Izvajanje evalvacijskih aktivnosti med mladoletnimi udeleženci s spletnim anketiranjem

Datum

05.03.2025

Številka

07121-1/2025/293

Kategorije

Anonimizacija/psevdonimizacija, Obdelava osebnih podatkov otrok in mladoletnih, Pravne podlage, Privolitev, Statistika in raziskovanje

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede izvajanja evalvacijskih aktivnosti med mladoletnimi udeleženci. Zanima vas, ali mladoletnim udeležencem delavnic, ki jih izvajate po osnovnih šolah in mladinskih centrih, lahko posredujete vprašalnike in zbrane podatke na združeni ravni nato obdelujete z namenom spremljanja učinkov delavnic oziroma ali bi za to potrebovali kakršna koli dodatna dovoljenja (staršev, institucije, kjer je aktivnost izvedena ipd.). Vprašalnik bi mladoletnim udeležencem posredovali na način, da bi jim na koncu vsakokratne delavnice posredovali QR kodo s povezavo na spletni vprašalnik. V uvodu vprašalnika bi na mladim razumljiv način pojasnili tudi, kaj pomeni, da je vprašalnik anonimen.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

V povezavi s pričujočim mnenjem pojasnjujemo še, da se lahko IP do konkretnih obdelav osebnih podatkov dokončno opredeljuje le v nadzornih postopkih.

1.Če boste spletni vprašalnik udeležencem predstavili kot anonimni vprašalnik, je bistveno, da bosta vsebina vprašalnika in tehnično-organizacijski način izvedbe anketiranja v resnici zagotavljala absolutno anonimnost anketiranih udeležencev. V takem primeru za nadaljnjo obdelavo odgovorov iz ankete ni potrebna pravna podlaga za obdelavo osebnih podatkov, saj se načela varstva osebnih podatkov za anonimizirane podatke ne uporabljajo.

2.V nasprotnem primeru (torej, če anketirancem torej absolutna anonimnost ne bi bila zagotovljena), je za nadaljnjo obdelavo pridobljenih odgovorov iz ankete potrebna veljavna privolitev ali druga ustrezna pravna podlaga iz prvega odstavka 6. člena Splošne uredbe.

3.V obeh zgornjih primerih mora biti na voljo ustrezna pravna podlaga (npr. privolitev ali pogodbeno razmerje z udeležencem) za zbiranje in nadaljnjo obdelavo e-poštnih naslovov udeležencev, ki jih boste uporabili za posredovanje povezave do spletnega vprašalnika. Udeleženci (ali njihovi zakoniti zastopniki) morajo biti ob udeležbi v delavnici jasno obveščeni med drugim tudi o tem, da bo e-poštni naslov uporabljen (tudi) za ta namen.

4.To mnenje velja za vse starostne skupine udeležencev, pri čemer mlajše mladoletnike (do 15. leta starosti) zastopajo zakoniti zastopniki.

Obrazložitev

Pogoj za zakonito obdelavo osebnih podatkov (npr. pridobitev, zbiranje in uporaba e-poštnih naslovov ter obdelava prek ankete pridobljenih osebnih podatkov) je v prvi vrsti ta, da so obdelani na eni od predpisanih pravnih podlag. ZVOP-2 v prvem odstavku 6. člena napotuje na pravne podlage iz prvega odstavka 6. in 9. člena Splošne uredbe. Če ne gre za obdelavo posebnih vrst osebnih podatkov (tj. osebnih podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo), so v skladu z določbo prvega odstavka 6. člena Splošne uredbe dopustne pravne podlage privolitev, sklenitev ali izvajanje pogodbe, izvajanje zakonskih zahtev, zaščita življenjskih interesov posameznika, izvajanje javnih nalog oziroma javne oblasti in zakoniti interesi, ki prevladajo nad interesi posameznika. Pri tem je za zakonitost obdelave dovolj, da za obdelavo obstaja ena od navedenih pravnih podlag.

Načela varstva osebnih podatkov (vključno z zahtevo po obstoju pravne podlage) se ne uporabljajo za izvorno anonimizirane podatke (informacije, ki že ob pridobitvi absolutno niso povezane z določenim ali določljivim posameznikom) ali podatke, ki so bili kasneje anonimizirani na tak način, da posameznik, na katerega se nanašajo osebni podatki, ni več določljiv.

Splošna uredba osebni podatek opredeljuje kot katerokoli informacijo v zvezi z določenim ali določljivim posameznikom (1. točka 4. člena Splošne uredbe). Posameznik je določen, če ga je mogoče prepoznati in ločiti od ostalih oseb. Določljiv posameznik sicer še ni prepoznaven, je pa njegova identifikacija mogoča neposredno ali posredno z uporabo identifikatorjev, na primer osebnih imen, identifikacijskih številk, podatkov o lokaciji, spletnih identifikatorjev, ali okoliščin, ki so značilne za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto posameznika. Za določitev posameznika se lahko uporabijo vsa sredstva, za katera se razumno pričakuje, da jih bo upravljavec ali druga oseba uporabila za identifikacijo posameznika. Izpostavljamo, da za določljivost posameznika ni nujno, da je določljiv za upravljavca, temveč so lahko identifikatorji, na podlagi katerih je mogoče identificirati posameznika, v rokah drugih subjektov (upravljavcev) ali pa so razpršeni med različnimi subjekti. Anonimizacija torej mora povzročiti nepovratno pretrganje povezave s posameznikom tako, da posameznika z uporabo razumnih sredstev ni več mogoče določiti.

V zaprosilu za mnenje ste navedli, da naj bi bil vprašalnik anonimen in da bo kot tak mladoletnim udeležencem tudi predstavljen. V tem primeru je pomembno, da določenih odgovorov na vprašanja v nobenem primeru ne bo mogoče povezati s posameznim mladoletnim udeležencem delavnice, torej, da bosta sam vprašalnik in izvedba anketiranja v vseh korakih zadostila pogojem anonimizacije. To v vašem primeru med drugim pomeni na primer, da QR kode, ki jih boste posredovali posameznim udeležencem, ne smejo vsebovati individualnih povezav, preko katerih bi bilo mogoče ugotoviti naslovnika določene QR kode. Prav tako mora biti vsebina vprašalnika zasnovana na način, da ne omogoča določljivosti udeleženca.

Če boste spletni vprašalnik udeležencem predstavili kot anonimni vprašalnik, je torej bistveno, da bosta vprašalnik in način izvedbe anketiranja v resnici zagotavljala anonimnost anketiranih posameznikov. V tem primeru za nadaljnjo obdelavo podatkov (tj. analizo ali obdelavo odgovorov) iz ankete tudi ne potrebujete pravne podlage, saj se, kot že rečeno, načela varstva osebnih podatkov za anonimizirane podatke ne uporabljajo. V nasprotnem primeru (če anketirancem torej absolutna anonimnost ne bi bila zagotovljena), je za nadaljnjo obdelavo osebnih podatkov potrebna ustrezna pravna podlaga – v konkretnem primeru verjetno privolitev (po točki (a) prvega odstavka 6. člena Splošne uredbe) ali pogodbeno razmerje (po točki (b) prvega odstavka 6. člena Splošne uredbe). Nadaljnja o obdelava v tem primeru pomeni analiziranje odgovorov udeležencev.

V obeh primerih (anonimna ali neanonimna anketa) morajo biti udeleženci (ali njihovi zakoniti zastopniki) ob udeležbi v delavnici obveščeni med drugim tudi o tem, da bo e-poštni naslov uporabljen (tudi) za ta namen.

