GDPR a Whistleblowing

1. Obecné nařízení

Obecné nařízení

Obecné nařízení na ochranu osobních údajů neboli GDPR (General Data Protection Regulation) je uceleným souborem pravidel na ochranu dat v EU.

Cílem je hájit co nejvíce práva občanů EU proti neoprávněnému zacházení s jejich daty a osobními údaji, dát jim větší kontrolu nad tím, co se s jejich daty děje.  

GDPR se dotkne každého, kdo shromažďuje nebo zpracovává osobní údaje Evropanů, tedy i škol.

GDPR začne v celé EU platit jednotně od 25. května 2018. V Česku tak nahradí současnou právní úpravu ochrany osobních údajů v podobě směrnice 95/46/ES a související zákon č. 101/2000 Sb., o ochraně osobních údajů.

 

Obecné nařízení a zákon

Doposavad pro ochranu osobních údajů platil zákon č. 101/2000 Sb., nyní se řídíme nařízením EU. Pokud jde o stanovení práv a povinností, není mezi nařízením a zákonem rozdíl, oba dva právní předpisy přímo adresátům stanovují povinnosti a práva.

 

Další právní normy zabývající se ochranou osobních údajů

Zákon č. 89/2012 Sb., občanský zákoník

§ 84

Zachytit jakýmkoli způsobem podobu člověka tak, aby podle zobrazení bylo možné určit jeho totožnost, je možné jen s jeho svolením.

 

Zákon č. 499/2004 Sb., o archivnictví a spisové službě

§ 68

Ukládání dokumentů

 

Zákon č. 561/2004 Sb., školský zákon

§ 28

Dokumentace škol a školských zařízení

Povinnosti pedagogických pracovníků

§ 22b

Pedagogický pracovník je povinen zachovávat mlčenlivost a chránit před zneužitím osobní údaje, informace o zdravotním stavu dětí, žáků a studentů a výsledky poradenské pomoci školského poradenského zařízení a školního poradenského pracoviště, s nimiž přišel do styku,

 

Zákon č. 262/2006 Sb., zákoník práce

§ 303 odst. 2 písm. b)

(2) Zaměstnanci uvedení v odstavci 1 jsou dále povinni
b) zachovávat mlčenlivost o skutečnostech, o nichž se dozvěděli při výkonu zaměstnání a které v zájmu zaměstnavatele nelze sdělovat jiným osobám; to neplatí, pokud byli této povinnosti zproštěni statutárním orgánem nebo jím pověřeným vedoucím zaměstnancem, nestanoví-li zvláštní právní předpis jinak,

 

2. Nové přístupy a povinnosti

 

Nový přístup k ochraně osobních údajů

Lze hovořit o dvou nových přístupech, na kterých je Obecné nařízení založeno.  Novými přístupy jsou:

-  princip odpovědnosti správce (školy) a 

- přístup založený na riziku.

 

Princip odpovědnosti znamená odpovědnost školy za dodržení zásad zpracování, které jsou uvedeny v článku 5 odst. 1 Obecného nařízení a zároveň musí správce být schopen tento soulad doložit.

 

Přístup založený na riziku znamená, že škola musí přihlížet k pravděpodobným rizikům pro práva a svobody fyzických osob a tomu musí přizpůsobit i zabezpečení osobních údajů.

 

Novinky v ochraně osobních údajů

- zavedení institutu pověřence pro ochranu osobních údajů (DPO) dle čl. 37 - 39 nařízení,

- úprava postupu, jakým se může subjekt údajů (zaměstnanec, zákonný zástupce, …) obracet na správce či zpracovatele, 

- právo vznést námitku proti zpracování osobních údajů dle čl. 21 nařízení,

- rozšíření důvodů, pro které je možné požadovat po správci omezení zpracování údajů dle čl. 18 nařízení,

- výslovná úprava tzv. „práva být zapomenut“ v čl. 17 odst. 2 nařízení,  

- ohlašování případů porušení zabezpečení osobních údajů dozorovému úřadu a subjektu údajů za podmínek uvedených v čl. 33 a 34 nařízení.

