Pověřenec pro ochranu osobních údajů ve školní družině

Pověřenec pro ochranu osobních údajů je institut přejatý z německého práva, kde funguje již od roku 2009. Zjednodušeně se jedná o poradce v oblasti ochrany osobních údajů. Pověřenec má na starosti poskytování informací a poradenství ohledně osobních údajů a monitorování souladu s GDPR. Další jeho povinností je spolupracovat s Úřadem pro ochranu osobních údajů a zároveň pro tento úřad působit jako kontaktní místo. Nicméně pověřenec není odpovědný za dodržování GDPR a jiných předpisů, odpovědným subjektem zůstává vždy správce osobních údajů.

GDPR stanoví, že pověřence musí mít všechny orgány veřejné moci či veřejné subjekty s výjimkou soudů jednajících v rámci svých soudních pravomocí. U školních družin, které jsou součástí škol, je situace relativně jednoduchá. Školy jsou orgány veřejné moci a pověřence mít musí, pověřenec ve školách bude tedy zajišťovat činnost pověřence i pro školní družinu. Některé školní družiny jsou však spojené s domy dětí a mládeže v rámci jedné příspěvkové organizace. Poté je nutné posoudit, zda taková školní družina s domem dětí a mládeže je z hlediska GDPR orgánem veřejné moci. V současnosti je v české teorii za orgán veřejné moci považován orgán, který reprezentuje veřejnou moc a je ze zákona oprávněn autoritativně rozhodovat o právech a povinnostech fyzických či právnických osob nebo jinak zasahovat do jejich právní sféry, a to buď přímo, zejména v případě orgánů moci výkonné nebo soudní, nebo zprostředkovaně, pokud jde o orgány moci zákonodárné.

U škol není pochyb o tom, že jsou oprávněny autoritativně rozhodovat o právech a povinnostech fyzických osob, např. rozhodnutí o přijetí, či nepřijetí ke studiu je ukázkovým příkladem autoritativního rozhodování. Nicméně školní družiny poskytují veřejné služby a o právech a povinnostech fyzických osob zpravidla nerozhodují, což by podporovalo názor, že pověřence mít nemusí. To samé platí o domech dětí a mládeže. Na druhou stranu Ministerstvo školství, mládeže a tělovýchovy vydalo (dostupné z: http://www.msmt.cz/dokumenty-3/metodicka-pomucka-k-aplikaci-obecneho-narizeni-o-ochrane), ve které říká, že všechny školy a školská zařízení, tedy i školní družiny, musí jmenovat pověřence pro ochranu osobních údajů. Od dozorového orgánu, kterým je Úřad pro ochranu osobních údajů, zatím žádné stanovisko nemáme.

Pokud si tyto organizace chtějí být jisté, že dodržují GDPR, pak doporučujeme pověřence jmenovat. Každá organizace, i ta, která pověřence mít nemusí, totiž může jmenovat pověřence dobrovolně. Pokud však školní družina nechce v současné době vydávat finanční prostředky na pověřence, jelikož tato funkce je samozřejmě placená, doporučujeme se obrátit s dotazem na Úřad pro ochranu osobních údajů, příp. vyčkat, zda se v nejbližších měsících Úřad pro ochranu osobních údajů k této problematice vyjádří.

V případě, že by Úřad pro ochranu osobních údajů došel k závěru, že i školní družiny, které tvoří společně s domem dětí a mládeže jednu příspěvkovou organizaci, pověřence mít musí, může ho více organizací "sdílet". Jinými slovy, jedna osoba může vykonávat funkci pověřence pro vícero příspěvkových organizací či kombinovat činnost pověřence pro školní družiny, školy a jiná zařízení. V praxi tak obecní pověřenec bude často též pověřencem pro obcí zřízené příspěvkové organizace. Na druhou stranu toto bude klást vyšší požadavky na pověřence, jelikož by se měl orientovat ve všech oblastech, v nichž činnost pověřence vykonává.

Pokud jste školní družina, která je součástí školy, není nutné v současnosti podnikat žádné další kroky ohledně pověřence, jelikož pověřenec vaší školy bude automaticky vaším pověřencem. Pokud jste však samostatnou právnickou osobou, resp. tvoříte jednu příspěvkovou organizaci s domem dětí a mládeže, pak jako první krok doporučujeme informovat se u svého zřizovatele, zda hodlá pověřence zajišťovat centrálně i pro vaši školní družinu. Pokud nikoliv, pak byste se jako ředitelé školních družin měli zamyslet, zda budete pověřence jmenovat teď "pro jistotu", nebo vyčkáte, jestli se situace do účinnosti GDPR nevyjasní.