GDPR a školy
Zajistěte soukromí těch nejzranitelnějších dat
O službě
GDPR ve školách
Všechny osobní údaje dětí jsou dle nařízení GDPR citlivá data a na jejich ochranu se vztahují přísnější pravidla. Je proto na místě, aby se školy na GDPR řádně připravily.
Video
Specifika GDPR na školách
Školám zákon ukládá povinnost mít pověřence pro ochranu osobních údajů. Kritické je podchytit oblasti, které nespadají pod školský zákon, tedy typicky volnočasové školní aktivity a evidence dětí, které se jich účastní. Co třeba tradiční ročníková třídní fotografie? Potřebujete souhlas pro takovouto fotografii?
Technologie
Technologie v souladu s bezpečnostními požadavky nařízení GDPR
Jak?
Jak zvládnout GDPR?
0
0
Seznámení se s GDPR
0
0
Úvodní analýza
0
0
Zajištění pověřence pro ochranu osobních údajů (DPO)
0
0
Analýza jednotlivých zpracování OÚ
0
0
Implementace opatření u každého zpracování
0
0
Stanovení / úprava interních procesů zpracování OÚ a souvisejících dokumentů
0
0
Zavedení technických opatření
0
0
Školení zaměstnanců – směrnice, procesy a nové technologie zavedené pro zabezpečení OÚ
Máte otázku?
OÚ
Osobní údaje ve škole
Osobní údaje v rámci školy lze v zásadě rozdělit na dvě kategorie:
- Osobní údaje žáků (děti)
- Osobní údaje zaměstnanců (učitelé, školník, uklízečka, externisté,… )
- Osobní údaje zákonných zástupců a rodinných příslušníků
Je třeba se zvlášť zaměřit na všechny skupiny a pečlivě data analyzovat.
Osobní údaje dětí
GDPR klade veliký důraz na ochranu osobních údajů dětí, všechny osobní údaje dětí se řadí do kategorie citlivých osobních údajů. Pro zpracování osobních údajů, které nejsou zpracovávány ze zákonného důvodu, GDPR nařizuje souhlas nejen od dítěte samotného, ale i od jeho zákonného zástupce. K této povinnosti stanovuje věkovou hranici 16 let s tím, že si jednotlivé státy mohou hranici upravit v rozmezí 13 až 16 let.
Takováto opatření vyplývají z mentální vyspělosti dětí, které si často neuvědomují všechny dopady zveřejnění svých osobních údajů a proto se je GDPR snaží tímto opatřením chránit.
Musíme vždy rozeznávat za jaké osobní údaje zpracováváme a k jakým účelům jsou používány. Všeobecně platí pravidlo, že osobní údaje, které nejsou nezbytně nutné bychom měli vymazat a vůbec je od subjektů osobních údajů nepožadovat. Dále si musíme říct, jaký důvod máme k zpracování osobních údajů:
- Pro zpracování máme jako škola zákonný důvod
V případě dětí a školního prostředí ze školského zákona 561/2004 Sb., který nám ukládá vést povinnou dokumentaci (matriky, povinná hlášení, zasílání údajů pro statistické hodnocení,…).K takovému zpracování souhlas nepotřebujeme.
- Pro zpracování nemáme jako škola zákonný důvod
V tomto případě se bude jednat například o zpracování osobních informací dětí v rámci zájmových kroužku, účasti na olympiádách, zveřejňování fotografií na webu školy, vystavování výtvarných děl dětí na výstavách atd.K takovému zpracování osobních údajů souhlas potřebujeme.
Osobní údaje zaměstnanců
Osobní údaje zaměstnanců školy jsou neméně důležité a neměli bychom na jejich ochranu zapomínat.
Opět je na místě se ptát, zda všechny osobní údaje, které o svých zaměstnancích máme nezbytně potřebujeme. Dále se opět pídíme po účelu zpracování osobních údajů.
- Pro zpracování má škola jako zaměstnavatel zákonný důvod
Osobní údaje potřebujeme pro pracovní smlouvu, účetnictví, pojištění atd., povinnost zpracovávat osobní údaje nám ukládá nějaký zákon.K takovému zpracování souhlas nepotřebujeme.
- Pro zpracování nemá škola jako zaměstnavatel zákonný důvod
V tomto případě se bude jednat například o zveřejňování osobních kontaktů na webu školy, zveřejňování nahrávek a fotografií na webu, vstupní formulář zaměstnance,…K takovému zpracování souhlas potřebujeme.
Osobní údaje zákonných zástupců a rodinných příslušníků
Školy disponují s nemalým množstvím osobních údajů, které se týkají rodinných příslušníků žáků jejich školy (rodičů, sourozenců, prarodičů).
Je vhodné zvážit zda všechny osobní údaje potřebujeme a máme-li pro zpracování těchto osobních údajů zákonný důvod.
- Pro zpracování máme zákonný důvod
Toto zpracování se týká osobních údajů zákonných zástupců, které jsou nařízeny pro dokumentaci dle školského zákona 561/2004 Sb. Dále se může jednat například o zpracování osobních údajů rodičů na přihlášce ke stravování, tyto údaje jsou nutné k fakturaci.K takovému zpracování souhlas nepotřebujeme.
- Pro zpracování nemáme zákonný důvod
V tomto případě se jedná například seznam osob, které budou vyzvedávat děti ze školky nebo družiny nebo například o osobní údaje členu Sdružení rodičů a přátel školy.V takovém případě souhlas potřebujeme.
Specifika
Specifika pro školní prostředí
Školní prostředí má v souvislosti s řešením GDPR některá svá specifika.
Zajištění Pověřence pro ochranu osobních údajů
Školy mají povinnost bez výjimky zajistit Pověřence pro ochranu osobních údajů (DPO). Pověřenec musí být nezávislým garantem správného nakládání s OÚ a prostředníkem pro komunikaci s Úřadem pro ochranu osobních údajů či veřejností (případným stěžovatelem).
Kde Pověřence najdete?
Pověřencem pro ochranu osobních údajů může být jak externista, tak vlastní zaměstnanec. Pokud se rozhodnete vybrat Pověřence z řad zaměstnanců, musíte dbát na to, aby zaměstnanec v rámci svého pracovního zařazení nezpracovával osobní údaje. Z toho nám ovšem vyplývá pro školní prostředí velice málo vhodných adeptů pro pozici Pověřence, neboť všichni učitelé a všichni (nebo téměř všichni) administrativní pracovníci zpracovávají osobní informace ať už dětí nebo samotných zaměstnanců. Nesmíme ani zapomínat na to, že osoba vybraná na pozici Pověřence musí být k této práci kompetentní a musí se v problematice GDPR dále vzdělávat.
Pověřence Externistu Vám můžeme poskytnout i my na přiměřeně dlouhou pracovní dobu.
Důležité je, aby Pověřenec byla jedna fyzická osoba, jejíž jméno a kontakt bude veřejný a lehko dohledatelný pro veřejnost (např. školní web, vývěska školy,…).
Revize souhlasů a smluv
Pro soulad s GDPR bude nutné také revidovat smlouvy a souhlasy se z pracovním osobních údajů, většina z nich nebude požadavkům GDPR vyhovovat, proto je třeba všechny revidovat a nahradit ve znění, které je v souladu s GDPR.
GDPR celkem přesně definuje, jak by měl souhlas se zpracování osobních údajů vypadat. Souhlas musí být srozumitelný, v jednoduchém mateřském jazyce, jednoznačný, časově omezený, musí být samostatně vyjmenovány účely, pro které je souhlas udělován a musí být oddělen od všech smluv. Udělení souhlasu nesmí být ničím podmíněno.
GDPR ukládá správci povinnost zabezpečit osobní data subjektů i v případě poskytnutí těchto údajů třetím stranám, proto je třeba externí zpracovatele (účetní firma, správci IT infrastruktury, úklidové firmy, externí lektoři,…) prověřit z hlediska zabezpečení, nastavit pravidla pro zpracování a zabezpečení v případě nevyhovujících bezpečnostních opatření a nechuti revize smlouvy od takovéto smlouvy odstoupit.
Zabezpečení osobních údajů
Často si pod pojmem ochrana osobních údajů představujeme elektronicky uložená data v počítači, nesmíme ale zapomínat na data, která jsou na fyzických médiích, tzn. na listinné dokumenty, které jsou rámci školy ještě často využívány a na které se GDPR taktéž vztahuje (třídní knihy, žákovské knížky, omluvenky na lístečku, vysvědčení, přihlášky,…).
Je třeba zabezpečit fyzickou dokumentaci tak, aby nedošlo k úniku osobních informací. Dokumentace obsahující osobní údaje se často skladuje v neuzamčených skříních na chodbách, skladech, atd.
Školy často používají systémy pro správu školní agendy (SAS, Bakaláři, Edookit,…), zde je třeba, aby správce pečlivě nastavil přístupy a možnosti editace pro jednotlivé uživatele.
Problémem nadále zůstává e-mailová komunikace. Je zaběhnutou praxí, že se dokumenty s osobními údaji posílají e-mailem, mnohdy zaměstnanci využívají své soukromé e-mailové schránky a vystavují se tak riziku úniku dat.
Cloudové služby
Mnohem lepší pro komunikaci mezi zaměstnanci školy než zasílání e-mailem je zabezpečené cloudové uložiště na kterém mohou data bezpečně ukládat a sdílet. Zaměstnanci získají také prostor pro ukládání vlastní agendy. Škola zajistí svým zaměstnancům přístup k důležitým datům odkudkoli a zamezí nezabezpečenému ukládání a předávání osobních údajů. Více se dozvíte na stránce o službě netSpace.
Dotazy
Nejčastější dotazy
Ano, zákonný zástupce uvede i jiné osoby pro vyzvedávání dítěte, jako je třeba babička, soused, či další osoby, je třeba si od těchto osob vyžádat souhlas se zpracováním jejich OÚ. Je také třeba zrevidovat, zda jsou všechny informace na takovémto formuláři potřebné, například zaměstnání rodiče na takovémto formuláři je nadbytečným osobním údajem a doporučujeme ho z formuláře vyřadit.
V takovémto případě je třeba rozlišovat jak a za jakým účelem je fotografie pořizována. Pokud je focena skupina lidí jako ilustrační záběr z povahy věci není třeba trvat na souhlasu, jiné je to v případě, kdy je focena konkrétní osoba a ví, že fotografie bude na webu zveřejněna (např. fotíme vítěze matematické olympiády), v takovém případě bychom souhlas měli mít. Stejné je to i při fotografování celých tříd na konci roku, chceme-li je zveřejňovat. Zde nezapomínejme ani na souhlasy pedagogů, kteří bývají s žáky foceni.
V obou případech souhlas samozřejmě nepotřebujeme, jejich zpracování probíhá za účelem výkonu nebo ochrany práv osob. V případě šikany jde o protiprávní jednání, které musí škola hlásit. V případě úrazu se jedná o evidenci úrazu k němuž došlo při činnostech souvisejících se vzděláním plynoucí ze školského zákona.
Jedná se o zveřejnění osobních informací, které jsou nutné pro komunikaci rodičů se školou, v tomto případě je zveřejnění školních e-mailů a telefonních čísel v pořádku, problémem je, pokud jde o e-maily a telefonní čísla soukromá, tam by souhlasy pedagogů byly na místě.
Toto opatření je nasazeno za účelem ochrany školní sítě a žáků, proto souhlas není nutný. Je ovšem nutné děti i rodiče o těchto opatřeních dostatečně informovat na třídních schůzkách, webu, nástěnkách, atd.
Objevujte
Více o nás
Spojme se
Ptejte se. Nechte nám vzkaz.
Ing. Petr Nepustil
IT Konzultant
+420 734 686 014
petr.nepustil@k-net.cz
