"Srednješolci bodo staršem lahko prepovedali vpogled v njihove ocene", je eden od naslovov člankov v hrvaških medijih, v kateri pišejo o novi uredbi o varstvu osebnih podatkov, ki se bo tudi pri nas začela uporabljati 25. maja 2018. "Od trenutka, ko bo dijak dopolnil 18 let, bodo morale šole zaprositi za njegovo dovoljenje, da razpolagajo z njegovimi osebnimi podatki," piše hrvaški Novi list. "Med te podatke sodijo tudi ocene in šolski uspeh." 

Polnoletni dijak že zdaj sam odloča, s kom bo delil osebne podatke

Foto: Žurnal24 main Mojca Prelesnik protesti študenti dz parlament škoda okna A pri Informacijski pooblaščenki mirijo, da se ne bo zgodilo nič dramatičnega. "V konkretnem primeru sploh ne gre za novost," poudarja informacijska pooblaščenka Mojca Prelesnik in dodaja, da so že večkrat zaznali, da o uredbi v javnosti krožijo številne dezinformacije. "Že po obstoječi zakonodaji o varstvu osebnih podatkov (ZVOP-1) lahko polnoletni posameznik samostojno odloča, s kom bo delil svoje osebne podatke, kar lahko v nekaterih primerih pomeni tudi, da se odloči, da nekaterih podatkov ne želi posredovati staršem. Gre za ustavno pravico polnoletnih posameznikov, da se odločajo o svojih osebnih podatkih." 

Pri e-Asistentu razlagajo, da imajo temu primerno za starše prilagojen postopek. "V kolikor polnoletni srednješolec ne želi, da starši ali skrbniki prejemajo obvestila iz storitve eAsistent za starše, nas mora o tem obvestiti s pisnim dopisom," pojasnuje Sašo Volčjak, vodja varovanja informacij pri e-Asistentu. "Na podlagi prejetega dopisa prekinemo naročniško razmerje s starši oziroma skrbniki in jih obvestimo o razlogih za prekinitev, ter povrnemo sorazmerni delež naročnine."

Polnoletni srednješolci že po obstoječi zakonodaji samostojno odločajo, s kom bodo delili svoje osebne podatke.
Sašo Volčjak, vodja varovanja informacij pri e-Asistentu

Izjemni primeri, ne pravilo

A takšnih zahtevkov je v resnici izjemno malo, kar je po besedah Volčjaka najverjetneje povezano tudi z dejstvom, da so starši tisti, ki še vedno skrbijo za preživljanje polnoletnih srednješolcev. V storitvi eAsistent za starše le ti s pisno naročilnico podajo svoje kontaktne podatke (e-mail in/ali mobilno številko), na katere se lahko pošiljajo obvestila vključena v storitvi eAsistent za starše (obvestilo o ocenah, napovedana ocenjevanja, izostanki, opažanja učiteljev o delu pri pouku, domače naloge, itd.).

"V primeru zbirk osebnih podatkov, ki jih lahko zbirajo vzgojno izobraževalne ustanove pa zahtevane privolitve določajo posamezni zakoni s področja izobraževanja (Zakon o gimnazijah, Zakon o poklicnem in strokovnem izobraževanju, itd.)," razlaga Volčjak. "Z zakonom je namreč določeno katere osebne podatke lahko vzgojno izobraževalne ustanove zbirajo za svoje delovanje in za katere je potrebno soglasje starša oziroma polnoletnega posameznika. Tu gre predvsem za soglasje o evidenci gibalnih sposobnostih in morfoloških značilnostih dijaka in evidenci o dijakih, ki jih obravnava svetovalna služba."

