Ministerstvo školstva SR má v rámci svojej pôsobnosti prístup k osobným údajom, ktoré sú súčasťou oficiálnych registratúr, databáz, školského informačného systému a iných informačných zdrojov. Nie každý subjekt alebo jednotlivec však môže mať k týmto údajom prístup. Takýto prístup je prísne regulovaný zákonmi, najmä zákonom o ochrane osobných údajov a zákonom o štátnej správe v školstve. V tomto článku sa podrobne pozrieme na to, kto, kedy a za akých podmienok môže ministerstvo školstva umožniť prístup k osobným údajom, aké zákonné nástroje sú dôležité, a ako sa zabezpečuje ochrana osobných údajov v tomto kontexte.

Právny rámec ochrany osobných údajov v školstve

Prístup k osobným údajom v sektore školstva je regulovaný viacerými právnymi predpismi. Medzi kľúčové patria:

• Zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov (ďalej len „Zákon o ochrane osobných údajov“)
• Nariadenie GDPR – Všeobecné nariadenie o ochrane údajov (EU) 2016/679
• Zákon č. 245/2008 Z. z. o výchove a vzdelávaní (školský zákon)
• Zákon č. 596/2003 Z. z. o štátnej správe v školstve a školskej samospráve

Na základe týchto predpisov má ministerstvo školstva povinnosť zabezpečiť, že osobné údaje budú spracúvané zákonným spôsobom, iba pre presne vymedzené účely a len subjektmi, ktoré sú na to oprávnené.

Aké osobné údaje sa v školstve spracúvajú?

Osobné údaje v školstve sa týkajú hlavne študentov, ich rodičov či zákonných zástupcov, učiteľov a ostatných zamestnancov školských zariadení. Spracúvané údaje môžu zahŕňať:

• Meno a priezvisko
• Rodné číslo
• Adresa trvalého bydliska
• Údaje o priebehu a výsledkoch štúdia
• Zdravotné údaje súvisiace s výchovno-vzdelávacím procesom
• Údaje o rodičoch alebo zákonných zástupcoch (napr. kontaktné údaje, zamestnanie)

Tieto údaje nie sú verejne dostupné a ich spracovanie či sprístupnenie je možné len v súlade so zákonom.

Kto môže získať prístup k osobným údajom od ministerstva školstva?

Ministerstvo školstva môže umožniť prístup k osobným údajom predovšetkým týmto subjektom:

1. Školy a školské zariadenia

Tieto subjekty majú legislatívne oprávnenie získať údaje potrebné na pedagogickú, organizačnú a administratívnu činnosť. Prístup dostávajú cez informačné systémy ako RIS, eŠkola, EduPage a iné oficiálne platformy schválené ministerstvom.

2. Orgány štátnej správy a samosprávy

Patria sem:

• Ústredné orgány štátnej správy (napr. Štatistický úrad SR, Ministerstvo financií SR)
• Regionálne úrady školskej správy
• Zriaďovatelia škôl a školských zariadení (mestá, obce, samosprávne kraje)

Tieto orgány môžu pristupovať k údajom na základe ich zákonnej pôsobnosti, napríklad za účelom vyhodnocovania potrieb školského systému alebo rozdeľovania finančných prostriedkov.

3. Výskumné a štatistické inštitúcie

Údaje môžu byť sprístupnené aj pre účely výskumu a štatistiky, avšak iba v anonymizovanej forme, teda bez možnosti identifikácie konkrétnych osôb.

4. Orgány činné v trestnom konaní

Polícia, prokuratúra či súdy môžu žiadať údaje v právne odôvodnených prípadoch, napríklad pri vyšetrovaní trestnej činnosti alebo sporoch s ochranou práv maloletých.

5. Právnické osoby na základe zmluvy o spracovaní údajov

Externé spoločnosti poskytujúce technickú alebo softvérovú podporu, ktoré spracúvajú údaje ako sprostredkovatelia, môžu k údajom získať prístup len v presne vymedzenom rozsahu a za prísnych podmienok stanovených v zmluve o spracovaní osobných údajov.

