Ochrana osobních údajů

1. Úvodní ustanovení

1.1 Tato směrnice („Směrnice“) upravuje postupy školy, jejích zaměstnanců, externích spolupracovníků a dalších oprávněných osob při zpracování osobních údajů v souladu s nařízením GDPR, zákonem č. 110/2019 Sb., o zpracování osobních údajů, a dalšími právními předpisy.
1.2 Správcem osobních údajů je Střední průmyslová škola Třineckých železáren, Lánská 132, 739 61 Třinec–Kanada, IČ 27856216 („Škola“).
1.3 Zřizovatelem je Třinecké železárny, a. s., Průmyslová 1000, 739 61 Třinec–Staré Město, IČ 18050646.
1.4 Cílem této Směrnice je zajistit, že zpracování osobních údajů ve škole probíhá zákonně, korektně a transparentně, s respektem k právům a svobodám subjektů údajů.

2. Zásady zpracování osobních údajů

Škola a všechny osoby oprávněné ke zpracování osobních údajů dodržují základní zásady zpracování podle článku 5 GDPR:

Zákonnost, korektnost a transparentnost – osobní údaje jsou zpracovávány zákonně, spravedlivě a vůči subjektu údajů transparentně.
Účelové omezení – údaje jsou shromažďovány pouze pro konkrétní, explicitní a legitimní účely a nesmějí být dále zpracovávány způsobem, který není slučitelný s těmito účely.
Minimalizace údajů – zpracovávají se pouze údaje, které jsou nezbytné pro daný účel.
Přesnost – údaje musí být přesné a v případě potřeby aktualizovány; případy nepřesnosti musí být bez zbytečného odkladu opraveny nebo vymazány.
Omezení uložení – osobní údaje se uchovávají ve formě, která umožňuje identifikaci subjektu údajů po dobu ne delší, než je nutné pro účely zpracování.
Integrita a důvěrnost – údaje se zpracovávají tak, že je zajištěna vhodná bezpečnost osobních údajů, včetně ochrany před neoprávněným nebo protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením.
Účtování (odpovědnost) – škola je schopna prokázat, že zpracování probíhá v souladu s výše uvedenými zásadami.

3. Kategorie a účely zpracování osobních údajů

3.1 Škola zpracovává osobní údaje žáků, zákonných zástupců, zaměstnanců, externích spolupracovníků, uchazečů o vzdělávání a jiných subjektů v nutném rozsahu pro výkon své činnosti ve vzdělávání a souvisejících agendách.
3.2 Mezi zpracovávané údaje mohou patřit zejména identifikační údaje (např. jméno, příjmení, rodné číslo/datum narození, adresa, kontaktní údaje), údaje o vzdělávání, docházce, výsledcích vzdělávání, pracovněprávní údaje (v případě zaměstnanců), fotografie a videozáznamy ze školních akcí.
3.3 Účely zpracování zahrnují například:

plnění vzdělávací, organizační a administrativní činnosti školy,
plnění zákonných povinností školy (např. školský zákon, zákon o zřízení školské právnické osoby, archivní a skartační předpisy),
zajištění bezpečnosti a provozu školy, včetně kamerového systému, monitoringu apod.,
komunikace se žáky, zákonnými zástupci a zaměstnanci,
zveřejňování informací o školních akcích, fotografií či videí (viz bod 3.4),
marketingové a propagační aktivity školy (např. webové stránky školy, sociální sítě) – pokud je to právně opodstatněno či se získá souhlas subjektu údajů.

3.4 V případech zveřejňování fotografií či videozáznamů ze školních akcí nebo z prostředí školy s identifikovatelnými osobami je nutné získat souhlas příslušného subjektu údajů nebo zákonného zástupce, pokud toto zpracování není kryto jiným právním důvodem.
3.5 Zpracování může být založeno na jednom nebo více právních důvodech:

plnění právní povinnosti správce (čl. 6 odst. 1 písm. c GDPR) – například povinná dokumentace školy, evidence žáků, zaměstnanců atd.
plnění smlouvy nebo vztahu (čl. 6 odst. 1 písm. b GDPR) – např. smlouva o studiu, pracovní smlouva, dohoda.
souhlas subjektu údajů (čl. 6 odst. 1 písm. a GDPR) – např. pro účely marketingu či zveřejnění fotografie nad rámec běžné školní dokumentace. gdpr.cz+1
oprávněný zájem správce (čl. 6 odst. 1 písm. f GDPR) – využívá se opatrně a po posouzení, protože ve školství často převažuje jiné právní tituly.

4. Práva subjektu údajů

Každý subjekt údajů má dle GDPR následující práva (za splnění zákonných podmínek):
4.1 právo na informace – být informován o zpracování svých osobních údajů, účelu zpracování, právním důvodu, dotčených osobách, době uchovávání. gdpr.eu+1
4.2 právo na přístup k osobním údajům – mít přístup ke svým údajům, získat kopii.
4.3 právo na opravu – nechat opravit nesprávné nebo neúplné údaje.
4.4 právo na výmaz – za určitých podmínek požádat o vymazání osobních údajů („právo být zapomenut“). TOP.CZ
4.5 právo na omezení zpracování – požádat o omezení zpracování v určitých případech.
4.6 právo na přenositelnost údajů – pokud je to relevantní, získat své údaje v strukturovaném, běžně užívaném a strojově čitelném formátu.
4.7 právo vznést námitku – např. proti zpracování na základě oprávněného zájmu.
4.8 právo odvolat souhlas – pokud bylo zpracování založeno na souhlasu, lze jej odvolat a budoucí zpracování na tomto základě již nebude možné. gdpr.cz+1
4.9 právo podat stížnost u dozorového úřadu – v ČR je tímto úřadem Úřad pro ochranu osobních údajů.

