Upozornění pro čtenáře a uživatele této knihy

Všechna práva vyhrazena. Žádná část této tištěné či elektronické knihy nesmí být reprodukována ani šířena v papírové, elektronické či jiné podobě bez předchozího písemného souhlasu nakladatele. Neoprávněné užití této knihy bude trestně stíháno.

JUDr. Eva Janečková

GDPR – Řešení problémů v praxi škol

Vydala Grada Publishing, a.s.

U Průhonu 22, 170 00  Praha 7

tel.: +420 234 264 401, fax: +420 234 264 400

www.grada.cz

jako svou 7 497. publikaci

Realizace obálky Vojtěch Kočí

Sazba a zlom Jan Šístek

Formát ePub Jan Šístek

Odpovědná redaktorka Ing. Michaela Průšová

Počet stran 352

První vydání, Praha 2020

Vytiskla Tiskárna v Ráji, s.r.o., Pardubice

© Grada Publishing, a.s., 2020

ISBN 978-80-271-1354-5 (ePub)

ISBN 978-80-271-1353-8 (pdf)

ISBN 978-80-271-2579-1 (print)

Seznam použitých pojmů

Obecné nařízení (GDPR) – Nařízení Evropského parlamentu a Rady (EU) č. 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (General Data Protection Regulation)

osobní údaje – veškeré informace o identifikované nebo identifikovatelné fyzické osobě – o subjektu údajů

správce – fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení

subjekt údajů – identifikovatelná fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, např. jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby

souhlas – jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů

porušení zabezpečení osobních údajů – porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů

adaptační zákon – zákon č. 110/2019 Sb., o zpracování osobních údajů, upravuje v souladu s Nařízením některé oblasti specificky pro Českou republiku

zpracovatel – fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce

zpracování (osobních údajů) – jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení

zvláštní kategorie osobních údajů – osobní údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje a biometrické údaje zpracovávané za účelem jedinečné identifikace fyzické osoby údaje o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby

Sbor (Skupina WP29) – pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízená směrnicí Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995

dozorový úřad – Úřad pro ochranu osobních údajů

pověřenec (DPO) – osoba dozorující u správce či zpracovatele zpracování osobních údajů

posouzení vlivu (DPIA) – posouzení pravděpodobného rizika zamýšleného zpracování

Seznam zkratek

kontrolní řád – zákon č. 255/2015 Sb., o kontrole (kontrolní řád), ve znění pozdějších předpisů

občanský zákoník – zákon č. 89/2012 Sb., občanský zákoník, ve znění pozdějších předpisů

školský zákon – zákon č. 561/2004 Sb., o předškolním, základním, středním, vyšším odborném a jiném vzdělávání

správní řád – zákon č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů

vyhláška č. 48/2005 Sb. – vyhláška č. 48/2005 Sb., o základním vzdělávání a některých náležitostech plnění povinné školní docházky, ve znění pozdějších předpisů

zákon o ochraně veřejného zdraví – zákon č. 258/2000 Sb., o ochraně veřejného zdraví a o změně některých souvisejících zákonů, ve znění pozdějších předpisů

zákon o Policii ČR – zákon č. 273/2008 Sb., o Policii České republiky, ve znění pozdějších předpisů

zákon o registru smluv – zákon č. 340/2015 Sb., o zvláštních podmínkách účinnosti některých smluv, uveřejňování těchto smluv a o registru smluv (zákon o registru smluv), ve znění pozdějších předpisů

zákon o sociálně-právní ochraně dětí – zákon č. 359/1999 Sb., o sociálně-právní ochraně dětí, ve znění pozdějších předpisů

zákon o svobodném přístupu k informacím – zákon č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů

zákoník práce – zákon č. 262/2006 Sb., zákoník práce, ve znění pozdějších předpisů

Směrnice 95/46/ES – Směrnice Evropského parlamentu a rady č. 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a volným pohybem těchto údajů

Úvod

Dne 27. dubna 2016 schválil Evropský parlament konečnou podobu Nařízení Evropského parlamentu a Rady 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). Obecné nařízení (GDPR) měly členské země do 6. května 2018 převést do vnitrostátní legislativy, platit začalo od 25. května 2018.

