Pri Informacijskem pooblaščencu (IP) so prejeli zaprosilo za mnenje glede zahteve staršev za vpogled v Zabeležko vedenja učenca pri pouku. Učenec je bil zaradi onemogočanja izvajanja pouka napoten k drugemu strokovnemu delavcu. Kot ima šola zapisano v pravilih šolskega reda, morata potem tako učenec kot učitelj izpolniti predpisan obrazec (Zabeležka vedenja pri pouku). Starši želijo imeti kopijo te zabeležke. Prosilce zanima, ali se šola lahko sklicuje na to, da gre za interni dokument (kot je bila običajna praksa), ali mora posredovati kopijo staršem.
*******************************
Na podlagi 15. člena Splošne uredbe lahko starši otroka, kot njegovi zakoniti zastopniki, prejmejo informacije o obdelavi otrokovih osebnih podatkov s strani upravljavca (v konkretnem primeru šole), če ni omejitev po 20. členu ZVOP-2 in, če otrok še ni dopolnil 18 let. V kolikor upravljavec o taki zahtevi ne odloči v roku enega meseca ali če zahtevo zavrne, se lahko vloži pritožba na Informacijskega pooblaščenca.
Upravljavec lahko zavrne posredovanje osebnih podatkov, ki se nanašajo na posameznika tudi v primeru obstoja druge izjeme po 23. členu Splošne uredbe, ki mora biti zakonsko urejena. IP ni seznanjen z izjemo, ki bi se nanašala splošno na vse interne dokumente. Konkretno presojo pa lahko IP izvede zgolj v nadzornem postopku.
Ob tem pa IP pojasnjuje, da pravica do seznanitve z otrokovimi osebnimi podatki po Splošni uredbi ni namenjena in ne vključuje siceršnjega urejanja komunikacije v okviru šole ali pojasnjevanja le-te, niti ni IP pristojen za ukrepanje v zvezi z morebitnim neustreznim vzgojno izobraževalnim delom v šoli (to je pristojnost inšpektorata RS za šolstvo) ali s širšimi posegi v pravico otrok in staršev do zasebnosti (za kar je predvideno sodno varstvo).
O b r a z l o ž i t e v:
IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more niti ne sme podati, saj lahko IP posamezne primere obdelave konkretno presoja zgolj v okviru inšpekcijskega (nadzornega) ali drugega upravnega postopka.
Posameznik ima na podlagi 15. člena Splošne uredbe pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov ter nekatere informacije, zlasti namene obdelave, vrste osebnih podatkov, uporabnike podatkov, obdobje hrambe. Skladno s tretjim odstavkom 15. člena Splošne uredbe mora upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotoviti tudi kopijo osebnih podatkov, ki jih obdeluje.
Dostop do osebnih podatkov se uveljavlja z vlogo, ki jo lahko starši vložijo zase v svojem imenu, za svojega mladoletnega otroka pa v njegovem imenu kot zakoniti zastopniki. Starejši mladoletni (to so osebe, ki so dopolnile 15 let) lahko pravico do seznanitve uveljavljajo v obsegu, v katerem bi lahko o obdelavah teh osebnih podatkov odločale same. Pri uveljavljanju pravic prek zakonitega zastopnika je treba omeniti tudi 20. člen ZVOP-2 (seznanitev v škodo otroka), po katerem lahko upravljavec izjemoma zavrne zahtevo posameznika, vloženo prek zakonitega zastopnika, »če obstajajo konkretne in objektivne okoliščine, zaradi katerih bi bilo utemeljeno sklepati, da bi bile zaradi seznanitve z določenimi osebnimi podatki neposredno ali posredno prizadete koristi, pravice ali upravičeni interesi mladoletnih oseb ali oseb, postavljenih pod skrbništvo ali drugih oseb, za katere tako določa zakon, ter če te pravice in interesi pretehtajo nad interesi zakonitega zastopnika za seznanitev.«
Glede na navedeno torej lahko posameznik na podlagi 15. člena Splošne uredbe prejme informacije o obdelavi svojih osebnih podatkov ali o obdelavi otrokovih osebnih podatkov kot njegov zakoniti zastopnik (če ni omejitev po 20. členu ZVOP-2) oziroma v okviru avtomatizirane obdelave in, če otrok še ni dopolnil 18 let. Več informacij o pravici dostopa oziroma do seznanitve z lastnimi osebnimi podatki in glede njenega uveljavljanja je dostopnih tudi na spletni strani IP: https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/.
Če upravljavec (v konkretnem primeru šola) o zahtevi posameznika na podlagi 15. člena Splošne uredbe ne odloči v roku enega meseca (kot določa Splošna uredba in ZVOP-2) ali zahtevo posameznika zavrne, se ta lahko s pritožbo obrne na IP, ki je nadzorni organ, pristojen za obravnavo takšnih pritožb. Pri tem si lahko pomagate tudi z obrazcem »Enotna vloga zaradi kršitve varstva osebnih podatkov (Obrazec VOP prijava)«, ki je objavljen na povezavi: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. Pritožbo zaradi zavrnitve zahteve je treba vložiti v 15 dneh od prejema pisnega odgovora upravljavca, rok za pritožbo zaradi molka upravljavca pa ni omejen.
Glede vašega vprašanja, ali se šola lahko sklicuje na to, da gre za interni dokument (kot je bila običajna praksa), vam želimo pojasniti, da lahko upravljavec zavrne posredovanje osebnih podatkov, ki se nanašajo na posameznika tudi v primeru obstoja druge izjeme po 23. členu Splošne uredbe, ki mora biti zakonsko urejena. IP ni seznanjen z izjemo, ki bi se nanašala splošno na vse interne dokumente. Ponovno poudarjamo, da konkretno presojo lahko IP izvede zgolj v inšpekcijskem oziroma nadzornem postopku.
Ob tem pa dodatno pojasnjujemo, da pravica do seznanitve z (otrokovimi) osebnimi podatki iz 15. člena Splošne uredbe ni namenjena in ne vključuje siceršnjega urejanja komunikacije v okviru šole ali pojasnjevanja le-te, niti ni IP pristojen za ukrepanje v zvezi z morebitnim neustreznim vzgojno izobraževalnim delom v šoli (to je pristojnost inšpektorata RS za šolstvo) ali s širšimi posegi v pravico otrok in staršev do zasebnosti (za kar je predvideno sodno varstvo).