Pri Informacijskem pooblaščencu (IP) so prejeli zaprosilo za mnenje glede objave fotografij in podpisov devetošolcev na steni v šoli, saj so želeli učenci šolski hodnik želeli spremeniti v "generacijsko steno". Zanima jih ali se tako kršijo predpisi o varstvu osebnih podatkov in ali se potrebuje dovoljenje staršev.
*******************************
Šola mora kot upravljavec osebnih podatkov za objavo fotografij in podpisov učenk in učencev (v nadaljevanju: učencev) na generacijski steni pridobiti ustrezne privolitve učencev, ki so že dopolnili 15 let, oziroma njihovih staršev ali skrbnikov za učence, ki so mlajši od 15 let.
Ker posameznega učenca določata tako ime kot priimek, z vidika varstva osebnih podatkov ni razlike, ali bodo poleg fotografije podpisi samo z imenom ali tudi s priimkom. Bistveno je, da bodo učenci oziroma njihovi starši ali skrbniki predhodno v tako objavo osebnih podatkov privolili in da bodo ob tem seznanjeni z vsemi potrebnimi in smiselnimi informacijami po 7. in 13. členu Splošne uredbe.
Glede na to, da lahko učenci oziroma njihovi starši ali skrbniki privolitev za objavo fotografije in podpisa na generacijski steni tudi prekličejo, mora šola zagotoviti, da se v takem primeru podoba in podpis učenca, na katerega se preklic privolitve nanaša, prekrijeta oziroma umakneta s stene.
O B R A Z L O Ž I T E V:
Glavna predpisa, ki pri nas urejata področje varstva osebnih podatkov sta Zakon o varstvu osebnih podatkov (ZVOP-2) in Splošna uredba o varstvu podatkov (Splošna uredba). Bistvo varstva osebnih podatkov predstavlja njihova zakonita obdelava. Če želimo razumeti, kaj pomeni zakonita obdelava, moramo najprej vedeti, kaj predstavlja osebni podatek in kaj obdelava osebnih podatkov. Splošna uredba o osebnem podatku v 4. členu pove, da je to katera koli informacija v zvezi z določenim ali določljivim posameznikom, določljiv posameznik pa je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo imena ali drugega identifikatorja ali dejavnika, ki je značilen za njegovo fizično, družbeno ali katero drugo identiteto. Obdelavo osebnih podatkov Splošna uredba v istem členu opiše kot dejanja v zvezi z osebnimi podatki, npr. zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje.
Obdelava osebnih podatkov mora vedno slediti osnovnim načelom obdelave osebnih podatkov, ki jih določa 5. člen Splošne uredbe. To pomeni, da morajo biti osebni podatki obdelani zakonito, pošteno in pregledno, v najmanjšem obsegu in za točno določen namen, biti morajo točni in zavarovani pred neupravičenimi namernimi ali nenamernimi posegi, hraniti pa jih je dopustno le toliko časa, kolikor je potrebno za dosego namenov, za katere se osebni podatki obdelujejo.
Za zakonito obdelavo osebnih podatkov je pomembna zlasti ustrezna pravna podlaga. Če ne gre za obdelavo posebnih vrst osebnih podatkov (to so osebni podatki, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, genski podatki, biometrični podatki za namene edinstvene identifikacije posameznika, podatki v zvezi z zdravjem ali podatki v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo), so po 6. členu ZVOP-2 v povezavi z določbo prvega odstavka 6. člena Splošne uredbe dopustne pravne podlage za obdelavo osebnih podatkov privolitev, sklenitev ali izvajanje pogodbe, izvajanje zakonskih zahtev, zaščita življenjskih interesov posameznika, izvajanje javnih nalog oziroma javne oblasti ter zakoniti interesi, ki prevladajo nad interesi posameznika. V vašem primeru pride v poštev privolitev, ki jo Splošna uredba v 4. členu opredeljuje kot prostovoljno, konkretno, informirano in nedvoumno ravnanje posameznika v obliki izjave ali jasnega pritrdilnega dejanja, iz katerega je mogoče sklepati na želje posameznika oziroma s katerim izrazi strinjanje z obdelavo osebnih podatkov, ki se nanašajo nanj.
