Informacijski pooblaščenec (v nadaljevanju IP) je prejel dopis, v katerem prosilec pojasnjuje, da je predstavnik staršev v razredu osnovne šole. Razredničarka je staršem pojasnila, da zaradi varstva osebnih podatkov staršem vsebinsko ne more razkriti ničesar o učencih, ampak lahko zgolj posplošeno poroča o izjemno slabi situaciji v razredu. Večina staršev pa je na roditeljskem sestanku izrazila željo, da bi bili bolj celovito obveščeni o situaciji. Prosilca zanima, ali in pod kakšnimi pogoji lahko starši podajo pisno soglasje za razkritje in obdelavo osebnih podatkov svojega otroka v prisotnosti drugih staršev ter razredničarke. Prosilec navaja, da bi se podatki v primeru podanega soglasja obravnavali z najvišjo stopnjo varovanja in diskretnosti, z osebnimi podatki pa bi bili seznanjeni zgolj starši, ki so podali pisno soglasje. Kot dodatno varovalko prosilec navaja, da bi bilo razkritje in pogovor omejeno zgolj na informacije o tistih učencih, katerih starši so podali soglasje in še to zgolj v obsegu, ki je nujno potreben za razumevanje in reševanje situacije v razredu.
***********
Osebni podatki v javnem sektorju, kamor sodijo tudi osnovne šole, se lahko obdelujejo le na podlagi določbe zakona, na podlagi privolitve pa le, če takšno možnost predvideva zakon ali kadar ne gre za izvrševanje pristojnosti javnega sektorja. Po preučitvi zakonodaje IP ugotavlja, da ne Zakon o osnovni šoli ne Zakon o organizaciji in financiranju vzgoje in izobraževanja ne dopuščata šoli/razredničarki razkrivanja osebnih podatkov o otrocih drugim staršem (razen staršem za lastne otroke ali kadar je to strokovno utemeljeno s potrebami vodenja pedagoškega procesa, pri čemer običajno ne bo šlo za razkrivanje iz uradnih zbirk podatkov). Prav tako ni predvideno, da bi lahko šola/razredničarka upoštevala dovoljenje (soglasje, privolitev) za razkrivanje osebnih podatkov otrok iz evidenc ali zbirk podatkov šole.
Vse navedeno sicer velja zgolj takrat, ko govorimo o razkrivanju osebnih podatkov otrok s strani šole/razredničarke, ne pa, kadar bi starši sami želeli razkriti osebne podatke svojih otrok. Vendar tudi v slednjem primeru IP spodbuja previdnost in premišljenost.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.
Nadalje je potrebno izpostaviti, da slovenska Ustava, Splošna uredba o varstvu osebnih podatkov ter ZVOP-2 in povezana zakonodaja s tega področja uveljavlja tako imenovani dopustitveni model obdelave osebnih podatkov, kar pomeni, da je prepovedana vsaka obdelava osebnih podatkov, ki ni izrecno dovoljena, torej za katero ne obstaja ustrezna pravna podlaga. Upravljavci osebnih podatkov smejo torej obdelovati osebne podatke zgolj, če je to dovoljeno in ne obratno, da torej lahko obdelujejo osebne podatke, razen če je to prepovedano. Iskanje »kogentne prepovedi« v zakonodaji, kot omenjate v vašem dopisu, torej ne bo ustrezen način iskanja odgovora na vaše vprašanje.
Za vsako obdelavo osebnih podatkov je torej treba imeti ustrezno in zakonito pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče:
V tem primeru je treba upoštevati dve ključni okoliščini: delovanje upravljavca osebnih podatkov – šole – je strogo regulirano v zakonodaji, poleg tega pa se obdelava osebnih podatkov tiče mladoletnih posameznikov, ki so v primerjavi s splošno populacijo ranljivejši.
