Pojav novega koronavirusa (COVID-19) in njegovo hitro širjenje v družbi je številne sektorje presenetil in ujel nepripravljene na novo realnost. Zaprtje šol je izobraževalne ustanove, resorno ministrstvo, učence, učitelje in starše postavilo pred dejstvo, da bo treba vsaj za nekaj časa proces izobraževanja izvajati na daljavo in se temu čim hitreje prilagoditi. Proces izobraževanja na daljavo so izobraževalne ustanove zasnovale na način, ki od učencev zahteva uporabo sodobnih informacijskih tehnologij, pri čemer neizogibno prihaja tudi do (dodatne) obdelave osebnih podatkov. Otroci naj bi pri izobraževanju na daljavo uporabljali različna orodja za spletno komuniciranje, med drugim tudi orodja s funkcijo video klica in sorodne oblike sodelovanja, ali pa morajo učenci/dijaki po navodilu učitelja posneti izpolnjevanje dane naloge in posnetek posredovati učitelju. Poleg samih izvedbenih izzivov, kako izvajati izobraževanje na daljavo, pa se ob tem porajajo tudi vprašanja pravnih podlag za obdelavo osebnih podatkov, (ne)dopustnosti in pogojev za privolitev, vprašanja glede varnosti določenih rešitev in ustreznosti postopkov, dileme glede vsebine poročanja o izvedenem izobraževanju na daljavo in kontaktih s starši ter otroci ter druga s tem povezana vprašanja, zato v tokratni posodobitvi podajamo pregled aktualnih mnenj in priporočil, kako v spremenjenih razmerah zagotoviti ustrezno varstvo osebnih podatkov. 

O obdelavi osebnih podatkov otrok pri izobraževanju na daljavo

Pri obdelavi osebnih podatkov otrok za namene izvajanja izobraževanja na daljavo je uvodoma potrebno poudariti, da privolitev posameznika (oziroma zakonitega zastopnika otroka) ni ustrezna oziroma primerna pravna podlaga, po kateri naj bi takšna obdelava osebnih podatkov potekala. Bistveno je namreč, da gre pri izobraževanju na daljavo za izvajanje javnopravne naloge izobraževalne ustanove. Ne gre za aktivnosti, za katere lahko starši kot zakoniti zastopniki otrok podajo svobodno privolitev – kot jo že tradicionalno podajo na začetku šolskega leta na pripravljenem obrazcu (denimo za objavo fotografij v šolskem almanahu ipd.).

Za obdelavo osebnih podatkov otrok v spletnem okolju v trenutnih izrednih razmerah, ko poteka izobraževanje na daljavo, je po mnenju Informacijskega pooblaščenca edina ustrezna pravna podlaga 6(1)(c) Splošne uredbe[1], saj je obdelava potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca. Zakonsko obveznost sicer široko opredeljujejo zakoni s področja osnovnošolskega in srednješolskega izobraževanja, med drugim Zakon o osnovni šoli (Uradni list RS, št. 81/06 – UPB, s sprem. in dop.), Zakon o gimnazijah (Uradni list RS, št. 1/07 – UPB, s sprem. in dop.) ter Zakon o poklicnem in strokovnem izobraževanju (Uradni list RS, št. 79/06, s sprem. in dop.), ki določajo obveznost šol, da zagotavljajo predvidene oblike izobraževanja, ter dolžnost učencev in dijakov, da izpolnjujejo svoje šolske obveznosti. Delovne obveznosti učiteljev so nadalje opredeljene v Zakonu o organizaciji in financiranju vzgoje in izobraževanja (Uradni list RS, št. 16/07– UPB, s sprem. in dop.), ki v 119. členu določa tudi »zbiranje in obdelavo podatkov v zvezi z opravljanjem vzgojno-izobraževalnega in drugega dela«.

Po vedenju Informacijskega pooblaščenca mnogo učiteljev takšen način poučevanja že uporablja. Vendar pa Informacijski pooblaščenec meni, da način izobraževanja s snemanjem učiteljev ne bi smelo temeljiti na njihovi morebitni privolitvi, saj to ne bi zagotavljalo primerne kontinuitete in kvalitete dela, poleg tega bi lahko učitelji zavrnili uporabo tehnoloških rešitev, ki dejansko omogočajo izobraževanje na daljavo. Nenazadnje bi lahko učitelji glede na člen 7(3) Splošne uredbe v vsakem trenutku tudi preklicali svojo privolitev in bi bilo treba posnetke nemudoma izbrisati ne glede na morebitne posledice za izobraževalni proces in enako obravnavo učencev, kar seveda ne bi bilo smiselno. Tudi iz tega razloga izhaja, da je treba razumeti uporabo snemanja pri izvajanju izobraževanja na daljavo kot izpolnjevanje delovne obveznosti po 48. členu ZDR-1.Ob vsem navedenem pa je nujno, da upravljavci osebnih podatkov (torej šole) uredijo primerne roke hrambe, poskrbijo za ustrezno varnost obdelave osebnih podatkov, seznanijo posameznike z določenimi obveznimi informacijami iz člena 13 Splošne uredbe in naslovijo tudi morebitno vprašanje avtorskih pravic (slednje sicer ne sodi v pristojnost Informacijskega pooblaščenca).

V zvezi z informacijami za posameznike skladno s členom 13 Splošne uredbe je treba poudariti, da mora upravljavec osebnih podatkov na jasen in pregleden način zagotoviti temeljne informacije v zvezi z obdelavo osebnih podatkov, na primer informacije o tem, kdo obdeluje osebne podatke, kontaktni podatki upravljavca, v kakšne namene obdeluje podatke, koliko časa jih hrani in druge informacije, ki jih navedena določba predpisuje. Zaradi izjemnih okoliščinah, v katerih so se znašle tudi vzgojno-izobraževalne ustanove zaradi ukrepov za preprečevanje širjenja virusa COVID-19, ki so začasno spremenila tudi izobraževalni proces, Informacijski pooblaščenec meni, da bi moralo Ministrstvo za izobraževanje, znanost in šport to pravno podlago ustrezno konkretizirati z enotnimi navodili šolam in je ministrstvo k temu že tudi pozval.

Pri tem je treba upoštevati oziroma nasloviti tudi pomisleke glede varnosti osebnih podatkov in prenosa v tretje države. Poleg tega bi morale biti šole oziroma učitelji pozorni na načelo najmanjšega obsega podatkov, po katerem se ne sme obdelovati več osebnih podatkov, kot je nujno potrebno za izvedbo izobraževalnega procesa (načelo minimizacije osebnih podatkov). Šola oziroma posamezen učitelj mora namreč izpolnjevanje nalog preverjati na način, ki najmanj poseže v pravico do varstva osebnih podatkov in zasebnosti otroka.

Obdelava osebnih podatkov in poročanje učiteljev ter vodenje evidenc o izvedbi pouka in pomoči učencem na daljavo

Številni zavodi se soočajo z vprašanji glede izvajanja dodatne strokovne pomoči na redni osnovni šoli in učnih ur za učence z odločbami ter vodenja evidenc v zvezi s tem o komunikaciji z učenci in njihovimi starši, ker naj bi bila taka navodila pristojnega ministrstva.

Dileme, ki so bile izpostavljene z vidika varstva osebnih podatkov, so npr.:

• Nekateri starši na službeni elektronski naslov niso odzivni, učitelji pa morajo obvezno od njih pridobiti povratno informacijo o njihovem delu za šol, zato so jih prisiljeni klicati iz svoje zasebne telefonske številke na njihovo zasebno številko (ki so jo sicer posredovali v šolsko evidenco). Zaradi oddaljenosti in ovir pri povračilu stroškov v danih razmerah bi bilo kontaktiranje iz šolskega službenega telefona težko izvedljivo oz. neizvedljivo.
• Učitelji morajo tedensko oddajati evidenco komunikacije s starši in otroki, pri tem pa se odpirajo vprašanja, katere podatke lahko ta evidenca vsebuje. Mnenja so, da bi lahko vsebovala podatek o tem, da so komunicirali s starši (da/ne), datum in uro komunikacije, trajanje komunikacije in način komunikacije (internet, telefon, drugo). Dodatno se porajajo vprašanja, ali lahko brez pisnega privoljenja staršev enostavno posredujejo vsebino osebne korespondence vključno s slikami in videoposnetki otrok.

