Na podlagi 51. člena Zakona o vrtcih (Uradni list RS, št. 12/96, 44/00 in 78/03) minister za šolstvo, znanost in šport izdaja

Ta pravilnik določa podrobnejša navodila o načinu zbiranja osebnih podatkov, ki jih vsebujejo zbirke iz 24. in 43. člena Zakona o vrtcih z namenom, da se preprečijo nezakoniti in neupravičeni posegi v zasebnost posameznika, na katerega se nanašajo osebni podatki. Ta pravilnik določa tudi vzpostavitev in vodenje ter vzdrževanje evidenc, posredovanje osebnih podatkov o otrocih in njihovih starših, določanje delavcev, pooblaščenih za obdelavo osebnih podatkov, uničenje osebnih podatkov in pravice staršev v zvezi z zbirkami osebnih podatkov.

Ta pravilnik se uporablja za posamezne evidence osebnih podatkov, ki jih vrtec vzpostavi in vodi v skladu z zakonom.
Ta pravilnik se uporablja tudi za dokumentacijo otrok s posebnimi potrebami, ki so na podlagi odločbe o usmeritvi vključeni v vrtec.

Za uresničevanje tega pravilnika je odgovoren ravnatelj vrtca, v vrtcih, ki so enote šole, pa ravnatelj šole.
Strokovni delavec vrtca in drugi zaposleni so odgovorni za uresničevanje pravilnika v okviru pooblastil in nalog, ki jih za njihovo delovno mesto določa akt o sistemizaciji delovnih mest in letni delovni načrt.

Vrtec lahko zbira, obdeluje in hrani le tiste osebne podatke, ki jih v skladu z zakonom vsebujejo:
1. evidenca vpisanih in vključenih otrok;
2. evidenca plačil staršev;
3. evidenca otrok, ki potrebujejo svetovanje oziroma pomoč;
4. evidenca oseb, ki občasno varujejo otroke na domu;
5. evidenca socialnega položaja družin v vrtec vključenih otrok.

Evidenco vpisanih in vključenih otrok vrtec vzpostavi in vodi za vsako šolsko leto. Evidenca je lahko vodena po abecednem vrstnem redu priimkov vseh otrok, ki so vpisani in vključeni v vrtec, ali po abecednem redu priimkov otrok po posameznih oddelkih.
Vrtec zbira osebne podatke za vzpostavitev evidence iz vpisnega lista, ki ga ob vpisu otroka v vrtec izpolnijo starši, ter od izjav staršev.
Pooblaščeni delavec osebne podatke iz vpisnega lista oziroma vpisne liste posreduje vzgojitelju, ki te podatke vpiše v dnevnik z imenikom otrok.
Pooblaščeni delavec ob začetku šolskega leta posebej opozori vzgojitelja in pomočnika vzgojitelja na podatke o zdravstvenih posebnostih otroka, katerih poznavanje je nujno za otrokovo varnost in delo z otrokom.
Z izpisom otroka iz vrtca se zanj preneha voditi evidenca, podatki v evidenci pa se izbrišejo eno leto po izpisu otroka.

Evidenco plačil staršev vrtec za vsako šolsko leto vzpostavi in vodi na način, ki ga določi ravnatelj z notranjim aktom.
Evidenca se vzpostavi na podlagi odločb o določitvi plačila, ki jih izda in posreduje vrtcu občina, pristojna za določitev plačila staršev, ter podatkov o izpolnjevanju mesečne obveznosti plačila za vrtec, ki izhaja iz izstavljenih računov.
Za vodenje, obdelavo, uporabo in posredovanje podatkov iz evidence se uporabljajo predpisi, ki urejajo finančno računovodstvo pravnih oseb in poslovanje proračunskih porabnikov. Podatki iz evidence se izbrišejo pet let po izpisu otroka iz vrtca, razen v primeru, ko vrtec zoper starše pred pristojnim sodiščem vodi sodne oziroma izvršilne postopke za uveljavitev zahtevkov zaradi neizpolnjenih obveznosti staršev iz naslova plačil staršev za vrtec. V tem primeru se podatki izbrišejo eno leto po poplačilu zapadlih obveznosti.

