Ochrana osobních údajů (GDPR)

Pořizování nahrávek pedagogů ze strany žáků a jeho limity jsou častým tématem diskusí. Zástupci školy mají obvykle pocit, že jsou dáni žákům všanc a nemohou se bránit. Situace ale takto černobílá není. I žáci, byť nezletilí, musí respektovat hranice dané právními předpisy a pedagogové mají práva, jen se musí umět kvalifikovaně bránit.

S účinností od 1. 9. 2025 nabývají obecné účinnosti dvě zásadní novely školského zákona (zákon č. 561/2004 Sb.). Obě novely předpokládaly také změny prováděcích právních předpisů. Dne 25. 8. 2025 proto byla publikována další novela, která mění některé vyhlášky v oblasti školství, a to s účinností od 1. 9. 2025. Novela této vyhlášky upřesňuje nové povinnosti, které vznikají především mateřským, ale návazně i základním školám v důsledku změn, které se týkají odkladů.

Účelem zpracování osobních údajů při výběru uchazečů o zaměstnání je uzavření pracovní smlouvy s nejvhodnějším uchazečem o zaměstnání. Zaměstnavatel smí od uchazeče (nebo od třetí osoby např. předchozího zaměstnavatele uchazeče) vyžadovat pouze osobní údaje o uchazeči, které bezprostředně souvisí s uzavřením pracovní smlouvy, tj. údaje, které jsou nezbytné pro výběr nejvhodnějšího z uchazečů, čímž je mimo jiné naplněna zásada minimalizace podle čl. 5 odst. 1 písm. c) obecného nařízení (GDPR). Rozsah údajů bude tedy rozdílný dle obsazované pracovní pozice, souvisejících požadavků a předpokladů.

Zákonní zástupci často řeší otázku, v jakém rozsahu mají informovat školu o zdravotních problémech svého dítěte. Ptají se, zda škola vůbec tyto informace potřebuje, a pokud ano, jak s nimi nakládá – jakým způsobem mohou zaměstnanci zacházet se zprávou a kdo se s informacemi o dítěti může seznámit. Z obav, že informace o změněné zdravotní způsobilosti (včetně té psychické) budou mít vliv na přístup školy k dítěti v podobě diskriminace, často neplní svou povinnost informace poskytnout.

Každá škola se snaží prezentovat na veřejnosti svoji činnost. Dělají to kromě jiného zveřejňováním fotografií a audio a videozáznamů. Na důležitosti tento způsob prezentace nabývá u základních uměleckých škol.

Je nutné, aby rodič prokazoval u zápisu do první třídy svoji totožnost a předkládal rodný list dítěte? Nebo stačí pouze jím podepsaná žádost?

Již při letmém pohledu na webové stránky základních uměleckých škol je zřejmé, že se řídí jedním vzorem, pokud jde obsah přihlášky. Tato přihláška obsahuje osobní údaje ve velkém rozsahu. S ohledem na povinnosti, které stanoví Obecné nařízení (GDPR), takové požadavky nejsou správné.

Je možné, aby spolek Sdružení rodičů (spolek s vlastní právní subjektivitou): a) Využíval k informování o výběru svých příspěvků informační kanál jiného právního subjektu tj. základní školy (systém EduPage), která disponuje údaji o žácích a jejich zákonných zástupcích? b) Využíval k výběru svých příspěvků informační kanál školy (program školní pokladna) a zaměstnával výběrem svého příspěvku a evidencí zaměstnance školy? Není tímto porušen zákon o ochraně osobních údajů a zároveň skutečnost, že škola v podstatě nemá mít informace o tom, kdo je či není členem spolku tj. kdo přispěl, či nepřispěl? Vycházíme z předpokladu, že škola musí poskytovat vzdělání každému dítěti bez rozdílu a nesmí nikoho diskriminovat.

Existuje vzor GDPR formuláře pro ZŠ? Zpracování osobních údajů je prý dle zákona a plyne z podstaty pracovní smlouvy. Jaké další oblasti by se měly ve formuláři případně zajistit a co by měly obsahovat?

Na školní akademii mohou rodiče pořizovat fotografie i videa z daných vystoupení. Je pak škola zodpovědná za to, že je mohou šířit na sociálních sítích bez souhlasu ostatních účinkujících (kromě jejich dítěte)? Jak toto popř. správně ošetřit? A jak ošetřit otázku fotografií na webových stránkách? Rodiče podepisují souhlas s tím, že škola může zveřejnit fotografie jejich dítěte na webových stránkách. Neměla by ale škola ještě někde zveřejnit, že tyto fotografie nejsou určeny k následnému stahování a šíření?

Existuje konkrétní právní úprava pro skartaci dotazníků, které jsou vyhotovovány v průběhu šetření šikany, které provádíme jako externí firma v rámci služby „Diagnostika, sociometrie a asistence při šetření šikany“? Toto šetření se provádí na objednávku konkrétních škol v jednotlivých třídních kolektivech, a je objednáváno jako dílčí služba v rámci celkové Rámcové smlouvy se školou. Zejména se nám jedná o to, zda existují v těchto případech konkrétní lhůty, do nichž dotazníky musí, respektive nesmí být skartovány (tedy „nejdříve X... po vyhotovení závěrečné zprávy“, „nejpozději X... po vyhotovení závěrečné zprávy“), a zda je zákonná povinnost vystavovat o takové skartaci protokol a opět, jak dlouho má být protokol uložen. V rámci těchto dotazníků nesbíráme osobní údaje žáků, jsou označeny pouze jejich křestními jmény. Nedomníváme se tedy, že by se na to vztahovala GDPR směrnice a zákon o ochraně osobních údajů. Procházeli jsme zákon č. 499/2004 Sb. , o archivační a spisové službě, kde se však o tomto typu dokumentů nehovoří. O konkrétních lhůtách se nevyjadřuje ani metodický pokyn MŠMT pro šetření šikany. 

K evidenci docházky, výdeji obědů ani podepisování bačkůrek souhlas se zpracováním osobních údajů rozhodně potřeba není. Kdy se ale škola bez souhlasu neobejde?

Škola spravuje osobní údaje žáků ve své školní matrice. Součástí školní matriky je i evidence členů spolku Klub přátel a to včetně osobních údajů. Při žádosti Klubu přátel o dotace vyžaduje poskytovatel dotace osobní údaje členů spolku (Jméno, příjmení a rok narození). Musí mít škola speciální souhlas zákonného zástupce o poskytnutí osobních údajů třetí osobě?

Přijímací řízení do mateřských a základních škol obsahuje řadu nástrah, i z pohledu ochrany osobních údajů. Problémem je zejména shromažďování dat v nadbytečném rozsahu. Častou chybou je také vymáhání souhlasu se zpracováním.

Škola zpracovává řadu osobních a citlivých údajů svých žáků, včetně informací o zdravotním stavu. Jak to dělat správně, v souladu s GDPR?

Cílem metodiky k návrhu a provozování kamerových systémům je snaha  Úřadu pro ochranu osobních údajů zajistit kvalitnější  orientaci správců a zpracovatelů osobních údajů, a to včetně dodavatelů kamerových systémů v povinnostech, které je nutné dodržovat.

Problematika pořizování záznamů při jednání mezi školou a rodiči není jednoznačně rozřešena a vyplývá z ní tak plno otázek pro obě strany.

Pokud třídní učitel oznamuje udělení napomenutí (důtky) třídního učitele, podobně ředitel školy důtky ředitele školy, žákovi v přítomnosti ostatních žáků dané třídy, porušuje tím GDPR? Vždy to tak děláme s vysvětlením k jakému přestupku proti školnímu řádu došlo, proč bylo dané kázeňské opatření uděleno, jaké by z toho mělo plynout poučení pro všechny. Jedna zákonná zástupkyně se proti tomuto postupu ohradila, že v tom případě porušujeme GDPR. 

Kde je legislativně zakotvena povinnost školy mít samostatného pověřence GDPR? 

Problematika pořizování záznamů při jednání mezi školou a rodiči není jednoznačně rozřešena a vyplývá z ní tak plno otázek pro obě strany.