Rodina a digisvět

Otázka

Kroužek, kam chci přihlásit dítě, používá přihlášku GoogleForms. Vepisuje se tam rodné číslo, adresa, datum narození apod. Zajímalo by mě, jestli je to v pořádku tam ta data psát.

Odpověď

Otázka má dva aspekty, jednak jde o to, jestli uvedené údaje jsou třeba pro daný účel. Druhým aspektem je pak volba předání těchto údajů a zpracování dat v Google formuláři.

Pokud jde o první otázku, tak by bylo třeba vědět k čemu jsou údaje takto předávány. Pokud jde pouze o přihlášku, tak mi například není jasné, proč by mělo být zpracováváno rodné číslo, odůvodněno to může být například čerpáním dotací u sportovních klubů apod., tak otázka je, proč právě u vašeho kroužku je toto vyžadováno?

Další otázkou je pak volba shromáždění těchto údajů přes Google formuláře. Tady je těžká odpověď. Pokud jde o možné úniky dat, pak jsou Google formuláře tak zabezpečené, jak je zabezpečený Google účet, k němuž se váží. Každopádně zabezpečení lze nastavit na dostatečné úrovni, takže záleží na konkrétním uživateli, jestli to využije. Další otázkou je riziko, jestli tedy informace nevyužívá nebo nezneužívá sám Google, protože budou uloženy na jeho serverech. Google tvrdí samozřejmě, že nikoli, na druhou stranu množství afér Googlu spojených se zpracováním dat úplně nevede k důvěře v tuto společnost a její prohlášení.

Pokud vám vadí data prostřednictvím Google formuláře předávat, pak bych zkusil oslovit provozovatele kroužku, zda to lze udělat i jinak. Předpokládám, že by neměl být problém vám vyhovět. Otázka nicméně je, jestli nakonec data stejně neskončí v cloudu Googlu, kam je sice nezadáte vy, ale provozovatel. Každopádně správcem zpracování osobních údajů zde bude provozovatel kroužku a ten by vám měl také odpovědět na vaše dotazy týkající se zpracování, protože je to on, kdo zvolil Google služby a měl by tedy znát jejich parametry a míru ošetření rizik.

Otázka

Dobrý den, rád bych se zeptal, zda banka (v tomto případě Moneta) může vyžadovat tyto informace a podmiňovat tím poskytování svých služeb, tedy například přístup do internetového bankovnictví: charakter pracovního poměru vč. toho, zda má klient smlouvu na dobu určitou nebo neurčitou, průměrná výše příjmu, obor podnikání zaměstnavatele, obor podnikání fyzické osoby, Název a IČO zaměstnavatele, případně vlastní firmy, Pozice a role v zaměstnání, výše majetku nebo základ daně za loňsky rok.

Na základě prostudování zákona č. 253/2008 Sb. se domnívám, že nikoliv.

Děkuji.

Odpověď

Dobrý den,

uvedený zákon v odkazovaných §§ 8 odst. 9 a 9 sice skutečně obsahuje povinnost identifikovat a v některých případech provádět kontrolu klienta, je zde ale současně jasně řečeno, že kontrola klienta se provádí diverzifikovaně vůči různým klientům různě s ohledem na rizikovost jejich obchodů. Pokud tedy banka vyžaduje vyplnění takového dotazníku u všech klientů, mám za to, že toto nelze ze zmíněného zákona dovodit. Navíc ani okruh zjišťovaných informací neodpovídá tomu, co by mělo být při kontrole zjišťováno (§9 odst. 2). Veškeré informace by se měly vztahovat k obchodům, tedy irelevantní je například zjišťování celkových příjmů, majetku, identifikace zaměstnavatele, charakter zaměstnaneckého poměru, role v zaměstnání atd.

Budeme rádi, když nám dáte zpětnou vazbu, jak bude věc vyřešena ze strany ÚOOÚ.

S pozdravem

Otázka

Může škola sledovat, kdo se připojuje na školní wifinu?

Odpověď

Bez větší znalosti věci asi můžeme říct, že to může být problematické skrz dodržení klíčové povinnosti GDPR a to povinnosti minimalizace osobních údajů. Zpracovávání informací, kdo se kdy připojoval na školní wifi jako kontrola docházky by tak velmi pravděpodobně bylo v rozporu s GDPR. Pokud je třeba kontrolovat docházku, lze to nepochybně činit i méně invazivními a přitom přesnějšími prostředky, jako je například prezence studentů v hodinách, využití čipů u vchodu do školy apod. Sledování připojení na wifi může těžko dát odpověď, kdo je ve škole (asi ne každý se na školní wifi připojuje), ani za jakým účelem tam je. Lze si tak představit jen těžko účel, který by takové sledování mělo. A zpracování, které není účelné, je i nezákonné.