Podmienky, za ktorých sa prístup povoľuje

Ministerstvo školstva umožňuje prístup k osobným údajom iba za týchto podmienok:

• Existencia zákonného dôvodu podľa GDPR alebo Zákona o ochrane osobných údajov
• Účel spracovania musí byť v súlade so zákonom a nesmie porušiť práva dotknutých osôb
• Prístup musí byť obmedzený len na údaje, ktoré sú nevyhnutné pre stanovený účel
• Musí byť dodržaná zásada minimalizácie údajov a bezpečnosti pri ich spracovaní

Prístup je často technicky realizovaný prostredníctvom zabezpečených informačných systémov ministerstva, ku ktorým majú oprávnené osoby prístup na základe pridelených autentifikácií.

Aké sú práva dotknutých osôb?

Každý jednotlivec, ktorého osobné údaje sú spracovávané ministerstvom školstva, má nasledujúce práva:

• Právo na prístup k údajom – môže požiadať o informácie, ktoré údaje sa o ňom spracúvajú, na aký účel a komu boli sprístupnené
• Právo na opravu – má možnosť požiadať o opravu nepresných alebo neaktuálnych údajov
• Právo na výmaz – môže žiadať vymazanie údajov, ak už nie sú potrebné na účel, na ktorý boli získané
• Právo na obmedzenie spracúvania
• Právo namietať proti spracovaniu údajov
• Právo podať sťažnosť Úradu na ochranu osobných údajov

Žiadosti dotknutých osôb musia byť ministerstvom vybavené v zákonnej lehote a korektným spôsobom. V prípade zamietnutia má každý jednotlivec právo podať sťažnosť na dozorný orgán.

Bezpečnostné opatrenia pri spracovaní údajov

Ministerstvo školstva je povinné zabezpečiť ochranu osobných údajov prostredníctvom primeraných technických a organizačných opatrení, ktoré zahŕňajú:

• Šifrovanie dát
• Riadenie prístupu prostredníctvom hesiel, identifikácie a autentifikácie
• Protokolovanie prístupov do systémov
• Pravidelné audity a hodnotenia rizík

Tieto opatrenia slúžia na zabezpečenie, aby sa k údajom nedostala neoprávnená osoba a aby boli údaje chránené pred únikom, stratou či zneužitím.

Záver: Transparentnosť a zodpovednosť v spracovávaní údajov

Ministerstvo školstva má kľúčovú úlohu nielen vo vzdelávacom systéme, ale aj ako správca veľkého objemu osobných údajov. Dôležité je, že sprístupňovanie týchto údajov podlieha prísnym pravidlám a nie je možné svojvoľné zdieľanie údajov s tretími osobami. Transparentnosť, zákonnosť, bezpečnosť a rešpektovanie práv jednotlivcov sú základným pilierom pri akomkoľvek spracúvaní údajov. Každý subjekt, ktorý s údajmi pracuje, musí niesť právnu, etickú aj technickú zodpovednosť za ich ochranu.

Odpoveď na otázku, či škola alebo školské zariadenie musí mať uzavretú sprostredkovateľskú zmluvu s Ministerstvom školstva, vedy, výskumu a športu SR (ďalej len „MŠVVaŠ SR“), je – nie, nie je to povinnosť. Vysvetlenie tohto stanoviska si však vyžaduje hlbšie porozumenie legislatívnemu rámcu, ochrane osobných údajov a úlohám škôl v digitálnom a administratívnom prostredí. V tomto článku si preto podrobnejšie rozoberieme legislatívne súvislosti, zodpovednosti školy ako samostatného prevádzkovateľa osobných údajov, rozdiel medzi prevádzkovateľom a sprostredkovateľom, úlohu MŠVVaŠ SR vo vzťahu ku školám, a prečo nie je uzatváranie takejto zmluvy potrebné, no v niektorých prípadoch zmysluplné.

Článok poskytuje praktické informácie a vysvetlenia v súlade s platným slovenským a európskym právom, najmä s Nariadením GDPR, zákonom o ochrane osobných údajov a zákonom o štátnej správe v školstve. Je určený riaditeľom škôl, zriaďovateľom, pedagogickým zamestnancom a aj rodičom, ktorí sa zaujímajú o to, ako sa spracúvajú ich údaje a aké sú právomoci jednotlivých subjektov v školskom systéme.

