Upozornění pro čtenáře a uživatele této knihy
Všechna práva vyhrazena. Žádná část této tištěné či elektronické knihy nesmí být reprodukována ani šířena v papírové, elektronické či jiné podobě bez předchozího písemného souhlasu nakladatele. Neoprávněné užití této knihy bude trestně stíháno.

JUDr. Eva Janečková

GDPR – Řešení problémů v praxi škol

Vydala Grada Publishing, a.s.
U Průhonu 22, 170 00  Praha 7
tel.: +420 234 264 401, fax: +420 234 264 400
www.grada.cz
jako svou 7 497. publikaci

Realizace obálky Vojtěch Kočí
Sazba a zlom Jan Šístek
Formát ePub Jan Šístek
Odpovědná redaktorka Ing. Michaela Průšová
Počet stran 352
První vydání, Praha 2020

Vytiskla Tiskárna v Ráji, s.r.o., Pardubice

© Grada Publishing, a.s., 2020

ISBN 978-80-271-1354-5 (ePub)
ISBN 978-80-271-1353-8 (pdf)
ISBN 978-80-271-2579-1 (print)

Seznam použitých pojmů

Obecné nařízení (GDPR) – Nařízení Evropského parlamentu a Rady (EU) č. 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (General Data Protection Regulation)

osobní údaje – veškeré informace o identifikované nebo identifikovatelné fyzické osobě – o subjektu údajů

správce – fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení

subjekt údajů – identifikovatelná fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, např. jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby

souhlas – jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů

porušení zabezpečení osobních údajů – porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů

adaptační zákon – zákon č. 110/2019 Sb., o zpracování osobních údajů, upravuje v souladu s Nařízením některé oblasti specificky pro Českou republiku

zpracovatel – fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce

zpracování (osobních údajů) – jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení

zvláštní kategorie osobních údajů – osobní údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje a biometrické údaje zpracovávané za účelem jedinečné identifikace fyzické osoby údaje o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby

Sbor (Skupina WP29) – pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízená směrnicí Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995

dozorový úřad – Úřad pro ochranu osobních údajů

pověřenec (DPO) – osoba dozorující u správce či zpracovatele zpracování osobních údajů

posouzení vlivu (DPIA) – posouzení pravděpodobného rizika zamýšleného zpracování

Seznam zkratek

kontrolní řád – zákon č. 255/2015 Sb., o kontrole (kontrolní řád), ve znění pozdějších předpisů

občanský zákoník – zákon č. 89/2012 Sb., občanský zákoník, ve znění pozdějších předpisů

školský zákon – zákon č. 561/2004 Sb., o předškolním, základním, středním, vyšším odborném a jiném vzdělávání

správní řád – zákon č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů

vyhláška č. 48/2005 Sb. – vyhláška č. 48/2005 Sb., o základním vzdělávání a některých náležitostech plnění povinné školní docházky, ve znění pozdějších předpisů

zákon o ochraně veřejného zdraví – zákon č. 258/2000 Sb., o ochraně veřejného zdraví a o změně některých souvisejících zákonů, ve znění pozdějších předpisů

zákon o Policii ČR – zákon č. 273/2008 Sb., o Policii České republiky, ve znění pozdějších předpisů

zákon o registru smluv – zákon č. 340/2015 Sb., o zvláštních podmínkách účinnosti některých smluv, uveřejňování těchto smluv a o registru smluv (zákon o registru smluv), ve znění pozdějších předpisů

zákon o sociálně-právní ochraně dětí – zákon č. 359/1999 Sb., o sociálně-právní ochraně dětí, ve znění pozdějších předpisů

zákon o svobodném přístupu k informacím – zákon č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů

zákoník práce – zákon č. 262/2006 Sb., zákoník práce, ve znění pozdějších předpisů

Směrnice 95/46/ES – Směrnice Evropského parlamentu a rady č. 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a volným pohybem těchto údajů

Úvod

Dne 27. dubna 2016 schválil Evropský parlament konečnou podobu Nařízení Evropského parlamentu a Rady 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). Obecné nařízení (GDPR) měly členské země do 6. května 2018 převést do vnitrostátní legislativy, platit začalo od 25. května 2018.

