Ravnanje z indeksi + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 17.06.2007 Številka: 0712-577/2007/2 Kategorije:Šolstvo --> Kategorije: Šolstvo Spoštovani, prejeli smo vaš dopis z dne 6.6.
- Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Spraševali ste nas: Zanima vas, ali vam lahko povemo kaj več o ravnanju z uradnimi dokumenti. Zanima vas namreč konkreten primer ravnanja s študentskimi indeksi, varnostnimi ukrepi pri ravnanju z njimi s strani pooblaščene osebe, kaj se zgodi ob morebitni izgubi študentskega indeksa s strani institucije, oz. kateri zakon oz. pravilnik to področje ureja. Informacijski pooblaščenec (v nadaljevanju Pooblaščenec), vam uvodoma pojasnjuje nekatere splošne pojme, ki so pomembni za razumevanje odgovora na vaše vprašanje, kot jih določa ZVOP-
- Osebni podatek tako pomeni katerikoli podatek, ki se nanaša na določeno ali določljivo fizično osebo, torej posameznika, na glede na obliko, v kateri je izražen. Posameznik pa je določena ali določljiva fizična oseba, na katero se nanaša osebni podatek, pri čemer je določljiva, če se jo lahko neposredno ali posredno identificira s pomočjo njenih identifikacijskih številk (npr. EMŠO, davčna številka, številka zdravstvenega zavarovanja, telefonska številka, registrska številka vozila in ne nazadnje tudi vpisna številka študenta), ali s sklicevanjem na dejavnike, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto (npr. zaposlitev, naslov, funkcijo, položaj ali status v določenem subjektu, ipd.), pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa. Obdelava osebnih podatkov je definirana kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, sporočanje in podobno. Zbirka osebnih podatkov je vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Vpisna številka študenta je primarni identifikacijski znak, ki služi enostavni in enolični identifikaciji posameznika. To pomeni, da vsakemu študentu v času študija pripada samo ena vpisna številka, ki je odvisna od načina in smeri ter vrste študija. Pri tem prve tri številke cifre vpisne številke, predstavljajo šifro fakultete, ostale pa so dodeljene po zaporedju oz. zaporedni številki vpisanega študenta, pri čemer se vpisna številka študentu dodeli ob vpisu. Iz navedenih definicij nedvomno izhaja, da je indeks zbirka osebnih podatkov. Bistven pogoj pri opredelitvi določenega podatka za osebni podatek je torej povezljivost tega podatka s posamezno fizično osebo. Ob vpogledu v študentov indeks, je mogoče natančno ugotoviti njegovo identiteto oz., za katerega študenta gre (enolična identifikacija), ob tem pa je mogoče brez nesorazmerno velikega napora in časa ugotoviti prebrati še EMŠO posameznika, njegov naslov, državljanstvo, na podlagi katerega je mogoče pogojno sklepati tudi na narodnost, ki je v ZVOP-1 opredeljena kot občutljiv osebni podatek, ter ocene in število opravljenih obveznosti. Ker visokošolski zavodi praviloma sodijo v javni sektor, izpostavljamo določbe
- člena ZVOP-1, ki določa, da se osebne podatke v javnem sektorju lahko obdeluje samo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon, torej le v primeru, če zakon izrecno določa, da se v javnem sektorju določeni osebni podatki lahko obdelujejo oziroma posredujejo. Isti odstavek tega člena nadalje določa, da se osebni podatki lahko obdelujejo le na podlagi osebne privolitve posameznika, če tako določa zakon. Za osvetlitev primerne pravne podlage za obdelavo ocen študentov je potrebno izpostaviti določbe Zakona o visokem šolstvu (Uradni list RS, št. 67/93 ter spremembe in dopolnitve, v nadaljevanju ZVis), ki v
- točki prvega odstavka
- člena določa, da visokošolski zavodi vodijo evidenco prijavljenih za vpis in vpisanih študentov, po
- in
- točki pa se vodi še osebni karton, ki se vodi za vsakega študenta od vključitve v študij do končanja študija oziroma do izpisa, in zapisnik o izpitu, s katerim se evidentira prijava k izpitu, potek izpita in dosežena ocena, ob tem pa
- člen istega zakona določa, da se osebni podatki študentov iz evidenc
- člena tega zakona zbirajo, obdelujejo, shranjujejo in posredujejo za potrebe visokošolske dejavnosti visokošolskih zavodov, za potrebe državnih organov, organov lokalne skupnosti, nosilcev javnega pooblastila in študentskih organizacij, povezane z uresničevanjem pravic študentov po posebnih predpisih. Isti člen nadalje določa, da morajo evidence iz 1.,
- in
- točke prejšnjega odstavka obsegati ime in priimek študenta (za študentke tudi dekliški priimek), spol, datum, kraj in občino rojstva, državo rojstva, stalno in začasno bivališče, enotno matično številko občana, državljanstvo, predhodno pridobljeno izobrazbo, način študija ter druge podatke po posebnih predpisih. Evidenca iz
- točke obsega še podatke o opravljenih izpitih, o napredovanju in dokončanju študija. Evidenca iz
- točke prvega odstavka tega člena pa obsega: ime in priimek študenta (za študentke tudi dekliški priimek), spol, enotno matično številko občana, način študija, letnik študija in študijsko leto prvega vpisa, datum izpita, podatke o tem, ali izpit opravlja prvič ali ga ponavlja, ter oceno, doseženo pri izpitu. Iz izpostavljenih določb ZVis tako izhaja pravna podlaga za obdelovanje vseh navedenih osebnih podatkov, katerih skupni povezovalni znak je vpisna številka, določeni od njih pa se nahajajo tudi v indeksu. Posledično Pooblaščenec zaključuje, da je osnovni namen indeksa enolična identifikacija posameznika za potrebe študijskega procesa. Ker pa neposredna pravna podlaga za vzpostavitev zbirke osebnih podatkov z nazivom indeks v ZVis ne obstaja je Pooblaščenec v pojasnjevanju vašega vprašanja, zato odgovore iskal v .............................(Uradni list RS, št. 8/05, 118/05, 72/2006 ter 76/2006 (popr.), v nadaljevanju Statut).
