Školní jídelny a právní důvody zpracování osobních údajů

Při revizi procesů zpracování osobních údajů by měla jídelna zvolit následující postup. Nejprve by si měla fyzických osob, zejména strávníků. Ve chvíli, kdy si jídelna ujasní, jaké osobní údaje sbírá a co všechno s nimi dělá, přichází V té musí jídelna posoudit, zda disponuje tzv. právním důvodem zpracování. Pokud ano, je zpracování v souladu s GDPR, pokud nikoliv, dopouští se jídelna přestupku a může jí být uložena sankce.

Čl. 6 GDPR upravuje šest právních důvodů zpracování osobních údajů, kterými jsou: souhlas subjektu údajů se zpracováním, plnění smlouvy, splnění jiné právní povinnosti, splnění úkolu prováděného ve veřejném zájmu, ochrana životně důležitých zájmů fyzické osoby a oprávněný zájem správce osobních údajů. Nicméně školní jídelny nebudou moci ve většině případů spoléhat na to, že by mohly jako důvod zpracování uplatnit oprávněný zájem správce osobních údajů, proto je tento důvod dále ponechán stranou. Na níže uvedených příkladech bude vysvětleno, jak se tyto právní důvody zpracování projeví v praxi jídelen.

Typickým důvodem zpracování osobních údajů bude Jedná se zpravidla o zákonné povinnosti, kdy zákon přímo ukládá povinnost školskému zařízení sbírat a jinak zpracovávat osobní údaje. Pro školní jídelny je v tomto smyslu zejm. zákon č. 561/2004 Sb., školský zákon (dále jen "ŠZ"). Ten v ust. § 28 definuje dokumentaci, kterou jsou školská zařízení, tedy i školní jídelny, povinny vést. Např. podle § 28 odst. 1 písm. k) vedou školská zařízení mimo jiné personální a mzdovou dokumentaci. Převedeno do řeči GDPR, školní jídelny sbírají, a tím zpracovávají osobní údaje zaměstnanců v rozsahu, ve kterém plní tuto povinnost. Všechny tyto osobní údaje jsou sbírány za účelem splnění právní povinnosti, a to povinnosti uvedené v ust. § 28 odst. 1 písm. k) ŠZ. Sbírání těchto informací za účelem vedení personální a mzdové dokumentace je tedy bez dalšího legální.

Dalším důvodem zpracování, do jisté míry obdobným, je Pojem veřejný zájem není definován, proto lze školním jídelnám pouze doporučit hledat v konkrétním případě jiné právní důvody či se v případě nejistoty obrátit na právníky. Nicméně, pokud se jídelny domnívají, že zpracovávají osobní údaje ve veřejném zájmu, měly by se pokusit o zdůvodnění. Školní jídelny by se mohly v některých případech odvolat např. na ochranu veřejného zdraví, což je cíl definovaný v zákoně č. 258/2000 Sb., o ochraně veřejného zdraví a o změně některých souvisejících zákonů. Pokud tedy školní jídelna nemá konkrétní zákonnou povinnost zpracovávat osobní údaje, ale činí tak za účelem ochrany veřejného zdraví, může v některých situacích naplnit podmínku plnění úkolu ve veřejném zájmu, čímž prokáže zákonnost zpracování osobních údajů.

Třetím důvodem zpracování osobních údajů je Školní jídelny uzavírají vedle pracovních smluv smlouvy o školním stravování. Aby školní jídelna mohla vůbec takovou smlouvu uzavřít, potřebuje znát identitu strávníka jako strany smlouvy. Jinými slovy, bez toho, aby jídelna věděla, jak se jmenuje žák, se kterým se uzavírá smlouva, nelze smlouvu vůbec uzavřít. Dále musí evidovat platby za plnění smlouvy. Toto činí za účelem plnění smlouvy, a má tak právní důvod zpracování osobních údajů uvedený v čl. 6 odst. 2 GDPR.

V neposlední řadě je možné zpracovávat osobní údaje, pokud je to nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby. Mohlo by se třeba stát, že v jídelně dostane žák alergickou reakci a zaměstnanec jídelny předá informace, které má o zdravotním stavu žáka, záchranné službě. Zpracování těchto údajů, tedy jejich předání zdravotnickému zařízení, je kryto právním důvodem nezbytnosti pro ochranu životně důležitých zájmů.

Školní jídelny se však mohou dostat do situace, kdy se ani jeden z výše uvedených důvodů neuplatní. Jídelna tedy zpracovává některé osobní údaje, ale neexistuje předpis, který by jí to přikazoval, ani jiný právní důvod. V tom případě potřebuje souhlas se zpracováním osobních údajů. Souhlasem jakožto velmi problematickým jevem se budeme zabývat v dalším ze série článků o GDPR.