Toto nařízení nahradilo starou právní úpravu obsaženou ve Směrnici Evropského parlamentu a rady č. 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a volným pohybem těchto údajů (dále jen „Směrnice 95/46/ES“), která ukládala členským státům, aby ji promítly do tří let do svých právních řádů. Svoje zákony s ní musely samozřejmě harmonizovat i státy, které se chtěly stát členy Evropské unie. Směrnice však pocházela již z roku 1995, a byla tedy 22 let stará. V těchto letech došlo k prudkému rozvoji informačních technologií, ke změnám v kategoriích nejčastěji zpracovávaných osobních údajů, i k určitému smazání hranic mezi státy. Proto vyvstala potřeba úpravu zmodernizovat tak, aby kladla limity pro zpracování osobních údajů v oblastech, kde došlo k největšímu rozvoji a ke zpracování velkého množství osobních údajů, někdy i citlivých (podle nové terminologie „osobních údajů zvláštní kategorie“). Jedná se zejména o oblast marketingu, monitorování a profilování.

Směrnice 95/46/ES nebyla přímo aplikovatelná, byla do právních řádů jednotlivých států implementována národními zákony, které se v mnoha oblastech značně lišily. Cílem nové právní úpravy proto bylo i sjednocení.

V České republice se ochranou osobních údajů zabýval zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů. Tento zákon byl částečně zrušen Obecným nařízením (GDPR). Poslední ustanovení byla zrušena ke dni 24. 4. 2019, kdy nabyl účinnosti zákon č. 110/2019 Sb., o zpracování osobních údajů, tedy tzv. adaptační zákon, který upravuje v souladu s Obecným nařízením (GDPR) některé oblasti specificky pro Českou republiku.

Tento zákon však není obecným zákonem, který by komplexně upravoval oblast zpracování osobních údajů v České republice, jak se někteří domnívají. Týká se především některých specifických oblastí, zmocňuje výslovně některé orgány ke zpracování osobních údajů a stanoví zvláštní podmínky při plnění některých povinností. Je to tedy pouze doprovodným zákonem, který je vždy třeba aplikovat současně s Obecným nařízením (GDPR).

Současně se zákonem o zpracování osobních údajů nabyl účinnosti i zákon č. 111/2019 Sb., kterým se mění některé zákony v souvislosti s přijetím zákona o zpracování osobních údajů. I tento zákon přináší některé změny, které se dotknou škol a školských zařízení. Jedná se zejména o novelu zákona č. 499/2004 Sb., o archivnictví a spisové službě a o změně některých zákonů, ve znění pozdějších předpisů, do něhož byla vyložena nová povinnost. Do ustanovení § 64 byly mimo jiné vloženy následující odstavce:

„(4) Vykonávají-li určení původci spisovou službu v elektronické podobě v elektronickém systému spisové služby, vedou jako samostatnou funkční část evidenční pomůcky jmenný rejstřík v elektronické podobě určený pro automatické zpracovávání údajů o odesílatelích a adresátech dokumentů evidovaných v evidenční pomůcce a jiných osobách, jichž se dokumenty evidované v evidenční pomůcce týkají. Vykonávají-li určení původci spisovou službu v listinné podobě, mohou vést jako samostatnou funkční část evidenční pomůcky jmenný rejstřík v listinné podobě určený pro zpracovávání údajů o odesílatelích a adresátech dokumentů evidovaných v evidenční pomůcce a jiných osobách, jichž se dokumenty evidované v evidenční pomůcce týkají.