Glede zadevnih vprašanj je v pomoč mnenje Informacijskega pooblaščenca, ki sicer poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati, prav tako ne more presojati in komentirati konkretnega načina izvajanja in organizacije izobraževanja dela na daljavo z vidika ustreznosti in varnosti obdelave osebnih podatkov.

Obdelava osebnih podatkov učiteljev

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v členu 6(1) Splošne uredbe in so za javni sektor, kamor sodijo izobraževalne institucije, kot so osnovne in srednje šole, naslednje:

• privolitev, kadar ne gre za izvajanje javnih nalog (točka (a)),
• sklenitev ali izvajanje pogodbe (točka (b)),
• zakon (točka (c)),
• izvajanje javne naloge (točka (e) v zvezi s četrtim odstavkom 9. člena ZVOP-1).

Po mnenju Informacijskega pooblaščenca je samo vodenje evidence in s tem povezana obdelava osebnih podatkov pedagoškega delavca, kot so zbiranje, objava in hramba videoposnetkov njegovih učnih ur, lahko dopustna na podlagi določbe 48. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami) pod pogojem, da gre za obdelavo, ki je potrebna za izvrševanje pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Delodajalec je v takšnem primeru dolžan izkazati, da gre za takšne delavčeve osebne podatke, ki jih potrebuje v okviru delovnega razmerja. Vsekakor zaposleni ni dolžan za delo uporabljati osebnega telefona, razen če se o tem z delodajalcem dogovorita (v tem primeru ZDR-1 predvideva tudi ustrezno nadomestilo za uporabo svojih sredstev za delo na domu).

V situaciji, ko vladajo izredne razmere zaradi epidemije korona virusa (COVID-19), je uporaba novih tehnologij, tehnik in metod, ki so povezane tudi z delom učiteljev na domu, neizogibna. Informacijski pooblaščenec uporabi informacijske tehnologije v izobraževalnem procesu vsekakor ne nasprotuje in meni, da je posebej v trenutnih razmerah pametna in sorazmerna uporaba informacijske tehnologije nujno potrebna za izvajanje kvalitetnega in stimulativnega izobraževalnega procesa ter za zagotavljanje učinkovitega izvrševanja delovnih obveznosti učiteljev.

Kot je bilo že poudarjeno, klasična privolitev posameznika (oziroma zakonitega zastopnika otroka) ni ustrezna oziroma primerna pravna podlaga, po kateri naj bi takšna obdelava osebnih podatkov potekala. Bistveno je namreč, da gre pri izobraževanju na daljavo za izvajanje javnopravne naloge izobraževalne ustanove in ne za aktivnosti, za katere lahko starši kot zakoniti zastopniki otrok podajo svobodno privolitev – kot jo že tradicionalno podajo na začetku šolskega leta na pripravljenem obrazcu (denimo za objavo fotografij v šolskem almanahu ipd.). Povsem posebna situacija pa je seveda zbiranje osebnih podatkov, za katere že sam zakon npr. Zakon o osnovni šoli (95. člen) določa, da se ti osebni podatki zbirajo zgolj v soglasju s starši učencev (v določenih primerih, razen v primeru, ko je učenec v družini ogrožen in ga je potrebno zavarovati). Taki so npr. podatki o gibalnih sposobnostih in morfoloških značilnostih učencev ali podatki učencih, ki potrebujejo pomoč in svetovanje. Prav tako že zakon (95. člen Zakona o osnovni šoli) določa, da so svetovalni delavci te podatke dolžni varovati kot poklicno skrivnost. Kot poklicno skrivnost so te podatke dolžni varovati tudi drugi strokovni delavci, ki so jim podatki posredovani zaradi narave njihovega dela.

