Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 18.05.2020
Naslov: Obrazec za izobraževanje
Številka: 07121-1/2020/881
Vsebina: Definicija OP, Informiranje posameznika, Moderne tehnologije, Pravne podlage, Svetovni splet
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede skladnosti spletnega izobraževalnega obrazca s predpisi s področja varstva osebnih podatkov.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

IP uvodoma poudarja, da v okviru mnenja ne more presojati ustreznosti določene rešitve z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega postopka. IP tako v okviru mnenja ne more presojati ustreznosti konkretnega obrazca s predpisi s področja varstva osebnih podatkov.

 

IP uvodoma pojasnjuje, da osebni podatek skladno s členom 4(1) Splošne uredbe o varstvu podatkov pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Splošna uredba o varstvu podatkov tako v odnosu na ZVOP-1 bistveno ne spreminja definicije osebnega podatka in ključni test še vedno ostaja določljivost posameznika. Na določljivost posameznika pa se gleda široko, torej ne samo skozi lastne zmožnosti, namene in interese, temveč se upošteva tudi, ali bi iz podatkov, ki jih obdelujete, drugi lahko izvedeli, na koga se nanašajo podatki. Treba je upoštevati vsa sredstva, informacije in znanja, ki jih imajo na voljo tudi drugi subjekti, ki bi lahko določili, za katerega posameznika gre. Na določljivost posameznika se torej gleda na široko in ne zgolj skozi lastne zmožnosti ali skozi zmožnosti enega subjekta, podjetja ali organizacije. Glede na navedeno ter tudi glede na mnenje Delovne skupine za varstvo podatkov iz člena 29 (predhodnice današnjega Evropskega odbora za varstvo podatkov) o konceptu osebnih podatkov in tudi na številna mnenja IP, je podatke o IP naslovu praviloma treba obravnavati kot osebne podatke.

 

V vašem zaprosilu za mnenje navajate, da potrdilo o opravljenem izobraževanju potrebujete izključno za dokazilo o izvedbi vašega projektnega dela in nimate namena ob tem zbirati nobenih osebnih podatkov. Glede na to vam IP vsekakor svetuje, da dobro premislite, ali je sploh potrebna kakršnakoli obdelava osebnih podatkov oziroma ali ne bi veljalo obrazca oblikovati na način, da navzočim ob zaključku izobraževalnih vsebin ne bi bilo treba posredovati njihovih osebnih podatkov. V kolikor je vaš izključni namen dokazilo o izvedbi izobraževanja oziroma statistično poročanje o številu udeležencev, IP meni, da za ta namen verjetno ni treba obdelovati osebnih podatkov.

 

V kolikor pa bo v opisanih primerih prišlo do obdelave osebnih podatkov, IP splošno pojasnjuje, da Splošna uredba o varstvu podatkov v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

​​​​​​​a)    posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
b)    obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
c)    obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
d)    obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
e)    obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
f)    obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. 

 

Privolitev posameznika je torej ena od možnih pravnih podlag za zakonito obdelavo osebnih podatkov.

Ob tem IP izpostavlja, da je treba, kadar je posameznik privolil v obdelavo njegovih osebnih podatkov v enega ali več namenov, upoštevati podrobnejša določila glede pogojev, po katerih se šteje, da je privolitev veljavna, ki so določeni v 7. členu Splošne uredbe o varstvu podatkov. Privolitev posameznika mora biti prostovoljno podana, konkretna, razumljiva izjava ali drugo nedvoumno pritrdilno dejanje in dokazljiva. Molk, vnaprej označena okenca ali kakršnakoli nedejavnost tako ne pomenijo privolitve. Prostovoljno je privolitev dana, kadar ima posameznik resnično izbiro in nadzor nad svojimi osebnimi podatki.  Posameznik ne sme čutiti prisile ali negativnih posledic, če privolitve ne poda. Prav tako ne sme biti postavljen v situacijo, ko privolitve ne more zavrniti ali preklicati brez morebitnih sankcij oz. škodnih posledic.

 

Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen. Namen mora biti jasno in nedvoumno opredeljen, saj je konkreten, ekspliciten in legitimen namen obdelave predpogoj za pridobitev veljavne privolitve. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče.

 

Glede privolitve otrok v obdelavo njihovih osebnih podatkov IP pojasnjuje, da je starostna meja, ko lahko otrok privoli v obdelavo svojih osebnih podatkov, v Republiki Sloveniji (RS) vezana na delno oziroma popolno poslovno sposobnost. Če se obdelava osebnih podatkov nanaša na aktivnosti, v katere lahko privoli oseba, ki ima delno poslovno sposobnost (je dopolnila 15 let), lahko delno poslovno sposobna oseba privoli tudi v obdelavo osebnih podatkov, ki poteka zaradi izvajanja takšnih aktivnosti. Če pa gre za sklepanje poslov, za katere se zahteva popolna poslovna sposobnost (torej polnoletnost), je biti tudi za obdelavo osebnih podatkov v povezavi s tem potrebna privolitev polnoletnega posameznika. Kadar gre torej za otroke, ki še nimajo (delne) poslovne sposobnosti, morajo privolitev zanje podati starši oziroma zakoniti zastopniki.

Splošna uredba o varstvu podatkov v 8. členu določa, da kadar obdelava osebnih podatkov poteka na podlagi privolitve posameznika, je v zvezi s storitvami informacijske družbe, ki se ponujajo neposredno otroku, obdelava osebnih podatkov otroka zakonita, kadar ima otrok vsaj 16 let. Kadar je otrok mlajši od 16 let, je takšna obdelava zakonita le, če in kolikor takšno privolitev da ali odobri nosilec starševske odgovornosti za otroka. Države članice lahko za te namene z zakonom določijo nižjo starost, če ta starost ni nižja od 13 let. RS te starosti še ni konkretno določila, zato se načeloma uporablja splošna starostna meja omejene poslovne sposobnosti petnajstih let. Vendar pa je treba omeniti, da se navedena določba nanaša zgolj na storitve informacijske družbe.

Več informacij o privolitvi lahko najdete lahko najdete tudi na spletni strani IP:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/

IP ob tem opozarja, da je v vsakem primeru treba zagotoviti, da so posamezniki primerno obveščeni o obdelavi njihovih osebnih podatkov v skladu z določbami 13. člena Splošne uredbe o varstvu podatkov, zato vam IP svetuje, da, v kolikor boste obdelovali osebne podatke udeležencev, informacije o obdelavi ustrezno vključite v obrazec. IP je za pomoč upravljavcem pri seznanjanju svojih uporabnikov/strank glede obdelave osebnih podatkov pripravil tudi vzorec obvestila, ki je dostopen na spletni strani IP:

 

Vzorec obvestila posameznikom glede obdelave osebnih podatkov (člen 13 Splošne uredbe o varstvu podatkov)

 

IP sklepno ponavlja, da v okviru mnenja ne more dokončno presojati konkretnega ravnanja posameznega upravljavca. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo in odgovornost zanjo je vedno na upravljavcu osebnih podatkov.

 

 

S spoštovanjem.

 

 

Pripravil:

Matej Sironič,                                                  

Svetovalec pooblaščenca

za varstvo osebnih podatkov

 

 

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka