Vstup v platnost zákona č. 18/2018 Z. z. o ochraně osobních údajů a o změně a doplnění některých zákonů a NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, kterým se zrušuje směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), dále jen „nařízení“, nemá revoluční charakter, existují však povinnosti, které musí školská zařízení splnit:
- Informační povinnost vůči dotčeným osobám,
- Zpracovatelské operace,
- Povinnost jmenovat odpovědnou osobu,
- povinnost oznámit Úřadu pro ochranu osobních údajů případné porušení bezpečnosti ochrany osobních údajů,
- rozšíření práv dotčených osob,
- posouzení dopadu zpracování osobních údajů v případě zvláštního zpracování osobních údajů.
Obecně platí, že školy a školská zařízení musí při zpracování osobních údajů zohlednit nejlepší zájem dítěte. Dítě nesmí být vystaveno žádnému protiprávnímu zásahu do soukromí a rodinného života. Samozřejmě může nastat situace, kdy právo na ochranu soukromí musí ustoupit do pozadí ve prospěch nejlepšího zájmu dítěte (např. v případě zanedbání péče o dítě).
Při zpracování osobních údajů je nutné dodržovat zásady zpracování osobních údajů:
Transparentnost – jelikož se v rámci pedagogické dokumentace nezpracovávají pouze osobní údaje dětí a žáků, ale také jejich zákonných zástupců a zaměstnanců, je nutné všechny dotčené osoby informovat o rozsahu a způsobu zpracování osobních údajů. Informační povinnost by měla být snadno dostupná a srozumitelná zákonnému zástupci, ale měla by být srozumitelná i pro samotné dítě.
Zákonnost – osobní údaje musí být zpracovávány v souladu se zákonem a pro konkrétní účel. Provozovatel školského zařízení zpracovává osobní údaje v rámci vedení pedagogické dokumentace na základě zákona č. 245/2008 Z. z. o výchově a vzdělávání (školský zákon) a o změně a doplnění některých zákonů. Osobní údaje žáků se však zpracovávají i pro účely, které nevyplývají ze zákonné povinnosti, např. kamerový systém nebo propagace (fotografie, vystoupení, účast v soutěžích), které podléhají jinému právnímu základu pro zpracování. Takové zpracování (mimo zákonnou povinnost) je vždy nutné podložit správným právním základem. Například v případě kamerového systému to může být oprávněný zájem provozovatele, který podléhá testu proporcionality. Kamerový systém v žádném případě nesmí zasahovat do soukromí a práv dítěte, proto musí být jeho použití ve školách řádně projednáno s odborníky v oblasti ochrany osobních údajů, kteří vám pomohou správně nastavit technická a organizační opatření při provozování kamerového systému.
Aktualita a zásada minimalizace – provozovatel je odpovědný za správnost a aktuálnost osobních údajů všech dotčených osob a je povinen při jejich zpracování dodržovat zásadu minimalizace. Zásadu minimalizace musíme uplatňovat při každém jednotlivém zpracování osobních údajů, to znamená, že provozovatel musí přesně určit rozsah zpracování osobních údajů, který je minimalizován na minimum nezbytné pro vedení agendy. Skvělým příkladem nám může posloužit rozsah osobních údajů definovaný školským zákonem. Aby byla dodržena zásada minimalizace, bude škola pro účely vedení pedagogické agendy zpracovávat pouze osobní údaje definované v § 11 školského zákona.
Správce je povinen chránit osobní údaje, které zpracovává, zejména:
- zabezpečit objekt, ve kterém zpracovává osobní údaje, pomocí mechanických bezpečnostních opatření (uzamykatelné dveře, okna, mříže, elektronický bezpečnostní systém),
- uchovávat osobní údaje na místech nebo v systému, ke kterým mají přístup pouze ředitel a jím pověřené oprávněné osoby,
- zohlednit povahu zpracovávaných osobních údajů,
- uchovávat pedagogickou dokumentaci v uzamykatelných skříňkách v chráněném prostoru školy (kancelář). Pedagogům jsou zapůjčeny pouze za účelem provádění zápisů.
- všechny oprávněné osoby provozovatele jsou povinny zachovávat mlčenlivost o skutečnostech, které se dozvěděly v rámci své práce, a nesmějí vynášet údaje o žácích a dětech školy,
- osobní údaje v elektronické podobě, například v případě platformy EduPage, jsou uchovávány v zabezpečeném systému. Přístup k němu mají jednotliví pedagogové na základě hesla a pouze v rozsahu zpracování přiděleném provozovatelem. Hesla se nesmějí sdílet. Zákonný zástupci žáků a žáci sami mají přístup do EduPage na základě hesla přiděleného třídním učitelem. Přístup je možný pouze k vlastním osobním údajům,
- zvýšit ochranu před hrozbami pocházejícími z veřejně přístupné počítačové sítě (hackerský útok) a před nevyžádanou poštou a povinně zálohovat.
