Školy môžu zbierať osobné údaje o svojich žiakoch a ich zákonných zástupcoch na základe konkrétnych právnych predpisov. Tieto pravidlá vyplývajú najmä zo všeobecného nariadenia o ochrane údajov (GDPR), ako aj zo slovenských právnych predpisov, ako je zákon o výchove a vzdelávaní (školský zákon) a zákon o ochrane osobných údajov. Zber údajov musí byť zákonný, účelný a primeraný vzhľadom na potreby školy.
V tomto článku si podrobne vysvetlíme, ktoré právne základy oprávňujú školu k spracúvaniu osobných údajov, aké údaje sú školy oprávnené zhromažďovať, ako majú zabezpečiť súlad s GDPR, a aké práva majú žiaci a ich zákonní zástupcovia. Cieľom článku je poskytnúť praktický a zrozumiteľný prehľad pre školy, rodičov aj študentov, aby vedeli, aké majú práva a povinnosti v oblasti ochrany osobných údajov v školskom prostredí.
Právny základ spracúvania osobných údajov školou
Školy sú verejnoprávne inštitúcie, ktoré majú zákonnú povinnosť zabezpečovať výchovu a vzdelávanie. Z tohto dôvodu sa na ne vzťahuje niekoľko právnych základov, na ktorých môžu spracúvať osobné údaje:
- Zákonná povinnosť podľa článku 6 ods. 1 písm. c) GDPR: Škola môže spracúvať údaje, ak je to nevyhnutné na splnenie jej právnych povinností vyplývajúcich zo školského zákona alebo iných predpisov.
- Verejný záujem alebo výkon verejnej moci podľa článku 6 ods. 1 písm. e) GDPR: Vzdelávanie je činnosť vo verejnom záujme, a preto je možné spracúvať údaje aj na tomto základe.
- Súhlas dotknutej osoby článok 6 ods. 1 písm. a) GDPR: V určitých prípadoch, najmä pri nadštandardných aktivitách či zverejňovaní fotografií, bude potrebný súhlas rodiča alebo zákonného zástupcu.
Dôležité je, aby škola vopred určila, ktorý právny základ používa pre konkrétny účel, a aby v prípade potreby disponovala dokumentáciou, ktorá to preukáže.
Ako školský zákon upravuje zber osobných údajov
Podstatnou právnou normou pre školy je zákon č. 245/2008 Z.z. o výchove a vzdelávaní (školský zákon). Tento zákon ukladá školám niekoľko povinností, pri ktorých je zber údajov nevyhnutný:
- zápis žiakov do školy, vedenie triednej knihy a katalógového listu
- hodnotenie a klasifikácia žiakov
- evidencia dochádzky
- komunikácia so zákonnými zástupcami
- spracúvanie údajov na účely prijímacieho konania, maturít či iných skúšok
Z uvedeného je zrejmé, že bez spracúvania osobných údajov by škola nemohla plniť svoje základné úlohy. Zároveň však musí tieto údaje spracúvať len v rozsahu nevyhnutnom na dosiahnutie daného účelu.
Ako definujeme osobné údaje žiakov a zákonných zástupcov
Za osobné údaje sa považuje akákoľvek informácia, ktorá vedie k identifikácii konkrétnej osoby. V školskom prostredí to znamená najmä:
- meno a priezvisko dieťaťa a rodičov
- rodné číslo (ak je nevyhnutné na identifikáciu v informačnom systéme)
- adresa trvalého bydliska
- údaje o zdravotnom stave (napr. alergie, špeciálne potreby)
- údaje o dochádzke, prospechu, správaní
- údaje z kamerových záznamov, fotografie z akcií
Zvláštnou kategóriou sú citlivé (osobitné) údaje, ako napríklad informácie o zdravotnom stave alebo náboženskom presvedčení. Tieto môže škola spracúvať len v prípade, že to výslovne umožňuje zákon alebo ak má súhlas dotknutej osoby.
Kedy je potrebný súhlas zákonného zástupcu
Súhlas nie je potrebný na účely, ktoré vyplývajú zo zákonov. No v praxi existujú viaceré situácie, kedy školy musia získať písomný súhlas rodiča alebo zákonného zástupcu:
- zverejňovanie fotografií a videí na webovej stránke školy alebo sociálnych sieťach
- účasť na dobrovoľných aktivitách mimo vyučovania
- poskytovanie údajov tretím stranám (napr. partnerom školy, sponzorom)
Súhlas musí byť formulovaný jednoznačne a konkrétne. Rodičia majú zároveň právo súhlas kedykoľvek odvolať.
Povinnosti školy podľa GDPR
Okrem plnenia zákonných úloh musí škola zabezpečiť dodržanie všetkých zásad spracúvania podľa GDPR:
- Zásada zákonnosti, spravodlivosti a transparentnosti: Škola musí jasne informovať, prečo a aké údaje zbiera.
- Zásada minimalizácie údajov: Zbierajú sa len tie údaje, ktoré sú nevyhnutné.
- Bezpečnosť údajov: Škola musí prijať technické a organizačné opatrenia na ochranu údajov pred zneužitím alebo únikom.
- Vypracovanie záznamu o spracovateľských činnostiach: Každá škola by mala mať evidenciu, kde dokumentuje všetky spôsoby spracúvania osobných údajov.
Niektoré školy sú zároveň povinné menovať zodpovednú osobu pre ochranu osobných údajov (DPO), ktorá dohliada na súlad s GDPR.
Práva žiakov a ich zákonných zástupcov
Žiaci (ak sú starší ako 15 rokov) a ich zákonní zástupcovia majú podľa GDPR niekoľko práv, ktoré im umožňujú kontrolovať spracúvanie ich údajov v školách:
- právo na prístup k údajom
- právo na opravu nepresných údajov
- právo na výmaz údajov – tzv. „právo byť zabudnutý“
- právo na obmedzenie spracúvania
- právo vzniesť námietku proti spracúvaniu
- právo podať sťažnosť na Úrad na ochranu osobných údajov SR
Škola musí reagovať na žiadosti týkajúce sa výkonu práv bez zbytočného odkladu, najneskôr však do jedného mesiaca.
Najčastejšie chyby škôl pri spracúvaní údajov
V praxi sa často stáva, že školy spracúvajú údaje bez primeraného právneho základu alebo nedostatočne informujú rodičov o tom, ako ich údaje používajú. Niektoré z najčastejších chýb sú:
- žiadosť o súhlas tam, kde je zbytočný (napr. pri povinných údajoch zo školského zákona)
- zverejňovanie fotografií detí bez súhlasu rodičov
- uchovávanie údajov dlhšie než je nevyhnutné
- neinformovanie o účeloch a právnych základoch spracúvania
- nedostatočné zabezpečenie prístupu k údajom
Tieto chyby môžu viesť nielen k porušeniu práv detí, ale aj k závažným sankciám zo strany Úradu na ochranu osobných údajov.
Odporúčania pre školy, ako správne spracúvať osobné údaje
Na zabezpečenie súladu s legislatívou by každá škola mala implementovať niekoľko kľúčových opatrení:
- Vypracovanie interných smerníc o ochrane osobných údajov, ktoré jasne popisujú procesy spracúvania
- Pravidelné školenia pre zamestnancov o povinnostiach podľa GDPR
- Zabezpečenie dát pomocou silnej heslovej politiky, šifrovania dokumentov a obmedzenia fyzického prístupu k osobným údajom
- Transparentnosť voči rodičom – jasné a zrozumiteľné informovanie pomocou informačných listov a oznámení
Zásadné je, aby spracúvanie údajov nebolo len formálnym aktom, ale súčasťou zodpovedného prístupu k právam detí a ich rodín.
Záver
Zber a spracúvanie osobných údajov žiakov a ich zákonných zástupcov v školách je legitímnou, ale veľmi zodpovednou činnosťou. Školy musia konať v súlade s GDPR, školským zákonom a zákonom o ochrane osobných údajov. Každá škola by mala disponovať prehľadným systémom správy údajov, dbať na minimalizáciu údajov, zabezpečenie ich ochrany a rešpektovanie práv dotknutých osôb. Zodpovedný prístup k spracúvaniu údajov posilňuje dôveru verejnosti a predchádza zbytočným právnym rizikám.