Evidenco otrok, ki potrebujejo svetovanje oziroma pomoč, vodi svetovalna služba vrtca. Svetovalna služba začne voditi evidenco otrok, ki potrebujejo svetovanje oziroma pomoč, ko prične voditi postopek nudenja strokovne pomoči otroku.
Svetovalna služba lahko začne s postopkom svetovanja oziroma pomoči na podlagi predhodno pridobljenega pisnega soglasja staršev razen, če je otrok v družini ogrožen in ga je potrebno zavarovati. Soglasje mora vsebovati:
– konkretno opredeljen namen zbiranja osebnih podatkov v okviru svetovanja oziroma pomoči;
– osebne podatke, ki se bodo glede na namen zbirali po strokovni presoji svetovalne službe v okviru družinske in socialne anamneze, razvojne anamneze, diagnostičnih postopkov, postopkov strokovne pomoči in strokovnih mnenj drugih institucij z zagotovilom, da se bodo zbrani podatki uporabili samo za namen nudenja strokovnega svetovanja oziroma pomoči in posredovali drugim uporabnikom v skladu z zakonom;
– seznanitev z možnostjo preklica soglasja;
– čas shranjevanja osebnih podatkov;
– podpis staršev.
Starši lahko soglasje kadarkoli pisno prekličejo. Če med postopkom svetovanja oziroma nudenja pomoči pride do spremenjenih okoliščin, ki vplivajo na vsebino soglasja, se na predlog svetovalne službe soglasje dopolni.
Če začne svetovalna služba voditi postopek svetovanja oziroma nudenja pomoči brez soglasja staršev oziroma nadaljuje s postopkom tudi po preklicu soglasja, mora v evidenci dokumentirati svojo oceno in dokazila o dejanski ogroženosti otroka v družini.
Evidenca se vodi kot osebna mapa, ki jo kot vrsto dokumentacije določa poseben pravilnik o dokumentaciji v vrtcu.
Osebni podatki iz prvega odstavka tega člena se zbirajo do izpolnitve namena postopka svetovanja oziroma pomoči, osebna mapa pa se hrani eno leto po odhodu otroka iz vrtca.

Svetovalna služba vodi v evidenci iz prejšnjega člena tudi podatke in dokumentacijo o otrocih s posebnimi potrebami, ki so vključeni v vrtec na podlagi odločbe o usmeritvi.
Strokovna skupina, ki je v skladu z Zakonom o usmerjanju otrok s posebnimi potrebami zadolžena za pripravo individualiziranega programa, strokovno mnenje, na podlagi katerega je bila izdana odločba o usmeritvi, lahko pridobi od staršev.

Svetovalni delavec sme s strokovno interpretiranimi podatki, ki jih vsebuje osebna mapa, seznaniti vzgojitelja in pomočnika vzgojitelja, ki opravljata vzgojno delo z otrokom in vse osebe, ki sodelujejo v projektu pomoči oziroma sodelujejo pri izvajanju individualiziranega programa za otroke s posebnimi potrebami, če je to potrebno za dosego namena postopka oziroma nudenja strokovne pomoči oziroma če je to v skladu z izvajanjem individualiziranega programa.
Na enak način lahko svetovalni delavec s podatki seznani tudi ravnatelja, kadar je to potrebno za izvajanje njegove funkcije oziroma opravljanje njegovih nalog.

Vrtec, ki organizira storitve občasnega varovanja otrok na domu, vodi tudi evidenco oseb, ki občasno varujejo otroke na domu.
Evidenco vrtec vzpostavi in vodi po abecednem vrstnem redu priimkov oseb, ki so z vrtcem sklenile pogodbo o opravljanju občasnega varovanja otrok na domu.
Pooblaščeni delavec s podatki iz te evidence seznani naročnika, ki potrebuje varovanje otrok na domu, na način, kot to določa pravilnik, ki ureja varovanje otrok na domu.
S prenehanjem veljavnosti pogodbe o opravljanju občasnega varovanja otrok na domu, ki jo ima sklenjeno posamezna oseba, se zanjo prenehajo voditi podatki v tej evidenci.

Vrtec, ki ga občina pooblasti za vodenje postopka določitve plačila staršev za programe v vrtcih, vodi evidenco socialnega položaja družin v vrtec vključenih otrok.
Evidenca se vzpostavi in vodi za vsako obdobje določitve plačila za tiste starše, ki so uveljavljali znižano plačilo, na način, kot ga določa ta pravilnik in notranji akt vrtca.

