Uporaba kontaktnih podatkov za pošiljanje vabila k anketi

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje o dopustnosti uporabe kontaktnih podatkov iz eVŠ evidence študentov in diplomantov (ime in priimek diplomanta ter stalno in začasno prebivališče) za potrebe kontaktiranja – pošiljanja vabila k udeležbi v anketiranju izbranih kohort diplomantov. Dodatno preverjate, ali je dopustno že v vabilo k izpolnjevanju vprašalnika o zaposljivosti vključiti predhodno generirano personalizirano povezavo do vprašalnika s QR kodo, preko katere bo diplomant, v kolikor se bo odzval vabilu, lahko dostopal do ankete.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Uporaba kontaktnih podatkov diplomantov iz 81.e člena ZVis za obveščanje in vabljenje k izpolnjevanju ankete o spremljanju zaposljivosti bi lahko temeljila na točki e) člena 6(1) Splošne uredbe o varstvu podatkov ali na četrtem odstavku 9. člena ZVOP-1. Vendar pa ministrstvo samo nosi odgovornost za presojo, ali je takšna obdelava osebnih podatkov nujna za opravljanje naloge v javnem interesu oziroma za izvrševanje zakonitih pristojnosti, nalog ali obveznosti ministrstva.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Odgovornost za zakonito in pošteno obdelavo osebnih podatkov nosi upravljavec, IP pa lahko v okviru mnenja poda zgolj splošne usmeritve.

Pred vsako obdelavo osebnih podatkov mora upravljavec med drugim opredeliti pravno podlago zanjo, saj je obdelava dopustna zgolj pod pogojem, da obstaja za konkreten namen obdelave zakonita in ustrezna pravna podlaga. V javnem sektorju, kamor sodi tudi ministrstvo, ta pravna podlaga izhaja zlasti iz veljavnih zakonskih predpisov v zvezi s točkama c) in e) člena 6(1) Splošne uredbe o varstvu podatkov. Še vedno pa velja tudi četrti odstavek 9. člena ZVOP-1.

Pojasnjujete, da bi kontaktne podatke iz eVŠ evidence študentov in diplomantov po 81.e členu Zakona o visokem šolstvu (Uradni list RS, št. 32/12 – uradno prečiščeno besedilo, 40/12 – ZUJF, 57/12 – ZPCP-2D, 109/12, 85/14, 75/16, 61/17 – ZUPŠ, 65/17, 175/20 – ZIUOPDVE, 57/21 – odl. US, 54/22 – ZUPŠ-1 in 100/22 – ZSZUN; v nadaljevanju ZVis) uporabili zgolj za obveščanje in vabljenje diplomantov, in sicer je za Slovenijo v okviru projekta »European Graduate Tracking Initiative - 2nd Phase of the Eurograduate Pilot Survey« predvideno, da se k izpolnjevanju spletnega vprašalnika povabi vse visokošolske diplomante (državljane Republike Slovenije in tuje državljane), ki so svoj študij zaključili na visokošolskih zavodih v Republiki Sloveniji eno, tri in pet let pred anketiranjem. Soglasje za sodelovanje v anketiranju glede varovanja osebnih podatkov in k obdelavi pridobljenih odgovorov ter glede zbiranja, obdelovanja, hranjenja, varovanja, posredovanja podatkov pridobljenih v fazi anketiranja, objave in nadaljnje uporabe, za specifičen namen, bo pridobljeno pred izpolnjevanjem anketnega vprašalnika od vsakega diplomanta, ki se bo odzval vabilu in pristopil k izpolnjevanju vprašalnika.

ZVis v 81.e členu določa, kateri podatki oseb, ki so pridobile status študenta v skladu s tem zakonom, se vodijo v eVŠ evidenci študentov in diplomantov, med drugim tudi osebno ime ter stalno in začasno prebivališče (ulica, hišna številka, kraj, poštna številka, občina, država). Osebne podatke študentov oziroma diplomantov iz evidence tega člena ministrstvo, pristojno za visoko šolstvo, obdeluje za potrebe ugotavljanja pravic študentov po tem zakonu in ugotavljanja pravic študentov po zakonu, ki ureja uveljavljanje pravic iz javnih sredstev.

Po mnenju IP bi obdelavo kontaktnih podatkov za namen obveščanja in vabljenja diplomantov k izpolnjevanju ankete težko opredelili kot potrebno za ugotavljanje pravic študentov. Zato bi v opisanem primeru lahko morda prišla v poštev bodisi pravna podlaga iz točke e) člena 6(1) Splošne uredbe o varstvu podatkov bodisi iz četrtega odstavka 9. člena ZVOP-1.

