Prosinec je měsícem besídek, mikulášských nadílek, jarmarků a rozsvěcení vánočního stromu. Je to také měsíc, kdy školy a obce zveřejní nejvíc fotek dětí za celý rok. Většinou bez problému, občas s nepříjemným telefonátem od rodiče, který si fotku svého dítěte našel na Facebooku. Ukážeme, která pravidla platí pro web, která pro sociální sítě a co si připravit ještě před první besídkou.
Dva různé zákony, dvě různé otázky
Většina nejasností vzniká tím, že se všechno nazývá „GDPR“. U fotografií ale působí dva předpisy a každý řeší něco jiného.
Občanský zákoník (zákon č. 89/2012 Sb.) chrání podobu člověka. Podle § 84 lze podobu zachytit tak, aby byl člověk rozpoznatelný, jen s jeho svolením. Podle § 85 platí totéž pro rozšiřování, tedy i pro zveřejnění na webu nebo v obecním zpravodaji. U dětí dává svolení zákonný zástupce.
Zákon zároveň zná výjimky. Svolení podle § 89 není třeba, pokud se záznam použije přiměřeným způsobem mimo jiné pro „tiskové, rozhlasové, televizní nebo obdobné zpravodajství“. Podle § 90 ale ani tato výjimka nesmí být využita nepřiměřeným způsobem v rozporu s oprávněnými zájmy člověka.
GDPR (nařízení (EU) 2016/679) nastupuje tam, kde organizace s fotkami pracuje systematicky: přiřazuje je ke jménům, třídám, evidencím nebo je zveřejňuje v prostředí, které umožňuje sledování a profilování osob.
Pro školu a obec z toho plyne praktická otázka: nejde o to, jestli fotit, ale kde fotku zveřejníte a co k ní připojíte.
Co k tomu říká ÚOOÚ
Úřad pro ochranu osobních údajů se k fotkám ze školních akcí vyjádřil ve svých otázkách a odpovědích pro školství. Shrnutí jeho výkladu:
- Reportážní fotky z činnosti školy (situační záběry z vyučování, soutěží, dílen, veřejných vystoupení) nejsou podle ÚOOÚ primárně otázkou ochrany osobních údajů, ale ochrany soukromí podle § 84 a násl. občanského zákoníku. Souhlas se zpracováním osobních údajů k nim tedy škola vyžadovat nemusí. Svolení zákonných zástupců podle § 85 občanského zákoníku ale ÚOOÚ doporučuje, zejména u detailních záběrů zveřejňovaných na internetu.
- Krátký doprovodný text se jménem („Vojtěch z 8. C získal druhé místo na chemické olympiádě“) je v pořádku, pokud je fotka zveřejněna v souladu s občanským zákoníkem a údaje jsou v přiměřeném rozsahu.
- Fotky spojené s dalšími strukturovanými údaji jednotlivých žáků, typicky ze školní matriky, vyžadují souhlas zákonných zástupců podle GDPR.
- Sociální sítě jsou samostatná kategorie. Pokud škola chce fotky dětí zveřejňovat na sítích, které umožňují sledování osob a profilování, musí podle ÚOOÚ získat souhlas zákonných zástupců podle GDPR a informovat je o rizicích dalšího zpracování na těchto sítích.
- Žádosti o úpravu nebo stažení fotky musí škola vždy řešit a posoudit důvody, proč konkrétní fotka rodiči vadí.
V odpovědích pro veřejnost ÚOOÚ k fotkám z dětských akcí doplňuje dvě věci. Pokud pořadatel zveřejní na svém webu fotky, na kterých jsou účastníci rozpoznatelní, musí od nich mít svolení podle občanského zákoníku, pokud nelze použít zákonnou výjimku. A ke zveřejnění by mělo docházet na webu pořadatele, ne na sociálních sítích, kde je vyšší riziko dalšího zpracování jinými subjekty.
Výklad tedy není úplně jednoznačný: u reportážních fotek na vlastním webu ÚOOÚ svolení „doporučuje“, u akcí obecně říká, že ho pořadatel „musí mít“. Pro školu a obec je proto bezpečnější vycházet z přísnějšího čtení: na rozpoznatelné fotky dětí mějte svolení rodičů a na sociální sítě souhlas podle GDPR.
Tři situace, které se v prosinci opakují
Besídka ve třídě nebo v tělocvičně
Učitelka fotí celou třídu na pódiu, pak pár detailů jednotlivých dětí. Celkové záběry z vystoupení na školním webu s krátkým textem „Druháci zazpívali koledy“ jsou typickým příkladem reportážní fotografie. Detail obličeje konkrétního dítěte s celým jménem už je jiná situace: tady ÚOOÚ svolení výslovně doporučuje.
Prakticky: vyberte na web spíš celkové záběry a detaily jen u dětí, jejichž rodiče svolení dali.
Facebook nebo Instagram školy či obce
Tady je odpověď jasnější. Pro zveřejnění fotek dětí na sociálních sítích potřebujete souhlas podle GDPR, ne jen obecné svolení s fotografováním. Souhlas musí být konkrétní a rodiče musí vědět, kam fotky půjdou. Podle čl. 7 odst. 3 GDPR jej mohou kdykoli odvolat a odvolání musí být stejně snadné jako udělení.
