Mnenje o zbiranju in obdelavi osebnih podatkov o socialno-ekonomskem statusu učencev in dijakov

Datum

14.02.2023

Številka

07121-1/2023/156

Kategorije

Obdelava osebnih podatkov otrok in mladoletnih, Posebne vrste OP, Privolitev, Šolstvo, Statistika in raziskovanje

Pri Informacijskem pooblaščencu (IP) smo dne 6. 2. 2023 prejeli vaše zaprosilo za mnenje o pravni podlagi za zbiranje podatkov o socialno-ekonomskem statusu posameznikov (učencev in dijakov), ki sodelujejo na nacionalnih standardiziranih preizkusih znanja (npr. NPZ v 3., 6. ali 9. razredu, poklicna matura in matura) in njihovi obdelavi s strani državnih institucij (npr. RIC, ZRSŠ, CPI) kot vir povratne informacije za zakonodajalca za namen izboljševanja dela v šolskem sistemu. Sprašujete, ali drži stališče da se to zagotovo ne da urediti s pomočjo pravilnikov (o NPZ, maturi, ipd.), temveč bi edina možna podlaga za zbiranje takšnih podatkov (npr. o izobrazbi staršev) bilo eksplicitno soglasje staršev, ki se za prostovoljno udeležbo na NPZ zbira že sedaj oziroma, ali bi se dalo to urediti v okviru pravilnika oziroma nadredne zakonodaje v primeru uvedbe obveznega pisanja NPZ-jev.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.

Glede na namen in naravo raziskave, v okviru katere bi se zbiralo in obdelovalo podatke, ki določajo socialno-ekonomski status določljivih otrok v posameznem (javnem) izobraževalnem in vzgojnem procesu (kot so primeroma kazalniki: izobrazba staršev, poklic, dohodek, lastništvo, družinska dinamika in funkcioniranje v družbi ipd.), upoštevajoč predvidene upravljavce iz javnega sektorja ter okoliščine, v katerih bi se osebni podatki zbirali, zlasti kar zadeva vrste osebnih podatkov in kategorije posameznikov od katerih bi se neposredno zbirali ter razmerja med predvidenimi upravljavci in posamezniki, na katere bi se zbrani osebni podatki nanašali, se privolitvi slednjih ne bo možno izogniti. Glede na to, da je že zaradi narave take raziskave pridobivanje privolitev neizogibno in ob izpolnjenem pogoju, da njeno izvajanje ne sodi med izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti katerega od predvidenih upravljavcev iz javnega sektorja, bi pravna podlaga lahko temeljila na tretjem odstavku 6. člena ZVOP-2.

Če bi takšna obdelava osebnih podatkov pri določenem upravljavcu iz javnega sektorja bila potrebna zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti (v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe) pa bi bila zakonita le, v kolikor bi bila določena z zakonom na način iz drugega odstavka 6. člena ZVOP-2, s katerim bi po tretjem odstavku 6. člena ZVOP-2 bilo določeno tudi, katere vrste osebnih podatkov posamezne kategorije posameznika, na katerega se nanašajo obdelave osebnih podatkov za ugotavljanje socialno-ekonomskega statusa določenega učenca ali dijaka, se lahko obdelujejo le na podlagi privolitve.

Obrazložitev

V kolikor anketni vprašalnik za zbiranje podatkov o socialno-ekonomskem statusu posameznikov ne bo vnaprej oblikovan in tudi izvajan na način, da zbranih podatkov ali rezultatov ne bo mogoče pripisati določeni osebi, ne bodo šteli za anonimizirane in bo pri njihovi obdelavi treba spoštovati predpise s področja varstva osebnih podatkov. Osebni podatki (tudi psevdonimizirani) morajo skladno z načeli iz 5. člena Splošne uredbe biti obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo, biti morajo zbrani za določene, izrecne in zakonite namene, poleg tega pa ustrezni, relevantni in omejeni na to, kar je potrebno za dosego takšnih namenov, pri čemer se lahko hranijo v obliki, ki dopušča identifikacijo posameznikov na katere se nanašajo le toliko časa, kot je potrebno za dosego namenov za katere se obdelujejo, dotlej pa je treba zagotoviti vse razumne ukrepe za njihovo posodabljanje in točnost tako, da se netočne osebne podatke brez odlašanja izbriše ali popravi ter za ohranitev njihove varnosti in preprečitev obdelave, ki bi pomenila kršitev uredbe.

Po prvem odstavku 6. člena ZVOP-2 se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. V skladu z drugim odstavkom 6. člena ZVOP-2 je obdelava osebnih podatkov v javnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave. Po tretjem odstavku 6. člena ZVOP-2 pa se v javnem sektorju lahko v skladu s prvim odstavkom tega člena obdelujejo osebni podatki posameznika, ki je dal privolitev za obdelavo svojih osebnih podatkov za enega ali več določenih namenov, če tako možnost določa zakon, sicer pa na podlagi privolitve, če ne gre za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja. Ne glede na določbe drugega odstavka 6. člena ZVOP-2 se za izvrševanje točke e) prvega odstavka 6. člena Splošne uredbe lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujno potrebni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.