V primeru poročanja o delu z učenci, ki potrebujejo pomoč in svetovanje (ko gre za zbiranje podatkov iz 4. točke 1. odstavka 95. člena Zakona o osnovni šoli) za tedensko poročanje o vaši komunikaciji s starši in otroki bi moralo zadoščati poročanje npr. o tem, da je učitelj komuniciral s starši (da/ne), o datumu in uri komunikacije, trajanju komunikacije in načinu komunikacije (internet, telefon, drugo). Šola pa mora v danih razmerah opredeliti, kako se hrani dokumentacija o delu z učenci in na kakšen način izvajate delo na daljavo. Pri tem mora šola upoštevati, da se določeni podatki zbirajo le ob soglasju staršev, kot so npr. družinska in socialna anamneza; razvojna anamneza; strokovno interpretirani rezultati diagnostičnih postopkov; podatki o postopkih strokovne pomoči oziroma svetovanja; dokumentacijo v zvezi s postopkom usmerjanja učenca s posebnimi potrebami (sem sodi nedvomno tudi vaša korespondenca in druga gradiva, ki jih pridobivate v danih razmerah dela na daljavo); strokovna mnenja drugih inštitucij: centrov za socialno delo, zdravstvenih inštitucij, svetovalnih centrov oziroma vzgojnih posvetovalnic. Vsekakor se v zvezi s tem delom tudi z vidika varstva tajnosti korespondence ne zdi primerno avtomatično in vsakotedensko posredovanje celotne osebne korespondence vključno s slikami in videoposnetki otrok brez privolitve staršev oz. ustrezne strokovne utemeljitve in druge pravne podlage. Šola oziroma posamezen učitelj mora namreč izpolnjevanje nalog preverjati na način, ki najmanj poseže v pravico do varstva osebnih podatkov in zasebnosti otroka. Stvar zavarovanja podatkov in načina obdelave v nastalih razmerah pa je, kako šola poskrbi za to, da so vsi osebni podatki (še posebej občutljivi) ustrezno zavarovani in da se z njimi ne seznanijo nepooblaščene osebe.

Glede privolitev za dostop do digitalnih učilnic

Šole se soočajo z vprašanji tudi glede veljavnosti privolitev za dostop do digitalnih vsebin in spletnih učilnic v času izrednega stanja v Republiki Sloveniji. Različni ponudniki so odprli svoje digitalne vsebine in omogočajo brezplačen dostop učencem in dijakov do teh vsebin, nekateri pa želijo pridobiti za ustvarjanje učilnic po skupinah spletne naslove dijakov. Posebej pogosto je vprašanje, ali bi bile veljavne privolitve, v kolikor bi jih dijaki posredovali v elektronski obliki preko elektronske pošte, tudi če ne bi bile lastnoročno podpisane, saj podpisanih privolitev v tem času ni mogoče pridobiti, saj je odsvetovano nenujno zapuščanje doma.

Glede zadevnega vprašanja je treba pojasniti, da privolitev posameznika po Splošni uredbi ni nujno zgolj lastnoročno podpisna privolitev. Po določbi 11. točke člena 4 Splošne uredbe namreč „privolitev posameznika, na katerega se nanašajo osebni podatki“ pomeni vsako prostovoljno, izrecno, informirano in nedvoumno izjavo volje posameznika, na katerega se nanašajo osebni podatki, s katero z izjavo ali jasnim pritrdilnim dejanjem izrazi soglasje z obdelavo osebnih podatkov, ki se nanašajo nanj. Privolitev je torej lahko podana pisno, elektronsko ali na drug ustrezen način.

Za veljavnost privolitve morajo biti izpolnjeni pogoji, ki jih določa člen 7 Splošne uredbe:

1. Kadar obdelava temelji na privolitvi, mora biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov.
2. Če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana v pisni izjavi, ki se nanaša tudi na druge zadeve, se zahteva za privolitev predloži na način, ki se jasno razlikuje od drugih zadev, v razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku. Deli take izjave, ki predstavljajo kršitev te uredbe, niso zavezujoči.
3. Posameznik, na katerega se nanašajo osebni podatki, ima pravico, da svojo privolitev kadar koli prekliče. Preklic privolitve ne vpliva na zakonitost obdelave na podlagi privolitve pred njenim preklicem. O tem se pred privolitvijo obvesti posameznik, na katerega se nanašajo osebni podatki. Privolitev je enako enostavno preklicati kot dati.
4. Pri ugotavljanju, ali je bila privolitev dana prostovoljno, se med drugim zlasti upošteva, ali je izvajanje pogodbe, vključno z zagotavljanjem storitve, pogojeno s privolitvijo v obdelavo osebnih podatkov, ki ni potrebna za izvedbo zadevne pogodbe.

