Objava slik otrok na Facebooku

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da ima šola, kamor hodi vaša hčerka, Facebook stran, ki je javno dostopna za vse, na njej pa objavlja posnetke otrok, ogromno količino fotografij otrok z dnevov dejavnosti in šole v naravi (na sliki niso skupine otrok, ampak posamezni otroci) ter obvestila, kdaj se otroci vračajo domov iz šole v naravi. Vaša hčerka je bila v poletni šoli v naravi in so se na Facebooku pojavile tudi slike deklic v kopalkah (po ena deklica na sliki). Zanima vas, kje je še dopustna meja za objavljanje takih fotografij ter ali si lahko šola kot vzgojna ustanova privošči tako Facebook stran, saj svoje otroke ves čas učite, naj na internetu ne objavljajo svojih fotografij. Soglasje ste podpisali, saj nočete, da je vaša hčerka izločena in da mora pri vsakem fotografiranju stopiti na stran, vendar pa pričakujete neko odgovornost tudi s strani šole. Sprašujete, kaj lahko kot starš naredite v takem primeru.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo in 177/20 v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Šola lahko obdeluje osebne podatke otrok skladno z zakonodajo, ki med drugim določa, da mora osnovna šola za obdelavo osebnih podatkov otrok pridobiti soglasje staršev, da so javno dostopni, ker po naravi, vsebini ali namenu ne posegajo v zasebnost otrok. Soglasje lahko starši kadarkoli prekličejo, skladno s Splošno uredbo pa lahko zahtevajo tudi izbris osebnih podatkov.

Tudi v primeru ustrezno pridobljenih privolitev staršev oziroma zakonitih skrbnikov mora šola pri izbiri načina in vsebine objav ustrezno skrbeti za sorazmernost obdelav in varovanje vseh pravic otrok, ne le pravice do zasebnosti. Šola mora pri tem zato upoštevati tudi vpliv vsebine in načina objav na druge otrokove pravice, o čemer pa IP ni pristojen presojati.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Pojasnjujemo, da mora imeti upravljavec za obdelavo osebnih podatkov osebnih podatkov ustrezno pravno podlago skladno s prvim odstavkom 6. člena Splošne uredbe. Privolitev je ena od pravnih podlag, na podlagi katerih se lahko obdelujejo osebni podatki, druge pravne podlage pa so v javnem sektorju npr. izvajanje pogodbe, izpolnitev zakonske obveznosti in opravljanje naloge v javnem interesu. Drugi odstavek 6. člena Pravilnika o zbiranju in varstvu osebnih podatkov na področju osnovnošolskega izobraževanja (Uradni list RS, št. 80/04 in 76/08, v nadaljevanju: pravilnik) določa, da za osebne podatke, za katere se starši učencev s pisno privolitvijo strinjajo, da so javno dostopni, ker po naravi, vsebini ali namenu ne posegajo v zasebnost učencev (npr. razstave izdelkov učencev, skupinski posnetki učencev na fotografijah, videoposnetki, zvočni ali filmski posnetki javnih nastopov učencev na prireditvah, ipd.), šola pridobi pisno soglasje staršev za celo šolsko leto.

Glede na določbo pravilnika bi mora šola v konkretnem primeru pred objavo sicer pretehtati, ali konkretne fotografije pomenijo morda poseg v zasebnost učencev. IP v okviru nezavezujočega mnenja in skladno s svojimi pristojnostmi o morebitnem posegu v zasebnost zaradi objave slik otrok, ne more presojati. Namreč, IP je pristojen le za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov in ga ureja 38. člen Ustave Republike Slovenije (Ustava RS; Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami; v nadaljevanju: Ustava RS). Objava bi lahko predstavljala poseg v otrokovo pravico do zasebnosti v širšem smislu iz 35. člena Ustave RS, ki jo lahko uveljavljate na civilnem oziroma kazenskem sodišču.

Dodatno opozarjamo, da bi morala šola tudi v primeru ustrezno pridobljenih privolitev staršev oziroma zakonitih skrbnikov pri izbiri načina in vsebine objav ustrezno skrbeti za sorazmernost obdelav in varovanje vseh pravic otrok, ne le pravice do zasebnosti. Šola mora pri tem zato upoštevati tudi vpliv vsebine in načina objav na druge otrokove pravice, o čemer pa IP ni pristojen presojati.

Glede privolitve pa nadalje pojasnjujemo, da mora biti privolitev vedno prostovoljna, specifična, informirana ter nedvoumna in da se lahko kadarkoli prekliče. Upravljavec (šola) mora natančno opredeliti, kakšen je namen podane privolitve, na kakšen način bodo prejeti podatki obdelani in kje bodo objavljeni. Glede na zahtevo, da mora biti privolitev informirana, mora vsebovati torej naslednje:

- podatek o identiteti upravljavca (naziv šole),

- konkretno opredeljen namen za vsako posamezno obdelavo, za katero je zahtevana posamezna privolitev,

- navedbo vrst osebnih podatkov, ki bodo zbrani in obdelovani,

- obstoj pravice do umika privolitve,

- obvestilo posamezniku, da ima pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov,

- obvestilo posamezniku o morebitnih tveganjih pri prenosu osebnih podatkov v tretjo državo ali mednarodno organizacijo.

Preden starši izpolnijo obrazec s privolitvijo, morajo biti tudi podrobno informirani o obdelavi osebnih podatkov, kot to določa 13. člen Splošne uredbe. Tako morajo npr. prejeti informacije o namenih ter pravni podlagi za obdelavo osebnih podatkov; uporabnikih osebnih podatkov; obdobju hrambe osebnih podatkov; pravicah posameznika, itd. Več informacij glede obveščanja posameznikov je dostopnih na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/obve%C5%A1%C4%8Danje-posameznikov-o-obdelavi-osebnih-podatkov.

Šola kot upravljavec mora zagotoviti, da je umik privolitve mogoč v tako enostavni obliki, kot je bila dana privolitev in da ga je možno kadarkoli izvesti. O možnosti umika privolitve je treba starše obvestiti že pred samo podajo privolitve. Več o privolitvi in njenih obveznih sestavinah lahko preberete na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/.

Skladno s Splošno uredbo lahko zahtevate tudi izbris otrokovih osebnih podatkov, ki ga določa 17. člen Splošne uredbe. Več o tem lahko preberete na spletni strani https://tiodlocas.si/zelim-izbrisati-svoje-podatke/.

V kolikor na podlagi naših pojasnil menite, da je prišlo do kršitve varstva osebnih podatkov, lahko podate prijavo v zvezi z domnevnimi kršitvami pri IP. Uporabite lahko obrazec »Prijava kršitve varstva osebnih podatkov (Obrazec ZIN PRIJAVA)«, ki je objavljen na povezavi: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

Lepo vas pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                                

Barbara Pirš, univ.dipl.prav.,

svetovalka pooblaščenca za preventivo