Mnenje glede odprtja šolskih elektronskih naslovov

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Navajate, da je z namenom priprave pouka na daljavo osnovna šola brez predhodnega soglasja zakonitih zastopnikov otrok poslala Googlu seznam v šolo vpisanih osnovnošolskih otrok in jim na njihovo osebno ime (z imenom in priimkom) odprla šolski elektronski naslov in dodelila gesla za račun. Pojasnjujete, da nad dodeljenim g-mail računom svojega osnovnošolskega otroka zakoniti zastopniki nimajo neposrednega nadzora, pri čemer ta šolski g-mail račun omogoča otroku dostop do praktično vseh Googlovih aplikacij. Zanima vas, ali so bili v konkretnem primeru brez podanega soglasja staršev za takšno posredovanje podatkov Googlu za odprtje g-mail računa njihovega otroka izpolnjeni kakšni drugi pogoji za zakonitost obdelave, in če, ali je takšna obdelava osebnih podatkov sorazmerna in dovoljena glede na posledice, kot jih lahko ima neomejen dostop nepolnoletnih otrok do v praktično vseh aplikacij Googla.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati, prav tako ne more presojati ustreznosti konkretnega načina izvajanja in organizacije izobraževanja na daljavo z vidika zakonitosti obdelave osebnih podatkov. Zato IP na vaša vprašanja v okviru tega mnenja ne more dokončno odgovoriti, temveč v nadaljevanju podaja zgolj splošna pojasnila glede pogojev za zakonito obdelavo osebnih podatkov.

Tako IP tudi ne more komentirati drugih vidikov morebitne spornosti opisanega ravnanja z vidika poseganja v pravico do zasebnosti otrok širše in posegov v komunikacijsko zasebnost, do katerih bi lahko pri opisanem pristopu morda prišlo. V nadaljevanju izpostavljamo zgolj vprašanja varstva osebnih podatkov, na katera mora biti šola pozorna pri organizaciji dela na daljavo in ki so pomembna tudi v opisanem primeru.

IP je že večkrat izrazil mnenje, da elektronski naslov, ki pripada točno določenemu posamezniku, v skladu s Splošno uredbo šteje za osebni podatek. Obdelava osebnih podatkov pa je dopustna le, če je podana zakonita in ustrezna pravna podlaga iz člena 6(1) Splošne uredbe.

Glede obdelave osebnih podatkov otrok za namene izvajanja izobraževanja na daljavo IP najprej poudarja, da privolitev posameznika oziroma zakonitega zastopnika otroka načeloma ni ustrezna pravna podlaga, po kateri naj bi takšna obdelava osebnih podatkov potekala. Bistveno je namreč, da gre pri izobraževanju na daljavo za izvajanje javnopravne naloge izobraževalne ustanove in ne za aktivnosti, za katere lahko posamezniki oziroma starši kot zakoniti zastopniki otrok podajo privolitev (kot jo npr. podajo na začetku šolskega leta za objavo fotografij v šolskem almanahu na pripravljenem obrazcu).

Področje delovanja osnovnih šol ureja Zakon o osnovni šoli (Uradni list RS, št. 81/06 – UPB, s spremembami in dopolnitvami). Prvi odstavek 95. člena tega zakona določa, da šola vodi zbirke osebnih podatkov vpisanih učencev, ki vsebujejo naslednje podatke o učencih: ime in priimek, EMŠO, spol,  datum, kraj in državo rojstva, prebivališče in državljanstvo, zdravstvene posebnosti, ki jih je potrebno poznati za varnost učenca in za delo z učencem. Med naštetimi kategorijami osebnih podatkov naslova elektronske pošte torej ni navedenega. IP v konkretnem primeru sicer ne more dokončno presojati zakonitost ravnanja šole, ki ga opisujete, lahko pa bi šlo za neprimerno rešitev, saj za posredovanje osebnih podatkov učencev in posledično odprtje šolskih elektronskih naslovov preko ponudnika Google ni razbrati nobene pravne podlage iz člena 6(1) Splošne uredbe.

Prav tako je treba upoštevati pomisleke glede varnosti osebnih podatkov in iznosa v tretje države, do katerih bi v opisanem primeru nedvomno prišlo.

IP ob tem še dodaja, da mora šola osebne podatke učencev obdelovati na način, ki najmanj poseže v pravico do varstva osebnih podatkov in zasebnosti otroka. V mnenju št. 0712-2/2010/2319 z dne 28. 12. 2010 (Zbiranje elektronskih naslovov učencev) je IP tako v primeru, ko je obdelava naslovov elektronske pošte učencev pomembna zaradi sodelovanja v spletnih učilnicah, že predlagal, da se prijava izvede z uporabniškim imenom in geslom, ki nista enaka naslovu elektronske pošte, in da datoteke (šolsko gradivo) iz spletne učilnice prenašajo na svoje računalnike učenci sami, morebitne težave z obdelavo naslovov elektronske pošte pa odpadejo, saj v tem primeru sploh ne pride do takšne obdelave, primarni cilj (torej sodelovanja v spletnih učilnicah) pa je kljub temu dosežen.

Če glede na obrazloženo menite, da šola krši Splošno uredbo, lahko pri IP vložite prijavo. Priporočamo, da se prijava poda na obrazcu »Obrazec ZIN PRIJAVA«, ki je dostopen na povezavi https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. Prijavo se lahko pošlje po elektronski pošti na naslov gp.ip@ip-rs.si oziroma po navadni pošti na naslov Dunajska cesta 22, 1000 Ljubljana.

Lep pozdrav,

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,                                               

                                                                                                             informacijska pooblaščenka

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov