Posredovanje osebnih podatkov Arnes iz CEUVIZ

Datum

23.07.2025

Številka

07120-1/2025/331

Kategorije

Posredovanje osebnih podatkov, Pravne podlage, Pridobivanje OP iz zbirk

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede načina pridobitve osebnih podatkov s strani ARNES za namen oblikovanja digitalne identitete udeleženca izobraževanja.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

ZOFVI jasno določa, da ARNES lahko pridobi podatke s povezovanjem (na podlagi EMŠO) z evidencama matični list učenca in osebni list dijaka, ne pa s CEUVIZ. Dodaten argument, ki IP vodi k temu stališču, je tudi, da 135.c člen ZOFVI, ki določa uporabo podatkov iz CEUVIZ, v petem in nadaljnjih odstavkih določa vrsto upravljavcev, ki lahko pridobijo podatke iz CEUVIZ s povezovanjem zbirk iz centralne evidence, med njimi pa ni naveden tudi Arnes.

IP poudarja, da v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov (v konkretnem primeru vaše ministrstvo), ki nosi tudi odgovornost za tovrstno opravljeno presojo.

Obrazložitev

IP uvodoma poudarja, da v okviru neobvezujočega mnenja ne more podajati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku. Odgovornost za zakonito in pošteno obdelavo osebnih podatkov je na upravljavcu osebnih podatkov.

IP pojasnjuje, da Zakon o organizaciji in financiranju (Uradni list RS, št. 16/07 – UPB, 36/08, 58/09, 64/09 – popr., 65/09 – popr., 20/11, 40/12 – ZUJF, 57/12 – ZPCP-2D, 47/15, 46/16, 49/16 – popr., 25/17 – ZVaj, 123/21, 172/21, 207/21, 105/22 – ZZNŠPP, 141/22, 158/22 – ZDoh-2AA, 71/23, 22/25 – ZZZRO-1, 48/25; v nadaljevanju: ZOFVI) v drugem odstavku 135.aa člena določa da osnovne šole, glasbene šole, gimnazije, srednje strokovne in poklicne šole v informacijskem sistemu iz prvega odstavka tega člena vodijo določene evidence in dokumente, med njimi tudi evidenco matični list učenca in evidenco osebni list dijaka. Vsebina prve evidence je določena v sedmem, druge evidence pa v devetem odstavku 135.aa člena ZOFVI.

Nadalje 135.ab člen ZOFVI določa, da se za evidenco matični list učenca in osebni list dijaka določeni osebni podatki pridobijo iz centralne evidence (v nadaljevanju: CEUVIZ) s povezovanjem na podlagi podatka o EMŠO. Obenem je v zadnji alineji istega člena določeno, da podatke o uporabniškem imenu in elektronskem naslovu udeleženca izobraževanja na podlagi EMŠO določi Akademska in raziskovalna mreža Arnes (v nadaljnjem besedilu: Arnes) in jih posreduje v evidenco matični list učenca in osebni list dijaka.

IP pojasnjuje tudi, da četrti odstavek 135.ac člena ZOFVI določa, da Arnes za potrebe izobraževanja v digitalnem učnem okolju oblikuje digitalno identiteto udeleženca izobraževanja in v ta namen pridobi podatke o osebnem imenu, nazivu šole, razredu, letniku in oddelku, s povezovanjem, na podlagi podatka o EMŠO, z evidencama matični list učenca in osebni list dijaka. V petem odstavku istega člena je določeno, da digitalna identiteta udeleženca izobraževanja iz prejšnjega odstavka vsebuje EMŠO, osebno ime ter uporabniško ime in elektronski naslov.

IP na podlagi navedenih določb meni, da ZOFVI jasno določa, da ARNES lahko pridobi podatke s povezovanjem (na podlagi EMŠO) z evidencama matični list učenca in osebni list dijaka, ne pa s CEUVIZ. Dodaten argument, ki IP vodi k temu stališču, je tudi, da 135.c člen ZOFVI, ki določa uporabo podatkov iz CEUVIZ, v petem in nadaljnjih odstavkih določa vrsto upravljavcev, ki lahko pridobijo podatke iz CEUVIZ s povezovanjem zbirk iz centralne evidence, med njimi pa ni naveden tudi Arnes.

