Pravica šole do dostopa do podatkov o vrednosti glukoze v krvi učenca v aplikaciji

Datum

26.06.2025

Številka

07121-1/2025/812

Kategorije

Moderne tehnologije, Pravne podlage, Privolitev, Šolstvo, Zdravstveni osebni podatki

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Zanima vas, kdo v šoli ima lahko vpogled v aplikacijo, ki prikazuje vrednosti glukoze v krvi učenca.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Podatki v zvezi z zdravjem so osebni podatki posebne vrste in uživajo strožje varstvo (9. člen Splošne uredbe).

Osnovna šola lahko na podlagi 95. člena ZOsn obdeluje podatke o zdravstvenih posebnostih učenca, če je njihovo poznavanje nujno za učenčevo varnost in za delo z njim. Vpogled v aplikacijo za spremljanje glukoze pa lahko presega ta namen in v takem primeru pomeni dodatno obdelavo, za katero je praviloma potrebna izrecna privolitev staršev, dana šoli kot upravljavcu. Brez ustrezne pravne podlage pomeni takšen vpogled nezakonito obdelavo osebnih podatkov.

Obrazložitev

IP uvodoma pojasnjuje, da izven nadzornega postopka ne more presojati zakonitosti konkretnih obdelav osebnih podatkov. V okviru neobvezujočega mnenja lahko poda zgolj splošna pojasnila in pravne usmeritve.

Vsak upravljavec (v konkretnem primeru IP sklepa, da gre za osnovno šolo) mora imeti za obdelavo osebnih podatkov, kot so vpogled, zbiranje ali uporaba, zakonito in ustrezno pravno podlago. Po prvem odstavku 6. člena ZVOP-2 se lahko osebni podatki obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami iz prvega odstavka 6. in 9. člena Splošne uredbe (privolitev, pogodba, zakonska obveznost, zakoniti interesi itn.). Kadar gre za posebno vrsto osebnih podatkov, kot so podatki o zdravstvenem stanju posameznika (na primer vrednosti glukoze v krvi), pa veljajo še dodatne omejitve iz 9. člena Splošne uredbe, saj je njihova obdelava praviloma prepovedana, razen če je podana ena od izjem iz drugega odstavka tega člena.

Na področju šolstva pravne podlage za obdelavo osebnih podatkov učencev praviloma izhajajo iz področne zakonodaje. Zakon o osnovni šoli (Uradni list RS, št. 81/06 – uradno prečiščeno besedilo, 102/07, 107/10, 87/11, 40/12 – ZUJF, 63/13, 46/16 – ZOFVI-K, 76/23 in 16/24; v nadaljevanju ZOsn) v 95. členu določa zbirke podatkov, ki jih vodi osnovna šola. Zbirka podatkov iz prve alineje prvega odstavka tega člena vsebuje tudi podatke o zdravstvenih posebnostih učenca, če je njihovo poznavanje nujno za učenčevo varnost in za delo z njim (npr. alergije, kronične bolezni). To pomeni, da lahko osnovna šola na tej zakonski podlagi obdeluje določene osebne podatke posebne vrste, če je to objektivno utemeljeno glede na potrebe učenca. Kateri podatki sodijo v ta okvir, pa je vedno odvisno od okoliščin posameznega primera.

Skladno s 96. členom ZOsn se osebni podatki iz 95. člena tega zakona pridobivajo iz obstoječih zbirk pristojnih upravljavcev. Če se teh podatkov ne da pridobiti iz obstoječih zbirk, se podatki pridobijo neposredno od posameznika, na katerega se nanašajo, oziroma od staršev učenca. Upravljavec mora pri tem upoštevati vsa načela iz 5. člena Splošne uredbe, zlasti načelo omejitve namena in načelo najmanjšega obsega podatkov.

Osnovna šola lahko torej načeloma zakonito obdeluje podatke o bolezni učenca, kot je sladkorna bolezen, če je to nujno za njegovo varnost in delo z njim. To pa še ne pomeni, da je avtomatično dopustno zbiranje ali druga obdelava vseh podatkov, povezanih s to boleznijo. Ali podatki o nihanju ravni glukoze v krvi v konkretnem primeru sodi med zdravstvene posebnosti, ki jih mora šola poznati, IP v okviru mnenja ne more presojati. Vpogled v aplikacijo, v okviru katere se obdelujejo te zdravstveni podatki, pa lahko presega ta namen in pomeni dodatno obdelavo, za katero je potrebna posebna pravna podlaga.

Iz vašega opisa izhaja, da ima otrokova spremljevalka dostop do aplikacije za spremljanje vrednosti glukoze, ravnatelj pa naj bi vanjo vpogledal z namenom predstavitve širšega konteksta nihanj vrednosti. IP ocenjuje, da bi morala imeti šola za takšen vpogled v aplikacijo načeloma izrecno privolitev zakonitih zastopnikov otroka skladno s točko a) drugega odstavka 9. člena Splošne uredbe. Gre namreč za dostop do specifičnih podatkov o zdravstvenem stanju otroka (v tem primeru do podatkov o ravni glukoze, tudi izven časa pouka), ki lahko presegajo tisto, kar je nujno za izvajanje nalog šole. Čeprav ima šola zakonsko podlago za obdelavo določenih zdravstvenih podatkov, kadar je to potrebno zaradi otrokove varnosti in za delo z njim, pa za širši oziroma poglobljen vpogled, kot je dostop do aplikacije za sprotno spremljanje stanja, najverjetneje ne bo zadostovala zakonska podlaga iz 95. člena ZOsn, temveč bi bila praviloma potrebna dodatna, izrecna privolitev staršev. Takšna privolitev mora biti dana šoli kot upravljavcu osebnih podatkov, ne posameznim zaposlenim.

Če je torej spremljevalka brez posebne privolitve staršev omogočila ravnatelju vpogled v aplikacijo oziroma je bil takšen vpogled izveden brez obstoja ustrezne pravne podlage, bi to lahko pomenilo kršitev zakonodaje s področja varstva osebnih podatkov.

IP poudarja, da mora šola kot upravljavec zagotoviti, da so zbiranje in dostopi do osebnih podatkov utemeljeni, omejeni na pooblaščene osebe ter urejeni z notranjimi akti, ki jasno določajo, v katerih primerih, kdo in pod kakšnimi pogoji lahko obdeluje osebne podatke. Ti mehanizmi morajo učinkovito preprečevati nezakonito obdelavo osebnih podatkov, zlasti kadar gre za občutljive podatke o zdravju učenca.

Kot že pojasnjeno, pa IP v okviru podaje neobvezujočega mnenja ni pristojen dokončno presojati, ali je bil v opisanem primeru vpogled v osebne podatke (ne)zakonit. Če menite, da je v konkretnem primeru prišlo do kršitve predpisov o varstvu osebnih podatkov, lahko na IP podate prijavo ter priložite ustrezna dokazila. Pomagate si lahko z neobveznim obrazcem (»Obrazec VOP prijava«), ki je dostopen na: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

Lepo vas pozdravljamo.

Pripravila:

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

dr. Jelena Virant Burnik, informacijska pooblaščenka

Financira Evropska unija. Izražena stališča in mnenja so izključno mnenja avtorja in ne odražajo nujno stališč in mnenj Evropske unije ali Evropske komisije. Niti Evropska unija niti organ, ki dodeljuje sredstva, zanje ne odgovarjata.