Pravilnik o zbiranju in varstvu osebnih podatkov v glasbenih šolah

Ta pravilnik določa podrobnejša navodila o načinu zbiranja osebnih podatkov, ki jih vsebujeta zbirki iz 42. člena zakona o glasbenih šolah, z namenom, da se preprečijo nezakoniti in neupravičeni posegi v zasebnost posameznika, na katerega se nanašajo osebni podatki. Ta pravilnik določa tudi oblikovanje in vodenje ter vzdrževanje zbirk osebnih podatkov, posredovanje osebnih podatkov o učencih in njihovih starših, določanje delavcev, pooblaščenih za obdelavo osebnih podatkov, postopek po prenehanju shranjevanja osebnih podatkov ter pravice staršev mladoletnih učencev in polnoletnih učencev v zvezi z zbirkami osebnih podatkov.

Ta pravilnik se uporablja za zbirki osebnih podatkov, ki jih v skladu z 42. členom zakona o glasbenih šolah vodi glasbena šola. Osebni podatki se vodijo v dokumentaciji, ki je določena s predpisi, ki urejajo šolsko dokumentacijo za glasbene šole. Ta pravilnik se uporablja tudi za osebne podatke, ki se v glasbenih šolah vodijo v dokumentaciji, ki se nanaša na izvajanje izobraževalnih programov glasba in ples, in je urejena v drugih predpisih s področja vzgoje in izobraževanja (izrekanje pohval in vzgojnih ukrepov, opravičevanje odsotnosti učencev, vzporedno izobraževanje, uvedba dodatnega pouka, hitrejše napredovanje učencev, glasbena in plesna tekmovanja).

Za uresničevanje tega pravilnika je odgovoren ravnatelj šole. Strokovni delavci šole in drugi zaposleni so odgovorni za uresničevanje pravilnika v okviru pooblastil in nalog, ki jih za njihovo delovno mesto določa akt o sistemizaciji delovnih mest in letni delovni načrt.

Šola s posebnim notranjim aktom določi pooblaščene delavce za ravnanje z osebnimi podatki, prostore, v katerih se hrani dokumentacija z osebnimi podatki, naprave, postopke in ukrepe za zavarovanje osebnih podatkov ter način varovanja osebnih podatkov v skladu s predpisi o varstvu osebnih podatkov. Z notranjim aktom šole se podrobneje določi tudi način uresničevanja pravic staršev in polnoletnih učencev v zvezi z zbirkami osebnih podatkov.

Šola zbira osebne podatke o učencih in njihovih starših na podlagi 42. člena zakona o glasbenih šolah. Šola osebne podatke iz prejšnjega odstavka zbira neposredno od staršev, skrbnikov oziroma drugih oseb, pri katerih je otrok v oskrbi (v nadaljevanju: starši), če gre za mladoletne učence. Za polnoletne učence šola zbira osebne podatke neposredno od njih. Od drugih oseb in upravljalcev zbirk podatkov zbira šola osebne podatke, če tako določa zakon. Osebni podatki o učencih in njihovih starših, če gre za mladoletne učence, se smejo zbirati, uporabljati, shranjevati in posredovati samo za namene, določene v zakonu oziroma za namene, razvidne iz privolitve posameznika, in ne smejo biti uporabljeni na način, ki ni združljiv s temi nameni.

Šola na podlagi pisnega soglasja staršev lahko zbira tudi osebne podatke, ki niso vsebovani v zakonu o glasbenih šolah, so pa potrebni za uveljavljanje oziroma priznavanje posameznih pravic učenca (znižanje ali oprostitev plačila mesečnega prispevka za kritje materialnih stroškov, pridobitev različnih statusov oziroma pravic, olajšav ter prilagoditev v skladu z drugimi predpisi.). Podatki iz dokumentacije, ki jo v ta namen predložijo starši, so zaupne narave. S temi podatki so lahko seznanjeni ravnatelj, učitelji in organi, pristojni za odločanje o posameznih pravicah. Za osebne podatke, za katere se starši učencev s pisno privolitvijo strinjajo, da so javno dostopni, ker po naravi vsebine ali namenu ne posegajo v zasebnost učencev (npr. avdio ali video posnetki javnih šolskih nastopov in glasbenih oziroma plesnih tekmovanj, skupinski posnetki učencev na fotografijah ipd.), šola pridobi pisno soglasje staršev za celo šolsko leto. Iz soglasja mora biti razvidno, za kakšna snemanja in fotografije gre, na kakšen način oziroma za katere namene se bodo le-ti uporabljali in koliko časa se bodo shranjevali.

Zbirka podatkov o učencih, vpisanih v izobraževalne programe glasbene šole, se oblikuje in vzpostavi z vpisom otroka v glasbeno šolo. Podlaga za vpis v glasbeno šolo je prijavnica za vpis v glasbeno šolo, ki vsebuje naslednje osebne podatke: osebno ime, spol, datum, kraj in državo rojstva, prebivališče in državljanstvo, izobraževalni program in predmet izobraževanja. Sestavni del prijavnice je zapisnik komisije o sprejemnem preizkusu učenca ter mnenje komisije o preizkusu in sprejemu učenca za vpis v prvi razred izobraževalnih programov glasba ali ples oziroma o ugotavljanju otrokove pripravljenosti za vpis v izobraževalne programe predšolska glasbena vzgoja, glasbena pripravnica ali plesna pripravnica. Ta dokumentacija se hrani v skladu z določili pravilnika o šolski dokumentaciji v glasbenih šolah. Prijavnico za vpis izpolnijo starši oziroma polnoletni učenci.

Ko otrok z vpisom v glasbeno šolo pridobi status učenca, šola z vpisnim listom pridobi naslednje podatke o učencu: osebno ime, EMŠO, spol, datum, kraj in državo rojstva, prebivališče in državljanstvo, ime in naslov druge šole, ki jo bo učenec obiskoval, razred oziroma letnik šole ter podatke o organizaciji pouka v tej šoli. V vpisni list so ob vpisu v šolo vpisani še podatki o starših: osebno ime, naslov prebivališča, telefonska številka, na katero je mogoče posredovati nujna sporočila v času, ko je učenec v šoli, e-naslov in davčna številka. Vse navedene podatke učitelji oziroma pooblaščeni delavci vpišejo v drugo predpisano dokumentacijo. S soglasjem staršev lahko šola pridobi še zdravstvene posebnosti, katerih poznavanje je nujno za delo z učencem. Ta dokumentacija se hrani v skladu z določili pravilnika o šolski dokumentaciji v glasbenih šolah. Vpisni list izpolnijo starši oziroma polnoletni učenci.

Osebne podatke o napredovanju učencev, izdanih spričevalih in drugih listinah glasbena šola zbira v skladu s tretjo alinejo prvega odstavka 42. člena zakona o glasbenih šolah. Ti podatki so: podatki o učencih in njihovih starših, če gre za mladoletne učence in podatki o napredovanju učenca, izdanih spričevalih in drugih listinah. Vsi podatki o napredovanju, izdanih spričevalih in drugih listinah se vpisujejo v predpisano dokumentacijo, ki jo ureja pravilnik o šolski dokumentaciji v glasbenih šolah. Podatke glede na vsebino vpisujejo pooblaščeni delavci šole. O izdanih spričevalih in drugih javnih listinah šola oblikuje ustrezno evidenco. Evidenca se lahko vodi tudi v elektronski obliki.

Šola mora pridobiti predhodno soglasje staršev v primeru hitrejšega napredovanja učenca, uvedbe dodatnega pouka in prijave učenca na glasbeno oziroma plesno tekmovanje. Starši lahko soglasje iz prejšnjega odstavka kadarkoli pisno prekličejo.

Dokumentacija z zbirkami osebnih podatkov v papirni obliki se hrani tako, da je razvrščena pregledno in po posameznih vsebinskih sklopih. Shranjena mora biti tako, da do nje nimajo dostopa nepooblaščene osebe. Dokumentacija z zbirkami osebnih podatkov se v šoli hrani v zbornici, tajništvu, kabinetih ali drugem prostoru. Način in mesto hrambe se podrobneje določi v notranjem aktu šole. Dokumentacija z zbirkami osebnih podatkov se ne sme odnašati iz šolskih prostorov. Za nadzor je odgovoren ravnatelj. Dokumentacija v elektronski obliki se hrani s pomočjo informacijsko telekomunikacijske opreme, ki zagotavlja, da so podatki dosegljivi in primerni za kasnejšo uporabo, in shranjeni v obliki, v kateri so bili oblikovani, poslani ali prejeti, ali v kakšni drugi obliki, ki verodostojno predstavlja oblikovane, poslane ali prejete podatke.

