Prosilec se je na IP obrnil s prošnjo za mnenje, saj na osnovni šoli urejajo soglasja in prosilca zanima ali bi lahko, v primeru, da se starši strinjajo, veljala soglasja do konca šolanja na vaši ustanovi. Če bi bilo potrebno, bi idejo podprli tudi na svetu staršev. V ta namen bi v obrazec s soglasji dodali stavek, da se starši oziroma skrbniki strinjajo, da soglasje velja do zaključka šolanja otroka na šoli oziroma do preklica ali spremembe.

IP splošno pojasnjuje, da Splošna uredba o varstvu podatkov v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
4. obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
5. obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Osebni podatki v javnem sektorju, kamor spadajo javne šole, se lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki lahko obdelujejo le na podlagi osebne privolitve posameznika.

Zakon, ki ureja obdelavo osebnih podatkov učencev, je Zakon o osnovni šoli (Uradni list RS, št. 81/06 – uradno prečiščeno besedilo, z vsemi spremembami in dopolnitvami, v nadaljevanju: ZOsn), ki v 94. členu določa, da osnovna šola zbira, obdeluje, shranjuje, posreduje in uporablja podatke, vsebovane v zbirkah podatkov, ki jih vodi v skladu s predpisi o varstvu osebnih podatkov, če s tem zakonom ni drugače določeno. ZOsn nadalje v 95. členu določa, katere zbirke osebnih podatkov vodi osnovna šola. Osebni podatki iz teh zbirk se lahko zbirajo, obdelujejo, shranjujejo in uporabljajo za potrebe obveznega izobraževanja in posredujejo ministrstvu, pristojnemu za šolstvo, za izvajanje z zakonom določenih nalog ter Državnemu izpitnemu centru za izvajanje nacionalnega preverjanja znanja (97. člen ZOsn).

Nadalje Pravilnik o zbiranju in varstvu osebnih podatkov na področju osnovnošolskega izobraževanja (Uradni list RS, št. 80/04, 76/08; v nadaljevanju: pravilnik) v 5. členu določa, da se osebni podatki o učencih in njihovih starših smejo zbirati, uporabljati, shranjevati in posredovati samo za namene, določene v zakonu, oziroma za namene, razvidne iz privolitve posameznika, in ne smejo biti uporabljeni na način, ki ni združljiv s temi nameni. V 6. členu pravilnik določa, da šola na podlagi pisnega soglasja staršev lahko zbira tudi osebne podatke, ki niso vsebovani v zakonu o osnovni šoli, so pa potrebni za uveljavljanje oziroma priznavanje posameznih pravic učencu (pravica do subvencionirane šolske prehrane, pravica do brezplačnih učbenikov, pravica do subvencioniranja šole v naravi, pridobitev različnih statusov v skladu z drugimi predpisi, itd). V drugem odstavku 6. člena pa pravilnik določa, da za osebne podatke, za katere se starši učencev s pisno privolitvijo strinjajo, da so javno dostopni, ker po naravi, vsebini ali namenu ne posegajo v zasebnost učencev (npr. razstave izdelkov učencev, skupinski posnetki učencev na fotografijah, videoposnetki, zvočni ali filmski posnetki javnih nastopov učencev na prireditvah, ipd.), šola pridobi pisno soglasje staršev za celo šolsko leto. Iz soglasja mora biti razvidno, za kakšne fotografije, snemanja in intervjuje gre, na kakšen način oziroma za kakšne namene se bodo le-ti uporabljali in koliko časa se bodo shranjevali. Ker iz navedene določbe Pravilnika niti iz Splošne uredbe ni razvidno, da šola ne bi mogla pridobiti soglasja staršev tudi za daljše obdobje (na primer do konca šolanja), IP meni, da bi bilo takšno soglasje pravno upoštevno, ob predpostavki, da je besedilo soglasja ustrezno oblikovano in je posameznik ustrezno seznanjen, za kakšno časovno obdobje daje soglasje.

