Aplikácia GDPR pri činnosti rady školy

Už vyše päť rokov sa na Slovensku uplatňuje Nariadenie európskeho parlamentu a rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeo­becné nariadenie o ochrane údajov alebo skrátene aj „GDPR“). Toto nariadenie, ktoré je priamo uplatniteľné na území všetkých členských štátov Európskej únie, teda aj Slovenska, sa nevyhýba ani oblasti regionálneho školstva. Od 25. mája 2018, kedy GDPR vstúpilo do platnosti, sa už udomácnilo aj v prostredí škôl a školy ho aplikujú pri svojej činnosti.

Ako je to však s radami škôl, ktoré sú orgánmi školskej samosprávy a majú špecifické postavenie?

V príspevku sa pokúsime nájsť odpoveď na túto otázku.

Príklad: Na úvod začneme jednoduchým príkladom: Nový člen rady školy príde na zasadnutie rady školy (nie na výberové konanie na obsadenie miesta riaditeľa školy) a okrem prezenčnej listiny dostane proti podpisu aj poučenie, že má zachovávať mlčanlivosť o všetkých osobných údajoch, s ktorými príde do kontaktu počas zasadnutia rady školy, ako aj ďalšie súvisiace poučenia. K tomu všetkému má v poučení uviesť svoje meno, priezvisko, adresu pobytu a dátum narodenia. Pre niekoho možno bežná záležitosť, pre niekoho to možno vyzerá nereálne, ale pravdou je, že ide o reálnu situáciu z praxe.

Na prvý pohľad sa môže zdať, že aplikácia GDPR v prostredí rady školy nevyvoláva žiadne otázky a neprináša so sebou žiadne komplikácie. Pri podrobnejšom skúmaní uvedenej problematiky vyvstáva viacero otázok, na ktoré nie je vôbec jednoduché odpovedať.

• Aké je postavenie rady školy z právneho hľadiska a aký to má vplyv na uplatňovanie GDPR pri jej činnosti?
• K spracúvaniu akých osobných údajov dochádza pri činnosti rady školy?
• Ako je to so spracúvaním osobných údajov, keď rada školy realizuje výberové konanie na funkciu riaditeľa?

Aké je postavenie rady školy z právneho hľadiska a aký to má vplyv na uplatňovanie GDPR pri činnosti rady školy?

Postavenie a pôsobnosť rady školy upravuje zákon č. 596/2003 Z. z. o štátnej správe v školstve a školskej samospráve a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon č. 596/2003 Z. z.“). Rada školy je v zmysle § 24 ods. 1 zákona č. 596/2003 Z. z. iniciatívny a poradný samosprávny orgán, ktorý vyjadruje a presadzuje verejné záujmy a záujmy žiakov, rodičov, pedagogických zamestnancov a ostatných zamestnancov v oblasti výchovy a vzdelávania. V zmysle § 24 ods. 2 vyššie uvedeného zákona sa rada školy zriaďuje pri školách podľa osobitného predpisu.

Podľa § 18 ods. 2 zákona č. 40/1964 Zb. Občiansky zákonník v znení neskorších predpisov právnickými osobami sú:

1. združenia fyzických alebo právnických osôb,
2. účelové združenia majetku,
3. jednotky územnej samosprávy,
4. iné subjekty, o ktorých to ustanovuje zákon.

Keďže zákon len všeobecne definuje postavenie rady školy, v aplikačnej praxi sa výkladom týchto ustanovení zaoberali aj súdy. Rada školy nemá atribúty orgánu právnickej osoby, za ktorú je oprávnená konať a mať zodpovednosť, pretože rada je len orgánom samosprávy v školstve, nezávislým od orgánu zodpovedného za školu (riaditeľa školy).

Školská samospráva nie je zriadená obcou, aj keď obec sa podieľa na jej zriadení delegovaním zástupcov, ale táto samospráva ako poradný orgán je výlučne na presadzovanie verejného záujmu a záujmu žiakov, rodičov, pedagogických zamestnancov a ostatných zamestnancov. Je definovaná ako iniciatívny a poradný orgán pre riaditeľa, pričom činnosť rady školy od činnosti školy, pri ktorej je zriadená je nezávislá, riadi sa štatútom rady, nemá právnu subjektivitu (z rozsudku Krajského súdu v Prešove zo dňa 29. januára 2015, sp. zn. 12 CoPr 5/2014).