 

3. Nejdůležitější pojmy

 

Zpracování osobních údajů
Zpracováním je jakákoli operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoli jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení.
Zpracování ve smyslu Obecného nařízení však nelze chápat jako jakékoli nakládání s osobním údajem. Zpracování osobních údajů je nutné považovat již za sofistikovanější činnost, kterou správce s osobními údaji provádí za určitým účelem a z určitého pohledu tak činí systematicky. Pro nakládání s osobními údaji způsobem, který není zpracováním, poskytuje ochranu např. zákon č. 89/2012 Sb., občanský zákoník. Obecným nařízením se tak jako správci řídí pouze subjekty, které osobní údaje zpracovávají ve smyslu definice zpracování.
 

Osobní údaje

Osobní údaje jsou ve stávající směrnici z roku 1995 i v GDPR definovány jako veškeré informace vztahující se k identifikované či identifikovatelné fyzické osobě.

Mezi obecné osobní údaje řadíme:

  jméno,

  pohlaví,

  věk a datum narození,

  osobní stav,

  IP adresu a 

  fotografický záznam.

 Vzhledem k tomu, že se GDPR vztahuje i na podnikající fyzické osoby, řadíme mezi osobní údaje i tzv. organizační údaje, kterými jsou:

  e-mailová adresa,

  telefonní číslo,

  různé identifikační údaje vydané státem.

Citlivé údaje

Citlivé údaje jsou zvláštní kategorií osobních údajů, jimiž jsou údaje:

  o rasovém či etnickém původu,

  politických názorech,

  náboženském nebo filozofickém vyznání,

  členství v odborech,

  o zdravotním stavu,

  sexuální orientaci a 

  trestních deliktech či pravomocném odsouzení.

Do kategorie citlivých údajů nařízení nově zahrnuje:

  genetické, biometrické údaje a 

  osobní údaje dětí.

Zpracování citlivých osobních údajů podléhá mnohem přísnějšímu režimu, než je tomu u obecných údajů.

Správce

Správcem je orgán veřejné moci (škola, školské zařízení), která sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů (Právní subjekt vykonávající činnost školy).

Zpracovatel

Zpracovatelem je fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce na základě doložitelných pokynů. 

Externí firma zpracovává škole mzdové účetnictví

Příjemce

Příjemcem je fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, kterým jsou osobní údaje poskytnuty, ať už se jedná o třetí stranu, či nikoli. Avšak orgány veřejné moci, které mohou získávat osobní údaje v souladu s právem, se za příjemce nepovažují. Příjemcem může být také zpracovatel, který pro správce osobní údaje zpracovává (typicky provozovatel informačních systémů).

Subjekt údajů

Fyzická osoba (dítě, žák, student, zákonný zástupce), kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.

 

4. Obecné zásady a právní důvody zpracování

 

Obecné zásady

Při práci s osobními údaji se všichni zaměstnanci školy řídí těmito obecnými zásadami:

Zákonnost

Zpracování osobních údajů na základě právního předpisu (například § 28 školského zákona).

Zpracování osobních údajů na základě informovaného souhlasu.

Korektnost

Správné použití, přesné, společensky bezvadné.

Transparentnost

Všechny informace o ochraně osobních údajů určené subjektu údajů (žák, zákonný zástupce, zaměstnanec) byly stručné, snadno přístupné a srozumitelné, podávané za použití jasných a jednoduchých jazykových prostředků.

Účelové omezení

Shromažďování osobních údajů jen za jasně stanoveným účelem.

Minimalizace údajů

Nezpracovávat více údajů, než je pro daný účel nezbytně nutné.

Přesnost

Zpracovávané osobní údaje musí být přesné.

Omezené uložení

Osobní údaje jsou uloženy jen po dobu nezbytně nutnou.

Integrita a důvěrnost

Náležité zabezpečení osobních údajů, včetně jejich ochrany pomocí vhodných technických nebo organizačních opatření před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením.

Odpovědnost správce (školy).