Toto nařízení nahradilo starou právní úpravu obsaženou ve Směrnici Evropského parlamentu a rady č. 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a volným pohybem těchto údajů (dále jen „Směrnice 95/46/ES“), která ukládala členským státům, aby ji promítly do tří let do svých právních řádů. Svoje zákony s ní musely samozřejmě harmonizovat i státy, které se chtěly stát členy Evropské unie. Směrnice však pocházela již z roku 1995, a byla tedy 22 let stará. V těchto letech došlo k prudkému rozvoji informačních technologií, ke změnám v kategoriích nejčastěji zpracovávaných osobních údajů, i k určitému smazání hranic mezi státy. Proto vyvstala potřeba úpravu zmodernizovat tak, aby kladla limity pro zpracování osobních údajů v oblastech, kde došlo k největšímu rozvoji a ke zpracování velkého množství osobních údajů, někdy i citlivých (podle nové terminologie „osobních údajů zvláštní kategorie“). Jedná se zejména o oblast marketingu, monitorování a profilování.

Směrnice 95/46/ES nebyla přímo aplikovatelná, byla do právních řádů jednotlivých států implementována národními zákony, které se v mnoha oblastech značně lišily. Cílem nové právní úpravy proto bylo i sjednocení.

V České republice se ochranou osobních údajů zabýval zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů. Tento zákon byl částečně zrušen Obecným nařízením (GDPR). Poslední ustanovení byla zrušena ke dni 24. 4. 2019, kdy nabyl účinnosti zákon č. 110/2019 Sb., o zpracování osobních údajů, tedy tzv. adaptační zákon, který upravuje v souladu s Obecným nařízením (GDPR) některé oblasti specificky pro Českou republiku.

Tento zákon však není obecným zákonem, který by komplexně upravoval oblast zpracování osobních údajů v České republice, jak se někteří domnívají. Týká se především některých specifických oblastí, zmocňuje výslovně některé orgány ke zpracování osobních údajů a stanoví zvláštní podmínky při plnění některých povinností. Je to tedy pouze doprovodným zákonem, který je vždy třeba aplikovat současně s Obecným nařízením (GDPR).

Současně se zákonem o zpracování osobních údajů nabyl účinnosti i zákon č. 111/2019 Sb., kterým se mění některé zákony v souvislosti s přijetím zákona o zpracování osobních údajů. I tento zákon přináší některé změny, které se dotknou škol a školských zařízení. Jedná se zejména o novelu zákona č. 499/2004 Sb., o archivnictví a spisové službě a o změně některých zákonů, ve znění pozdějších předpisů, do něhož byla vyložena nová povinnost. Do ustanovení § 64 byly mimo jiné vloženy následující odstavce:

„(4) Vykonávají-li určení původci spisovou službu v elektronické podobě v elektronickém systému spisové služby, vedou jako samostatnou funkční část evidenční pomůcky jmenný rejstřík v elektronické podobě určený pro automatické zpracovávání údajů o odesílatelích a adresátech dokumentů evidovaných v evidenční pomůcce a jiných osobách, jichž se dokumenty evidované v evidenční pomůcce týkají. Vykonávají-li určení původci spisovou službu v listinné podobě, mohou vést jako samostatnou funkční část evidenční pomůcky jmenný rejstřík v listinné podobě určený pro zpracovávání údajů o odesílatelích a adresátech dokumentů evidovaných v evidenční pomůcce a jiných osobách, jichž se dokumenty evidované v evidenční pomůcce týkají.

