Područje zaštite osobnih podataka živih fizičkih osoba regulirano je pravnim aktima u Hrvatskoj i Bosni i Hercegovini. Opća uredba o zaštiti podataka („GDPR“, u daljnjem tekstu „GDPR“ i „Opća uredba“) primjenjuje se u zemljama Europske unije od 25. svibnja 2018. U Bosni i Hercegovini od 4. listopada 2025. primjenjuje se Zakon o zaštiti osobnih podataka koji je usklađen s GDPR-om.

Neki sektori i djelatnosti posebno su osjetljivi: zbog vrste podataka koju obrađuju, opsega ili kategorija ispitanika (nositelja podataka). Jedna je od takvih djelatnosti školstvo, prije svega zbog ranjive kategorije ispitanika, a nadalje i opsega.

Predstavljamo zakonsku podlogu, obveze škole kao klasičnog voditelja obrade (kontrolora) i specifičnosti obrade osobnih podataka u sustavu osnovnog i srednjeg obrazovanja.

Podloga u zakonodavstvu o zaštiti osobnih podataka

GDPR u Uvodnoj izjavi pod brojem 38 definira djecu kao posebnu kategoriju ispitanika (BH: nositelja podataka). Navodi se da djeca zaslužuju posebnu zaštitu u pogledu svojih osobnih podataka budući da mogu biti manje svjesna rizika, posljedica i predmetnih zaštitnih mjera te svojih prava u vezi s obradom osobnih podataka.

Navedenim su djeca izdvojena kao posebna kategorija. Termin koji se često koristi i nastao je izvan samog GDPR-a je ranjiva kategorija. Ranjiva kategorija je koncept kojemu je pridonijela Radna skupina iz članka 29. (ustanovljena direktivom 95/46/EC) – sadašnji Europski odbor za zaštitu podataka (EDPB), nacionalna nadzorna tijela te radovi stručnjaka za zaštitu osobnih podataka. Takav koncept ranjive kategorije obuhvaća i druge skupine osim djece, kao što su osobe s mentalnim ili fizičkim poteškoćama, izbjeglice, žrtve trgovanja ljudima, stariji. Koncept uključuje i kontekstualno ranjive kategorije kao što su zaposleni u odnosu na poslodavce.

BH Zakon o zaštiti osobnih podataka ne sadrži Uvodnu izjavu. Međutim poziva se na pravnu stečevinu Europske Unije, čime se može smatrati da preuzima i točke Uvodne izjave. Također, kroz nekoliko članaka Zakona posebno ističe djecu. Primjerice, u članku 14. koji se odnosi na Transparentnu informaciju, komunikaciju i način ostvarivanja prava nositelja podataka. Navodi uporabu jasnog i jednostavnog jezika, što se posebno odnosi na sve informacije koje su izričito namijenjene djetetu.

Ostala pravna podloga za zaštitu prava djeteta

Ujedinjeni narodi (u daljnjem tekstu „UN“) 1989. donijeli su Konvenciju o pravima djeteta. Hrvatska ju je usvojila 1991. osamostaljenjem od Jugoslavije, a Bosna i Hercegovina 1993. Usvajanjem se države obvezuju na poštivanje načela iz Konvencije. Konvencija o pravima djeteta propisuje univerzalne standarde koji osiguravaju zaštitu djeteta od svih oblika diskriminacije ili kažnjavanja, te poštivanje i afirmaciju prava djeteta bez diskriminacije po bilo kojoj osnovi. Prema Konvenciji, dijete je osoba do navršenih 18 godina života. Stoga u ovom tekstu razmatramo osnovno i srednje obrazovanje koje u Hrvatskoj i BiH traje otprilike do 18. godine života. Kao jedno od temeljnih prava djeteta navedeno je pravo na privatnost. Prava djeteta određena su i nacionalnim zakonodavstvima, u Hrvatskoj Obiteljskim zakonom, a u Bosni i Hercegovini Obiteljskim/Porodičnim zakonom.

Prema načelu proporcionalnosti ljudskih prava, nužno je uskladiti ostala temeljna prava djeteta s pravom na privatnost.

Djeca u sustavu osnovnog i srednjeg obrazovanja

Školstvo (osnovno i srednje obrazovanje ) jedna je od najosjetljivijih djelatnosti jer primarno obrađuje osobne podatke djece. Zastupnici su djece, i donose odluke o obradi tamo gdje je to dozvoljeno, njihovi roditelji (staratelji, zakonski zastupnici, u daljnjem tekstu „roditelji“).