Škola zavede vhodná technická a organizační opatření, aby zajistila a byla schopna doložit, že zpracování je prováděno v souladu s nařízením EU.

 

Důvody zpracování

Osobní údaje se mohou ve škole zpracovávat pouze na základě právního předpisu nebo na základě souhlasu subjektu údajů (žák, zákonný zástupce žáka, zaměstnanec školy).

Souhlas subjektu údajů (žák, zákonný zástupce žáka, zaměstnanec školy) musí být informovaný, konkrétní a písemný.

Ředitel školy důsledně zakazuje předávání osobních údajů žáků třetím osobám soukromého práva (nabídky pomůcek, knih, aktivit pro žáky). Obdobně se postupuje i u osobních údajů zaměstnanců školy.

 

1. Osobní údaje zpracovávané na základě školského zákona

- školní matrika,

- doklady o přijímání dětí, žáků, studentů a uchazečů ke vzdělávání, o průběhu vzdělávání a jeho ukončování,

- třídní kniha,

- záznamy z pedagogických rad,

- kniha úrazů a záznamy o úrazech dětí, žáků a studentů, popřípadě lékařské posudky

 

2. Osobní údaje zpracovávané podle zvláštních zákonů

- podněty pro jednání OSPOD, přestupkové komise

- podklady žáků pro vyšetření v PPP,

- hlášení trestných činů, neomluvená absence

- údaje o zdravotní způsobilosti dítěte nebo žáka na zotavovacích akcích

 

3. Osobní údaje zpracovávané na základě informovaného souhlasu

- seznamy žáků na mimoškolních akcích a zahraničních zájezdech,

- seznamy žáků na soutěžích a olympiádách,

- seznamy zákonných zástupců pro spolek – klub přítel školy,

- jména osob, které budou odvádět dítě z mateřské školy, školní družiny,

- kontakt na zákonné zástupce (není shodný s adresou dítěte),

- fotografie za účelem propagace či zvýšení zájmu žáků o studium na dané škole,

- zveřejnění výtvarných a obdobných děl žáků na výstavách a přehlídkách,

- záznamy z kamerového systému školy pořizované za účelem bezpečnosti žáků a ochrany jejich majetku.

 

5. Práva subjektu údajů (žák, zákonný zástupce žáka, zaměstnanec)

 

Právo na to být informován o zpracování jeho osobních údajů. Tím se rozumí právo na určité informace o zpracování jeho osobních údajů.

 

Přístup k osobním údajům se rozumí právo subjektu údajů získat od správce informaci (potvrzení), zda jsou či nejsou jeho osobní údaje zpracovávány a pokud jsou zpracovávány, má subjekt údajů právo tyto osobní údaje získat a zároveň má právo získat další informace (účel zpracování, komu budou osobní údaje zpřístupněny, …)

 

Právo na opravu nepřesných osobních údajů, které se ho týkají.

 

Právo na výmaz (být zapomenut). Toto právo se netýká zákonného zpracování údajů, například školní matriky.

 

Právo vznést námitku proti zpracování osobních údajů.

 

Žádost subjektu údajů vyřizuje škola bez zbytečného odkladu, nejpozději do 1 měsíce, ve výjimečných případech do 2 měsíců.

 

6. Zabezpečení osobních údajů

 

Spisovým a skartačním řád školy

Škola má zpracovaný spisový a skartační řád včetně spisového a skartačního plánu. Práce s dokumenty školy ve spisovně a archivu se řídí tímto řádem.

 

Organizační řád

Organizační řád je doplněn o funkci o funkci pověřence pro ochranu osobních údajů (Data Protection Officer), který provádí nezávislou kontrolní funkci ochrany osobních údajů ve škole.

 

Školní matrika

Ředitel školy rozhodne:

  o formě vedení školní matriky (písemná, elektronická),

  o odpovědných osobách pro práci se školní matrikou (administrátor, třídní učitel, …)

  o právech a povinnostech zodpovědných osob,

  o zabezpečení údajů ze školní matriky,

  o způsobu předávání údajů ze školní matriky.

