Informacijski pooblaščenec (v nadaljevanju: IP) je prejel zaprosilo za mnenje glede posredovanja podatkov o bivših učencih.
Na podlagi informacij IP v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo neobvezno mnenje.
Osnovna šola brez privolitve posameznikov, na katere se nanašajo osebni podatki, nima pravne podlage, da bi komurkoli posredovala sezname učencev (tudi nekdanjih) za namen, ki ni naveden v zakonu.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka presojati konkretnih obdelav osebnih podatkov. IP zato v nadaljevanju podaja splošna pojasnila ter pravna izhodišča in pogoje za zakonito obdelavo osebnih podatkov.
Obdelava osebnih podatkov je v skladu s členom 6(1) Splošne uredbe o varstvu podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:
(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.
Ob tem je treba upoštevati, da se zadnja točka (f) ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog.
IP nadalje pojasnjuje, da je pravna podlaga za obdelavo osebnih podatkov v javnem sektorju, kamor sodi tudi vaš zavod, podana v 9. členu ZVOP-1, ki v prvem odstavku določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi tudi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Ne glede na to pa se osebni podatki, upoštevajoč drugi odstavek 9. člena ZVOP-1, lahko obdelujejo tudi na podlagi osebne privolitve posameznika brez podlage v zakonu, kadar ne gre za izvrševanje javnih nalog.
Zakon, ki ureja obdelavo osebnih podatkov učencev, je Zakon o osnovni šoli (Uradni list RS, št. 81/06 – uradno prečiščeno besedilo, 102/07, 107/10, 87/11, 40/12 – ZUJF, 63/13, 46/16 – ZOFVI-L; v nadaljevanju: ZOsn), ki v 94. členu določa, da osnovna šola zbira, obdeluje, shranjuje, posreduje in uporablja podatke, vsebovane v zbirkah podatkov, ki jih vodi v skladu s predpisi o varstvu osebnih podatkov, če s tem zakonom ni drugače določeno. ZOsn v 95. členu določa tudi, katere zbirke osebnih podatkov vodi osnovna šola. Med te zbirke sodi tudi zbirka podatkov o učencih, vpisanih v osnovno šolo, in njihovih starših (1. točka prvega odstavka 95. člena ZOsn). Osebni podatki iz teh zbirk se lahko zbirajo, obdelujejo, shranjujejo in uporabljajo za potrebe obveznega izobraževanja in posredujejo ministrstvu, pristojnemu za šolstvo, za izvajanje z zakonom določenih nalog ter Državnemu izpitnemu centru za izvajanje nacionalnega preverjanja znanja (97. člen ZOsn).
Nadalje Pravilnik o zbiranju in varstvu osebnih podatkov na področju osnovnošolskega izobraževanja (Uradni list RS, št. 80/04, 76/08; v nadaljevanju: pravilnik) v 5. členu določa, da se osebni podatki o učencih in njihovih starših smejo zbirati, uporabljati, shranjevati in posredovati samo za namene, določene v zakonu, oziroma za namene, razvidne iz privolitve posameznika, in ne smejo biti uporabljeni na način, ki ni združljiv s temi nameni.
IP sklepno pojasnjuje, da zgoraj navedene določbe natančno določajo, za kateri namen (za potrebe obveznega izobraževanja) in komu lahko osnovna šola posreduje osebne podatke učencev. Osnovna šola tako brez privolitve posameznikov, na katere se nanašajo osebni podatki, nima pravne podlage, da bi komurkoli posredovala sezname učencev (tudi nekdanjih) za namen, ki ni naveden v zakonu (npr. za namen srečanja nekdanjih sošolcev).
Vir: IPRS