(5) Určení původci vedou ve jmenném rejstříku o odesílateli dokumentu, adresátu dokumentu nebo jiné osobě, jíž se dokument týká, alespoň

a) jméno, popřípadě jména, a příjmení, jde-li o fyzickou osobu,

b) jméno, popřípadě jména, a příjmení, popřípadě dodatek odlišující osobu podnikatele nebo druh podnikání vztahující se zpravidla k této osobě nebo druhu podnikání, jde-li o podnikající fyzickou osobu nezapsanou v obchodním rejstříku,

c) obchodní firmu nebo název, jde-li o podnikající fyzickou osobu zapsanou v obchodním rejstříku nebo právnickou osobu,

d) identifikační číslo osoby, pokud bylo přiděleno,

e) identifikátor datové schránky, pokud byla zřízena, a

f) bezvýznamový identifikátor pro potřeby výkonu spisové služby, pokud byl určeným původcem přidělen.

(6) Určení původci mohou vést ve jmenném rejstříku o odesílateli dokumentu nebo adresátu dokumentu, který je fyzickou osobou, a o jiné fyzické osobě, jíž se dokument týká, aniž by byl vyžadován jejich souhlas, údaje spadající do minimálního souboru osobních identifikačních údajů jedinečně identifikujících fyzickou nebo právnickou osobu podle přímo použitelného předpisu Evropské unie upravujícího rámec interoperability, nejde-li o údaje podle odstavce 5.

(7) Určení původci stanoví nejvýše tříletou skartační lhůtu pro údaje o fyzické osobě vedené ve jmenném rejstříku počínající běžet předáním dokumentů a spisů, ke kterým se údaje o fyzické osobě vztahovaly, nebo archivu nebo jejich zničením.

(8) Určení původci jsou oprávněni využívat pro účely vedení jmenného rejstříku údaje o odesílateli dokumentu, adresátu dokumentu nebo jiné fyzické osobě, jíž se dokument týká, pokud je jejich zdrojem jimi vedený spis.“

Tento jmenný rejstřík má mimo jiné být zásadní pomůckou pro realizaci práva subjektu údajů na přístup k údajům.

Základní povinnosti a práva jsou však nezměnitelná a zůstávají upravena v Obecném nařízení (GDPR) pro všechny členské země stejně.

Obecné nařízení (GDPR) se dotýká velmi podstatně chodu škol a školských zařízení, které zpracovávají velké množství osobních údajů, také zvláštní kategorie osobních údajů, a vzhledem k tomu, že se jedná o osobní údaje dětí, je na místě řešit jejich zpracování velmi obezřetně s velkým důrazem na zabezpečení těchto údajů.

V praxi škol a školských zařízení vznikla celá řada otázek, zejména ve vztahu k nakládání s fotografiemi, při zveřejňování osobních údajů či předávání údajů třetím osobám. Velmi často dochází k neshodám mezi názory Úřadu pro ochranu osobních údajů, názory Ministerstva školství, mládeže a tělovýchovy a názory odborné veřejnosti.

Vzhledem k tomu, že s účinností Obecného nařízení (GDPR) nedošlo ke změně základní legislativy v oblasti školství, není ani oblast zpracování osobních údajů ve školách a školských zařízeních zásadně odlišná od předchozí praxe. Je však třeba uvědomit si některé skutečnosti, které byly v přechozích letech opomíjeny, a zapracovat nové instituty.

Konec ukázky

Table of Contents

Tiráž

Seznam použitých pojmů

Seznam zkratek

Úvod

1 Základní pojmy používané v oblasti ochrany osobních údajů

2 Základní zásady Obecného nařízení (GDPR) a jejich odraz v povinnostech

3 Práva subjektu údajů

3.1 Právo na informace

4 Souhlas se zpracováním osobních údajů

1 Přijímání dítěte ke vzdělávání

2 Poskytování osobních údajů třetím osobám

5 Zveřejňování a zpřístupňování osobních údajů

5.2 Ochrana osobních údajů při poskytování informací

6 Kamery se záznamem ve školství