Prijavnice za vpis v glasbeno šolo s prilogami in vpisni listi s podatki o učencih, vpisanih v glasbeno šolo in njihovih starših, če gre za mladoletne učence, se hranijo v za to določenem prostoru šole, kjer se hrani šolska dokumentacija. Omara, kjer so shranjeni vpisni listi, mora biti zaklenjena, ključe pa imajo le pooblaščeni delavci, ki jih določi ravnatelj. Prijavnice za vpis s prilogami in vpisni listi o učencih se hranijo eno leto po zaključku šolanja učencev.

Podatke o napredovanju učenca vpisuje učitelj v matični list, matično knjigo in drugo predpisano dokumentacijo. Za varnost prenosa dnevnika v glasbeni šoli so odgovorni učitelji. Podrobnejši način ravnanja z dnevnikom določi ravnatelj v notranjem aktu šole. Matični listi in matične knjige so shranjeni v prostorih, določenih v notranjem aktu šole. Mesto, kjer se nahaja dokumentacija z osebnimi podatki, mora biti vedno zaklenjeno. Ključ od zavarovanih omar imajo samo pooblaščeni delavci, ki jih z notranjim aktom določi ravnatelj. Dokumentacija se hrani v zaklenjenih omarah tako, da so dokumenti zavarovani pred zunanjim uničenjem. V notranjem aktu se določi tudi prostor, kjer se hranijo zapisniki o izpitih.

V arhivu šole se vodi in hrani tudi druga dokumentacija, ki jo določa pravilnik, ki ureja dokumentacijo v glasbenih šolah. Navedeni pravilnik določa tudi roke za shranjevanje dokumentacije. V prostoru, ki ga določi ravnatelj z notranjim aktom šole, šola hrani tudi dokumentacijo, ki se nanaša na:

-        pridobivanje soglasij staršev iz prvega odstavka 10. člena tega pravilnika,

-        izrekanje pohval, nagrad in vzgojnih ukrepov v skladu s pravilnikom o šolskem redu za glasbene šole,

-        uveljavljanje pravic učenca v skladu s pravilnikom o prilagajanju šolskih obveznosti,

-        zdravstveno dokumentacijo, na podlagi katere se opravičuje odsotnost učencev. Dokumentacija iz prejšnjega odstavka se hrani v rokih, kot jih določajo predpisi, ki urejajo vodenje in hranjenje dokumentacije; če roki za hranjenje dokumentacije s predpisi niso posebej določeni, se dokumentacija hrani do zaključka šolskega leta. Po preteku navedenih rokov se uniči na način, kot ga določajo predpisi o šolski dokumentaciji in ta pravilnik. Če se učenec prešola na drugo glasbeno šolo, pošlje šola matični list šoli, na katero se učenec prešola, na njeno pisno zahtevo. Ostala dokumentacija ostane na prejšnji šoli.

Osebne podatke o vpisanih oziroma vključenih učencih sme šola posredovati drugim uporabnikom le takrat in za namen, ki ga določa zakon. Uporabnik, ki želi pridobiti osebne podatke, je dolžan navesti pravno podlago za pridobitev osebnih podatkov. Pridobljene podatke sme uporabiti samo za namen, za katerega jim je podatek posredovan. Če nameravajo uporabniki uporabljati osebne podatke za statistične, znanstveno-raziskovalne, izobraževalne ali druge podobne namene, se lahko osebni podatki posredujejo le na način in v obliki, ki ne omogočata identifikacije posameznika, na katerega se podatki nanašajo. Šola mora vsako posredovanje osebnih podatkov iz zbirk podatkov označiti, in sicer tako, da se navede, kateri osebni podatki so bili posredovani, komu in na kakšni podlagi ter, kdaj in za kakšne namene so bili posredovani.

Šola posreduje osebne podatke drugim uporabnikom z informacijskimi, telekomunikacijskimi in drugimi sredstvi, ki zagotavljajo varnost in zaupnost posredovanja podatkov. Osebni podatki iz računalniško vodenih zbirk se posredujejo drugim uporabnikom na magnetnih medijih (na nosilcu zapisa z avtomatsko obdelavo podatkov – disketa, CD in drugo), v papirnem izpisu (s priporočeno poštno pošiljko in oznako »zaupno« oziroma po kurirju v zaprti kuverti z oznako »zaupno«), z elektronsko pošto ali z neposredno računalniško povezavo. Prenos osebnih podatkov preko elektronske pošte je treba zavarovati z geslom za identifikacijo. Osebni podatki iz zbirk podatkov, ki jih šola vodi v papirni obliki, se posredujejo s kopijo oziroma prepisom osebnih podatkov iz zbirk podatkov in se uporabnikom pošiljajo fizično s priporočeno poštno pošiljko in oznako »zaupno« ali po kurirju v zaprti kuverti z oznako »zaupno«. Na opisan način se lahko posredujejo tudi računalniški izpisi iz zbirk podatkov.