Postavenie školy ako prevádzkovateľa osobných údajov

Každá škola (základná, stredná, aj materská škola), ako aj školské zariadenie (napr. centrum voľného času, školská jedáleň), je samostatným prevádzkovateľom osobných údajov v zmysle zákona č. 18/2018 Z. z. o ochrane osobných údajov a nariadenia GDPR. To znamená, že nesie zodpovednosť za:

• zber osobných údajov žiakov, rodičov, zamestnancov a iných subjektov údajov,
• účel, na ktorý tieto údaje spracúva,
• technické a organizačné opatrenia na ich ochranu,
• sprostredkovateľské a zmluvné vzťahy s tretími stranami.

V dôsledku toho škola sama rozhoduje o tom, ktoré subjekty jej poskytujú služby, ako sú informačné systémy alebo mzdová agenda, a s týmito subjektmi uzatvára sprostredkovateľské zmluvy.

Rozdiel medzi prevádzkovateľom a sprostredkovateľom

Podľa definícií v legislatíve:

• Prevádzkovateľ je subjekt, ktorý určuje účely a prostriedky spracúvania osobných údajov (v tomto prípade škola alebo školské zariadenie).
• Sprostredkovateľ je subjekt, ktorý spracúva osobné údaje v mene prevádzkovateľa a na jeho pokyny (napr. dodávateľ IT systému, personálna agentúra, externý účtovník).

MŠVVaŠ SR nevykonáva spracovateľské operácie v mene školy. Je ústredným orgánom štátnej správy v oblasti školstva, nie poskytovateľom služieb. To znamená, že ani zo zákona, ani z hľadiska výkonu administratívnych činností štandardne neposkytuje školám služby, ktoré by mali charakter sprostredkovateľskej činnosti.

Úloha MŠVVaŠ SR v školskom systéme

MŠVVaŠ SR plní najmä tieto úlohy:

• vykonáva štátnu správu v oblasti školstva,
• určuje rámcový a legislatívny rámec pre činnosť škôl,
• zabezpečuje financovanie škôl zo štátneho rozpočtu,
• spravuje celoštátne informačné systémy ako RIS (Rezortný informačný systém) alebo ŠVS (Štátny vzdelávací systém).

V prípade, že MŠVVaŠ SR zabezpečuje pre školy niektorý centrálny informačný systém, ako napr. RIS, tento systém je spravovaný centrálne a školy doň vkladajú svoje údaje ako samostatné prevádzkovatelia. MŠVVaŠ SR v tomto prípade zvyčajne vystupuje ako prevádzkovateľ vo vlastnom mene, nie ako sprostredkovateľ vo vzťahu k školám.

Prečo teda školy nemusia uzatvárať sprostredkovateľskú zmluvu s MŠVVaŠ SR

Na základe vyššie uvedeného môžeme konštatovať:

• MŠVVaŠ SR nemá charakter sprostredkovateľa v zmysle GDPR, pretože nevykonáva spracúvanie údajov na priamu žiadosť školy.
• MŠVVaŠ SR má vo vzťahu k školám vlastné zákonné oprávnenie získavať údaje a tieto údaje sú poskytované na základe zákona, nie zmluvy.
• Nie je potrebná sprostredkovateľská zmluva, pretože zákonné poskytovanie údajov nemá komerčný a zmluvný charakter.

Ak by však MŠVVaŠ SR poskytovalo nejakú službu (napr. správu e-learningovej platformy pre konkrétnu školu), v takom prípade by sa status mohol zmeniť a zmluva by bola opodstatnená. V praxi sa to však zatiaľ nevyskytuje.

Výnimočné situácie, kedy by mohlo byť vhodné uzatvoriť zmluvu

Aj keď bežne nie je potrebné uzatvárať sprostredkovateľskú zmluvu s MŠVVaŠ SR, existujú výnimočné situácie, kedy by škola mohla zvážiť zmluvný vzťah:

• Ak MŠVVaŠ SR zverí škole spracovanie údajov vo svojej databáze ako externe poverenému subjektu.
• Ak ministerstvo poskytuje špecifickú IT službu na mieru pre školu – nie ako štandardizovaný systém.
• Spoločné projekty, kde sa spracúvajú citlivé údaje a je potrebné si upraviť práva a povinnosti zmluvným dokumentom.

V týchto prípadoch však ide o výnimky, nie bežnú prax. Bežne nie je dôvod uzatvárať sprostredkovateľské zmluvy medzi školami a MŠVVaŠ SR.

Odporúčania pre školy

Na základe zistení odporúčame školám nasledovné:

• Preskúmať postavenie dodávateľov IT, mzdových alebo iných služieb – tieto subjekty sú zvyčajne sprostredkovatelia a je potrebné mať s nimi uzatvorené zmluvy.
• Nežiadali od ministerstva sprostredkovateľskú zmluvu, pokiaľ MŠVVaŠ SR poskytuje len rámcové zákonné služby bez priameho spracovania údajov v mene školy.
• Viesť samostatnú dokumentáciu v súlade s GDPR a zákonom o ochrane osobných údajov, vrátane záznamov o spracovateľských činnostiach.

Záver

Školy a školské zariadenia nie sú povinné uzatvárať sprostredkovateľskú zmluvu s MŠVVaŠ SR. Z pohľadu legislatívy ide o dva nezávislé subjekty s vlastnou právnou a administratívnou zodpovednosťou. MŠVVaŠ SR má zákonné oprávnenie získavať údaje, prípadne prevádzkovať systémy, no nevykonáva služby za školy. Takáto zmluva by teda bola nadbytočná a nevhodná, ak neexistuje osobitný dôvod, ktorý by si vyžadoval zmluvné upravenie vzťahu. Školy by sa mali sústrediť skôr na riadne zmluvné pokrytie skutočných sprostredkovateľov – napr. softvérových dodávateľov, účtovníkov a externých konzultantov.

Otázka, či môže škola alebo školské zariadenie zverejňovať údaje o svojich žiakoch na svojom webovom sídle alebo na sociálnych sieťach, sa často vyskytuje najmä v kontexte dodržiavania práv na ochranu osobných údajov, digitálnej bezpečnosti a ochrany detí. Odpoveď je áno, ale pod prísnymi podmienkami. Zverejňovanie informácií o žiakoch je možné iba v súlade s platnou legislatívou a vyžaduje si dôkladné zhodnotenie typu údajov, účelu zverejnenia a získania súhlasu zákonných zástupcov.

V tomto článku si podrobne vysvetlíme, kedy a aké údaje môže škola zverejniť, ako postupovať pri získavaní súhlasov, čo znamenajú pojmy ako osobné alebo citlivé údaje a ako dodržiavať zákony v oblastiach ochrany osobných údajov, najmä v súvislosti so zákonom č. 18/2018 Z.z. o ochrane osobných údajov a nariadením GDPR. Tiež sa pozrieme na praktické odporúčania pre školy, aby minimalizovali riziká a chránili práva svojich žiakov pri zdieľaní akejkoľvek formy údajov na internete.

Aké údaje sa považujú za osobné a citlivé

1. Osobné údaje

Osobné údaje sú všetky informácie, ktoré umožňujú identifikáciu konkrétnej osoby. V prípade žiakov ide napríklad o:

• meno a priezvisko,
• fotografiu,
• školskú triedu,
• hlas z videa,
• adresu bydliska alebo e-mail,
• informácie o prospechu alebo správaní.

2. Citlivé osobné údaje (tzv. osobitné kategórie údajov)

Tieto údaje sú chránené ešte prísnejšie. Ide napríklad o:

• informácie o zdravotnom stave,
• údaje o náboženskom vyznaní,
• etnický pôvod,
• politické názory,
• členstvo v organizáciách.

Takéto údaje nemožno zverejňovať bez veľmi špecifických podmienok, ktoré spravidla zahŕňajú výslovný a informovaný súhlas zákonného zástupcu alebo dotknutej osoby, pokiaľ ide o staršieho žiaka.

Legislatívne predpoklady na zverejňovanie údajov

Zákon o ochrane osobných údajov a GDPR

Zákon č. 18/2018 Z.z. o ochrane osobných údajov a európske nariadenie GDPR stanovujú podmienky, za ktorých môže akákoľvek inštitúcia, vrátane škôl, spracúvať, zverejňovať a uchovávať osobné údaje. Základné zásady zahŕňajú:

• Zákonnosť spracovania – musí existovať právny základ (napr. povinnosť školy, súhlas rodiča a pod.).
• Transparentnosť – škola musí jasne informovať o účele spracovania údajov.
• Minimalizácia údajov – zverejniť len toľko, koľko je nevyhnutne potrebné.
• Bezpečnosť údajov – chrániť údaje pred zneužitím či zverejnením nepovolaným osobám.

Súhlas ako základ zverejnenia

Najčastejším a najbezpečnejším spôsobom, ako škola môže zverejniť osobné údaje žiakov, je získať informovaný súhlas zákonného zástupcu. Tento by mal byť:

• dobrovoľný,
• konkrétny (napr. na zverejnenie fotografie na webovom sídle školy),
• informovaný (rodič musí vedieť, čo podpisuje),
• odvolateľný (rodič môže súhlas kedykoľvek odvolať).

Praktické príklady vhodného a nevhodného zverejňovania údajov

Prípustné spôsoby zverejnenia (za predpokladu udeleného súhlasu):

• Fotogaléria z podujatia, kde sú zachytené tváre žiakov – iba so súhlasom.
• Výsledky žiakovej súťaže – len s iniciálami alebo anonymizovanými údajmi.
• Videá z divadelného predstavenia – so súhlasom rodičov všetkých účinkujúcich žiakov.

Sporné alebo nevhodné formy zverejnenia:

• Zoznamy žiakov s ich známkami viditeľné na webe.
• Fotografie z výletu bez súhlasu zverejnené na Facebooku školy.
• Zdieľané videá žiakov cez neoficiálne kanály (napr. osobný profil učiteľa).

Rozdiel medzi zverejnením na webovej stránke a na sociálnych sieťach

Rozlišovanie medzi oficiálnym školským webom a sociálnou sieťou je dôležité z hľadiska bezpečnosti a kontroly obsahu.

Webové sídlo školy

Je lepšie chránené a spravované školou. Zverejnený obsah je pod väčšou kontrolou a dá sa rýchlejšie upraviť alebo odstrániť. Je vhodné pre:

• oznamy pre rodičov,
• fotografie z akcií (s predchádzajúcim súhlasom),
• práce žiakov bez ich identifikácie.

Sociálne siete školy (napr. Facebook, Instagram)

Sú atraktívnym komunikačným kanálom, no nesú vyššie riziko:

• obsah sa rýchlo šíri a je ťažšie ho kontrolovať,
• existuje riziko sťahovania fotografií tretími osobami,
• komentáre cudzích osôb môžu narušiť dôstojnosť žiakov.

Pre každý obsah zdieľaný na sociálnych sieťach treba osobitný súhlas so zverejnením na týchto platformách.

Odporúčania pre školy pri zverejňovaní údajov

Bezpečné postupy:

• Získať písomný súhlas od zákonného zástupcu pred každým zverejnením osobných údajov dieťaťa.
• Anonymizovať údaje, ak to nie je nevyhnutné (napr. namiesto “Martin Novák – 9.A” použiť “M.N. – 9.A”).
• Na fotografiách zachytiť skôr skupinu ako jednotlivca.
• Rýchla možnosť odstránenia obsahu – na žiadosť rodiča alebo žiaka.
• Informovať rodičov a žiakov vopred o komunikačných kanáloch a tipoch ochrany súkromia.

Dôležité interné procesy:

• Vytvoriť internú smernicu školy o zverejňovaní údajov a médií.
• Vyškoliť učiteľov v oblasti GDPR a ochrany súkromia.
• Pravidelne revidovať udelené súhlasy a ich účinnosť.

Záver

Zverejňovanie údajov o žiakoch na internete je citlivou záležitosťou, ktorá si vyžaduje zodpovedný a právne korektný prístup. Školy musia dôsledne rešpektovať legislatívu a pred každým zverejnením údajov si overiť, či sú splnené všetky právne požiadavky, predovšetkým existencia platného a informovaného súhlasu zákonného zástupcu. Týmto spôsobom môže škola efektívne komunikovať, informovať a zároveň chrániť práva svojich žiakov aj dôveru verejnosti.

Školy môžu zbierať osobné údaje o svojich žiakoch a ich zákonných zástupcoch na základe konkrétnych právnych predpisov. Tieto pravidlá vyplývajú najmä zo všeobecného nariadenia o ochrane údajov (GDPR), ako aj zo slovenských právnych predpisov, ako je zákon o výchove a vzdelávaní (školský zákon) a zákon o ochrane osobných údajov. Zber údajov musí byť zákonný, účelný a primeraný vzhľadom na potreby školy.

V tomto článku si podrobne vysvetlíme, ktoré právne základy oprávňujú školu k spracúvaniu osobných údajov, aké údaje sú školy oprávnené zhromažďovať, ako majú zabezpečiť súlad s GDPR, a aké práva majú žiaci a ich zákonní zástupcovia. Cieľom článku je poskytnúť praktický a zrozumiteľný prehľad pre školy, rodičov aj študentov, aby vedeli, aké majú práva a povinnosti v oblasti ochrany osobných údajov v školskom prostredí.

Právny základ spracúvania osobných údajov školou

Školy sú verejnoprávne inštitúcie, ktoré majú zákonnú povinnosť zabezpečovať výchovu a vzdelávanie. Z tohto dôvodu sa na ne vzťahuje niekoľko právnych základov, na ktorých môžu spracúvať osobné údaje:

• Zákonná povinnosť podľa článku 6 ods. 1 písm. c) GDPR: Škola môže spracúvať údaje, ak je to nevyhnutné na splnenie jej právnych povinností vyplývajúcich zo školského zákona alebo iných predpisov.
• Verejný záujem alebo výkon verejnej moci podľa článku 6 ods. 1 písm. e) GDPR: Vzdelávanie je činnosť vo verejnom záujme, a preto je možné spracúvať údaje aj na tomto základe.
• Súhlas dotknutej osoby článok 6 ods. 1 písm. a) GDPR: V určitých prípadoch, najmä pri nadštandardných aktivitách či zverejňovaní fotografií, bude potrebný súhlas rodiča alebo zákonného zástupcu.

Dôležité je, aby škola vopred určila, ktorý právny základ používa pre konkrétny účel, a aby v prípade potreby disponovala dokumentáciou, ktorá to preukáže.

Ako školský zákon upravuje zber osobných údajov

Podstatnou právnou normou pre školy je zákon č. 245/2008 Z.z. o výchove a vzdelávaní (školský zákon). Tento zákon ukladá školám niekoľko povinností, pri ktorých je zber údajov nevyhnutný:

• zápis žiakov do školy, vedenie triednej knihy a katalógového listu
• hodnotenie a klasifikácia žiakov
• evidencia dochádzky
• komunikácia so zákonnými zástupcami
• spracúvanie údajov na účely prijímacieho konania, maturít či iných skúšok

Z uvedeného je zrejmé, že bez spracúvania osobných údajov by škola nemohla plniť svoje základné úlohy. Zároveň však musí tieto údaje spracúvať len v rozsahu nevyhnutnom na dosiahnutie daného účelu.

Ako definujeme osobné údaje žiakov a zákonných zástupcov

Za osobné údaje sa považuje akákoľvek informácia, ktorá vedie k identifikácii konkrétnej osoby. V školskom prostredí to znamená najmä:

• meno a priezvisko dieťaťa a rodičov
• rodné číslo (ak je nevyhnutné na identifikáciu v informačnom systéme)
• adresa trvalého bydliska
• údaje o zdravotnom stave (napr. alergie, špeciálne potreby)
• údaje o dochádzke, prospechu, správaní
• údaje z kamerových záznamov, fotografie z akcií

Zvláštnou kategóriou sú citlivé (osobitné) údaje, ako napríklad informácie o zdravotnom stave alebo náboženskom presvedčení. Tieto môže škola spracúvať len v prípade, že to výslovne umožňuje zákon alebo ak má súhlas dotknutej osoby.