(5) Určení původci vedou ve jmenném rejstříku o odesílateli dokumentu, adresátu dokumentu nebo jiné osobě, jíž se dokument týká, alespoň

a) jméno, popřípadě jména, a příjmení, jde-li o fyzickou osobu,

b) jméno, popřípadě jména, a příjmení, popřípadě dodatek odlišující osobu podnikatele nebo druh podnikání vztahující se zpravidla k této osobě nebo druhu podnikání, jde-li o podnikající fyzickou osobu nezapsanou v obchodním rejstříku,

c) obchodní firmu nebo název, jde-li o podnikající fyzickou osobu zapsanou v obchodním rejstříku nebo právnickou osobu,

d) identifikační číslo osoby, pokud bylo přiděleno,

e) identifikátor datové schránky, pokud byla zřízena, a

f) bezvýznamový identifikátor pro potřeby výkonu spisové služby, pokud byl určeným původcem přidělen.

(6) Určení původci mohou vést ve jmenném rejstříku o odesílateli dokumentu nebo adresátu dokumentu, který je fyzickou osobou, a o jiné fyzické osobě, jíž se dokument týká, aniž by byl vyžadován jejich souhlas, údaje spadající do minimálního souboru osobních identifikačních údajů jedinečně identifikujících fyzickou nebo právnickou osobu podle přímo použitelného předpisu Evropské unie upravujícího rámec interoperability, nejde-li o údaje podle odstavce 5.

(7) Určení původci stanoví nejvýše tříletou skartační lhůtu pro údaje o fyzické osobě vedené ve jmenném rejstříku počínající běžet předáním dokumentů a spisů, ke kterým se údaje o fyzické osobě vztahovaly, nebo archivu nebo jejich zničením.

(8) Určení původci jsou oprávněni využívat pro účely vedení jmenného rejstříku údaje o odesílateli dokumentu, adresátu dokumentu nebo jiné fyzické osobě, jíž se dokument týká, pokud je jejich zdrojem jimi vedený spis.“

Tento jmenný rejstřík má mimo jiné být zásadní pomůckou pro realizaci práva subjektu údajů na přístup k údajům.

Základní povinnosti a práva jsou však nezměnitelná a zůstávají upravena v Obecném nařízení (GDPR) pro všechny členské země stejně.

Obecné nařízení (GDPR) se dotýká velmi podstatně chodu škol a školských zařízení, které zpracovávají velké množství osobních údajů, také zvláštní kategorie osobních údajů, a vzhledem k tomu, že se jedná o osobní údaje dětí, je na místě řešit jejich zpracování velmi obezřetně s velkým důrazem na zabezpečení těchto údajů.

V praxi škol a školských zařízení vznikla celá řada otázek, zejména ve vztahu k nakládání s fotografiemi, při zveřejňování osobních údajů či předávání údajů třetím osobám. Velmi často dochází k neshodám mezi názory Úřadu pro ochranu osobních údajů, názory Ministerstva školství, mládeže a tělovýchovy a názory odborné veřejnosti.

Vzhledem k tomu, že s účinností Obecného nařízení (GDPR) nedošlo ke změně základní legislativy v oblasti školství, není ani oblast zpracování osobních údajů ve školách a školských zařízeních zásadně odlišná od předchozí praxe. Je však třeba uvědomit si některé skutečnosti, které byly v přechozích letech opomíjeny, a zapracovat nové instituty.

I.

Obecná část

1 Základní pojmy používané v oblasti ochrany osobních údajů

Jedním z klíčových ustanovení Obecného nařízení (GDPR) je článek 4, v němž jsou vymezeny základní pojmy. Toto ustanovení patří mezi jedno z nejdůležitějších, neboť pochopení jednotlivých pojmů, resp. jejich definic, je podstatné pro další činnost správce nebo zpracovatele, pro realizace práv a plnění povinností, která z Obecného nařízení (GDPR) vyplývají.

Nejprve je nutné vyhodnotit, zda informace, s níž správce pracuje, je skutečně osobním údajem, jak jej definuje článek 4 písm. a) Obecného nařízení (GDPR), zda proces s ním prováděný je zpracováním ve smyslu definice, a teprve v případě kladné odpovědi na tyto otázky se správce zabývá dalšími ustanoveními Obecného nařízení (GDPR), jež mu ukládají povinnosti a dávají práva.

