Mnenje glede vodenja podatkov o nošenju mask v šolah

Informacijski pooblaščenec (v nadaljnjem besedilu IP) je 7. 9. 2020 prejel vaše zaprosilo za mnenje v zvezi s seznami učencev, ki ne želijo nositi zaščitnih mask. Zanima vas, če smejo šole po navodilih Ministrstva za izobraževanje, znanost in šport delati in posredovati sezname učencev, ki zavračajo nošenje zaščitnih mask v šoli. Ali ste starši dolžni podpisati izjavo, ki šoli dovoljuje vodenje evidenc?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Glede na znane informacije je ključno, ali bi podatke, ki jih navajate, da jih šola želi zbirati in beležiti, lahko umestili med podatke, za katere ima šola pravno podlago za njihovo obdelavo v katerem od veljavnih zakonov. Izrecno tega namreč ne zahteva noben zakon.

Vsaka privolitev kot pravna podlaga za obdelavo podatkov mora biti prostovoljna (brez prisile), specifična, informirana in nedvoumna (v javnem sektorju načeloma tudi z zakonom določena, če gre za izvajanje javnih nalog). Če gre za dolžnost ali pogojevanje podpisa določene izjave, potem ni moč govoriti o privolitvi, kot jo definira Splošna uredba o varstvu podatkov.

Dokončnega odgovora o zakonitosti opisane zahteve šole IP v mnenju ne more podati, zato v zvezi z navedeno dilemo vodimo inšpekcijski postopek. V njem se preverja obstoj pravne podlage za opisane obdelave.

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v členu 6(1) Splošne uredbe o varstvu podatkov in so za javni sektor, kamor sodijo izobraževalne institucije, kot so osnovne in srednje šole, naslednje:

• privolitev, kadar ne gre za izvajanje javnih nalog (točka (a)),

• sklenitev ali izvajanje pogodbe (točka (b)),

• zakon (točka (c)),

• zaščita življenjskih interesov (točka (d)),

• izvajanje javne naloge (točka (e) v zvezi s četrtim odstavkom 9. člena ZVOP-1).

Za obdelavo osebnih podatkov šolajočih otrok je po mnenju IP edina ustrezna pravna podlaga 6(1(c)) oz. 6(1(e)) Splošne uredbe o varstvu podatkov, saj je obdelava potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca oz. v zvezi z izvajanjem javnih nalog. Izjema so določeni podatki, kjer je poleg zakona zahtevana tudi privolitev, določena že z zakonom.

Obdelavo osebnih podatkov pri izvajanju osnovnošolskega in srednješolskega izobraževanja opredeljujejo Zakon o osnovni šoli (ZOsn)1, Zakon o gimnazijah (ZGim)2, Zakon o poklicnem in strokovnem izobraževanju (ZPSI-1)3 ter Zakon o organizaciji in financiranju vzgoje in izobraževanja (ZOFVI)4. Šole obdelujejo osebne podatke o učencih/dijakih in njihovih starših na podlagi 95. člena ZOsn oz. 42. člena ZGim oz. 86. člena ZPSI-1, podrobnejša pravila pa vsebuje še Pravilnik o zbiranju in varstvu osebnih podatkov na področju osnovnošolskega izobraževanja5. Tudi ZOFVI vsebuje določbo glede obdelave osebnih podatkov, in sicer 119. člen tega zakona kot obveznost učitelja določa »zbiranje in obdelavo podatkov v zvezi z opravljanjem vzgojno-izobraževalnega in drugega dela«.

Zakoni s področja osnovnošolskega in srednješolskega izobraževanja torej natančno določajo, katere vrste zbirk podatkov in evidenc vodijo osnovne in srednje šole ter kdaj se smejo podatki učencev/dijakov zbirati na podlagi osebne privolitve oz. soglasja staršev ali skrbnikov otrok, ko gre za izvajanje javnega vzgojno izobraževalnega programa. Po mnenju IP bi podatke, ki jih navajate, da jih šola želi zbirati in beležiti, težko umestili med podatke, za katere ima šola podlago, v katerih od naštetih zakonov.

Da bi bila tovrstna obdelava osebnih podatkov učencev v zvezi z nošenjem zaščitnih mask v trenutnih epidemioloških razmerah, zakonita, pa ni moč zaslediti niti v Zakonu o nalezljivih boleznih6 ali v Odloku o začasnih ukrepih za zmanjšanje tveganja okužbe in širjenja okužbe z virusom SARS-CoV-27, ki je bil izdan 3. 9. 2020. Slednji namreč izrecno določa, da se ta odlok (ki določa obvezno uporabo zaščitnih mask v zaprtih javnih prostorih) ne uporablja za vzgojno-izobraževalne zavode in organizirano športno dejavnost, za katere se glede uporabe zaščitnih mask ali druge oblike zaščite ustnega in nosnega predela obraza uporabljajo priporočila Nacionalnega inštituta za javno zdravje, ki so objavljena na spletnih straneh Nacionalnega inštituta za javno zdravje.

Na vprašanje, ali ste dolžni podpisati izjavo, ki šoli dovoljuje vodenje navedene evidence, IP odgovarja, da mora biti vsaka privolitev prostovoljna (brez prisile, ukane), specifična (natančna, za točno določen namen), informirana in nedvoumna (se jo da razumeti samo na en način). Če gre za dolžnost ali pogojevanje podpisa določene izjave, potem ni moč govoriti o privolitvi, kot jo definira Splošna uredba o varstvu podatkov. Več o privolitvi si lahko preberete na spletni strani IP https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/. Kadar pravno podlago za obdelavo osebnih podatkov predstavlja zakon, dodatno pridobivanje privolitve za zbiranje in posredovanje osebnih podatkov sploh ni potrebno.

Ker je IP prejel že več vprašanj oz. prijav domnevnih kršitev glede zbiranja in posredovanja osebnih podatkov učencev v zvezi z nošenjem zaščitnih mask, je uvedel tudi postopek inšpekcijskega nadzora nad izvajanjem zakonov s področja varstva osebnih podatkov. Postopek je v teku, zato vam konkretnejšega odgovora v tem trenutku ne moremo podati. Predlagamo, da spremljate našo spletno stran www.ip-rs.si, kjer bo IP po zaključku inšpekcijskega nadzora objavil svoje ugotovitve.

Svetujemo, da si več o pravicah posameznika glede varstva podatkov preberete na naši spletni strani www.tiodlocas.si.

Vsa mnenja IP so objavljena in dostopna na naši spletni strani: https://www.ip-rs.si/vop/.

Prav tako pa so vsa ključna področja, kot jih ureja Splošna uredba o varstvu podatkov predstavljena na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/, kjer lahko najdete veliko koristnih nasvetov glede bistvenih obveznosti podjetij in drugih organizacij za pravilno izvajanje ukrepov varstva osebnih podatkov.

Lep pozdrav,

Mojca Prelesnik,

informacijska pooblaščenka

Karolina Kušević, univ. dipl. prav.,
 svetovalka IP

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.