Od účinnosti "Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES" (Obecné nařízení o ochraně osobních údajů) (dále jen "GDPR") uplynulo několik měsíců. Školy a školská zařízení získaly první zkušenosti se zaváděním příslušných opatření do praxe. Článek je věnován shrnutí typických případů a upozornění na některé situace, které mohou z pohledu zpracování osobních údajů vyvolávat problémy.
Školní jídelny a GDPR - některá shrnutí a upozornění
PhDr. Mgr.
Monika
Puškinová,
Ph.D.,
poradenské služby ve školství
Mgr.
Alice
Frýbová,
specialistka na ochranu osobních údajů, AK Holubová advokáti, s. r. o.
Musíme získat souhlas se zpracováním osobních údajů?
Nejprve stručně zopakujme informace, která již byly uvedeny v jiných článcích1). Abychom odpověděli na výše uvedenou otázku, je nutné vyjít z čl. 6 odst. 1 GDPR, který zakotvuje právní základy zpracování osobních údajů. Je potřebné zjistit, zda v daném konkrétním případě zpracování osobních údajů lze, nebo nelze použít některý z právních důvodů zpracování odlišných od udělení souhlasu se zpracováním osobních údajů. Teprve tehdy, když není možné určitý případ zpracování osobních údajů podřadit pod některý z jiných právních důvodů zpracování osobních údajů, osobní údaj se zpracovává na základě udělení souhlasu.
Uvedený postup je schematicky shrnut níže.
I----------------------------------------------------------------------------I
I Lze osobní údaj zpracovávat na základě některého z těchto právních důvodů? I
I I
I 1) splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro I
I provedení opatření přijatých před uzavřením smlouvy na žádost subjektu I
I údajů I
I 2) splnění právní povinnosti správce I
I 3) ochrana životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby I
I 4) splnění úkolů prováděného ve veřejném zájmu nebo při výkonu veřejné I
I moci I
I 5) oprávněné zájmy správce či třetí strany I
I-------------------------------------I--------------------------------------I
I I-------------------I-------------------I
I---I---I I---I---I
I ano I I ne I
I---I---I I---I---I
I I
I-----------------I-----------------I I-----------------I------------------I
I osobní údaj I I osobní údaj I
I se nezpracovává I I se zpracovává I
I na základě uděleného souhlasu I I na základě uděleného souhlasu I
I-----------------------------------I I------------------------------------I
Které případy zpracování osobních údajů bez udělení souhlasu jsou typické a jaká jsou jejich specifika?
I-------------------I--------------------------------------------------------I2)
I Osobní údaje I - osobní údaje uvedené v přihlášce ke školnímu I
I a účel zpracování I stravování nezbytné pro vedení správního řízení o I
I I poskytování (resp. neposkytování) školního I
I I stravování, tj. jméno a příjmení, datum narození a I
I I místo trvalého pobytu žadatele, I
I I - osobní údaje uvedené v přihlášce ke školnímu I
I I stravování nezbytné pro doručení rozhodnutí o I
I I poskytování (resp. neposkytování) školního I
I I stravování zákonnému zástupci nezletilého žadatele, I
I I tj. jméno a příjmení, místo trvalého pobytu, resp. I
I I jiná adresa pro doručování zákonného zástupce I
I I nezletilého žadatele I
I-------------------I--------------------------------------------------------I
I Právní základ I - plnění právní povinnosti, která se na správce I
I zpracování I vztahuje [čl. 6 odst. 1 písm. c) GDPR]; právnická I
I I osoba vykonávající činnost školní jídelny musí I
I I rozhodnout o poskytnutí školního stravování (resp. I
I I přistoupit k faktickému úkonu) a toto rozhodování I