Vrtec lahko vodi evidenco v papirni obliki ali s sredstvi za avtomatsko obdelavo podatkov.
Če vrtec vodi evidenco s sredstvi za avtomatsko obdelavo podatkov v enotni podatkovni bazi, si mora z ustrezno programsko opremo zagotoviti dejansko ločitev uporabe in varovanje podatkov glede na njihovo naravo in pravico do razpolaganja z njimi.
Vrtec mora evidence, ki jih vodi s sredstvi za avtomatsko obdelavo podatkov, hraniti in vzdrževati tudi v obliki natisnjenega računalniškega izpisa evidence in kot rezervno kopijo v elektronski obliki.

Vrtec sproti vpisuje spremembe in popravke osebnih podatkov. Novi podatki, ki nadomestijo prejšnje, se vpišejo tako, da je možno preveriti prej vpisane podatke. Ob vpisu spremembe ali popravka osebnega podatka se v evidenco vpiše datum vnosa spremembe ali popravka.

Osebne podatke iz zbirk podatkov sme vrtec posredovati drugim uporabnikom, (npr. centrom za socialno delo, osnovnim šolam, sodiščem, zdravstvenim zavodom) le takrat in za namen, za katerega so bili zbrani. Uporabnik, ki želi pridobiti osebne podatke, je dolžan navesti pravno podlago za pridobitev podatka, ki ga želi, in namen, za katerega bo podatek potreboval.
Vrtec mora preveriti ustreznost pravne podlage za posredovanje osebnih podatkov in zavrniti vsak zahtevek ali prošnjo, kjer pravna podlaga ni izkazana.
Če nameravajo uporabniki uporabljati osebne podatke za statistične, znanstveno-raziskovalne, izobraževalne ali druge podobne namene, se lahko osebni podatki posredujejo le na način in v obliki, ki ne omogočata identifikacije posameznika, na katerega se podatki nanašajo.
Vrtec mora vsako posredovanje osebnih podatkov zunanjemu uporabniku v zbirki označiti, in sicer tako, da se navede, kateri osebni podatki so bili posredovani, komu in na kakšni podlagi ter kdaj in za kakšne namene so bili posredovani.

Vrtec posreduje osebne podatke drugim uporabnikom z informacijskimi, telekomunikacijskimi in drugimi sredstvi, ki zagotavljajo varnost in zaupnost podatkov.
Osebni podatki iz računalniško vodenih zbirk se posredujejo drugim uporabnikom na magnetnih medijih (na nosilcu zapisa z avtomatsko obdelavo podatkov: disketa, CD in drugo), v papirnem izpisu (s priporočeno poštno pošiljko in oznako "zaupno" oziroma po kurirju v zaprti kuverti z oznako “zaupno”), z elektronsko pošto ali neposredno z računalniško povezavo.
Prenos podatkov po elektronski pošti je treba zavarovati z geslom za identifikacijo.
Osebni podatki iz zbirk podatkov, ki jih vrtec vodi v papirnati obliki, se posredujejo s kopijo oziroma prepisom osebnih podatkov iz zbirk podatkov in se uporabnikom pošiljajo fizično s priporočeno poštno pošiljko in oznako "zaupno" ali po kurirju v zaprti kuverti z oznako "zaupno". Na opisan način se lahko posredujejo tudi računalniški izpisi iz zbirk podatkov.

Če vrtec izvaja dejavnosti, ki presegajo programe za predšolske otroke in za njihovo izvajanje potrebuje tudi druge osebne podatke o otrocih in njihovih starših, ki jih zakon ne določa, jih lahko za dosego teh namenov zbira na podlagi pisne privolitve staršev. Iz pisne privolitve mora izhajati namen obdelave podatkov in še posebej namen njihove uporabe ter čas shranjevanja podatkov. S temi podatki vrtec ravna v skladu z zakonom, ki ureja varstvo osebnih podatkov, in tem pravilnikom.
Za osebne podatke, za katere se starši otrok strinjajo, da so javno dostopni, ker po naravi, vsebini ali namenu ne posegajo v zasebnost posameznika (npr. razstave izdelkov otrok, skupinski posnetki otrok na fotografijah, videoposnetki, zvočni ali filmski posnetki javnih nastopov otrok na prireditvah ipd.), vrtec pridobi pisno soglasje staršev za celo šolsko leto. Iz soglasja mora biti razvidno, za kakšne fotografije, snemanja in intervjuje gre, na kakšen način oziroma za kakšne namene se bodo le-ti uporabljali in koliko časa se bodo shranjevali.