Z ukrepi in postopki zavarovanja osebnih podatkov se v šolah zagotavljata varnost in zaupnost podatkov, ki jih vsebujejo zbirke podatkov oziroma dokumentacija z osebnimi podatki. Postopki iz prejšnjega odstavka se zagotavljajo za celotno obdobje, ko šola vodi predpisane zbirke osebnih podatkov, evidence oziroma dokumentacijo.

Zavarovanje osebnih podatkov obsega organizacijske in ustrezne logično-tehnične postopke, s katerimi se varujejo osebni podatki, vsebovani v predpisani dokumentaciji in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba kakor tudi nepooblaščena obdelava podatkov. Šola je dolžna zagotoviti, da se:

-        varujejo prostori, oprema in sistemsko programska oprema,

-        varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki,

-        preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih omrežjih,

-        omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki uporabljeni ali vnešeni v zbirke osebnih podatkov oziroma v predpisano dokumentacijo in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov. V primeru obdelave osebnih podatkov, ki so dostopni preko telekomunikacijskega omrežja, morajo strojna, sistemska in aplikativno-programska oprema zagotavljati, da je obdelava osebnih podatkov v mejah pooblastil uporabnika osebnih podatkov.

Uporaba in dostop do osebnih podatkov iz zbirk podatkov, ki se vodijo v papirni obliki, morata biti varovana z organizacijskimi, fizičnimi in tehničnimi ukrepi, ki nepooblaščenim preprečujejo dostop do osebnih podatkov ter onemogočajo seznanjanje z njihovo vsebino. Uporaba programske opreme in dostop do osebnih podatkov iz zbirk podatkov, ki so vodene računalniško, morata biti varovana z gesli za avtorizacijo in identifikacijo uporabnikov programov in opreme, ki nepooblaščenim preprečujejo dostop do osebnih podatkov ter neupravičeno seznanjanje z njihovo vsebino. Dokumentacija, ki vsebuje osebne podatke, mora biti shranjena na način, ki nepooblaščenim onemogoča dostop do podatkov in neupravičeno seznanjanje z njihovo vsebino. Računalniški izpisi iz zbirk podatkov morajo biti shranjeni na način, ki nepooblaščenim onemogoča dostop do podatkov in preprečuje njihovo uničenje. Varovanje aplikativne programske opreme, s katero se obdelujejo osebni podatki, se zagotavlja tako, da se v notranjem aktu opredeli evidentiranje dela na zbirkah osebnih podatkov, zavaruje dostop do programske opreme in podatkov z gesli za avtorizacijo in identifikacijo uporabnikov programov in opreme in z obveznostjo izdelave kopij programov in zbirk podatkov za potrebe restavriranja sistema ob okvarah in izjemnih situacijah. Za zagotovitev varnosti posredovanja in prenosa osebnih podatkov je treba določiti, kako se prenašajo nosilci osebnih podatkov (dokumentacija, diskete) znotraj šole. V primeru posredovanja osebnih podatkov zunanjemu uporabniku je treba voditi posebno evidenco.

Varovanje prostora, opreme in sistemsko programske opreme se zagotavlja z določitvijo pooblaščenih delavcev, ki imajo pravico dostopa do zavarovanih prostorov, v katerih so shranjene zbirke podatkov in dokumentacija. Z notranjim aktom se določi čas, ko je zagotovljena oziroma omejena pravica do dostopa. V notranjem aktu se opredeli tudi režim ravnanja s ključi zavarovanih prostorov, ki so namenjeni hrambi zbirk in dokumentacije z osebnimi podatki.

Osebne podatke o učencih lahko v šoli zbirajo, uporabljajo, shranjujejo in posredujejo samo tisti delavci, ki jih za to pooblasti ravnatelj (v nadaljnjem besedilu: pooblaščeni delavci). Ravnatelj pri določitvi pooblaščenih delavcev upošteva namen zbiranja osebnih podatkov, ki ga določa zakon, ali je razviden iz pisne privolitve posameznika, vsebino podatkov in naravo dela, ki ga delavci opravljajo. Pooblaščeni delavci morajo biti seznanjeni z zakonom o varstvu osebnih podatkov in posameznimi zakoni s področja vzgoje in izobraževanja, ki določajo zbirke osebnih podatkov, ter z določili tega pravilnika.

