GDPR a jazykové školy: Jaké změny nás čekají?

Obávané GDPR, nová legislativa EU, která zpřísňuje ochranu osobních údajů, vstoupí v platnost již 25. května. Na změny se chystají také jazykové školy, pro které GDPR znamená celou řadu změn. Podívejte se na shrnutí hlavních témat otázek, které se kolem GDPR a jazykových škol točí.

O GDPR (General Data Protection Regulation), přísnější ochraně osobních údajů se mluví už poměrně dlouhou dobu. Nová opatření musí řešit i jazykové školy, které pracují s celou řadou osobních dat studentů, lektorů a zaměstnanců. Jaká data mohou školy evidovat?

Podle směrnice GDPR existuje těchto 6 legitimních důvodů pro evidenci dat:

- splnění právní povinnosti
- plnění smlouvy
- oprávněný zájem subjektu
- souhlas se zpracováním údajů
- ochrana životně důležitých zájmů subjektu (jazykové školy)
- nezbytnost údajů pro splnění úkolu prováděného ve veřejném zájmu

U studentů, kteří ve škole aktuálně studují, v rámci plnění dohodnutých podmínek smlouvy musí škola zaevidovat jméno a kontaktní údaje pro komunikaci s klientem v průběhu výuky. Potřebuje znát a evidovat jazykovou úroveň studenta, výsledky testování, informace o docházce, nikoliv však například rodinný stav či politické preference, které jsou pro výuku nepodstatné.

Jak je to s bývalými studenty?

Po ukončení smluvního vztahu škola v zásadě nemá právo údaje o studentech evidovat a pro další archivování si musí vyžádat samostatný souhlas se zpracováním údajů (ne jako součást přihlášky či smlouvy) a studentovi vysvětlit, k čemu se zavazuje a jak souhlas v budoucnu odvolat.

Evidence je možná i v případě, že souvisí s bodem splnění právní povinnosti, kde je typickým příkladem fakturace, nebo také pomaturitní studium, kde má škola povinnost údaje uchovávat po 10 let.

Ochrana zájmů školy

Osobní údaje klientů může škola uchovávat z důvodu oprávněného zájmu školy, pod který spadá ochrana zájmů jazykové školy. Tyto údaje potom slouží jako důkazní materiál, který škola potřebuje pro případ reklamace služeb, případně žalob.

Klient musí reklamovat služby neprodleně po zjištění předmětu reklamace, nicméně tuto lhůtu nelze přesně stanovit, a proto si škola musí určit přesný postup, který při následné kontrole obhájí. U případných soudních sporů škola může oprávněný zájem zdůvodnit tříletou promlčecí lhůtou, která je dána zákonem.

Jaké údaje je možné evidovat o lektorech?

Jelikož pro spolupráci potřebujete kontaktní údaje, jako je e-mail, telefon či adresa, jejich uchování je legitimní uzavřením smluvního vztahu. U lektorů ale zaměstnavatel potřebuje znát jejich odbornost, úroveň vzdělání a certifikace, nicméně uchovávat jejich CV nebo kopie dokladů o vzdělání není oprávněné. Po ukončení přijímacího řízení je vhodné je vrátit nebo skartovat. Škola může evidovat také přístupové údaje do školního systému, protože jsou pro plnění smlouvy důležité.

U budoucích i bývalých lektorů škola může uchovávat kontaktní údaje, protože existuje možnost, že bude s lektory nadále spolupracovat. Životopisy a doklady o dosaženém vzdělání přípustné nejsou. Pro archivování těchto a dalších údajů si opět musí vyžádat samostatný souhlas se zpracováním údajů.

Každé škole se vyplatí vytvořit si seznam údajů o veškerých klientech, lektorech a zaměstnancích a u každého z nich zdůvodnit, za jakým legitimním účelem jsou data evidována – dokument je nezbytný pro případ kontroly.

Fakturační a kontaktní údaje studentů

U současných studentů může škola evidovat jméno, kontaktní a fakturační údaje, datum narození, jazykovou úroveň a výsledky vstupních testů, protože se jedná o údaje nezbytné k naplnění smluvního vztahu. Datum narození je pro školu oprávněným zájmem, jelikož má povinnost určit, zda je student starší 16 let – pokud ne, k podpisu Souhlasu se zpracováním osobních údajů potřebuje souhlas zákonného zástupce.

U zaměstnanců je vztah odlišný

U zaměstnanců se Souhlas se zpracováním osobních údajů s výjimkou pořizování fotografií na web a další propagaci, nepoužívá. Vztah zaměstnance a zaměstnavatele je odlišný, není rovnoprávný. Podrobně se této problematice věnuje dokument WP 249. I zde však škola bez relevantního důvodu nemůže evidovat životopis a kopii osobních dokladů po skončení přijímacího řízení.

Obchodní sdělení musí být označené

Škola může zasílat studentům, kteří na škole studují, informace o aktuální nabídce kurzů, ale vždy s viditelným označením, že se jedná o obchodní sdělení a s možností se z něj odhlásit. Pořizování videí i fotografií k propagačním účelům je podmíněné souhlasem se zpracováním osobních údajů. Výjimku tvoří videozáznamy, které si lektor tvoří pro sebe jako prostředek kontroly a po vhodné době je smaže. Vhodné je však tuto variantu zapsat do obchodních podmínek a zajistit si tak i legitimní základ.

Dokument o zpracování osobních údajů v souladu s GDPR škola vyvěsí na webové stránky i fyzicky do prostor školy. V tomto dokumentu nesmí chybět informace o tom, jak a s jakými daty škola pracuje. Součásti GDPR je také revize smluv s externími firmami, jako jsou poskytovatelé účetních systémů či marketingové agentury.

MyCat je na GDPR připraven

Na GDPR musí být připravený i informační systém, který daná škola používá. A to tak, aby poskytoval bezpečné uložiště pro citlivé údaje, jako jsou např. výsledky zkoušek, docházka studentů nebo slovní hodnocení a aby byl zabezpečený proti napadení. Nutné jsou i funkce pro anonymizaci osobních údajů, či automatické hlídání uplynutí doby pro oprávněné evidování údajů. Systém MyCat, který je nejrozšířenější systém pro jazykové školy v ČR, je na GDPR připraven. Kromě toho obsahuje celou řadu dalších funkcí, které celkově zjednodušují administrativu jazykovým školám.