Davčna številka kot šifra pri objavi rezultatov vpisa v srednjo šolo

Datum

18.06.2025

Številka

07121-1/2025/776

Kategorije

Anonimizacija/psevdonimizacija, EMŠO in davčna, Svetovni splet, Šolstvo

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Zanima vas, ali je zakonito, če šola na spletni strani objavi mesto in število točk prijavljenih kandidatov (učencev osnovne šole, ki se prijavljajo v 1. letnik srednje šole) pod šifro, ki je davčna številka posameznega učenca.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Davčna številka je osebni podatek, saj predstavlja edinstven identifikacijski znak, ki omogoča nedvoumno prepoznavo posameznika, zato ni primerna za psevdonim.

Področni predpisi ne predvidevajo javne objave rezultatov vpisa v srednjo šolo z uporabo davčne številke, prav tako pa IP ne razbere druge ustrezne pravne podlage za takšno objavo. Zato priporoča uporabo drugačnih, zasebnosti prijaznejših načinov obveščanja prijavljenih kandidatov o rezultatih vpisa.

Obrazložitev

Uvodoma poudarjamo, da je za zakonitost obdelave osebnih podatkov odgovoren upravljavec (v konkretnem primeru šola), ki mora biti sposoben to tudi utemeljiti in dokazati. IP lahko v mnenju poda le splošna pojasnila, ne more pa izven konkretnega nadzornega postopka dokončno presojati zakonitosti posamezne obdelave. V nadaljevanju zato podajamo splošne usmeritve in pravna izhodišča, ki vam lahko pomagajo pri oblikovanju zakonite rešitve.

Davčna številka je osebni podatek, saj gre za edinstven identifikacijski znak, ki omogoča nedvoumno prepoznavo posameznika. Če šola rezultate objavi pod šifro davčne številke, takšen podatek ni niti anonimiziran niti psevdonimiziran. Kot opozarja Evropski odbor za varstvo podatkov (EDPB) v Smernicah 01/2025 o psevdonimizaciji (https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2025/guidelines-012025-pseudonymisation_sl), se v okviru učinkovite psevdonimizacije neposredni identifikatorji, kot so nacionalne identifikacijske številke, ne smejo uporabljati v psevdonimiziranem naboru podatkov, saj omogočajo enostavno določitev posameznikov. O psevdonimizaciji je IP izdelal tudi infografiko, ki je dostopna na spletni strani: https://www.ip-rs.si/publikacije/infografike.

Upravljavec mora imeti za kakršnokoli obdelavo osebnih podatkov, torej tudi za njihovo objavo na spletu, zakonito in ustrezno pravno podlago. Po prvem odstavku 6. člena ZVOP-2 se lahko osebni podatki obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Obdelava osebnih podatkov je med drugim dopustna, če je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca (točka c prvega odstavka 6. člena Splošne uredbe) ali če je potrebna za opravljanje naloge v javnem interesu oziroma pri izvajanju javne oblasti, dodeljene upravljavcu (točka e prvega odstavka 6. člena Splošne uredbe).

Področna ureditev v zvezi z obdelavo osebnih podatkov učencev pri vpisu v srednje šole izhaja iz  Zakona o poklicnem in strokovnem izobraževanju (Uradni list RS, št. 79/06, 68/17, 46/19 in 53/24; ZPSI-1), Zakona o gimnazijah (Uradni list RS, št. 1/07 – uradno prečiščeno besedilo, 68/17, 6/18 – ZIO-1, 46/19 in 53/24; ZGim) in Pravilnika o vpisu v srednje šole (Uradni list RS, št. 30/18). Srednje šole in gimnazije v svojih evidencah na podlagi 86. člena ZPSI-1 ter 42. člena ZGim sicer zakonito zbirajo tudi davčne številke prijavljenih kandidatov, vendar pa noben od navedenih predpisov ne določa njihove javne objave. V skladu z 21. členom navedenega pravilnika šola kandidate o sprejemu obvešča individualno, javno pa se objavi zgolj število točk, potrebnih za sprejem v program, po izteku prvega oziroma drugega kroga izbirnega postopka. Javne objave mest in števila točk prijavljenih kandidatov z uporabo neposrednih identifikatorjev ti predpisi torej ne predvidevajo.

Menimo, da je takšna praksa sporna z vidika pravil varstva osebnih podatkov, saj zanjo ni mogoče najti ustrezne pravne podlage, ki bi šoli omogočala, da rezultate kandidatov za vpis objavi na način, ki vključuje uporabo davčne številke. Poleg vprašanja zakonitosti obdelave, načela najmanjšega obsega podatkov in načela omejitve namena je treba v tem primeru upoštevati tudi vidik zaščite mladoletnih oseb, katerih osebni podatki zahtevajo posebno varstvo in ki mora biti spoštovano v vseh postopkih, ki jih vodijo šole. Zato IP šolam priporoča, da rezultate kandidatom sporočajo prek drugih, ustreznejših in zasebnosti prijaznih kanalov, transparentnost postopka pa zagotovijo brez nepotrebne obdelave osebnih podatkov.

Lepo vas pozdravljamo.

Pripravila:

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

dr. Jelena Virant Burnik, informacijska pooblaščenka

Financira Evropska unija. Izražena stališča in mnenja so izključno mnenja avtorja in ne odražajo nujno stališč in mnenj Evropske unije ali Evropske komisije. Niti Evropska unija niti organ, ki dodeljuje sredstva, zanje ne odgovarjata.