Informacijski pooblaščenec (v nadaljevanju IP) je prejel zaprosilo za mnenje, kjer prosilec navaja, da se v okviru šole na daljavo od dijakov pri pouku športne vzgoje pričakuje, da uporabljajo eno od aplikacij za merjenje njihove telesne aktivnosti. Prosilec meni, da gre za nedopusten in nesorazmeren poseg z vidika varstva osebnih podatkov otrok in mladostnikov.
IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati, prav tako ne more presojati ustreznosti konkretnega načina izvajanja in organizacije izobraževanja na daljavo z vidika ustreznosti in varnosti obdelave osebnih podatkov. Zato v nadaljevanju IP podaja splošna pojasnila glede pogojev za zakonito obdelavo osebnih podatkov.
Proces izobraževanja na daljavo so nekateri učitelji zasnovali na način, da od učencev zahtevajo uporabo sodobnih informacijskih tehnologij, pri čemer pogosto prihaja tudi do obdelave osebnih podatkov. Otroci naj bi pri izobraževanju na daljavo uporabljali različna orodja za spletno komuniciranje. IP pa že na tem mestu opozarja, da nikakor ni na mestu, da bi učitelji od učencev zahtevali nameščanje aplikacij za sledenje, ki predstavljajo resen poseg v zasebnost posameznika in lahko beležijo celo posebne vrste osebnih podatkov.
IP pojasnjuje, da je treba imeti za vsako obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe. Za obdelavo posebne vrste osebnih podatkov (npr. zdravstvenih podatkov) pa mora biti izpolnjen še eden izmed pogojev iz člena 9(2) Splošne uredbe.
Glede obdelave osebnih podatkov otrok za namene izvajanja izobraževanja na daljavo IP najprej poudarja, da privolitev posameznika (oziroma zakonitega zastopnika otroka) ni ustrezna pravna podlaga, po kateri naj bi takšna obdelava osebnih podatkov potekala. Bistveno je namreč, da gre pri izobraževanju na daljavo za izvajanje javnopravne naloge izobraževalne ustanove in ne za aktivnosti, za katere lahko posamezniki oziroma starši kot zakoniti zastopniki otrok podajo privolitev (kot jo npr. podajo na začetku šolskega leta za objavo fotografij v šolskem almanahu na pripravljenem obrazcu ipd.). Povsem posebna situacija pa je zbiranje osebnih podatkov, za katere že sam zakon določa, da se ti zbirajo zgolj v soglasju s starši učencev. Taki so npr. podatki o gibalnih sposobnostih in morfoloških značilnostih učencev ali podatki učencih, ki potrebujejo pomoč in svetovanje.
Za obdelavo osebnih podatkov otrok v spletnem okolju v trenutnih izrednih razmerah, ko poteka izobraževanje na daljavo, je po mnenju IP v okviru zgoraj navedenega (izjema so torej podatki, kjer je poleg zakona že z zakonom zahtevana privolitev) edina ustrezna pravna podlaga 6(1)(c) Splošne uredbe, saj je obdelava potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca. Zakonsko obveznost sicer široko opredeljujejo zakoni s področja osnovnošolskega in srednješolskega izobraževanja, med drugim Zakon o osnovni šoli (Uradni list RS, št. 81/06 – UPB, s spremembami in dopolnitvami), Zakon o gimnazijah (Uradni list RS, št. 1/07 – UPB, s spremembami in dopolnitvami) ter Zakon o poklicnem in strokovnem izobraževanju (Uradni list RS, št. 79/06, s spremembami in dopolnitvami), ki določajo obveznost šol, da zagotavljajo predvidene oblike izobraževanja, ter dolžnost učencev in dijakov, da izpolnjujejo svoje šolske obveznosti. Delovne obveznosti učiteljev so nadalje opredeljene v Zakonu o organizaciji in financiranju vzgoje in izobraževanja (Uradni list RS, št. 16/07– UPB, s spremembami in dopolnitvami), ki v 119. členu določa tudi »zbiranje in obdelavo podatkov v zvezi z opravljanjem vzgojno-izobraževalnega in drugega dela«.
