Reakcia úradu na reportáž RTVS zo dňa 2. a 3. februára 2019 „V školách platí prísnejšia ochrana osobných údajov“

Úrad bol požiadaný RTVS – Slovenský rozhlas o zodpovedanie nasledovných otázok:

1. Prečo sa pravidlá na ochranu osobných údajov sprísnili?
2. Týka sa tento zákon len škôl?
3. Čo presne sprísnenie pravidiel na školách prinieslo? Aké sú zmeny oproti staršiemu zákonu napríklad?
4. Ako tento upravený zákon po pol roku v praxi na školách zatiaľ hodnotíte? Alebo celkovo, je efektívny?
5. (Neviem či to spadá pod Vaše kompetencie-) Ale aké sú pokuty za porušenie tohto zákona? Evidujete, že by za pol roka k nejakému sankcionovaniu došlo? (Ministestvo školstva v liste školám uvádzalo, že v niektorých prípadoch porušenia môže byť pokuta až do 20 miliónov eur –v akých prípadoch to platí?)
6. Myslíte, že bude európska únia do budúcna sprísňovať opatrenia v rámci ochrany údajov? V čom vidíte ešte možné zlepšenia? Ako by mohla byť ochrana údajov na Slovensku/na školách ešte efektívnejšia?
7. Čo by podľa Vás malo pri tejto téme odznieť? Čo považujete za dôležité, prípadne na čo sa zabúda, o čom sa nehovorí?

Na tieto otázky odpovedal úrad v plnom znení nasledovne:

1. Ochrana osobných údajov patrí medzi základné ľudské práva a slobody, preto je potrebné, aby aj táto oblasť zodpovedala aktuálnemu stavu a prostriedkom, ktorými sa osobné údaje spracúvajú. Ostatná legislatíva, teda predchádzajúci zákon o ochrane osobných údajov č. 122/2013 Z. z. bol transponovaním smernice z roku 1995. Teraz máme rok 2019, bolo teda potrebné, aby aj legislatívne nástroje zodpovedali stavu spracúvania, aký poznáme v súčasnosti a s ktorým sa dotknuté osoby môžu stretnúť, preto bolo potrebné pracovať na  nariadení, ktoré je účinné od roku 2016 a v praxi sa uplatňuje od roku 2018, od  25. mája 2018. 
2. Nariadenie a zákon č. 18/2018 Z. z. sa týka všetkých, ktorí osobné údaje fyzických osôb spracúvajú, teda nielen škôl.
3. Ako sme uviedli, zmena pravidiel spracúvania a ochrany osobných údajov sa dotkla všetkých prevádzkovateľov, nepriniesla explicitné zmeny len pre školy, takéto tvrdenie nie je správne. Pokiaľ ide o spracúvanie osobných údajov detí v prostredí škôl, školy, tak ako tomu bolo do začiatku uplatňovania nariadenia a aj teraz sú povinné spracúvať osobné údaje  detí, zákonných zástupcov detí, pedagogických pracovníkov a nepedagogických pracovníkov primárne podľa osobitných zákonov z oblasti školstva, napríklad podľa školského zákona, tu k žiadnym zmenám nedošlo; platí tak ako aj doteraz, že v prípade  ak nie je na spracúvanie  osobných údajov založené na osobitnom zákone, je potrebné, aby si škola na spracúvanie našla iný právny základ, pričom školy najčastejšie, tak ako doteraz využívajú súhlas.
4. Nariadenie a zákon priniesli niekoľko zmien, tie sa ale dotkli najmä bezpečnostnej dokumentácie a toho, že odpadli niektoré informačné povinnosti voči úradu, pokiaľ ide o spracúvanie osobných údajov, zmien, v dôsledku nariadenia/ zákona o ochrane osobných údajov nie je tak veľa, skoro žiadne. Badáme však, že mnohé školy, ktoré doteraz ochrane osobných údajov nevenovali pozornosť, alebo jej venovali pozornosť len okrajovo. Tiež je možné si všimnúť, že mnohé školy postupujú radšej „opatrne“ a vyžadujú, alebo začali vyžadovať „pre istotu“ súhlasy  aj v situáciách, kedy je právnym základom spracúvania osobných údajov žiaka, či rodiča osobitný zákon, napríklad školský zákon. Takýto postup tiež nie je v súlade s právom, nakoľko tým dochádza k zavádzaniu a skresľovaniu práv dotknutej osoby v dôsledku kolízie dvoch právnych základov. V praxi teda môže nastať situácia, že ak rodič súhlas odvolá a domnieva sa, že škola so spracúvaním jeho osobných údajov skončí, nestane tak, lebo skutočným právnym dôvodom pre spracúvania osobných údajov, nikdy nebol/nemal byť súhlas rodiča, ale  školský zákon.
5. Úrad môže v rámci konania o ochrane osobných údajov  uložiť opatrenia na nápravu a prípadne uložiť aj pokutu, výška pokuty závisí od toho, či je porušovateľom práva podnik, alebo iný subjekt, no o výške pokuty možno uviesť, že je závislá na tom, aké priťažujúce okolnosti by musel  úrad v rámci konkrétneho konania brať do úvahy.
6. Európska komisia veľmi citlivo vníma porušovanie práv v oblasti ochrany osobných údajov jej občanov prevádzkovateľmi, ale aj napriek tomu špekulovať dnes o zmene nariadenia  nie je potrebné.
7. Osobitne by sme si dovolili zdôrazniť, čo sme spomenuli skôr, že školy spracúvajú osobné údaje detí, rodičov, zákonných zástupcov, zamestnancov a preto by mali k spracúvaniu pristupovať zodpovedne a zákonne t.j. spracúvať  osobné údaje na adekvátnom právnom základe a zbytočne nepýtať súhlasy tam, kde nie sú potrebné. V tejto oblasti by sme uvítali aj väčšiu koordináciu  od Ministerstva školstva SR, aby  bol postup škôl jednotný, nakoľko  v zásade všetky až na malé rozdiely robia totožné, alebo skoro totožné spracovateľské operácie.

V reportáži, ktorá bola danej téme venovaná v RTVS – Slovenský rozhlas, Rádiožurnál Slovenského rozhlasu však odzneli len dve informácie zo všetkých odpovedí, ktoré úrad poskytol, ktorých interpretácia vyznieva tak, že úrad akoby nejavil dostatočný záujem o spracúvanie  a ochranu osobných údajov v prostredí škôl, čo rozhodne odmietame. Radi by sme dali do pozornosti najmä minulý týždeň zverejnenú metodiku venovanú výhradne školám a spracúvaniu osobných údajov v ich prostredí; tiež by sme radi zdôraznili, že aj v rámci Dňa ochrany osobných údajov, v rámci úradom organizovaného workshopu dňa 28. januára 2019 úrad venoval jeden blok iba ochrane a spracúvaniu osobných údajov v prostredí škôl.