Obdelava osebnih podatkov mladoletne osebe v knjižnici + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 09.06.2022 Številka: 07120-1/2022/202 Kategorije: --> Kategorije: Knjižničarstvo, Obdelava osebnih podatkov otrok in mladoletnih Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis, v katerem na nas naslavljate vprašanje glede vpisa elektronskega naslova v knjižnični sistem mladoletne osebe (do
- leta starosti) brez spremstva staršev. Pojasnjujete nam, da naj bi starši vpisali otroka v knjižnico in zanj podpisali vpisnico z izpolnjenimi osebnimi podatki, brez da bi takrat podali še njegov elektronski naslov. Sedaj naj bi isti otrok, star 11 let, sam prišel v knjižnico in želel podati svoj elektronski naslov zaradi vklopa obveščanja o izposojenem/rezerviranem gradivu, dolgovih in opominih. Zanima vas, ali lahko zaposleni v knjižnici, brez pomisleka, vpiše v knjižnični sistem elektronski naslov mladoletnika (člana) brez prisotnosti starša ali je potrebno pridobiti njihovo dovoljenje. *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. V skladu s
- členom Družinskega zakonika[1] (v nadaljevanju: DZ) lahko otrok, ki dopolni 15 let, sam sklepa pravne posle, če (ta ali drug) zakon ne določa drugače. Knjižnica določa pogoje članstva. IP pa ni pristojen presojati o njihovi veljavnosti in skladnosti s predpisi, zato tudi ne sme presojati o tem, kdaj se lahko mladoletna oseba včlani v knjižnico in kakšni so pogoji včlanitve. Upoštevajoč navedeno se zdi primerneje, da so starši oz. zakoniti zastopniki, ki so včlanili otroka v knjižnico tisti, ki določijo e-naslov za komunikacijo. Otrok do dopolnjenega
- leta starosti ne more samostojno, torej brez zakonitega zastopnika, podati veljavne privolitve v obdelavo osebnih podatkov. Splošna uredba dodatno od upravljavca zahteva razumna prizadevanja za preverjanje, ali je starš dal soglasje za obdelavo otrokovih podatkov. O b r a z l o ž i t e v: Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more in ne sme presojati. V mnenju lahko zato podamo zgolj splošna pojasnila z vidika varstva osebnih podatkov, ne moremo pa presojati ustreznosti konkretnega ravnanja posameznih upravljavcev. Pojem osebni podatek pomeni skladno s členom 4
(1)Splošne uredbe katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, gensko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Imena, priimki, elektronski naslovi tako nedvomno predstavljajo osebne podatke. Skladno s členom 4
(2)Splošne uredbe pomeni obdelava vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje. Za vsako obdelavo osebnih podatkov pa je treba imeti ustrezno in zakonito pravno podlago. Pravne podlage so določene v členu 6 Splošne uredbe in so sledeče: privolitev (točka (a)), sklenitev ali izvajanje pogodbe (točka (b)), zakon (točka (c)), zaščita življenjskih interesov posameznika (točka (d)), izvajanje javne naloge (točka (e) v zvezi s četrtim odstavkom
- člena ZVOP-1), zakoniti interesi upravljavca, ki ne prevladajo nad interesi in pravicami posameznika (točka (f)). Iz navedenega izhaja, da bi beleženje elektronskega naslova kot tudi njegova naknadna uporaba za namene obveščanja o izposojenem/rezerviranem gradivu, dolgovih in opominih predstavljala obdelavo osebnih podatkov, za katero bi morali kot upravljavec zagotoviti ustrezno in zakonito pravno podlago. Izbira ustrezne pravne podlage za obdelavo osebnih podatkov, upoštevajoč konkretne okoliščine in namen obdelave, pa je vedno odgovornost in obveznost upravljavca. V konkretnem primeru Zakon o knjižničarstvu (Uradni list RS, št. 87/01, 96/02 – ZUJIK in 92/15, v nadaljevanju ZKnj-1) v
- členu ureja pojem uporabnika in člana knjižnice ter zbiranje osebnih podatkov o članih knjižnice. Skladno s to določbo imajo knjižnice za potrebe izvajanja svoje dejavnosti, zavarovanja knjižničnega gradiva ter nudenja posebnih ugodnosti določenim kategorijam članov pravico, da v skladu s predpisi o varstvu osebnih podatkov zbirajo in obdelujejo naslednje osebne podatke svojih članov: ime in priimek, datum in kraj rojstva, naslov stalnega oziroma začasnega bivališča, kategorijo člana, podatke za obveščanje (telefonska številka oziroma naslov elektronske pošte). Z osebno privolitvijo člana lahko zbirajo tudi podatek o izobrazbeni ravni, ki ga uporabljajo za potrebe načrtovanja nabave knjižničnega gradiva ter organizacije storitev za ciljne skupine članov. Osebni podatki o članih se v zbirki iz prejšnjega odstavka vodijo še največ eno leto od poteka članstva v knjižnici. Potem se izbrišejo oziroma anonimizirajo. Če ima član v tem času še neporavnane obveznosti do knjižnice, se njegovi osebni podatki izbrišejo oziroma anonimizirajo, ko so obveznosti poravnane. ZKnj-1 torej v povezavi s točko c prvega odstavka