Postavenie rady školy možno zhrnúť nasledovne:

• rada školy je samosprávny orgán (orgán školskej samosprávy),
• rada školy sa zriaďuje pri škole alebo pri školskom zariadení, t. j. nie je súčasťou školy alebo školského zariadenia,
• rada školy nie je právnickou osobou, t. j. nemá právnu subjektivitu.

Podľa čl. 4 bod 7 GDPR prevádzkovateľom je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov. Skutočnosť, že určitý subjekt sa považuje za prevádzkovateľa, okrem iného znamená, že tento subjekt musí v súvislosti so spracúvaním osobných údajov plniť rôzne povinnosti.

Ako už bolo skôr uvedené, rada školy nie je právnickou osobou a nie je ani orgánom verejnej moci či agentúrou. Otázne je, či rada školy spadá do kategórie iný subjekt. Rada školy však nemá právnu subjektivitu na to, aby mohla byť subjektom právnych vzťahov. Nemá teda atribúty, aby mohla byť zaradená do niektorej z vyššie uvedených kategórií. Okrem toho v prípade rady školy nie je splnená ani ďalšia časť definície, že musí ísť o subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov.

Rada školy neurčuje (nemala by) účely a prostriedky spracúvania osobných údajov. Prečo je tomu tak, si zodpovieme spolu s odpoveďou na ďalšiu otázku.

K spracúvaniu akých osobných údajov dochádza pri činnosti rady školy?

Činnosť rady školy je upravená právnymi predpismi (predovšetkým zákonom č. 596/2003 Z. z.) a štatútom. Pri bližšom skúmaní jednotlivých kompetencií rady školy zistíme, že pri ich realizácii nedochádza k spracúvaniu osobných údajov (napr. prerokovanie koncepčného zámeru školy, školského poriadku atď.). Takýto záver možno vyvodiť aj zo skutočnosti, že zasadnutia rady školy sú verejné. Je teda zrejmé, že predmetom rokovania rady školy sú záležitosti, ktoré môžu byť verejne prerokované. Ak by mali byť predmetom rokovania skutočnosti, ktorých predmetom sú osobné údaje, tieto by nemohli byť bez legitímneho dôvodu verejne prerokované.

V tejto súvislosti je na mieste zmieniť sa o kompetencii rady školy uskutočniť výberové konanie na obsadenie miesta riaditeľa školy. Je potrebné uviesť, že výberové konanie vyhlasuje a organizačne zabezpečuje zriaďovateľ a z uvedeného dôvodu je v tomto prípade práve zriaďovateľ prevádzkovateľom na účely GDPR a nie rada školy, ktorá je len výberovou komisiou. Povinnosti súvisiace s GDPR preto zabezpečuje zriaďovateľ (o tom bližšie v ďalšej časti príspevku).

Radu školy nie je možné považovať za prevádzkovateľa v zmysle čl. 4 ods. 7 GDPR. Túto skutočnosť zvýrazňuje aj fakt, že kontrolný orgán jej nemôže uložiť pokutu (keďže nemá právnu subjektivitu). Neobstojí ani tvrdenie, že povinnosti v zmysle GDPR má pre radu školy zabezpečiť škola, keďže, ako to vyplýva zo zákona č. 596/2003 Z. z., rada školy nie je súčasťou školy ani jej orgánom, ale má postavenie nezávislého orgánu školskej samosprávy.

Keďže rada školy nie je prevádzkovateľom v zmysle GDPR, logicky nemôže od svojich členov vyžadovať akékoľvek povinnosti v súvislosti so spracúvaním osobných údajov. Ani škola ako prevádzkovateľ nemôže vyžadovať od členov rady školy žiadne povinnosti v súvislosti s GDPR a už vôbec nie od nich vyžadovať podpísanie dokumentácie s tým súvisiacej, a to z dôvodu, že rada školy nie je súčasťou školy ani orgánom školy. Členovia rady školy ako fyzické osoby môžu byť teoreticky v niektorých prípadoch príjemcami osobných údajov v zmysle čl. 4 bod 9 GDPR.

