Upute za osiguranje usklađenosti sa zahtjevima Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)
1. Prosvjetna inspekcija i uvid u natječajnu dokumentaciju
U konkretnom slučaju, u primjeni je Zakon o prosvjetnoj inspekciji (NN 61/11, 16/12, 98/19), kojim se uređuje ustrojstvo, poslovi, način rada, prava, dužnosti i ovlasti prosvjetne inspekcije.
Navedenim Zakonom je u čl. 11. propisano da u provedbi nadzora u ustanovama i drugim pravnim osobama koje podliježu nadzoru prosvjetne inspekcije inspektor utvrđuje stanje, a osobito, između ostalog, obavlja li se na osnovi propisanih standarda i normativa, u skladu sa zakonom, drugim propisom i općim aktom: utvrđivanje potrebe za radnikom, pribavljanje suglasnosti, objava oglasa, odnosno natječaja, izbor kandidata, zasnivanje radnog odnosa, raspored na poslove za koje je zasnovan radni odnos te zaduživanje radnim obvezama sukladno s ugovorom o radu,
Nadalje, čl. 14. Zakona o prosvjetnoj inspekciji je propisano da inspektor obavlja nadzor izravnim uvidom u opće i pojedinačne akte, te uvjete i način rada nadzirane ustanove. Inspektor ima pravo u inspekcijskom postupku pregledati pedagošku i drugu dokumentaciju i evidencije, radne i poslovne prostorije i spise, opremu i nastavna sredstva, isprave na temelju kojih može utvrditi identitet osoba zaposlenih u nadziranoj ustanovi te saslušati i uzeti izjave tih osoba.
Također, sukladno čl. 17. ravnatelj nadzirane ustanove dužan je inspektoru osigurati uvjete za provedbu nadzora u ustanovi te mu pružiti potrebne podatke i obavijesti, a osoba zaposlena u ustanovi uvjete za obavljanje nadzora na području na kojem radi te mu o tomu pružiti podatke i obavijesti.
Dakle, nadzirana ustanova je dužna omogućiti inspektoru uvid u potrebne dokumente, a samim time i u osobne podatke bez ikakve privole.
2. Može li Općina koristiti fotografije djece koje su nastale tijekom podjele letaka u jednoj osnovnoj školi?
Prilikom razmatranja je li obrada nužna za potrebe legitimnih interesa Općine kao voditelja obrade treba zapravo razmotriti može li se ista svrha ostvariti manje invazivnim sredstvima na privatnost ispitanika. U svakom slučaju, da bi se voditelj obrade mogao pozvati na legitimni interes kao pravni temelj za obradu, ta obrada osobnih podataka mora biti nužna za postizanje legitimnog interesa, legitimni interes mora biti zakonit, stvaran i trenutačan te dovoljno jasno opisan odnosno specifičan kako bi se omogućila provedba testa ravnoteže u odnosu na interese i temeljna prava osoba čiji se podaci obrađuju (ispitanika). I, naposljetku, test ravnoteže mora pokazati da su u konkretnom slučaju interesi voditelja obrade (ili treće strane) jači od temeljnih prava i sloboda ispitanika, osobito ako je ispitanik dijete.
Bitno za ukazati je da sukladno propisima iz područja zaštite osobnih podataka djeca zaslužuju posebnu zaštitu u pogledu obrade njihovih osobnih podataka budući da mogu biti manje svjesna rizika i posljedica obrade, ali i svojih prava u vezi s obradom njihovih osobnih podataka.
Odgovor je - ne.
3. Uvid u videonadzorne snimke od strane školskog odbora
Sukladno čl. 28. Zakona o provedbi Opće uredbe o zaštiti podataka (NN 42/2018) pravo pristupa osobnim podacima prikupljenim putem videonadzora ima odgovorna osoba voditelja obrade odnosno izvršitelja obrade i/ili osoba koju on ovlasti.
Sustav videonadzora mora biti zaštićen od pristupa neovlaštenih osoba.
Da bi bilo koji član Školskog odbora dobio pristup snimki sa sustava videonadzora, mora postojati valjani pravni temelj iz članka 6. GDPR-a.
Neophodno je prethodno savjetovati se sa Službenikom za zaštitu podataka.
4. Pravo uvida u e-dnevnik i ostale informacije vezane uz obrazovanje za dijete bez njegove suglasnosti/privole od strane roditelja/zakonskog zastupnika djeteta?
Roditelj ili nositelj roditeljske odgovornosti ili zakonski zastupnik ima pravo na uvid u ocjene djece neovisno o njihovoj dobi koje su sadržane u e-dnevniku, odnosno isti imaju pravo dobiti na uvid njihove ocjene, izostanke, ponašanja, kao i druge informacije vezano uz njihovo obrazovanje. Ali uvijek uz prethodno osiguranje pouzdane identifikacije roditelja ili skrbnika.
