Didakta februar-marec 2016 35 VAROVANJE OSEBNIH PODATKOV, ZAPOSLENIH V ŠOLSTVU, IN NEOBVEZNO MNENJE INFORMACIJSKEGA POOBLAŠČENCA / Nastja Beznik, univ. dipl. org.; predavatelj VSŠ / ŠC Kranj, Višja strokovna šola ZAKONSKA IZHODIŠČA VARSTVA OSEBNIH PODATKOV Poleg mednarodnih pogodb in zako- nodaje Evropske unije varstvo osebnih podatkov določa tudi Zakonodaja RS. V tem prispevku so v nadaljevanju opre- deljene le tiste določbe posameznih zakonov, ki so neposredno povezane s tematiko prispevka. Ustava Republike Slovenije Najvišji pravni akt Ustava Republike Slovenije (Ustava Republike Slovenije 1991) v II. Sklopu Človekove pravice in temeljne svoboščine določa osnovna izhodišča za ostale podrejene pravne akte. V 38. členu je zapisano, da je » […] varstvo osebnih podatkov zagotovljeno. Prepovedana je uporaba osebnih podat- kov v nasprotju z namenom njihovega zbiranja. Zbiranje, obdelovanje, namen uporabe, nadzor in varstvo tajnosti osebnih podatkov določa zakon. Vsak- do ima pravico seznaniti se z zbranimi osebnimi podatki, ki se nanašajo nanj, in pravico do sodnega varstva ob njihovi zlorabi«(Ustava RS 1991, 38. člen). Zakon o varstvu osebnih podatkov Zakon o varstvu osebnih podatkov (Za- kon o varstvu osebnih podatkov 2007) natančneje določa pravice, ukrepe in načela za preprečevanje kršenja zaseb- nosti človeka zaradi nezakonite upo- rabe ali obdelave osebnih podatkov. V poglavju Pomen izrazov v 6. členu razlaga pomen posameznih pojmov. Osebni podatek, obdelava osebnih podatkov, osebna privolitev posame- znika, pisna privolitev posameznika so pojmi, ki se nanašajo na empirični del prispevka in so v tem delu ome- njenega zakona podrobno opredeljeni v sledečih točkah: 1. Osebni podatek – je katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen. 6. Obdelava osebnih podatkov – pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave). 14. Osebna privolitev posameznika – je prostovoljna izjava volje posameznika, da se lahko njegovi osebni podatki ob- delujejo za določen namen, in je dana na podlagi informacij, ki mu jih mora zagotoviti upravljavec po tem zakonu; osebna privolitev posameznika je lahko pisna, ustna ali druga ustrezna privolitev posameznika. 15. Pisna privolitev posameznika – je podpisana privolitev posameznika, ki ima obliko listine, določila v pogodbi, določila v naročilu, priloge k vlogi ali drugo obliko v skladu z zakonom; podpis je tudi na podlagi zakona s podpisom iz- enačena oblika, podana s telekomunika- cijskim sredstvom, ter na podlagi zakona s podpisom izenačena oblika, ki jo poda posameznik, ki ne zna ali ne more pisati (Zakon o varstvu osebnih podatkov 2007, 6. člen, točke 1, 6, 14, 15). V poglavju Pravne podlage v javnem sektorju so v 9. členu izpostavljena sledeča določila: Osebni podatki v javnem sektorju se lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obde- lujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki ob- delujejo le na podlagi osebne privolitve posameznika. (2) Nosilci javnih pooblastil lahko obdelu- jejo osebne podatke tudi na podlagi oseb- ne privolitve posameznika brez podlage v zakonu, kadar ne gre za izvrševanje njihovih nalog kot nosilcev javnih poo- blastil. Zbirke osebnih podatkov, ki nasta- nejo na tej podlagi, morajo biti ločene od zbirk osebnih podatkov, ki nastanejo na podlagi izvrševanja nalog nosilca javnih pooblastil. (3) Ne glede na prvi odstavek tega člena se lahko v javnem sektorju obdelujejo osebni podatki posameznikov, ki so z javnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za