Ker gre v konkretnem primeru za dijake, opozarjamo še na določbe člena 8 Splošne uredbe glede pogoji, ki se uporabljajo za privolitev otroka v zvezi s storitvami informacijske družbe:

1. Kadar se uporablja točka (a) člena 6(1), je v zvezi s storitvami informacijske družbe, ki se ponujajo neposredno otroku, obdelava osebnih podatkov otroka zakonita, kadar ima otrok vsaj 16 let. Kadar je otrok mlajši od 16 let, je takšna obdelava zakonita le, če in kolikor takšno privolitev da ali odobri nosilec starševske odgovornosti za otroka.

Države članice lahko za te namene z zakonom določijo nižjo starost, če ta starost ni nižja od 13 let.

2. Upravljavec si ob upoštevanju razpoložljive tehnologije v takih primerih razumno prizadeva za preveritev, ali je nosilec starševske odgovornosti za otroka dal ali odobril privolitev.
3. Odstavek 1 ne vpliva na splošno pogodbeno pravo držav članic, kot so pravila o veljavnosti, oblikovanju ali učinku pogodbe v zvezi z otrokom.

Glede na navedeno je lahko privolitev podana tudi po elektronski poti ob upoštevanju zgoraj navedenih pogojev iz členov 7 in 8.

Opozoriti velja še, da je treba posameznike pred podajo privolitve ustrezno informirati – jasno jim mora predstavljeno, kateri osebni podatki bodo obdelovani, za katere namene, kakšne so njihove pravice itd., kot to zahteva in določa člen 13. Glede informiranosti posameznika pred podajo privolitve skladno z določbami člena 13 je na spletni strani Informacijskega pooblaščena na voljo obrazec, ki je lahko v pomoč – ustrezno izpolnjen obrazec je smiselno posredovati zadevnim posameznikov preden podajo privolitev oz. ko se jih pozove k podaji privolitve, da so tako primerno obveščeni, v kaj dajejo privolitev: https://www.ip-rs.si/fileadmin/user_upload/doc/vzorci/VZOREC_OBVESTILA_POSAMEZNIKOM_GLEDE_OBDELAVE_OSEBNIH_PODATKOV.docx

Več informacij o privolitvi je na voljo na posebni podstrani Informacijskega pooblaščenca privolitvi:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/

Uporaba aplikacij s strani otrok mlajših od 13 let

Šole se pogosto obračajo na Informacijskega pooblaščenca z vprašanji, ali je določena rešitev ali aplikacija skladna z zakonodajo o varstvu osebnih podatkov. Informacijski pooblaščenec mora v takšnih primerih pojasniti, da posamezne konkretne aplikacije ali proizvajalca kot neodvisni nadzorni organ ne more priporočati ali potrjevati izven inšpekcijskega nadzora, lahko pa poda pa priporočila, po katerih se lahko upravljavci ustrezno odločijo. Dolžnost upravljavca je, da preveri, ali uporaba določene aplikacije spoštuje veljavno zakonodajo, pri tem pa se lahko posvetuje s svojim ali zunanjim IT osebjem ter s strani šole imenovano pooblaščeno osebo za varstvo osebnih podatkov. Pri tem je seveda treba vedeti, kateri osebni podatki bi se sploh obdelovali pri uporabi določene rešitve in vse ostale relevantne vidike glede varnosti, morebitnega prenosa osebnih podatkov v tretje države itd.