Glede privolitve otrok v obdelavo njihovih osebnih podatkov IP pojasnjuje, da je starostna meja, ko lahko otrok privoli v obdelavo svojih osebnih podatkov, v Republiki Sloveniji (RS) vezana na delno oziroma popolno poslovno sposobnost. Če se obdelava osebnih podatkov nanaša na aktivnosti, v katere lahko privoli oseba, ki ima delno poslovno sposobnost (je dopolnila 15 let), lahko delno poslovno sposobna oseba privoli tudi v obdelavo osebnih podatkov, ki poteka zaradi izvajanja takšnih aktivnosti. Kadar gre torej za otroke, ki še nimajo (delne) poslovne sposobnosti, morajo privolitev zanje podati starši oziroma zakoniti zastopniki.

Privolitev posameznika (v konkretnem primeru staršev) je torej ena od možnih pravnih podlag za zakonito obdelavo osebnih podatkov otrok, ob tem pa IP izpostavlja, da je treba, kadar je posameznik privolil v obdelavo osebnih podatkov v enega ali več namenov, upoštevati podrobnejša določila glede pogojev, po katerih se šteje, da je privolitev veljavna, ki so določeni v 7. členu Splošne uredbe o varstvu podatkov. Privolitev posameznika mora biti prostovoljno podana, konkretna, razumljiva izjava ali drugo nedvoumno pritrdilno dejanje in dokazljiva. Molk, vnaprej označena okenca ali kakršnakoli nedejavnost tako ne pomenijo privolitve. Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen. IP poudarja, da mora biti privolitev v primerih, ko obdelava podatkov vključuje več različnih namenov, podana za vsak namen posebej. Upravljavec mora pridobiti več ločenih privolitev za vsako obdelavo posebej (granularnost oziroma razčlenjenost privolitev). Namen mora biti jasno in nedvoumno opredeljen, saj je konkreten, ekspliciten in legitimen namen obdelave predpogoj za pridobitev veljavne privolitve. Prostovoljno je privolitev dana, kadar ima posameznik resnično izbiro in nadzor nad svojimi osebnimi podatki. Posameznik ne sme čutiti prisile ali negativnih posledic, če privolitve ne poda. Prav tako ne sme biti postavljen v situacijo, ko privolitve ne more zavrniti ali preklicati brez morebitnih sankcij oz. škodnih posledic.

Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen oziroma namene. Namen mora biti jasno in nedvoumno opredeljen, saj je konkreten, ekspliciten in legitimen namen obdelave predpogoj za pridobitev veljavne privolitve. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče. Ob tem IP dodaja, da je na šoli skrb in odgovornost za to, da pridobi dodatna/nova soglasja od staršev, ki so dali soglasje v preteklih letih, v primeru spremembe namenov obdelave.

Predhodna informiranost posameznika o obdelavi njegovih oziroma v konkretnem primeru otrokovih osebnih podatkov je torej ključen element zakonite obdelave osebnih podatkov, saj se lahko le na podlagi ustreznih informacij o tem, komu lahko zaupa določene (torej konkretne in ne splošno navedene) svoje podatke in za kakšen namen, posameznik svobodno odloči, ali bo to storil ali ne. IP tako sklepno pojasnjuje, da mora biti končna presoja v rokah staršev, saj je prostovoljnost eden bistvenih elementov veljavne privolitve.

Več informacij o privolitvi lahko najdete tudi na spletni strani IP:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/

IP ob tem opozarja, da je v vsakem primeru treba zagotoviti, da so posamezniki primerno obveščeni o obdelavi osebnih podatkov v skladu z določbami 13. člena Splošne uredbe o varstvu podatkov, zato IP upravljavcem svetuje, da informacije o obdelavi ustrezno vključijo v svoje obrazce. IP je za pomoč upravljavcem pri seznanjanju posameznikov glede obdelave osebnih podatkov pripravil tudi vzorec obvestila, ki je dostopen na spletni strani IP:

Vzorec obvestila posameznikom glede obdelave osebnih podatkov (člen 13 Splošne uredbe o varstvu podatkov).

Ob tem IP posebej opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga (katerakoli), osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov posameznikov (v konkretnem primeru otrok), kolikor je nujno potrebno za izpolnitev namena v konkretnem primeru. V konkretnem primeru je torej treba preveriti, ali so vsi zahtevani podatki na obrazcu res potrebni za izpolnitev v obrazcu navedenih namenov obdelave.

IP sklepno ponavlja, da v okviru mnenja ne more dokončno presojati konkretnega obrazca posameznega upravljavca. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo in odgovornost zanjo je vedno na upravljavcu osebnih podatkov.

Celotno mnenje je na voljo TUKAJ.