skleni- tev pogodbe ali za izpolnjevanje pogodbe. (4) Ne glede na prvi odstavek tega člena se lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nuj- ni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravi- čen interes posameznika, na katerega se osebni podatki nanašajo (Zakon o varstvu osebnih podatkov 2007, 6. člen, točke 1, 6, 14, 15). VARSTVO PODATKOV IN VLOGA INFOR- MACIJSKEGA POOBLAŠČENCA Informacijski pooblaščenec (vir 1) je samostojen in neodvisen državni or- gan, ustanovljen z Zakonom o Infor- macijskem pooblaščencu 31. decem- bra 2005, v katerem so določene tudi pristojnosti tega organa. S tematiko dostopa do informacij javnega značaja in z izvajanjem nadzora nad zakoni- tostjo in skladnostjo obdelave oseb- nih podatkov z zakonodajo se ukvarja skupina strokovnjakov, ki jih od 17. 7. 2014 vodi Mojca Prelesnik. Informacij- ski pooblaščenec med drugim opravlja inšpekcijski nadzor nad izvajanjem določb Zakona o varstvu osebnih podat- kov. Ta nadzor se med drugim nanaša tudi na zakonitost obdelave osebnih podatkov, ustreznost ukrepov za zava- rovanje osebnih podatkov ter izvajanja postopkov in ukrepov za zavarovanje osebnih podatkov, naizvajanje določb zakona, ki urejajo katalog zbirke oseb- nih podatkov, na register zbirk osebnih podatkov in evidentiranje posredova- nja osebnih podatkov posameznim uporabnikom osebnih podatkov ter na izvajanje določb zakona glede iznosa osebnih podatkov v tretjo državo in 36 Didakta februar-marec 2016 o njihovem posredovanju tujim upo- rabnikom osebnih podatkov (Zakon o Informacijskem pooblaščencu 2005). Na spletni strani Informacijskega po- oblaščenca so objavljene številne pri- stojnosti na podlagi Zakona o varstvu osebnih podatkov (Zakon o varstvu osebnih podatkov 2007), med drugim tudi ta, da »[…] daje in objavlja neobvezna mnenja o skladnosti kodeksov poklicne etike, splošnih pogojih poslovanja oziroma njihovih predlogov s predpisi s področja varstva osebnih podatkov in pripravlja, daje in objavlja neobvezna navodila in priporočila glede varstva osebnih podat- kov na posameznem področju« (vir 1). Zakon o varstvu osebnih podatkov in javni uslužbenci Zakon o dostopu informacij javnega značaja 2006 določa sledeče: »[…] Ne glede na določbe prvega odstav- ka se dostop do zahtevane informacije dovoli: – če gre za podatke o porabi javnih sred- stev ali podatke, povezane z opravljanjem javne funkcije ali delovnega razmerja javnega uslužbenca, razen v primerih iz 1. in 5. do 8. točke prvega odstav - ka ter v primerih, ko zakon, ki ureja javne finance, ali zakon, ki ureja javna naročila, določata drugače.« (Zakon o dostopu informacij javnega značaja 2006, III. sklop Temeljne določbe, 6. člen (izjeme), točka 3). VARSTVO OSEBNIH PODATKOV V PRA- KSI Obvladovanje dokumentacije sistema vodenja kakovosti je del pomembnih zahtev mednarodnih standardov ka- kovosti družine ISO 9001 in iz njih izhajajočih standardov v slovenskem izobraževalnem okolju. Tako je v do- kumentu Sistem vodenja kakovosti za Višje strokovne šole – Zahteve 2011 poudarjena vloga šole pri izvajanju za- konskih določil v smislu zagotavljanja zakonitosti delovanja in obvladovanja ter ravnanja z dokumentacijo. V njem so določena tudi pravila glede zaščite in dostopnosti zapisov. Skladno s tem je v krovnem dokumen- tu sistema vodenja kakovosti Poslovnik kakovosti višje strokovne šole ŠC Kranj 2014 v poglavju o obvladovanju do- kumentacije zapisano, da izvajamo politiko informacijske varnosti skladno z Zakonom o varstvu osebnih podat- kov 2007 in z internim