Posredovanje podatkov o sošolcih zaradi priprave srečanja
+ -Številka: 07121-1/2022/639
Kategorije: Pridobivanje OP iz zbirk, Privolitev, Šolstvo
Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da ste za namen srečanja osnovnošolcev pričeli z zbiranjem kontaktov. Pri tem ste naleteli na težavo, saj ste zbrali za dva razreda imen, vendar ne veste, katera so imena sošolk in sošolcev, s katerimi ste dejansko zaključili šolanje (nekateri so ponavljali, odšli iz šole, v drug razred, itd.). Obrnili ste se na šolo s prošnjo, da vam pomagajo s podatki z arhiva, vendar so vam odgovorili, da vam podatkov ne morejo posredovati zaradi varstva osebnih podatkov. Tudi na že pripravljenem seznamu niso želeli označiti zgolj iste, ki so zaključili šolanje v zadevnem šolskem letu. Sprašujete, ali je vodstvo šole res v prekršku, če bi vam posredovali želene podatke?
***
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi člena 58 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo in 177/20, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
Za posredovanje osebnih podatkov učencev, ki so v določenem letu zaključili šolanje, bi šola kot upravljavec osebnih podatkov morala izkazati ustrezno pravno podlago, na primer privolitev posameznikov. Posredovanje podatkov brez pravne podlage predstavlja prekršek skladno z ZVOP-1.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.
Na podobna vprašanja, kot je vaše, je IP v nezavezujočih mnenjih že odgovarjal, npr. v izdanem mnenju št. 0712-3/2018/2770 z dne 9.1.2019. Mnenja so dostopna s pomočjo iskalnika na www.ip-rs.si/vop.
Pojasnjujemo, da mora biti za vsako obdelavo osebnih podatkov podana ustrezna pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe:
(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.
Ob tem opozarjamo, da se točka (f) ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.
Skladno z 9. členom ZVOP-1, ki se v tem delu (ne glede na sprejetje Splošne uredbe) še uporablja, načeloma velja, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Ne glede na to pa lahko nosilci javnih pooblastil obdelujejo osebne podatke tudi na podlagi osebne privolitve posameznika brez podlage v zakonu, kadar ne gre za izvrševanje javnih nalog.
Pojasnjujemo tudi, da pomeni osebni podatek katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika (1. točka 4. člena Splošne uredbe).
Kot smo poudarili v citiranem mnenju, lahko osnovna šola skladno z Zakonom o osnovni šoli (Uradni list RS, št. 81/06 – uradno prečiščeno besedilo, 102/07, 107/10, 87/11, 40/12 – ZUJF, 63/13 in 46/16 – ZOFVI-K, v nadaljevanju: ZOsn) zbira, obdeluje, shranjuje, posreduje in uporablja podatke, vsebovane v zbirkah podatkov, ki jih vodi v skladu s predpisi o varstvu osebnih podatkov, če s tem zakonom ni drugače določeno (94. člen). Med drugim osnovna šola vodi npr. zbirko podatkov o učencih, vpisanih v osnovno šolo, in njihovih starših in zbirko podatkov o napredovanju učencev, izdanih spričevalih, vzgojnih opominih in drugih listinah (1. in 2. alineja prvega odstavka 95. člena ZOsn). Podatki iz zbirk podatkov se zbirajo, obdelujejo, shranjujejo in uporabljajo za potrebe obveznega izobraževanja in posredujejo ministrstvu, pristojnemu za šolstvo, za izvajanje z zakonom določenih nalog ter Državnemu izpitnemu centru za izvajanje nacionalnega preverjanja znanja (prvi odstavek 97. člena ZOsn). Zbiranje osebnih podatkov je bolj podrobno urejeno v Pravilniku o zbiranju in varstvu osebnih podatkov na področju osnovnošolskega izobraževanja (Uradni list RS, št. 80/04 in 76/08, v nadaljevanju: pravilnik). Pravilnik tako določa, da se smejo osebni podatki o učencih in njihovih starših zbirati, uporabljati, shranjevati in posredovati samo za namene, določene v zakonu, oziroma za namene, razvidne iz privolitve posameznika, in ne smejo biti uporabljeni na način, ki ni združljiv s temi nameni (tretji odstavek 5. člena pravilnika).
Iz navedenega izhaja, da namen, za katerega bi želeli pridobiti podatke (organizacija srečanja) ni eden od zakonsko opredeljenih namenov, zaradi katerih se obdelujejo osebni podatki učencev, zato bi lahko šola posredovala osebne podatke o učencih, ki so v določenem letu končali izobraževanje na osnovni šoli zgolj v primeru, če bi obstajala ustrezna pravna podlaga – to je soglasje posameznikov. Glede na vaše vprašanje pojasnjujemo tudi, da se lahko z globo kaznuje pravna oseba oziroma odgovorna oseba pravne osebe, če npr. obdeluje osebne podatke, ne da bi imela za to podlago v zakonu ali v osebni privolitvi posameznika, oz. če nadalje obdeluje osebne podatke, ki so v neskladju z nameni, zaradi katerih so bili zbrani.
V upanju, da ste prejeli odgovor na svoje vprašanje, vas lepo pozdravljamo.
Mojca Prelesnik, univ.dipl.prav.,
informacijska pooblaščenka
Pripravila:
Barbara Pirš, univ.dipl.prav.,
svetovalka pooblaščenca za preventivo