 

Školní úraz

Při evidenci školních úrazů (kniha úrazů, záznam o úrazu) je třeba zajistit, aby:

  byla zachovávána mlčenlivost při práci s osobními údaji při evidenci úrazů žáků,

  veškeré dokumenty (kniha úrazů, záznamy o úrazech) byly řádně uloženy ve spisovně školy, popřípadě v archivu školy a byl dodržován režim dle spisové služby ve škole.

 

Organizace výchovy a vzdělávání

Organizace výchovy a vzdělávání je nezbytně spojena se zpracováním dalších osobních údajů. Jedná se například o:

  průběžné hodnocení výchovy a vzdělávání (klasifikace žáků),

  organizační seznamy žáků (kteří půjdou do kina, kteří odevzdali učebnice, kteří …),

  jiné osobní informace o žákovi (úmrtí v rodině, rozvod rodičů, …),

   žákovské knížky.

Při práci s těmito osobními údaji je třeba důsledně dodržovat obecné zásady při práci s těmito informacemi:

  shromažďovat pouze nezbytné osobní údaje (například seznam žáků bez rodných čísel),

  osobní údaje mít pod kontrolou (uzamčená skříňka, …),

  již nepotřebné údaje skartovat,

  zachovávat mlčenlivost o údajích,

  neposkytovat údaje osobám mimo výchovně vzdělávací proces.

 

Pořizování fotografií

Mezi osobní údaje patří i fotografické záznamy a videozáznamy (dále jen fotografie). Činnost školy je neodmyslitelně spojena s pořizováním fotografií žáků i zaměstnanců školy, popřípadě dalších osob (zákonní zástupci žáků, účastníci kurzů apod.).

Ředitel školy zajistí:

  aby žáci i zaměstnanci školy byli seznámení s ustanovením občanského zákoníku (Podoba a soukromí (§ 84 až § 90)

  aby pořizování fotografií za účelem propagace a informování o činnosti školy bylo vždy na základě informovaného souhlasu žáků a zákonných zástupců žáků,

  aby školní řád obsahoval pravidla pro pořizování fotografií z mobilních telefonů žáků,

  aby zaměstnanci školy znali oprávněné zpracování osobních údajů – fotografií,

  aby byly zveřejňované fotografie vhodné.

 

Organizování mimoškolních akcí

Při organizování mimoškolních akcí je nezbytné pracovat s osobními údaji dětí a žáků.

Ředitel školy zajistí:

  jakou formou dá zákonný zástupce souhlas s mimoškolní akcí,

  aby součástí souhlasu byl i informovaný souhlas pro práci s osobními údaji žáků,

  aby seznamy žáků obsahovaly pouze nezbytné osobní údaje,

  aby seznamy sloužily pouze k jednomu danému účelu, například k výjezdu žáků do zahraničí,

  aby fotografie a videa byla zveřejňována pouze s informovaným souhlasem žáků a zákonných zástupců žáků,

  aby fotografie a videa byla vhodná pro prezentaci školy,

  aby byly zabezpečeny dokumenty ke zdravotní způsobilosti a písemné prohlášení zákonných zástupců dítěte.

 

Kamerový systém

V režimu nařízení EU o ochraně osobních údajů (GDPR) jsou takové kamerové systémy, které jsou vybaveny záznamovým zařízením, tedy jejich součástí je uchovávání (zpracování) informací – osobních údajů.

Ředitel školy zajistí:

  stanovení účelu instalace kamerového systému,

  způsob provozování kamerového systému,

  souhlas subjektu údajů (žáků, zaměstnanců školy, …),

  informovanost monitorovaných osob o kamerovém systému,

  ochranu zaměstnanců před sledováním zaměstnavatele.

 

Uzavírání smluv

Řada smluv obsahuje osobní údaje nebo na základě smluvního vztahu jako zpracovatelé pracují s osobními údaji správce (školy). Jedná se především o příkaz, kdy na základě smlouvy zpracovává firma pro školu například osobní údaje zaměstnanců za účelem zpracování platů nebo smlouvy uzavřené s poskytovateli informačních systémů či jiných IT služeb.

