Učitel vidí dnešní absenci. Rodič známku a zprávu. Systém ale může spojovat celé roky docházky, omluvenek, hodnocení, kontaktů, změn hesla a časů přihlášení. Každý uživatel z něj vidí určitou část podle nastavených oprávnění. Dohromady tak vzniká podrobná digitální stopa dítěte v prostředí, které za ně vybrala škola.
Otázka proto nezní jen „je aplikace bezpečná?“. Je třeba vědět, které údaje vznikají, proč jsou potřeba, kdo je může vidět, kdo systém provozuje a kdy školní stopa přestane sloužit svému účelu.
Z drobných údajů vzniká podrobný obraz dne
Záznam jedné absence říká, že dítě nebylo ve výuce. Spojení docházky, poznámek, zpráv rodičům a třeba i údajů ze stravovacího systému může odhalit mnohem víc o chodu rodiny. Omluvenka může obsahovat zdravotní podrobnosti, zpráva změnu bydliště. Rozsah závisí na konkrétním systému a jeho propojení. Některé údaje škola potřebuje ze zákona, jiné pro organizaci výuky a další vznikají při používání služby.
Technický záznam o přihlášení může pomoci chránit účet a vyšetřit jeho napadení. I takový údaj potřebuje určený účel, omezený přístup a přiměřenou dobu uchování. Pokud by se z časů přihlášení začalo hodnotit, jak poctivě rodič sleduje školu, šlo by už o jiné využití. Rozdíl mezi zaznamenanou aktivitou a jejím výkladem ukazuje také digitální dohled nad prací.
Nová funkce si proto zaslouží stejné otázky jako nový formulář: jaký problém řeší, zda jej lze řešit s menším množstvím dat a komu přidává přístup. Pohodlí pro dospělé samo o sobě nevysvětluje každou další stopu dítěte.
Základní zásady GDPR vyžadují, aby údaje byly přiměřené, relevantní a omezené na nezbytný rozsah. Mají se používat pro určený účel, být přesné a řádně zabezpečené. Doba uchování se musí řídit tím, proč jsou potřebné, včetně případných pravidel pro archivaci. Za dodržení těchto zásad odpovídá správce.
Přístupy nastavujte podle pracovních úkolů
„Má to škola“ neznamená, že každý učitel potřebuje vidět všechno o každém dítěti. Třídní učitel, vyučující, sekretariát, školní poradenské pracoviště a správce systému plní jiné úkoly. Přístupy by tomu měly odpovídat a po změně role nebo odchodu zaměstnance se upravit.
Dobré nastavení omezuje nejen úmyslné zneužití, ale i omyl. Učitel nemůže omylem otevřít údaj, který pro svou práci vůbec nemá k dispozici. Sdílený účet pro několik zaměstnanců naopak ztěžuje určit, kdo co udělal, a oslabuje možnost přístup bezpečně zrušit.
Dítě i rodič mají rozumět tomu, kdo s údaji pracuje. Škola může například vysvětlit, kdo opravuje docházku, kdo čte omluvenky a kdo vidí zprávy určené poradenskému pracovišti. Pomůže i rozlišení mezi běžným uživatelským přístupem a technickým přístupem správce systému při řešení závady.
Co zajišťuje škola a co dodavatel
Škola obvykle neprogramuje vlastní systém. Využívá dodavatele aplikace, úložiště nebo technické správy. V mnoha situacích je správcem osobních údajů škola, která určuje účely a prostředky jejich zpracování. Dodavatel pak vystupuje jako zpracovatel a jedná podle jejích pokynů. Rozhoduje skutečné rozdělení činností, nikoli jen název služby nebo umístění serveru.
ÚOOÚ uvádí provozovatele informačního systému či cloudu jako typické příklady zpracovatele. Smlouva má upravit předmět a dobu zpracování, účel, typy údajů, zabezpečení i zapojení dalších zpracovatelů. Přenesení služby ven proto neznamená přenesení odpovědnosti.
Škola potřebuje vědět, kde data jsou, kdo je technicky může zpracovávat a co se s nimi stane po ukončení smlouvy. Podmínky mají řešit vrácení nebo výmaz údajů i existujících kopií, s ohledem na zákonné povinnosti uchování. Rodič se může nejprve obrátit na školu; ta má vysvětlit svou roli a určit kontakt pro žádost. Technický dotaz dodavateli nenahrazuje odpověď správce o nakládání s údaji.
Kdy se údaje zpracovávají bez souhlasu
Rodiče někdy dostanou dlouhý formulář a mají pocit, že bez souhlasu nemůže škola vést ani docházku. Jindy se souhlas používá jako univerzální omluva pro nové funkce. Ve veřejném školství však řada zpracování vychází z právní povinnosti nebo úkolu ve veřejném zájmu, ne ze svobodně odvolatelného souhlasu.
