Článek navazuje na dva předchozí příspěvky publikované v Řízení školy a věnuje se dotazům z oblasti zveřejňování osobních údajů (a to fotografií a jiných osobních údajů) na webových stránkách a sociálních sítích školy. Zabývá se tedy tematikou, kterou mají školy zřejmě nejvíce spojenou s Nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen "GDPR"). Cílem článku je zodpovědět některé z dotazů, se kterými se autorky v rámci své činnosti setkávají.
Nejčastější dotazy z praxe škol v oblasti GDPR
PhDr. Mgr.
Monika
Puškinová,
Ph.D.,
právník a specialista na školskou legislativu
Mgr.
Alice
Frýbová,
právnička společnosti Holubová advokáti, s. r. o.
Zveřejňování fotografií: různost výkladů a pro školy relevantní dokumenty
Zveřejňování fotografií je pravděpodobně nejvíce diskutovanou a nejvíce nejasnou oblastí, se kterou se školy při aplikaci GDPR potýkají. Tato nejistota je způsobena několika faktory.
-
Za prvé existuje několik materiálů z per různých institucí, které se vyjadřují ke zveřejňování osobních údajů v internetovém prostředí. Jejich výklady jsou však leckdy protichůdné.
-
Za druhé by mělo být GDPR uplatňováno v celé EU jednotně, avšak v současné době každý stát uplatňuje pro zveřejňování údajů o dětech vlastní pravidla (přičemž některá pravidla západních zemí se v našem prostředí mohou jevit jako příliš přísná). V současnosti není ani jasné, zda bude v budoucnosti tato problematika sjednocena prostřednictvím stanoviska Evropského sboru pro ochranu osobních údajů.
Materiály, které se věnují problematice zveřejňování fotografií a jiných osobních údajů školami, mají vesměs dva relevantní veřejnoprávní autory:
-
Ministerstvo školství, mládeže a tělovýchovy (dále jen "MŠMT") a
-
Úřad pro ochranu osobních údajů (dále jen "ÚOOÚ").
Rozhodujícím je dle názoru autorek názor ÚOOÚ, jelikož ÚOOÚ je dozorovým úřadem vykládajícím a kontrolujícím dodržování GDPR. MŠMT v uvedené oblasti poskytuje školám pouze metodickou podporu.
Autorky při tvorbě odpovědí na často kladené dotazy vycházely z následujících materiálů:
-
materiál MŠMT: Metodická pomůcka k aplikaci obecného nařízení o ochraně osobních údajů a zákona o zpracování osobních údajů v podmínkách školství1),
-
materiál MŠMT: GDPR - otázky a odpovědi2),
-
materiál ÚOOÚ: zveřejněné odpovědi na často kladené dotazy "ze školství" a z rubriky "zaměstnavatelé"3),
-
stanovisko ÚOOÚ č. 12/2012 - K použití fotografie, obrazového a zvukového záznamu fyzické osoby (aktualizace říjen 2017)4),
-
materiál ÚOOÚ: Ke zveřejňování osobních údajů žáků na internetu5).
Fotografie žáků
1. Je třeba souhlas ke zveřejnění skupinové fotografie třídy ilustrující školní výlet bez jakýchkoliv popisků na webových stránkách školy?
K této problematice se ÚOOÚ vyslovil již v roce 2008, tj. v době, kdy byla ochrana osobních údajů regulována zákonem č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, v platném znění. ÚOOÚ tehdy posoudil postup školy, která na internetu zveřejnila fotografie. Podle vyjádření ÚOOÚ "se o zpracování osobních údajů žáků nejedná, neboť fotografie zachycují pouze průběh školních akcí, nikoli podobizny jednotlivých žáků, a jsou označeny pouze názvem dané školní akce. Tento postup účastníka řízení tak nelze považovat za zásah do práva na ochranu osobních údajů a k porušení zákona č. 101/2000 Sb. tedy nedošlo".6)
Uvedený názor ÚOOÚ zastává i poté, co se zpracování osobních údajů řídí GDPR. Je to zřejmé z odpovědí na často kladené otázky ve školství, které ÚOOÚ zveřejnil na svých webových stránkách.7) ÚOOÚ ve své odpovědi vyčleňuje a specifikuje určitou skupinu fotografií, a to "reportážní fotografie z činnosti školy (situační záběry z vyučování, soutěží, dílen, veřejných vystoupení žáků apod.)". Ve vztahu k uvedeným fotografiím ÚOOÚ dospívá k závěru, že
-
v případě pořizování a zveřejňování uvedených fotografií se nejedná primárně o problematiku ochrany osobních údajů, ale o ochranu soukromí,
-
souhlas se zpracováním osobních údajů k "ilustračním" snímkům není třeba vyžadovat.