Občasno se pojavljajo tudi  vprašanja o uporabi določene rešitve s strani otrok, mlajših od 13 let, ob predpostavki, da bo uporaba skladna z zgoraj navedenim, je treba upoštevati določbe člena 8 Splošne uredbe, ki določa naslednje:

1. Kadar se uporablja točka (a) člena 6(1), je v zvezi s storitvami informacijske družbe, ki se ponujajo neposredno otroku, obdelava osebnih podatkov otroka zakonita, kadar ima otrok vsaj 16 let. Kadar je otrok mlajši od 16 let, je takšna obdelava zakonita le, če in kolikor takšno privolitev da ali odobri nosilec starševske odgovornosti za otroka.

Države članice lahko za te namene z zakonom določijo nižjo starost, če ta starost ni nižja od 13 let.

2. Upravljavec si ob upoštevanju razpoložljive tehnologije v takih primerih razumno prizadeva za preveritev, ali je nosilec starševske odgovornosti za otroka dal ali odobril privolitev.
3. Odstavek 1 ne vpliva na splošno pogodbeno pravo držav članic, kot so pravila o veljavnosti, oblikovanju ali učinku pogodbe v zvezi z otrokom.

Glede varnosti obdelave osebnih podatkov in prenosa osebnih podatkov  v tretje države

Glede varnosti osebnih podatkov je ključno, da mora upravljavec osebnih podatkov te ustrezno varovati v vseh fazah obdelave. Prvi odstavek člena 32 Splošne uredbe določa, da morata upravljavec in obdelovalec ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotoviti ustrezno raven varnosti glede na tveganje.

Zagotavljanje varnosti osebnih podatkov je lahko posebej problematično pri uporabi spletnih orodij, ki jih učitelji uporabljajo po lastni presoji in po možnosti brez vnaprejšnjega preudarka o zagotavljanju varnosti osebnih podatkov. Smiselno bi bilo do izbire orodij pristopiti poenoteno.

Večina najbolj uveljavljenih orodij za spletno komuniciranje, omogoča t.i. šifriranje od vira do ponora komunikacije (angl. »end-to-end encryption«), ne pa nujno v vseh primerih (to najverjetneje npr. ne bo zagotovljeno, če je klic (deloma) opravljen preko navadne telefonske linije in ne preko podatkovnega prenosa) in ne nujno kot privzeto nastavitev, razlike med aplikacijami pa obstajajo tudi glede drugih vidikov varnosti in zasebnosti. Pregled različnih vidikov varnosti in zasebnosti pri aplikacijah za spletno komuniciranje je med drugim dostopen tu: https://www.securemessagingapps.com/.

Pozornost je treba nameniti tudi morebitnemu prenosu osebnih podatkov v tretje države, saj številni ponudniki tovrstnih rešitev prihajajo iz ZDA. Pred uporabo določene rešitve je priporočljivo preveriti, ali je ponudnik rešitve na seznamu certificiranih organizacij po dogovoru Privacy Shield med EU in ZDA: https://www.privacyshield.gov/welcome, ki načeloma zagotavlja, da ponudnik zadevne rešitve zagotavlja raven varstva osebnih podatkov, ki jo zahteva EU.

Več informacij o iznosu podatkov v tretje države je na voljo na spletni strani Informacijskega pooblaščenca https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/prenos-osebnih-podatkov-v-tretje-drzave-in-mednarodne-organizacije/iznos-osebnih-podatkov-v-zda/ ter na splošno v infografiki Informacijskega pooblaščenca: https://www.ip-rs.si/fileadmin/user_upload/Pdf/infografike/Prenos_osebnih_podatkov_po_Uredbi_v_dveh_korakih.pdf.

Informacijski pooblaščenec tako priporoča, da se glede teh vidikov pred uporabo upravljavec osebnih podatkov oziroma ministrstvo pri pripravi ustreznih priporočil posvetuje s svojimi sodelavci s področja informacijskih tehnologij. Glede na majhnost posameznih vzgojno-izobraževanih zavodov bi bilo zelo smiselno oblikovati strokovno delovno skupino po pokroviteljstvom resornega ministrstva, ki bi z združevanjem strokovnjakov s pravnimi in tehničnimi znanji lahko pripravila ustrezna in dovolj konkretna priporočila za posamezne zavode.

[1] Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov (Splošna uredba).