Ob tem IP ponovno poudarja, da ZVOP-2 v prvem odstavku 87. člena določa, da kadar se posebne vrste osebnih podatkov, osebni podatki v zvezi s kazenskimi obsodbami in prekrški, podatki o dohodkih v skladu z zakonom, ki ureja dohodnino, podatki o premoženju posameznika v skladu z zakonom, ki ureja uveljavljanje pravic iz javnih sredstev, podatki o nepremičninah v lasti posameznika v skladu z drugimi zakoni, podatki oziroma informacije o kreditni sposobnosti v skladu z zakonom, ki ureja centralni kreditni register, ter uradne evidence v skladu z zakonom, ki ureja naloge in pooblastila policije, in zakonom, ki ureja preprečevanje pranja denarja in financiranja terorizma, obdelujejo v uradnih evidencah ali javnih knjigah, se jih lahko povezuje med seboj ali z drugimi zbirkami samo, če taka povezovanja izrecno določa zakon. ZOFVI v drugem odstavku 135.a člena določa, katere podatke vsebuje CEUVIZ, v tretjem odstavku istega člena pa je določeno, da se v zbirki vodi tudi podatek o upravičenosti do znižanega plačila vrtca, dodatne subvencije za malico in subvencije za kosilo (številka in datum odločbe, obdobje upravičenosti, uvrstitev v dohodkovni razred in višina subvencije oziroma znižanega plačila vrtca in občina, zavezanka za plačilo).

IP ponavlja svoje stališče, da so torej med podatki, ki se vodijo v centralni evidenci, tudi določene vrste podatkov, za katere IP meni, da je verjetno, da sodijo oziroma da zbirke, ki vsebujejo te podatke, sodijo v okvir iz prvega odstavka 87. člena ZVOP-2, in sicer med podatke o dohodkih v skladu z zakonom, ki ureja dohodnino. Takšno evidenco se torej lahko povezuje samo, če tako povezovanje izrecno določa zakon. IP na podlagi zgornjih odstavkov meni, da v konkretnem primeru takšna izrecna zakonska podlaga za Arnes ni zagotovljena.

Glede dopustnosti posredovanja osebnih podatkov Arnes-u IP uvodoma splošno pojasnjuje, da mora imeti upravljavec (v konkretnem primeru vaše ministrstvo) za vsako obdelavo osebnih podatkov, tudi za njihovo posredovanje, zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Glede posredovanja podatkov iz CEUVIZ IP ponavlja, da četrti odstavek 135.ac člena ZOFVI določa, da Arnes za potrebe izobraževanja v digitalnem učnem okolju oblikuje digitalno identiteto udeleženca izobraževanja in v ta namen pridobi podatke o osebnem imenu, nazivu šole, razredu, letniku in oddelku, s povezovanjem, na podlagi podatka o EMŠO, z evidencama matični list učenca in osebni list dijaka. Digitalna identiteta udeleženca izobraževanja vsebuje EMŠO, osebno ime ter uporabniško ime in elektronski naslov.

IP opozarja, da ZVOP-2 vsebuje tudi posebne določbe glede posredovanja osebnih podatkov (39. - 41. člen). Skladno s prvim odstavkom 39. člena ZVOP-2 lahko osebe javnega sektorja posredujejo osebne podatke drugim osebam javnega sektorja ali drugim fizičnim ali pravnim osebam, če je za posredovanje dana pravna podlaga v skladu s 6. členom ZVOP-2, ter na podlagi zahteve iz prvega odstavka 41. člena tega zakona, razen če drug zakon določa drugače. Prejemnik podatkov sme osebne podatke obdelovati samo za namen, za uresničevanje katerega se mu posredujejo. Skladno s prvim odstavkom 41. člena ZVOP-2 zahteva za posredovanje osebnih podatkov vsebuje (če drug zakon ne določa drugače):

1.podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

2.pravno podlago za pridobitev zahtevanih osebnih podatkov;

3.namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

4.predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

5.vrste osebnih podatkov, ki naj se mu posredujejo;

6.obliko in način pridobitve zahtevanih osebnih podatkov.