Iz vašega opisa okoliščin anketiranja IP razbere, da boste v vsakem primeru, tudi če bo vprašalnik sicer anonimen, obdelovali (vsaj) kontaktne podatke udeležencev, saj jim boste na individualni e-naslov naknadno posredovali QR kodo s povezavo do vprašalnika. Tak kontaktni podatek praviloma predstavlja osebni podatek in je za njegovo pridobitev in zbiranje potrebna pravna podlaga. V konkretnem primeru bo podlaga verjetno privolitev (točka (a) prvega odstavka 6. člena Splošne uredbe) ali pogodbeno razmerje (točka (b) prvega odstavka 6. člena Splošne uredbe). V obeh primerih (privolitev ali pogodbeno razmerje) morajo biti udeleženci (ali njihovi zakoniti zastopniki) ob udeležbi v delavnici obveščeni med drugim tudi o tem, da bo e-poštni naslov uporabljen (tudi) za ta namen.

Če povzamemo – zakonito pridobljen e-poštni naslov se lahko uporabi tudi za pošiljanje spletnega anketnega vprašalnika ob pogoju obveščenosti o obdelavi odgovorov iz vprašalnikov, ki zagotavljajo absolutno anonimnost, in pravna podlaga za obdelavo odgovorov iz vprašalnikov ni potrebna, prav tako za to obdelavo ni treba izpolnjevati posebnih pogojev s področja varstva osebnih podatkov.

Glede na to, da gre v vašem primeru za mladoletne udeležence, je treba upoštevati, kdaj otrok lahko veljavno privoli v obdelavo njegovih osebnih podatkov. ZVOP-2 je v prvem odstavku 8. člena določil, da mora biti otrok star najmanj 15 let, da lahko veljavno privoli v uporabo storitev informacijske družbe, če ni upravljavec določil višje starosti. Storitev informacijske družbe je storitev, ki se običajno opravi odplačno, na daljavo, elektronsko in na posamezno zahtevo prejemnika storitev (3. člen Zakona o elektronskem poslovanju na trgu). V vašem primeru verjetno ne gre za izvajanje storitev informacijske družbe, ZVOP-2 pa ni določil splošne starostne meje za veljavno privolitev, zato je po mnenju IP potrebno upoštevati splošna pravila o poslovni sposobnosti starejših mladoletnikov (od 15. do 18. leta starosti), ki lahko samostojno sklepajo pravne posle, če ni poseben zakon določil drugače oziroma če ne gre za pravne posle, ki bistveno vplivajo na otrokovo življenje pred polnoletnostjo ali po njej.

Ker pri tovrstnem anketiranju verjetno ne gre za obdelavo osebnih podatkov, ki bi bistveno vplivala na otrokovo življenje pred ali po polnoletnosti, lahko otrok, po mnenju IP, od dopolnjenega 15. leta starosti dalje samostojno in brez dovoljenja staršev privoli v obdelavo osebnih podatkov, in sicer v uporabo naslova e-pošte za pošiljanje spletne ankete in (po potrebi) v obdelavo osebnih podatkov iz ankete. Starejši mladoletnik pa lahko v vsakem primeru samostojno privoli v obdelavo osebnih podatkov, če že pred 18. letom pridobi popolno poslovno sposobnost. Da privolitev predstavlja zakonito pravno podlago za obdelavo osebnih podatkov, mora ustrezati pogojem iz 7. člena Splošne uredbe, zlasti mora biti prostovoljna in informirana (tj. dana na podlagi potrebnih in zadostnih informacij o obdelavi osebnih podatkov). Zgoraj navedeno velja tudi za sklenitev pogodbe, ki vključuje tudi pravice in obveznosti glede obdelave osebnih podatkov (točka (b) prvega odstavka 6. člena Splošne uredbe).

To mnenje velja tudi za spletno anketiranje preko mobilne telefonske številke.

Lepo vas pozdravljamo.

Pripravil

Mojca Leitinger Okršlar, univ. dipl. prav., državna nadzornica za varstvo osebnih podatkov

dr. Jelena Virant Burnik, informacijska pooblaščenka

Financira Evropska unija. Izražena stališča in mnenja so izključno mnenja avtorja in ne odražajo nujno stališč in mnenj Evropske unije ali Evropske komisije. Niti Evropska unija niti organ, ki dodeljuje sredstva, zanje ne odgovarjata.