U pogledu pravnih osnova obrade osobnih podataka, veliki broj procesa u školstvu koji uključuju obradu osobnih podataka prvenstveno djece te roditelja, nastavnog osoblja, stručnih suradnika i posjetitelja regulirani su zakonima i podzakonskim aktima. U Hrvatskoj je krovni zakon Zakon o odgoju i obrazovanju u osnovnoj i srednjoj školi. U Bosni i Hercegovini to je Okvirni zakon o osnovnom i srednjem obrazovanju u Bosni i Hercegovini. U Bosni i Hercegovini specijalni zakoni reguliraju osnovno i srednje obrazovanje na razini entiteta Republika Srpska, a u entitetu Federacija BiH, zakoni i pravilnici na razini su županija/kantona.

Obrade osobnih podataka djece koje nisu propisane zakonima i podzakonskim aktima, mogu se temeljiti na suglasnosti roditelja ili rjeđe, na temelju ugovora (primjerice o prehrani učenika) ili legitimnom interesu (primjerice fotografiranje javnih događaja).

Škole kao voditelji obrade (kontrolori)

Škole su voditelji obrade (kontrolori) i obvezne su prema zakonodavstvu iz oblasti zaštite osobnih podataka na sve obveze kontrolora. Trebaju imenovati službenika za zaštitu osobnih podataka, uspostaviti tehničke mjere zaštite, donijeti relevantne akte (politike, pravilnike, procedure) i uspostaviti evidenciju obrade osobnih podataka. Kada je potrebno, moraju izvršiti procjenu učinka (utjecaja), analizu legitimnog interesa te osigurati zaštitne mjere u slučajevima međunarodnog prijenosa podataka.

Prema naputku Agencije za zaštitu osobnih podataka u BiH, škole u BiH ne mogu imenovati tajnika škole kao službenika za zaštitu podataka zbog sukoba interesa. U Hrvatskoj takvo ograničenje ne postoji i tajnici su, kao vjerojatno jedini pravnici u školi, često imenovani službenikom.

Osnovne i srednje škole, osim što su javno tijelo i obrađuju podatke ranjive kategorije ispitanika (nositelja podataka), čine to i u velikom opsegu, za različite svrhe i prikupljaju osjetljive podatke. Osjetljivi podaci (tzv. posebne kategorije podataka) definirane su GDPR-om i Zakonom o zaštiti osobnih podataka u BiH. U školskom sustavu to su primarno podaci o etničkom podrijetlu i zdravlju djece. Često može biti potrebno izvijestiti razrednika o kroničnim oboljenjima učenika, opravdati izostanak zbog bolesti ili navesti posebne zahtjeve vezane za prehranu ako je prehrana organizirana u školi.

Vrlo je važna i obveza djelatnika škole da kontinuirano prolaze edukacije o zaštiti osobnih podataka.

Škola može imati i često ima izvršitelje obrade (obrađivače). To su primjerice vanjsko računovodstvo i različite vrste softvera. Potrebno je primijeniti sve mjere u odnosu s obrađivačem koje su propisane zakonodavstvom o zaštiti osobnih podataka.

Potpora i upute nadzornih tijela

Hrvatska Agencija za zaštitu osobnih podataka (u daljnjem tekstu „AZOP“) ima odjeljak na web stranici posebno namijenjen školama: https://azop.hr/primjena-opce-uredbe-o-zastiti-podataka-u-skolskim-ustanovama/. Izradila je i prezentaciju s temom Praktična pitanja i problemi usklađivanja s Općom uredbom o zaštiti podataka. Prezentacija je razvijena u svrhu stjecanja osnovnih i naprednih znanja iz područja zaštite osobnih podataka. Sadrži pregled zakonskih propisa, naputke vezane za zaštitu osobnih podataka i praktične primjere. AZOP organizira i besplatne edukacije za voditelje obrade i službenike za zaštitu podataka.

U Bosni i Hercegovini, Agencija za zaštitu osobnih/ličnih podataka (u daljnjem tekstu „AZLP“), zasad se oglasila općim Obavještenjem prije početka primjene Zakona o zaštiti osobnih podataka. Prema Obavještenju, kontrolori su do 4. listopada 2025. bili obvezni imenovati službenika za zaštitu podataka, objaviti politiku privatnosti i izraditi evidenciju obrade za postojeće obrade. Za nove obrade, dužni su primijeniti sve mjere koje Zakon propisuje. Specifično za škole, s obzirom na veliki broj upita AZLP objavila je i priopćenje da tajnik škole ne može biti službenik za zaštitu podataka zbog sukoba interesa.

S obzirom da je GDPR u Hrvatskoj u primjeni skoro 8 godina, a BH Zakon o zaštiti osobnih podataka pola godine, očekivati je da će i AZLP uvesti veću potporu školama.

Ako želite produbiti svoje znanje o ovoj temi pridružite nam se na Webinaru – Zaštita osobnih podataka u školstvu.

Autor: Matea Marić