Krepitev sistema zbiranja podatkov o nasilju v vzgojno-izobraževalnih zavodih

Datum

11.04.2024

Številka

07120-1/2024/139

Kategorije

Anonimizacija/psevdonimizacija, Obdelava osebnih podatkov otrok in mladoletnih, Ocene učinkov v zvezi z varstvom podatkov, Pravne podlage, Šolstvo

Pri Informacijskem pooblaščencu (IP) smo prejeli vašo prošnjo za stališče glede krepitve sistema zbiranja podatkov o nasilju v vzgojno-izobraževalnih zavodih, upoštevaje Priporočila Odbora ministrov državam članicam o krepitvi sistemov prijave nasilja nad otroki, 11. člen Istanbulske konvencije in poročila skupine GREVIO. Ministrstvo za vzgojo in izobraževanje (MVI) skladno z omenjenimi priporočili predlaga, da vzgojno-izobraževalni zavodi vodijo podatke o številu otrok, ki so žrtve nasilja v družini ter žrtve medvrstniškega nasilja na območju šole in površin, ki sodijo v šolski prostor, ter jih v anonimizirani obliki (spol, starost) redno posredujejo MVI. Pojasnjujete, da na MVI potrebujete podatke za namene opazovanja in ocenjevanja nasilja nad otroki, spremljanje učinkovitosti ukrepov in za vzpostavljanje mehanizmov odgovornosti prijavljanja nasilja.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Pred uvedbo novih rešitev, ki vključujejo obdelavo osebnih podatkov, je bistveno najprej ugotoviti, ali je predlagan ukrep skladen z načelom sorazmernosti v širšem in ožjem pomenu. Če predlagan poseg v ustavno varovano pravico do varstva osebnih podatkov prestane t. i. strogi test sorazmernosti, pa je treba opredeliti še pravno podlago za obdelavo osebnih podatkov ter zagotoviti spoštovanje vseh načel v zvezi z obdelavo in izpolnjevanje drugih obveznosti, ki jih določajo predpisi na tem področju.

IP v mnenju ne more podati natančnega, še manj pa dokončnega stališča o predlaganem zbiranju in posredovanju podatkov o nasilju nad otroki, saj za takšno presojo nima dovolj informacij. Priporoča pa, da se v tej fazi izdela oceno učinka v zvezi z varstvom podatkov (35. člen Splošne uredbe in 24. člen ZVOP-2), po potrebi pa bo nato lahko izvedeno predhodno posvetovanje v skladu s 36. členom Splošne uredbe.

Obrazložitev

IP uvodoma pozdravlja pobudo za dodatno krepitev sistema zbiranja podatkov o nasilju v vzgojno-izobraževalnih zavodih, vendar pred njegovo uvedbo poziva k temeljitem razmisleku. Prav tako poudarja, da v mnenju ne more podati natančnega, še manj pa dokončnega stališča o predlaganem zbiranju in posredovanju podatkov o nasilju, saj za takšno presojo nima dovolj informacij.

Kot izhaja iz vaše prošnje, bi bil namen zbiranja podatkov o številu otrok, ki so žrtve nasilja v družini ter žrtve medvrstniškega nasilja na območju šole in površin, ki sodijo v šolski prostor, s strani vzgojno-izobraževalnih zavodov, ter njihovo posredovanje MVI, opazovanje in ocenjevanje nasilja nad otroki, spremljanje učinkovitosti ukrepov in vzpostavljanje mehanizmov odgovornosti prijavljanja nasilja.

IP poudarja, da je pri zbiranju dodatnih osebnih podatkov oziroma ustvarjanju novih zbirk vedno treba na podlagi t. i. strogega testa sorazmernosti najprej pretehtati, ali morda ne gre za prekomeren poseg. Posegi v človekove pravice ali temeljne svoboščine, med katere spada tudi pravica do varstva osebnih podatkov (38. člen Ustave Republike Slovenije), so po ustaljeni ustavnosodni praksi namreč dopustni le, če so v skladu z načelom sorazmernosti. To pomeni, da mora omejitev ustavnih pravic oziroma poseg vanje izpolnjevati tri pogoje:

-poseg mora biti nujen,

-poseg mora biti primeren za dosego zasledovanega cilja in

-teža posledic ocenjevanega posega v prizadeto človekovo pravico je proporcionalna vrednosti zasledovanega cilja oziroma koristim, ki bodo zaradi posega nastale (načelo sorazmernosti v ožjem pomenu).

V konkretnem primeru bi bilo treba na primer oceniti, ali bi morda za dosego zasledovanega cilja, ki je v učinkovitem preprečevanju nasilja nad otroki, zadoščali ukrepi, ki manj posegajo v zasebnost posameznikov, kot je anonimno poročanje šol o številu primerov nasilja, ki bi potekalo brez zbiranja osebnih podatkov.

Šele, če predlagan ukrep prestane opisan test sorazmernosti, pa je treba zagotovitvi tudi ustrezen pravni okvir za obdelavo podatkov. Pri tem je bistveno, da vsaka obdelava osebnih podatkov poteka na ustrezni pravni podlagi iz prvega odstavka 6. in 9. člena Splošne uredbe. ZVOP-2 v drugem odstavku 6. člena določa, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave. Ne glede na določbe drugega odstavka tega člena pa se za izvrševanje točke e) prvega odstavka 6. člena Splošne uredbe lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujno potrebni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.

V tem okviru bi bilo torej treba opredeliti ustrezno pravno podlago, in sicer tako za zbiranje osebnih podatkov o nasilju s strani vzgojno-izobraževalnih zavodov, kot tudi za pridobivanje teh podatkov s strani MVI. Natančno bi bilo treba določiti tudi nabor osebnih podatkov, ki se bi zbirali za predstavljen namen, ter presoditi, če se bi podatki MVI res posredovali v anonimizirani obliki, ali bi šlo zgolj za psevdonimiziramo obliko. V prošnji namreč nekoliko nedosledno navajate, da bi vzgojno-izobraževalni zavodi vodili le podatke o številu otrok kot žrtev nasilja, nato pa nadaljujete, da bi se MVI posredovali tudi podatki o spolu in starosti teh otrok.

Glede na navedeno IP v tej fazi predlaga izdelavo oceno učinka v zvezi z varstvom podatkov (35. člen Splošne uredbe in 24. člen ZVOP-2), saj je to najbolj primeren način za celovito obravnavo tveganj iz naslova varstva osebnih podatkov ter je v konkretnem primeru verjetno celo obvezna. Če bo iz ocene učinka razvidno, da predlagan ukrep prestane test sorazmernosti v širšem in ožjem pomenu, a bi obdelava povzročila veliko tveganje, če upravljavec ne bi sprejel ukrepov za ublažitev tveganja, pa se po potrebi v postopku predhodnega posvetovanja po 36. členu Splošne uredbe pridobi mnenje IP.

Priporočila za izdelavo ocene učinka so vsebovana:

-v smernicah IP o ocenah učinkov (https://www.ip-rs.si/publikacije/priročniki-in-smernice/smernice-po-splošni-uredbi-o-varstvu-podatkov-gdpr/smernice-ocene-učinkov-na-varstvo-osebnih-podatkov);

-v infografiki IP »Ustreznost DPIA in priporočila glede ocen učinkov« (https://www.ip-rs.si/fileadmin/user_upload/Pdf/infografike/Infografika%20-%20Ustreznost%20DPIA%20in%20priporočila.pdf);

-na spletni strani IP o oceni učinka v zvezi z varstvom podatkov (https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/ocena-učinka-v-zvezi-z-varstvom-podatkov/).

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka