ŠOLSTVO IN PRAVO Varstvo osebnih podatkov mag. Domen Petelin, univ. dipl. pravnik V stalnem tematskem sklopu Šolstvo in pravo vam avtor mag. Domen Petelin s svojimi prispevki poskuša odgovoriti na številna odprta vprašanja s področja šolskega prava. Glede želenih vsebin prihodnjih prispevkov ali dilem glede vsakokratnega aktualnega prispevka se na avtorja lahko obrnete preko elektronskega naslova petelin.domen@gmail.com. Krajši pregled ključnih mnenj informacijskega pooblaščenca o varstvu osebnih podatkov na področju vzgoje in izobraževanja od uvedbe splošne uredbe o varstvu osebnih podatkov Veliko vrtcev in šol se je v zadnjih dveh letih, odkar je v Sloveniji v uporabi Splošna uredba o varstvu osebnih podatkov (GDPR; v nadaljevanju: Splošna uredba), vsake toliko srečalo z različnimi interpretacijami, kaj Splošna uredba prinaša, kakšne so po novem prepovedi, kaj se lahko in česa se več ne sme. Morda bo v pomoč krajši pregled1 in subjektivni izbor nekaj od najbolj pomembnih mnenj Informacijskega pooblaščenca o varstvu osebnih podatkov na področju vzgoje in izobraževanja, tudi glede obdelave osebnih podatkov v času izrednih razmer (COVID-19), s katerimi se je avtor kot zunanja pooblaščena oseba za varstvo osebnih podatkov pri številnih vrtcih in šolah srečal in pomagal pri iskanju najbolj optimalnih rešitev. IMENA OTROK V GARDEROBAH Informacijski pooblaščenec (v nadaljevanju: IP) je prejel večje število vprašanj na temo obdelav osebnih podatkov otrok v šolah in vrtcih, ki so po njihovi oceni rezultat nepoznavanja določb zakonodaje in njene napačne interpretacije. IP poudarja, da je potrebno upoštevati načelo sorazmernosti in potrebe organizacije učnega procesa ali komunikacije z otroci in starši, zato IP meni, da ni sporno v garderobah vrtcev poleg slikovnega znaka, ki ga ima vsak otrok, napisati tudi njegovo osebno ime, ne pa tudi zače- tnice priimka, ali celo osebno ime in cel priimek, saj to zadostuje namenu, da se starši ustrezno znajdejo v garderobah2. PODPISANE RISBE V VRTCU/ŠOLI Glede na to, da objave imen in priimkov ob risbah otrok na javnem mestu vrtca3 ne določa noben specialni zakon, lahko predstavlja pravno podlago za opisano obdelavo podatkov osebna privolitev staršev ali skrbnikov otrok, saj gre v konkretnem primeru za otroke, ki še nimajo poslovne sposobnosti. To pomeni, da v kolikor vrtec pridobi veljavne privolitve staršev ali skrbnikov za namen navedene obdelave osebnih podatkov, lahko v skladu s Splošno uredbo izobesi risbe z imeni otrok na javnih mestih vrtca. Namreč potrebno je poudariti, da je smisel določb zakonodaje, ki ureja varstvo osebnih podatkov v tem, da sami upravljamo s svojimi osebnimi podatki in s tem se sami odločamo, kolikšen poseg v svojo zasebnost dovoljujemo. IP dodaja, da je pri obdelavi osebnih podatkov potrebno upoštevati načelo »najmanjšega obsega podatkov« iz točke (c) člena 5(1) Splošne uredbe (bivše načelo sorazmernosti iz 3. člena ZVOP-1) za potrebe organizacije učnega procesa ali komunikacije z otroci in starši, zato pri IP menijo, da ni sporno v garderobah vrtcev izobesiti izdelke otrok z navedbo njihovih KURIKULUM, šolsko pravno svetovanje, d.o.o. V kolikor še nimate imenovane strokovne pooblaščene osebe za varstvo osebnih podatkov (po GDPR), se obrnite na KURIKULUM, šolsko pravno svetovanje, d.o.o.. Nedvomno najbolj ugodna in strokovna rešitev za posodobitev in uskladitev dokumentov s področja varstva osebnih podatkov. Zaupa nam že veliko število vrtcev, osnovnih šol in glasbenih šol. Prepričajte se še vi! Kontakt: info@kurikulum.si Didakta 78 www.kurikulum.si 1 Pri pregledu gre za povzetke mnenj Informacijskega pooblaščenca, ki jih je mogoče v celoti prebrati na spletni strani Informacijskega pooblaščenca: https://www.ip-rs.si/ 2 Mnenje IP z dne 25.10.2019. 