I I musí probíhat v souladu se správním řádem, I
I I - splnění úkolu prováděného při výkonu veřejné moci, I
I I kterým je pověřen správce [čl. 6 odst. 1 písm. e) I
I I GDPR]; výkon veřejné moci spočívá v rozhodování ve I
I I správním řízení I
I-------------------I--------------------------------------------------------I
I Poznámky I - v přihlášce je nutné rozlišovat osobní údaje I
I I nezbytné k vedení správního řízení od osobních I
I I údajů, které nejsou nezbytné k vedení správního I
I I řízení, I
I I - je nutné odlišovat osobní údaje, které musí I
I I správce získat pro vedení správního řízení, od I
I I osobních údajů, které se zpracovávají ve školní I
I I matrice školní jídelny, I
I I - zákonný zástupce žáka, resp. žák, má právo vznést I
I I námitku proti zpracování (čl. 21 odst. 1 GDPR) I
I-------------------I--------------------------------------------------------I
I-------------------I--------------------------------------------------------I
I Osobní údaje I - osobní údaje strávníka (dítěte, žáka, studenta) a I
I a účel zpracování I osobní údaje zákonného zástupce strávníka I
I I zpracovávané za účelem vedení školní matriky školní I
I I jídelny, a to I
I I - jméno a příjmení dítěte, žáka, studenta, I
I I - rodné číslo, popřípadě datum narození, nebylo-li I
I I rodné číslo dítěti, žákovi nebo studentovi I
I I přiděleno, I
I I - státní občanství, I
I I - místo trvalého pobytu, popřípadě místo pobytu na I
I I území České republiky podle druhu pobytu cizince I
I I nebo místo pobytu v zahraničí, nepobývá-li dítě, I
I I žák nebo student na území České republiky, I
I I - datum zahájení a ukončení školního stravování, I
I I - údaje o zdravotní způsobilosti, popřípadě o I
I I zdravotních obtížích, které by mohly mít vliv na I
I I poskytování školního stravování, I
I I - údaje o znevýhodnění dítěte, žáka nebo studenta I
I I uvedeném v § 16 školského zákona, údaje o I
I I mimořádném nadání, údaje o podpůrných opatřeních I
I I poskytovaných dítěti, žákovi nebo studentovi I
I I školským zařízením v souladu s § 16 školského I
I I zákona, a o závěrech vyšetření uvedených v I
I I doporučení školského poradenského zařízení, I
I I - označení školy, v níž se dítě, žák nebo student I
I I vzdělává, I
I I - jméno a příjmení zákonného zástupce, místo I
I I trvalého pobytu nebo bydliště, pokud nemá na území I
I I České republiky místo trvalého pobytu, a adresu I
I I pro doručování písemností, telefonické spojení I
I-------------------I--------------------------------------------------------I
I Právní základ I - plnění právní povinnosti, která se na správce I
I zpracování I vztahuje [čl. 6 odst. 1 písm. c) GDPR]; právnická I
I I osoba vykonávající činnost školní jídelny je povinna I
I I vést školní matriku školní jídelny dle § 28 odst. 3 I
I I školského zákona; v případě, že se současně jedná o I
I I zvláštní kategorii osobních údajů (podle dřívější I
I I terminologie - o citlivé údaje), pak jsou I
I I zpracovávány na základě některého z právních titulů I
I I zpracování uvedených v čl. 9 odst. 2 GDPR I
I-------------------I--------------------------------------------------------I
I Poznámky - rodné I - rodné číslo evidované ve školní matrice je nutné I
I číslo I odlišit od zpracování rodného čísla pro jiné účely, I
I I zejména od zpracování, kdy rodné číslo slouží jako I
I I variabilní symbol při identifikaci platby za školní I
I I stravování, I
I I - vedení školní matriky je výslovně upraveno zákonem I
I I a školní jídelna má povinnost evidovat rodné číslo I
I I dítěte, žáka, studenta (strávník) za účelem vedení I