Pravno podlago za obdelavo osebnih podatkov v kontekstu šole je treba v pretežni meri iskati v zakonu, razen če zakon izrecno napotuje na možnost, da za obdelavo osebnih podatkov starši podajo soglasje. Osnovne šole v smislu ZVOP-2 namreč sodijo v javni sektor, v javnem sektorju pa se lahko obdelujejo osebni podatki posameznika, ki je dal privolitev za obdelavo svojih osebnih podatkov za enega ali več določenih namenov, če tako možnost določa zakon, sicer pa na podlagi privolitve, če ne gre za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja (gl. tretji odstavek 6. člena ZVOP-2).
Kadar torej šola deluje v kapaciteti upravljavca osebnih podatkov, se je treba glede pravne podlage nasloniti na določbe točke (c) in (e) prvega odstavka 6. člena Splošne uredbe in posledično na določbe področne zakonodaje, ki sta v konkretnem primeru Zakon o osnovni šoli (Uradni list RS, št. 81/06 – UPB; s sprem. in dop.; v nadaljevanju ZOsn) in Zakon o organizaciji in financiranju vzgoje in izobraževanja (Uradni list RS, št. 16/07 – UPB; s sprem. in dop.; v nadaljevanju ZOFVI).
Samo če kateri od zakonov določa, da lahko starši dajo privolitev za razkritje osebnih podatkov svojih otrok v okoliščinah, ki jih opisujete, bi takšna privolitev veljala kot dopustna pravna podlaga.
Prvi odstavek 95. člena Zakona o osnovni šoli opredeljuje, katere zbirke podatkov vodi osnovna šola, in sicer:
97. člen ZOsn pa določa, za kakšen namen se lahko uporabljajo osebni podatki iz navedenih zbirkah, in sicer se »zbirajo, obdelujejo, shranjujejo in uporabljajo za potrebe obveznega izobraževanja« in »posredujejo ministrstvu, pristojnemu za šolstvo, za izvajanje z zakonom določenih nalog« ter »Državnemu izpitnemu centru za izvajanje nacionalnega preverjanja znanja.«
Ugotovimo lahko torej, da za namene razkrivanja osebnih podatkov, kot ga prosilec opisuje v dopisu, Zakon o osnovni šoli ne more biti podlaga za obdelavo osebnih podatkov. Kar se tiče možnosti privolitve, se osebni podatki v zbirki podatkov o gibalnih sposobnostih in morfoloških značilnostih učencev (3. točka prvega odstavka 95. člena ZOsn) ter zbirki podatkov o učencih, ki potrebujejo pomoč oziroma svetovanje (4. točka prvega odstavka 95. člena ZOsn), zbirajo v soglasju s starši oziroma skrbniki učencev. Zakon pa takšno soglasje staršev predvideva le za zbiranje s strani šole, ne pa tudi razkrivanje osebnih podatkov otrok drugim staršem. Šola bi za takšno ravnanje potrebovala izrecno zakonsko določbo.
Nadalje si je treba ogledati obdelavo osebnih podatkov, kot jo ureja Zakon o organizaciji in financiranju vzgoje in izobraževanja. 135.aa člen ZOFVI ureja vzpostavitev in vzdrževanje informacijskega sistema za vodenje šolske dokumentacije, v katerem osnovna šola vodi osebne podatke v naslednjih evidencah:
Ob pregledu osebnih podatkov, ki se vodijo v zgoraj navedenih evidencah, bi podatke, ki jih prosilec omenja v dopisu, verjetno našli v »evidenci dnevnik v osnovni šoli«, in sicer med »podatki o dnevnem poteku vzgojno-izobraževalnega dela« za posameznega učenca.
Glede namena in možnosti uporabe podatkov iz zgornjih evidenc je treba upoštevati namen vzpostavitve informacijskega sistema, ki je med drugim »spremljanje in načrtovanje vzgojno-izobraževalnega dela« (135.aa člen ZOFVI). Medtem ko so določbe ZOFVI skope z dopustnim namenom obdelave osebnih podatkov pa je jasno, da med njimi ni razkrivanja osebnih podatkov otrok drugim staršem. ZOFVI prav tako ne vsebuje določbe, po kateri bi bilo dopustno razkrivati osebne podatke otrok drugim staršem na podlagi privolitve staršev, zato privolitev kot pravna podlaga ni dopustna.
Izven določb ZOsn in ZOFVI pa je treba upoštevati, da šole oziroma razredniki ne obdelujejo osebnih podatkov izključno v uradnih evidencah in zbirkah, temveč marsikatere podatke, vključno z družinsko, vedenjsko, socialno problematiko, izvejo tekom opravljanja svojega dela oziroma znotraj pedagoškega procesa in jih tudi potrebujejo pri svojem delu. V okvir le-tega sodi tudi reševanje različnih življenjskih situacij, vključno z vedenjskimi težavami otrok, reševanjem medvrstniškega nasilja in drugimi vsakodnevnimi dogodki. Kadar šola ocenjuje, da je to nujno potrebno zaradi načrtovanja vzgojno-izobraževalnega dela in na splošno za izvajanje njenega poslanstva ter izvrševanja pedagoškega dela IP ne izključuje možnosti, da bi šola lahko razkrila identiteto otroka v okviru strokovne obravnave posameznega dogodka na šoli. Vendar presoja tovrstne obravnave ne spada v pristojnost IP, zato se IP ne bi mogel spustiti v presojo, ali in kako je strokovno primerno, da se obravnava posamezen dogodek medvrstniškega nasilja (na primer s skupnimi razgovori), saj gre za samostojno in strokovno odločitev šole, učiteljev in drugih strokovnih delavcev v okviru pedagoškega dela. Medtem ko torej ni predvidenega avtomatiziranega obveščanja staršev (skupaj z razkrivanjem identitete otrok), obstajajo okoliščine, v katerih bi šola lahko strokovno utemeljila potrebo po razkritju identitete otrok, vpletenih v določen dogodek, ob upoštevanju Konvencije o pravicah otroka, ki varuje otrokovo zasebnost, ter načela sorazmernosti. Zavedati se je treba, da bi takšno dopustno razkritje identitete redko pomenilo razkritje večjemu številu staršev, poleg tega bi morali vsi, ki so za določene podatke izvedeli, z njimi ravnati zaupno (jih ne delili s tretjimi osebami) in namensko.
Iz vsega navedenega sledi, da ne ZOsn ne ZOFVI ne dopuščata šoli/razredničarki razkrivanja osebnih podatkov o otrocih drugim staršem (razen staršem za lastne otroke ali kadar je to strokovno utemeljeno s potrebami vodenja pedagoškega procesa, pri čemer običajno ne bo šlo za razkrivanje iz uradnih zbirk podatkov), niti starši ne morejo dati šoli/razredničarki dovoljenja (soglasja, privolitve) za razkrivanje osebnih podatkov njihovih otrok iz evidenc ali zbirk podatkov šole. Namen določbe ZVOP-2, da je obdelava osebnih podatkov na podlagi privolitve v javnem sektorju omejena, je v tem, da se izniči ali minimalizira možnost dajanja nesvobodnih privolitev in posledično avtoritarnega delovanja javnega sektorja. Slednji je z vidika obdelave osebnih podatkov torej posebej močno reguliran. Ker obdelava osebnih podatkov v opisani situaciji ne more temeljiti na privolitvi staršev, nobena od varovalk, ki jih omenjate, ne bi »legalizirala« razkrivanja osebnih podatkov.
Zaključujemo s poudarkom, da zgornje določbe in interpretacija veljajo zgolj v kontekstu razkrivanja osebnih podatkov s strani šole/razredničarke. Starši lahko sami delijo osebne podatke svojih otrok, katerih zakoniti zastopniki so, pri čemer IP spodbuja premišljenost in previdnost pri razkrivanju osebnih podatkov, ki naj se razkrivajo le v minimalnem obsegu, ki je potreben, da se doseže namen, zaradi katerega se je starš odločil deliti osebne podatke svojega otroka drugim. Pri vsem pa je treba upoštevati tudi ranljivi položaj, v katerem je otrok v primerjavi s starši, ki odločajo zanj, zato mora biti korist otroka vedno temeljno merilo presoje in delovanja.
Celotno mnenje je na voljo TUKAJ.