ÚOOÚ ve své školské poradně potvrzuje, že školy mohou údaje zpracovávat při plnění právních povinností i veřejných úkolů. Současně doporučuje kvůli bezpečnostním rizikům pečlivě zvažovat, zda je třeba údaje školní agendy držet také mimo školní systém nebo u dalších dodavatelů.
U konkrétní funkce se proto ptejte, proč daný údaj potřebuje a na jakém právním základě jej zpracovává. Jestliže škola žádá o souhlas, má být jasné, s čím souhlasíte, co se stane při odmítnutí a jak jej odvolat. Souhlas s jednou dobrovolnou službou nemá být podmínkou přístupu k nesouvisející povinné školní agendě.
Jak dlouho mají údaje zůstat uložené
Známka může být potřebná pro hodnocení a dokumentaci, zpráva pro vyřešení situace a záznam o přihlášení pro objasnění incidentu. Tyto účely nemusejí trvat stejně dlouho. Jedno tlačítko „archivovat“ nesmí nahradit rozhodnutí, co právní předpis vyžaduje uchovat a co už jen zůstalo v databázi.
ÚOOÚ shrnuje, že rozsah a doba musí být přiměřené účelu a po jeho naplnění se údaje likvidují, pokud další uchování neurčuje zákon či archivní pravidla. Delší historie může být někdy oprávněná, ale musí mít vysvětlitelný důvod.
Odchod dítěte ze školy tedy nemusí znamenat výmaz veškeré dokumentace. Je však dobrým okamžikem ověřit, které účty zůstanou aktivní a co bude dál dostupné bývalým uživatelům. Uchování povinného dokumentu a běžný přístup do aplikace jsou dvě odlišné věci. Škola má mít pravidla i pro staré exporty a kopie, které si zaměstnanci ukládají mimo hlavní systém.
Právo na přístup pomáhá zjistit, které osobní údaje o vás nebo vašem dítěti škola zpracovává; zahrnuje také jejich kopii. Nepřesné údaje lze žádat opravit a za podmínek GDPR také vymazat. Na žádost o výkon těchto práv má správce reagovat bez zbytečného odkladu, nejpozději do měsíce. Při potřebném prodloužení kvůli složitosti či počtu žádostí může přidat nejvýše dva měsíce, ale už během prvního měsíce musí sdělit důvody. Zákonné uchování některých údajů může výmaz vylučovat.
Vysvětlení potřebuje také dítě
Účet často ovládá rodič, ale velká část údajů popisuje dítě. Informace proto mají být přiměřeně srozumitelné také jemu podle věku a možností. Evropský sbor pro ochranu osobních údajů připomíná, že děti mají zvláštní ochranu právě proto, že jsou v zacházení s daty zranitelnější.
Pomůže krátké vysvětlení, co aplikace ukazuje učiteli a rodiči, kdo může číst odevzdaný úkol a na koho se obrátit při chybě. U zpráv je důležité před odesláním poznat, zda jdou jednomu člověku, nebo celé skupině. Dítě by také mělo vědět, že citlivé sdělení může probrat s určeným dospělým jinou domluvenou cestou.
Opravu záznamu a únik údajů řešte odlišně
Když aplikace ukáže chybnou absenci nebo hodnocení, nejprve se žádá oprava a zjišťuje zdroj. Když se v účtu objeví údaje cizího dítěte, neznámé přihlášení nebo zpráva poslaná jiným jménem, může jít o bezpečnostní incident. V takové chvíli se obsah dál neprochází ani nezveřejňuje jako důkaz na sociální síti.
Pro první hlášení stačí stručný popis místa, času a vlastního účtu. Další údaje předávejte podle domluvy bezpečnou cestou; kvůli dokumentování neotvírejte další cizí záznamy. Změna hesla je namístě při podezření na napadení vlastního účtu, sama však nevyřeší chybu přístupových oprávnění v systému.
Škola musí situaci posoudit, zajistit nápravu a vyhodnotit oznamovací povinnosti. Podle ÚOOÚ se porušení zabezpečení s rizikem pro dotčené osoby ohlašuje úřadu bez zbytečného odkladu, pokud možno do 72 hodin od zjištění. Nejde o lhůtu, po kterou by měl rodič čekat s upozorněním školy. Ta potřebuje informaci co nejdříve, aby mohla další zpřístupňování zastavit.
Co ověřit před zapnutím další funkce
Digitální systém může rodičům i škole usnadnit komunikaci, snížit přepisování a zpřístupnit důležité informace. Před rozšířením o další funkci se vyplatí projít konkrétní situaci: kdo údaj zadá, kdo jej uvidí, kdo napraví chybu a kdy se záznam smaže nebo přesune do povinné archivace. Právě při takovém průchodu může vyjít najevo, že nový údaj ve skutečnosti nikdo nepotřebuje.
Rodič může začít jedním dotazem na údaj, který mu připadá nejasný. Škola si může stejným způsobem projít výchozí nastavení nové aplikace. U každé zapnuté funkce by měla umět vysvětlit její přínos, právní základ a způsob ochrany dat.