3 Smiselno enako velja tudi za risbe otrok v šoli. SEZNAMI OTROK PRED IGRALNICAMI IN UČILNICAMI Pri IP menijo, da je le v posebnih okoliščinah dopustno izobesiti sezname pred igralnicami in učilnicami (razredi) z imenom in priimkom ali v e-asistentu ali na oglasni deski, samo če je to posebej utemeljeno v konkretni situaciji in za omejen čas, na splošno in za dalj časa pa takšni seznami ne bi smeli biti enostavno dostopni; starši ali druge osebe namreč na splošno niso upravičeni pridobivati osebnih podatkov drugih otrok5. FOTOGRAFIRANJE OTROK NA ŠOLSKIH/VRTČEVSKIH PRIREDITVAH S STRANI STARŠEV Kot so pojasnili v sporočilih in izjavah za javnost, je IP zlasti v prednovoletnem času prejemal številna zaskrbljena vprašanja staršev, šol in vrtcev glede (ne) dopustnosti fotografiranja nastopov otrok po Splošni uredbi o varstvu podatkov. Pri IP poudarjajo, da v tem delu ni nikakršnih sprememb glede na čas pred začetkom uporabe Splošne uredbe. Nova zakonodaja na področju varstva osebnih podatkov torej ni uvedla novih pravil glede fotografiranja otrok in staršem tudi ne prepoveduje fotografiranja lastnega otroka na novoletnem ali drugem nastopu. IP zastopa stališče, da zato ni ustrezen ukrep nekaterih vzgojno–izobraževalnih institucij, ki so absolutno prepovedale staršem fotografirati svoje otroke na šolski ali vrtčevski prireditvi. Fotografiranje nastopa lastnih otrok v vrtcu ali šoli s strani staršev pomeni po mnenju IP fotografiranje za zasebne namene. Vsekakor pa morajo biti starši previdni pri morebitnem nadaljnjem posredovanju fotografij drugih otrok, predvsem tudi pri objavah na spletu in na družbenih omrežjih. Starši zato fotografij drugih otrok brez soglasja njihovih staršev ne smejo posredovati tretjim ali jih objavljati na spletu. Gre namreč za drugačno situacijo, kot kadar fotografiranje prireditve organizira šola oz. vrtec6. FOTOGRAFIRANJE ZAPOSLENIH IP pojasnjuje, da glede na to, da gre za obdelavo osebnih podatkov v delovnih razmerjih, splošno pravno podlago načeloma predstavlja zakon, in sicer sme delodajalec osebne podatke delavca obdelovati primarno v okviru določb Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US in 22/19 – ZPosS; v nadaljevanju ZDR-1). Skladno s prvim odstavkom 48. člena ZDR-1 se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. 4Mnenje IP z dne 19.12.2019. 5Mnenje IP z dne 25.10.2019. 6Mnenje IP z dne 25.10.2019. 7Mnenje IP z dne 8.6.2020. Glede na navedeno bi lahko delodajalec fotografiral delavca na podlagi 48. člena ZDR-1 pod pogojem, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. To pomeni tudi, da je delodajalec dolžan za vsakega delavca natančno obrazložiti oziroma izkazati, za kakšen namen delavca fotografira (npr. zaradi dokazovanja kršitev delovnopravnih obveznosti). Ob tem je treba upoštevati načelo najmanjšega obsega osebnih podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (člen 5(1)(c) Splošne uredbe o varstvu podatkov). IP pa opozarja, da delodajalec nima splošne pravice fotografirati svojih zaposlenih brez njihove privolitve. Nadalje IP pojasnjuje, da je tudi objava fotografij zaposlenih na spletni strani delodajalca dopustna le, če je to nujno zaradi uresničevanja pravic in obveznosti, ki izhajajo iz delovnega razmerja oziroma iz narave delovnega razmerja ali če je podana prostovoljna privolitev zaposlenega. Če okoliščine delovnega razmerja ne terjajo objave fotografije zaposlenega, se ga v to ne sme prisiliti, zato takšna objava brez njegove privolitve ni dopustna7. IZOBRAŽEVANJE NA DALJAVO IN VARSTVO OSEBNIH PODATKOV V ČASU EPIDEMIJE COVID-19 Obdelava osebnih podatkov učiteljev Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v členu 6(1) Splošne uredbe in so za javni sektor, kamor sodijo izobraževalne institucije, kot so osnovne in srednje šole, naslednje: • privolitev, kadar ne gre za izvajanje javnih nalog (točka (a)), • sklenitev ali izvajanje pogodbe (točka (b)), • zakon (točka (c)), • izvajanje javne naloge (točka (e) v zvezi s četrtim odstavkom 9. člena ZVOP-1). Po mnenju IP bi bila obdelava osebnih podatkov pedagoškega delavca, in sicer zbiranje, objava in hramba video posnetkov njegovih učnih ur na zavarovanem spletnem strežniku oziroma učnem e-okolju, lahko dopustna na podlagi določbe 48. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami) pod pogojem, da gre za obdelavo, ki je potrebna za izvrševanje pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Delodajalec je v takšnem primeru dolžan izkazati, da gre za takšne delavčeve osebne podatke, ki jih potrebuje v okviru delovnega razmerja. V situaciji, ko vladajo izredne razmere zaradi epidemije korona virusa (COVID-19), je uporaba novih tehnologij, tehnik in metod, ki so povezane tudi z delom učiteljev na domu, neizogibna. IP uporabi informacijske tehnologije v izobraževalnem procesu vseka- 79 Didakta imen (ne pa tudi začetnice priimka, ali celo osebno ime in cel priimek), saj to zadostuje namenu, da se starši seznanijo z izdelki svojih otrok4. ŠOLSTVO IN PRAVO kor ne nasprotuje in meni, da je v izrednih razmerah pametna in sorazmerna uporaba informacijske tehnologije nujno potrebna za izvajanje kvalitetnega in stimulativnega izobraževalnega procesa ter za zagotavljanje učinkovitega izvrševanja delovnih obveznosti učiteljev. dolžnost učencev in dijakov, da izpolnjujejo svoje šolske obveznosti. Delovne obveznosti učiteljev so nadalje opredeljene v Zakonu o organizaciji in financiranju vzgoje in izobraževanja, ki v 119. členu določa tudi "zbiranje in obdelavo podatkov v zvezi z opravljanjem vzgojno-izobraževalnega in drugega dela". Po vedenju IP mnogo učiteljev takšen način poučevanja že uporablja. Vendar pa IP meni, da način izobraževanja s snemanjem učiteljev ne bi smelo temeljiti na njihovi morebitni privolitvi, saj to ne bi zagotavljalo primerne kontinuitete in kvalitete dela, poleg tega bi lahko učitelji zavrnili uporabo tehnoloških rešitev, ki dejansko omogočajo izobraževanje na daljavo. Nenazadnje bi lahko učitelji glede na člen 7(3) Splošne uredbe v vsakem trenutku tudi preklicali svojo privolitev in bi bilo treba posnetke nemudoma izbrisati ne glede na morebitne posledice za izobraževalni proces in enako obravnavo učencev. Tudi iz tega razloga pri IP menijo, da je treba razumeti uporabo snemanja pri izvajanju izobraževanja na daljavo kot izpolnjevanje delovne obveznosti po 48. členu ZDR-1. Poleg tega bi morale biti šole oziroma učitelji opozorjeni na načelo najmanjšega obsega podatkov, po katerem se ne sme obdelovati več osebnih podatkov, kot je nujno potrebno za izvedbo izobraževalnega procesa (načelo minimizacije osebnih podatkov). Šola oziroma posamezen učitelj mora namreč izpolnjevanje nalog preverjati na način, ki najmanj poseže v pravico do varstva osebnih podatkov in zasebnosti otroka8. Obdelava osebnih podatkov učencev/dijakov Proces izobraževanja na daljavo so nekateri učitelji zasnovali na način, da od učencev zahtevajo uporabo sodobnih informacijskih tehnologij, pri čemer pogosto prihaja tudi do obdelave osebnih podatkov. Otroci naj bi pri izobraževanju na daljavo uporabljali različna orodja za spletno komuniciranje, med drugim tudi orodja s funkcijo video klica in sorodne oblike sodelovanja, ali pa morajo učenci/dijaki po navodilu učitelja posneti izpolnjevanje dane naloge in posnetek posredovati učitelju. IP pri obdelavi osebnih podatkov otrok za namene izvajanja izobraževanja na daljavo poudarja, da privolitev posameznika (oziroma zakonitega zastopnika otroka) ni ustrezna oziroma primerna pravna podlaga, po kateri naj bi takšna obdelava osebnih podatkov potekala. Bistveno je namreč, da gre pri izobraževanju na daljavo za izvajanje javnopravne naloge izobraževalne ustanove in ne za aktivnosti, za katere lahko starši kot zakoniti zastopniki otrok podajo svobodno privolitev – kot jo že tradicionalno podajo na začetku šolskega leta na pripravljenem obrazcu (denimo za objavo fotografij v šolskem almanahu ipd.). Za obdelavo osebnih podatkov otrok v spletnem okolju v izrednih razmerah, ko poteka izobraževanje na daljavo, je po mnenju IP edina ustrezna pravna podlaga 6(1)(c) Splošne uredbe, saj je obdelava potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca. Zakonsko obveznost sicer široko opredeljujejo zakoni s področja osnovnošolskega in srednješolskega izobraževanja, med drugim Zakon o osnovni šoli, Zakon o gimnazijah ter Zakon o poklicnem in strokovnem izobraževanju, ki določajo obveznost šol, da zagotavljajo predvidene oblike izobraževanja, ter Didakta 80 8Mnenje IP z dne 6.4.2020. 