98 / GDPR – Řešení problémů v praxi škol
průměrného občana. Neměla by obsahovat dlouhé citace z právních předpisů, právní terminologii apod. Obecné nařízení (GDPR) nestanoví striktně formu ani podobu, ve které musí být informace poskytnuty, aby splnily požadavek na informovaný souhlas. Informace odpovídající požadavkům tohoto nařízení je možné předkládat různými způsoby, například jako písemná či ústní prohlášení nebo hlasové zprávy či videozprávy. g) Jednoznačný projev vůle Recitál 32 Obecného nařízení (GDPR) požaduje, aby byl souhlas dán jednoznačným potvrzením, které je vyjádřením svolení subjektu údajů ke zpracování osobních údajů, které se jej týkají, a to v podobě písemného prohlášení, i učiněného elektronicky, nebo ústního prohlášení. Souhlas lze proto dát aktivním jednáním nebo prohlášením, což zmíněný recitál doplňuje příkladmým výčtem možností, jak lze souhlas zajistit, když uvádí: „mohlo by se například jednat o zaškrtnutí políčka při návštěvě internetové stránky, volbu technického nastavení pro služby informační společnosti nebo jiné prohlášení či jednání, které v této souvislosti jasně signalizuje souhlas subjektu údajů s navrhovaným zpracováním jeho osobních údajů. Mlčení, předem zaškrtnutá políčka nebo nečinnost by tudíž neměly být považovány za souhlas“. Obecné nařízení (GDPR) zároveň upozorňuje na známou poučku, že mlčení neznamená souhlas, když uvádí, že mlčení, předem zaškrtnutá políčka nebo nečinnost by tudíž neměly být považovány za souhlas. Obecné nařízení (GDPR) rovněž nepovoluje správcům nabízet předem zaškrtnutá políčka ani konstrukce nesouhlasu, které vyžadují zásah subjektu údajů s cílem souhlasu zabránit (například „políčka pro vyjádření nesouhlasu“). Má‑li subjekt údajů vyjádřit souhlas na základě žádosti podané elektronickými prostředky, musí být žádost jasná a stručná a nesmí zbytečně narušit využívání služby, pro kterou je souhlas dáván. Před tím, než správce začne souhlasy aktivně sbírat, musí si uvědomit, jaký je skutečný právní základ jím zpracovávaných osobních údajů. V případě, že správci osobních údajů svědčí jiný zákonný důvod, než je souhlas (může se jednat o smluvní vztah se subjektem údajů, plnění právní povinnosti správce nebo realizace jeho oprávněného zájmu, plnění úkolu prováděného ve veřejném zájmu), je zpracování osobních údajů prováděno bez souhlasu subjektu údajů a souhlas nesmí být vyžadován. Získáním nadbytečného souhlasu by si správce osobních údajů situaci zkomplikoval – v případě odvolání souhlasu nelze ukončit zpracování údajů a provést jejich výmaz, údaje je nutné zpracovávat i nadále. Vyžadování souhlasu je proto nadbytečné, obtěžující a většinou i klamavé a zároveň je v rozporu s Obecným nařízením (GDPR).
Ukázka elektronické knihy, UID: KOS272316
Souhlas se zpracováním osobních údajů / 99
Tzv. nadbytečný souhlas může být dokonce považován za porušení zásady transparentnosti. Subjekt údajů je totiž uveden v omyl, když je mu dáno najevo, že může v dané věci o zpracování svých osobních údajů rozhodovat, byť tomu tak ve skutečnosti není. V praxi bývají využívány tři typy souhlasů: a) Tzv. generální souhlas, který zahrnuje všechny účely, pro které hodlá správce osobní údaje zpracovávat, přičemž je možné pouze buď obecně dokument podepsat a tím přijmout všechny účely přijmout zpracování, nebo všechny účely odmítnout a souhlas ke zpracování osobních údajů neudělit. Jak již bylo uvedeno výše, tato forma je v rozporu s Obecným nařízením (GDPR). Takový souhlas bývá navíc subjekty údajů odmítán. b) Souhlas pouze k jednomu účelu zpracování. Takový souhlas je jednoznačný a srozumitelný. V praxi však bude neobvyklé, že by škola vyžadovala souhlas pouze k jednomu účelu, a tento typ souhlasu nebude často v praxi škol využíván. c) Souhlas k několika účelům v rámci jednoho úkonu. V takovém případě musí být jednotlivé účely přehledně rozčleněné, aby subjekt údajů přesně věděl, s čím vlastně souhlasí. Pro každý účel zvlášť musí být uvedeno buď zaškrtávací políčko, nebo text musí obsahovat varianty souhlasím/nesouhlasím, nebo možnost volit ANO–NE.60
