Pri Informacijskem pooblaščencu (IP) so prejeli zaprosilo za mnenje glede dopustnosti zbiranja osebnih podatkov otrok na način, da starši oziroma skrbniki podajo občini soglasje, da za namen izdelave izkaznic posreduje šolskemu prevozniku ime, priimek, naslov in EMŠO učenca.
***********************
Na podlagi informacij IP v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posreduje neobvezujoče mnenje v zvezi z vprašanjem.
Občina bi imela lahko pravno podlago za posredovanje določenih osebnih podatkov učencev šolskemu prevozniku za namen izdelave izkaznic v četrtem odstavku 6. člena ZVOP-2 v zvezi s 56. členom ZOsn. Privolitev staršev oziroma skrbnikov v takem primeru ne bi bila potrebna, saj gre pri organizaciji šolskih prevozov za zakonsko obveznost občine.
Vendar pa mora občina sama presoditi, ali je takšna obdelava osebnih podatkov res nujno potrebna in skladna z načelom najmanjšega obsega podatkov. Zbiranje podatka, kot je EMŠO otrok, je še posebno občutljivo, saj gre za enega najpomembnejših osebnih identifikatorjev. Občina in prevoznik morata zato izkazati, da se enakega cilja ne da doseči na način, ki manj posega v zasebnost otrok.
O b r a z l o ž i t e v:
IP uvodoma opozarja, da lahko presoja zakonitost obdelave osebnih podatkov le v okviru konkretnega nadzornega postopka. Občina pa je dolžna sama zagotoviti, da je obdelava osebnih podatkov skladna z vsemi načeli iz 5. člena Splošne uredbe, vključno z načelom zakonitosti, omejitve namena in najmanjšega obsega podatkov.
V skladu z drugim odstavkom 6. člena ZVOP-2 je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave. Tretji odstavek 6. člena ZVOP-2 pa določa, da se v javnem sektorju lahko v skladu s prvim odstavkom tega člena obdelujejo osebni podatki posameznika, ki je dal privolitev za obdelavo svojih osebnih podatkov za enega ali več določenih namenov, če tako možnost določa zakon, sicer pa na podlagi privolitve, če ne gre za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja. V četrtem odstavku istega člena je določeno, da se ne glede na določbe drugega odstavka tega člena za izvrševanje točke e) prvega odstavka 6. člena Splošne uredbe lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujno potrebni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.
Zakon o osnovni šoli (Uradni list RS, št. 81/06 – uradno prečiščeno besedilo, 102/07, 107/10, 87/11, 40/12 – ZUJF, 63/13, 46/16 – ZOFVI-K, 76/23 in 16/24; v nadaljevanju ZOsn) v 56. členu ureja pravico učencev do brezplačnega prevoza. O načinu prevoza se osnovna šola dogovori s starši in lokalno skupnostjo. To ustvarja zakonsko obveznost za občino, da zagotovi ustrezno organizacijo šolskih prevozov.
IP meni, da bi občina v okviru organiziranja šolskih prevozov, kar je njena zakonska obveznost, lahko imela pravno podlago za posredovanje osebnih podatkov otrok izvajalcu šolskega prevoza, s katerim ima sklenjeno pogodbo, za namen izdelave izkaznic, v četrtem odstavku 6. člena ZVOP-2 v zvezi s 56. členom ZOsn. Ker gre za izvrševanje zakonskih pristojnosti, nalog oziroma oblastnih obveznosti javnega sektorja, privolitev za konkretno obdelavo osebnih podatkov najverjetneje ni ustrezna pravna podlaga. Če starši oziroma skrbniki ne bi privolili v posredovanje osebnih podatkov prevozniku in bi to pomenilo odvzem pravice do brezplačnega prevoza, takšna privolitev ne bi izpolnjevala pogoja prostovoljnosti in posledično ne bi bila veljavna. Prav tako IP izpostavlja, da upravljavcu privolitev ni treba pridobivati, če ima za obdelavo (npr. za posredovanje) osebnih podatkov drugo ustrezno pravno podlago. Zato se obrazec, naslovljen kot »Soglasje«, ki ga prilagate, ne zdi ustrezen.
V primeru pravne podlage po četrtem odstavku 6. člena ZVOP-2 pa je treba opraviti tehtanje in ugotoviti stopnjo posega v upravičen interes posameznika, na katerega se osebni podatki nanašajo. V konkretnem primeru je treba še posebej paziti, saj gre za osebne podatke otrok. Zato IP meni, da bi morala občina strogo upoštevati načelo najmanjšega obsega podatkov in prevozniku posredovati zahtevane podatke le, če so te nujni za izvedbo prevoza. Zbiranje podatka, kot je EMŠO, je še posebej občutljivo, saj gre za enega najpomembnejših osebnih identifikatorjev. Občina in prevoznik morata zato izkazati, da se enakega cilja ne da doseči na način, ki manj posega v zasebnost otrok.
Če bi občina presodila, da ima ustrezno pravno podlago za posredovanje določenih osebnih podatkov otrok šolskemu prevozniku za namen izdelave izkaznic, pa bi morala o tem starše ali skrbnike jasno obvestiti skladno s 13. členom Splošne uredbe, kar vključuje informacije o vrsti podatkov, namenu obdelave, uporabniku in pravicah posameznikov.
Celotno mnenje je na voljo TUKAJ.