Da je privolitev veljavna, mora ustrezati opredelitvi iz 4. člena in pogojem iz 7. člena Splošne uredbe, to pomeni, da mora biti prostovoljna, konkretna in podana na podlagi potrebnih in zadostnih informacij o obdelavi osebnih podatkov. Informacije, ki jih je potrebno podati posameznikom, preden podajo privolitev v obdelavo njihovih osebnih podatkov, morajo ustrezati informacijam, ki so jih upravljavci osebnih podatkov (upravljavec po Splošni uredbi pomeni fizično ali pravno osebo, ki sama ali skupaj z drugimi določa namene in sredstva obdelave) v skladu s 13. členom Splošne uredbe dolžni zagotoviti posameznikom, katerih osebne podatke želijo pridobiti in jih nadalje obdelovati. V vašem primeru bi take informacije predstavljalo zlasti, kdo je upravljavec podatkov, za kakšen namen se bodo obdelovali, kdo jih bo uporabljal, koliko časa se bodo hranili, obstoj pravic v zvezi z osebnimi podatki, predvsem pravic do seznanitve, popravka in izbrisa ter do vložitve pritožbe pri IP, ter možnosti preklica privolitve. Preklic privolitve mora biti za posameznika enostaven in možen ob vsakem času.
Ker ste devetošolci mladoletne osebe, je v zvezi z vašim primerom potrebno upoštevati tudi pravila, kdaj otrok lahko veljavno privoli v obdelavo njegovih osebnih podatkov. Ker ZVOP-2 ne določa posebne starostne meje za podajo privolitve otroka za primer, kot je vaš, je po mnenju IP treba upoštevati splošna pravila o poslovni sposobnosti otrok in starejših mladoletnikov. Otroci do vključno 14. leta starosti pravnih poslov ne morejo samostojno sklepati, zato tudi ne morejo samostojno podati veljavne privolitve v obdelavo svojih osebnih podatkov. To pomeni, da morajo privolitev za obdelavo njihovih osebnih podatkov podati njihovi zakoniti zastopniki (tj. starši ali skrbniki). Starejši mladoletniki - to so osebe od dopolnjenega 15. leta do 18. leta starosti - pa lahko samostojno sklepajo pravne posle, če ni poseben zakon določil drugače oziroma če ne gre za pravne posle, ki bistveno vplivajo na njihovo življenje pred polnoletnostjo ali po njej. V vašem primeru ne gre za obdelavo osebnih podatkov, ki bi bistveno vplivala na življenje otroka pred ali po polnoletnosti.
Glede na predhodno navedeno bi bilo po mnenju IP pri vzpostavitvi t. i. generacijske stene potrebno upoštevati naslednje: Upravljavec osebnih podatkov bo v vašem primeru šola, ki z objavo fotografij in podpisov učencev na generacijski steni ne bo kršila predpisov o varstvu osebnih podatkov, če bo pridobila ustrezne privolitve učencev, ki so že dopolnili 15 let, oziroma njihovih staršev ali skrbnikov, če so učenci mlajši od 15 let. Za podajo privolitve v konkretnem primeru bi bil primeren obrazec, ki bi na enem mestu združeval potrebne informacije in izjavo volje učencev oziroma njihovih staršev in skrbnikov. Ker posameznega učenca določata tako ime kot priimek, z vidika varstva osebnih podatkov ni razlike, ali bodo poleg fotografije podpisi samo z imenom, ali tudi s priimkom. Bistveno je, da bodo učenci oziroma njihovi starši ali skrbniki v tako objavo osebnih podatkov predhodno privolili in da bodo ob tem seznanjeni z vsemi potrebnimi in smiselnimi informacijami po 7. in 13. členu Splošne uredbe. Šola pa mora upoštevati tudi, da lahko učenci in njihovi starši ali skrbniki (slednji le do takrat, ko učenec dopolni 15 let) privolitev za objavo fotografije in podpisa na generacijski steni kadarkoli prekličejo, kar pomeni, da mora šola zagotoviti, da se v takem primeru podoba in podpis učenca, za katerega je bil podan preklic privolitve, prekrijeta oziroma umakneta s stene.