Informacijski pooblaščenec (v nadaljevanju IP) je prejel dopis, v katerem prosilec pojasnjuje, da imajo na šoli v oddelku, ki ga obiskuje otrok prosilca, otroka s posebnimi potrebami, za katerega so starši pri vodstvu šole izrazili zaskrbljenost, saj otrok s svojimi izpadi moti pouk in je občasno tudi fizično nasilen. Šola je omenjene skrbi naslovila na sestanku sveta staršev, kjer je bil izdelan zapisnik seje sveta staršev in ta zapisnik je bil nato preko predstavnikov razredov posredovan staršem. Šola je predstavnike (18 predstavnikov) prosila, da z zapisnikom seznani vse starše, ki jih predstavljajo. V zvezi z razkrivanjem osebnih podatkov v zapisniku prosilec zastavlja več vprašanj in prosi za odgovor, predvsem prosilca zanima, ali je šlo za obdelavo osebnih podatkov (zapisnik je sicer "anonimiziran") in če da, ali je bila ta zakonita. Vprašanje je med drugim tudi, kako se opravi tehtanje med legitimnim upravičenjem staršev pri skrbi za varnost njihovih otrok in varstvom osebnih podatkov obravnavanega otroka ter njihovih staršev. Prosilca zanima tudi, ali šteje podatek o količini dodatne strokovne pomoči, ki je zabeležen v odločbi za usmerjanje otrok s posebnimi potrebami, za občutljiv podatek. Prosilec tudi sprašuje, ali šteje pošiljanje na 600 zasebnih e-naslovov lahko že za javno objavo; kaj pa pošiljanje na 30 e-naslovov?
Na podlagi informacij IP v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posreduje neobvezujoče mnenje v zvezi z vprašanjem.
Šola mora imeti za vsako obdelavo osebnih podatkov, tudi za posredovanje zapisnika z osebnimi podatki tretjim osebam, na primer staršem oziroma predstavnikom staršev, ustrezno pravno podlago. Posebna pazljivost je seveda potrebna pri obdelavi posebnih vrst osebnih podatkov, denimo podatkov v zvezi z zdravjem. Osebni podatki, ki jih šola vodi v zbirki podatkov o učencih, ki potrebujejo pomoč oziroma svetovanje, lahko vsebujejo tudi podatke v zvezi z zdravjem in torej posebne vrste osebnih podatkov. Konkretne presoje o tem pa IP v mnenju ne more opraviti.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.
V predstavljenem primeru IP ugotavlja, da se večina vprašanj nanaša na vprašanje, ali gre v konkretno opisanem primeru za obdelavo osebnih podatkov in ali je bila ta zakonita. V mnenju IP takšne presoje, kot omenjeno, resnično ne more opraviti, zato na vprašanja, ki se dotikajo analize okoliščin konkretnega primera, žal ne more odgovoriti. V mnenju namreč nimajo pred seboj konkretne dokumentacije, zagotovljena ni nikakršna pravica do izjave, poleg tega pa bi lahko izrazili mnenje, ki bi se v morebitnem konkretnem inšpekcijskem ali drugem postopku, ob preučitvi vse dokumentacije in upoštevanju pravic vseh udeležencev, izkazalo za napačno ali vsaj preuranjeno.
Na tem mestu IP lahko napoti, da poda prijavo zaradi suma kršitve zakonodaje s področja varstva osebnih podatkov, to pa lahko storijo tudi anonimno. Če prosilec želi, lahko IP kot prijavitelja nato obvesti o ugotovitvah in morebitnih ukrepih v inšpekcijskem postopku. Neobvezno lahko uporabi obrazec, ki ga je IP pripravil, in je dostopen na spletni strani: https://www.ip-rs.si/obrazci/ (Enotna vloga zaradi kršitve varstva osebnih podatkov (Obrazec VOP prijava).
Na splošno pa IP seveda lahko navede in poudari, da mora imeti šola za vsako obdelavo osebnih podatkov, tudi za posredovanje zapisnika z osebnimi podatki tretjim osebam, na primer staršem oziroma predstavnikom staršev, ustrezno pravno podlago. Ali gre pri določenem ravnanju za obdelavo osebnih podatkov je treba preveriti v vsakem konkretnem primeru posebej, in sicer glede na definicijo obdelave ter definicijo osebnih podatkov.
Obdelava pomeni skladno z drugim odstavkom 4. člena Splošne uredbe "vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje". Razkrivanje v zapisniku bi torej sodilo pod pojem obdelave, seveda če gre za razkrivanje osebnih podatkov.
Osebni podatki so v prvem odstavku 4. člena Splošne uredbe opredeljeni kot katera koli informacija "v zvezi z določenim ali določljivim posameznikom (v nadaljnjem besedilu: posameznik, na katerega se nanašajo osebni podatki); določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika." Iz vaših navedb izhaja, da je otrok s posebnimi potrebami določljiv, in sicer z opisom in navedbo dejavnikov, ki "so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika". Tudi če otrok ni naveden z imenom in priimkom, pa druge podane informacije omogočajo njegovo določljivost, je otrok prepoznan in gre torej za obdelavo njegovih osebnih podatkov, za katero je potrebno imeti pravno podlago prav tako, kot če bi se v zapisniku razkrilo njegovo ime in priimek.