9Mnenje IP z dne 23.6.2020. PISNO OCENJEVANJE S SNEMANJEM V ČASU EPIDEMIJE COVID-19 Zahvaljujemo se vam za vaša vprašanja glede dopustnosti pisnega ocenjevanja celotnega razreda s snemanjem z video konferenčnim sistemom brez privolitve dijakov. Sprašujete, ali je možno, da učitelj brez privolitve dijakov, predhodno dijake samo obvesti, da se bo pisanje testa, ki ga piše celoten razred preko video konferenčnega sistema, snemalo, da se vidi vse posameznike, ki morajo nujno imeti priklopljene kamere na svojih računalnikih, z namenom, da bo učitelj lahko preko kamere preveril, ali so dijaki pisali test korektno (brez goljufanja). IP poudarja, da je snemanje učencev vsekakor resen poseg v zasebnost, zato predlagajo, da se najprej preveri, če izvajanja pisnih preizkusov znanja ni mogoče organizirati na način, ki bi manj posegal v zasebnost posameznikov. Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v členu 6(1) Splošne uredbe in so za javni sektor, kamor sodijo izobraževalne institucije, kot so osnovne in srednje šole, naslednje: • privolitev, kadar ne gre za izvajanje javnih nalog (točka (a)), • sklenitev ali izvajanje pogodbe (točka (b)), • zakon (točka (c)), • izvajanje javne naloge (točka (e) v zvezi s četrtim odstavkom 9. člena ZVOP-1). V situaciji, ko vladajo izredne razmere zaradi epidemije korona virusa (COVID-19), je uporaba novih tehnologij, tehnik in metod, ki so povezane tudi z delom učiteljev na domu, neizogibna, biti pa mora premišljena, sorazmerna in varna. IP uporabi informacijske tehnologije v izobraževalnem procesu vsekakor ne nasprotuje in meni, da je posebej v trenutnih razmerah pametna in sorazmerna uporaba informacijske tehnologije nujno potrebna za izvajanje kvalitetnega in stimulativnega izobraževalnega procesa ter za zagotavljanje učinkovitega izvrševanja delovnih obveznosti učiteljev. Proces izobraževanja na daljavo Za obdelavo osebnih podatkov otrok v spletnem okolju v izrednih razmerah, ko poteka izobraževanje na daljavo, je po mnenju IP v okviru zgoraj navedenega (izjema so podatki, kjer je poleg zakona že z zakonom zahtevana tudi privolitev) edina ustrezna pravna podlaga 6(1)(c) oz. 6(1)(e) Splošne uredbe, saj je obdelava potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca oz. v zvezi z izvajanjem javnih nalog. Zakonsko obveznost in javne naloge sicer široko opredeljujejo zakoni s področja osnovnošolskega in srednješolskega izobraževanja, med drugim Zakon o osnovni šoli, Zakon o gimnazijah ter Zakon o poklicnem in strokovnem izobraževanju, ki določajo obveznost šol, da zagotavljajo predvidene oblike izobraževanja, ter dolžnost učencev in dijakov, da izpolnjujejo svoje šolske obveznosti. Delovne obveznosti učiteljev so nadalje opredeljene v Zakonu o organizaciji in financiranju vzgoje in izobraževanja, ki v 119. členu določa tudi »zbiranje in obdelavo podatkov v zvezi z opravljanjem vzgojno-izobraževalnega in drugega dela«. Pri tem je treba upoštevati oziroma nasloviti tudi pomisleke glede varnosti osebnih podatkov in iznosa v tretje države (do česar se opredeljujemo v nadaljevanju). Poleg tega bi morale biti šole oziroma učitelji opozorjeni na načelo najmanjšega obsega podatkov, po katerem se ne sme obdelovati več osebnih podatkov, kot je nujno potrebno za izvedbo izobraževalnega procesa (načelo minimizacije osebnih