Zaradi izjemnih okoliščin, v katerih se nahajamo zaradi ukrepov za preprečevanje širjenja COVID-19, ki so začasno spremenila tudi izobraževalni proces, IP meni, da bi moralo Ministrstvo za izobraževanje, znanost in šport to pravno podlago ustrezno konkretizirati z enotnimi navodili šolam. IP je ministrstvo k temu že pozval.
Pri tem je treba upoštevati tudi pomisleke glede varnosti osebnih podatkov in iznosa v tretje države (več o tem si lahko preberete v že objavljenih mnenjih IP v zvezi z izobraževanjem na daljavo, ki so navedeni na koncu tega mnenja). Poleg tega bi morale biti šole oziroma učitelji opozorjeni na načelo najmanjšega obsega podatkov, po katerem morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (člen 5(1)(c) Splošne uredbe).
IP poudarja, da mora šola oziroma posamezen učitelj izpolnjevanje nalog preverjati na način, ki najmanj poseže v pravico do varstva osebnih podatkov in zasebnosti otroka. IP meni, da obvezna uporaba bodisi aplikacije za spremljanje telesne aktivnosti bodisi druge pametne naprave za spremljanje vadbe z namenom pošiljanja podatkov o opravljeni vadbi učitelju pretirano posega v pravico do varstva osebnih podatkov in zasebnost učencev (četudi bi si učenec ustvaril profil, iz katerega ne izhaja njegovo ime in priimek). Takšne aplikacije in pametne naprave namreč zbirajo in obdelujejo vrsto, lahko tudi občutljivih osebnih podatkov, in sicer praviloma na podlagi privolitve, ki pa, kot že pojasnjeno, pri izobraževanju na daljavo kot javnopravni nalogi ni ustrezna pravna podlaga. Uporaba tovrstnih aplikacij oziroma pametnih naprav za preverjanje izpolnjevanja nalog tudi ni izrecno zakonsko predpisana.
IP opozarja tudi na omejitve 157. člena Zakona o elektronskih komunikacijah (Uradni list RS, št. 109/12, 110/13, 40/14 – ZIN-B, 54/14 – odl. US, 81/15 in 40/17), s katerim je v slovenski pravni red prenesena Direktiva 2020/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah), ki določa, da so lahko tehnologije za pridobivanje podatkov s terminalne opreme uporabnikov uporabljene le, če posameznik v to privoli oziroma v primerih nujnih izjem, če je to potrebno zaradi zagotavljanja storitve. V ta okvir sodijo tudi aplikacije, ki si jih posamezniki namestijo na pametni telefon, torej tudi aplikacije, kot jih navajate. Kakršna koli raba tovrstnih aplikacij je lahko le prostovoljna. Glede na navedeno nikakor ni dopustno predpisati obveznega nameščanja aplikacij, ki beležijo vadbo na pametnem telefonu in ob tem pridobivajo podatke o lokaciji in druge podatke uporabnika, na zasebne mobilne telefone učencev.
Po oceni IP se lahko v konkretnem primeru cilj, to je preverjanje izvršitve določene naloge v okviru pouka športne vzgoje, preveri tudi z milejšim sredstvom, npr. zgolj s pisnim poročanjem o opravljenih aktivnostih. Tudi uporaba predlaganih spletnih aplikacij ali pametnih naprav namreč ne zagotavlja, da je konkretno aktivnost opravil prav določen učenec. Prav tako ni nujno, da vsi učenci sploh imajo pametni telefon, ki omogoča namestitev tovrstnih aplikacij, ali pametno napravo. Konkretnih navodil, kako izvajati nadzor nad opravljanjem šolskih nalog v primeru izobraževanja na daljavo, pa IP ni pristojen podati.