U konkretnom slučaju radi se ne samo o pravu već i obvezi roditelja/zakonskog zastupnika da se brine o svome djetetu sukladno odredbama posebnog propisa (Obiteljski zakon).
5. Pravo uvida u podatke o djetetu kad su roditelji rastavljeni, djedu i baki
Ako je dostupna informacija o rastavljenim roditeljima, treba se voditi briga ima li samo jedan roditelj skrbnička prava. Tada se drugom roditelju ne smiju dati podaci o djetetu, terminima roditeljskih sastanaka, dolazi si roditelj sa skrbničkim pravima na sastanke u školu i sl. Ako roditelj učenika ima skrbnička prava, tada ne smijemo otkrivati podatke o djetetu njegovoj baki ili djedu. Dobro je uputiti ih da pitaju roditelje o učeniku.
6. Kad roditelj zatraži informacije o svom djetetu telefonom ili emailom
Da bismo dali podatke o učeniku, moramo biti sigurni da se radi o roditelju ili zakonskom zastupniku, odnosno, skrbniku.
Prilikom telefonskih poziva ili javljanja s neke Gmail adrese ne možemo pouzdano znati jel se zaista radi o roditelju našeg učenika.
Radi predostrožnosti, ukoliko nismo sigurni u identitet pozivatelja ili pošiljatelja radi li se o stvarnom roditelju ili skrbniku, daljnju komunikaciju treba zaključiti i zamoliti za osobni dolazak u školu uz navođenje razloga – radi zaštite osobnih podataka učenika.
Vrijedi pokušati dodatnim pitanjima utvrditi i potvrditi da se radi o stvarnom roditelju ili nositelju roditeljske odgovornosti. Nikako ne smijemo tražiti presliku osobne iskaznice. Pouzdana identifikacije se može postići traženjem i provjerom dodatnih informacija koje znaju samo roditelj i škola, npr. OIB ili datum rođenja učenika, specifične informacije u kontekstu samog poziva (ponašanje djeteta, izostanci, ocjene iz konkretnog predmeta, ime učitelja / nastavnika ili razrednika, dodatne školske aktivnosti učenika i sl.)
No, u slučaju da postoji sumnja u identitet pozivatelja ili pošiljatelja emaila, ne smijemo otkrivati informacije o učeniku.
U konačnici se takvog pozivatelja ili pošiljatelja emaila treba uputiti da se izravno javi školskom Službeniku za zaštitu podataka na Ova e-mail adresa je zaštićena od spambota. Potrebno je omogućiti JavaScript da je vidite..
7. Dobivamo telefonski poziv, pismo ili e-mail kojim neka fizička osoba traži uvid u svoje osobne podatke, njihovo brisanje, prigovara na obradu osobnih podataka
U svakom takvom slučaju povratno potvrditi podnositelju zahtjeva da je zahtjev zaprimljen i da će ga preuzeti školski Službenik za zaštitu podataka, koji će se u kraćem vremenu povratno javiti podnositelju zahtjeva. Ništa više od toga ne odgovaramo.
Bez odgode proslijediti ili javiti Službeniku za zaštitu podataka informacije o zaprimljenom zahtjevu, o istome obavijestiti ravnatelja i tajnika škole.
Službenik za zaštitu podataka preuzima daljnje aktivnosti i komunikaciju s podnositeljem zahtjeva.
8. Korištenje e-mail adresa i lozinki za pristup online sustavima i uslugama
Za svaki račun (npr. za pristup e-Dnevniku, programskim rješenjima i aplikacijama) treba koristiti zasebnu lozinku. Ista lozinka ne smije se koristiti za pristup više računa.
Npr. ne smije se koristiti ista lozinka za pristup privatnom računu na Facebooku i za pristup e-Dnevniku.
9. Uočili smo provalu u školu, u ormar ili ladičar s dokumentacijom ili krađu identiteta na našem službenom računu za CARNET usluge
Bez odlaganja o tome izvještavamo ravnatelja i tajnika, kao i Službenika za zaštitu podataka, sa svim detaljima i informacijama o prirodi sigurnosnog incidenta. Službenik za zaštitu podataka će, ukoliko je došlo do povrede osobnih podataka, tu povredu morati prijaviti u AZOP u roku od 72 sata.
10. Objava popisa učenika prvih razreda na mrežnim stranicama
Pojedinačna imena i prezimena i ostale osobne podatke kojima se učenici prvih razreda mogu identificirati škola ne smije javno objavljivati na mrežnim stranicama, bez prethodne privole svakog pojedinog roditelja. Iz tog razloga je takva objava u praksi neizvediva dok uz uvažavanje razloga da takve objave mogu biti na štetu same djece zbog prijetnji na internetu.
