Školní osobní údaje dětí: ochrana a právní rámec zpracování

Proč jsou školní údaje o dětech mimořádně citlivé

Školy zpracovávají jednu z nejcitlivějších kombinací osobních údajů: identifikační údaje dětí, fotografie a videozáznamy, hodnocení, docházku, zdravotní omezení, speciální výchovně-vzdělávací potřeby, výsledky testů, údaje o zákonných zástupcích a kontakty. Tato kombinace vytváří vysoké riziko zásahu do soukromí a dlouhodobých dopadů (profilování, stigmatizace, zneužití fotografií). Proto se na školní zpracování vztahuje přísné pravidlo proporcionality, privacy by design a důraz na informovaný souhlas tam, kde je to přiměřené a nezbytné.

Základní role a odpovědnosti: kdo je kdo

Správce: škola (státní, církevní, soukromá), která určuje účel a prostředky zpracování (pedagogická, organizační, dokumentační agenda).
Společně spravující správci: škola a zřizovatel (například u centrální fotogalerie nebo sociálních sítí), škola a rodičovské sdružení při společných projektech.
Zpracovatelé: fotograf/ateliér, poskytovatel školního informačního systému, cloudové úložiště, ed-tech platformy, tiskárna výroční zprávy; vždy na základě písemné zpracovatelské smlouvy.
DPO (osoba odpovědná za ochranu osobních údajů): povinná pro veřejné školy; koordinuje DPIA, školení a odpovědi na žádosti.

Právní základy ve školním prostředí: souhlas není všelék

Zpracování se opírá o kombinaci právních základů (čl. 6 GDPR). Klíčové je správné přiřazení základu k účelu a nezaměňování účelů jedním „obecným“ souhlasem.

Plnění zákonné povinnosti: matrika žáků, docházka, hodnocení, přijímací řízení, státní testování. Souhlas se nevyžaduje a nesmí se vyžadovat.
Veřejný zájem/úloha školy: bezpečnost areálu (přiměřené záznamy), řízení výchovně-vzdělávacího procesu, dokumentace školních aktivit pro interní účely.
Oprávněný zájem: interní focení do uzavřených třídních alb či intranetu, pokud je riziko nízké a existuje opt-out s respektováním námitky (čl. 21).
Souhlas: externí prezentace a marketing (web školy, veřejné sociální sítě, plakáty), výroční zpráva distribuovaná mimo školu, PR spolupráce s médii, zveřejnění jména a fotografie při soutěžích na webech třetích stran. Souhlas musí být dobrovolný, konkrétní, informovaný a odvolatelný bez negativních dopadů na vzdělávání.

Děti a souhlas: věkové hranice a zastupování

Rodičovský souhlas: u dětí se ve většině školních kontextů vyžaduje souhlas zákonného zástupce. Současně je vhodné respektovat názor dítěte (assent) přiměřeně věku a vyspělosti.
„Služby informační společnosti“: u online platforem může být národně stanovená věková hranice pro samostatný souhlas dítěte (v ČR zpravidla 15 let, v SR obvykle 16 let). U mladších dětí je nutné ověření souhlasu rodiče.
Odvolání souhlasu: musí být stejně snadné jako jeho udělení; škola by měla mít funkční proces na odstranění nebo stažení fotografií z online kanálů a budoucích materiálů.

Fotografování ve škole: od interní dokumentace po publicitu

Rozlišujme čtyři třídy použití fotografie/videozáznamu a od toho odvoďme právní základ a rizika:

Interní pedagogická dokumentace (např. projektové práce, prezentace ve třídě): veřejný zájem/úloha školy; přístup omezen na učitele a žáky daného předmětu. Retence krátká (doba trvání předmětu/školního roku).
Uzavřené třídní album/intranet (bez přístupu veřejnosti): oprávněný zájem s možností námitky; technická opatření (přístup pouze po přihlášení, zákaz stahování).
Veřejná prezentace školy (web, nástěnky na veřejně přístupných místech, školní sociální sítě): výslovný souhlas rodiče dítěte (a dítěte, pokud je dostatečně zralé). Poskytujte detailní možnosti volby (portréty/skupinové záběry/video/jmenovky).
Média a třetí strany (televize, sponzoři): samostatný, jednorázový souhlas s přesným vymezením kanálů, rozsahu, doby a práva odvolat.

Praktické zásady při fotografování a videozáznamech

Minimalizace: skupinové snímky z větší vzdálenosti, bez jmenovek; citlivé děti mimo záběr; bez zbytečných kontextů (zdravotní pomůcky, známky v pozadí).
Rozpoznatelnost: pokud není nutné identifikovat, upřednostněte úhel bez tváří nebo rozmazání před publikováním.
„No-share“ seznam: dostupný pro pedagogický sbor; učitelé vědí, které děti nesmí být fotografovány/publikovány.
Žádné hromadné jmenné seznamy s přiřazením k fotografiím na veřejném webu.

Zveřejňování na webu a sociálních sítích

Kde publikujeme: preferujte oficiální školní web a intranet s jasnými pravidly; veřejné sociální sítě používejte střídmě a se souhlasem.
Metadata a vyhledatelnost: vypínejte geotagy a rozšiřující metadata; zabraňte indexaci galerií roboty (robots.txt, noindex, pokud obsah není určen pro širokou veřejnost).
Retence: fotografie a videa stáhněte po uplynutí účelu (např. konec školního roku); archivace pouze v interním zabezpečeném úložišti.
Práva třetích osob: licence k hudbě ve videích, autorská práva k fotografiím, souhlasy přítomných dospělých (učitelé, hosté).

Výroční zprávy, třídní fotografie a externí fotografové

Smluvní nastavení: fotograf/ateliér jako zpracovatel – písemná smlouva o zpracování (účel, doba, bezpečnost, zákaz použití k jiným účelům, odstranění po předání).
Objednávky a distribuce: vyhněte se sběru zbytečných údajů (rodné číslo, adresa); preferujte objednávky přes školu nebo anonymizované kódy.
Právní základ: pro veřejné šíření (propagaci) vyžadujte souhlas; pro výrobu výroční zprávy distribuované jen uvnitř školní komunity lze zvážit oprávněný zájem s robustním opt-out a kontrolou přístupu.

Školní informační systémy, cloud a ed-tech

Výběr dodavatele: DPIA před nasazením; umístění dat (EU), přenosy do třetích zemí, šifrování v klidu/přenosu, SSO, auditní logy, detaily o sub-zpracovatelích.
Rozsah údajů: nepoužívejte platformy „zdarma“ výměnou za profilování dětí; vypněte marketingové moduly a analytické cookies.
Profilování: automatizované hodnocení a „rizikové skóre“ musí být transparentní; umožněte lidský zásah a možnost namítat.

CCTV a bezpečnostní záznamy ve školách

Legální účel: ochrana osob a majetku, nikoli sledování výkonu žáků nebo učitelů.
Označení a informování: jasné piktogramy, informační tabule, oznámení na webu; záznam bez zvuku, pokud není nezbytný.
Retence: obvykle krátká (dny až týdny); přístup jen oprávněným osobám; přenosy policii na základě zákonných požadavků.

Zdravotní a citlivé údaje dětí

Zvláštní kategorie: diagnózy, alergie, dietní režimy, speciální potřeby – zpracovávají se v režimu vyšší ochrany (čl. 9 GDPR: výjimky jako významný veřejný zájem, zdravotní péče, výslovný souhlas).
Minimální přístup: pouze pracovníci, kteří to potřebují (školní jídelna, zdravotník, třídní učitel); technicky oddělit od běžných žákovských údajů.

Práva dětí a rodičů: přístup, oprava, námitka, vymazání

Přístup a kopie: poskytněte strukturovaný export (známky, docházka, administrativní záznamy); u fotografií umožněte přehled a selektivní stažení z publikace.
Oprava: chybné údaje (jméno, třída) opravte bezodkladně; dokumentujte žádost.
Námitka: proti zpracování na základě oprávněného zájmu (např. interní galerie) – respektujte, pokud neexistuje převažující důvod.
Vymazání: tam, kde již neexistuje právní důvod (např. marketingové fotografie po odvolání souhlasu); pozor na zákonné lhůty archivace pedagogické dokumentace.

Incidenty a úniky: připravenost a oznamování

Playbook: koho kontaktovat (DPO, vedení, IT), izolace účtů, odvolání přístupů zpracovatelů, rychlé odstranění obsahu z webu/sítí.
Posouzení rizika: zda hrozí vysoké riziko pro práva dětí; pokud ano, informovat dotčené osoby srozumitelně a bez zbytečného odkladu.
Poučení: post-mortem analýza, zlepšení procesů, dodatečná školení pedagogického sboru.

Etika: důstojnost dítěte a dlouhodobé dopady

Nad rámec litery zákona platí: nezveřejňovat ponižující či citlivý obsah (disciplinární řízení, neúspěchy), nepoužívat děti v marketingu školy způsobem vyvolávajícím tlak nebo nerovnost. Při veřejné prezentaci upřednostněte projekty a výtvory před portréty, anonymizujte jména (iniciály) a vždy zvažte budoucí dopad „digitální stopy“ dítěte.

Procesy a dokumentace: bez papírů to nejde

Registr zpracovatelských činností: účel, právní základ, kategorie údajů, příjemci, retence, technická a organizační opatření.
DPIA: pro nové projekty s vyšším rizikem (nový SIS, plošné fotogalerie, biometrie v jídelně) před spuštěním.
Informační dokumenty: srozumitelné oznámení pro rodiče a žáky, samostatně pro fotografování/publikování, sociální sítě a média.
Zpracovatelské smlouvy: s fotografy, IT dodavateli, tiskárnami; kontrola sub-zpracovatelů a přenosů.

Šablona informovaného souhlasu (orientační)

Účel: Zveřejnění fotografií a videí z aktivit školy na webové stránce a oficiálních profilech školy.
Rozsah: Portréty a skupinové záběry; bez uvedení plného jména (pouze křestní jméno/iniciály) [zaškrtněte preferenci].
Kanály: web školy, školní newsletter, [konkrétní síť].
Doba: Nejvýše do konce školního roku 2025/2026 (s následnou archivací pouze v interním úložišti).
Dobrovolnost: Odmítnutí nebo odvolání souhlasu nemá vliv na vzdělávání dítěte.
Odvolání: E-mailem na dpo@skola.cz nebo přes rodičovský portál; vyřídíme do 15 dnů včetně stažení z online kanálů, pokud to je technicky možné.

Nejčastější chyby škol (antivzory)

Jeden „velký“ souhlas na vše od matriky po marketing.
Veřejné zveřejňování jmenných seznamů žáků, známek nebo rozvrhů.
Publikování fotografií na sociálních sítích bez souhlasu a bez časového omezení.
Fotograf bez smlouvy a bez vymazání kopií po předání.
„Věčný“ archiv galerií bez retence a bez mechanismu odstranění na žádost.

Kontrolní seznam pro ředitele a DPO

Máme mapu toků dat a registr zpracování?
Jsou účely a právní základy navázány na konkrétní aktivity (matrika, intranet, web, sociální sítě, média)?
Existuje jasný proces opt-out a odvolání souhlasu – a funguje i technicky?
Máme smlouvy se všemi zpracovateli a prověření sub-zpracovatelů?
Je nastavena retence a automatické mazání pro fotografie a videa?
Proběhla DPIA u nových ed-tech nástrojů a CCTV?
Učitelé absolvovali školení k fotografování a publikování?