Ne glede na dolžnost varovanja poklicne skrivnosti so pooblaščeni delavci, ki pri svojem delu ugotovijo ogroženost otroka, dolžni v skladu z 91. členom Zakona o socialnem varstvu (Uradni list RS, št. 54/92, 56/92 – popravek, 13/93, 42/98 – odločba US, 41/99 in 26/01) o tem obvestiti center za socialno delo na svojem območju. Predpostavlja se, da je otrok ogrožen, kadar je dejansko utrpel ali je zelo verjetno, da bo utrpel očitno škodo na zdravju ali razvoju.
Osebe iz prejšnjega odstavka so dolžne organe kazenskega pregona (policija oziroma državno tožilstvo) obveščati, ko zvedo za primere telesnega in duševnega nasilja, poškodb ali zlorab, zanemarjanja ali malomarnega ravnanja, trpinčenja, izkoriščanja ali spolnih zlorab.

Zavarovanje osebnih podatkov obsega ukrepe in postopke, ki jih vrtec opredeli glede na svoje potrebe, tehnično opremljenost ter organizacijske in druge posebnosti zato, da se zagotavlja varnost in zaupnost osebnih podatkov, vsebovanih v evidencah in dokumentaciji.
Ukrepi in postopki zavarovanja morajo zagotavljati:
1. varovanje prostorov, sistemsko programske ter druge opreme;
2. varovanje aplikativne-programske opreme, s katero se obdelujejo osebni podatki;
3. preprečevanje nepooblaščenega dostopa do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih omrežjih;
4. omogočanje poznejšega ugotavljanja, kdaj so bili posamezni osebni podatki uporabljeni ali vneseni v zbirke osebnih podatkov oziroma v predpisano dokumentacijo ali posredovani zunanjim uporabnikom in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov.

Postopke in ukrepe za zavarovanje osebnih podatkov v skladu z zakonom o varstvu osebnih podatkov opredeli vrtec s svojim notranjim aktom.
Varovanje prostora, sistemsko programske in druge opreme se zagotavlja z določitvijo pooblaščenih delavcev, ki imajo dostop do zavarovanih prostorov, v katerih so shranjene zbirke podatkov in dokumentacija. Z notranjim aktom se določi, da je dostop dovoljen le v okviru delovnega časa, izven delovnega časa pa samo s posebnim dovoljenjem ravnatelja. Opredeli se tudi režim ravnanja s ključi zavarovanih prostorov, ki so namenjeni hrambi zbirk in dokumentacije z osebnimi podatki.
Varovanje aplikativne programske opreme, s katero se obdelujejo osebni podatki, se zagotavlja tako, da se opredeli evidentiranje dela na zbirkah osebnih podatkov, zavaruje dostop do programske opreme in podatkov z gesli za avtorizacijo in identifikacijo uporabnikov programov in opreme in z obveznostjo izdelave kopij programov in zbirk podatkov za potrebe restavriranja sistema ob okvarah in drugih izjemnih situacijah.
Za zagotovitev varnosti posredovanja in prenosa osebnih podatkov je treba določiti, kako se prenašajo nosilci osebnih podatkov (dokumentacija, diskete …) znotraj vrtca. V primeru posredovanja osebnih podatkov zunanjemu uporabniku je treba o dejstvih iz 4. točke prejšnjega člena voditi posebno evidenco.

Osebne podatke o otrocih lahko v vrtcu zbirajo, uporabljajo, shranjujejo in posredujejo samo tisti delavci, ki jih za to pooblasti ravnatelj (v nadaljnjem besedilu: pooblaščeni delavci).
Ravnatelj pri določitvi pooblaščenih delavcev upošteva namen zbiranja osebnih podatkov, ki ga določa zakon, vsebino podatkov in naravo dela, ki ga delavci opravljajo.
Za zbiranje in vodenje podatkov iz evidence otrok, ki potrebujejo svetovanje oziroma pomoč, ravnatelj pooblasti svetovalnega delavca. Izjemoma lahko ravnatelj v primeru, ko vrtec nima svetovalnega delavca, za vodenje in zbiranje podatkov, ki jih vsebuje osebna mapa otroka s posebnimi potrebami, pooblasti drugega strokovnega delavca vrtca.
Pooblaščeni delavci morajo biti seznanjeni z Zakonom o varstvu osebnih podatkov in Zakonom o vrtcih, ki določa zbirke osebnih podatkov, ter z določili tega pravilnika.

