Pri Informacijskem pooblaščencu (IP) so prejeli zaprosilo osnovne šole za mnenje glede posredovanja osebnih podatkov učencev občini. Prosilec navaja, da občina od osnovne šole zahteva posredovanje njihovih osebnih podatkov (ime in priimek, naslov, datum rojstva) zaradi sklepanja polic nezgodnega zavarovanja, pri čemer se tudi izločuje učence, ki v občini nimajo stalnega bivališča, a so kljub temu učenci teh šol v občini. Prosilec prosi, da pri IP-ju proučijo težavo in svetujejo, kako postopati glede zahtevanega posredovanja osebnih podatkov.
Osnovna šola brez privolitve posameznikov, na katere se nanašajo osebni podatki, oziroma njihovih zakonitih zastopnikov, nima pravne podlage, da bi komurkoli posredovala osebne podatke učencev za namen, ki ni naveden v zakonu.
Občina lahko torej pridobi osebne podatke od šole v primeru privolitve, od centralnega registra prebivalstva pa pod pogoji, ki jih določa zakon; predvsem mora iti pri sklepanju polic nezgodnega zavarovanja za izvajanje nalog iz pristojnosti občine.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, saj je to izključna naloga in odgovornost upravljavca. V nadaljevanju IP zato podaja zgolj splošna pojasnila, na podlagi katerih lahko upravljavec ugotavlja skladnost določenega ravnanja s predpisi s področja varstva osebnih podatkov.
Za vsako obdelavo osebnih podatkov, torej tudi za njihovo razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, mora imeti upravljavec zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe o varstvu podatkov (privolitev, pogodba, zakon itn.).
Zakon, ki ureja obdelavo osebnih podatkov učencev v smislu točke (c) prvega odstavka člena 6 Splošne uredbe o varstvu podatkov, je Zakon o osnovni šoli (Uradni list RS, št. 81/06 – uradno prečiščeno besedilo, 102/07, 107/10, 87/11, 40/12 – ZUJF, 63/13 in 46/16 – ZOFVI-K; v nadaljevanju ZOsn). Ta v 94. členu določa, da osnovna šola zbira, obdeluje, shranjuje, posreduje in uporablja podatke, vsebovane v zbirkah podatkov, ki jih vodi v skladu s predpisi o varstvu osebnih podatkov, če s tem zakonom ni drugače določeno. V 95. členu pa ZOsn določa, katere zbirke osebnih podatkov vodi osnovna šola. Med te zbirke sodi tudi zbirka podatkov o učencih, vpisanih v osnovno šolo, in njihovih starših (1. točka prvega odstavka 95. člena ZOsn). Osebni podatki iz teh zbirk se lahko zbirajo, obdelujejo, shranjujejo in uporabljajo za potrebe obveznega izobraževanja in posredujejo ministrstvu, pristojnemu za šolstvo, za izvajanje z zakonom določenih nalog ter Državnemu izpitnemu centru za izvajanje nacionalnega preverjanja znanja (97. člen ZOsn).
Nadalje Pravilnik o zbiranju in varstvu osebnih podatkov na področju osnovnošolskega izobraževanja (Uradni list RS, št. 80/04, 76/08) v 5. členu določa, da se osebni podatki o učencih in njihovih starših smejo zbirati, uporabljati, shranjevati in posredovati samo za namene, določene v zakonu, oziroma za namene, razvidne iz privolitve posameznika, in ne smejo biti uporabljeni na način, ki ni združljiv s temi nameni.
Z navedenimi določbami je torej natančno predpisano, za kakšen namen in komu lahko osnovna šola posreduje osebne podatke učencev. Osnovna šola tako brez privolitve posameznikov, na katere se nanašajo osebni podatki, oziroma njihovih zakonitih zastopnikov, nima pravne podlage, da bi komurkoli posredovala osebne podatke učencev za namen, ki ni naveden v zakonu. Namen, zaradi katerega želi občina v konkretnem primeru pridobiti osebne podatke, tj. ureditev nezgodnih zavarovanj učencev osnovnih šol, ki imajo stalno prebivališče v občini, ni eden od zakonsko opredeljenih namenov, zaradi katerih se obdelujejo osebni podatki učencev. Zato bi lahko šola posredovala zahtevane osebne podatke o učencih občini le, če bi obstajala ustrezna pravna podlaga, tj. privolitev posameznikov (v konkretnem primeru staršev učencev).
IP ob tem dodaja, da mora imeti tudi občina za pridobivanje kakršnihkoli osebnih podatkov ustrezno pravno podlago. Za občine je bistven področni predpis Zakon o lokalni samoupravi (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo, 76/08, 79/09, 51/10, 40/12 – ZUJF, 14/15 – ZUUJFO, 11/18 – ZSPDSLS-1, 30/18, 61/20 – ZIUZEOP-A in 80/20 – ZIUOOPE; v nadaljevanju ZLS), ki pooblastila občine glede obdelave osebnih podatkov opredeljuje v 21.a členu v zvezi z 21. členom ZLS.
ZLS v 21.a členu določa, da občina pridobiva in obdeluje podatke, ki jih potrebuje za opravljanje nalog iz svoje pristojnosti. Občina skladno z drugim odstavkom 21. člena ZLS za zadovoljevanje potreb svojih prebivalcev opravlja med drugim naslednje naloge (povzeto glede na okoliščine konkretnega primera):
Najprej je treba biti torej prepričan, da je sklenitev polic nezgodnega zavarovanja ena izmed nalog občin za zadovoljevanje potreb svojih prebivalcev v skladu z 21.a členom ZLS.
V drugem odstavku navedenega člena so nadalje določeni osebni podatki, ki jih občina pridobiva in obdeluje o posameznikih, in sicer:
Tretji odstavek 21.a člena ZLS predpisuje, da občina pridobiva osebne podatke iz prejšnjega odstavka neposredno od posameznika, na katerega se podatki nanašajo. Na podlagi zahteve, ki vsebuje navedbo pravne podlage obdelovanja osebnih podatkov, lahko občina osebne podatke pridobi tudi od upravljavca centralnega registra prebivalstva (kadar gre za opravljanje nalog iz pristojnosti občine).
Iz vseh predstavljenih določb izhaja, da lahko občina zahtevane osebne podatke pridobi z namenom izvajanja nalog iz pristojnosti občine na dva načina:
Ob vsem navedenem opozarjamo še na obveznost ustreznega informiranja zakonitih zastopnikov otrok o obdelavi osebnih podatkov; 13. člen Splošne uredbe o varstvu podatkov namreč določa obveznost informiranja, kadar so podatki zbrani od posameznika, 14. člen Splošne uredbe o varstvu podatkov pa določa obveznost informiranja, kadar podatki niso zbrani od posameznika, temveč iz drugih virov. Pred kakršno koli obdelavo osebnih podatkov (posredovanju, zbiranju, nadaljnji obdelavi itd.) mora torej vsak upravljavec preučiti svoje obveznosti glede informiranja.
IP na koncu še opozarja, da je mnenje podano izključno z vidika varstva osebnih podatkov ter da se do vprašanja zakonitosti financiranja nezgodnih zavarovanj s strani občine in morebitne diskriminacije učencev ne more opredeljevati.