Objava osebnih podatkov študentov

Datum

22.07.2026

Številka

07120-1/2026/250

Kategorije

Anonimizacija/psevdonimizacija, Privolitev, Šolstvo

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem sprašujete, ali so še uporabna stališča iz mnenja IP št. 0712-79/2009/2 z dne 8. 4. 2009 glede objave osebnih podatkov študentov na internetu in oglasni deski. Mnenje se nanaša na objavo rezultatov izpitov z vpisno številko, poimenske razporede pedagoških obveznosti, objavo zagovorov zaključnih del ter uporabo privolitve študentov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 - ZInfV-1 in 10/26 - ZP-1L, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

Pri objavi osebnih podatkov študentov je treba izhajati iz Splošne uredbe, ZVOP-2 in ZViS-1. Vpisna številka, ki jo lahko visokošolski zavod poveže s konkretnim študentom, predstavlja osebni podatek; objava ocene ob vpisni številki pa praviloma pomeni objavo psevdonimiziranih in ne anonimnih podatkov. 

Rezultati izpitov naj se praviloma sporočijo neposredno posameznemu študentu, poimenske razporeditve študentov pa naj bodo dostopne le upravičenim osebam v ustrezno zavarovanem informacijskem sistemu.

Pri javnem zagovoru zaključnega dela se lahko, če je njegova javnost določena z veljavnimi pravili, v potrebnem obsegu, objavijo podatki, potrebni za obveščanje javnosti. 

Splošna privolitev, pridobljena ob vpisu, ne more nadomestiti pravne podlage za obdelave, ki so del zakonskih nalog javnega visokošolskega zavoda.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja ne more podati, saj lahko posamezne primere obdelave podatkov konkretno presoja zgolj znotraj inšpekcijskega ali drugega upravnega postopka.

Po 1. točki 4. člena Splošne uredbe je osebni podatek katera koli informacija v zvezi z določenim ali določljivim posameznikom, razkritje takih informacij z objavo (npr. na spletno stran) pa pomeni njihovo obdelavo v smislu 2. točke 4. člena Splošne uredbe. Pri presoji, ali je posameznik določljiv, je treba v skladu z uvodno izjavo 26 Splošne uredbe upoštevati vsa sredstva, za katera je razumno verjetno, da jih bo za določitev posameznika uporabil upravljavec ali druga oseba. Takšno razumevanje izhaja tudi iz sodbe Sodišča EU v zadevi C-582/14, Breyer. Ker visokošolski zavod razpolaga z dodatnimi informacijami, na podlagi katerih lahko vpisno številko poveže z identiteto posameznega študenta, je vpisna številka z njegovega vidika osebni podatek. Njena uporaba namesto imena in priimka pa ne pomeni anonimizacije osebnih podatkov. Kvečjemu bi lahko šlo za psevdonimizacijo v smislu 5. točke 4. člena Splošne uredbe, vendar le, če študenta brez uporabe dodatnih informacij ni mogoče določiti, te informacije pa se hranijo ločeno in so ustrezno zavarovane. Kljub temu tudi psevdonimizirani podatki ostanejo osebni podatki, za katere se še naprej uporabljajo vse zahteve Splošne uredbe (prim. Smernice EDPB 01/2025 o psevdonimizaciji, zlasti odstavki 18–22, ter Smernice EDPB 02/2026 o anonimizaciji, zlasti odstavki 18–22).

Za vsako obdelavo osebnih podatkov mora biti podana ena od ustreznih pravnih podlag iz prvega odstavka 6. člena Splošne uredbe. Pri obdelavah na podlagi točk (c) in (e) je treba upoštevati tudi drugi in tretji odstavek 6. člena Splošne uredbe, po katerih mora biti podlaga za obdelavo določena s pravom Unije ali pravom države članice, ki mora ustrezati cilju javnega interesa in biti sorazmerna z zakonitim ciljem, za katerega si obdelava prizadeva. Poleg zahteve po zakonitosti mora biti obdelava skladna tudi z vsemi načeli iz 5. člena Splošne uredbe, zlasti z načeli omejitve namena, najmanjšega obsega podatkov in omejitve hrambe, upravljavec pa mora upoštevati tudi zahteve vgrajenega in privzetega varstva podatkov iz 25. člena Splošne uredbe.

