Aktivni imenik in obdelava osebnih podatkov študentov in zaposlenih na univerzi + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 20.03.2008 Številka: 0712-216/2008/2 Kategorije:Razno --> Kategorije: Razno Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je prejel vaš dopis, v katerem prosite za mnenje: Zanima vas, katere podatke o zaposlenih in o študentih na Univerzi v ... lahko v Informacijski službi Univerze v ... zberete in objavite na podlagi Microsoftove rešitve Aktivni imenik? Kateri podatki so lahko vidni vsem uporabnikom, zajetim v imeniško storitev? Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam v nadaljevanju na podlagi predstavljenega dejanskega stanja ter na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 92/2007, v nadaljevanju ZVOP-1) ter
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/2005 in 51/2007-ZUstS-A) posredujemo pojasnilo v zvezi z vašimi vprašanji: Univerza v ... z vnosom osebnega imena študentov v svoj aktivni imenik, ne bi ravnala pravilno v skladu z ZVOP-1, saj za takšno obdelavo osebnih podatkov študentov ne obstaja nobena z zakonom določena pravna podlaga. Pooblaščenec podredno pojasnjuje še, da lahko univerza, v kolikor pri uvedbi aktivnega imenika ne gre za njeno oblastno dejanje, obdeluje osebne podatke študentov na podlagi njihove osebne privolitve. Ob tem mora univerza študenta seznaniti, katere osebne podatke bo objavila in za kakšen namen. Univerza v ... pa lahko obdeluje osebne podatke svojih zaposlenih (javni uslužbenci), torej jih vnaša v aktivni imenik, vendar, opozarja Pooblaščenec, le tiste osebne podatke, ki so povezani z delovnim razmerjem javnega uslužbenca, kot je to kot izjema od varovanih osebnih podatkov določeno v tretjem odstavku Zakona o dostopu do informacij javnega značaja (Uradni list RS, št. 51/2006 – uradno prečiščeno besedilo in 117/2006 – ZDavP-2, v nadaljevanju ZDIJZ). O b r a z l o ž i t e v: ZVOP-1 predstavlja konkretizacijo ustavne pravice do varstva osebnih podatkov, ki je določena v
- členu Ustave RS - prepovedana je uporaba osebnih podatkov v nasprotju z namenom njihovega zbiranja. Drugi odstavek
- člena Ustave RS določa, da zbiranje, obdelovanje, namen uporabe, nadzor in varstvo tajnosti osebnih podatkov določa zakon. Pooblaščenec pri tem posebej poudarja, da ZVOP-1 ne pokriva celotnega spektra zasebnosti, pač pa zgolj tisti del, ki se nanaša na zbirke osebnih podatkov. Pristojnost Pooblaščenca v zvezi z osebnimi podatki je podana le takrat, kadar se osebni podatek nahaja v zbirki osebnih podatkov ali gre za obdelavo osebnih podatkov iz zbirke. Zbirka osebnih podatkov je v skladu s
- točko
- člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi. Strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Osebni podatek je v skladu s
- točko
- člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen, pri čemer je posameznik določena ali določljiva fizična oseba, na katero se nanaša osebni podatek. Obdelava osebnih podatkov pomeni v skladu s
- točko
- člena ZVOP-1 kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, zlasti zbiranje, pridobivanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago. Pri obdelavi osebnih podatkov je potrebno upoštevati načelo sorazmernosti, ki je kot temeljno načelo, opredeljeno v
- členu ZVOP-1, in določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. Splošna opredelitev obdelave osebnih podatkov je podana v
- členu ZVOP-