Opozoriti velja še na prepoved obdelave osebnih podatkov iz 2. člena ZVOP-2, če se izvaja na način ali ima za posledico nedopustno diskriminacijo glede na narodnost, raso, barvo kože, veroizpoved, etnično pripadnost, spol, jezik, politično ali drugo prepričanje, spolno usmerjenost, spolno identiteto, premoženjsko stanje, kraj rojstva, izobrazbo, družbeni položaj, invalidnost, državljanstvo, kraj oziroma vrsto prebivališča, zdravstveno stanje, genske predispozicije ali katero koli drugo osebno okoliščino posameznice in posameznika. Po petem odstavku 6. člena ZVOP-2 pa se z zakonom sme obdelava osebnega podatka o narodni ali etnični pripadnosti v javnem sektorju določiti samo izjemoma, za primere, v katerih je to nujno za odločitev o osebnem stanju, pravicah, spodbudah in ugodnostih za posameznika, na katerega se nanašajo osebni podatki, ali za zagotavljanje in spodbujanje enakega obravnavanja, enakih možnosti ter zajamčenih posebnih pravic pripadnikov narodne ali etnične skupnosti v Republiki Sloveniji, pri čemer zakon določi privolitev posameznika, na katerega se nanašajo osebni podatki, ali določi obdelavo podatkov, glede katerih se posameznik svobodno opredeli.

Iz informacij vašega zaprosila za mnenje izhaja predpostavka, da ne bi šlo za nadaljnjo obdelavo zbranih podatkov za nacionalne standardizirane preizkuse znanja v raziskovalne ali statistične namene, ki bi v skladu s prvim odstavkom 89. člena Splošne uredbe štela za združljivo s prvotnimi nameni in katerih posebna pravila so urejena v 1. poglavju II. dela ZVOP-2 za področne ureditve obdelav osebnih podatkov, pač pa za samostojno primarno zbiranje podatkov o socialno-ekonomskem statusu v obliki anketnega vprašalnika neposredno od učencev in dijakov za drug namen, kot se od njih zbirajo podatki za nacionalne standardizirane preizkuse znanja. Takega zbiranja podatkov pa že po naravi stvari najverjetneje ne bi bilo mogoče predpisati kot obveznega za udeležence nacionalnih standardiziranih preizkusov znanja, zato obveznost ali prostovoljnost udeležbe na takšnih preizkusih znanja, po oceni IP nima bistvenega vpliva na določitev ustrezne pravne podlage. Druga pomembna predpostavka iz informacij vašega zaprosila pa je, da bi se v okviru raziskovanja socialno-ekonomskega statusa, ki opisuje relativni položaj posameznika ali družine v družbi, neizogibno obdelovali tudi osebni podatki drugih oseb, kot le posameznega učenca ali dijaka, ki bi izpolnjeval anketni vprašalnik (primeroma ste nakazali podatek o izobrazbi staršev) in zelo verjetno tudi posebne vrste osebnih podatkov v skladu z 9. členom Splošne uredbe glede na široko opredelitev pojmov iz Splošne uredbe (npr. podatki, ki se nanašajo na telesno ali duševno zdravje posameznika štejejo za osebne podatke o zdravstvenem stanju ipd.), zato se privolitvi staršev že zaradi narave raziskave ne bi bilo mogoče izogniti, četudi bi se podatki obdelovali v okviru državnih institucij, ki ste jih našteli in tudi kadar bi se podatki zbirali neposredno od 15 let ali več starih dijakov.

Vendar pa kakršna koli privolitev za obdelavo osebnih podatkov glede na določbo 11. točke 4. člena v povezavi s 7. členom Splošne uredbe ne bi zadostovala, saj mora privolitev posameznika na katerega se nanašajo osebni podatki biti prostovoljna, konkretna (izrecna za obdelavo posebnih vrst podatkov), informirana in nedvoumna izjava z jasnim pritrdilnim ravnanjem posameznika za izraz strinjanja, dokazljiva s strani upravljavca glede izpolnitve vseh pogojev iz Splošne uredbe za privolitev.

Če bi torej takšna obdelava osebnih podatkov pri predvidenih upravljavcih iz javnega sektorja bila potrebna zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe, bi bila zakonita le, če bi bila določena z zakonom kot to določa drugi odstavek 6. člena ZVOP-2, v katerem bi glede na zgoraj ugotovljeno neizogibno privolitev, v skladu s tretjim odstavkom 6. člena ZVOP-2 bilo določeno tudi, kateri osebni podatki o socialno-ekonomskem statusu posameznika, na katerega se nanašajo obdelave osebnih podatkov, se za enega ali več določenih namenov lahko obdelujejo le na podlagi njegove privolitve.

Zgolj v primeru, da takšna obdelava osebnih podatkov pri predvidenih upravljavcih iz javnega sektorja ne bi sodila med izvrševanje njihovih zakonskih pristojnosti, nalog ali oblastnih obveznosti, bi pravna podlaga lahko temeljila na tretjem odstavku 6. člena ZVOP-2, upravljavec v skladu z zakonom pa bi moral vnaprej določiti primerne in posebne ukrepe za varstvo interesov posameznikov, na katere vse bi se nanašali obdelovani osebni podatki ter ukrepe za njihovo varnost in pregledno ter pravično informiranost skladno z načeli varstva osebnih podatkov, zlasti glede vključenih posebnih vrst osebnih podatkov in pričakovanih načinov obdelave posameznih vrst podatkov, ki bi se zbirali ter morebitnih posledic rezultatov njihove obdelave, da bi se s posamezniki, od katerih se bodo neposredno zbirali lahko dogovorili o dopustnosti njihovega posredovanja določenemu upravljavcu za enega ali več določenih namenov, h katerim bodo podali veljavno privolitev.

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka