Správa osobních údajů dětí ve školním prostředí: souhlas, fotografování a pravidla zveřejňování

Proč jsou školní údaje o dětech mimořádně citlivé

Školy zpracovávají jednu z nejcitlivějších kombinací osobních údajů: identifikační údaje dětí, fotografie a videozáznamy, hodnocení, docházku, zdravotní omezení, speciální výchovně-vzdělávací potřeby, výsledky testů, údaje o zákonných zástupcích a kontakty. Tato kombinace vytváří vysoké riziko zásahu do soukromí a dlouhodobých dopadů (profilování, stigmatizace, zneužití fotografií). Proto se na školní zpracování vztahuje přísné pravidlo proporcionality, privacy by design a důraz na informovaný souhlas tam, kde je to přiměřené a nezbytné.

Základní role a odpovědnosti: kdo je kdo

Provozovatel: škola (státní, církevní, soukromá), která určuje účel a prostředky zpracování (pedagogická, organizační, dokumentační agenda).
Společně provozovatelé: škola a zřizovatel (např. při centrální foto-galerii nebo sociálních sítích), škola a rodičovské sdružení při společných projektech.
Zpracovatelé: fotograf/studio, poskytovatel školního informačního systému, cloudové úložiště, ed-tech platformy, tiskárna ročenky; vždy na základě písemné zpracovatelské smlouvy.
DPO (osoba odpovědná za ochranu osobních údajů): povinná pro veřejné školy; koordinuje DPIA, školení a odpovědi na žádosti.

Právní základy ve školním prostředí: souhlas není všelék

Zpracování se opírá o kombinaci právních základů (čl. 6 GDPR). Klíčové je správné přiřazení základu k účelu a nepřekrývání účelů jedním „všeobecným“ souhlasem.

Plnění zákonné povinnosti: matrika žáků, docházka, hodnocení, přijímací řízení, státní testování. Souhlas se nevyžaduje a nesmí se požadovat.
Veřejný zájem/úloha školy: bezpečnost areálu (přiměřené záznamy), řízení výchovně-vzdělávacího procesu, dokumentace školních aktivit pro interní účely.
Oprávněný zájem: interní focení do uzavřených třídních alb či intranetu, pokud je riziko nízké a existuje opt-out s respektem k námitce (čl. 21).
Souhlas: externí prezentace a marketing (web školy, veřejné sociální sítě, plakáty), ročenka distribuovaná mimo školu, PR spolupráce s médii, zveřejnění jména a fotografie při soutěžích na webech třetích stran. Souhlas musí být dobrovolný, konkrétní, informovaný a odvolatelný bez negativních důsledků na vzdělávání.

Děti a souhlas: věkové hranice a zastoupení

Rodičovský souhlas: u dětí se ve většině školních kontextů vyžaduje souhlas zákonného zástupce. Zároveň je vhodné respektovat názor dítěte (assent) přiměřeně věku a vyspělosti.
„Služby informační společnosti“: u online platforem může být národně určená věková hranice pro samostatný souhlas dítěte (v ČR zpravidla 16 let). U mladších dětí je nutné ověření souhlasu rodiče.
Odvolání souhlasu: musí být stejně snadné jako jeho udělení; škola musí mít funkční proces pro vymazání nebo stažení fotografií z online kanálů a budoucích materiálů.

Focení ve škole: od interní dokumentace po publicitu

Rozlišujme čtyři kategorie použití fotografie/videozáznamu a od toho odvoďme právní základ a rizika:

Interní pedagogická dokumentace (např. projektové práce, prezentace ve třídě): veřejný zájem/úloha školy; přístup omezený na učitele a žáky daného předmětu. Doba uchování krátká (doba trvání předmětu/školního roku).
Uzavřené třídní album/intranet (bez přístupu veřejnosti): oprávněný zájem s možností námitky; technická opatření (přístup pouze po přihlášení, zákaz stahování).
Veřejná prezentace školy (web, nástěnky v přístupných prostorách, sociální sítě školy): výslovný souhlas rodiče dítěte (a dítěte, pokud je dostatečně zralé). Poskytujte granularní volby (portréty/skupinové snímky/video/jmenovky).
Média a třetí strany (televize, sponzoři): samostatný, jednorázový souhlas s přesným vymezením kanálů, rozsahu, doby a práva odvolat.

Praktická pravidla při focení a natáčení

Minimalizace: skupinové snímky z větší vzdálenosti, bez jmenovek; citlivé děti mimo záběr; bez zbytečných kontextů (zdravotní pomůcky, známky v pozadí).
Rozpoznatelnost: pokud není potřeba identifikovat, upřednostněte úhel bez tváří nebo rozmazání před publikováním.
„No-share“ seznam: dostupný pedagogickému sboru; učitelé vědí, které děti nesmí být fotografovány či zveřejňovány.
Žádné hromadné jmenné seznamy s přiřazením k fotografiím na veřejném webu.

Zveřejňování na webu a sociálních sítích

Kde publikovat: upřednostňujte oficiální web školy a intranet s jasnými pravidly; veřejné sociální sítě používejte střídmě a se souhlasem.
Metadata a vyhledatelnost: vypínejte geotagy a rozšiřující metadata; zabraňte indexaci galerií roboty (robots.txt, noindex, pokud obsah není určen pro širokou veřejnost).
Retence: fotografie a videa stáhněte po uplynutí účelu (např. konec školního roku); archivace pouze v interním, zabezpečeném úložišti.
Práva třetích osob: licence k hudbě ve videích, autorská práva k fotografiím, souhlasy přítomných dospělých (učitelé, hosté).

Ročenky, třídní fotografie a externí fotografové

Smluvní nastavení: fotograf/studio jako zpracovatel – písemná smlouva o zpracování (účel, doba, bezpečnost, zákaz použití pro jiné účely, vymazání po předání).
Objednávky a distribuce: vyhněte se sběru zbytečných údajů (rodné číslo, adresa); preferujte objednávky přes školu nebo anonymizované kódy.
Právní základ: pro veřejné šíření (propagaci) vyžadujte souhlas; pro výrobu ročenky distribuované pouze v rámci školy lze zvažovat oprávněný zájem s robustním opt-out a kontrolou přístupu.

Školní informační systémy, cloud a ed-tech

Výběr dodavatele: DPIA před nasazením; umístění dat (EU), přenosy do třetích zemí, šifrování v klidu/přenosu, SSO, auditní logy, detaily o sub-zpracovatelích.
Rozsah údajů: nepoužívejte platformy „zdarma“ výměnou za profilování dětí; vypněte marketingové moduly a analytické cookies.
Profilování: automatizované hodnocení a „rizikové skóre“ musí být transparentní; umožněte lidský zásah a možnost námitky.

CCTV a bezpečnostní záznamy ve školách

Legální účel: ochrana osob a majetku, nikoliv sledování výkonu žáků či učitelů.
Označení a informování: jasné piktogramy, informační tabule, oznámení na webu; záznam bez zvuku, pokud není nezbytný.
Retence: obvykle krátká (dny až týdny); přístup pouze oprávněným osobám; předávání policii na základě zákonného požadavku.

Zdravotní a citlivé údaje dětí

Zvláštní kategorie: diagnózy, alergie, dietní režimy, speciální potřeby – zpracovávají se v režimu vyšší ochrany (čl. 9 GDPR: výjimky jako významný veřejný zájem, zdravotní péče, výslovný souhlas).
Minimální přístup: jen pracovníci, kteří to potřebují (školní jídelna, zdravotník, třídní učitel); technicky odděleno od běžných žákovských údajů.

Práva dětí a rodičů: přístup, oprava, námitka, vymazání

Přístup a kopie: zajistěte strukturovaný export (známky, docházka, administrativní záznamy); u fotografií umožněte přehled a selektivní stažení z publikace.
Oprava: chybné údaje (jméno, třída) opravte bezodkladně; dokumentujte žádost.
Námitka: proti zpracování z oprávněného zájmu (např. interní galerie) – respektujte, pokud neexistuje převažující důvod.
Vymazání: tam, kde již neexistuje právní důvod (např. marketingové fotografie po odvolání souhlasu); pozor na zákonné lhůty archivace pedagogické dokumentace.

Incidenty a úniky: připravenost a oznamování

Playbook: koho kontaktovat (DPO, vedení, IT), izolace účtů, odvolání přístupů zpracovatelů, rychlé stažení obsahu z webu/sítí.
Posouzení rizika: zda hrozí vysoké riziko pro práva dětí; pokud ano, informujte dotčené osoby srozumitelně a bez zbytečného odkladu.
Poučení: post-mortem analýza, zlepšení procesů, doplňková školení pedagogického sboru.

Etika: důstojnost dítěte a dlouhodobý dopad

Nad rámec zákona platí: nezveřejňovat ponižující nebo citlivý obsah (disciplinární řízení, neúspěchy), nepoužívat děti v marketingu školy způsobem vyvolávajícím tlak nebo nerovnost. Při veřejné prezentaci upřednostněte projekty a výtvory před portréty, anonymizujte jména (iniciály) a vždy zvažujte budoucí dopad „digitální stopy“ dítěte.

Procesy a dokumentace: bez papírů to nejde

Registr zpracovatelských činností: účel, právní základ, kategorie údajů, příjemci, doba uchování, technická a organizační opatření.
DPIA: pro nové projekty s vyšším rizikem (nový SIS, plošné foto-galerie, biometrie v jídelně) před spuštěním.
Informační dokumenty: srozumitelné oznámení pro rodiče a žáky, samostatně pro focení/zveřejnění, sociální sítě a média.
Zpracovatelské smlouvy: s fotografy, IT dodavateli, tiskárnami; kontrola sub-zpracovatelů a přenosů.

Šablona informovaného souhlasu (orientační)

Účel: Zveřejnění fotografií a videí z aktivit školy na webové stránce a oficiálních profilech školy.
Rozsah: Portréty a skupinové záběry; bez uvedení plného jména (pouze křestní jméno/iniciály) [zaškrtněte preferenci].
Kanály: web školy, školní newsletter, [konkrétní síť].
Doba: Nejvýše do konce školního roku 2025/2026 (s následnou archivací pouze v interním úložišti).
Dobrovolnost: Odmítnutí nebo odvolání souhlasu nemá vliv na vzdělávání dítěte.
Odvolání: E-mailem na dpo@skola.cz nebo přes rodičovský portál; vyřídíme do 15 dnů, včetně stažení z online kanálů, pokud je to technicky možné.

Nejčastější chyby škol (antivzory)

Jeden „velký“ souhlas na vše od matriky po marketing.
Veřejné zveřejňování jmenných seznamů žáků, známek nebo rozvrhů.
Zveřejňování fotek na sociálních sítích bez souhlasu a bez časového omezení.
Fotograf bez smlouvy a bez vymazání kopií po předání.
„Věčný“ archiv galerií bez retence a bez mechanismu odstranění na žádost.

Kontrolní seznam pro ředitele a DPO

Máme mapu toků dat a registr zpracování?
Jsou účely a právní základy navázané na konkrétní aktivity (matrika, intranet, web, sociální sítě, média)?
Existuje jasný proces opt-out a odvolání souhlasu – a funguje technicky?
Máme smlouvy se všemi zpracovateli a prověřování sub-zpracovatelů?
Je nastavena retence a automatické mazání pro fotografie a videa?
Proběhla DPIA u nových ed-tech nástrojů a CCTV?
Učitelé absolvovali školení k focení a zveřejňování?