- Osebni podatki se lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Namen obdelave osebnih podatkov mora biti določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. V skladu z obrazloženo dikcijo obdelave osebnih podatkov, Pooblaščenec pojasnjuje, da je obdelava osebnih podatkov torej tudi aktivni imenik, ki ga želite uvesti na Univerzi v ..., zato mora imeti Univerza v ... v skladu z ZVOP-1 ustrezno pravno podlago za obdelavo osebnih podatkov. Splošne pravne podlage za obdelavo osebnih podatkov določa
- člen ZVOP-1, vendar pa obstajajo glede pravnih podlag za obdelavo osebnih podatkov razlike glede upravljavcev osebnih podatkov, ki spadajo v javni sektor in upravljavcev osebnih podatkov, ki spadajo v zasebni sektor v skladu z ZVOP-
- Zato je zaradi ustrezne pravne podlage za obdelavo osebnih podatkov najprej potrebno ugotoviti, v kateri sektor spada Univerza v .... Pooblaščenec na podlagi preučitve v nadaljevanju navedenih določb ugotavlja, da je Univerza v ..., katere ustanovitelj je Republika Slovenija, avtonomni izobraževalni, znanstvenoraziskovalni in umetniški visokošolski zavod s posebnim položajem (Statut Univerze v ...,
- člen). Javni zavodi, predvsem njihova statusna vprašanja, so v pravnem redu RS urejena v Zakonu o zavodih (Uradni list RS, št. 12/91 ter spremembe in dopolnitve; v nadaljevanju ZZ). V skladu s
- členom ZZ so zavodi organizacije, ki se ustanovijo za opravljanje dejavnosti vzgoje in izobraževanja, znanosti, kulture, športa, zdravstva, socialnega varstva, otroškega varstva, invalidskega varstva, socialnega zavarovanja ali drugih dejavnosti, če cilj opravljanja dejavnosti ni pridobivanje dobička. Organ je kot vrsta zavoda s področja vzgoje in izobraževanja ter znanosti posebej urejen še v Zakonu o visokem šolstvu (Uradni list RS, št. 119/2006 – uradno prečiščeno besedilo, v nadaljevanju ZViS). Iz
- člena ZViS izhaja, da so visokošolski zavodi univerze, fakultete, umetniške akademije in visoke strokovne šole. V drugem odstavku
- člena ZViS je določeno, da za opravljanje javne službe v visokem šolstvu Republika Slovenija ustanavlja javne visokošolske zavode oziroma druge javne zavode – članice univerze in študentske domove. Pravno podlago za obdelavo osebnih podatkov v javnem sektorju, kamor torej spada Univerza v ..., določa
- člen ZVOP-1:
(1)Osebni podatki v javnem sektorju se lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika.
(2)Nosilci javnih pooblastil lahko obdelujejo osebne podatke tudi na podlagi osebne privolitve posameznika brez podlage v zakonu, kadar ne gre za izvrševanje njihovih nalog kot nosilcev javnih pooblastil. Zbirke osebnih podatkov, ki nastanejo na tej podlagi, morajo biti ločene od zbirk osebnih podatkov, ki nastanejo na podlagi izvrševanja nalog nosilca javnih pooblastil.
(3)Ne glede na prvi odstavek tega člena se lahko v javnem sektorju obdelujejo osebni podatki posameznikov, ki so z javnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe.
(4)Ne glede na prvi odstavek tega člena se lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Osebni podatki študentov ZViS, kot specialni zakon, določa, komu in na kakšen način lahko fakulteta posreduje osebne podatke študentov in za kakšen namen. ZViS v
- členu določa seznam evidenc z osebnimi podatki študentov. V
- točki prvega odstavka
- člena ZViS je navedena evidenca: zapisnik o izpitu, s katerim se evidentira prijava k izpitu, potek izpita in dosežena ocena. Ta obsega: ime in priimek študenta (za študentko tudi dekliški priimek), spol, EMŠO, način študija, letnik študija in študijsko leto prvega vpisa, datum izpita, podatke o tem, ali izpit opravlja prvič ali ga ponavlja, ter oceno, doseženo izpitno pri izpitu. V
- členu ZViS je urejena uporaba evidenc z osebnimi podatki študentov in določa, da se osebni podatki študentov iz evidenc iz