podatkov). Glede varnosti osebni podatkov IP posebej poudarja, da mora upravljavec osebnih podatkov le-te ustrezno varovati v vseh fazah obdelave. Prvi odstavek člena 32 Splošne uredbe določa, da morata upravljavec in obdelovalec ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotoviti ustrezno raven varnosti glede na tveganje. Zagotavljanje varnosti osebnih podatkov je lahko posebej problematično pri uporabi spletnih orodij, ki jih učitelji uporabljajo po lastni presoji in po možnosti brez vnaprejšnega preudarka o zagotavljanju varnosti osebnih podatkov. Tudi zato pri IP menijo, da bi bilo treba uporabo posameznih orodij ustrezno premisliti in –­­ če je le mogoče – do izbire orodij pristopiti poenoteno. IP pa posameznih orodij z vidika ustreznosti in predvsem varnosti obdelave v mnenju ne more in ne sme presojati9. 10Mnenje IP z dne 9.7.2019. SEZNANITEV RAZREDA Z OCENO UČENCA IP je po pošti prejel vaš dopis, v katerem vas zanima, ali lahko učitelji v osnovni šoli pred celim razredom sporočijo oceno učenca. In sicer v primeru, ko gre za ustno ocenjevanje, pisno ocenjevanje in v primeru zaključevanja ocen. Ugotavljanje in izbira ustrezne pravne podlage za obdelavo osebnih podatkov, upoštevajoč konkretne okoliščine in namen obdelave, je primarno obveznost upravljavca. IP poudarja, da je za zakonitost obdelave dovolj, da je izpolnjena ena od samostojnih pravnih podlag, ki jih določa člen 6(1) Splošne uredbe. Obdelava osebnih podatkov v šolah je urejena z različnimi področnimi zakoni (npr. v Zakonu o osnovni šoli, Zakonu o gimnazijah ipd.) ter natančneje razdelana v posameznih pravilnikih (npr. v Pravilniku o preverjanju in ocenjevanju znanja ter napredovanju učencev v osnovni šoli, v nadaljevanju: Pravilnik). Pravilnik v 4. členu določa, da mora biti pri ocenjevanju znanja učenca zagotovljena javnost ocenjevanja, ki se med drugim zagotavlja z ocenjevanjem pred učenci oddelka ali učne skupine. Nadalje v skladu s 14. členom Pravilnika mora učitelj pri ocenjevanju ustnih odgovorov in nastopov učenčevo znanje oceniti takoj in ga seznaniti z oceno. Po mnenju IP bi pri ustnem ocenjevanju zaradi same ustne oz. verbalne narave ocenjevanja in zahteve po tem, da se učenca takoj oceni in seznani z oceno, lahko bilo dovoljeno učencu ustno sporočiti oceno, četudi bi bili v takšnem primeru z oceno seznanjeni tudi preostali prisotni učenci. IP nadalje pojasnjuje, da je pri obdelavi osebnih podatkov potrebno upoštevati načelo sorazmernosti oz. načelo najmanjšega obsega podatkov, prav tako pa je potrebno vzeti v obzir načelo omejitve namena, kar pomeni, da so podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (načela podrobneje ureja člen 5 Splošne uredbe). V skladu z navedenimi načeli IP pri pisnem ocenjevanju ne vidi potrebe po tem, da se posamične ocene učencev izpostavi pred celotnim razredom, saj je mogoče oceno sporočiti tudi na pisen način (npr. oceno se lahko zapiše na popravljen pisni preizkus). IP svetuje, da na podlagi splošnih usmeritev, ki smo vam jih podali, kot upravljavec sami presodite za primere, ki ste jih navedli v svojem dopisu, ali je podana pravna podlaga za razkritje ocen učencev pred celim razredom ali ne, namreč ta presoja je primarna odgovornost upravljavca osebnih podatkov. Pri tem je odločilnega pomena, da upravljavec pri posredovanju podatkov upošteva tako zakonske in podzakonske določbe kot tudi splošna načela obdelave osebnih podatkov in jih v skladu s tem ustrezno varuje 10. *** Želim vsem nam, da bo v prihajajočih mesecih, vsakdo izmed nas in naših najbližjih Zdravko Dren. 81 Didakta so nekateri učitelji zasnovali na način, da od učencev zahtevajo uporabo sodobnih informacijskih tehnologij, pri čemer pogosto prihaja tudi do obdelave osebnih podatkov, zato mora biti izbira teh tehnologij, obsega zbiranja podatkov in načina izvajanja pouka skrbno premišljena in ne bi smela prekomerno posegati v zasebnost učencev.