Privolitev v vrtcih in šolah

Informacijski pooblaščenec RS (v nadaljevanju IP) prejel vaše zaprosilo za mnenje v zvezi s privolitvami v obdelavo osebnih podatkov v vrtcih in šolah. Navajate, da vrtci in šole vsako šolsko leto zbirajo soglasja za obdelavo osebnih podatkov otrok in njihovih staršev, pri čemer izhajajo iz področnih podzakonskih predpisov, ki določajo, da vrtec oz. šola pridobi pisno soglasje staršev za otrokove fotografije, posnetke, izdelke, itd., za posamezno šolsko leto (navajate 6. člen Pravilnika o zbiranju in varstvu osebnih podatkov na področju osnovnošolskega izobraževanja (Uradni list RS, št. 80/04 in 76/08); 16. člen Pravilnika o zbiranju in varstvu osebnih podatkov na področju predšolske vzgoje (Uradni list RS, št. 80/04) in 6. člen Pravilnika o zbiranju in varstvu osebnih podatkov v glasbenih šolah (Uradni list RS, št. 117/04). Zanima vas, ali bi bila pravno dopustna razlaga, da glede na tretji odstavek člena 7 Splošne uredbe o varstvu podatkov (ang. GDPR), ki določa, da »ima posameznik, na katerega se nanašajo osebni podatki, pravico, da svojo privolitev kadarkoli prekliče«, vzgojno izobraževalni zavodi staršem in drugim zakonitim zastopnikom otrok ne bi dajali v podpis soglasij za obdelavo osebnih podatkov vsako šolsko leto, temveč bi se, po argumentih lex superior derogat legi inferiori (argument stopnjevitosti in hierarhičnosti pravnih aktov) in lex posterior derogat legi priori (argument časovnosti), lahko štelo, da to soglasje velja do preklica.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanjem. IP še pojasnjuje, da kot nadzorni organ za varstvo osebnih podatkov izven konkretnega inšpekcijskega ali drugega ustreznega postopka ne more presojati skladnosti konkretnih obdelav osebnih podatkov niti tolmačiti uporabe področnih predpisov na konkretnem primeru. Glede na navedeno vam v nadaljevanju posredujemo naše splošno stališče v zvezi z vašim vprašanjem.

Vaše vprašanje se nanaša na pisno soglasje staršev, ki ga šola ali vrtec »pridobi za celo šolsko leto« v skladu z drugim odstavkom 6. člena Pravilnika o zbiranju in varstvu osebnih podatkov na področju osnovnošolskega izobraževanja (Uradni list RS, št. 80/04 in 76/08), drugim odstavkom 16. člena Pravilnika o zbiranju in varstvu osebnih podatkov na področju predšolske vzgoje (Uradni list RS, št. 80/04) in drugim odstavkom 6. člen Pravilnika o zbiranju in varstvu osebnih podatkov v glasbenih šolah (Uradni list RS, št. 117/04). Iz navedenih določb smiselno podobno izhaja, da se soglasje za obdelavo osebnih podatkov zbira za osebne podatke, za katere se starši učencev s pisno privolitvijo strinjajo, da so javno dostopni, ker po naravi, vsebini ali namenu ne posegajo v zasebnost učencev (npr. razstave izdelkov učencev, skupinski posnetki učencev na fotografijah, videoposnetki, zvočni ali filmski posnetki javnih nastopov učencev na prireditvah, ipd.). Iz soglasja mora biti razvidno, za kakšne fotografije, snemanja in intervjuje gre, na kakšen način oziroma za kakšne namene se bodo le-ti uporabljali in koliko časa se bodo shranjevali.

IP ugotavlja, da »soglasje« kot ga opredeljujejo prej navedene določbe pravilnikov, pomeni pravno podlago za obdelavo osebnih podatkov v skladu s členom 6(1)(a) Splošne uredbe, ki določa, da je obdelava osebnih podatkov zakonita, če je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov. Obdelava osebnih podatkov v skladu s Splošno uredbo mora biti dana z jasnim pritrdilnim dejanjem, ki pomeni, da je posameznik, na katerega se nanašajo osebni podatki, prostovoljno, konkretno, ozaveščeno in nedvoumno izrazil strinjanje z obdelavo osebnih podatkov v zvezi z njim, kot je s pisno, tudi z elektronskimi sredstvi, ali ustno izjavo (uvodna določba 32 Splošne uredbe). Pogoje veljave privolitve določa tudi člen 7 Splošne uredbe, ki v tretjem odstavku določa, da posameznik, na katerega se nanašajo osebni podatki, ima pravico, da svojo privolitev kadar koli prekliče. Preklic privolitve ne vpliva na zakonitost obdelave na podlagi privolitve pred njenim preklicem. O tem se pred privolitvijo obvesti posameznik, na katerega se nanašajo osebni podatki. Privolitev je enako enostavno preklicati kot dati.

IP ugotavlja, da upoštevanje citiranih določb področnih pravilnikov, v skladu s katerimi šole in vrtci vsako leto pridobivajo privolitve staršev, ne nasprotuje uporabi določb iz Splošne uredbe. Splošna uredba v določbi 7(3) – nasprotno kot sicer izhaja iz vašega vprašanja – ne zapoveduje, da je lahko veljavna zgolj privolitev, ki bi veljala do preklica. Veljavna je namreč lahko tudi privolitev, ki je časovno omejena. Ker je pravna argumenta lex superior in lex priori (ki jih navajate) dopustno uporabiti le za razlago nasprotujočih si pravnih pravil, v danem primeru pa določbe iz pravilnikov ne nasprotujejo pravilom veljavne privolitve po Splošni uredbi, tudi navedena argumenta časovnosti in hierarhičnosti ne prideta v poštev. Ob tem velja še dodati, da časovna omejitev veljavnosti privolitve, ne znižuje nivoja varstva osebnih podatkov, temveč ga nasprotno – zvišuje. V skladu s splošno sprejeto razlago prava človekovih pravic, pa je treba med različnimi ustavno dopustnimi razlagami pravnih pravil upoštevati tisto, ki zagotavlja višji nivo varstva človekovih pravic.

S spoštovanjem,

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka

Anže Novak, univ. dipl. prav.

Svetovalec pooblaščenca za preventivo