- člena tega zakona zbirajo, obdelujejo, shranjujejo in posredujejo za potrebe visokošolske dejavnosti visokošolskih zavodov, za potrebe državnih organov, organov lokalne skupnosti, nosilcev javnega pooblastila in študentskih organizacij, povezane z uresničevanjem pravic študentov po posebnih predpisih. Pri izdelavi statističnih analiz se smejo osebni podatki uporabljati in objavljati tako, da identiteta študenta ni razvidna. Pooblaščenec meni, da objava imena in priimka študenta v aktivnem imeniku (Active Directory) ni upravičena oziroma, da za takšno obdelavo osebnih podatkov študentov ne obstaja ustrezna pravna podlaga niti v ZVOP-1 in tudi ne v ZViS. Pooblaščenec pojasnjuje, da v javnem sektorju osebno privolitev univerza uporabi le, v kolikor pri uvedbi aktivnega imenika ne gre za oblastno dejanje organa. Študenta mora ob tem seznaniti s tem, katere osebne podatke bo objavila in za kakšen namen. Osebni podatki zaposlenih Na tem mestu Pooblaščenec opozarja na določbo
- alineje tretjega odstavka
- člena Zakona o dostopu do informacij javnega značaja (Uradni list RS, št. 51/2006 – uradno prečiščeno besedilo in 117/2006 – ZDavP-2, v nadaljevanju ZDIJZ), po kateri se ne glede na določbo prvega odstavka (kjer je opredeljenih 11 izjem, zaradi katerih se dostop do informacije zavrne), dostop do zahtevane informacije dovoli, če gre za podatke o porabi javnih sredstev ali podatke, povezane z opravljanjem javne funkcije ali delovnega razmerja javnega uslužbenca, razen v primerih iz
- in
- do
- točke prvega odstavka, ter v primerih, ko zakon, ki ureja javne finance ali zakon, ki ureja javna naročila, določata drugače. Po določbi
- člena Zakona o javnih uslužbencih (Uradni list RS, št. 32/06, v nadaljevanju ZJU) je javni uslužbenec posameznik, ki sklene delovno razmerje v javnem sektorju. Javni sektor so v skladu z drugim odstavkom
- člena ZJU državni organi in uprave samoupravnih lokalnih skupnosti, javne agencije, javni skladi, javni zavodi in javni gospodarski zavodi ter druge osebe javnega prava, če so posredni uporabniki državnega proračuna ali proračuna lokalne skupnosti. V ta sklop torej sodi tudi Univerza v .... Na tem mestu je treba opozoriti na doktrino pričakovane zasebnosti, ki jo je leta 1997 prevzelo tudi Evropsko sodišče za človekove pravice v primeru Halford v. Združeno kraljestvo z dne
- 1997, nato pa še Ustavno sodišče Republike Slovenije v odločbi U-I-25/
- Po tej teoriji je potrebno tehtati dva elementa: pričakovanje zasebnosti in upravičenost pričakovanja. Zato javni uslužbenec ni upravičen pričakovati zasebnosti glede svojega imena, naziva, položaja, plače, službenega naslova in drugih podatkov, povezanih z delovnim razmerjem, ki ga opravlja. Oseba, zaposlena v javnem sektorju, ima bistveno zmanjšano pričakovanje zasebnosti zaradi načela odprtosti, ki terja transparentno delovanje organa s ciljem čim večje udeležbe državljanov pri izvajanju oblasti. Na tej teoretični podlagi temelji določba tretjega odstavka
- člena ZDIJZ, po kateri so ne glede na varstvo osebnih podatkov prosto dostopni tisti osebni podatki, ki so povezani z opravljanjem javne funkcije oziroma delovnega razmerja javnega uslužbenca. Podobno stališče je zavzelo tudi Upravno sodišče Republike Slovenije št. U 831/2007-7, z dne
- 2007, kjer navaja sledeče: »Vendar pa je glede tega že zakonodajalec v določilu
- alineje tretjega odstavka
- člena ZDIJZ opravil tehtanje med individualno pravico do dostopa do informacije (
- odstavek
- člena Ustave), do varstva osebnega podatka (
