Také školních družin se dotkne nové Obecné nařízení o ochraně osobních údajů (dále jen „GDPR“). Ačkoliv školní družiny zpravidla nezpracovávají takové množství osobních údajů jako školy samotné, některým povinnostem z GDPR se jednoduše nevyhnou.
Právní důvody zpracování osobních údajů ve školní družině
Mgr.
Alice
Frýbová
právnička z Holubová advokáti, s. r. o., specialistka na ochranu osobních údajů
RNDr. Ing.
Eva
Urbanová
lektorka, Centrum školského managementu PedF UK
Stejně jako školy i školní družiny by měly začít tím, že zjistí, které osobní údaje žáků a zaměstnanců zpracovávají. Ve chvíli, kdy si družina ujasní, co všechno o žácích, rodičích a zaměstnancích ví, přichází fáze zhodnocení, zda jsou tyto osobní údaje zpracovávány v souladu s GDPR. Pokud je družina součástí školy, což zpravidla bude, je to ideální příležitost postupovat s ní společně a udělat si v procesech zpracování osobních údajů pořádek.
Právní důvody zpracování
Ve chvíli, kdy si školní družina ujasní, jaké osobní údaje sbírá a co všechno s nimi dělá, přichází fáze zhodnocení. V té musí školní družina posoudit, zda disponuje tzv.
právním důvodem zpracování.
Pokud ano, je zpracování v souladu s GDPR, pokud nikoliv, dopouští se školské zařízení přestupku a může mu být uložena sankce.Čl. 6 GDPR upravuje šest právních důvodů zpracování „běžných“, tedy nikoliv citlivých, osobních údajů. Těmi jsou
souhlas subjektu údajů se zpracováním osobních údajů, plnění smlouvy, splnění jiné právní povinnosti, splnění úkolu prováděného ve veřejném zájmu, ochrana životně důležitých zájmů fyzické osoby a oprávněný zájem správce osobních údajů
. Nicméně školní družiny nebudou moci ve většině případů spoléhat na to, že by mohly jako důvod zpracování uplatnit oprávněný zájem správce osobních údajů, proto je tento důvod dále ponechán stranou. Na následujících příkladech bude vysvětleno, jak by školní družiny měly aplikovat tyto právní důvody při vyhodnocování zákonnosti zpracování osobních údajů.Školní družina se s osobními údaji žáků a jejich zákonných zástupců
setká zpravidla poprvé v souvislosti s
vyplněnou přihláškou do školní družiny.
Zde musí zákonní zástupci žáka vyplnit údaje o sobě a svém dítěti. Každý tento údaj by měl být zanalyzován podle příslušných ustanovení GDPR (tedy zejm. čl. 6 a 9 GDPR). Jméno, příjmení, třída, bydliště, datum narození nebo doba, kdy bude ve školní družině, jsou nutné pro identifikaci samotného dítě a posouzení, zda má dítě přednostní nárok na přijetí do školní družiny. Stejně tak základní osobní údaje o zákonných zástupcích dítěte, včetně telefonního čísla, představují údaje nutné pro identifikaci zákonného zástupce dítěte a plnění smlouvy. Tím je naplněn právní důvod podle čl. 6 odst. b), příp. odst. c) GDPR, tedy tyto osobní údaje jsou nutné pro splnění smlouvy o zájmovém vzdělávání, příp. pro splnění povinnosti, která se na školní družiny jakožto správce osobních údajů vztahuje. Sběr těchto údajů je bez dalšího legální.Některé další údaje, které jsou taktéž používány v přihláškách, už nejdou podřadit pod podmínku splnění smlouvy, nicméně pro školní družinu bude užitečné, aby tyto údaje evidovala. Jedná se např. o
údaj o zdravotní pojišťovně dítěte.
Tu školní družiny evidují pro případ úrazu dítěte, aby v případě nutnosti byla školní družina schopna u lékaře prokázat, u které zdravotní pojišťovny je dítě pojištěno. Je jasné, že úrazy se ve školních družinách čas od času stávají a lékaři tuto informaci potřebují. Sběr a zpracování údaje o zdravotní pojišťovně dítěte bude kryt čl. 6 odst. 1 písm. d), tedy že zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů, tedy dítěte, a je bez dalšího legální.Nicméně, co už legální nebude a bude v rozporu nejen s GDPR, ale i zákonem č. 198/2009 Sb., o rovném zacházení a o právních prostředcích ochrany před diskriminací a o změně některých zákonů, známém jako tzv. antidiskriminační zákon, je požadavek na údaj, zda je matka dítěte ženou v domácnosti, pokud stejný dotaz nefiguruje u otce. Z hlediska ochrany osobních údajů je samotný požadavek na znalost této informace sporný, protože skutečnost, zda matka je ženou v domácnosti, by neměl mít vliv na poskytování zájmového vzdělání ve školní družině. Školní družina nebude mít žádný právní důvod podle čl. 6 GDPR, aby tento osobní údaj vyžadovala. Situace, kdy je tento údaj vyžadován po matce, ale nikoliv již po otci, je navíc diskriminační.