Vysoká škola (UOOU-01886/21)

Kontrola zpracování osobních údajů při k nahrávání výuky

Kontrola byla zahájena na základě stížnosti ve věci pořizování a dalšího zpracování audiovizuálních záznamů přednášek, seminářů a online zkoušení, a to na konkrétní fakultě jedné z vysokých škol. S pořizováním nahrávek bylo započato v souvislosti s pandemií covid-19, kdy byla většina forem výuky uskutečňována distanční formou, online, za použití digitálních technologií.

Kontrolou bylo při realizovaném místním šetření ověřeno, že k nahrávání výuky skutečně docházelo. Z hlediska posouzení zákonnosti pořizování a dalšího zpracování audiovizuálních záznamů se kontrolující zaměřili na tři základní oblasti distančního způsobu výuky, a to na realizaci přednášek, seminářů a cvičení a zkoušení (vč. státních zkoušek). Kontrolovaná osoba v rámci kontroly uvedla, že právním titulem pro zpracování osobních údajů v souvislosti s pořízením audiovizuálního záznamu výuky včetně zkoušky, jakož i zpřístupněním těchto záznamů v informačním systému, je plnění právní povinnosti správce založené zákonem č. 111/1998 Sb., o vysokých školách a o změně a doplnění dalších zákonů (zákon o vysokých školách), a opírala tak zpracování o právní důvod specifikovaný v čl. 6 odst. 1 písm. c) GDPR. V jednom z dokumentů se pak kontrolovaná osoba odvolávala přímo na § 1 zákona o vysokých školách.

Kontrolou bylo vyhodnoceno, že kontrolované osobě svědčil právní základ ve smyslu čl. 6 odst. 1 písm. c) GDPR pro pořizování audiovizuálního záznamu státní zkoušky, neboť povinnost kontrolované osobě vyplývá ze znění § 95c zákona o vysokých školách. Pro pořízení a další zpracování audiovizuálního záznamu přednášek, seminářů a cvičení a zkoušení (vyjma státních zkoušek) kontrolovaná osoba dle vyhodnocení kontrolujících nedisponovala řádným právním titulem a porušila povinnosti vyplývající z čl. 6 odst. 1 GDPR. Ačkoli uvedený § 95c zavádí možnost (v případě krizového nebo mimořádného opatření a při splnění dalších podmínek) využívat k výuce, kontrole studia nebo při zkouškách nástroje distančního způsobu komunikace, nebyla zákonem stanovena povinnost pořízení audiovizuálního záznamu jako je tomu v případě státní zkoušky. Na základě uvedeného zhodnocení pak bylo za nezákonné shledáno i zpracování osobních údajů stěžovatelky (vyučující na vysoké škole).

Kontrolovaná osoba proti kontrolním zjištěním podala námitky. Mimo jiné argumentovala tím, že se kontrolující nezabývali založením zákonnosti na základě ustanovení čl. 6 odst. 1 písm. e) a f) GDPR, tedy na veřejném zájmu (který měl dle kontrolované osoby vyplývat ze samotné povahy veřejné školy se samosprávnou působností vytvářet a uskutečňovat určené typy studijních programů) či na oprávněných zájmech (zde oprávněný zájem studentů na přístup ke vzdělání).

V rámci vyřízení námitek bylo potvrzeno, že kontrolované osobě svědčil právní titul uvedený v čl. 6 odst. 1 písm. c) GDPR ve vztahu k pořizování audiovizuálního záznamu pouze ohledně státní zkoušky. Bylo dále potvrzeno, že kontrolující kontrolovanou osobu vyzvali k vymezení právního titulu pro shora uvedené oblasti zpracování, a kontrolovaná osoba byla výslovně vyzvána k předložení balančního testu, resp. testu proporcionality, pokud by mělo být zpracování založeno na oprávněném zájmu. Kontrolovaná osoba však v průběhu kontroly výslovně uvedla, že zpracování není na základě čl. 6 odst. 1 písm. e) a f) GDPR prováděno. Lze doplnit, že test proporcionality nebyl předložen ani v rámci podaných námitek. V rámci vyřízení námitek bylo konstatováno, že kontrolovaná osoba neprokázala existenci právního základu, na jehož základě by bylo možno realizovat pořizování a další zpracování audiovizuálních záznamů přednášek, seminářů a cvičení a zkoušení (vyjma státních zkoušek), včetně provedení balančního testu, jímž by byla doložena aplikovatelnost ustanovení čl. 6 odst. 1 písm. f) GDPR. Tím však není vyloučeno, že by některý z právních titulů ve smyslu čl. 6 odst. 1 GDPR tomuto zpracování mohl svědčit, a to zejména pro období mimořádných situací (jako např. pandemie), přičemž doložení právního titulu je povinností správce. Závěr kontrolního protokolu byl proto (vyjma závěru ke státním zkouškám) upraven a věta ve znění „Pro pořízení a další zpracování audiovizuálního záznamu přednášek, seminářů a cvičení a zkoušení (vyjma státních zkoušek) kontrolovaná osoba nedisponovala řádným právním titulem a porušila povinnosti vyplývající z čl. 6 odst. 1 nařízení (EU) 2016/679.“ byla nahrazena větou ve znění „Kontrolovaná osoba však neprokázala, že by jí svědčil právní základ (titul) ve smyslu čl. 6 odst. 1 nařízení (EU) 2016/679 pro pořízení a další zpracování audiovizuálního záznamu přednášek, seminářů a cvičení a zkoušení (vyjma státních zkoušek).“ V ostatních částech byly závěry uvedené v protokolu o kontrole nezměněny a námitky kontrolované osoby zamítnuty.

Doplňující informace: Úřad upozorňuje na zásadu odpovědnosti definovanou čl. 5 odst. 2 GDPR, dle které nejenže správce odpovídá za dodržování ostatních zásad ochrany osobních údajů, ale také musí být schopen dodržení souladu doložit. Ve věci odpovědnosti správce pak dále Úřad odkazuje na povinnosti stanovené čl. 24 odst. 1 GDPR, dle kterého: „S přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob zavede správce vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování je prováděno v souladu s tímto nařízením. Tato opatření musí být podle potřeby revidována a aktualizována.“