Razkritje podatkov o izobraževanju zaposlenih

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Navajate, da ste zasebna srednja in višja šola v izobraževanju odraslih, kamor se pogosto vpisujejo mlade osebe, stare 18 do 22 let. Pojasnjujete, da pogodbo o izobraževanju sklenete s slušatelji, šolnino pa jim plačujejo starši. Vendar prihaja do situacij, ko vas starši kličejo ter poizvedujejo o napredku otroka, ker jim le-ta ne želi povedati, kako napreduje v šoli. Zanima vas, ali je kakšna možnost, da bi v takšnih primerih staršem povedali, kako in kaj je z njihovim otrokom oziroma kako napreduje po programu, v katerega je vpisan.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za razkritje oziroma posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno razkritje s posredovanjem osebnih podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti upravljavec osebnih podatkov.

Za zakonito obdelavo osebnih podatkov, torej med drugim za njihovo razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, mora imeti upravljavec zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe o varstvu podatkov in so naslednje:

1. a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
2. b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
3. c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
4. d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
5. e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
6. f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Točka f se ne uporablja za obdelavo s strani javnih organov pri opravljanju javnih nalog.

V primeru posebnih vrst podatkov mora biti za zakonitost obdelave izpolnjen tudi eden izmed pogojev, določenih v členu 9(2) Splošne uredbe o varstvu podatkov.

Zakon o poklicnem in strokovnem izobraževanju (Uradni list RS, št. 79/06, 68/17 in 46/19; v nadaljevanju ZPSI-1) v 87.a členu ureja razkrivanje in posredovanje osebnih podatkov staršem polnoletnih dijakov, in sicer določa:

»Starši polnoletnega dijaka imajo pravico, da jim šola, na enak način kot staršem mladoletnega dijaka, razkrije oziroma posreduje osebne podatke dijaka in druge informacije o:

-        vpisu v izobraževalni program in izpisu iz izobraževalnega programa,

-        ocenah, učnem uspehu in napredovanju,

-        prisotnosti pri pouku in drugih oblikah izobraževalnega dela,

-        zaznanih hujših kršitvah šolskega reda in uvedenih postopkih vzgojnega ukrepanja,

-        obravnavi svetovalne službe,

-        organizaciji šolskega dela (npr. roditeljski sestanki, govorilne ure).

Šola o razkrivanju oziroma posredovanju osebnih podatkov iz prejšnjega odstavka seznani dijaka na začetku šolskega leta, v katerem bo dijak postal polnoleten.

Polnoletni dijak lahko s pisno izjavo kadarkoli zahteva, da šola njegovih osebnih podatkov iz prvega odstavka tega člena ne razkrije oziroma posreduje staršem.

Ne glede na pisno izjavo dijaka iz prejšnjega odstavka šola razkrije oziroma posreduje staršem podatke o odsotnosti dijaka, podatke o zaznanih hujših kršitvah šolskega reda in uvedenih postopkih vzgojnega ukrepanja, ter tiste osebne podatke iz prvega odstavka tega člena, ki bi lahko imeli za posledico izgubo statusa dijaka zaradi negativnega učnega uspeha, izključitve ali izpisa iz šole.«

Navedena dopolnitev ZPSI-1 se je začela uporabljati 1. 9. 2019. Kot izhaja iz zakonodajnega predloga[1], je namen te dopolnitve zagotovitev pravne podlage za posredovanje osebnih podatkov polnoletnih dijakov njihovim staršem, do katerih so upravičeni zaradi izvrševanja njihove dolžnosti preživljanja v skladu s predpisi, ki urejajo varstvo osebnih podatkov. Tako šola ravna enotno pri posredovanju oziroma razkrivanju osebnih podatkov dijakov njihovim staršem ne glede na njihovo starost. Podobno določbo vsebuje tudi nov 43.a člen Zakona o gimnazijah (Uradni list RS, št. 1/07 – uradno prečiščeno besedilo, 68/17, 6/18 – ZIO-1 in 46/19).

Skladno z določbo 87.a člena ZPSI-1 lahko torej šola staršem polnoletnih dijakov posreduje predpisan nabor osebnih podatkov njihov otrok, seveda pod zakonsko predvidenimi pogoji. Vendar IP opozarja, da se ta določba nanaša le na dijake, ne pa tudi na študente višjih šol. Posebnih določb o posredovanju podatkov staršem študentov Zakon o višjem strokovnem izobraževanju (Uradni list RS, št. 86/04 in 100/13) ne vsebuje. Ne glede na to pa IP meni, da bi bila lahko podana pravna podlaga (predvsem točke a), d) in e) člena 6(1) Splošne uredbe o varstvu podatkov) za seznanitev staršev z osebnimi podatki polnoletnega otroka, ki je vpisan v višješolski strokovni študij in so ga skladno s tretjim odstavkom 183. člen Družinskega zakonika (Uradni list RS, št. 15/17, 21/18 – ZNOrg, 22/19, 67/19 – ZMatR-C in 200/20 – ZOOMTVI) starši dolžni preživljati, če ti podatki vplivajo na izvajanje obveznosti preživljanja otrok, kar je treba presojati v vsakem konkretnem primeru posebej. Pri tem je pomembno predvsem, ali gre za tako pomembne informacije glede oviranja šolanja in zagotavljanja razvoja, da so starši ne glede na izraženo željo polnoletnega otroka do njih upravičeni. Šola pa je dolžna študente o takšni obdelavi njihovih osebnih podatkov skladno s členom 13. in 14. Splošne uredbe o varstvu podatkov tudi vnaprej obvestiti.

Svetujemo, da si več o pravicah posameznika glede varstva podatkov preberete na naši spletni strani www.tiodlocas.si.

Vsa mnenja IP so objavljena in dostopna na naši spletni strani: https://www.ip-rs.si/vop/.

Prav tako pa so vsa ključna področja, kot jih ureja Splošna uredba o varstvu podatkov, predstavljena na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/, kjer lahko najdete veliko koristnih nasvetov glede bistvenih obveznosti podjetij in drugih organizacij za pravilno izvajanje ukrepov varstva osebnih podatkov.

Lep pozdrav,

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.