Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel dopis, v katerem prosilec pojasnjuje, da svetovalna služba vrtca na podlagi Zakona o vrtcih, Pravilnika o dokumentaciji v vrtcih in predpisanih obrazcih vodi evidenco otrok, ki potrebujejo svetovanje oziroma pomoč. Med drugim takšna evidenca zajema tudi strokovna mnenja drugih institucij: centrov za socialno delo, zdravstvenih institucij, svetovalnih centrov oziroma vzgojnih posvetovalnic. Starši za otroka, ki potrebuje svetovanje oziroma pomoč, dostavijo morebitna mnenja drugih institucij, npr. Ambulante za avtizem, Pediatrične klinike v primeru dolgotrajno bolnih otrok, slabovidnih in naglušnih otrok, otrok z epileptičnimi napadi, sladkorno boleznijo in podobno. Zaradi njihove strokovne dikcije ta mnenja imenujejo poročila ali izvidi in dikcije »mnenje« v omenjeni dokumentaciji ni mogoče zaznati. Prosilca zanima, ali so pod pojmom »mnenja«, kot jih omenja Zakon o vrtcih, lahko zajeta tudi izvidi in poročila, ki jih prejmejo od staršev od omenjenih institucij.

Na podlagi informacij IP v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo neobvezno mnenje v zvezi z vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče:

• privolitev (točka (a)),
• sklenitev ali izvajanje pogodbe (točka (b)),
• zakon (točka (c)),
• zaščita življenjskih interesov posameznika (točka (d)),
• izvajanje javne naloge (točka (e) v zvezi s četrtim odstavkom 9. člena ZVOP-1),
• zakoniti interesi upravljavca (točka (f)).

Za vsako obdelavo osebnih podatkov mora torej obstajati ustrezna pravna podlaga, ki jo mora že pred obdelavo osebnih podatkov natančno razčistiti upravljavec osebnih podatkov, ki mora biti zmožen tudi dokazati zakonitost obdelave osebnih podatkov.

Vrtec kot upravljavec javnega sektorja v večini primerov obdeluje osebne podatke na podlagi točke (c) prvega odstavka 6. člena Splošne uredbe, torej kadar je obdelava »potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca«. Zakonsko obveznost v vašem primeru opredeljuje Zakon o vrtcih (Uradni list RS, št. 100/05 – UPB, s sprem. in dop.; v nadaljevanju: ZVrt), ki v 42. členu določa, da vrtci zbirajo, obdelujejo, shranjujejo, posredujejo, varujejo in uporabljajo osebne podatke, vsebovane v evidencah, v skladu s predpisi o varstvu osebnih podatkov, če s tem zakonom ni določeno drugače. V 43. členu ZVrt so določene evidence, ki jih vodi vrtec, med katerimi je tudi evidenca otrok, ki potrebujejo svetovanje oziroma pomoč. Vsebina navedene evidence je določena v 46. členu ZVrt, in sicer evidenca vsebuje:

• družinsko in socialno anamnezo,
• razvojno anamnezo,
• diagnostične postopke,
• postopke strokovne pomoči in
• strokovna mnenja drugih institucij: centrov za socialno delo, zdravstvenih institucij, svetovalnih centrov oziroma vzgojnih posvetovalnic.

V dopisu prosilec navaja, da od drugih institucij (po starših, ki dokumentacijo dostavijo) prejmejo predvsem dokumente, ki nosijo oznako poročilo ali izvid, oznaka »mnenje« se v tem kontekstu ne pojavlja. Gre torej za vprašanje, ali lahko v evidenci otrok, ki potrebujejo svetovanje oziroma pomoč, hranijo tudi poročila in izvide, ki jih izdajo druge institucije, na primer Ambulante za avtizem, Pediatrične klinike itd.

Glede pojma »strokovna mnenja drugih institucij« IP meni, da bi najbolj relevantno interpretacijo lahko podalo resorno Ministrstvo za izobraževanje, znanost in šport. Neobvezujoče stališče IP pa je, da pojma »strokovna mnenja drugih institucij« v kontekstu Zakona o vrtcih, predvsem z vidika namena, ki ga zasledujejo zgoraj navedene določbe tega zakona, ni mogoče oziroma ni smiselno tolmačiti preveč ozko. Izhajajoč iz namena vodenja evidence otrok, ki potrebujejo svetovanje oziroma pomoč, moramo ugotoviti, da je zakonodajalec svetovalni službi naložil in omogočil zbiranje in hrambo dokumentacije, ki tej službi omogoča svetovanje in pomoč otrokom, ki jo potrebujejo. Preozko branje te določbe Zakona o vrtcih bi lahko izvotlilo sam namen zakonodajalca, ki je v nudenju ustreznih pogojev za ustrezen psiho-socialni razvoj otrok. Po drugi strani seveda zaradi temeljnih načel varstva osebnih podatkov ne smemo prevzeti preveč široke interpretacije in dovoliti hrambe dokumentacije, ki je sploh ne bi potrebovali za izvajanje svetovanja in pomoči, temveč bi jo hranili »na zalogo«, »za vsak slučaj« ali iz drugega razloga, ki ni vezan na izvajanje zakonske obveznosti. IP pa v neobveznem mnenju ne more natančno navesti, katere dokumente lahko vodite v smislu strokovnih mnenj drugih institucij in katerih ne.

Glede na to, da ostaja pojem »strokovna mnenja drugih institucij« pomensko odprt, je treba pri napolnitvi te zakonske določbe z vsebino izhajati tudi iz temeljnih načel varstva osebnih podatkov, ki so sistematično zajeta v 5. členu Splošne uredbe. Posebej bi pri tem želeli izpostaviti načela iz točke (b), (c), (e) in (f) prvega odstavka 5. člena Splošne uredbe, ki določajo, da morajo biti osebni podatki:

• zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1) ne velja za nezdružljivo s prvotnimi nameni („omejitev namena“);
• ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo („najmanjši obseg podatkov“);
• hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko hranijo daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1), pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki („omejitev hrambe“);
• obdelani na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo z ustreznimi tehničnimi ali organizacijskimi ukrepi („celovitost in zaupnost“).

Pri interpretaciji, katere osebne podatke lahko hranite, se morajo nasloniti predvsem na načelo sorazmernosti oziroma načelo najmanjšega obsega podatkov in lahko torej obdelujejo in hranijo le tiste osebne podatke, ki so ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Celotno mnenje je na voljo TUKAJ.