Pravilnikom o zavarovanju osebnih podatkov 2013 Pri izvajanju projekta mobilnosti štu- dentov in zaposlenih se na VSŠ ŠC Kranj zavedamo pomembnosti prido- bivanja in obdelovanja podatkov ude- ležencev mobilnosti skladno z zunanjo zakonodajo ter internimi pravilniki in predpisi sistema kakovosti. Ključne pravne osnove, ki jih moramo upošte- vati, so prikazane na shemi št. 1. Da bi preverili zakonitost in ustreznost delovanja na tem področju, smo na Informacijskega pooblaščenca pisno naslovili dve ključni vprašanji, ki sta se nanašali na zakonitost objave osebnih podatkov udeležencev izmenjave na naših spletnih straneh. Ker avtentično razlago posameznih določb zakona daje le državni zbor, neobvezno pa pre- dlagatelj zakona, nam je Informacijski pooblaščenec na podlagi informacij, ki smo mu jih posredovali na podlagi 7. tč. 1. odst. 49. čl. Zakona o varstvu osebnih podatkov 2007, v nadaljeva- nju tudi ZVOP-1) ter 2. čl. Zakona o informacijskem pooblaščencu 2007, v nadaljevanju tudi ZInfP), v doku- mentu št. 0712-1/2013/4124 dne, 8. 11. 2013,posredoval neobvezno mnenje. Mobilnost študentov in soglasje za upo- rabo osebnih podatkov Prvo vprašanje Informacijskemu po- oblaščencu se je nanašalo na objave osebnih podatkov študentov. Na sple- tni strani VSŠ ŠC Kranj http://www. sckr.si/tsc/vss/studij/program-erasmus- -plus.html objavljamo poročila z imeni in priimki študentov, podatek o času in dolžini izmenjave ter slikovno gradivo, ki nam ga za te namene posredujejo študenti. Od študentov smo pridobili tudi pisno soglasje, da lahko objavimo njihov elektronski naslov in telefon- sko številko ter uporabimo gradivo za promocijske namene, na primer za objavo na spletni strani šole. Objave teh poročil so za promocijo programa zelo pomembne, ker drugi študenti berejo poročila in jih tudi kontaktira- jo, da jim povedo informacije s prve roke, kako je na izobraževanju v tujini. Ker so študenti zelo zadovoljni z izme- njavami v tujini, jim to tudi povedo in obstaja večja verjetnost, da nav- dušijo tudi druge, kar si zelo želimo. Zanimalo nas je, ali s takim načinom dela (objave informacij o študentskih izmenjavah) lahko nadaljujemo ne da bi kršili zakonodajo glede varstva osebnih podatkov, obenem pa promo- virali projekt mobilnosti. Dokument »Soglasje za uporabo osebnih podat- kov o izmenjavi« študent podpiše pred odhodom na mobilnost. Obrazloženo mu je, za kakšne namene bomo upora- bili podatke in tudi, za katere podatke Didakta februar-marec 2016 37 konkretno gre. Študent ima možnost, da dokumenta ne podpiše, kar pa v nobenem primeru ne vpliva na izved- bo mobilnosti. Vsi študenti, ki so odšli na mobilnost, so brez obotavljanja ta dokument tudi podpisali in se hrani v arhivu Erasmus dokumentacije. Odgovor Informacijskega pooblaščen- ca je bil sledeč: »Kot navajate sami, so se izmenjave štu- dentov sofinancirale iz programa Era- smus, kar pomeni, da gre v določenem delu za porabo javnih sredstev, ZDIJZ pa določa, da so osebni podatki javno dostopni, če gre za podatke o porabi jav- nih sredstev (bolj podrobno bodo določbe ZDIJZ v tem delu opisane v nadaljeva- nju). Navedeno pomeni, da se za razkritje podatkov, ki predstavljajo informacijo javnega značaja, predhodno ne potrebuje osebne privolitve posameznika. Ne glede na navedeno, pa gre šteti, da gre v konkre- tnem primeru za t.i. proaktivno objavo podatkov fakultete na spletu. Glede pro- aktivne objave podatkov o študentih, ki so sodelovali v programu Erasmus, vam zato svetujemo, da se obrnete na Ministr- stvo za notranje zadeve, ki je pristojno za podajanje mnenj v zvezi s proaktiv- no objavo podatkov javnega sektorja, kamor kot že navedeno sodi tudi vaša fakulteta. Seveda pa Pooblaščenec pri objavi po- datkov študentov, ki so sodelovali v pro- gramu Erasmus, z vidika določb ZVOP-1 ne vidi nič spornega, v kolikor študenti predhodno za takšno objavo podajo oseb- no privolitev. Poudarjamo, da gre za pri- volitev le takrat, ko ima študent dejansko možnost, da brez negativnih posledic zase objavo tudi odkloni.