Článek 4 definuje řadu základních pojmů; vymezeny jsou všechny základní pojmy ve smyslu jejich hmotného obsahu (např. osobní údaj a další) a také pojmy, které lze označit za „popis procesu“ (např. zpracování). Škola či školské zařízení se nebudou v běžné praxi setkávat se všemi pojmy uvedenými v článku 4 Obecného nařízení (GDPR)[1], zde jsou proto zmíněny pouze ty nezákladnější pojmy, u nichž je porozumění podstatné pro každého správce a zpracovatele a se kterými se bude škola setkávat každodenně.

Osobní údaj

Tento pojem je tím nejzákladnějším a nejpoužívanějším pojmem. Definice zůstala téměř stejná jako v předchozí právní úpravě. Podle definice jsou osobními údaji veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen „subjekt údajů“); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby. Ke změně došlo především v příkladmém výčtu osobních údajů ve druhé části definice.

Pojem je definován několika parametry. Prvním parametrem je rozsah. Definice říká, že osobním údajem je informace, aniž blíže uvádí charakteristiku informace, kterou je třeba za osobní údaj považovat. Znamená to například, že není kladen důraz na pravdivost informace. Může se také jednat nejen o informace tzv. objektivní, ale také o různé soudy, hodnocení, závěry a podobně.

Osobním údajem je tedy jakýkoli údaj, jenž se vztahuje k nějaké fyzické osobě. Současně je ovšem třeba, aby tato osoba byla těmito údaji či na jejich základě minimálně identifikovatelná. Pro to, zda jde o osobní údaj, je rozhodná skutečnost, zda je možno ze strany správce vytvořit přímý vztah mezi takovým údajem a danou fyzickou osobou. Takový vztah se vytváří prostřednictvím určitých identifikátorů, na jejichž základě lze jednoznačně určit, že se jedná o určitou osobu.

O osobní údaj se však jedná i v případě, že správce sice nedisponuje údaji, jimiž by mohl provést (přímou) identifikaci, ale má možnost si takový údaj opatřit a spojit s údajem, kterým disponuje (např. jméno a příjmení s rodným číslem). V takovém případě lze zjistit identitu subjektu údajů nepřímo. Určenost je tedy stav, kdy správce disponuje údaji, jimiž lze fyzickou osobu přímo jednoznačně identifikovat, o určitelnost jde tam, kdy správce může na základě údajů, která má buď k dispozici, nebo k nimž má přístup, tuto osobu jednoznačně odlišit od jiných subjektů.[2] V těchto případech bude nezbytné zpracování takových údajů posuzovat zcela individuálně, případ od případu. Bude záležet na rozsahu údajů či zpracovávaných informací, dostupnosti a legálním zdroji případných dalších údajů, přístupu k těmto zdrojům apod.

Obecné nařízení (GDPR) stanoví, že informace se musí týkat subjektu údajů (tedy fyzické osoby) a tato fyzická osoba pak musí být buď identifikovaná, nebo alespoň identifikovatelná. I když nepanuje shoda, které informace mohou subjekt údajů jednoznačně identifikovat, neboť bude vždy záviset na okolnostech, oblasti zpracování apod., nicméně je možné konstatovat, že určit osobu, a to natolik přesně, aby nebyla zaměnitelná za jinou fyzickou osobu, lze nepochybně říci, že těmito údaji obecně bude jméno, příjmení, bydliště a případně i rok narození. Na základě těchto údajů bude fyzická osoba identifikována přímo a subjekt údajů tak bude určen. Fyzická osoba však může být identifikována, a tedy určena, v některých případech i menším rozsahem údajů. Pak se hovoří o určení nepřímém, tedy identifikovatelnosti, resp. určitelnosti subjektu údajů.[3]

O tom, že mezi osobní údaje patří identifikátory jako jméno, příjmení, adresa, datum narození nebo rodné číslo, nikdo nepochybuje. U dalších kategorií osobních údajů buď může dojít k pochybnostem, nebo správce ani nenapadne, že informace, se kterou pracuje, je osobním údajem. Mezi takové informace – údaje patří například telefonní číslo nebo emailová adresa. Prostřednictvím těchto údajů je totiž možné kontaktovat fyzickou osobu a následně ji identifikovat, prostřednictvím těchto údajů (i každého zvlášť) je tedy fyzická osoba identifikovatelná. Podmínkou je, že se daná informace vztahuje k jedné konkrétní osobě.