Zakon o visokem šolstvu (Uradni list RS, št. 56/25, v nadaljevanju ZViS-1) v 158. členu določa evidence z osebnimi podatki, ki jih vodijo visokošolski zavodi. Evidenca o izpitih in drugih študijskih obveznostih v skladu s petim odstavkom navedenega člena med drugim vsebuje osebno ime, vpisno številko ter oceno ali rezultat, dosežen pri izpitu. Po osmem odstavku istega člena visokošolski zavodi osebne podatke iz teh evidenc obdelujejo za potrebe svoje pedagoške in z njo povezane znanstvenoraziskovalne, umetniške in podporne dejavnosti. Navedene določbe torej zagotavljajo pravno podlago za vodenje evidenc in za obdelave, ki so potrebne za izvajanje študijskega procesa, iz njih pa ni mogoče že na splošno izpeljati dovoljenja za javno objavo vseh podatkov, ki jih evidence vsebujejo. Ker javna objava podatkov na spletno stran pomeni samostojno dejanje razkritja osebnih podatkov nedoločenemu krogu oseb, morata biti tudi njen namen in nujnost posebej utemeljena z ustrezno pravno podlago.

Pri javnem visokošolskem zavodu je treba to pravno podlago presojati tudi ob upoštevanju drugega odstavka 6. člena ZVOP-2, po katerem mora zakon pri obdelavah na podlagi točk (c) in (e) prvega odstavka 6. člena Splošne uredbe določiti obdelavo, vrste osebnih podatkov, kategorije posameznikov, namen in rok hrambe oziroma rok za pregled potrebe po hrambi. Notranji akt visokošolskega zavoda lahko podrobneje uredi način izvedbe zakonske naloge, ne more pa sam razširiti zakonsko določenih namenov ali ustvariti samostojne podlage za javno objavo osebnih podatkov, če taka podlaga že na izhaja iz samega zakona (prim. tudi drugi odstavek 38. člena Ustave RS, ki določa, da zbiranje, obdelovanje, namen uporabe, nadzor, in varstvo tajnosti osebnih podatkov določa lahko (le) zakon)).

1.Objava rezultatov izpitov. Ocena oziroma rezultat pri izpitu je osebni podatek, kadar se nanaša na določenega ali določljivega študenta. Enako velja, če je ocean objavljena ob vpisni številki, saj gre za psevdonimiziran podatek, ki ga visokošolski zavod lahko poveže s študentom. ZViS-1 ureja vodenje in uporabo evidence o izpitih za potrebe študijskega procesa, ne določa pa splošne javne objave ocen na odprtem spletu. Ker je mogoče študenta o rezultatu učinkovito obvestiti prek zavarovanega študentskega informacijskega sistema, bo javno objavo rezultatov na odprtem spletu praviloma težko šteti za potrebno in skladno z načelom najmanjšega obsega podatkov. Tudi objava na fizični oglasni deski predstavlja razkritje osebnih podatkov in jo je treba posebej utemeljiti ter zanj zagotoviti ustrezno pravno podlago; ožji krog možnih prejemnikov sam po sebi ne pomeni, da je obdelava osebnih podatkov zakonita. Če se rezultati izjemoma dajo na voljo določeni skupini študentov v zaprtem okolju, mora biti dostop omejen na upravičene osebe, objavljeni podatki omejeni na najmanjši potrebni obseg, objava pa časovno omejena. O tem glej tudi mnenji IP št. 07120-1/2020/356 z dne 17. 5. 2020 in št. 0712-1/2019/992 z dne 25. 4. 2019.

2.Razporedi pedagoških obveznosti. Objava osebnega imena skupaj s podatkom o izpitu, vajah, seminarju, ekskurziji ali drugi študijski obveznosti pomeni obdelavo osebnih podatkov. Razporejanje študentov je lahko potrebno zaradi organizacije pedagoškega procesa, pravna podlaga za notranjo obdelavo podatkov v ta namen pa je lahko podana v točki (c) ali (e) prvega odstavka 6. člena Splošne uredbe v povezavi z ZViS-1. Iz potrebe po razporejanju študentov pa vendar še ne izhaja, da je potrebna tudi objava poimenskih razporedov na javno dostopnem spletu. Razporedi naj se zato praviloma posredujejo prek zavarovanega informacijskega sistema, z individualnim obvestilom ali na drug način, ki dostop omejuje na študente in druge upravičene osebe. Če je namen mogoče doseči z razporeditvijo po skupinah, vpisnih številkah ali z uporabo drugega manj razkrivajočega identifikatorja, je treba v skladu z načelom najmanjšega obsega podatkov iz točke (c) prvega odstavka 5. člena in zahtevami iz 25. člena Splošne uredbe izbrati takšen način. Bistveno je torej, da je razpored dostopen le upravičenim osebam in da razkriva zgolj podatke, ki so nujni za organizacijo konkretne študijske obveznosti.