- člena Splošne uredbe in v zvezi s še veljavnim prvim odstavkom
- člena ZVOP-1 ter upoštevajoč pogoje za včlanitev predstavlja pravno podlago za zbiranje zgoraj navedenih osebnih podatkov. Knjižnica v skladu z veljavnimi predpisi določa pravila in pogoje članstva. IP o veljavnosti in ustreznosti teh pravil ni pristojen presojati. Zato tudi ne more presojati o tem, kako in kdaj se lahko mladoletna oseba včlani v knjižnico in kakšni so pogoji včlanitve na to pa je vezana tudi opredelitev e-naslova za komunikacijo. Glede na to, da pravne posledice (npr. zamudnina, drugi stroški) najverjetneje bremenijo starše in glede na spodaj navedene pogoje poslovne sposobnosti otrok, se vsekakor zdi primerneje, da so starši tisti, ki določijo e-naslov za komunikacijo. Kadar pa gre za obdelavo osebnih podatkov otrok, ki poteka na podlagi privolitve, je starostna meja, ko lahko otrok privoli v obdelavo svojih osebnih podatkov, v Sloveniji, vezana na delno oziroma popolno poslovno sposobnost. V skladu s
- členom Družinskega zakonika[2] (v nadaljevanju: DZ) lahko otrok, ki dopolni 15 let, sam sklepa pravne posle, če (ta ali drug) zakon ne določa drugače. Izjema od navedenega pravila izhaja iz drugega odstavka
- člena DZ, v katerem je določeno, da je potrebno dovoljenje staršev za sklepanje poslov, ki bistveno vplivajo na otrokovo življenje pred polnoletnostjo ali po njej. Vse dokler otrok nima samostojne poslovne sposobnosti, ga tako v pravnem prometu zastopajo njegovi zakoniti zastopniki (to so po navadi starši oz. skrbniki), ki lahko v njegovem imenu podajo veljavno privolitev. Če se torej obdelava osebnih podatkov nanaša na aktivnosti, v katere lahko privoli oseba, ki ima delno poslovno sposobnost (je dopolnila 15 let), lahko delno poslovno sposobna oseba privoli tudi v obdelavo svojih osebnih podatkov, ki poteka zaradi izvajanja takšnih aktivnosti. Če pa gre za sklepanje poslov, za katere se zahteva popolna poslovna sposobnost (kadar bi sklenjen posel bistveno vplival na otrokovo življenje pred polnoletnostjo ali po njej), pa je za obdelavo osebnih podatkov mladoletnih oseb potrebna privolitev njegovega zakonitega zastopnika (praviloma staršev oz. skrbnikov). V skladu z navedenim tako enajstletni otrok ne more samostojno, torej brez zakonitega zastopnika, podati veljavne privolitve v obdelavo osebnih podatkov. Pri tem pa pojasnjujemo, da bi bila privolitev otroka veljavna le, če bi s tem privoli tudi nosilec starševske odgovornosti (starš ali skrbnik). Člen 8
(2)Splošne uredbe zahteva razumna prizadevanja upravljavca za preverjanje, ali je starš dal soglasje za obdelavo otrokovih podatkov. Interpretacijo termina »razumna prizadevanja« , upoštevajoč različne okoliščine vsakokratnega primera ter namenov vsakokratne obdelave, pa na splošno ni moč zavzeti in bi jo eventualno IP lahko presojal le v okviru odprtega inšpekcijskega postopka, v katerem bi razpolagali z vsemi dejstvi in informacijami o konkretni obdelavi. Dodatno pa še opozarjamo, da bi kljub temu, da otrok dopolni 15 let in poda samostojno privolitev za obdelavo osebnih podatkov, upravljavec moral presojati pridobljeno privolitev z vidika njene veljavnosti in sicer privolitev mora biti "prostovoljna, specifična, informirana in nedvoumna". Kar zadeva mladoletne osebe, je ravno omogočanje informirane in prostovoljne izbire najpomembnejše vprašanje, glede česar bi v dvomu bilo vsekakor bolj smiselno pridobiti privolitev o obdelavi neposredno od osebe s starševsko odgovornostjo. Pojasnjujemo še, da bo otrok imel pravico, da to privolitev naknadno prekliče, ko bo dosegel točko ustrezne poslovne sposobnosti. V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo. Pripravil: Grega Rudolf, asistent svetovalca pri IP Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka [1] Uradni list RS, št. 15/17, 21/18 – ZNOrg, 22/19, 67/19 – ZMatR-C in 200/20 – ZOOMTVI [2] Uradni list RS, št. 15/17, 21/18 – ZNOrg, 22/19, 67/19 – ZMatR-C in 200/20 – ZOOMTVI O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026