Diskutuje se o podobě emailové adresy, o podobě, která je ještě osobním údaje, a která již nikoli. Shoda panuje na tom, že osobním údajem je emailová adresa v podobě jmeno.prijmeni@domena.cz. U tzv. anonymních adres však shoda není. Nicméně pro větší jistotu správce je vhodnější považovat i adresu rakosnicek@seznam.cz za osobní údaj.

Pro zajímavost je možné uvést, že podle judikatury Evropského soudního dvora je osobním údajem i IP adresa (ze které někdo např. přistupuje na školní web), protože ji mohou ke ztotožnění konkrétního člověka využít orgány činné v trestním řízení ve spolupráci s poskytovatelem připojení, pokud se tento člověk z IP adresy dopustí trestného činu. Lze tedy uzavřít, že okruh údajů, prostřednictvím nichž lze identifikovat člověka, je velice široký.

Úprava ochrany osobních údajů se nevztahuje na anonymní informace, tedy na informace, které se netýkají identifikované či identifikovatelné fyzické osoby, ani na osobní údaje anonymizované tak, že daná osoba není nebo již přestala být identifikovatelná. V čl. 4 Obecného nařízení (GDPR) nalezneme i definici pseudonymizace, kterou může představovat například přidělení číselných kódů jednotlivým uchazečům v přijímacím řízení ke vzdělávání ve střední škole, na základě kterých nebude možné konkrétního uchazeče bez dalších informací identifikovat (identifikace bude možná pouze spojením dokumentu, který obsahuje kód a jméno zároveň, jímž disponuje pouze uchazeč, zákonný zástupce a škola – z toho plyne, že vůči veřejnosti jde o informaci anonymní, ale dovnitř školy jde o informaci spojitelnou s konkrétním subjektem údajů).[4]

Je zjevné, že škola zpracovává velké množství osobních údajů žáků, zákonných zástupců, zaměstnanců, ale i dalších osob.

Obecné nařízení (GDPR) nezná pojem „citlivé osobní údaje“, jak jej obsahoval předchozí zákon. Objevil se termín zvláštní kategorie osobních údajů, jejichž definice však v článku 4 chybí. Tato zvláštní kategorie je upravena v článku 9 Obecného nařízení (GDPR). Tento článek uvádí, že se zakazuje zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.

Výčet je tedy o něco užší než u předchozí definice. Není bez zajímavosti připomenout, že zvláštní význam citlivých osobních údajů (informací) není výsadní doménou právní úpravy ochrany osobních údajů. Jejich význam je jistě zdůrazněn skutečností, že okruhy informací, resp. skutečností se dotýkají těch právních vztahů, jež jsou relevantní např. pro zákaz diskriminace podle zákona č. 198/2009 Sb., o rovném zacházení a o právních prostředcích ochrany před diskriminací a o změně některých zákonů (antidiskriminační zákon), když diskriminace je zakázána také z důvodů rasy, etnického původu, národnosti, pohlaví, sexuální orientace, věku, zdravotního postižení, náboženského vyznání, víry či světového názoru[5].

Je nutné připomenout, že do zvláštních kategorií osobních údajů patří jen ty údaje, které lze zařadit do kategorií, které jsou výslovně zmíněny v článku 9 Obecného nařízení (GDPR). Jiné údaje, byť mohou být lidmi subjektivně pociťovány jako velmi citlivé, ve smyslu právní úpravy mezi zvláštní kategorie osobních údajů nespadají.