- Je třeba definovat jednotlivé účely zpracování a rozsah zpracovávaných osobních údajů, pověřit zpracováním oprávněné osoby, poučit je a pravidelně je školit, nastavit správu hesel, nakládání se služebními mobilními telefony a notebooky a jejich ochranu, nastavit používání e-mailů pouze pro pracovní účely. Samozřejmostí je pravidelná kontrolní činnost provozovatele zaměřená na dodržování přijatých bezpečnostních opatření.
Komplexní směrnici a metodický pokyn pro pedagogické pracovníky zpracovávající osobní údaje ve školním prostředí najdete zde.
Úskalí při zpracování osobních údajů.
Školy a školská zařízení se řídí zákonem č. 245/2008 o výchově a vzdělávání (školský zákon) a o změně a doplnění některých zákonů, v němž je přesně stanoven rozsah zpracovávaných údajů, a příslušnými vyhláškami Ministerstva školství SR.
Ve školním prostředí se však děti a žáci účastní také různých aktivit, představení a soutěží, které jsou zaznamenávány a zveřejňovány v souvislosti s pozitivní propagací školy. Takové zpracování však podléhá souhlasu dotčené osoby nebo jejího zákonného zástupce. Souhlas musí být dobrovolný, to znamená, že pokud zákonný zástupce dítěte si nepřeje, aby byla fotografie nebo videozáznam s podobiznou dítěte zveřejněna, musí to provozovatel akceptovat a zajistit.
Při zpracování osobních údajů na základě souhlasu je třeba mít na paměti práva dotčených osob, zejména:
- právo na opravu osobních údajů,
- právo na výmaz osobních údajů,
- právo na omezení zpracování osobních údajů,
- právo na přenositelnost osobních údajů,
- právo vznést námitku proti zpracování osobních údajů
a umět je zajistit. Zde se dostáváme k problému zveřejňování fotografií dětí a zaměstnanců na sociálních sítích. Facebook či Instagram jsou v dnešní době stále populárnější, je však třeba si uvědomit, že v rámci takového zpracování osobních údajů není provozovatel schopen zajistit všechna práva dotčených osob. Navíc v případě zneužití fotografií na Facebooku se školské zařízení stává spoluprovozovatelem Facebooku, což znamená, že za to ponese stejnou odpovědnost. Vhodnějším řešením je využívat sociální sítě jako informační kanál a fotografie zveřejňovat na vlastních webových stránkách, kde je možné zajistit bezpečnost osobních údajů i všechna práva dotčených osob.
Zpracování osobních údajů během výjimečného stavu vyhlášeného vládou SR
Během výjimečného stavu vyhlášeného vládou SR a pandemické situace způsobené onemocněním COVID-19 musela být přijata opatření, která rozšířila rozsah zpracovávaných osobních údajů ve školním prostředí, což se mnoha dotčeným osobám nelíbilo. V rámci nouzového stavu byli provozovatelé školských zařízení povinni shromažďovat citlivé osobní údaje, které byly součástí čestných prohlášení, v nichž zákonní zástupci dětí/žáků a zaměstnanci uváděli zdravotní stav (v rozsahu výsledku testu na přítomnost onemocnění COVID-19, případně definování výjimky z testování) . Je důležité chránit život a zdraví dětí, žáků, ale i zaměstnanců ve školách. Právním základem takového zpracování osobních údajů je čl. 6 odst. 1 písm. d), přičemž se uplatňuje výjimka ze zpracování citlivých osobních údajů podle čl. 9 odst. 2 písm. i) nařízení GDPR, pokud správce pouze nahlédne do výsledku testu a nebude jej žádným dalším způsobem zpracovávat.
Každou jednotlivou operaci s osobními údaji dotčených osob je vhodné nahlásit osobě odpovědné za dohled nad ochranou osobních údajů a zajistit její soulad se zákonem č. 18/2018 Z. z. o ochraně osobních údajů a o změně a doplnění některých zákonů a s nařízením GDPR.
Zákon č. 245/2008 Z. z. o výchově a vzdělávání (školský zákon) a o změně a doplnění některých zákonů