Kedy je potrebný súhlas zákonného zástupcu

Súhlas nie je potrebný na účely, ktoré vyplývajú zo zákonov. No v praxi existujú viaceré situácie, kedy školy musia získať písomný súhlas rodiča alebo zákonného zástupcu:

• zverejňovanie fotografií a videí na webovej stránke školy alebo sociálnych sieťach
• účasť na dobrovoľných aktivitách mimo vyučovania
• poskytovanie údajov tretím stranám (napr. partnerom školy, sponzorom)

Súhlas musí byť formulovaný jednoznačne a konkrétne. Rodičia majú zároveň právo súhlas kedykoľvek odvolať.

Povinnosti školy podľa GDPR

Okrem plnenia zákonných úloh musí škola zabezpečiť dodržanie všetkých zásad spracúvania podľa GDPR:

• Zásada zákonnosti, spravodlivosti a transparentnosti: Škola musí jasne informovať, prečo a aké údaje zbiera.
• Zásada minimalizácie údajov: Zbierajú sa len tie údaje, ktoré sú nevyhnutné.
• Bezpečnosť údajov: Škola musí prijať technické a organizačné opatrenia na ochranu údajov pred zneužitím alebo únikom.
• Vypracovanie záznamu o spracovateľských činnostiach: Každá škola by mala mať evidenciu, kde dokumentuje všetky spôsoby spracúvania osobných údajov.

Niektoré školy sú zároveň povinné menovať zodpovednú osobu pre ochranu osobných údajov (DPO), ktorá dohliada na súlad s GDPR.

Práva žiakov a ich zákonných zástupcov

Žiaci (ak sú starší ako 15 rokov) a ich zákonní zástupcovia majú podľa GDPR niekoľko práv, ktoré im umožňujú kontrolovať spracúvanie ich údajov v školách:

• právo na prístup k údajom
• právo na opravu nepresných údajov
• právo na výmaz údajov – tzv. „právo byť zabudnutý“
• právo na obmedzenie spracúvania
• právo vzniesť námietku proti spracúvaniu
• právo podať sťažnosť na Úrad na ochranu osobných údajov SR

Škola musí reagovať na žiadosti týkajúce sa výkonu práv bez zbytočného odkladu, najneskôr však do jedného mesiaca.

Najčastejšie chyby škôl pri spracúvaní údajov

V praxi sa často stáva, že školy spracúvajú údaje bez primeraného právneho základu alebo nedostatočne informujú rodičov o tom, ako ich údaje používajú. Niektoré z najčastejších chýb sú:

• žiadosť o súhlas tam, kde je zbytočný (napr. pri povinných údajoch zo školského zákona)
• zverejňovanie fotografií detí bez súhlasu rodičov
• uchovávanie údajov dlhšie než je nevyhnutné
• neinformovanie o účeloch a právnych základoch spracúvania
• nedostatočné zabezpečenie prístupu k údajom

Tieto chyby môžu viesť nielen k porušeniu práv detí, ale aj k závažným sankciám zo strany Úradu na ochranu osobných údajov.

Odporúčania pre školy, ako správne spracúvať osobné údaje

Na zabezpečenie súladu s legislatívou by každá škola mala implementovať niekoľko kľúčových opatrení:

• Vypracovanie interných smerníc o ochrane osobných údajov, ktoré jasne popisujú procesy spracúvania
• Pravidelné školenia pre zamestnancov o povinnostiach podľa GDPR
• Zabezpečenie dát pomocou silnej heslovej politiky, šifrovania dokumentov a obmedzenia fyzického prístupu k osobným údajom
• Transparentnosť voči rodičom – jasné a zrozumiteľné informovanie pomocou informačných listov a oznámení

Zásadné je, aby spracúvanie údajov nebolo len formálnym aktom, ale súčasťou zodpovedného prístupu k právam detí a ich rodín.

Záver

Zber a spracúvanie osobných údajov žiakov a ich zákonných zástupcov v školách je legitímnou, ale veľmi zodpovednou činnosťou. Školy musia konať v súlade s GDPR, školským zákonom a zákonom o ochrane osobných údajov. Každá škola by mala disponovať prehľadným systémom správy údajov, dbať na minimalizáciu údajov, zabezpečenie ich ochrany a rešpektovanie práv dotknutých osôb. Zodpovedný prístup k spracúvaniu údajov posilňuje dôveru verejnosti a predchádza zbytočným právnym rizikám.