Metodika MŠMT je ve vztahu ke zpracování "ilustračních" snímků školou přísnější než výklad ÚOOÚ a lze ji krátce vyjádřit následujícím konstatováním: v případě pořizování fotografie velké skupiny osob pouze pro ilustrační účely není třeba trvat na souhlasu osob, jestliže není možné osoby jednotlivě rozpoznat.8)
Autorky se přiklánějí k výkladu ÚOOÚ mimo jiné také proto, že obdobný názor jako ÚOOÚ zastávají též zahraniční dozorové úřady.
2. Je třeba souhlas ke zveřejnění fotografie žáka spolu s jeho jménem a výsledkem v soutěži na webových stránkách školy?
Ohledně uvedeného zpracování osobních údajů se liší názor MŠMT, ÚOOÚ i zahraničních dozorových úřadů.
-
MŠMT považuje za právní základ pro zpracování osobních údajů obecný souhlas se zveřejněním. Konkrétně uvádí: "V propagačních materiálech školy, ve výroční zprávě či ročence školy, na školním webu či na nástěnkách ve škole apod. lze s obecným souhlasem žáků nebo zákonných zástupců žáků(zvýrazněno autorkami - pozn. aut.) uveřejňovat výhradně textové či obrazové informace o jejich úspěších (např. u soutěží umístění na předních místech) s uvedením pouze jména (případně ročníku či třídy)."9)
-
Podle ÚOOÚ není nutný souhlas pro uvedení výhradně pozitivních informací v rozsahu jméno, příjmení, fotografie a výsledek v soutěži. Vyjádření ÚOOÚ je následující: "Souhlas dále GDPR nevyžaduje (zvýrazněno autorkami - pozn. aut.) ani ke stručným doprovodným informacím v tisku či na webu školy zveřejněným z důvodu propagace slušného chování a šíření povědomí o vhodných, správných a slušných způsobech společenského chování a mezilidských vztahů v rámci školní výuky i výchovy mimoškolní. Taková zveřejňování jsou zpracováními osobních údajů prováděnými z důvodu veřejného zájmu, který škola jako vzdělávací instituce v každodenních činnostech přirozeně realizuje. Jedná se obvykle o kratší zprávy jako např. ‚Hanička s Evičkou nám pomohly vyzdobit třídu.', ‚Vojtěch Novák z 8. C získal pěkné druhé místo na chemické olympiádě.' či ‚Starosta města poděkoval našemu žákovi Liborovi Novákovi za příkladné chování v situaci, kdy na koupališti zachránil tonoucí spolužačku.' Přirozeně všechny takové popisy mohou být doprovázeny fotografií."10)
-
Dle informací dostupných autorkám se některé členské státy EU (např. Španělsko či Finsko) kloní spíše k názoru, že právním základem pro uvedené zpracování osobních údajů je souhlas se zpracováním osobních údajů.
V České republice je však rozhodující názor ÚOOÚ, který (jak bylo doloženo výše) v daných případech na udělení souhlasu netrvá. Vzhledem k rozdílnosti právních výkladů však autorky v tomto případě doporučují zveřejňovat údaje žáků o výsledcích soutěží, věku atd. na základě souhlasu.
3. Změní se něco, pokud budou tyto fotografie zveřejněny na Facebooku?
Ano, zveřejní fotografií na Facebooku je skutečností, která má zásadní vliv na podmínky zpracování fotografií. Facebook nabízí funkci rozpoznávání obličejů. Tato funkce může způsobit, že je Facebook schopen profilovat žáka a např. v závislosti na tom mu nabízet reklamu. Proto se na zveřejňování fotografií na sociálních sítích vztahují přísnější pravidla než na zveřejňování fotografií na webových stránkách školy.
Metodika MŠMT v této oblasti mlčí. ÚOOÚ se však vyjadřuje jednoznačně: "Pokud však škola hodlá zveřejňovat pořízené fotografie s detailními osobními údaji, případně chce k publikování těchto údajů používat sociální sítě, které umožňují sledování osob a profilování jejich osobních údajů, musí získat od zákonných zástupců žáků souhlas se zpracováním osobních údajů. A to pro každý konkrétní účel, který chce škola zveřejňováním osobních údajů žáků na internetu dosáhnout."11)
Autorky v tomto případě školám doporučují
-
zveřejňovat osobní údaje (tj. i fotografie) na sociálních sítích výhradně na základě souhlasu s uvedeným zpracováním osobních údajů,
-
vypnout v nastavení rozpoznávání obličejů, čímž zabrání profilování žáků jakožto uživatelů Facebooku.
Kontaktní údaje a fotografie zaměstnanců školy
4. Na našich webových stránkách máme kontakty na všechny naše učitele. Údaji, které jsou zveřejněny, jsou: jméno, příjmení, pracovní e-mail, pracovní telefon, rozvrh a profilová fotografie. Potřebujeme ke zveřejnění souhlas dle GDPR?
Částečně. Již ve starších stanoviscích evropské pracovní skupiny WP29, zabývající se sjednocováním postupů při ochraně osobních údajů v EU, se objevuje názor, podle kterého zveřejnění jména a příjmení, pracovního zařazení, pracovního e-mailu a pracovního telefonního čísla nepodléhá souhlasu u těch zaměstnanců, v jejichž popisu práce je komunikace s osobami stojícími mimo organizaci. Takovými osobami učitelé bezpochyby jsou. Účelem zpracování uvedených osobních údajů je proto zajištění komunikace se žáky, studenty nebo zákonnými zástupci dětí, žáků. Právním základem pro zpracování (tj. zveřejnění) těchto údajů je oprávněný zájem správce. Souhlas se zveřejněním těchto údajů tak není třeba.
Stejně tak je dle názoru autorek za tímto účelem a na uvedeném právním základu pro zpracování osobních údajů ospravedlnitelné zveřejnění rozvrhu učitele na webových stránkách školy. Zákonní zástupci žáků, žáci nebo studenti jsou díky uvedeným údajům informováni např. o tom, kdy je učitel přítomen ve škole, kdy se může nebo nemůže věnovat konzultaci jejich problémů nebo jiných záležitostí.
Složitější situace nastává v případě zveřejnění profilových fotografií učitelů. Informace ÚOOÚ v tomto směru nejsou jednotné:
-
"Příkladem zpracování osobních údajů prováděného pouze se souhlasem subjektu údajů podle § 5 odst. 2 zákona o ochraně osobních údajů je zveřejňování portrétních fotografií všech zaměstnanců zaměstnavatelem v souboru fotografií na internetu, zpravidla spolu s dalšími informacemi o těchto zaměstnancích. Na rozdíl od informací o pracovním zařazení, které mohou být zveřejněny i bez souhlasu zaměstnance, je k takovému systematickému zveřejňování portrétních fotografií dobrovolný souhlas subjektu údajů nutný (zvýrazněno autorkami - pozn. aut.)."12)
-
"V rámci zpracování osobních údajů zaměstnavatelem jsou typickými situacemi, kdy zaměstnavatel pracuje s fotografiemi: vyhotovení zaměstnaneckých průkazů nebo uvedení pracovních pozic na internetových stránkách. Typickým právním důvodem pro taková zpracování fotografií jsou oprávněné zájmy zaměstnavatele podle čl. 6 odst. 1 písm. f) GDPR (zvýrazněno autorkami - pozn. aut.). Zaměstnavatel musí vždy zaměstnanci vysvětlit okolnosti, které vedou zaměstnavatele k vyžadování fotografie a sdělit mu způsoby jejího využití."13)
Na evropské úrovni panuje shodný názor, podle kterého je ke zveřejnění portrétních fotografií zaměstnance na webových stránkách zaměstnavatele spolu se jménem a pozicí nutný souhlas zaměstnance.
Autorky školám doporučují zveřejňovat portrétní fotografie zaměstnanců na webových stránkách školy na základě souhlasu zaměstnance.
Závěr
Problematika zveřejňování fotografií a jiných osobních údajů na webových stránkách a sociálních sítích je velice komplikovaná. Je nutné, aby škola vždy vyhodnotila konkrétní okolnosti zveřejnění fotografie nebo jiných osobních údajů (např. umístění v soutěži) a následně rozhodla, zda daný osobní údaj lze, nebo nelze zveřejnit. Ke klíčovým faktorům v tomto ohledu patří "charakter kyberprostoru", ve kterém má být osobní údaj zveřejněn (webové stránky školy, Facebook školy), druh fotografií (portrétní, zachycují větší počet osob) a obsah sdělovaných informací (přímá souvislost s výkonem pracovní činnosti, pozitivní informace).
1 Viz Metodická pomůcka k aplikaci obecného nařízení o ochraně osobních údajů a zákona o zpracování osobních údajů v podmínkách školství. MŠMT [online]. [cit. 2018-10-02]. Dostupné z: http://www.msmt.cz/file/44569/
2 Viz GDPR - otázky a odpovědi. MŠMT [online]. [cit. 2018-10-02]. Dostupné z: http://www.msmt.cz/dokumenty-3/gdpr-otazky-a-odpovedi
3 Viz Často kladené otázky. Ze školství. Zaměstnavatelé. ÚOOÚ [online]. [cit. 2018-10-02]. Dostupné z: https://www.uoou.cz/ze-skolstvi/ds-5088/p1=5088, https://www.uoou.cz/zamestnavatele/ds-5057/archiv=0&p1=2611
4 Viz Stanovisko ÚOOÚ č. 12/2012 - K použití fotografie, obrazového a zvukového záznamu fyzické osoby (aktualizace říjen 2017). ÚOOÚ [online]. [cit. 2018-10-02]. Dostupné z: https://www.uoou.cz/vismo/dokumenty2.asp?id_org=200144&id=27693&n=stanovisko%2Dc%2D12%2D2012%2Dk%2Dpouziti%2Dfotografie%2Dobrazoveho%2Da%2Dzvukoveho%2Dzaznamu%2Dfyzicke%2Dosoby%2Daktualizace%2Drijen%2D2017&p1=5088
5 Viz Ke zveřejňování osobních údajů žáků na internetu. ÚOOÚ [online]. [cit. 2018-10-02]. Dostupné z: https://www.uoou.cz/ke-zverejnovani-osobnich-udaju-zaku-na-internetu/d-1589
6 K rozhodovací činnosti ÚOOÚ: Ke zveřejňování osobních údajů žáků na internetu (SPR SPR-0009/07). Věstník Úřadu pro ochranu osobních údajů. 2008, č. 50, s. 2929; Ke zveřejňování osobních údajů žáků na internetu. ÚOOÚ [online]. [cit. 2018-10-04]. Dostupné z: https://www.uoou.cz/ke-zverejnovani-osobnich-udaju-zaku-na-internetu/d-1589
7 Viz GDPR - otázky a odpovědi. MŠMT [online]. [cit. 2018-10-02]. Dostupné z: http://www.msmt.cz/dokumenty-3/gdpr-otazky-a-odpovedi
8 Viz Metodická pomůcka k aplikaci obecného nařízení o ochraně osobních údajů a zákona o zpracování osobních údajů v podmínkách školství. MŠMT [online]. s. 9 [cit. 2018-10-02]. Dostupné z: http://www.msmt.cz/file/44569/
9 Viz GDPR - otázky a odpovědi. MŠMT [online]. [cit. 2018-10-02]. Dostupné z: http://www.msmt.cz/dokumenty-3/gdpr-otazky-a-odpovedi
10 Viz Často kladené otázky. Ze školství. ÚOOÚ [online]. [cit. 2018-10-02]. Dostupné z: https://www.uoou.cz/ze-skolstvi/ds-5088/p1=5088
11 Tamtéž.
12 Viz Stanovisko ÚOOÚ č. 12/2012 - K použití fotografie, obrazového a zvukového záznamu fyzické osoby (aktualizace říjen 2017). [online]. [cit. 2018-10-02]. Dostupné z: https://www.uoou.cz/vismo/dokumenty2.asp?id_org=200144&id=27693&n=stanovisko%2Dc%2D12%2D2012%2Dk%2Dpouziti%2Dfotografie%2Dobrazoveho%2Da%2Dzvukoveho%2Dzaznamu%2Dfyzicke%2Dosoby%2Daktualizace%2Drijen%2D2017&p1=5088)
13 Viz Často kladené otázky. Zaměstnavatelé. ÚOOÚ [online]. [cit. 2018-10-02]. Dostupné z: https://www.uoou.cz/ze-skolstvi/ds-5088/p1=5088