- člen Statuta določa, da ima študent indeks, v katerega se vpisujejo študijske obveznosti in ocene uspešno opravljenih izpitov. Ker iz vašega vprašanja ni jasno razvidno, na kateri univerzi študirate, je Pooblaščenec pravno podlago za vzpostavitev indeksa iskal tudi v določbah ......................(Uradni list RS, št. 22/2007, uradno prečiščeno besedilo, v nadaljevanju Statut-UPB3). Statut-UPB3 v
- členu določa, da ima študent za evidentiranje poteka študija indeks. Ta določba preneha veljati, ko se dogradi informacijski sistem univerze. Informacijski sistem univerze se vzpostavi najkasneje s študijskim letom 1999/
- Pooblaščenec ponovno opozarja, da indeks nedvomno je zbirka osebnih podatkov, zato je v zvezi z zavarovanjem (oz. varovanjem) takšne zbirke potrebno postopati po določbah ZVOP-
- člen ZVOP-1 določa vsebino zavarovanja osebnih podatkov. Prvi odstavek tega člena tako določa, da zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
- varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
- varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
- preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
- zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
- omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. Drugi odstavek istega člena določa, da morajo v primeru obdelave osebnih podatkov, ki so dostopni preko telekomunikacijskega sredstva ali omrežja, morajo strojna, sistemska in aplikativno programska oprema zagotavljati, da je obdelava osebnih podatkov v zbirkah osebnih podatkov v mejah pooblastil uporabnika osebnih podatkov. Tretji odstavek istega člena v nadaljevanju določa, da morajo biti postopki in ukrepi za zavarovanje osebnih podatkov ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo. Zadnji odstavek istega člena pa določa, da morajo funkcionarji, zaposleni in drugi posamezniki, ki opravljajo dela ali naloge pri osebah, ki obdelujejo osebne podatke, varovati tajnost osebnih podatkov, s katerimi se seznanijo pri opravljanju njihovih funkcij, del in nalog. Dolžnost varovanja tajnosti osebnih podatkov jih obvezuje tudi po prenehanju funkcije, zaposlitve, opravljanja del ali nalog ali opravljanja storitev pogodbene obdelave. Dolžnost zavarovanja osebnih podatkov pa ZVOP-1 ureja
- členu, ki v prvem odstavku določa, da so upravljavci osebnih podatkov in pogodbeni obdelovalci dolžni zagotoviti zavarovanje osebnih podatkov na način iz zgoraj navedenega
- člena ZVOP-
- V drugem odstavku istega člena pa je določeno, da upravljavci osebnih podatkov v svojih aktih predpišejo postopke in ukrepe za zavarovanje osebnih podatkov ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke. V primeru, da je bil vaš indeks izgubljen, s strani odgovorne osebe zaposlene na fakulteti in ji krivdo uspete dokazati, potem je odgovornost za škodo, ki vam bo nastala, vsekakor na strani fakultete. Pooblaščenec meni, da vam mora fakulteta ob dokazani krivdi brezplačno izdati dvojnik indeksa ter vanj prepisati vse vaše opravljene obveznosti in ocene, ki jih vodi v svoji dokumentaciji. Vsa dokumentacija o opravljenih izpitih se namreč vodi tudi v ostalih evidencah, kot jih določa ZVis ter morebitnem elektronskem indeksu, če ga na vaši fakulteti uporabljate. Skrb, da bi zaradi izgube indeksa ostali brez priznanih že opravljenih obveznosti, je tako povsem odveč. V primeru, ko zbirke osebnih podatkov na vaši fakulteti niso primerno zavarovane, oziroma, v kolikor je v vašem primeru prišlo do izgube indeksa zaradi slabega zavarovanja zbirk osebnih podatkov, ali nespoštovanja zakona oz. internih pravilnikov fakultete o zavarovanju podatkov, kot izhajajo iz
- člena ZVOP-1, gre nedvomno za kršitev določb ZVOP-1, za katere je predvidena globa, izterjana po pravilih prekrškovnega in inšpekcijskega postopka. Priporočamo vam, da Pooblaščencu zaradi suma storitve prekrška podate prijavo in jo podkrepite z morebitnimi dokazi, oz. dejstvi, na podlagi katerih bo pri fakulteti lahko izveden inšpekcijski nadzor. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026