4.2 Souhlasy ve školství Stále častěji se vedou diskuze o tom, pro jaké účely je zapotřebí při činnosti škol získávat souhlas. Přestože MŠMT ve své původní metodice uvádělo, že v případě důvodných pochybností o tom, zda zpracování konkrétních údajů má oporu v zákoně, lze doporučit obstarat si výslovný konkrétní informovaný souhlas subjektu údajů. Šlo tedy o jakýsi souhlas „pro jistotu“. Tento názor byl však již překonán a v revidované metodice se MŠMT přiklání k názoru, že zpracování osobních údajů na základě souhlasu ve smyslu nařízení je v prostředí škol zcela okrajové. Nezpochybnitelné je, že souhlas je možné vyžadovat jen tam, kde správci (škole/ školskému zařízení) nesvědčí jiný zákonný důvod. Při činnosti škol a školských zařízení se bude jednat zejména o plnění právní povinnosti. V případě zákonného zpracování souhlas subjektu údajů není potřebný ani relevantní, subjekt údajů nemůže v dané situaci rozhodovat. Nesmí však dojít k pře60
Janečková, E.: GDPR – řešení problémů v praxi obcí, GRADA, Praha 2019.
Ukázka elektronické knihy, UID: KOS272316
100 / GDPR – Řešení problémů v praxi škol
kročení zákonných rámců a zpracovávat osobní údaje nad rámec zákona. Jak uvádí MŠMT ve své metodice „v případě zákonného zpracování souhlas subjektu údajů není potřebný ani relevantní; vyžadování souhlasu v takových případech by naopak mohlo být nezákonné. Je však třeba zohlednit, že plnění zákonné povinnosti může být uchopeno extenzivně (velmi široce), nebo restriktivně (úzce v mezích zákonné úpravy), přičemž zpracovávání osobních údajů na základě zákona by mělo být prováděno plně v souladu s účelem – nezpracovávat údaje v množství, v čase a rozsahu, který nepotřebuji (rozuměj nepotřebuji pro plnění zákonné povinnosti). Zcela výjimečně v případě důvodných pochybností o tom, co ještě zákon dovoluje, lze doporučit obstarat si svolení osoby, které se to týká; takový postup bez pochybností vyjadřuje respekt k člověku, na němž je třeba nejen ve školství trvat. To platí také v případě zpracování osobních údajů získaných na základě zákona nad rámec účelu vymezeného zákonem. Např. škola je oprávněna zpracovávat osobní údaje týkající se poskytnutých podpůrných opatření dle § 16 školského zákona, a to výslovně dle § 28 odst. 2 písm. f) téhož zákona. V případě, že údaje o poskytnutém podpůrném opatření konkrétnímu žákovi nebo studentovi bude chtít škola zpracovávat dále – evidovat jinde než v dokumentaci školy, poskytnout tyto osobní údaje třetí osobě (např. zřizovateli pro účely zanesení do jeho informačních systémů, poskytovatelům doučovacích kurzů nebo prodejcům speciálních školních pomůcek apod.) musí si škola za tímto účelem obstarat předchozí souhlas žáka, studenta nebo zákonného zástupce.“61 Dalším zákonným důvodem využívaným školami, je zpracování nezbytné pro splnění smlouvy. Častým důvodem je také zpracování nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce. Posouzení konkrétních situací, které přináší praxe, však není vždy jednoduché. Je možné se setkat s nabídkou formulářů, jejichž prostřednictvím je plněna právní povinnost, a přesto obsahují souhlas. U dalších činností ředitelé zvažují, kdy je ještě jejich činnost kryta jiným zákonným důvodem, a kdy je již nutné získat souhlas subjektu údajů. Velmi často jsou souhlasy vyžadovány v následujících situacích: Osobní údaj Portrétní fotografie žáka (podobizna) a dokumentační fotografie (v souladu s § 84 OZ)
61
Účel zpracování Webové stránky školy, webové stránky tříd.
Metodická pomůcka k aplikaci obecného nařízení o ochraně osobních údajů (GDPR), http://www. msmt.cz/dokumenty‑3/metodicka‑pomucka‑k‑aplikaci‑obecneho‑narizeni‑o‑ochrane
Ukázka elektronické knihy