rešitev pomembno tudi zagotavljanje načela preglednosti. Skladno s 5. členom Splošne uredbe morajo biti osebni podatki obdelani zakonito, pošteno in na pregleden način. Starši pa morajo biti zato na ustrezen način že pred začetkom obdelave obveščeni o tem, kdo je upravljavec osebnih podatkov otroka, za katere namene se osebni podatki obdelujejo in na kateri pravni podlagi, kdo so uporabniki, katere pravice imajo v zvezi z obdelavo njihovih osebnih podatkov in o drugih informacijah po 13. oziroma 14. členu Splošne uredbe.

Plačljivost dodatne funkcionalnosti

Sama okoliščina, da zunanji ponudnik določeno dodatno funkcionalnost elektronskega obveščanja ponuja kot plačljivo storitev, še ne pomeni, da je takšna ureditev v nasprotju s predpisi s področja varstva osebnih podatkov. Drugače pa bi bilo, če bi bila plačljiva storitev v praksi edini način, na katerega bi lahko starši učinkovito dostopali do osebnih podatkov svojega otroka oziroma če bi šola dostop do osebnih podatkov pogojevala s plačilom. Skladno z 12. členom Splošne uredbe mora šola kot upravljavec posameznikom olajšati uresničevanje njegovih pravic po Splošni uredbi ter dostop do osebnih podatkov po 15. členu Splošne uredbe zagotavljati brezplačno (če ne gre za pretirane zahteve oziroma zahteve za dodatne kopije osebnih podatkov). Z vidika varstva osebnih podatkov je torej bistveno, da plačilo ne predstavlja pogoja za uveljavljanje pravic, ki jih posamezniku zagotavlja Splošne uredba.

Inšpekcijski postopki

Ob tem dodajamo, da je IP v preteklosti že vodil več inšpekcijskih postopkov glede obdelave osebnih podatkov v tovrstnih sistemih. Glede obdelave osebnih podatkov v okviru informacijske rešitve eAsistent od leta 2020 do danes je IP vodil 15 inšpekcijskih postopkov; neposredno zoper družbo, ki upravlja z aplikacijo eAsistent - eŠola d.o.o. je bilo teh postopkov 5.

Zadnji in najbolj obsežen inšpekcijski postopek v zvezi z zakonitostjo obdelave osebnih podatkov v okviru aplikacije eAsistent je bil s strani IP z ureditveno odločbo zaključen januarja 2023. Družba eŠola d.o.o. je zoper to odločbo vložila tožbo, zato je odločitev IP trenutno v presoji sodišča. IP je družbi eŠola d.o.o. s to odločbo med drugim naložil, da mora zaradi ugotovljenih nepravilnosti uskladiti obdelavo osebnih podatkov pri zagotavljanju storitev eAsistent vzgojno izobraževalnim zavodom, tako, da družba ne bo več sama določala namenov in sredstev obdelave, pač pa bo osebne podatke obdelovala izključno v imenu posameznega vzgojno izobraževalnega zavoda ter ukrepala izključno pod njegovim vodstvom in ne brez njegovih navodil. IP je družbi naložil tudi, da preneha z obdelavo osebnih podatkov iz zakonsko predpisanih zbirk posameznega vzgojno izobraževalnega zavoda, do katerih ima dostop in jih obdeluje v okviru pogodbene obdelave, za namen izvajanja lastne odplačne storitve elektronskega posredovanja podatkov staršem in učencem.

Vzgojno izobraževalni zavodi lahko uporabljajo različne storitve zunanjih ponudnikov za namen informatizacije vodenja podatkov (npr. redovalnice ipd.) oziroma elektronskega komuniciranja s starši in učenci. Ključno pa je, da tak zunanji ponudnik storitve nudi le v okviru pogodbene obdelave osebnih podatkov, kot ga predpisuje 28. člen Splošne uredbe in skladno z obveznostmi, ki po zakonu veljajo za vzgojno izobraževalne zavode, ki so upravljavci osebnih podatkov.

Aplikacija eAsistent med drugim omogoča orodje za komunikacijo med šolo in starši, nikakor pa odločitev posamezne šole, da se bo poslužila takega orodja, ne pomeni, da lahko starši s šolo komunicirajo izključno preko tega orodja. Starši se lahko s podatki svojega otroka vedno seznanijo na zakonsko predpisane načine – npr. ustno neposredno od učitelja ali pisno. Za pridobitev tistih podatkov o svojih otrocih, ki jih na podlagi zakona o njih vodi šola, in zakon določa tudi načine seznanjanja s podatki, starši torej ne rabijo uporabljati plačljivih verzij informacijskih orodij.

Sklepno

Iz navedenega izhaja, da se je IP s problematiko, na katero opozarjate v pobudi, že ukvarjal, da pa le-ta presega pristojnosti IP in zahteva usklajeno delovanje pristojnih institucij, tako pri urejanju dostopa do osnovnih šolskih informacij kot tudi pri zagotavljanju zakonite, varne in pregledne obdelave osebnih podatkov.

Lepo vas pozdravljamo.

Pripravila:
Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov

dr. Jelena Virant Burnik, 
informacijska pooblaščenka

Financira Evropska unija. Izražena stališča in mnenja so izključno mnenja avtorja in ne odražajo nujno stališč in mnenj Evropske unije ali Evropske komisije. Niti Evropska unija niti organ, ki dodeljuje sredstva, zanje ne odgovarjata.