Iné je postavenie zriaďovateľa, ktorý organizuje výberové konanie na obsadenie miesta riaditeľa školy a v tomto prípade členovia rady školy (členovia výberovej komisie) sa oboznamujú s osobnými údajmi uchádzačov.

Aplikácia GDPR pri výberovom konaní na obsadenie miesta riaditeľa školy alebo školského zariadenia

Výberové konanie na obsadenie miesta riaditeľa školy alebo školského zariadenia je legislatívne upravené v § 4 zákona č. 596/2003 Z. z. a v § 5 zákona č. 552/2003 Z. z. o výkone práce vo verejnom záujme v znení neskorších predpisov (ďalej len „zákon č. 552/2003 Z. z.“). Podľa § 4 ods. 1 zákona č. 596/2003 Z. z. výberové konanie na obsadenie miesta riaditeľa vyhlasuje zriaďovateľ spôsobom ustanoveným osobitným predpisom (zákonom č. 552/2003 Z. z.). Podľa § 4 ods. 2 zákona č. 596/2003 Z. z. výberovou komisiou na výberové konanie na obsadenie funkcie riaditeľa je rada školy. Organizačné zabezpečenie výberového konania a posúdenie kvalifikačných predpokladov kandidátov na obsadenie funkcie riaditeľa zabezpečuje zriaďovateľ.

Rada školy je v procese výberového konania na obsadenie miesta rady školy výberovou komisiou, nie subjektom organizujúcim a vyhlasujúcim výberové konanie. Zriaďovateľ, ktorý vyhlasuje a organizačne zabezpečuje výberové konanie, je prevádzkovateľom na účely GDPR, keďže spadá do definície prevádzkovateľa podľa čl. 4 ods. 7 GDPR. Je orgánom verejnej moci, právnickou alebo fyzickou osobou (podľa toho, o akého zriaďovateľa ide) a určuje prostriedky a účely spracúvania osobných údajov.

GDPR upravuje v čl. 5 zásady spracúvania osobných údajov. V zmysle uvedeného článku osobné údaje musia byť spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (zákonnosť, spravodlivosť a transparentnosť).

V čl. 6 GDPR vymenúva právne tituly, ktoré zakladajú zákonnosť spracúvaných osobných údajov:

1. dotknutá osoba vyjadrila súhlas so spracúvaním osobných údajov na jeden alebo viaceré konkrétne účely,
2. spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy,
3. spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa,
4. spracúvanie je nevyhnutné, aby sa ochránili životne dôležité záujmy dotknutej osoby alebo inej fyzickej osoby,
5. spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi,
6. spracúvanie je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobou dieťa.

V praxi zriaďovateľov sa vo vyhlásení výberového konania môžeme stretnúť s rôznymi dôvodmi spracúvania osobných údajov. Najčastejšie sa vyskytujú vo vyhlásení výberového konania dôvody uvedené vyššie pod písmenom a) alebo b). Vo všeobecnosti je zákonnosť spracúvania osobných údajov uchádzačov vo výberovom konaní daná dôvodom uvedeným pod písm. b).

Spracúvanie osobných údajov je nevyhnutné, aby sa na základe žiadosti dotknutej osoby (žiadosť o účasť vo výberovom konaní) vykonali opatrenia (výberové konanie) pred uzatvorením zmluvy (s úspešným uchádzačom je nevyhnutné uzatvoriť pracovnú zmluvu, resp. dohodu o zmene pracovnej zmluvy). Je síce pravdou, že pracovná zmluva sa uzatvorí len s úspešným uchádzačom, ale vykonanie výberového konania je nevyhnutným opatrením, aby sa pracovná zmluva vôbec uzatvorila. Súhlas so spracúvaním osobných údajov uchádzačov o funkciu riaditeľa školy sa vzhľadom k vyššie uvedenému javí ako nadbytočný.