3.Objava zagovorov zaključnih del. Če je zagovor zaključnega dela po veljavnih predpisih oziroma splošnih aktih, sprejetih na njihovi podlagi, javen, je lahko objava osnovnih podatkov o zagovoru potrebna za dejansko zagotovitev njegove javnosti. Pravna podlaga je lahko točka (c) ali (e) prvega odstavka 6. člena Splošne uredbe v povezavi z ZViS-1 in pravili, ki urejajo javnost zagovora, pri čemer mora splošni akt ostati znotraj zakonsko določenih nalog in pooblastil visokošolskega zavoda. V takem primeru se lahko v obsegu, potrebnem za obveščanje javnosti, objavijo zlasti osebno ime kandidata, naslov ali tema zaključnega dela ter kraj in čas zagovora. Objavo je treba časovno omejiti in praviloma odstraniti, ko preneha namen obveščanja o prihajajočem zagovoru,odstraniti, razen če za nadaljnjo hrambo oziroma arhiviranje obstaja druga pravna podlaga.

Visokošolski zavod naj pri spletni objavi v skladu s 25. členom Splošne uredbe presodi tudi uvedbo tehničnih ukrepov, ki preprečujejo nepotrebno nadaljnje širjenje podatkov, na primer onemogočanje indeksiranja obvestila v spletnih iskalnikih ter omejevanje njegovega avtomatiziranega zajema in ponovne uporabe s strani spletnih pajkov, vključno s tistimi, ki jih uporabljajo sistemi generativne umetne inteligence, če takšni ukrepi ne onemogočajo doseganja namena javnosti zagovora.

Javnost zagovora sama po sebi namreč ne daje podlage za javno objavo dosežene ocene. Primerljivo je IP že pojasnil v mnenju št. 0712-1/2019/114 z dne 22. 1. 2019.

4.Privolitev študenta. Po tretjem odstavku 6. člena ZVOP-2 se lahko v javnem sektorju osebni podatki na podlagi privolitve obdelujejo, če tako možnost določa zakon, sicer pa le, če ne gre za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja. Splošna izjava, ki jo študent podpiše ob vpisu, zato ne more nadomestiti pravne podlage za obdelave, ki so sestavni del izvajanja študijskega procesa, niti razširiti zakonsko določenih namenov obdelave. Privolitev je lahko podlaga za ločen in neobvezen namen, ki ni del zakonskih nalog zavoda, vendar mora izpolnjevati zahteve iz 11. točke 4. člena in 7. člena Splošne uredbe: biti mora prostovoljna, specifična, informirana in nedvoumna ter jo mora biti mogoče kadar koli preklicati, brez kakršnihkoli posledic. Vpis, opravljanje študijskih obveznosti ali uresničevanje pravic študentov ne sme biti pogojeno s privolitvijo v obdelavo, ki za te namene ni potrebna.

Za presojo vseh štirih vprašanj je torej odločilno razlikovanje med notranjo obdelavo podatkov, ki je potrebna za izvajanje in organizacijo študijskega procesa, ter njihovim razkritjem nedoločenemu krogu oseb. ZViS-1 zagotavlja podlago za za tiste notranje obdelave, ki so potrebne za zakonsko določene namene visokošolske dejavnosti, javna objava pa je dopustna le, kadar je za konkreten zakonski namen potrebna, sorazmerna in omejena na najmanjši potrebni obseg. V drugih primerih je treba uporabiti zavarovane informacijske sisteme oziroma druge načine obveščanja z omejenim dostopom.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Pripravil: Grega Rudolf, mag. svetovalec pooblaščenca za mednarodno sodelovanje

Dr. Jelena Virant Burnik informacijska pooblaščenka