Otázka

Obracím se na vás s prosbou o radu k problematice, kdy zákonní zástupci poskytují souhlas s využitím vizuálních a audio záznamů dětí (v tomto případě 7-10 let). Konkrétně se jedná o to, že škola dostala nabídku soukromé společnosti (s.r.o.) natočit s dětmi pro ni edukativní video.

Problémem se však stal formulář k tomuto souhlasu, který je sepsán veskrze obecně – v podstatě tak, aby daný komerční subjekt byl plně chráněn v oblasti GDPR. Ve formuláři souhlasu zákonný zástupce uděluje souhlas se zveřejněním záznamů dětí na konkrétně jmenovaných webových stránkách a Facebooku. Současně je připojeno také udělení souhlasu s rozšiřováním záznamů za účelem reklamy a propagace „jakýmkoli jiným způsobem“.

Formulář souhlasu mi bohužel nedává na výběr souhlasit pouze s natáčením výukového videa ani podmínky jeho publikace – žádá se od nás udělit souhlas tak, jak byly sepsány danou společností – tedy v podstatě i souhlas s využitím fotografií dětí na letácích atd.

Předmětná společnost však není ochotna formulář změnit na míru situaci s odůvodněním, že prostě mají pouze jeden, který používají vždy.

Má soukromý subjekt nějakou povinnost zachovat maximální míru osobnostních práv dětí? Tedy je plošný a obecný formulář pro zákonné zástupce v rozporu s nějakou legislativou?

Je ze strany školy vše v pořádku, pokud takovýto dokument přijme, předá žákům a rodičům a ve finále umožní v čase výuky natočit nejen edukativní video, ale také materiály pro komerční reklamu na služby soukromého subjektu? Není nutné situaci přiblížit i dětem a případně respektovat jejich rozhodnutí? Existují nějáké materiály, které by byly v tomto ohledu odborné a mohly by fungovat jako edukace pedagogů?

Odpověď

Obdobná dilemata řeší stále více rodičů a chápu, že rozhodování je skutečně obtížné. Podle všeho bude v daném případě správcem osobních údajů samotná společnost, která pro vlastní potřeby natáčí zmíněné video. Tedy tato společnost bude odpovídat za zpracování osobních údajů, včetně platných souhlasů.

Pokud jde o znění formuláře, tak by samozřejmě bylo ideální mít pro posouzení jeho znění k dispozici. Základním pravidlem při udílení souhlasů je, že souhlas musí být informovaný a svobodný. Pokud jde o informace v souhlasu, tak se domnívám, že jsou formulovány natolik obecně, že v podstatě není možné zjistit k jakým zpracováním, a to ani typově, dáváte vlastně souhlas. Z toho důvodu se domnívám, že takto udělený souhlas může být neplatný.

Co se týče vašich dalších dotazů, tak se nedomnívám, že škola porušuje nějaké předpisy pokud jde o samotné zpracování osobních údajů, v podstatě pouze zprostředkovává kontakt mezi danou společností a žáky, respektive rodiči, aniž by se sama na zpracování údajů nějak podílela, byť i v roli zpracovatele.

Může ale jít například o porušení školských předpisů, kdy místo toho, aby se žáci učili, tak se věnují něčemu, co se vzdělávací či výchovnou funkcí školy pravděpodobně žádnou souvislost nemá. Co se týče edukace pedagogů v oblasti ochrany osobních údajů, tak nad tímto by měl zejména dohlížet pověřenec pro ochranu osobních údajů, kterého musí každá škola mít. Metodické vedení škol ze strany MŠMT bohužel z našich zkušeností v oblasti zpracování osobních údajů ve školách dost pokulhává.

Jinak ještě zpět k souhlasu. Nabízí se vám více variant co dělat. Buď lze souhlas udělit a ve formuláři škrtnout způsoby zpracování, které se vám nelíbí. V podobných případech se to dělá poměrně běžně a interpretace takového formuláře pak je taková, že vylučujete určitý způsob zpracování. Další variantou je možnost následného odvolání souhlasu s dalším zpracováním. Právo odvolat udělený souhlas je zaručeno obecným nařízením o ochraně osobních údajů. V neposlední řadě bych pak zmínil i možnost skutečně souhlas neudělit. Jistě to na jednu stranu může být vnímáno dítětem negativně. Věřím nicméně, že pokud dítěti vysvětlíte důvody, které vás k tomu vedou (samozřejmě přiměřeně jeho věku), tak takový krok může být naopak důležitý pro jeho budoucí skutečně svobodné rozhodování v obdobných situacích.