IP: Zahteva za dostop - šola
Informacijski pooblaščenec je odločil, ob zahtevi za dostop do podatkov otroka, ki jo vloži starš posameznika, šola lahko odgovori le z delnim naborom podatkov, če bi lahko razkritje vseh podatkov škodovalo interesom otroka.
Odločitev je bila objavljena 13.6.2024
9. oktobra 2023 je eden od staršev posameznika pri šoli, ki jo obiskuje (upravljavec), vložil zahtevo za dostop do njegovih podatkov. V času zahteve starš ni živel na istem naslovu kot posameznik. Ker upravljavec na zahtevo ni odgovoril, je starš 20. decembra 2023 vložil pritožbo pri nadzornem organu.
Po naknadni zahtevi IP je upravljavec 4. januarja 2024 odobril dostop do dela podatkov, ni pa posredoval podatkov v zvezi z imeni in naslovi oseb, pooblaščenih za prevzem otroka iz šole. Upravljavec je trdil, da je moral odgovoriti na ta način saj bi razkritje teh podatkov negativno vplivalo na pravice posameznika v skladu s členom 15(4) GDPR.
Nadzorni organ je v odgovoru zapisal, da se upravljavec pri omejitvi dostopa do podatkov, ne more sklicevati le na člen 15(4) GDPR, temveč mora podati natančnejšo razlago, zakaj so v konkretnem primeru izpolnjene zahteve iz tega člena. IP je od upravljavca zato zahteval podrobnejša pojasnila, upravljavec pa je v odgovoru pojasnil, da teh podatkov ni posredoval staršu, ker je sodišče zoper njega izdalo prepoved približevanja otroku.
Odločitev nadzornega organa
Informacijski pooblaščenec je najprej poudaril, da lahko starši na splošno uveljavljajo pravico do dostopa v imenu svojih otrok in s tem dostopajo do njihovih podatkov. Pri tem je izpostavil, da imajo otroci tudi sami pravico do dostopa do svojih podatkov, zato je treba na zahtevo za dostop v zvezi z otrokovimi podatki odgovoriti ob upoštevanju načela največje koristi za otroka.
Člen 23 GDPR dovoljuje, da zakonodaja držav članic pod določenimi pogoji omeji obseg obveznosti in pravic iz člena 15 GDPR. V slovenski zakonodaji eno od teh omejitev določa 20. člen Zakona o varstvu osebnih podatkov (ZVOP-2), po katerem lahko upravljavec izjemoma zavrne odziv na zahtevo za dostop, če obstajajo posebne in objektivne okoliščine. ki vodijo k razumnemu sklepu, da bi razkritje določenih osebnih podatkov neposredno ali posredno škodovalo največjim koristim, pravicam ali zakonitim interesom mladoletnikov.
IP je menil, da je v tem primeru upravljavec upravičeno zakril naslov osebe, pooblaščene za prevzem otroka, saj ta oseba živi na istem naslovu kot otrok. Iz istega razloga je bilo zakritje imen oseb, pooblaščenih za prevzem otroka, upravičeno.
Vseeno bi se upravljavec moral odzvati na zahtevo za dostop in zagotoviti popoln odgovor staršu posameznika v roku, določenem v členu 12 GDPR. Tako je prišlo do kršitve 15. člena GDPR v kombinaciji z 12. členom GDPR.
IP je zaključil, da je upravljavec kasneje (delno) odgovoril na zahtevo za dostop in pojasnil, kaj je bil razlog za zakritje nekaterih podatkov, zato ni potrebe po izreku korektivnih ukrepov.
Celotna odločitev je dostopna tukaj
Vir: GDPRHub
