Razkrivanje osebnih podatkov staršem dijaka

Datum

23.07.2024

Številka

07121-1/2024/852

Kategorije

Šolstvo, Pravne podlage

Pri Informacijskem pooblaščencu (IP) smo dne 6. 7. 2024 prejeli vaše zaprosilo za mnenje glede dopustnosti razkrivanja osebnih podatkov staršem dijaka. Navajate, da je šola od vaše osebne zdravnice nezakonito pridobila opravičilo za izostanek od pouka, ki je bil nato na sestanku razkrit vašim staršem. Zanima vas, ali je šola ravnala zakonito.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Obdelava osebnih podatkov je dopustna samo v primeru, če zanjo obstaja zakonita pravna podlaga. V skladu s členom 6(1) Splošne uredbe je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Ta točka se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

V opisanem primeru gre za dva ločena postopka obdelave podatkov: (1) najprej je zdravnica opravičilo posredovala šoli (ravnateljici); (2) opravičilo je bilo nato razkrito staršem na sestanku s svetovalno službo. Za vsako izmed opisanih obdelav osebnih podatkov mora obstajati pravna podlaga iz člena 6(1) Splošne uredbe.

V zaprosilu za mnenje navajate, da je zdravnica opravičilo šoli posredovala nezakonito, vendar ne navajate nobenih okoliščin, iz katerih to izhaja. Poleg tega se IP do vprašanja morebitne nezakonite obdelave osebnih podatkov ne more opredeliti v tem nezavezujočem mnenju, temveč ga lahko presoja le v okviru postopka prijavitelja s posebnim položajem. V nadaljevanju podano mnenje temelji na predpostavki, da so bili osebni podatki dejansko posredovani šoli nezakonito.

Do dijakovega izpolnjenega 18. leta starosti lahko šola dijakovim staršem posreduje podatke, ki jih v zvezi z njim zakonito obdeluje v svojih evidencah. V skladu s prvim odstavkom 43.a člena Zakona o gimnazijah (Uradni list RS, št. 1/07 – uradno prečiščeno besedilo, 68/17, 6/18 – ZIO-1, 46/19 in 53/24), imajo starši tudi po tem, ko dijak dopolni 18. let, pravico, da jim šola, na enak način kot staršem mladoletnega dijaka, razkrije oziroma posreduje osebne podatke dijaka in druge informacije o:

-vpisu v izobraževalni program in izpisu iz izobraževalnega programa,

-ocenah, učnem uspehu in napredovanju,

-prisotnosti pri pouku in drugih oblikah izobraževalnega dela,

-zaznanih hujših kršitvah šolskega reda in uvedenih postopkih vzgojnega ukrepanja,

-obravnavi svetovalne službe,

-organizaciji šolskega dela (npr. roditeljski sestanki, govorilne ure).

V skladu s četrtim odstavkom 43.a člena Zakona o gimnazijah se podatki o odsotnosti dijaka, podatki o zaznanih hujših kršitvah šolskega reda in uvedenih postopkih vzgojnega ukrepanja ter tisti osebni podatki, ki bi lahko imeli za posledico izgubo statusa dijaka zaradi negativnega učnega uspeha, izključitve ali izpisa iz šole, lahko staršem razkrijejo tudi v primeru, če je dijak zahteval, da se njegovih osebnih podatkov sicer ne sme razkrivati njegovim staršem. Šola torej lahko razkrije podatke o dijakovi odsotnosti njegovim staršem in to celo v primeru, če dijak s pisno izjavo izrecno prepovedal razkrivanje podatkov, ki se nanašajo nanj, staršem. Podobno določbo vsebuje tudi 87.a člen Zakona o poklicnem in strokovnem izobraževanju (Uradni list RS, št. 79/06, 68/17, 46/19 in 53/24).

Vendar pa je situacija v opisanem primeru drugačna, saj naj bi bilo opravičilo, ki je bilo razkrito staršem, pridobljeno nezakonito (česar IP, kot smo že zapisali zgoraj, ne more preveriti). Nadaljnja obdelava, na primer objava ali razkritje, nezakonito pridobljenih osebnih podatkov pa ne more biti zakonita, čeprav bi sicer obstajala pravna podlaga za njihovo obdelavo.

Če menite, da so bili osebni podatki, ki se nanašajo na vas, razkriti v nasprotju z določbami Splošne uredbe in ZVOP-2, lahko na IP vložite prijavo (pritožbo), s katero zahtevate nadzor nad zakonitostjo obdelave svojih osebnih podatkov. Pri vložitvi prijave si lahko pomagate z obrazcem, ki ga je v z namenom lažje prijave kršitev s področja varstva in varnosti osebnih podatkov pripravil IP (https://www.ip-rs.si/fileadmin/user_upload/doc/obrazci/ZVOP/Pritozba.docx).

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka IP za mednarodne odnose

dr. Jelena Virant Burnik, informacijska pooblaščenka