Skladno s točko e) člena 6(1) Splošne uredbe o varstvu podatkov je obdelava osebnih podatkov zakonita, če je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu. Kot izhaja iz mnenja Delovne skupine za varstvo podatkov po členu 29 št. 6/2014 (WP 217), ima pravna podlaga po členu 7(e) Direktive 95/46/ES, kar še vedno velja tudi za smiselno enako podlago po točki e) člena 6(1) Splošne uredbe za varstvo podatkov, lahko zelo široko področje uporabe, zaradi česar sta potrebna stroga razlaga in v vsakem posameznem primeru jasna opredelitev zadevnega javnega interesa in javne oblasti, ki upravičuje obdelavo.

Kot je IP pojasnil v Smernicah za skladno uporabo informacijskih rešitev v šolstvu[1], četrti odstavek 9. člena ZVOP-1 zagotavlja neposredno zakonsko podlago za obdelavo osebnih podatkov, vendar pa je lahko takšna obdelava le izjemoma dopustna, če je (1) nujna za izvajanje zakonsko predpisane pristojnosti šole in (2) ne sme posegati v upravičen interes posameznika. Ker gre za izjemo od splošnega pravila, da lahko obdelavo osebnih podatkov določi le zakon, je treba to podlago presojati strogo. Za izkaz nujnosti obdelave mora upravljavec izkazati, da je bila to edina možnost glede na dane okoliščine, da sploh lahko izvaja svojo zakonito pristojnost, nalogo ali obveznost. V drugem pogoju pa se zrcali standard upravičenega pričakovanja zasebnosti, ki ga je razvilo Evropsko sodišče za človekove pravice, ki v bistvu kaže na uporabo načela sorazmernosti v ožjem smislu (torej tehtanje med ciljem, ki je v javnem interesu in ga obdelava izpolnjuje proti interesu posameznika, da se v njegove pravice ne posega). Za uravnoteženje tega cilja so ključne tudi morebitne dodatne varovalke, ki preprečujejo neupravičeno obdelavo osebnih podatkov (npr. pošteno in ustrezno obveščanje posameznikov ter drugi organizacijski in varnostni ukrepi). Vse navedeno lahko prispeva k dopustnosti obdelave v konkretnem primeru na podlagi četrtega odstavka 9. člena ZVOP-1, ki pa je, kot že pojasnjeno, dopustna zgolj izjemoma.

IP v okviru mnenja ne more presojati o tem, ali je predlagana obdelava kontaktnih podatkov diplomantov potrebna za opravljanje naloge v javnem interesu oziroma za izvrševanje zakonitih pristojnosti, nalog ali obveznosti ministrstva. Izbira ustrezne pravne podlage je namreč odgovornost upravljavca osebnih podatkov in se določi glede na konkretne okoliščine. Prav tako IP v mnenju ne more odločati o tem, ali je dopustno že v vabilo k izpolnjevanju vprašalnika o zaposljivosti vključiti predhodno generirano personalizirano povezavo do vprašalnika s QR kodo, preko katere bo diplomant, v kolikor se bo odzval vabilu, lahko dostopal do ankete. To presojo morate s pomočjo zgoraj podanih usmeritev opraviti sami.

IP ob tem še dodaja, da je treba ločiti med pravno podlago za namen obveščanja in vabljenja diplomantov k izpolnjevanju ankete z uporabo njihovih kontaktnih podatkov ter pravno podlago za obdelavo osebnih podatkov diplomantov, zbranih na podlagi ankete. Privolitev za obdelavo osebnih podatkov v okviru ankete, ki jo omenjate, mora izpolnjevati vse pogoje za veljavnost, kar pomeni, da mora biti prostovoljna, konkretna, informirana in nedvoumna. IP priporoča, da se seznanite s smernicami Evropskega odbora za varstvo podatkov št. 05/2020 o privolitvi in so dostopne na: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_sl. Kratek povzetek ključnih informacij pa je na voljo tudi na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/.

Nazadnje IP opozarja na obveznost upravljavca, da posameznikom zagotovi ustrezne informacije v zvezi z obdelavo (med drugim o namenih, za katere se osebni podatki obdelujejo, in pravni podlagi za njihovo obdelavo; o obstoju pravice do umika privolitve in drugih pravic skladno s Splošno uredbo o varstvu podatkov; o obdobju hrambe; o uporabnikih ali kategorijah uporabnikov, če obstajajo; o morebitnem prenosu osebnih podatkov v tretjo državo itn.), kot to določata člena 13 in 14 Splošne uredbe o varstvu podatkov. Vse informacije o ustreznem informiranju posameznikov, vključno s primerom vzorčnega obrazca,  so na voljo na spleti strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/obve%C5%A1%C4%8Danje-posameznikov-o-obdelavi-osebnih-podatkov.

Lepo vas pozdravljamo,

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka

[1] https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-za-skladno-uporabo-informacijskih-re%C5%A1itev-v-%C5%A1olstvu.