Pri Informacijskem pooblaščencu (IP) so prejeli vprašanje v zvezi z obdelavo osebnih podatkov otrok pri izvajanju določenega projekta. Vzgojno-izobraževalni zavod bo izvajal delavnice za mladoletne otroke v prostoru, kjer se izvaja projekt, in občasno v šolah. Ker gre za projekt, plačnik zahteva, da za dokazovanje izvedenih projektnih aktivnosti šola predloži podpisne liste otrok, ki bodo sodelovali pri posameznih delavnicah in fotografije, ki bodo uporabljene v objavah na spletu za namen promocije projekta. V zvezi s prosilca zanima:

1. Ali zadostuje, da starši ob prijavi prek spletnega obrazca na spletni strani projekta izrecno označijo strinjanje, da se njihovega otroka lahko fotografira za namene projekta?
2. Kateri zakon je treba navesti na podpisnih listah, ko starši otroke prvič pripeljejo na delavnice (VIZ sklepa, da ni potrebno, da liste vsakič podpišejo)?
3. Ali je potrebno strinjanje staršev za uporabo orodij vnesti na podpisni listi? Poleg fotografiranja in objavljanja slik na spletu je predviden tudi sklop delavnic, kjer bodo otroci delali z različnimi orodji.
4. Ali se lahko mladoletni otroci sami podpisujejo na nadaljnjih listah, če so to prvič s podpisom odobrili starši.
5. Ali je treba, ko se bodo delavnice izvajale na šoli, za vsakega posameznika preveriti, ali ima dovoljenje za fotografiranje in sodelovanje na projektih v šoli? Ali je treba pridobiti ločeno soglasje staršev, ker je to izven šolski projekt?

Na podlagi informacij IP v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posreduje neobvezujoče mnenje v zvezi z vprašanji. Pri IP pojasnjujejo še, da se lahko IP dokončno opredeli do konkretnih primerov obdelave osebnih podatkov le v morebitnem inšpekcijskem postopku.

1. Če ni na voljo druge pravne podlage, je fotografiranje otrok (mlajših od 15 let) in nadaljnja obdelava fotografij (npr. javna objava in posredovanje plačniku projekta) v okviru izvajanja projekta dopustno na podlagi veljavne privolitve otrokovih zakonitih zastopnikov.
2. Podpisna lista prisotnosti ali drug dokument, ki vsebuje obvezne informacije o obdelavi osebnih podatkov v okviru izvajanja delavnic mora med drugim vsebovati tudi pravno podlago za obdelavo osebnih podatkov. Če bo obdelava osebnih podatkov na podpisnih listah že vključena v privolitev, dodatno informiranje ni potrebno. Če obdelava osebnih podatkov na podpisnih listah ne bo temeljila na privolitvi, morate kot upravljavec poiskati ustrezno zakonsko podlago (zgolj informativno navajamo, da bi lahko bila ena izmed možnih podlag na primer (f) točka prvega odstavka 6. člena Splošne uredbe (EU) o varstvu podatkov).
3. Vprašanje uporabe orodij in s tem povezanih potrebnih ravnanj organizatorja ne spada v pristojnost IP.
4. Podpisne liste prisotnosti za vsak posamezen dogodek lahko izpolnjujejo tudi otroci sami, če so zakoniti zastopniki predhodno ustrezno obveščeni o taki obdelavi osebnih podatkov ali če je taka obdelava osebnih podatkov vsebovana v privolitvi.
5. Če bo upravljavec osebnih podatkov otrok zavod, je potrebna posebna privolitev.

O b r a z l o ž i t e v:

1.   Ker pri IP-ju ne poznajo vseh pomembnih dejstev in okoliščin v zvezi s tem projektom, pri IP ne morejo svetovati, ali je namesto privolitve, možno sklicevanje na kakšno izrecno zakonsko podlago ali kakšno podlago v Splošni uredbi o varstvu podatkov. Zgolj informativno pojasnjujejo, da bi pogojno in teoretično lahko prišli v poštev tudi:

• (b) točka prvega odstavka 6. člena Splošne uredbe o varstvu podatkov, ki določa, da je obdelava osebnih podatkov dopustna, če je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki (npr. če bi bilo možno sodelovanje otrok utemeljiti kot pogodbeno razmerje);
• (f) točka prvega odstavka 6. člena Splošne uredbe o varstvu podatkov, ki določa, da je obdelava osebnih podatkov dopustna, če je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Če omenjeni pravni podlagi ali kakšne druge pravne podlage ne pridejo v poštev, IP priporoča, da za fotografiranje in nadaljnjo obdelavo fotografij (objava na spletu, uvrstitev v projektno gradivo ipd.) pridobijo predhodno privolitev otrokovih zakonitih zastopnikov. Privolitev mora izpolnjevati pogoje iz (11) točke 4. člena, 7. člena, 12. člena in 13. oziroma 14. člena Splošne uredbe o varstvu podatkov. To zlasti pomeni, da morajo biti posamezniki med drugim informirani o vseh konkretnih namenih fotografiranja in nadaljnje uporabe fotografij, o zunanjih uporabnikih fotografij (npr. pri kontroli s strani plačnika) in o hrambi fotografij. V zvezi s privolitvijo je na spletni strani IP že dostopnih več mnenj.

2.   Glede podpisne liste prisotnosti morajo biti zakoniti zastopniki prav tako informirani o vseh pomembnih vidikih obdelave osebnih podatkov po 13. oziroma 14. členu Splošne uredbe o varstvu podatkov. Sem spada tudi informacija o pravni podlagi za zbiranje in nadaljnjo uporabo izpolnjenih list prisotnosti. Če bi se pri obdelavi teh dokumentov sklicevali na katero zakonsko podlago, bi morali biti zakoniti zastopniki o tej podlagi, poleg drugih informacij, na nek način pisno obveščeni. Če bo podlaga za obdelavo osebnih podatkov na fotografijah in listah prisotnosti pisna privolitev, dodatno oziroma ločeno informiranje o pravni podlagi ni potrebno. V tem primeru bo namreč podlaga sama privolitev.

3.   Uporaba orodij pri delavnicah ne predstavlja obdelave osebnih podatkov, zaradi česar to vprašanje ne spada v pristojnosti IP.

4.   Z vidika varstva osebnih podatkov ni sporno, če podpisne liste prisotnosti izpolnijo otroci sami, pod pogojem, da so zakoniti zastopniki bili o tem ustrezno informirani in je za obdelavo teh list na voljo pravna podlaga v zakonu ali privolitvi.

5.   Privolitev, ki jo zakoniti zastopniki podajo šoli kot upravljavcu na začetku šolskega leta, se ne nanaša na obdelavo osebnih podatkov, ki jo bo izvajal zavod, ki je od šole ločen, samostojni upravljavec. Poleg tega tudi nameni fotografiranja in način ter obseg obdelave fotografij v šoli niso enaki, kot velja za fotografiranje v okviru izvajanja teh delavnic. Seveda pa ni izključeno, da bi šola posebno pisno privolitev za vaš zavod ponudila v podpis zakonitim zastopnikom otrok. V primeru morebitne skupne obdelave osebnih podatkov, IP opozarja na določbe o skupnih upravljavcih iz 26. člena Splošne uredbe o varstvu podatkov.

Celotno mnenje je na voljo TUKAJ.