- člena Ustave) in javnim interesom (da so razkritja ne pride), in je to razmerje razrešil tako, da javnega interesa za nerazkritje informacije, ki se nanaša na opravljanje javne funkcije, ni.« Pooblaščenec zgolj primeroma predstavlja še smernice sodne prakse Sodišča prve stopnje, ki je v zadevi št. T-194/04, z dne
- 2007 (Bavarian Lager Co. Ltd vs. Komisija Evropskih skupnosti), odločalo o dostopu do dokumenta (zapisnika sestanka), iz katerega izhajajo osebni podatki (imena in priimki) predstavnikov Generalnega direktorata Komisije „Notranji trg in finančne storitve“, ministrstva za trgovino in industrijo Združenega kraljestva in predstavnikov zveze pivovarn na skupnem trgu (v nadaljevanju ZPST), ki so sodelovali na sestanku z dne
- oktobra
- Sodišče je opozorilo, da lahko institucije zavrnejo dostop do dokumenta, kadar bi razkritje oslabilo varstvo zasebnosti in integritete posameznika. Tako je sodišče presodilo, da četudi posameznik nasprotuje posredovanju njegovih osebnih podatkov, to ne more preprečiti posredovanja teh podatkov, če to posredovanje ne slabi varstva zasebnosti in integritete posameznika, kot to zahteva člen 4
(1)(b) Uredbe Evropskega parlamenta in Sveta (ES) št. 1049/2001 z dne 30. maja 2001 o dostopu javnosti do dokumentov Evropskega parlamenta, Sveta in Komisije (UL L 145, str. 43; v nadaljevanju Uredba št. 1049/2001). To pomeni, da je treba zato, da bi lahko ugotovili, ali se v obravnavani zadevi uporabi izjema iz člena 4
(1)(
- b)Uredbe št. 1049/2001, preučiti, ali dostop javnosti do imen udeležencev sestanka z dne 11. oktobra 1996 lahko dejansko in resnično ogroža varstvo zasebnosti in integritete zadevnih oseb. Sodišče je ugotovilo, da zapisnik sestanka vsebuje seznam udeležencev sestanka, kot predstavnikov subjektov, v katerih imenu in za račun so te osebe na navedenem sestanku sodelovale, opredeljenih z njihovim nazivom, začetnico njihovega imena, njihovim priimkom, in glede na okoliščine primera službo, organizacijo ali združenjem, ki jim pripadajo v okviru teh subjektov. Prav tako je bilo ugotovljeno, da preprosto dejstvo, da nek dokument vsebuje osebne podatke, ne pomeni nujno, da se posega v zasebnost in integriteto zadevnih oseb, čeprav poklicne dejavnosti načeloma niso izključene iz pojma „zasebnost“ v smislu člena 8 Evropske Konvencije o varstvu človekovih pravic in temeljnih svoboščin. Sodišče je ugotovilo, da so osebe, prisotne na sestanku, nastopale kot predstavniki ZPST in ne v svojem imenu in so se posledice odločitev, sprejetih na sestanku, nanašale na zastopane subjekte in ne na njihove predstavnike osebno. V teh okoliščinah je bilo ugotovljeno, da dejstvo, da zapisnik vsebuje imena predstavnikov, ne posega v zasebnost zadevnih oseb, ker so te na sestanku prisostvovale kot predstavniki njihovih organizacij. Poleg tega zapisnik ne vsebuje posamičnih mnenj teh oseb, ampak stališča subjektov, ki jih te osebe predstavljajo. Sodišče je poudarilo, da razkritje imen predstavnikov ZPST ne more dejansko in resnično ogroziti varstva zasebnosti in integritete zadevnih oseb, saj samo ime zadevne osebe v seznamu udeležencev sestanka, v okviru subjekta, ki ga je ta oseba predstavljala, ne pomeni take grožnje, zasebnost in integriteta zadevnih oseb pa tudi nista ogrožena. Pooblaščenec je v elektronski pošti, ki ste mu jo poslali dne 14. 3. 2007, pregledal seznam podatkov za zaposlene, ki bodo objavljeni v aktivnem imeniku. Ob tem je ugotovil, da gre le za osebne podatke zaposlenih, ki se nanašajo na delovno razmerje, zato v skladu z zgoraj navedenim, ne gre za varovane osebne podatke in jih lahko objavite in uporabite v aktivnem imeniku. V upanju, da ste dobili odgovore na vaša vprašanja, vas lepo pozdravljamo. Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026