Pri Informacijskem pooblaščencu (IP) so prejeli zaprosilo za mnenje glede pridobitve podatkov o nekdanjih sošolcih od šole zaradi organizacije srečanja.
*******
Za zakonito posredovanje osebnih podatkov učencev, četudi za namen organizacije srečanja nekdanjih sošolcev, bi morala šola kot upravljavec osebnih podatkov izkazati ustrezno pravno podlago, na primer privolitev posameznikov.
O b r a z l o ž i t e v:
Na podobna vprašanja je IP že odgovarjal v več mnenjih, npr. v mnenju št. 07121-1/2022/639 z dne 10. 6. 2022. Vsa mnenja IP so dostopna s pomočjo iskalnika na https://www.ip-rs.si/mnenja-zvop-2/ (kategorija »Šolstvo«).
Iz teh mnenj izhaja, da mora imeti upravljavec (v konkretnem primeru šola) za vsako obdelavo osebnih podatkov, torej tudi za posredovanje podatkov o nekdanjih učencih, zakonito in ustrezno pravno podlago. Po prvem odstavku 6. člena ZVOP-2 se lahko osebni podatki obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Pravne podlage iz prvega odstavka 6. člena Splošne uredbe so med drugim privolitev, izvajanje pogodbe, izpolnitev zakonske obveznosti, zakoniti interesi upravljavca ali tretje osebe itn. Tretji odstavek 6. člena ZVOP-2 pa določa, da se v javnem sektorju lahko v skladu s prvim odstavkom tega člena obdelujejo osebni podatki posameznika, ki je dal privolitev za obdelavo svojih osebnih podatkov za enega ali več določenih namenov, če tako možnost določa zakon, sicer pa na podlagi privolitve, če ne gre za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja.
IP ob tem pojasnjuje, da pomeni pojem »osebni podatek« katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika (1. točka 4. člena Splošne uredbe). Osebna imena nekdanjih sošolcev, njihovi kontaktni podatki in drugi podatki, na podlagi katerih so določljivi, tako nedvomno predstavljajo osebne podatke.
Namen, za katerega bi želeli pridobiti podatke (organizacija srečanja) ni eden od zakonsko opredeljenih namenov, zaradi katerih šola obdeluje osebne podatke učencev. Zato bi šola prosilcu lahko posredovala te podatke le, če bi bila podana druga ustrezna pravna podlaga, na primer privolitev teh učencev. Prav tako le izjava o tem, za kakšen namen bi uporabili te podatke ter da jih prosilec ne bo zlorabil, ne more nadomestiti pravne podlage za posredovanje osebnih podatkov. IP opozarja, da predstavlja posredovanje osebnih podatkov brez pravne podlage prekršek po ZVOP-2.