Pooblaščeni delavci so dolžni:
– poskrbeti, da se pri zbiranju, obdelovanju, shranjevanju, posredovanju in uporabi osebnih podatkov z osebnimi podatki ne more seznaniti nepooblaščena oseba;
– po končani izdelavi dokumentov z osebnimi podatki uničiti pomožno gradivo (izračune, poskusne oziroma neuspešne izpise ipd.), ki so ga uporabili oziroma je nastalo pri izdelavi dokumenta;
– v primeru nepravilne ali nepooblaščene uporabe ali poškodovanja osebnih podatkov iz zbirk podatkov oziroma o poskusu takšnega ravnanja takoj obvestiti ravnatelja, sami pa tako ravnanje preprečiti;
– zaklepati pisalne mize, omare, blagajne in pisarne, v katerih hranijo osebne podatke, kadar zapuščajo delovne prostore med delovnim časom oziroma kadar odidejo domov;
– izklopiti in fizično ali programsko zakleniti računalnik in drugo strojno opremo.
Delavci vrtca, ki so se pri opravljanju svojega dela in dolžnosti seznanili z osebnimi podatki ali zanje zvedeli, jih morajo varovati kot zaupne.
Dolžnost varovanja osebnih podatkov ne preneha s prenehanjem delovnega razmerja v vrtcu.

Vrtec uniči osebne podatke, vsebovane v zbirkah podatkov, po preteku roka, ki ga določajo predpisi, oziroma po izpolnitvi namena, zaradi katerega so bili osebni podatki zbrani. Za brisanje podatkov iz računalniško vodenih zbirk se uporabi metoda brisanja podatkov, ki onemogoča delno ali celotno restavracijo brisanih podatkov.
Osebni podatki iz zbirk podatkov, ki se vodijo v papirni obliki (listine, kartoteke itd.), se uničijo na način, ki onemogoča branje uničenih podatkov. Fizično uničenje se izvede komisijsko, o čemer se sestavi zapisnik o načinu uničenja, času, kraju, predmetu uničenja ter navzočih članih komisije, ki je to izvedla. Vrtec na enak način uniči tudi vso dokumentacijo, ki ji je potekel rok hrambe.

Vrtec mora staršem na njihovo zahtevo v skladu z zakonom:
– zagotoviti vpogled v njihove osebne podatke v posamezni evidenci in v strokovno interpretirane osebne podatke, kadar gre za podatke iz evidence otrok, ki potrebujejo svetovanje oziroma pomoč;
– omogočiti prepis ali izpis njihovih osebnih podatkov in strokovno interpretiranih osebnih podatkov, kadar gre za podatke iz evidence otrok, ki potrebujejo svetovanje oziroma pomoč;
– nuditi informacijo, komu so bili podatki posredovani;
– omogočiti pravico do kopije osebnih podatkov, ki se nanašajo nanje ali na njihove otroke, in do kopije strokovno interpretiranih osebnih podatkov, kadar gre za podatke iz evidence otrok, ki potrebujejo svetovanje oziroma pomoč;
– omogočiti dopolnitev, popravo in izbris osebnih podatkov v primerih, ko so bili zbrani v nasprotju z določbami zakona;
– omogočiti preklic pisnega soglasja za zbiranje osebnih podatkov v postopku svetovanja oziroma nudenja pomoči.
Vrtec mora staršem omogočiti vpogled in prepis osebnih podatkov najkasneje v 15 dneh od dneva, ko je prejel zahtevo, ali pa jih v istem roku pisno obvestiti o razlogih, zaradi katerih vpogleda in prepisa ne bo omogočil.
Izpis osebnih podatkov iz evidenc oziroma dokumentacije mora vrtec staršem posredovati v 30 dneh od dneva, ko je prejel zahtevo, ali pa jih v istem roku pisno obvestiti o razlogih, zaradi katerih jim izpisa ne bo posredoval.
Ravnatelj določi način uresničevanja pravic staršev tako, da s tem ni ovirano vzgojno delo v vrtcu ter v roku, ki ga za uveljavljanje pravic določa zakon.

Nadzor nad izvajanjem določb tega pravilnika opravlja Inšpektorat za varstvo osebnih podatkov, nadzor nad izvajanjem določb tega pravilnika, ki urejajo varstvo osebnih podatkov v dokumentaciji vrtca, pa opravlja tudi Inšpektorat Republike Slovenije za šolstvo in šport.

Ravnatelj izda notranji akt iz 19. člena tega pravilnika v šestih mesecih po uveljavitvi tega pravilnika.

Ta pravilnik začne veljati petnajsti dan po objavi v Uradnem listu Republike Slovenije.