Medzi zásady spracúvania osobných údajov v zmysle čl. 5 GDPR patrí aj ZÁSADA OBMEDZENIA ÚČELU. Podstatou tejto zásady je, že osobné údaje musia byť získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi. V prípade výberového konania na obsadenie miesta riaditeľa školy alebo školského zariadenia sa osobné údaje spracúvajú na účely uskutočnenia, resp. realizácie výberového konania a obsadenia miesta riaditeľa.

V zmysle ZÁSADY MINIMALIZÁCIE ÚDAJOV osobné údaje musia byť primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú. Vo výberovom konaní na funkciu riaditeľa školy táto zásada znamená, že zriaďovateľ ako vyhlasovateľ a organizátor výberového konania a rada školy ako výberová komisia môžu od uchádzačov vyžadovať len také materiály a údaje, ktoré sú skutočne nevyhnutné na účely uskutočnenia výberového konania a obsadenie miesta riaditeľa na základe výberového konania.

Žiaľ, aj v súčasnosti ešte stále možno nájsť prípady, kde vo vyhlásení výberového konania zriaďovateľ vyžaduje napr. predloženie výpisu z registra trestov, či odpisu registra trestov, resp. údajov nevyhnutných na vyžiadanie výpisu z registra trestov alebo odpisu registra trestov. Uvedený postup je v rozpore nielen s ustanoveniami GDPR ale aj s ustanoveniami zákona č. 138/2019 Z. z. o pedagogických a odborných zamestnancoch a o zmene a doplnení niektorých zákonov v znení neskorších predpisov.

Zriaďovateľ má v súvislosti s ochranou osobných údajov vo výberovým konaní viaceré povinnosti vo vzťahu k členom rady školy.

Podľa čl. 29 GDPR každá osoba konajúca na základe poverenia prevádzkovateľa, ktorá má prístup k osobným údajom, môže spracúvať tieto údaje len na základe pokynov prevádzkovateľa s výnimkou prípadov, keď sa to vyžaduje podľa práva Únie alebo práva členského štátu. Prevádzkovateľ je teda povinný poveriť na spracúvanie osobných údajov každú fyzickú osobu, ktorá v jeho mene osobné údaje spracúva. V prípade výberového konania na funkciu riaditeľa školy je zriaďovateľ povinný poveriť členov rady školy spracúvaním osobných údajov. Forma poverenia síce nie je predpísaná, ale v prípade kontroly je prevádzkovateľ povinný preukázať existenciu poverenia. Preto je poverenie vhodné urobiť písomnou formou.

Popri GDPR sa uplatňuje aj platný a účinný zákon č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon č. 18/2018 Z. z.“). Z § 3 ods. 2 uvedeného zákona vyplýva, že sa uplatňuje popri GDPR, avšak okrem § 2, § 5, druhej a tretej časti zákona.

Podľa § 79 ods. 1 zákona č. 18/2018 Z. z. prevádzkovateľ a sprostredkovateľ je povinný zachovávať mlčanlivosť o osobných údajoch, ktoré spracúva. Povinnosť mlčanlivosti trvá aj po ukončení spracúvania osobných údajov. V zmysle § 79 ods. 2 zákona č. 18/2018 Z. z. prevádzkovateľ a sprostredkovateľ je povinný zaviazať mlčanlivosťou o osobných údajoch fyzické osoby, ktoré prídu do styku s osobnými údajmi u prevádzkovateľa alebo sprostredkovateľa.

Jednou z povinností zriaďovateľa pri výberovom konaní je aj POVINNOSŤ O MLČANLIVOSTI O OSOBNÝCH ÚDAJOCH, ako aj zaviazanie mlčanlivosťou o osobných údajoch členov rady školy, ktorá je výberovou komisiou. Tento záväzok mlčanlivosti člena rady školy môže byť aj súčasťou poverenia na spracúvanie osobných údajov alebo môže tvoriť samostatný dokument.

WEBINÁR s JUDr. Matejom Drotárom - 15. 2. 2023 - viac informácií