Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 12.09.2019
Naslov: Varstvo OP v osnovnih šolah
Številka: 0712-1/2019/2080
Vsebina: Rok hrambe OP, Šolstvo, Zavarovanje osebnih podatkov
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje:

1.) Navajate, da Zakon o osnovni šoli v 95. členu določa zbirke osebnih podatkov na področju osnovnošolskega izobraževanja, v 98. členu pa njihov rok hrambe. Opozarjate, da se ti roki ne ujemajo vedno z roki hranjenja, določenimi s Pravilnikom o dokumentaciji v osnovni šoli (npr. osebni športno-vzgojni karton, vzgojni opomin).

2.) Ali se lahko popiše le večje zbirke po 95. členu Zakona o osnovni šoli, brez razdelitve po sklopih dokumentacije po Pravilniku? Ali lahko pride v primeru, da se popiše zbirke glede na pravilnik, do »ustanovitve« novih zbirk osebnih podatkov, ki kot take niso opredeljene v zakonu? 

3.) Kdo je upravljavec zbirke o kolesarskih izpitih, ki jih učenci opravljajo po 55. členu Zakona o voznikih?

4.) Ali pride tolmačenje IP, da gre pri objavi urnika učitelja za nesorazmeren poseg ter da je objava dovoljena le, če je šifrirana, v poštev tudi na predmetni stopnji, ko je mogoče podatke nekako »upariti« ali pa razbrati iz drugih podatkov, objavljenih na spletni strani oziroma če je mogoče iz vseh objavljenih urnikov predmetne stopnje dobiti skupen podatke o urniku za učitelja posameznega predmeta?

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

 

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. V mnenju lahko zato poda zgolj splošna pojasnila, ne more pa presojati ustreznosti konkretnega ravnanja posameznih upravljavcev. IP namreč ne sme in ne more prevzeti odgovornosti posameznih subjektov za njihovo poslovanje, podobno kot to velja za druge inšpekcijske organe.

 

Ad 1)

Po določbi 153. člena Ustave Republike Slovenije (Uradni list RS, št. 33/91-I, 42/97 – UZS68, 66/00 – UZ80, 24/03 – UZ3a, 47, 68, 69/04 – UZ14, 69/04 – UZ43, 69/04 – UZ50, 68/06 – UZ121,140,143, 47/13 – UZ148, 47/13 – UZ90,97,99 in 75/16 – UZ70a) morajo biti podzakonski predpisi in drugi splošni akti v skladu z Ustavo in zakonom (načelo usklajenosti pravnih aktov). Zakon mora biti vsebinska podlaga za izdajanje podzakonskih aktov. Pravilnik je po svoji pravni naravi podzakonski predpis, ki ga lahko izda minister za izvrševanje zakonov in drugih predpisov. Pravilnik zato ne sme v vsebinskem smislu določati ničesar brez zakonske podlage in zunaj vsebinskih okvirov, ki morajo biti v zakonu izrecno določeni ali iz njega vsaj z razlago ugotovljivi.

 

Zato IP v primeru morebitnega neskladja med Zakonom o osnovni šoli (Uradni list RS, št. 81/06 – uradno prečiščeno besedilo, 102/07, 107/10, 87/11, 40/12 – ZUJF, 63/13 in 46/16 – ZOFVI-L, v nadaljevanju ZOsn) in Pravilnikom o dokumentaciji v osnovni šoli (Uradni list RS, št. 61/12 in 51/13, v nadaljevanju Pravilnik) glede določenih rokov hrambe priporoča, da se upravljavci držijo rokov, ki so predpisani v zakonu.

 

Ad 2)

Skladno s 30. členom Splošne uredbe vsak upravljavec in predstavnik upravljavca, kadar ta obstaja, vodi evidenco dejavnosti obdelave osebnih podatkov v okviru svoje odgovornosti. Odgovornost za ustrezen »popis zbirk« je torej na upravljavcu in IP namesto njega ne more presojati, kakšen način je v konkretnem primeru primernejši.

 

Ob tem pa IP pojasnjuje, da bi v primeru, ko bi šlo pri izčlenitvi osebnih podatkov iz zbirke osebnih podatkov za nov namen obdelave osebnih podatkov, ki ni vsebovan oziroma zajet v osnovnih namenih obdelave celotne zbirke, načeloma lahko govorili o novi zbirki osebnih podatkov. V primeru, ki ga opisujete, pa IP meni, da namen obdelave osebnih podatkov ostaja enak ne glede na to, ali se zbirke oblikujejo po ZOsn ali podrobneje, upoštevajoč Pravilnik. Zato v konkretnem primeru najverjetneje ne bi prišlo do ustanovitve novih zbirk, temveč bi šlo le za drugačen način evidentiranja osebnih podatkov, seveda pod pogojem, da namen obdelave ostaja enak.

 

Ad 3)

Skladno s sedmim odstavkom 55. člena Zakona o voznikih (Uradni list RS, št. 85/16, 67/17, 21/18 – ZNOrg in 43/19) se otrok usposobi za vožnjo kolesa, ko opravi kolesarski izpit in dobi v osnovni šoli kolesarsko izkaznico. Kolesarska izkaznica je uradni dokument, ki ga opredeljuje Pravilnik o obrazcih javnih listin v osnovni šoli (Ur. l. RS, št. 44/08, 32/09, 88/13, 32/16 in 40/16), ki ga predpisuje minister, pristojen za šolstvo. Šola hrani vso dokumentacijo o usposabljanju za vožnjo kolesa in kolesarskem izpitu v skladu z zakonodajo o arhiviranju. Iz navedenega izhaja, da je upravljavec zbirke o kolesarskih izpitih osnovna šola.

 

Ad 4)

IP je v mnenju št. 0712-1/2014/3457 z dne 10. 11. 2014 (»Javna objava učiteljevega urnika«) pojasnil, da za namen enostavne seznanitve deležnikov učnega procesa z urnikom predavanj, ki ga določi šola, ni nobene potrebe, da so ti podatki na voljo splošni javnosti. Zato je predlagal, da šola onemogoči javno dostopnost urnika po posameznem učitelju, ob tem pa dodal, da možnost izpisa urnika, ki je določen samo s šifro in je znana oziroma dostopna le dijaku, staršem in šoli, ni sporna.

 

IP meni, da lahko opisana razlaga velja tudi za objave urnika na predmetni stopnji, saj načeloma ni nobenega razloga za to, da bi se z njim seznanjala splošna javnost. Osebni podatki morajo biti namreč skladno s členom 5(1)(c) Splošne uredbe ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (načelo najmanjšega obsega podatkov). IP pa izpostavlja, da je primarna presoja o tem, ali so v konkretnem primeru, za konkreten namen in konkretne podatke izpolnjeni pogoji za obdelavo, naloga in odgovornost upravljavca.

 

 

Lep pozdrav,

 

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,                                                

                                                                                                           informacijska pooblaščenka

 

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov