Soglasje za obdelavo OP otroka v vrtcu

Datum

06.01.2025

Številka

07121-1/2024/1610

Kategorije

Privolitev, Šolstvo

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede ustreznosti soglasja (privolitve).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Svetovalni delavci so podatke iz prvega odstavka 46. člena ZVrt dolžni varovati kot poklicno skrivnost. Te podatke so kot poklicno skrivnost dolžni varovati tudi drugi strokovni delavci, ki so jim podatki posredovani zaradi narave njihovega dela.

Svetovalni delavec sme s strokovno interpretiranimi podatki, ki jih vsebuje osebna mapa, seznaniti vzgojitelja in pomočnika vzgojitelja, ki opravljata vzgojno delo z otrokom in vse osebe, ki sodelujejo v projektu pomoči oziroma sodelujejo pri izvajanju individualiziranega programa za otroke s posebnimi potrebami, če je to potrebno za dosego namena postopka oziroma nudenja strokovne pomoči oziroma če je to v skladu z izvajanjem individualiziranega programa. Na enak način lahko svetovalni delavec s podatki seznani tudi ravnatelja, kadar je to potrebno za izvajanje njegove funkcije oziroma opravljanje njegovih nalog.

Privolitev posameznika v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov mora biti podana v skladu z določili 7. člena Splošne uredbe, med drugim mora biti dana z jasnim pritrdilnim dejanjem, kar pomeni, da posameznik prostovoljno, specifično, ozaveščeno in nedvoumno izrazi privolitev v obdelavo osebnih podatkov v zvezi z njim.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne more pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. IP tako v okviru neobvezujočega mnenja ne more presojati ustreznosti privolitve za obdelavo osebnih podatkov, ki ste jo priložili vašemu zaprosilu za mnenje.

IP pojasnjuje, da je za zakonito obdelavo osebnih podatkov treba imeti ustrezno pravno podlago. Splošna uredba določa pravne podlage v prvem odstavku 6. člena, kjer določa, da je obdelava zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem je treba upoštevati, da se zadnja točka (f) ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Za vsako obdelavo osebnih podatkov mora torej obstajati pravna podlaga. Področni zakon, ki ureja predšolsko vzgojo, ki jo izvajajo javni in zasebni vrtci, predstavlja Zakon o vrtcih (Uradni list RS, št. 100/05, 25/08, 98/09 – ZIUZGK, 36/10, 62/10 – ZUPJS, 94/10 – ZIU, 40/12 – ZUJF, 14/15 – ZUUJFO, 55/17, 18/21; v nadaljevanju: ZVrt), ki v 42. členu določa, da vrtci zbirajo, obdelujejo, shranjujejo, posredujejo, varujejo in uporabljajo osebne podatke, vsebovane v evidencah, v skladu s predpisi o varstvu osebnih podatkov, če s tem zakonom ni določeno drugače. V 43. členu ZVrt so nato določene zbirke osebnih podatkov, ki jih vrtci vodijo za izvajanje predšolske vzgoje, za spremljanje dejavnosti in statistične namene. V naslednjih členih je določena vsebina in namen posameznih zbirk. Med temi zbirkami je tudi evidenca otrok, ki potrebujejo svetovanje oziroma pomoč. V drugem odstavku 46. člena ZVrt je določeno, da se v njej osebni podatki zbirajo po presoji svetovalne službe za tiste otroke, ki potrebujejo strokovno svetovanje oziroma pomoč. V tretjem odstavku istega člena je določeno, da se osebni podatki iz prvega odstavka zbirajo v soglasju s starši oziroma skrbniki otrok, razen v primeru, ko je otrok v družini ogrožen in ga je potrebno zavarovati.

Pri tem je treba upoštevati podrobnejša določila glede pogojev, po katerih se šteje, da je soglasje oziroma privolitev veljavna, ki so določeni v 7. členu Splošne uredbe. Privolitev posameznika mora biti konkretna, razumljiva izjava ali drugo nedvoumno pritrdilno dejanje in dokazljiva. Privolitev mora biti dana z jasnim pritrdilnim dejanjem, kar pomeni, da posameznik prostovoljno, specifično, ozaveščeno in nedvoumno izrazi privolitev v obdelavo osebnih podatkov v zvezi z njim. Privolitev mora biti jasna oziroma razumljiva in ločena od drugih izjav. Molk, vnaprej označena okenca ali kakršnakoli nedejavnost tako ne pomenijo privolitve. Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče. IP ob tem poudarja tudi, da mora biti privolitev v primerih, ko obdelava podatkov vključuje več različnih namenov, podana za vsak namen posebej. Upravljavec mora pridobiti več ločenih privolitev za vsako obdelavo posebej (granularnost oziroma razčlenjenost privolitev). Posameznik mora imeti možnost privoliti v obdelavo svojih osebnih podatkov za vsak namen obdelave posebej. Namen mora biti jasno in nedvoumno opredeljen, saj je konkreten, ekspliciten in legitimen namen obdelave predpogoj za pridobitev veljavne privolitve. Prostovoljno je privolitev dana, kadar ima posameznik resnično izbiro in nadzor nad svojimi osebnimi podatki. Posameznik ne sme čutiti prisile ali negativnih posledic, če privolitve ne poda. Prav tako ne sme biti postavljen v situacijo, ko privolitve ne more zavrniti ali preklicati brez morebitnih sankcij oziroma škodnih posledic. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče.

IP nadalje pojasnjuje, da četrti odstavek 46. člena ZVrt določa, da so svetovalni delavci podatke iz prvega odstavka tega člena dolžni varovati kot poklicno skrivnost. Te podatke so kot poklicno skrivnost dolžni varovati tudi drugi strokovni delavci, ki so jim podatki posredovani zaradi narave njihovega dela.

Zbiranje osebnih podatkov otrok na podlagi ZVrt podrobneje ureja Pravilnik o zbiranju in varstvu osebnih podatkov na področju predšolske vzgoje (Uradni list RS, št. 80/04; v nadaljevanju: pravilnik), ki v 7. členu med drugim določa, da svetovalna služba lahko začne s postopkom svetovanja oziroma pomoči na podlagi predhodno pridobljenega pisnega soglasja staršev razen, če je otrok v družini ogrožen in ga je potrebno zavarovati. Soglasje mora vsebovati:

-konkretno opredeljen namen zbiranja osebnih podatkov v okviru svetovanja oziroma pomoči;

-osebne podatke, ki se bodo glede na namen zbirali po strokovni presoji svetovalne službe v okviru družinske in socialne anamneze, razvojne anamneze, diagnostičnih postopkov, postopkov strokovne pomoči in strokovnih mnenj drugih institucij z zagotovilom, da se bodo zbrani podatki uporabili samo za namen nudenja strokovnega svetovanja oziroma pomoči in posredovali drugim uporabnikom v skladu z zakonom;

-seznanitev z možnostjo preklica soglasja;

-čas shranjevanja osebnih podatkov;

-podpis staršev.

Starši lahko soglasje kadarkoli pisno prekličejo. Če med postopkom svetovanja oziroma nudenja pomoči pride do spremenjenih okoliščin, ki vplivajo na vsebino soglasja, se na predlog svetovalne službe soglasje dopolni. Če začne svetovalna služba voditi postopek svetovanja oziroma nudenja pomoči brez soglasja staršev oziroma nadaljuje s postopkom tudi po preklicu soglasja, mora v evidenci dokumentirati svojo oceno in dokazila o dejanski ogroženosti otroka v družini.

Nadalje pravilnik v 9. členu določa, da sme svetovalni delavec s strokovno interpretiranimi podatki, ki jih vsebuje osebna mapa, seznaniti vzgojitelja in pomočnika vzgojitelja, ki opravljata vzgojno delo z otrokom in vse osebe, ki sodelujejo v projektu pomoči oziroma sodelujejo pri izvajanju individualiziranega programa za otroke s posebnimi potrebami, če je to potrebno za dosego namena postopka oziroma nudenja strokovne pomoči oziroma če je to v skladu z izvajanjem individualiziranega programa. Na enak način lahko svetovalni delavec s podatki seznani tudi ravnatelja, kadar je to potrebno za izvajanje njegove funkcije oziroma opravljanje njegovih nalog.

IP ob tem pojasnjuje, da je obdelava oziroma dostop do osebnih podatkov znotraj upravljavca načeloma stvar odločitve vodstva ter posledično notranje organizacije upravljavca in ureditve v internih aktih, Upravljavec osebnih podatkov mora pri obdelavi osebnih podatkov upoštevati temeljna načela iz 5. člena Splošne uredbe. V skladu z načelom najmanjšega obsega podatkov iz točke (e) tega člena mora biti obdelava osebnih podatkov (npr. dostopanje do osebnih map) omejena na to, kar je potrebno za namene, za katere se ti podatki obdelujejo. To pomeni, da je pri določanju pravic dostopa treba vzeti v obzir naloge, naravo dela in delovne obveznosti posamičnega zaposlenega. Za posamezno vrsto osebnih podatkov je tako treba pretehtati, kateri izmed zaposlenih se morajo seznaniti s temi podatki glede na namene, za katere se obdelujejo. Če je tako neizogibno potrebno, da se konkretni delavci oziroma delavke, ki jih navajate v vašem zaprosilu za mnenje, izhajajoč iz pogodbe o zaposlitvi oziroma druge pogodbe, ki ureja njihovo razmerje do delodajalca, internih navodil, notranje sistemizacije ali drugih internih aktov, za svoje delo v okviru pristojnosti delodajalca dostopajo do podatkov iz osebne mape, je dopustno, da se jim tak dostop omogoči.

IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more dokončno presojati konkretnega obrazca posameznega upravljavca. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo in odgovornost zanjo je vedno na upravljavcu osebnih podatkov (v konkretnem primeru na vrtcu). IP sklepno ponavlja tudi, da v okviru neobvezujočega mnenja ne more konkretno presojati ustreznosti notranje ureditve upravljavca, temveč je naloga upravljavca oziroma njegovega vodstva, da opravi presojo, kdo od zaposlenih utemeljeno potrebuje dostop do določenih osebnih podatkov in na podlagi te ocene ustrezno določi dostopne pravice.

IP sklepno pojasnjuje, da v kolikor menite, da je prišlo do neupravičene obdelave vaših osebnih podatkov, lahko pri IP vložite prijavo kršitve varstva osebnih podatkov po elektronski pošti na naslov gp.ip@ip-rs.si, oziroma po navadni pošti na naslov: Informacijski pooblaščenec, Dunajska cesta 22, 1000 Ljubljana. IP splošno priporoča, da se prijave pošljejo na ustreznem obrazcu.

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič,

Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka