Používání souhlasů se zpracováním osobních údajů ve školách je tématem, které nepozbývá na aktuálnosti. Před příchodem obecného nařízení o ochraně osobních údajů (GDPR) školy často využívaly tzv. generální souhlasy. Ty zněly tak, aby pokryly jakékoli zpracování za jakýmkoliv účelem, např. „souhlasím se zpracováním osobních údajů mého dítěte pro potřeby školy“. Tento souhlas nebyl v souladu ani s předchozí právní úpravou, tím spíše nenaplňuje požadavky GDPR. Přesto některé školy nedokážou z těchto kolejí vyjet a generální souhlas používají stále.
Jiné školy se vydaly opačnou cestou. Pro jistotu požadují souhlas i pro činnosti a zpracování, které buď vyplývají ze zákona, nebo mají jiný právní základ podle čl. 6 odst. 1 GDPR. Pro takováto zpracování pochopitelně žádný souhlas nutný není. Tento nepřesný postup vyplývá mimo jiné ze staré metodiky MŠMT, kde se uvádělo, že v případě důvodných pochybností o tom, zda zpracování konkrétních údajů má oporu v zákoně, lze doporučit obstarat si výslovný konkrétní informovaný souhlas subjektu údajů. Šlo tedy o jakýsi souhlas „pro jistotu“. Tento názor byl však již překonán a v revidované metodice se MŠMT přiklání k názoru, že zpracování osobních údajů na základě souhlasu je v prostředí škol zcela okrajové.
Kdy může škola zpracovávat osobní údaje?
Souhlas je možné vyžadovat jen tam, kde správci (škole/školskému zařízení) nesvědčí jiný zákonný důvod. Byť je souhlas v čl. 6 GDPR uveden na prvním místě, v praxi je obvyklé hledat jiný právní důvod a souhlas využít jen „v případě nouze“.
Tím jiným právním důvodem je při činnosti škol a školských zařízení především plnění právní povinnosti [čl. 6 odst. 1 písm. c) GDPR]. V případě zákonného zpracování není potřebný souhlas subjektu údajů, subjekt údajů nemůže v dané situaci rozhodovat. Nesmí však dojít k překročení zákonných limitů a zpracovávat osobní údaje nad rámec zákona.
Jak uvádí MŠMT ve své metodice: „V případě zákonného zpracování souhlas subjektu údajů není potřebný ani relevantní; vyžadování souhlasu v takových případech by naopak mohlo být nezákonné. Je však třeba zohlednit, že plnění zákonné povinnosti může být uchopeno extenzivně (velmi široce) nebo restriktivně (úzce v mezích zákonné úpravy), přičemž zpracovávání osobních údajů na základě zákona by mělo být prováděno plně v souladu s účelem – nezpracovávat údaje v množství, v čase a rozsahu, který nepotřebuji pro plnění zákonné povinnosti... Zcela výjimečně v případě důvodných pochybností o tom, co ještě zákon dovoluje, lze doporučit obstarat si svolení osoby, které se to týká; takový postup bez pochybností vyjadřuje respekt k člověku, na němž je třeba nejen ve školství trvat. To platí také v případě zpracování osobních údajů získaných na základě zákona nad rámec účelu vymezeného zákonem.
Např. škola je oprávněna zpracovávat osobní údaje týkající se poskytnutých podpůrných opatření dle § 16 školského zákona, a to výslovně dle § 28 odst. 2 písm. f) téhož zákona. V případě, že údaje o poskytnutém podpůrném opatření konkrétnímu žákovi nebo studentovi bude chtít škola zpracovávat dále - evidovat jinde než v dokumentaci školy, poskytnout tyto osobní údaje třetí osobě (např. zřizovateli pro účely zanesení do jeho informačních systémů, poskytovatelům doučovacích kurzů nebo prodejcům speciálních školních pomůcek apod.) musí si škola za tímto účelem obstarat předchozí souhlas žáka, studenta nebo zákonného zástupce.“
Souhlas je někdy nezbytný
Jak již bylo uvedeno, dříve školy vyžadovaly souhlasy pro různé činnosti, například pro vystavení školních prací v prostorách školy a na akcích pořádaných školou, pro přihlášky a evidence (seznamy) na další aktivity - plavání, dopravní hřiště, školy v přírodě, lyžařský kurz, přihlášení do soutěží, přehled výchovně vzdělávací práce (záznamy), pro přihlášky do soutěží atd. Pro tyto aktivity ani podle současného výkladu MŠMT není souhlas zapotřebí.
Pro které činnosti a zpracování tedy školy i nadále musí získávat souhlas se zpracováním osobních údajů žáků získávat?
Typickou situací je pořizování fotografií, audio a video záznamů a jejich další použití.
K této problematice se vyjádřil také Úřad pro ochranu osobních údajů (ÚOOÚ), který uvedl, že „V případech pořizování a zveřejňování reportážních fotografií z činnosti školy (situační záběry z vyučování, soutěží, dílen, veřejných vystoupení žáků apod.) se nejedná primárně o problematiku ochrany osobních údajů, ale o ochranu soukromí, tj. o postup podle ustanovení § 84 a násl. občanského zákoníku, která upravují pořizování a používání podobizny. Souhlas se zpracováním osobních údajů k „ilustračním“ snímkům tedy není třeba vyžadovat. Získání svolení zákonných zástupců dítěte se šířením jeho podoby podle § 85 občanského zákoníku lze však zejména v případě zveřejňování detailních záběrů doporučit“.
To platí zejména v případě, jsou-li fotografie zveřejňovány na sociálních sítích, které mají funkci rozeznávání obličeje, umožňují sdílení, lajkování apod. Fotografie při takovém zveřejnění žije vlastním životem a není možné ovlivnit, jak bude využita či zneužita.
A ÚOOÚ dodává: „Jsou-li fotografie zveřejněny v souladu s občanským zákoníkem, není porušením povinností při zpracování osobních údajů ani připojení stručných doprovodných informací v tisku či na webu školy zveřejněných z důvodu propagace slušného chování a šíření povědomí o vhodných, správných a slušných způsobech společenského chování a mezilidských vztahů v rámci školní výuky i výchovy mimoškolní. Jedná se obvykle o kratší zprávy jako např. „Hanička s Evičkou nám pomohly vyzdobit třídu.“, „Vojtěch Novák z 8. C získal pěkné druhé místo na chemické olympiádě.“ či „Starosta města poděkoval našemu žáku Liboru Novákovi za příkladné chování v situaci, kdy na koupališti zachránil tonoucí spolužačku.“ Přirozeně všechny takové popisy mohou být doprovázeny fotografií“.
Hranice mezi výše uvedenými situacemi, při kterých jsou pořizovány a zveřejňovány fotografie, audio nebo video záznamy, může být velmi tenká. Pořízení a zveřejnění každé fotografie či záznamu je proto nezbytné pečlivě zvážit. Odborníci doporučují jako klíč využít nikoli pohledu „co je na fotografii“, ale „k jakému účelu byla pořízena“. Jestli mají fotografie nebo záznam za cíl ukazovat činnost školy, její aktivity či průběh a atmosféru konkrétní akce nebo konkrétního žáka.
Není fotka jako fotka
Z pohledu účelu a důvodu pořízení snímku můžeme fotografie nebo audio či video záznamy rozlišovat na
Dokumentační – zachycují primárně dění, nikoli konkrétní osoby, nezahrnují blízký, detailní záběr na jednotlivé lidi. K pořízení fotografií či záznamů tohoto charakteru za účelem obecně informovat o školní aktivitě není třeba svolení podle občanského zákoníku ani souhlas podle GDPR.
Dokumentační se zachycením osob - V případech pořizování a zveřejňování reportážních fotografií či audio nebo video záznamů z činnosti školy (situační záběry z vyučování, soutěží, dílen, veřejných vystoupení žáků apod.) se nejedná primárně o problematiku ochrany osobních údajů, ale o ochranu soukromí, tj. o postup podle ustanovení § 84 a násl. občanského zákoníku, která upravují pořizování a používání podobizny. K jejích pořízení je nutné svolení žáka, resp. jeho zákonného zástupce.
Zachycení konkrétní a identifikované nebo snadno identifikovatelné osoby s přidáním podrobného komentáře s osobními údaji – nezbytný souhlas podle GDPR.
Školní e-maily jen se souhlasem
Druhý nejčastějším zpracováním, které je možné provádět jen se souhlasem, je zřizování školních e-mailových účtů dětem. S touto praxí školy začaly v době covidu a distanční výuky. Komunikace prostřednictvím e-mailů se osvědčilo, proto v něm řada škol pokračuje. Tyto e-mailové účty mohou být využity k autorizaci pro přihlášení k online nástrojů pro výuku (Teams, ZOOM, Google Meet) nebo pouze pro komunikaci vyučujících se žákem pomocí e-mailu (provozovaného Seznam, Google, apod.).
Zřízené e-mailové účty přetrvaly a jsou využívány i při prezenční výuce a jsou zřizovány i nově příchozím žákům a studentům.
Vzhledem k tomu, že tato činnost, elektronická či online komunikace, přímo nevyplývá pro školy ze zákona jako povinnost, a ve většině případů e-mailové adresy spravují právě školy, je pro související zpracování nutné také získat souhlas. Platí to jak pro zřízení účtu, tak pro jeho další využívání.