Ostrejši pogoji glede zbiranja podatkov

Uredba, ki se bo začela uporabljati maja, sicer pogoje glede zbiranja osebnih podatkov zaostruje. "Od meseca maja dalje pričakujemo predvsem povečano število vprašanj v zvezi z varstvom osebnih podatkov v eAsistentu in pa zahtevkov posameznikov za seznanitev z lastnimi in otrokovimi osebnimi podatki," pojasnjuje Volčjak. "V okviru tega bomo posodobili zbiranje privolitev v storitvi eAsistent za starše ter pripravili pregled nad osebnimi podatki za končne uporabnike, da bo vsak naročnik lahko v vsakem trenutku videl kateri osebni podatki se obdelujejo o njemu in o otroku, za kakšen namen, kakšen je rok hrambe ter ostale informacije, ki jih v tem delu predvideva uredba."

Bodo potrebni novi obrazci?

Cilj uredbe je omogočiti prebivalcem nadzor nad njihovimi osebnimi podatki in poenotiti ter dvigniti raven varstva osebnih podatkov v EU. Na informacijsko pooblaščenko se obračajo predvsem podjetja, ki jih najbolj skrbi vprašanje pogojev za pridobivanje privolitev za obdelavo osebnih podatkov, ki so po novi uredbi nekoliko strožji kot po obstoječi zakonodaji. 

• Kaj prinaša nova uredba (EU) o varstvu podatkov?
• Kaj moramo glede GDPR storiti sedaj?
• Smernice o pooblaščenih osebah za varstvo podatkov

"Pri tem je ključno vprašanje presoja, ali bodo obstoječe privolitve za obdelavo osebnih podatkov veljavne tudi po 25. 5. 2018 ali pa bo podjetje moralo pridobivati nove privolitve," razlaga Prelesnikova. "Glede na uredbo GDPR mora biti privolitev jasna in razumljiva izjava, dana z nedvoumnim pritrdilnim dejanjem in dokazljiva. Če rečemo poenostavljeno, vnaprej obključana okenca ne bodo več izpolnjevala pogojev za veljavnost privolitve. Pomemben pa bo tudi način pridobivanja privolitev - ali je posameznik ustrezno obveščen komu daje podatke, katere in zakaj ter kakšne pravice ima. Uredba je v tem delu jasna in zahteva, da podjetja pridobijo nove privolitve, če obstoječe niso skladne z njo." 

Obveznost glede evidenc obdelav

Drugo zelo pogosto vprašanje, s katerim se obračajo na informacijsko pooblaščenko, se nanaša na obveznosti glede vzpostavljanja evidenc obdelav. "Gre v praksi za nekoliko spremenjeno obveznost, ki smo jo doslej poznali v okviru vodenja kataloga zbirk osebnih podatkov," razlaga Prelesnikova. "Ta obveznost sicer ne velja za vse upravljavce, ampak le za podjetja, ki imajo bodisi 250 ali več zaposlenih bodisi izvajajo obdelave, ki izvajajo obdelave, ki poemnijo tveganje za pravice in svoboščine posamezniko, ali niso občasne ali obdelujejo posebne vrste osebnih podatkov."

Foto: Profimedia Podatki

Dodaja, da gre, poenostavljeno rečeno, za seznam, katere zbirke podjetje ima in katere podatke v njih zbira. "Če želimo podatke ustrezno varovati, moramo namreč vedeti, kje in katere imamo," poudarjajo pri Informacijskem pooblaščencu. "Zato IP priporoča, da podjetja, če so v dvomu ali sodijo med tista, ki morajo voditi evidenco, takšno evidenco vzpostavijo."

Imenovanje pooblaščenih oseb

Prav tako mnogi sprašujejo glede obveznosti imenovanja pooblaščenih oseb za varstvo osebnih podatkov. "To je nova obveznost in velja vsekakor za celoten javni sektor ter za tista podjetja in organizacije, ki kot svoje temeljne dejavnosti opravljajo obdelavo posebnih vrst (doslej poznanih kot občutljive) osebnih podatkov ali ki posameznike redno in sistematično obsežno spremljajo," še razlaga Prelesnikova. "Nov zakon o varstvu osebnih podatkov pa bo določil, katera podjetja in organizacije bodo poleg očitnih, kot so ministrstva in občine, sodila v krog zavezancev javnega sektorja pa tudi kakšni bodo pogoji za imenovanje."

dezurni@zurnal24.si