Poizvedba glede vpisa otroka v vrtec in omejitve po 20. členu ZVOP-2

Datum

05.12.2025

Številka

07120-1/2025/526

Kategorije

Obdelava osebnih podatkov otrok in mladoletnih, Pravica do seznanitve z lastnimi osebnimi podatki, Vrtec

pri Informacijskem pooblaščencu (IP) smo prejeli vaše obvestilo glede odgovorov vrtcev na poizvedbo vlagatelja, ali je njegov vključen v vrtec. Izpostavljate, da se vrtci ob tovrstnih zadevah običajno posvetujete ter da ste ugotovili, da se je vlagatelj v konkretnem primeru obrnil na večino vrtcev na določenem območju. Najbolj enostaven odgovor bi bil sicer, da vrtci napišejo, da ta otrok ni vpisan v njihov vrtec, a če bi naredili tako in bi se le eden izmed vrtcev skliceval na izjemo po 20. členu Zakona o varstvu osebnih podatkov (ZVOP-2), bi vlagatelj že iz navedenega lahko sklepal, da je njegov otrok vključen v ta vrtec. Zato ste vsi vrtci vlagateljevo zahtevo obrazloženo zavrnili s sklicevanjem na 20. člen ZVOP-2, 5. člen Zakona o preprečevanju nasilja v družini (ZPND) in četrti odstavek 7. člena Družinskega zakonika (DZ).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22 in 40/25 – ZInfV-1, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim obvestilom.

Pri odločanju o zahtevah za dostop do osebnih podatkov otrok je treba biti še posebej previden in vedno varovati njihove koristi, ki lahko pretehtajo nad pravico zakonitega zastopnika do seznanitve z osebnimi podatki njegovega otroka.

Po 20. členu ZVOP-2 lahko upravljavec zakonitemu zastopniku zavrne tudi samo potrditev, ali obdeluje osebne podatke otroka, če bi takšna seznanitev lahko škodovala otroku. Že zgolj negativen odgovor lahko namreč razkrije občutljive informacije, zlasti kadar bi zakoniti zastopnik iz kombinacije odgovorov več upravljavcev lahko sklepal na lokacijo ali druge varovane podatke o otroku. Zato je v takih primerih ustrezna, včasih celo nujna, celostna presoja in usklajeno ravnanje več upravljavcev.

Obrazložitev

Pravica posameznika do seznanitve z lastnimi osebnimi podatki je temeljna človekova pravica, določena v tretjem odstavku 38. člena Ustave Republike Slovenije. Ta pravica je konkretizirana v 15. členu Splošne uredbe (»pravica dostopa posameznika, na katerega se nanašajo osebni podatki«), ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti (1) potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, (2) dostop do teh osebnih podatkov in (3) določene informacije v zvezi z obdelavo, ki jih izrecno našteva Splošna uredba.

Pri odločanju o zahtevi za dostop do osebnih podatkov otrok je treba biti še posebej previden. Starši so sicer kot zakoniti zastopniki praviloma upravičeni dostopati do osebnih podatkov svojih otrok, vendar je treba upoštevati, da so otroci sami nosilci pravice do varstva in dostopa do lastnih osebnih podatkov. Pri odločitvah o uresničevanju te pravice mora biti zato vedno primarno vodilo korist otroka. Če bi seznanitev zakonitega zastopnika lahko škodovala koristim, interesom ali pravicam otroka, mora upravljavec to upoštevati in po potrebi omejiti ali zavrniti dostop.

Pravica do varstva osebnih podatkov torej ni absolutna in jo je treba uravnotežiti z drugimi pomembnimi pravicami in interesi. Splošna uredba v 23. členu omogoča omejitve pravice do dostopa, kadar je to potrebno in sorazmerno za zaščito posameznika, na katerega se nanašajo osebni podatki, ali za pravice in svoboščine drugih oseb.

ZVOP-2 posebej ureja eno izmed takih omejitev: v 20. členu nalaga upravljavcu, da zahtevo po 15. členu Splošne uredbe, vloženo prek zakonitega zastopnika, izjemoma zavrne, če obstajajo konkretne in objektivne okoliščine, zaradi katerih bi bilo utemeljeno sklepati, da bi bile zaradi seznanitve z določenimi osebnimi podatki neposredno ali posredno prizadete koristi, pravice ali upravičeni interesi mladoletnih oseb ter če te pravice in interesi pretehtajo nad interesi zakonitega zastopnika za seznanitev. Kot že sami izpostavljate, imajo na presojo teh okoliščin v praksi vpliv tudi drugi predpisi, med drugim 5. člen Zakona o preprečevanju nasilja v družini (ZPND) in določbe Družinskega zakonika (npr. četrti odstavek 7. člena DZ), Konvencija o otrokovih pravicah, pri morebitnih omejitvah starševske skrbi pa je treba preučiti tudi naravo, obseg in dejanske učinke takšne omejitve.

V obravnavanem primeru to pomeni, da morajo vrtci kot upravljavci osebnih podatkov izvesti skrbno tehtanje med pravicami in koristmi otroka ter pravico vlagatelja zahteve za dostop kot zakonitega zastopnika. Posebej pomembno je, da se omejitev po 20. členu ZVOP-2 nanaša tudi na prvi del pravice iz 15. člena Splošne uredbe – torej na samo potrditev, ali se osebni podatki v zvezi z otrokom sploh obdelujejo. Upravljavec lahko zato zavrne tudi podajo odgovora v smislu »da« ali »ne«, če bi lahko že zgolj ta informacija sama po sebi škodila koristim, pravicam ali upravičenim interesom otroka. V praksi je namreč treba upoštevati, da lahko tudi negativen odgovor razkrije občutljive informacije. Če bi več upravljavcev (npr. več vrtcev v določenem okolju) na zahteve za dostop odgovarjalo povsem neodvisno, bi lahko vlagatelj v določenih primerih že iz kombinacije odgovorov sklepal na lokacijo ali druge občutljive podatke o otroku.

Zato je po oceni IP v takšnih okoliščinah ustrezna oziroma celo nujna celostna presoja in usklajeno ravnanje več upravljavcev. Kadar bi posamezen odgovor ali njihova kombinacija lahko razkrila podatek, do katerega vlagatelj ni upravičen, je utemeljeno, da vsi upravljavci zahtevo zavrnejo na podlagi 20. člena ZVOP-2 in drugih relevantnih določb, ki varujejo koristi in varnost otroka. Zavrnilna odločitev, ki jo upravljavec posreduje vlagatelju, pa ne sme biti podrobno obrazložena, če bi to lahko škodovalo koristim otroka. Ti razlogi morajo biti dokumentirani ločeno, dostop pa imajo do njih nadzorni organ, Varuh človekovih pravic, kolizijski skrbnik ter pri zdravstveni dokumentaciji tudi zastopnik pacientovih pravic.

Lepo vas pozdravljamo.

Pripravila:

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

dr. Jelena Virant Burnik,

informacijska pooblaščenka

Financira Evropska unija. Izražena stališča in mnenja so izključno mnenja avtorja in ne odražajo nujno stališč in mnenj Evropske unije ali Evropske komisije. Niti Evropska unija niti organ, ki dodeljuje sredstva, zanje ne odgovarjata.