Pri Informacijskem pooblaščencu (IP) so prejeli zaprosilo za mnenje glede dopustnosti razkrivanja osebnih podatkov staršem dijaka. Prosilec navaja, da je šola od osebne zdravnice dijaka nezakonito pridobila opravičilo za izostanek od pouka, ki je bil nato na sestanku razkrit staršem dijaka - prosilca. Prosilca zanima ali je šola ravnala zakonito.
*******************
Na podlagi informacij IPv nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posreduje neobvezujoče mnenje v zvezi z vprašanjem.
O b r a z l o ž i t e v:
IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju zato podaja zgolj splošna pojasnila in pravna izhodišča v zvezi z dopisom.
Obdelava osebnih podatkov je dopustna samo v primeru, če zanjo obstaja zakonita pravna podlaga. V skladu s členom 6(1) Splošne uredbe je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:
(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Ta točka se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.
V opisanem primeru gre za dva ločena postopka obdelave podatkov: (1) najprej je zdravnica opravičilo posredovala šoli (ravnateljici); (2) opravičilo je bilo nato razkrito staršem na sestanku s svetovalno službo. Za vsako izmed opisanih obdelav osebnih podatkov mora obstajati pravna podlaga iz člena 6(1) Splošne uredbe.
V zaprosilu za mnenje prosilec navaja, da je zdravnica opravičilo šoli posredovala nezakonito, vendar ne navajate nobenih okoliščin, iz katerih to izhaja. Poleg tega se IP do vprašanja morebitne nezakonite obdelave osebnih podatkov ne more opredeliti v tem nezavezujočem mnenju, temveč ga lahko presoja le v okviru postopka prijavitelja s posebnim položajem. V nadaljevanju podano mnenje temelji na predpostavki, da so bili osebni podatki dejansko posredovani šoli nezakonito.
Do dijakovega izpolnjenega 18. leta starosti lahko šola dijakovim staršem posreduje podatke, ki jih v zvezi z njim zakonito obdeluje v svojih evidencah. V skladu s prvim odstavkom 43.a člena Zakona o gimnazijah (Uradni list RS, št. 1/07 – uradno prečiščeno besedilo, 68/17, 6/18 – ZIO-1, 46/19 in 53/24), imajo starši tudi po tem, ko dijak dopolni 18. let, pravico, da jim šola, na enak način kot staršem mladoletnega dijaka, razkrije oziroma posreduje osebne podatke dijaka in druge informacije o:
V skladu s četrtim odstavkom 43.a člena Zakona o gimnazijah se podatki o odsotnosti dijaka, podatki o zaznanih hujših kršitvah šolskega reda in uvedenih postopkih vzgojnega ukrepanja ter tisti osebni podatki, ki bi lahko imeli za posledico izgubo statusa dijaka zaradi negativnega učnega uspeha, izključitve ali izpisa iz šole, lahko staršem razkrijejo tudi v primeru, če je dijak zahteval, da se njegovih osebnih podatkov sicer ne sme razkrivati njegovim staršem. Šola torej lahko razkrije podatke o dijakovi odsotnosti njegovim staršem in to celo v primeru, če dijak s pisno izjavo izrecno prepovedal razkrivanje podatkov, ki se nanašajo nanj, staršem. Podobno določbo vsebuje tudi 87.a člen Zakona o poklicnem in strokovnem izobraževanju (Uradni list RS, št. 79/06, 68/17, 46/19 in 53/24).
Vendar pa je situacija v opisanem primeru drugačna, saj naj bi bilo opravičilo, ki je bilo razkrito staršem, pridobljeno nezakonito (česar IP, kot smo že zapisali zgoraj, ne more preveriti). Nadaljnja obdelava, na primer objava ali razkritje, nezakonito pridobljenih osebnih podatkov pa ne more biti zakonita, čeprav bi sicer obstajala pravna podlaga za njihovo obdelavo.
Če prosilec meni, da so bili osebni podatki, ki se nanašajo nanj, razkriti v nasprotju z določbami Splošne uredbe in ZVOP-2, lahko na IP vloži prijavo (pritožbo), s katero zahteva nadzor nad zakonitostjo obdelave svojih osebnih podatkov. Pri vložitvi prijave si lahko pomaga z obrazcem, ki ga je v z namenom lažje prijave kršitev s področja varstva in varnosti osebnih podatkov pripravil IP (https://www.ip-rs.si/fileadmin/user_upload/doc/obrazci/ZVOP/Pritozba.docx).
Celotno mnenje je na voljo TUKAJ.