Ředitel školy odpovídá za kontrolu údajů ve smlouvách:

  rozsahu, účel a doby zpracování osobních údajů,

  přístup třetích osob k osobním údajům v systémech,

  zda smlouva odpovídá záměru předcházet případnému nezákonnému zpracování osobních údajů (nápravná opatření, sankce),

  zda dostatečně upravují právo školy omezit, případně zakázat poskytování předaných osobních údajů třetím osobám,

  zda dostatečně zamezují zpracování osobních údajů jinak, než je v zájmu školy, potažmo v zájmu subjektu údajů (žáci, studenti, rodiče),

  zda jsou dostatečně zabezpečena v kyberprostoru externí uložiště informací s osobními údaji (fotografie žáků, výstupy ze vzdělávání, platy zaměstnanců) zpracovávané externími poskytovateli

  zda je externí poskytovatel služby schopen dostát čl. 28 nařízení EU.

 

Výpočetní technika

Pro zajištění ochrany osobních údajů jsou stanovena pravidla pro užívání IT techniky ve škole. Jedná se o správu, údržbu, ochranu a zabezpečení výpočetní techniky, ochranu a zabezpečení informačních systémů, dat a software.

Ředitel školy zajistí ochranu osobních údajů při práci s IT technikou:

  pravidla pro užívání IT,

  zákazy při užívání IT,

  ochrana osobních údajů,

  směrnice ředitele školy k využívání IT ve škole,

  školení a písemné poučení zaměstnanců školy,

  poučení žáků školy,

  pracovní náplně zaměstnanců (učitel, správce IT, koordinátor ICT, …),

  pravidelná kontrola dodržování stanovených pravidel.

 

Poskytování dotací z operačních programů

Zpracovávání osobních údajů při realizaci poskytování dotací nemá zásadně výslovnou oporu v zákoně s výjimkou čl. 125 odst. 2 písm. d) a e) Nařízení Evropského Parlamentu a Rady č. 1303/2013, podle kterého je mimo jiné možné zpracovávat osobní údaje osob podpořených z dotace, které se uchovávají a zaznamenávají v počítačových systémech o každé operaci nezbytné pro realizaci čerpání dotace.

Při zpracování žádosti o dotaci a další dokumentace při poskytování dotací je třeba zajistit souhlas subjektu údajů.

 

Pracovní náplně zaměstnanců

Ředitel školy jako zaměstnavatel problematiku ochrany osobních údajů do pracovních náplní jednotlivých zaměstnanců, aby byl dán důraz na plnění úkolů s tím spojených i osobní odpovědnost každého pracovníka.

Jedná se zejména o povolání:

  Učitel/třídní učitel

  Vychovatel

  Asistent pedagoga

  Správce informačních a komunikačních technologií

  Účetní a mzdová účetní

 

7. Pověřenec pro ochranu osobních údajů
 

Pověřenec pro ochranu osobních údajů

Škola jako „orgán veřejné moci“ rozhoduje o právech a povinnostech dětí, žáků a studentů = škola musí jmenovat pověřence pro ochranu osobních údajů.

Pověřence jmenuje ředitel školy, který s ním uzavírá pracovní poměr (pracovní smlouva nebo dohoda) nebo s externě spolupracujícím smlouvu o poskytování služeb.

Pověřenec je dostupný správci (škole) i subjektům údajů (zaměstnanci, žáci, zákonní zástupci žáků) osobně i pomocí komunikačních prostředků

Pověřenec pro ochranu osobních údajů musí být dostupný a k dispozici správci a zpracovateli, ale i subjektům údajů a dozorovému úřadu. Kontaktní údaje na pověřence jsou uvedeny:

- webové stránky školy,

- úřední deska zřizovatele,

- nástěnka školy …

Postavení pověřence pro ochranu osobních údajů:

Pověřenec je nápomocnou osobou škole při práci s osobními údaji.

Pověřenec je přímo podřízen řediteli školy.