« (Dokument št. 0712-1/2013/4124, 8. 11. 2013). Mobilnost zaposlenih Na enak način objavljamo kdo (ime in priimek), kam in kdaj je odpoto- val, napišemo kratko poročilo o delu v tujini in objavimo slikovno gradivo, ki nam ga za te namene posredujejo zaposleni, ki so opravili mobilnost. Udeleženci mobilnosti so redno ali izredno zaposleni na VSŠ ŠC Kranj in za objavo podatkov nimamo njihove- ga pisnega soglasja. Vse izmenjave so bile službene, kar pomeni, da so bile mobilnosti za vse zaposlene sodelavce podkrepljene z vsemi pogodbami, ki jih predpisujejo pravila izvedbe mobil- nosti s strani EU (delovni načrt, končno poročilo, certifikat podjetja o opravlje- ni mobilnosti), za notranje zaposlene pa še s potnimi nalogi. Vse izmenjave zaposlenih so se sofinancirale na več načinov – iz deleža sredstev Erasmusa, deleža lastne participacije in/ali deleža Shema št. 1.: Zunanja in notranja dokumentacija v povezavi v varstvom osebnih podatkov na VSŠ ŠC Kranj 38 Didakta februar-marec 2016 kritja iz sredstev VSŠ. Zanimalo nas je, ali so (glede na to, da so to službene poti, ki so podkrepljene z vsemi ustre- znimi dokumenti) take objave zakoni- te, ali pa moramo pridobiti soglasje tudi za objavo teh poročil. Odgovor Informacijskega pooblaščenca: »Glede na to, da je Višja strokovna šola – šolski center Kranj del javnega sektorja, je potrebno njihove zaposlene šteti za javne uslužbence, pri čemer ti niso deležni toli- kšne mere pri varovanju določenih oseb- nih podatkov kot na primer pri imenu, priimku, delovnem mestu, izobrazbi ipd. kot drugi posamezniki. V nadaljevanju vam pooblaščenec pojasnjuje, zakaj javni uslužbenci niso deležni varovanja njiho- vih osebnih podatkov v tolikšni meri kot ostali posamezniki. Kot že zgoraj navedeno je Višja strokovna šola – šolski center Kranj v skladu z 22. točko 6. člena ZVOP-1 del javnega sektor- ja, kar pomeni, da je za objavo osebnih podatkov potrebna zakonska podlaga in, če je to potrebno v skladu z zakonom tudi osebna privolitev posameznika (9. člen ZVOP-1). 3. odstavek 6. člena ZDIJZ določa, da se ne glede na izjeme iz 2. odstavka tega člena, šteje za informacije javnega zna- čaja podatke o porabi javnih sredstev ali podatke, povezane z opravljanjem javne funkcije ali delovnega razmerja javnega uslužbenca. ZDIJZ torej določa, da so osebni podat- ki javno dostopni, če gre za podatke o porabi javnih sredstev ali podatke, pove- zane z opravljanjem javne funkcije ali delovnega razmerja javnega uslužbenca, razen v izjemnih primerih. Na podlagi vseh zgornjih navedb poobla- ščenec zaključuje, da podatek o imenu in priimku posameznika/javnega usluž- benca, ki je v okviru izvajanja svojega delovnega razmerja potoval v tujino na predavanje, predstavlja njegov osebni podatek, razlika je ta, da ta podatek, glede na to, da gre za javnega uslužbenca ni varovan, zato za njegovo objavo na spletu ne potrebujete osebne privolitve.« (Dokument št. 0712-1/2013/4124, 8. 11. 