Kam se obrátit kvůli zneužití osobních informací kroužkem?

Stručné shrnutí

• Organizátoři zájmových kroužků mohou požadovat osobní údaje rodičů, ale správce musí podle čl. 13 a 14 GDPR uvést právní důvod, účel a dobu uchovávání těchto údajů.
• Pokud kroužek čerpá státní dotace, poskytovatel dotace (obvykle příslušné ministerstvo) může požadovat doplňující identifikační nebo statistické údaje, které organizátor musí vykazovat.
• Před podáním stížnosti se doporučuje nejdříve kontaktovat vedoucího či zřizovatele kroužku a požadovat písemné vysvětlení, případně podat stížnost u Úřadu pro ochranu osobních údajů (UOOU, https://www.uoou.cz/poradna/ds-2611/p1=2611).

Nejčastější otázky

Q: Kam se mám obrátit, když kroužek požaduje údaje, které nepovažuji za relevantní?
A: Nejprve kontaktujte vedoucího nebo zřizovatele kroužku a žádejte písemné vysvětlení právního důvodu zpracování; pokud odpověď neuspokojí, lze podat stížnost na Úřad pro ochranu osobních údajů (UOOU) – viz https://www.uoou.cz/poradna/ds-2611/p1=2611.

Q: Kdy má organizátor právo požadovat datum narození rodiče?
A: Datum narození může organizátor požadovat jako další identifikátor zákonného zástupce nebo kvůli podmínkám poskytovatele dotace; správce musí ale podle čl. 13 a 14 GDPR vysvětlit právní důvod a účel zpracování.

Q: Co dělat, když je přihláška jako Google dokument a všechny položky jsou povinné?
A: Požádejte organizátora o zdůvodnění povinnosti polí a o alternativu (např. nahlédnutí místo kopie); odmítnout vyplnit lze, ale organizátor může v závislosti na pravidlech přijetí dítě nepřijmout.

Q: Mohou po mně chtít lékařskou zprávu k uvolnění z tělocviku?
A: V diskusi byla uvedena zkušenost, že místo předání kopie lékařské zprávy stačilo ukázat dokument k nahlédnutí; doporučený postup je požádat o vysvětlení, proč je kopie nezbytná, a nabídnout nahlédnutí.

Q: Kdo požaduje údaje, pokud kroužek čerpá dotace?
A: Poskytovatelem dotace bývá příslušné ministerstvo; organizátor musí splnit pravidla poskytovatele dotace včetně identifikace účastníků nebo statistických údajů.

Q: Může odmítnutí poskytnout údaje vést k nepřijetí dítěte na kroužek?
A: Ano, pokud jsou požadované údaje nezbytné pro plnění podmínek dotace nebo provozu kroužku, organizátor může odmítnutí považovat za důvod k nepřijetí; v jiných případech lze údaje nevyplnit bez postihu.

Závěry z diskuze

Shoda

• Většina příspěvků doporučuje nejprve kontaktovat vedoucího či zřizovatele kroužku a žádat vysvětlení právního důvodu zpracování osobních údajů.
• V diskusi je opakovaně zdůrazněno, že správce musí splňovat informační povinnost podle čl. 13 a 14 GDPR.
• Více příspěvků uvádí, že pokud organizátor čerpá dotace, poskytovatel (ministerstvo) může vyžadovat další údaje.

Sporné názory

• Někteří považují požadavek data narození rodiče za legitimní identifikátor a běžnou praxi; jiní považují požadavek za nadbytečný a narušující ochranu osobních údajů.
• Někteří radí situaci řešit formální stížností u Úřadu pro ochranu osobních údajů; jiní doporučují spíše pragmatické řešení (nevyplnit pole nebo kroužek odmítnout).

Otevřené otázky

• Na jakém konkrétním právním základě mohou organizátoři zájmových kroužků požadovat datum narození rodiče u neškolských subjektů?
• Které přesné položky (např. datum narození rodiče) vyžadují jednotliví poskytovatelé dotací a proč?
• Jak často organizátoři skutečně evidují právní základ a informační povinnost písemně pro rodiče?

Zmíněné značky a firmy

Úřad pro ochranu osobních údajů, CVČ, Kaufland, Google

Zmíněné produkty a metody

GDPR čl. 13 a 14, dotace (poskytované ministerstvy), Google dokument (online přihláška), lékařská zpráva k částečnému uvolnění z TV, identifikace zákonného zástupce, povinná pole v registračním formuláři

Místa a osoby

Úřad pro ochranu osobních údajů, CVČ, Kaufland, ministerstva, hygiena