V praxi škol jsou často zpracovávány údaje o zdravotním stavu, jejichž zpracování je požadováno § 28 zákona č. 561/2004 Sb., o předškolním, základním, středním, vyšším odborném a jiném vzdělávání (školský zákon), ve znění pozdějších předpisů (dále jen „školský zákon“), konkrétně § 28 odst. 2 písm. f) a g) – údaje o znevýhodnění dítěte, žáka nebo studenta uvedeném v § 16, údaje o mimořádném nadání, údaje o podpůrných opatřeních poskytovaných dítěti, žákovi nebo studentovi školou v souladu s § 16, a o závěrech vyšetření uvedených v doporučení školského poradenského zařízení, údaje o zdravotní způsobilosti ke vzdělávání a o zdravotních obtížích, které by mohly mít vliv na průběh vzdělávání.

Z § 16 odst. 4 školského zákona vyplývá, že podpůrná opatření prvního stupně uplatňuje škola nebo školské zařízení i bez doporučení školského poradenského zařízení. Podpůrná opatření druhého až pátého stupně lze uplatnit pouze s doporučením školského poradenského zařízení.

Není tedy možné, aby bylo ve školní matrice školy uvedeno, že dané dítě, žák či student má zdravotní obtíže, které by mohly mít vliv na průběh vzdělávání a které vyžadují poskytnutí podpůrných opatření druhého až pátého stupně, aniž by byl v dokumentaci školy uvedené v § 28 odst. 1 písm. c) školského zákona zároveň veden posudek školského poradenského zařízení, ze kterého by daný závěr vyplýval.

Z posudku školského poradenského zařízení zároveň vždy vyplývá, jakým způsobem je nezbytné zdravotní způsobilost ke vzdělávání a zdravotní obtíže dítěte, žáka či studenta zohlednit při jeho vzdělávání, tak, aby byl respektován § 16 odst. 6 až 9 školského zákona. Proto je také povinností zákonného zástupce dítěte a nezletilého žáka nebo zletilého žáka či studenta podle § 22 odst. 2 písm. a) a c) a odst. 3 písm. c) a e) školského zákona informovat školu o těchto skutečnostech a poskytnout jí nezbytné informace a doklady.

Zvláštní kategorie údajů jsou dále zpracovávány podle ustanovení § 28 odst. 1 písm. i) školského zákona, podle něhož školy a školská zařízení vedou mimo jiné knihu úrazů a záznamy o úrazech dětí, žáků a studentů, popřípadě lékařské posudky. Úrazem žáků je úraz, který se stal žákům při vzdělávání nebo s ním přímo souvisejících činnostech a při poskytování školských služeb. Jedná se tedy zejména o úrazy žáků na vycházkách, výletech, zájezdech, putováních, exkurzích, při koupání, při výuce plavání a lyžařském výcviku, sportovních a turistických kurzech, zahraničních výletech, při účasti na soutěžích a přehlídkách.[6]

Správce a zpracovatel

Mezi klíčová ustanovení právní úpravy náleží vymezení pojmů správce a zpracovatel. Správcem je podle článku 4 odst. 7 Obecného nařízení (GDPR) fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení.

Jinak řečeno, toto ustanovení jednoznačně charakterizuje okruh adresátů právní normy z hlediska tzv. osobní působnosti a okruhu věcné působnosti. Z výčtu adresátů normy je zřejmé, že Obecné nařízení (GDPR) dopadá na každý subjekt, který osobní údaje zpracovává, neboť vzhledem k rozsahu vymezení těžko nalezneme subjekt, který by byl ze základního vymezení působnosti tohoto nařízení vyňat, a to bez ohledu na jejich právní subjektivitu.

Správcem je každý, kdo určuje prostředky a účel zpracování osobních údajů, při čemž není rozhodné, zda se jedná o fyzickou či právnickou osobu, rozhodná není ani její povaha (může jít o podnikatelský subjekt, orgán veřejné moci či jednotlivce). Významné je, že se dotyčný rozhodl osobní údaje systematicky zpracovávat nebo je mu zpracování uloženo zákonem jako povinnost (např. orgány veřejné správy). Zpracováním osobních údajů může správce provádět sám, nebo může k této činnosti někoho zmocnit nebo pověřit. Touto osobou je zpracovatel, jenž je Obecným nařízením (GDPR) charakterizován jako fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce. Do definice jsou tak zahrnuty veškeré subjekty bez ohledu na jejich povahu či právní subjektivitu.