2013). Kljub temu, da za objavo podatkov za- poslenih, ki se nanašajo na izvedbo mobilnostine potrebujemo privoljenja udeležencev, pa spoštujemo želje po- sameznikov in se o tem o vsaki objavi predhodno dogovorimo z vodstvom in udeleženci mobilnosti, na katere se ta objava navezuje. ZAKLJUČEK Če menimo, da so nam bile kršene pravice varstva osebnih podatkov, to lahko preverimo pri Informacijskem pooblaščencu ter z vložitvijo tožbe na Upravno sodišče Republike Slovenije zahtevamo sodno varstvo in obravnavo na sodišču. Na spletni strani Informa- cijskega pooblaščena (vir 1) so objavlje- ni vsi obrazci, ki jih potrebujemo za vložitev zahtev in pritožb, ki nam bodo v pomoč pri uveljavljanju naših pravic, ki izhajajo iz Zakona o varstvu osebnih podatkov 2007 in druge zakonodaje. Osebne podatke študentov na izme- njavah objavimo izključno po njiho- vem predhodnem pisnem soglasju, ki vsebuje natančno opredelitev vrste in namena objave. Objava brez soglasja bi pomenila ne le na presojah ugo- tovljeno neskladje certificiranega sistema vodenja kakovosti z dejansko prakso pač pa tudi hudo kršitev tako nacionalne kot tudi interne zakono- daje. Glede izmenjav zaposlenih smo pridobili informacije pri Informacij- skem pooblaščencu, ki v temeljiti ob- razložitvi pojasnjuje pravne podlage, ki določajo med drugim tudi to, da so osebni podatki javno dostopni v primeru, ko gre za podatke o porabi javnih sredstev ali podatke, ki so po- vezani z opravljanjem javne funkcije ali delovnega razmerja javnega usluž- benca. Meni, da za objavo osebnega podatka o imenu in priimku javnega uslužbenca, ki je v okviru izvajanja svojega delovnega razmerja potoval v tujino na izobraževanje, ne potre- bujemo osebne privolitve. Objave teh poročil so za promocijo mobilnosti zelo pomembne, ker pred- stavljajo povod za vzpostavitev stika potencialnih kandidatov mobilnosti za pridobitev informacij s prve roke, obenem pa preko njih poudarjamo pomembnost internacionalizacije prek izvedbe mobilnosti na naši inštituciji. Vzpostavljen sistem informacijske var- nosti nam omogoča delovanje, ki je skla - dno tako z zahtevami sistema kakovosti in pričakovanji udeležencev izobraževa- nja kot tudi z veljavnimi zunanjimi in notranjimi pravnimi normami. Literatura Impletum (2011) Sistem vodenja kakovo- sti za Višje strokovne šole - Zahteve. Iz- daja 2.0. Dostopno na http://www. impletum.zavod-irc.si/docs/Skriti dokumenti/Impletum_Sistem_vo- denja_kakovosti_za_VSS_Zahte- ve_2_izdaja_2011_1.pdf, 15. 1. 2016. Bajželj Jelka, Balantič Branka, Beznik Nastja, Demšar Mateja, Zupanc Li- dija G., Kovačič Branka J., Krajnc Gabrijela, Pučko Marjeta, Šubic Ma- rija, Uhan Janko (2014) Poslovnik kakovosti Višje strokovne šole ŠC Kranj 2014. Dostopno na http://e-ucilnice. sckr.si/zbornica/mod/folder/view. php?id=1349, 15. 1. 2016. Viri Republika Slovenija. Informacijski pooblaščenec. Dokument št. 0712- 1/3103/4124, datum 8. 11. 2013. Ustava Republike Slovenije (1991). Ura- dni list Republike Slovenije, št. 33/91, št. 42/97, št. 66/2000, št. 24/03, št. 69/04, št. 68/06 in št. 47/13. Vir 1: Republika Slovenija. Informacijski pooblaščenec (2016). Dostopno na https://www.ip-rs.si in https://www. ip-rs.si/pristojnosti, 15. 1. 2016. Zakon o dostopu informacij javnega značaja (2006) Uradni list Republike Slovenije, št. 51/06. Zakon o informacijskem pooblaščencu (2007) Uradni list Republike Slovenije, št.113/05 in št. 51/07. Zakon o varstvu osebnih podatkov (2007) Uradni list Republike Slovenije, št. 86/04 in Zakon o spremembah in dopolnitvah Zakona o varstvu osebnih podatkov. Uradni list Re- publike Slovenije, št. 67/07.