Ali gre pri tem lahko tudi za občutljivi osebni podatek (oziroma v terminologiji Splošne uredbe za "posebno vrsto" osebnih podatkov) v mnenju IP ne bo presojal, saj v mnenju ne presoja dejanskih podatkov, ampak zgolj svetuje glede zakonodaje o varstvu osebnih podatkov. Navede pa lahko, da Splošna uredba posebne vrste osebnih podatkov razume kot osebne podatke, "ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genetskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo." Če konkretni podatki glede količini dodatne strokovne pomoči, ki je zabeležen v odločbi za usmerjanje otrok s posebnimi potrebami, lahko štejemo predvsem kot podatek v zvezi z zdravjem, potem je zanj predvidena posebna zaščita v smislu Splošne uredbe (zahteve glede zakonitosti pri obdelavi posebnih vrst osebnih podatkov so strožje). Kaj so podatki v zvezi zdravjem lahko skušamo ugotoviti s pomočjo uvodne določbe (35) Splošne uredbe, ki določa, da bi morali osebni podatki v zvezi z zdravjem "obsegati vse podatke o zdravstvenem stanju posameznika, na katerega se nanašajo osebni podatki, ki razkrivajo informacije o njegovem preteklem, sedanjem ali prihodnjem telesnem ali duševnem zdravstvenem stanju. To vključuje informacije o posamezniku, zbrane med registracijo za storitve zdravstvenega varstva ali njihovim zagotavljanjem zadevnemu posamezniku, kakor je določeno v Direktivi 2011/24/EU Evropskega parlamenta in Sveta (9); številko, znak ali posebno oznako, dodeljeno posamezniku za njegovo edinstveno identifikacijo v zdravstvene namene; informacije, pridobljene s testiranjem ali preiskavo dela telesa ali telesne snovi, vključno z informacijami, pridobljenimi iz genetskih podatkov in bioloških vzorcev, in vse informacije o, na primer, bolezni, invalidnosti, tveganju za nastanek bolezni, zdravstveni anamnezi, kliničnem zdravljenju ali fiziološkem ali biomedicinskem stanju posameznika, na katerega se nanašajo osebni podatki, ne glede na vir teh podatkov, na primer zdravnik ali drug zdravstveni delavec, bolnišnica, medicinski pripomoček ali diagnostični preskus in vitro."
Zbirka podatkov o učencih, ki potrebujejo pomoč oziroma svetovanje, vsekakor lahko vključuje tudi posebne vrste osebnih podatkov (podatke v zvezi z zdravjem), ali jih v konkretnem primeru dejansko tudi vsebuje, pa IP ne more soditi. Šesti odstavek 95. člena Zakona o osnovni šoli (Uradni list RS, št. 81/06 – UPB; v nadaljevanju ZOsn) namreč določa, da zbirka podatkov o učencih, ki potrebujejo pomoč oziroma svetovanje, poleg podatkov o otrocih, starših in podatke o napredovanju itd, vsebuje tudi družinsko in socialno anamnezo; razvojno anamnezo; strokovno interpretirane rezultate diagnostičnih postopkov; podatke o postopkih strokovne pomoči oziroma svetovanja; dokumentacijo v zvezi s postopkom usmerjanja učenca s posebnimi potrebami; strokovna mnenja drugih inštitucij: centrov za socialno delo, zdravstvenih inštitucij, svetovalnih centrov oziroma vzgojnih posvetovalnic.
IP opozarja lahko še na osmi odstavek 95. člena ZOsn, ki določa, da so dolžni svetovalni delavci podatke iz zbirke podatkov o učencih, ki potrebujejo pomoč oziroma svetovanje, dolžni varovati kot poklicno skrivnost. Te podatke so kot poklicno skrivnost dolžni varovati tudi drugi strokovni delavci, ki so jim podatki posredovani zaradi narave njihovega dela.
O sami pravni podlagi za konkretno obdelavo osebnih podatkov pa bi IP lahko več ugotavljal zgolj v inšpekcijskem ali drugem upravnem postopku.
Glede vprašanja, ali bi posredovanje osebnih podatkov na 600 ali 30 elektronskih naslovov lahko pomenilo javno objavo osebnih podatkov, IP lahko navede, da ne obstaja definicija "javne objave" v zakonu, zato jo je treba poiskati v sodni praksi, v kolikor se je razvila. Glede na to, da je vprašanje javne objave v tem kontekstu pomembno predvsem v smislu vprašanja podanosti znakov kaznivega dejanja zlorabe osebnih podatkov (143. člen Kazenskega zakonika), IP pri iskanju te opredelitve ne more pomagati, saj je za pregon kaznivih dejanj pristojno državno tožilstvo, za sojenje v takšnih zadevah pa kazensko sodišče splošne pristojnosti. IP v takšnih primerih nima pristojnosti niti v morebitnem inšpekcijskem postopku, če pa se v morebitnem inšpekcijskem postopku izkaže, da obstaja sum storitve kaznivega dejanja, IP to naznani državnemu tožilstvu. Ali bi bil podan element kaznivega dejanja "javne objave" v morebitnem inšpekcijskem in sum storitve kaznivega dejanja, bi IP ugotavljal, če bi dejansko vodil inšpekcijski postopek.
Zaključi lahko torej, da lahko v primeru, če prosilec sumi na nezakonitost obdelave osebnih podatkov, pri IP poda prijavo in označi, da želi biti obveščeni o morebitnih ukrepih in ugotovitvah v postopku. Identiteta prosilce /prijavitelja (v kolikor bi jo razkrili) bi bila varovana.
Celotno mnenje je na voljo TUKAJ.