Na rozdíl od správce, zpracovatel „pouze“ provádí zpracovávání osobních údajů. Zpracovatel, na rozdíl od správce, neurčuje účel a prostředky zpracování osobních údajů. Zpracovatel nemusí provádět zpracování od začátku do konce, tedy veškeré operace, ale může provádět jen některou (či některé) činnost související se zpracováním. Nemusí tedy jít vždy o subjekt, který osobní údaje shromáždil.

Zpracovatel může zpracovávat údaje buď na základě výslovného zákonného zmocnění, nebo je-li k tomu zmocněn správcem nebo na základě smluvního ujednání. Z dosavadních zkušeností však vyplývá, že vztah mezi správcem a zpracovatelem se v naprosté většině případů odehrává na základě smluvního vztahu.[7]

V některých případech je však stanoveno, že zpracování provádí jiný subjekt, jímž je zpracovatel, přímo zákonem. Takové zákonné zmocnění se obvykle týká jen určitých způsobů zpracování (nejčastěji shromažďování údajů) a správce pak provádí další způsoby (např. uchovávání údajů a jejich předávání).

Z pohledu odpovědnosti za zpracování osobních údajů nelze být zároveň v postavení správce a zpracovatele, resp. při zpracování za jedním účelem nelze být v obou pozicích, subjekt však může být pro jeden účel správce a pro jiný zpracovatelem. Jestliže určitý, např. podnikatelský subjekt je správcem osobních údajů, nemůže žádná z jeho organizačních složek byt současně vůči témuž zpracování týchž osobních údajů zpracovatelem. Případné nesprávné nebo jinak nepřesné používání termínů správce a zpracovatel na postavení a povinnostech podnikatelského subjektu nic nemění.[8]

Podstatné pro rozlišení jejich postavení a určení vzájemného vztahu je, že se správce rozhodl (nebo mu to bylo určeno zákonem) vykonávat nějakou činnost, jejíž nezbytnou součástí je zpracování osobních údajů, a dále skutečnost, že určí prostředky zpracování. Zpracovatel vykonává svou činnost ve chvíli, kdy se správce rozhodne, že některou z činností nebude provádět sám, ale využije služeb jiného subjektu, který vykonává tuto činnost pro správce, resp. místo něj a stává se tak v oblasti ochrany osobních údajů dodavatelem služeb.

Často také dochází k diskuzím, které vychází ze znění článku 4 odst. 2 Obecného nařízení (GDPR), podle něhož je zpracováním jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení. Tato problematika se týká zejména oblasti IT, především provádění různých servisních prací.

Vzhledem k tomu, že zpracovatel je subjekt odlišný od správce, v drtivé většině určený správcem, aby za něj prováděl zpracování osobních údajů, z povahy věci tak musí jít o subjekt, který je pověřen, na základě pokynů správce, provádět operace zpracování s osobními údaji, které by jinak prováděl správce sám. Lze zjednodušit, že zpracovatel představuje pouze náhradu prostředků zpracování, kterými správce sám nemusí nebo nechce z různých důvodů disponovat. V případě, že poskytování servisních prací, jejichž předmět v žádném aspektu nespočívá v operacích zpracování osobních údajů, ale při jejichž výkonu nelze vyloučit nahlédnutí na osobní údaje servisním pracovníkem, bychom považovali za zpracování s výskytem zpracovatele, tvrdili bychom de facto, že „teoretické nahlížení na osobní údaje“ je operací zpracování, kterou správce pověřil zpracovatele.

Smlouvou o zpracování osobních údajů se velmi často kryje právě riziko vyplývající z možného zneužití osobních údajů (informací) i v těch případech, kdy osobní údaje nejsou předmětem činnosti poskytovatele servisních (IT) služeb, ale jsou možná teoretická možnost nahlédnutí, a tedy i zneužití. Taková praxe je však nesprávná.[9]

Škola vždy bude patřit mezi správce, jejichž postavení je určeno zákonem. Zákony stanoví povinnost zpracovávat osobní údaje za určitými účely (např. vedení školní matriky). Mezi právní předpisy, které se nejvíce dotýkají činnosti škol a školských zařízení, patří školský zákon, vyhláška č. 48/2005 Sb., o základním vzdělávání a některých náležitostech plnění povinné školní docházky, ve znění pozdějších předpisů, zákon č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů, vyhláška MŠMT č. 27/2016 Sb., o vzdělávání žáků se speciálními vzdělávacími potřebami a žáků nadaných, ve znění pozdějších předpisů, zákon č. 359/1999 Sb., o sociálně-právní ochraně dětí, ve znění pozdějších předpisů, vyhláška MŠMT č. 72/2005 Sb., o poskytování poradenských služeb ve školách a školských poradenských pracovištích, ve znění pozdějších předpisů.

Zároveň škola obvykle spadá i do skupiny správců (může, ale nemusí), kteří samostatně rozhodují o rozsahu, účelu a prostředcích zpracování určitých osobních údajů (např. v případě, kdy se škola rozhodne instalovat kamerový systém se záznamem).

Účelem se chápe cíl, smysl dané činnosti, to, proč ke zpracování osobních údajů dochází. Při zpracování osobních údajů, které škole ukládá zákon, škola neurčuje účel zpracování, ten je určen tímto zákonem. Přesto je vhodné i tyto účely identifikovat a nazvat pro účely vedení záznamů o zpracování osobních údajů.

Prostředky se rozumí nástroje a zvolené postupy pro konkrétní zpracování. Obecné nařízení (GDPR) rozeznává zpracování:

a) automatizované, kdy dochází ke zpracování osobních údajů v elektronické podobě a prostředky zpracování osobních údajů jsou např. počítače, kamerové systémy, a

b) manuální, kdy dochází ke zpracování osobních údajů v listinné podobě a prostředky zpracování osobních údajů jsou např. kartotéky vedené v listinné podobě.

Subjekt údajů

Dalším důležitým pojmem je pojem subjekt údajů. Zákon o ochraně osobních údajů obsahoval definici, která uváděla, že subjektem údajů je fyzická osoba, k níž se osobní údaje vztahují.[10]

Obecné nařízení (GDPR) samostatnou definici subjektu údajů neobsahuje. Je součástí definice osobního údaje –veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen „subjekt údajů“).

Obecné nařízení (GDPR) se tedy vztahuje pouze na údaje osob fyzických, nikoli osob právnických. Problémy však v minulosti nastávaly u fyzických osob podnikajících. Pohled byl takový, že i fyzická osoba podnikající může být subjektem údajů a jako taková může být zasažena ve svém soukromí, avšak pouze v závislosti na skupině zpracovávaných osobních údajů. Pokud byly zpracovávány pouze osobní údaje týkající se osoby coby podnikatelského subjektu a údaje, které se týkaly pouze její podnikatelské aktivity, nemohlo – vzhledem k tomu, že podnikání není činností, jež by byla s to zasáhnout do soukromí, neboť se netýká soukromí tak, jak jej chápe občanské právo – dojít k neoprávněnému zásahu do soukromí. Takovým údajům proto nebyla přiznána ochrana podle tohoto zákona.

Graficky je možné výše uvedené znázornit takto:

Tento výklad však již byl překonán. Postupně se ukázalo, že většina údajů týkající se fyzických osob podnikajících jakožto podnikatele se překrývá s osobními údaji vztahujícími se k jejich soukromí. Osobní údaje fyzické osoby podnikající jsou proto v současné době považovány za údaje, které požívají ochrany Obecného nařízení (GDPR).

Vážení čtenáři, právě jste dočetli ukázku z knihy GDPR - Řešení problémů v praxi škol.
Pokud se Vám líbila, celou knihu si můžete zakoupit v našem e-shopu.