Kod objave rasporeda prvašića po razrednim odjeljenjima roditelje možemo obavijestiti kojem razrednom odjeljenju njihovo dijete pripada izravno i pojedinačno ili prilikom prvog okupljanja prvašića u školi koja upisuje više razreda, bez objave osobnih podataka prvašića na mrežnim stranicama.
11. Fotografiranje djece u školi
Za isključivo grupno fotografiranje i snimanje skupine učenika na školskim priredbama ili aktivnostima obuhvaćenih Školskim kurikulumom i Godišnjim planom i programom rada nije potrebna prethodna privola roditelja. Roditelji moraju biti unaprijed upoznati o tome i imaju pravo naknadno prigovoriti i tražiti da se određena fotografije ili snimka ukloni s web stranice ili sa službenih stranica škole na društvenim mrežama.
Izdvojene fotografije i snimke te ime i prezime i uspjeh pojedinog učenika ili učitelja ili nastavnika i njihova javna objava dozvoljeni su samo temeljem pojedinačne privoli, u ime učenika istu daje nositelj roditeljske odgovornosti. Privole za sve potrebne svrhe prikupljamo jedinstvenim obrascem s više navedenih svrha, uobičajeno na početku školske godine i iste vrijede za cijelo vrijeme pohađanja iste škole ili do povlačenja privole.
12. Objava osobnih podataka u monografiji ili spomenici
Za objavu fotografija i imena i prezimena u monografiji ili spomenici škole NIJE POTREBNA posebna privola svakog pojedinog bivšeg učenika ili zaposlenika. Ukoliko se obitelj preminulih osoba ili nasljednici izričito protive objavi podataka o preminulim članovima obitelji, takve objave ne bismo trebali raditi.
13. Davanje osobnih podataka policiji (npr. u svrhu otkrivanja vršnjačkog nasilja)?
Policija ima pravo tražiti osobne podatke učenika kako bi mogla izvršavati svoje ovlasti temeljem posebnih propisa. U tom slučaju nije potrebna suglasnost roditelja za davanje podataka ako su isti nužni policiji za izvršavanje njihovih ovlasti, tj. potrebni za daljnje postupanje i razjašnjavanje konkretnog slučaja. Dovoljno je samo roditelje prethodno informirati o davanju takvih osobnih podataka (članak 25. Zakona o policijskim poslovima i ovlastima policija).
14. Objava godišnjeg plana i programa škole i kurikuluma škole?
Zakonom o odgoju i obrazovanju o osnovnoj i srednjoj školi propisano je da se Školski kurikulum i Godišnji plan i program škole objavljuju na mrežnim stranicama škole u skladu s propisima vezanim uz zaštitu osobnih podataka.
Prilikom objave osobnih podataka na mrežnim stranicama mora se voditi briga da se objavljuju samo oni podaci koji su nužni da bi postigla utvrđena svrha (informiranje roditelja, učenika škole) odnosno dovoljno je objaviti imena i prezimena zaposlenika te eventualno nazive radnih mjesta i njihovu stručnu spremu.
15. Smije li škola objaviti osobne podatke zaposlenika na mrežnim stranicama?
Smije i pri tom je dovoljno objaviti imena i prezimena zaposlenika i nazive radnih mjesta te eventualno njihovu stručnu spremu, dok bi sve ostale osobne podatke (primjerice: datum i godinu rođenja, mjesto rođenja, privatnu adresu) koji se odnose na privatnu sferu zaposlenika trebalo zaštititi odnosno ne objavljivati javno na mrežnim stranicama škole.
Objave pojedinačnih fotografija zaposlenika predmet su njihovih privola koje mogu biti i usmene, ali ih škola mora moći dokazati.
16. Može li škola na traženje Ministarstva provjeriti diplome svojih zaposlenika
Vezano uz provjeru vjerodostojnosti isprava kojima radnici u ustanovi dokazuju odgovarajući stupanj obrazovanja sukladno posebnom zakonu navedeno se može temeljiti na legitimnom interesu voditelja obrade u smislu članka 6. stavka 1. točke f) Opće uredbe o zaštiti podataka. S obzirom na postojanje navedene pravne osnove te podudarnost svrhe prikupljanja navedenih osobnih podataka čija se provjera traži, nije potrebna privola/suglasnost zaposlenika za traženje i dobivanje navedene informacije.
17. Prikupljanje uvjerenja o nekažnjavanju od kandidata prilikom zapošljavanja
Škola mora prikupljati i obrađivati osobne podatke koji se odnose na kandidate za zaposlenje u mjeri u kojoj je prikupljanje tih podataka nužno i relevantno za obavljanje poslova za koji se kandidat prijavljuje, a u tom slučaju pritom za isto nije potrebna privola osoba/kandidata natječajnog postupka (primjena članka 106. Zakona o odgoju i obrazovanju u osnovnom i srednjim školama).
18. Javna objava podataka o kandidatima u natječajnom postupku za zapošljavanje
Na mrežnim stranicama škole ne smiju se objavljivati podaci kandidata, ni prilikom pozivanja na razgovore ni prilikom objave rezultata natječaja kada se objavljuju samo relevantni osobni podaci o izabranom kandidatu (ime, prezime, stručna sprema, radno iskustvo).
19. Pravo polaganja prigovora i pravo uvida u osobne podatke kandidata
Svi sudionici natječajnog postupka do završetka rokova na ulaganje pravnih lijekova zbog transparentnosti provođenja natječajnog postupka imaju pravo uvida u osobne podatke, ali samo izabranog kandidata provedenog natječaja i to samo u one osobne podatke kojima se dokazuje da izabrani kandidat zadovoljava sve uvjete natječaja (primjerice: dokaz o stručnoj spremi, radnom iskustvu i sl.), dok uvid u ostale osobne podatke izabranog kandidata (primjerice: privatna adresa, kontakt podaci i sl.) i sve one podatke koji nisu vezani za natječaj odgovarajuće zaštititi.
Svaki kandidat natječajnog postupka ima pravo uvida u svoje osobne podatke, u konkretnom slučaju u vlastitu dokumentaciju i rezultate testiranja.
20. Objava osobnih podataka u zapisnicima Školskog odbora
Neophodno je izbjegavati javnu objavu zapisnika Školskog odbora u kojima se navode podaci da je određeni zaposlenik na porodiljnom odsustvu ili na bolovanju, ili da se radi o postupku zapošljavanja zbog takvih razloga, jer je time moguća identifikacija osobe sa specifičnim zdravstvenim stanjem i otkrivanje posebnih kategorija osobnih podataka.
Škola ima obvezu na mrežnim stranicama javno objaviti sažetke Zapisnika sa sjednica Školskog odbora, dok u svojoj dokumentaciji čuva cjelovite i potpune Zapisnike.
21. Davanje podataka (ime i prezime) kandidata za zapošljavanje članovima Školskog odbora u pozivu za sjednicu
Ako je poziv za sjednicu primjerice objavljen na web stranici škole ili oglasnoj ploči škole i kao takav dostupan svim posjetiteljima web stranice škole, NE SMIJEMO javno objavljivati imena i prezimena kandidata o kojima će se raspravljati na sjednici.
Članovi školskog odbora imaju pravo znati osobne podatke kandidata za zapošljavanje, ali je dovoljno otkrivanje osobnih podataka (identiteta potencijalnih kandidata) na sjednici školskog odbora odnosno dostavom materijala za sjednicu, kako je navedeno u Statutu škole, kao i samo nužni podaci koji su potrebni za donošenje stajališta/suglasnosti o predloženom kandidatu, uz zapisnik povjerenstva.
22. Korištenje WhatsAppa, Vibera i sličnih aplikacija za komunikaciju s roditeljima
Smiju se koristiti te aplikacije u zatvorenoj grupi za komunikaciju s roditeljima učenika unutar istog razrednog odjeljenja za svrhe razmjene informacija i obavješćivanje roditelja o aktivnostima škole, ali se ne može i ne smije roditelje prisiljavati na isto.
Ako netko od roditelja ne želi biti dijelom takve komunikacije i zatraži brisanje svojih podataka i isključenje iz grupe, moramo to poštivati i takav se zahtjev odmah prosljeđuje Službeniku za zaštitu podataka škole.
Unutar takvih grupa strogo je zabranjeno dijeljenje informacija o zdravstvenom stanju pojedinog učenika ili zaposlenika, ocjene, izostanci pojedinog ili njegovo ponašanje obiteljske okolnosti i slični osjetljivi podaci.
U slučaju neprimjerene privatne komunikacije roditelja prema zaposlenicima škole na privatne telefonske brojeve učitelja ili nastavnika, koje su prikupili iz takvih grupa, obavijestiti Službenika za zaštitu podataka.
23. Pronašli smo COVID-19 dokumentaciju, kopije COVID potvrda ili evidencije o cijepljenjima
Bez odlaganja moramo takvu dokumentaciju uništiti na siguran i trajni način. Ako je ista u ispisanom obliku, treba je odmah uništiti uništavačem papira. Ako je dokumentacija na računalima, mora se trajno izbrisati sa svih računala bez odlaganja.
Navedenu dokumentaciju škole nisu smjele prikupljati, izuzev potvrda o troškovima testiranja koje troškove zaposlenicima škola refundirala.
Dodatni izvor uputa: AZOP
Image from Freepik
#gdprcroatia