Pooblaščeni delavci so dolžni:

-        poskrbeti, da se pri zbiranju, obdelovanju, shranjevanju, posredovanju in uporabi osebnih podatkov z osebnimi podatki ne more seznaniti nepooblaščena oseba,

-        po končani izdelavi dokumentov z osebnimi podatki uničiti pomožno gradivo (izračune, poskusne oziroma neuspešne izpise ipd.), ki so ga uporabili oziroma je nastalo pri izdelavi dokumenta,

-        v primeru nepravilne, zlonamerne ali nepooblaščene uporabe, spreminjanja ali poškodovanja osebnih podatkov iz zbirk podatkov oziroma o poskusu takšnega ravnanja takoj obvestiti ravnatelja, sami pa tako ravnanje preprečiti,

-        zaklepati pisalne mize, omare, blagajne in pisarne, v katerih hranijo osebne podatke, kadar zapuščajo delovne prostore med delovnim časom oziroma kadar oddidejo domov,

-        izklopiti in fizično ali programsko zakleniti računalnik in drugo strojno opremo. Pooblaščeni delavci morajo vsebino osebnih podatkov, s katerimi se seznanijo pri svojem delu, varovati kot poklicno skrivnost. Kršenje varstva osebnih podatkov se šteje za hujšo kršitev delovne obveznosti in dolžnosti. Dolžnost varovanja poklicne skrivnosti traja tudi po prenehanju delovnega razmerja na šoli.

Šola uniči osebne podatke, vsebovane v zbirkah podatkov, po preteku roka, ki ga določajo predpisi, oziroma po izpolnitvi namena, zaradi katerega so bili osebni podatki zbrani. Za brisanje podatkov iz računalniško vodenih zbirk se uporabi metoda brisanja podatkov, ki onemogoča delno ali celotno restavracijo brisanih podatkov. Osebni podatki iz zbirk podatkov, ki se vodijo v papirni obliki (listine, kartoteke itd.), se uničijo na način, ki onemogoča čitanje uničenih podatkov. Fizično uničenje se izvede komisijsko, o čemer se sestavi zapisnik o načinu uničenja, času in kraju ter predmetu uničenja ter navzočih članih komisije, ki je to izvedla. Šola na enak način uniči tudi neveljavno, neuporabno oziroma poškodovano dokumentacijo.

Šola mora staršem mladoletnih učencev v skladu z zakonom:

-        zagotoviti vpogled v osebne podatke o njihovem otroku, vsebovane v šolski dokumentaciji;

-        omogočiti prepis ali izpis osebnih podatkov o njihovem otroku v šolski dokumentaciji,

-        nuditi informacijo, komu so bili podatki posredovani,

-        omogočiti dopolnitev, popravo in izbris osebnih podatkov v primerih, ko so bili izbrani v nasprotju z določbami zakona,

-        omogočiti pravico do kopije osebnih podatkov, ki se nanašajo nanje ali njihove otroke. Šola mora polnoletnemu učencu v skladu z zakonom:

-        omogočiti prepis ali izpis njegovih osebnih podatkov v šolski dokumentaciji,

-        nuditi informacijo, komu so bili podatki posredovani,

-        omogočiti dopolnitev, popravo in izbris osebnih podatkov v primerih, ko so bili zbrani v nasprotju z določbami zakona,

-        omogočiti pravico do kopije osebnih podatkov, ki se nanašajo nanj. Izpis osebnih podatkov iz zbirk osebnih podatkov oziroma iz dokumentacije mora šola staršem mladoletnih učencev oziroma polnoletnemu učencu posredovati v 30 dneh od dneva, ko je prejela zahtevo, ali pa jih v istem roku pisno obvestiti o razlogih, zaradi katerih jim izpisa ne bo posredovala.

Ravnatelj določi način uresničevanja pravic staršev mladoletnih učencev oziroma polnoletnih učencev tako, da s tem ni oviran vzgojno-izobraževalni proces v šoli.

Nadzor nad izvajanjem določb tega pravilnika opravlja Inšpektorat za varstvo osebnih podatkov, nadzor nad izvajanjem določb tega pravilnika v delu, ki se nanaša na varstvo osebnih podatkov v šolski dokumentaciji, pa opravlja tudi Inšpektorat Republike Slovenije za šolstvo in šport.

Notranji akt šole, s katerim se podrobneje uredi varovanje osebnih podatkov, ravnatelj sprejme najkasneje v še stih mesecih po uveljavitvi tega pravilnika.

Ta pravilnik začne veljati petnajsti dan po objavi v Uradnem listu Republike Slovenije.