Za dopustnost posredovanja osebnih podatkov morajo biti tako (poleg navedenih materialnopravnih pogojev) izpolnjeni tudi formalni pogoji iz prvega odstavka 41. člena ZVOP-2. Vsebina pisne zahteve je torej z ZVOP-2 točno določena in med drugim vsebuje tudi pravno podlago za pridobitev zahtevanih osebnih podatkov. Vsaka zahteva mora vsebovati vse naštete elemente, sicer posredovanje ni upravičeno. Ob tem je treba upoštevati tudi načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati (v konkretnem primeru posredovati) samo toliko osebnih podatkov posameznikov, kolikor je nujno potrebno za izpolnitev namena v konkretnem primeru.

IP dodatno pojasnjuje, da prvi odstavek 135.aa člena ZOFVI določa, da podatke za evidence iz drugega odstavka 135.aa tega zakona (med temi evidencami sta tudi  evidenci matični list učenca in osebni list dijaka) vnašajo za svoje udeležence vzgoje in izobraževanja osnovne šole, glasbene šole, gimnazije, srednje strokovne in poklicne šole, razen podatkov o osebnem imenu udeleženca izobraževanja, EMŠO, spolu, kraju in državi rojstva, državljanstvu, stalnem in začasnem prebivališču, imenu in naslovu vzgojno-izobraževalnega zavoda ter matični številki poslovnega subjekta (šifra PRS), vrsti in imenu izobraževalnega programa, nazivu poklicne ali strokovne izobrazbe ter evidenčni številki iz uradnega registra programov, razredu, letniku in oddelku, datumu vključitve oziroma datumu začetka izobraževanja v šoli, datumu začetka izobraževanja v vzgojno-izobraževalnem programu, datumu izpisa iz šole in datumu zaključka izobraževanja v vzgojno-izobraževalnem zavodu za evidence matična knjiga osnovne šole, matična knjiga glasbene šole, matična knjiga srednje šole, matični list učenca in osebni list dijaka, ki se pridobijo iz centralne evidence, s povezovanjem na podlagi podatka o EMŠO.

Na podlagi te določbe se torej lahko iz CEUVIZ pridobijo zgoraj navedeni podatki, med katerimi so tudi vsi podatki, ki so potrebni za namen oblikovanja digitalne identitete udeleženca izobraževanja (podatki o osebnem imenu, nazivu šole, razredu, letniku in oddelku). Na podlagi zgoraj omenjenih določb IP meni, da četrti odstavek 135.ac člena ZOFVI predstavlja pravno podlago za pridobitev v tem odstavku določenih osebnih podatkov s strani Arnes in da bi bilo posredovanje zahtevanih osebnih podatkov Arnes-u v konkretnem primeru najverjetneje lahko upravičeno pod pogojem, če so izpolnjeni vsi zgoraj navedeni pogoji za posredovanje in te podatke Arnes nujno potrebuje za opravljanje svojih nalog. IP podaja tudi mnenje, da se glede na določbe ZOFVI takšno posredovanje zdi smiselno in upravičeno ter da sam razlog, da trenutno na ravni države še ni vzpostavljen del informacijskega sistema, ki se nanaša na zadevni evidenci (matični list učenca in osebni list dijaka), ne bi smel predstavljati nepremostljive ovire za oblikovanje digitalne identitete udeleženca izobraževanja.

IP ob tem sklepno ponovno poudarja, da v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov (v konkretnem primeru vaše ministrstvo), ki nosi tudi odgovornost za tovrstno opravljeno presojo. IP se v mnenju ne more in ne sme postaviti v vlogo odločevalca (razsojevalca) v posameznih primerih in odločiti o upravičenosti posredovanja podatkov ali celo odrediti/prepovedati določenemu zavezancu posredovanje določenih podatkov.

Lepo vas pozdravljamo,

Pripravil:

Matej Sironič,

Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka