Záznamy o činnostech zpracování a školní jídelny

Záznam o činnostech zpracování je písemný dokument, který definuje typ zpracování osobních údajů. Pro každý typ zpracování musí být veden samostatný záznam. Není tedy nutné zaznamenávat každé jednotlivé zpracování osobních údajů konkrétního člověka. Záznam o činnostech zpracování je jakousi náhradou za oznamovací povinnost, která byla GDPR zrušena. Záznamy je nutné na žádost je zpřístupnit Úřadu pro ochranu osobních údajů (dále jen ÚOOÚ). Záznam totiž primárně slouží ÚOOÚ jako vodítko k tomu, aby se zorientoval v tom, jak v dané organizaci probíhá zpracování osobních údajů. ÚOOÚ bude také posuzovat, zda faktické zpracování v organizaci probíhá tak, jak je popsáno v záznamech o činnostech zpracování.

Záznamy o činnostech zpracování je nutné vést písemně, přičemž za písemnou podobu se považují i záznamy vedené v elektronické podobě. Záleží tedy na správci, zda se rozhodne tyto záznamy mít uložené na počítači nebo je mít vytištěné a založené v pořadači.

Povinnost vést záznamy o činnostech zpracování osobních údajů dopadá prakticky na všechny subjekty, které osobní údaje zpracovávají. GDPR sice stanovuje výjimku z této povinnosti pro společnosti a organizace, které zaměstnávají méně než 250 zaměstnanců, avšak tato výjimka má opět své výjimky. Pokud správce zpracovává osobní údaje nikoliv příležitostně nebo je toto zpracování rizikové nebo zahrnuje citlivé údaje, pak musí dotyčný správce vést záznamy o činnostech zpracování, i když má méně než 250 zaměstnanců.

U školních jídelen je nutné vzít v potaz, zda je školní jídelna součástí právnické osoby, nebo samostatná příspěvková organizace. U školních jídelen, které jsou součástí určité právnické osoby, a tedy samy nemají právní subjektivitu, bude záznamy o činnosti zpracování vést právnická osoba, a to jak záznamy o činnosti zpracování „pro základní školu“, tak „pro školní jídelnu“.

Školní jídelny, které mají právní subjektivitu, budou muset samy vést záznamy o činnostech zpracování, i když zaměstnávají méně než 250 zaměstnanců. Je to z toho důvodu, že z povahy své činnosti uzavírají smlouvy se strávníky a evidují, kdo si oběd vyzvedl, kdo zaplatil atd. Z toho důvodu se domníváme, že školní jídelna nezpracovává osobní údaje příležitostně, čímž na ni nedopadne výjimka z povinnosti vést záznamy o činnostech zpracování osobních údajů. Všechny školní jídelny nezávisle na své právní formě budou muset vést záznamy o činnostech zpracování osobních údajů.

Na tvorbu záznamu o činnostech zpracování je nutné se připravit. Školní jídelna si nejprve určí agendy, ve kterých zpracovává osobní údaje. Zpravidla se bude jednat o jednu až tři agendy, podle toho, zda některé agendy převezme škola, či nikoliv. Jednou agendou bude zajištění stravování, druhou agendou bude personální činnost. V případě, že školní jídelny využívají kamerový systém k monitoringu bezpečnosti či zveřejňují fotografie ze svých akcí, přibude jim ještě zpracování za účelem zajištění bezpečnosti či za marketingovými účely.

Záznam musí obsahovat:

Pokud si vezmeme příklad poskytování stravování, pak bude účelem zpracování plnění smlouvy o zajištění stravování se strávníkem a kategorií subjektů údajů budou žáci škol, učitelé, senioři, atd.

Ačkoliv je primárním účelem záznamu o činnostech zpracování informování ÚOOÚ o tom, jaké údaje školní jídelna zpracovává, může je jídelna využít i k jiným účelům. V některých školních jídelnách mohou sloužit i jako manuál pro pověřené pracovníky, které osobní údaje mohou při realizaci smlouvy se strávníky zpracovávat.

Domníváme se, že školní jídelny se k 25. květnu 2018 nevyhnou povinnosti vést záznamy o činnostech zpracování osobních údajů. Proto by si měly ujasnit, jaké osobní údaje v jakých procesech zpracovávají. Na základě toho vypracují tyto záznamy, které obecně popisují, jak jsou osobní údaje zpracovány v jednotlivých agendách školní jídelny.