Pseudoanonymní údaje

V minulých letech byly zvýšeny požadavky škol na finanční prostředky města pro integrované žáky, kompenzační pomůcky a specielně jejich případné asistenty. Proto školský odbor krajského úřadu požádal místní psychologicko-pedagogické poradny (dále jen „poradny“), aby mu poskytly údaje o žácích se speciálními vzdělávacími potřebami. Data neměla sloužit k identifikaci jednotlivých fyzických osob, ale pouze pro celkový přehled.

Byly požadovány tyto údaje: kód, pod kterým je dítě vedeno v poradně, číslo poradny, křestní jméno dítěte, rok narození, místo trvalého pobytu (okres), druh postižení, přidělení asistenta, druh a sídlo školy, kterou dítě navštěvuje. Tím vnikla databáze dětí, které využily služeb některého místního školského poradenského zařízení (dále jen „Databáze klientů poraden“).

Tyto údaje byly dále zpracovávány do různých tabulek a statistik pro zjištění, zda jednotlivé školy žádají oprávněně peníze na integraci dětí.

V daném kraji působí několik poraden. Tyto poradny slouží rodičům nebo zákonným zástupcům při výchovných problémech a zároveň školám, při posuzování druhu případného postižení nebo poruchy, neboť pouze na základě doporučení z poradny lze požadovat kompenzační prostředky, popř. asistenta pedagoga (§ 16 školského zákona a § 1 Vyhlášky).

Prvotně jsou ovšem poradny službou rodičům a zákonným zástupcům, a pouze oni, popř. samotní studenti rozhodují, zda výsledky vyšetření budou předány pouze jim, škole nebo jinému odbornému pracovišti. Poradny se navíc zavazují (citujeme z materiálu jedné poradny), že Údaje poradna neposkytne dalším osobám a bude dbát Vašeho práva na ochranu soukromí. Zpráva z psychologického vyšetření bude zaslána příslušné instituci pouze s Vaším souhlasem.

Do poraden tudíž chodí rodiče s různými výchovnými problémy, zdaleka ne pouze s takovými, které ve svém důsledku budou potřebovat zvýšené finanční prostředky.

Kontrolující posoudili případ takto:

Podle definice dané § 4 písm. a) zákona o ochraně osobních údajů se osobním údajem rozumí jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu.

Tudíž údaje, které obsahují křestní jméno (může být často velmi neobvyklé: Jiří Jeroným, Damián, Marco, Tu Muh, William), rok narození, místo trvalého pobytu (okres), druh postižení, přidělení asistenta, druh a sídlo školy, kterou dítě navštěvuje, jsou nepochybně osobními údaji, neboť lze určit, o kterou osobu se jedná.

Tudíž se jedná o zpracování osobních údajů a jako takové spadá pod působnost zákona o ochraně osobních údajů.

Osobní údaje lze zpracovávat pouze se souhlasem subjektů údajů (v případě dětí se souhlasem jejich zákonných zástupců) nebo podle výjimek, které jsou dány výčtem v ustanovení § 5 odst. 2 zákona o ochraně osobních údajů, v případě citlivých údajů, za což lze považovat údaje o postižení, v § 9 zákona o ochraně osobních údajů. Žádná z těchto výjimek se ovšem nedá aplikovat na Databázi klientů poraden, kterou kraj zpracovává.

Naopak, zákonní zástupci jsou v písemné formě seznámeni s tím, že údaje z poraden nebudou předávány bez jejich výslovného souhlasu třetím osobám.

(Navíc se nejedná o údaje, které kraj potřebuje, neboť údaje se týkají všech dětí, které navštívily některou poradnu, a rozlišení mezi dobrými radami rodičům či učitelům o shovívavost při posuzování některých slabostí dítěte a doporučením kompenzačních pomůcek a doučovacích hodin není zachyceno.)

Kraj tudíž zpracovával osobní údaje klientů poraden bez souhlasu subjektů údajů nebo jejich zákonných zástupců, a tudíž porušil ustanovení § 5 odst. 2 zákona o ochraně osobních údajů. Vzhledem k tomu, že druh postižení lze považovat za informaci o zdravotním stavu, což je citlivý údaj (§ 4 písm. b) zákona o ochraně osobních údajů), porušil i ustanovení § 9 zákona o ochraně osobních údajů. Dále ustanovení § 11 zákona o ochraně osobních údajů, neboť neinformoval děti ani jejich zákonné zástupce o tomto zpracování a o právu údaje neposkytnout, resp. neposkytnul subjektům údajů informace v rozsahu a zákonem stanoveným způsobem.

Správce, který se rozhodne zpracovávat osobní údaje, je podle ustanovení § 16 zákona o ochraně osobních údajů povinen toto zpracování oznámit Úřadu. Pokud by tak kraj učinil, nebylo by mu toto zpracování zaregistrováno pro nezákonnost.