Pověřenec má přístup ke všem dokumentům a informacím, které jsou nezbytné pro plnění úkolů.

Pověřenec spolupracuje s dozorovým úřadem (Úřad pro ochranu osobních údajů) a je kontaktní osobou pro tento dozorový úřad a subjekty údajů, kteří se na něho mohou obracet ve všech záležitostech souvisejících se zpracováním jejich osobních údajů a výkonem jejich práv a povinností.

Pověřenec plní své povinnosti a úkoly nezávislým způsobem, není v konfliktu zájmů (příklad konfliktu zájmů: ředitel školy, IT technik, mzdová účetní, …)

Pověřenci nejsou udíleny žádné pokyny týkající se plnění jeho úkolů podle nařízení, pro plnění svých úkolů nesmí být propuštěn ani nijak postihován za nezávislý způsob výkonu povinností

Pověřenec je dostupný správci (škole) i subjektům údajů (zaměstnanci, žáci, zákonní zástupci žáků) osobně i pomocí komunikačních prostředků

Pověřenec nenese osobní odpovědnost za nedodržování GDPR, právní soulad v oblasti ochrany dat je odpovědností správce nebo zpracovatele. Škola pro svoji odpovědnost není vázána radou nebo stanoviskem pověřence při ochraně osobních údajů

Pověřencem musí být vždy jmenována konkrétní osoba, a to i v případě, že bude pověřence vykonávat externí právnická osoba (advokátní kancelář).

Pověřenec získává veškeré informace k ochraně osobních údajů včas, aby mohl poskytnout odpovídající postupy a doporučení.

Hlavní úkoly pověřence (DPO)

- monitorovat soulad zpracování osobních údajů s povinnostmi vyplývajícími z nařízení EU,

- sledovat vývoj související legislativy,

- poskytovat poradenství správcům, zpracovatelům a jejich zaměstnancům, kteří se podílí na zpracování osobních údajů

- provádět interních auditů na ochranu osobních údajů ve škole,

- školit zaměstnance k problematice ochrany osobních údajů,

- zajišťovat kontaktu mezi školou a dozorovým orgánem (Úřad pro ochranu osobních údajů)

- zajišťovat kontaktu mezi školou a subjektem údajů (zaměstnanci, žáci, zákonní zástupci) v oblasti ochrany osobních údajů

 

8. Sankce, pokuty, poplatky

 

Porušení povinnosti mlčenlivosti

1. Pokud zaměstnanec vědomě poruší povinnost mlčenlivosti, bude to zaměstnavatel považovat za porušení pracovní kázně zvlášť hrubým způsobem a může se zaměstnancem okamžitě rozvázat pracovní poměr podle § 55 odst. 1 písm. b) zákoníku práce.

2. Jestliže zaměstnanec, který byť i z nedbalosti, neoprávněně zveřejní, sdělí, zpřístupní, jinak zpracovává nebo si přisvojí OÚ, které byly shromážděné v souvislosti s výkonem veřejné moci, vystavuje se nebezpečí trestního stíhání pro trestný čin dle § 180 zákona č. 40/2009 Sb., trestní zákoník - Neoprávněné nakládání s OÚ.

3. Stejnému postihu se vystavuje zaměstnanec, který byť i z nedbalosti, poruší povinnost mlčenlivosti tím, že neoprávněně zveřejní, sdělí nebo zpřístupní třetí osobě OÚ získané  v souvislosti s výkonem svého zaměstnání.

 

Poplatky za poskytnuté informace, odmítnutí žádosti

Informace poskytnuté subjektu údajů podle článků 13 a 14 a veškerá sdělení a úkony podle článku 15 až 22 a 34 Obecného nařízení se poskytují a činí bezplatně. Pouze v případě, kdy jsou žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může ředitel školy rozhodnout o uložení přiměřeného poplatku, nebo odmítnout žádosti vyhovět. Zjevnou nedůvodnost dokládá správce. V takovém případě se výše poplatku řídí sazebníkem úhrad za poskytování informací dle zákona č. 106/1999 Sb., o svobodném přístupu k informacím.