Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel dopis, v katerem sprašuje, ali lahko šola javno objavi elektronske naslove predstavnikov staršev v svetu staršev, na primer na svoji spletni strani? Ali bi moral vsak predstavnik podati privolitev, ali je dovolj, da tako odloči svet staršev kot organ?
Na podlagi informacij IP v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posreduje neobvezno mnenje v zvezi z vprašanjem.
IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.
Na splošno pa IP pojasnjuje, da je treba imeti za vsako obdelavo osebnih podatkov ustrezno in zakonito pravno podlago. Te so določene v členu 6(1) Splošne uredbe in so za javni sektor, kamor sodijo izobraževalne institucije, kot so osnovne in srednje šole, naslednje:
Svet staršev je organ osnovne šole ali vrtca, ki ga opredeljuje 66. člen Zakon o organizaciji in financiranju vzgoje in izobraževanja (Uradni list RS, št. 16/07, s sprem. in dop. v nadaljevanju ZOFVI). Ta določa, da se za organizirano uresničevanje interesa staršev v javnem vrtcu oziroma šoli oblikuje svet staršev. Tehnično in finančno podporo za delovanje sveta staršev zagotavlja vrtec oziroma šola. Svet staršev je sestavljen tako, da ima v njem vsak oddelek po enega predstavnika, ki ga starši izvolijo na roditeljskem sestanku oddelka.
Osnovna šola v vašem primeru nastopa kot upravljavec zbirke teh podatkov, imena, priimke in e-naslove predstavnikov pa lahko objavi le, če za to obstaja ustrezna pravna podlaga.
V navedenih okoliščinah je možna pravna podlaga privolitev predstavnikov staršev v svetu staršev (skladno s členom 6(1)(a) Splošne uredbe). Možno pravno podlago za obdelavo osebnih podatkov v javnem sektorju pa predstavlja tudi četrti odstavek 9. člena ZVOP-1 v povezavi s členom 6(1)(e) Splošne uredbe; pri tem pa mora biti izkazano, da je obdelava osebnih podatkov nujna za izvrševanje zakonitih pristojnosti javnega sektorja (v konkretnem primeru bi moralo biti izkazano, da je za uresničevanje pravice staršev do sodelovanja prek svojega predstavnika v svetu staršev, nujno, da se prek spletne strani seznanijo s kontaktnimi podatki predstavnikov).
Odgovornost za presojo, da so navedeni pogoji izpolnjeni nosi upravljavec – to je šola, ki mora v tem primeru zagotoviti tudi druge pogoje za skladno obdelavo osebnih podatkov (informiranje posameznikov glede obdelave; zagotavljanje pravice do ugovora; natančna opredelitev namena obdelave, vrst podatkov; itd.). Ob tem pa IP poudarja še, da mora upravljavec osebnih podatkov vedno poiskati način, ki je za zasebnost in varstvo osebnih podatkov čim manj invaziven in presoditi, ali se da želeni namen doseči tudi z milejšimi sredstvi (na primer brez objave na spletni strani, temveč kako drugače).