5. Zabezpečení osobních údajů

5.1 Škola přijala technická a organizační opatření odpovídající povaze, rozsahu, kontextu a účelu zpracování a rizikům pro práva a svobody fyzických osob (čl. 32 GDPR).
5.2 Mezi opatření patří zejména: ochrana přístupů k datovým systémům, šifrování či jiné ochranné mechanismy u citlivých údajů, zálohování dat, řízení přístupových práv zaměstnanců, školení zaměstnanců v oblasti ochrany osobních údajů, fyzické zabezpečení míst, kde jsou údaje uchovávány, dokumentace bezpečnostních incidentů.
5.3 Zaměstnanci, externí spolupracovníci a další oprávněné osoby jsou povinny zachovávat mlčenlivost o osobních údajích, se kterými přicházejí do styku.
5.4 V případě porušení ochrany osobních údajů (např. únik dat) škola postupuje dle interního postupu – vyhodnocení incidentu, opatření k nápravě, hlášení dozorovému úřadu, pokud to zákon vyžaduje.

6. Uchovávání a skartace

6.1 Osobní údaje se uchovávají pouze po dobu nezbytně nutnou pro naplnění účelu zpracování nebo po dobu stanovenou příslušným právním předpisem (např. školský zákon, archivní a skartační předpisy).
6.2 Po uplynutí stanovené doby se údaje skartují nebo anonymizují tak, aby již nešlo subjekt údajů identifikovat.

7. Předávání osobních údajů

7.1 Osobní údaje mohou být předávány třetím stranám (např. zpracovatelům, poskytovatelům IT služeb, státním orgánům) pouze v souladu s právními předpisy, za účelem a rozsahu stanoveném v Směrnici, s odpovídajícím právním důvodem a s uzavřenou smlouvou o zpracování (pokud je nutná) či jiným vhodným mechanizmem.
7.2 V případech předávání do třetí země (mimo EU/EHP) či mezinárodní organizaci škola zajistí vhodná ochranná opatření (např. standardní smluvní doložky) dle čl. 46 GDPR.
7.3 Škola vede přehled (záznam) o činnostech zpracování osobních údajů (čl. 30 GDPR).

8. Zpracování osobních údajů žáků, zákonných zástupců a fotografování / videozáznamy

8.1 V případech, kdy škola pořizuje fotografie či videa, na nichž jsou zachyceny osoby žáků, zaměstnanců či jiných osob a které budou zveřejněny (např. na webu, sociálních médiích, v propagačních materiálech školy), vyžádá si škola souhlaspříslušného subjektu údajů nebo jeho zákonného zástupce. Jednotný metodický portál MŠMT+1
8.2 U žáků mladších 15 let (obecně uznávaná hranice podle praxe) se souhlas uděluje zákonným zástupcem. gdpr.cz
8.3 Pokud nejsou fotografie či videa určeny k zveřejnění, ale pouze pro vnitřní použití školy (např. dokumentace školních aktivit, interní školní časopis), může být právním důvodem pro zpracování plnění právní povinnosti či oprávněného zájmu školy, ale škola přesto zohlední zásady transparentnosti a minimalizace údajů.

9. Interní odpovědnosti a role

9.1 Ředitel školy je zodpovědný za dodržování této Směrnice a za zajištění technických a organizačních opatření.
9.2 Ředitel může v souladu s právními předpisy ustanovit pověřence pro ochranu osobních údajů (DPO) či jinou odpovědnou osobu, která bude zastupovat školu v otázkách ochrany osobních údajů.
9.3 Zaměstnanci, externí spolupracovníci a smluvní partneři jsou povinni seznámit se s touto Směrnicí, respektovat jí a podrobit se školení v oblasti ochrany osobních údajů.

10. Vzdělávání a kontrola

10.1 Škola zajistí, aby každý zaměstnanec, který přijímá osobní údaje, byl seznámen s požadavky GDPR, této Směrnice a prošel příslušným školením.
10.2 Škola provádí interní kontroly plnění této Směrnice a posuzuje rizika zpracování ve své činnosti.
10.3 V případě zjištění nedodržení Směrnice nebo incidentu škola přijme nápravná opatření.

11. Změny Směrnice

11.1 Tato Směrnice může být měněna nebo doplňována na základě změn právních předpisů, technických podmínek, organizačních změn školy nebo zkušeností z praxe.
11.2 Účinnost změn se stanoví v textu změny a budou zveřejněny způsobem obvyklým ve škole (např. na intranetu, webových stránkách školy, informačním panelu).

12. Závěrečná ustanovení

12.1 Tato Směrnice nabývá účinnosti dnem … (uveďte datum) a je závazná pro všechny zaměstnance, externí spolupracovníky a osoby, které přicházejí do styku s osobními údaji ve škole.
12.2 Seznámení se Směrnicí učiní každý zaměstnanec, externí spolupracovník či jiná osoba zmocněná ke zpracování osobních údajů proti podpisu.
12.3 Porušením této Směrnice mohou vzniknout sankce dle interních předpisů školy či pracovně-právních vztahů.