I I školní matriky [§ 28 odst. 3 písm. a) školského I
I I zákona]; evidováním rodného čísla ve školní I
I I matrice správce splní právní povinnost; v praxi to I
I I znamená, že rodné číslo zpracovává bez udělení I
I I souhlasu žáka nebo studenta, resp. zákonného I
I I zástupce dítěte nebo žáka, I
I I - v případě, že se rodné číslo používá pro I
I I identifikaci platby (jako variabilní symbol I
I I platby), správce zpracovává rodné číslo pro jiný I
I I účel, než je účel vedení školní matriky, I
I I - školský zákon (ani jiný právní předpis) nestanoví I
I I povinnost správce zpracovávat rodné číslo za I
I I účelem identifikace platby, proto (pokud správce I
I I používá rodné číslo pro účely identifikace platby) I
I I musí zpracovávat rodné číslo na jiném právním I
I I základu, než je plnění právní povinnosti, I
I I - rodné číslo je specifický osobní údaj
a v I3)
I I souladu s § 13c zákona č. 133/2000 Sb., o evidenci I
I I obyvatel a o rodných číslech a o změně některých I
I I zákonů (zákon o evidenci obyvatel), v platném I
I I znění, lze (zjednodušeně řečeno) rodné číslo I
I I zpracovávat, a) pokud zpracování stanoví zákon I
I I nebo b) se souhlasem nositele rodného čísla nebo I
I I jeho zákonného zástupce, I
I I - proto školní jídelna nesmí zpracovávat rodné číslo I
I I jako variabilní symbol, jestliže nedisponuje I
I I souhlasem zákonného zástupce dítěte nebo žáka, I
I I resp. žáka nebo studenta, ke zpracování rodného I
I I čísla za účelem identifikace platby za školní I
I I stravování; pozitivně vyjádřeno - školní jídelna I
I I může zpracovávat rodné číslo za účelem I
I I identifikace platby tehdy, když k tomu zákonný I
I I zástupce dítěte nebo žáka, resp. žák nebo student I
I I udělil souhlas dle čl. 6 odst. 2 písm. a) GDPR I
I I
, I
I I - autorky však školním jídelnám doporučují I
I I nezpracovávat rodné číslo pro identifikaci platby I
I I (tj. jako variabilní symbol platby) a doporučují I
I I využívat jako variabilní symbol jiný identifikátor I
I I (např. datum narození, číslo jednací přihlášky, I
I I číslo pořadí podání přihlášky) I
I-------------------I--------------------------------------------------------I
I Poznámky - státní I - osobní údaj o státním občanství nelze ztotožňovat I
I občanství a I s osobním údajem o národnosti I
I národnost I - státní občanství je příslušnost člověka ke státu, I
I I která je definována jako právní svazek mezi osobou I
I I a státem a neoznačuje etnický původ osoby [viz I
I I čl. 2 písm. a) Evropské úmluvy o státním občanství I
I I vyhlášené pod č. 76/2004 Sb. m. s.], I
I I - v České republice se státní občanství zpravidla I
I I nabývá narozením občanům České republiky, I
I I - státní občanství je uvedeno v občanském průkazu či I
I I v cestovním pase, I
I I - národnost je věcí čistě subjektivní, vyjadřuje to, I
I I čím, resp. kým se člověk cítí být; podle I
I I § 2 odst. 2 zákona č. 273/2001 Sb., o právech I
I I národnostních menšin a o změně některých zákonů, v I
I I platném znění, příslušníkem národnostní menšiny je I
I I občan České republiky, který se hlásí k jiné než I
I I české národnosti a projevuje přání být považován I
I I za příslušníka národnostní menšiny spolu s I
I I dalšími, kteří se hlásí ke stejné národnosti, I
I I - školní jídelny jsou oprávněny požadovat státní I
I I příslušnost strávníka, nikoliv národnost, I
I I - požadavek na uvedení národnosti je považován za I
I I diskriminační a v prostředí školních jídelen je I
I I těžko obhajitelný, I
I I - autorky důrazně varují školní jídelny před tím, I
I I aby vyžadovaly sdělení národnosti strávníka I
I I (dítěte, žáka, studenta) I
I I - státní občanství strávníka má v některých I
I I případech vliv na podmínky, za kterých má strávník I
I I přístup ke školnímu stravování (viz § 20 odst. 1 a I
I I 2 školského zákona): I
I I - občané Evropské unie a jejich rodinní příslušníci I
I I mají přístup ke školským službám podle školského I
I I zákona, tj. i ke školnímu stravování, za stejných I
I I podmínek jako občané ČR, I
I I - ostatní strávníci (tj. osoby, které nejsou občany I
I I EU ani jejich rodinnými příslušníky) mají přístup I
I I ke školnímu stravování za stejných podmínek jako I
I I občané ČR, pokud jsou žáky základní školy, I
I I odpovídajícího ročníku střední školy nebo I
I I odpovídajícího ročníku konzervatoře; mají přístup I
I I ke školským službám podle školského zákona za I
I I stejných podmínek jako občané ČR, pokud mají právo I
I I pobytu na území ČR na dobu delší než 90 dnů, I
I I popřípadě pokud jsou osobami oprávněnými pobývat I
I I na území ČR za účelem výzkumu, azylanty, osobami I
I I požívajícími doplňkové ochrany, žadateli o udělení I
I I mezinárodní ochrany nebo osobami požívajícími I
I I dočasné ochrany I
I-------------------I--------------------------------------------------------I
I Poznámky - údaje I - údaje o zdravotních obtížích, které by mohly mít I
I o zdravotních I vliv na poskytování školního stravování; obvykle I
I obtížích I jsou tyto osobní údaje uvedené v potvrzení I
I I registrujícího lékaře, které je jednou z podmínek I
I I poskytování dietního stravování (§ 2 odst. 4 I
I I vyhlášky č. 107/2005 Sb., o školním stravování, v I
I I platném znění); v tomto případě školní jídelna I
I I zpracovává osobní údaje na základě čl. 6 odst. 2 I
I I písm. c) (tj. právním základem zpracování je plnění I
I I právní povinnosti) a čl. 9 odst. 2 písm. h) GDPR I
I I (tj. zpracování je nezbytné pro účely poskytování I
I I zdravotní nebo sociální péče či léčby), I
I I - údaje o zdravotních obtížích, které by mohly mít I
I I vliv na poskytování školního stravování, může uvádět I
I I zákonný zástupce dítěte, žáka nebo žák či student, I
I I který nežádá o přípravu dietní stravy podle I
I I speciálních receptur, ale v rámci "běžného" I
I I stravování sděluje, že při stravování dítěte je I
I I nutné vyloučit některé potraviny (např. citrusy); I
I I také v tomto případě školní jídelna zpracovává I
I I osobní údaje na základě čl. 6 odst. 2 písm. c) a I
I I čl. 9 odst. 2 písm. h) GDPR, I
I I - školní jídelny by neměly shromažďovat osobní údaje I
I I o zdravotních obtížích strávníků, jestliže nemají I
I I vliv na poskytování školního stravování; je vhodné, I
I I aby školní jídelny v tomto smyslu upravily I
I I formuláře, pomocí kterých získávají podklady pro I
I I vedení školní matriky školní jídelny, a v této části I
I I "mechanicky" nepřebíraly formuláře pro vedení školní I
I I matriky školy I
I-------------------I--------------------------------------------------------I
I-------------------I--------------------------------------------------------I
I Osobní údaje I - jméno a příjmení zpracovávané v seznamech žáků I
I a účel zpracování I proto, aby škola zjistila zájem o poskytování I
I I školního stravování v době prázdnin I
I-------------------I--------------------------------------------------------I
I Právní základ I - oprávněný zájem správce [čl. 6 odst. 1 písm. f) I
I zpracování I GDPR]; správce má oprávněný zájem na zajištění I
I I hospodárného provozu školní jídelny I
I-------------------I--------------------------------------------------------I
I Poznámky I - uvedené seznamy však musí obsahovat pouze nezbytné I
I I údaje, smí být přístupné jen osobám, které běžně I
I I pobývají ve školní jídelně, musí být přístupné jen I
I I po nezbytně nutnou dobu (např. se uvede jméno a I
I I příjmení strávníka; seznam, do kterého se zapisují I
I I jednotliví žáci, je umístěn v šatně školy po dobu I
I I jednoho týdne) I
I I - zákonný zástupce žáka, resp. žák má právo vznést I
I I námitku proti zpracování (čl. 21 odst. 1 GDPR) I
I-------------------I--------------------------------------------------------I
I-------------------I--------------------------------------------------------I
I Osobní údaje I - jméno a příjmení zaměstnance uvedené v rozpisech I
I a účel zpracování I dohledů ve školní jídelně I
I-------------------I--------------------------------------------------------I
I Právní základ I - právním základem zpracování osobních údajů je I
I zpracování I oprávněný zájem správce [čl. 6 odst. 1 písm. f) I
I I GDPR]; správce má oprávněný zájem na tom, aby byli I
I I zaměstnanci jednoznačně informováni o tom, kdy a kde I
I I zajišťují dohled ve školní jídelně, a aby bylo možné I
I I výkon dohledu efektivně kontrolovat I
I-------------------I--------------------------------------------------------I
I Poznámky I - zaměstnanci mají právo vznést námitku proti I
I I zpracování (čl. 21 odst. 1 GDPR) I
I-------------------I--------------------------------------------------------I
I-------------------I--------------------------------------------------------I
I Osobní údaje I - osobní údaje zaznamenávané pomocí čipu určeného I
I a účel zpracování I (typicky jméno a příjmení, volba jídla, uhrazení I
I I úplaty za jídlo) za účelem volby jídla, odhlášení I
I I jídla, kontroly výdeje stravy I
I-------------------I--------------------------------------------------------I
I Právní základ I - právním základem zpracování osobních údajů je I
I zpracování I oprávněný zájem správce [čl. 6 odst. 1 písm. f) I
I I GDPR]; správce má oprávněný zájem na tom, aby byly I
I I jednoznačně zaznamenávány odběry jídla I
I-------------------I--------------------------------------------------------I
I Poznámky I - zákonní zástupci dětí, žáků, resp. žáci, studenti I
I I mají právo vznést námitku proti zpracování I
I I (čl. 21 odst. 1 GDPR) I
I-------------------I--------------------------------------------------------I
Shrnutí
V praxi školní jídelny je nutné brát v potaz, že
-
jeden a tentýž osobní údaj může být zpracováván pro různé účely (např. rodné číslo), a proto i na základě odlišných právních titulů zpracování,
-
je nutné dodržovat zásadu minimalizace údajů a nezpracovávat osobní údaje, které nejsou nezbytné pro řádné poskytování školního stravování a které překračují nutný rozsah poskytnutých osobních údajů (např. údaj o národnosti, zdravotních obtížích nesouvisejících se stravováním),
-
zpracování osobních údajů vycházející z oprávněného zájmu správce je spojeno s právem zákonného zástupce dítěte, žáka, resp. žáka nebo studenta vznést námitku proti zpracování osobních údajů.
1 FRÝBOVÁ, A. a E. URBANOVÁ. Souhlas podle GDPR: kdy, jak, k čemu a od koho? Speciál pro školní jídelny. 2018, č. 1; FRÝBOVÁ, A. Školní jídelny a právní důvody zpracování osobních údajů. Speciál pro školní jídelny. 2017, č. 6.
2 Současně upozorňujeme, že rodné číslo není (pokud použijeme dříve platnou terminologii) citlivý údaj.
3 Připomínáme, že tento souhlas musí splňovat požadavky GDPR, tzn., že musí být svobodný, konkrétní, informovaný, jednoznačný (viz čl. 4 odst. 11, čl. 7 GDPR).