Pokud souhlas od některých rodičů nemáte, máte dvě možnosti: děti na fotce nebudou rozpoznatelné (záběr zezadu, z dálky, rozmazání), nebo fotka na sociální síť nepůjde vůbec.
Akce obce: Mikuláš, rozsvěcení stromu, vítání občánků
Obec je v roli pořadatele ve stejné pozici jako škola. Fotky z rozsvěcení stromu na náměstí, kde jsou lidé v davu, odpovídají běžnému informování o životě obce. Detail dětí u Mikuláše na obecním Facebooku už potřebuje stejný postup jako u školy.
Zvláštní pozornost si zaslouží vítání občánků. Obec v pozvánce i ve zpravodaji často pracuje se jménem dítěte, datem narození a adresou, tedy s údaji z evidence obyvatel. Fotka miminka se jménem a datem narození v obecním zpravodaji nebo na webu je přesně případ „fotky spojené se strukturovanými údaji“. Bez souhlasu rodičů ji nezveřejňujte a souhlas si vyžádejte už s pozvánkou.
A co rodiče s mobily?
Rodič, který si natáčí vystoupení vlastního dítěte pro rodinu, je mimo GDPR: nařízení se podle čl. 2 odst. 2 písm. c) nevztahuje na zpracování osobních údajů fyzickou osobou pro čistě osobní nebo domácí činnosti. Na zveřejnění videa, kde jsou rozpoznatelné cizí děti, ale stále dopadá občanský zákoník. Odpovědnost za takové zveřejnění nese rodič, ne škola.
Škola tomu nemůže úplně zabránit, může ale nastavit pravidla:
- na začátku besídky krátce požádat rodiče, aby videa s cizími dětmi nesdíleli veřejně,
- totéž uvést ve školním řádu nebo v informaci pro rodiče,
- tam, kde je ve třídě dítě, jehož rodiče fotografování odmítli, upozornit vyučující a domluvit se, jak s tím na akci naložit.
Jedno svolení na celý rok, rozdělené podle kanálů
Nejčastější chybu vidíme u formulářů: jedna věta „Souhlasím s fotografováním svého dítěte“ podepsaná při zápisu. Takové svolení neříká, kam fotky půjdou, a pro sociální sítě nestačí. O tomto typu chyb jsme psali i v článku Nejčastější chyby při zavádění GDPR a jak se jim vyhnout.
Funkční formulář má samostatné zaškrtávací políčko pro každý kanál:
- interní dokumentace a kronika školy,
- nástěnky v budově,
- web školy nebo obce,
- tištěný zpravodaj nebo výroční zpráva,
- sociální sítě (zde s krátkou informací o rizicích, jak požaduje ÚOOÚ),
- uvádění jména u fotky.
Rodič, který zaškrtne web a nezaškrtne Facebook, dává jasný pokyn. Vy pak víte, kterou fotku smíte kam dát. Svolení je navíc odvolatelné: podle § 87 občanského zákoníku i podle GDPR. Evidenci proto nestačí založit, je potřeba ji udržovat aktuální, aby ji učitelka nebo pracovnice úřadu měla po ruce ve chvíli, kdy fotky vybírá.
Když se rodič ozve
Rodič zavolá, že jeho dítě je na fotce na Facebooku a on s tím nesouhlasil. Postup by měl být jednoduchý:
- Fotku stáhněte nebo upravte hned, ještě než začnete situaci posuzovat. Ztráta jedné fotky z galerie nic nestojí.
- Ověřte v evidenci, jaké svolení nebo souhlas rodič dal.
- Pokud souhlas chyběl, zjistěte, jak k tomu došlo, a upravte postup. Typicky nikdo nevěděl, které děti mají „ne“.
- Rodiči odpovězte písemně, co jste udělali.
Většina takových situací se vyřeší do jednoho dne. Pokud se ale fotka dítěte dostala ven spolu s dalšími údaji (třeba seznam třídy s fotografiemi omylem sdílený veřejně), může jít o porušení zabezpečení osobních údajů. Jak v takovém případě postupovat, popisujeme v článku Napadený e-mail učitelky nebo úřednice? Co musí škola nebo obec udělat během prvních 72 hodin.
Kdo za to odpovídá
Za zveřejnění odpovídá škola nebo obec jako správce, v praxi ředitel nebo starosta. Fotky ale vybírá a nahrává učitelka, asistentka nebo administrativní pracovnice. Pověřenec pro ochranu osobních údajů by měl mít formulář svolení zkontrolovaný a měl by vědět, kde je evidence. Pokud pověřence máte jen na papíře, je to jeden z prvních bodů, kde se to ukáže. Podrobněji o tom v článku „Pověřence máme, jen o něm nikdo neví.“
Fotky ze školních akcí jsou mimochodem jiný režim než kamerový systém. Kamery snímají systematicky a jejich dokumentace má vlastní pravidla, viz „Máme jen dvě kamery u vchodu.“ I ty potřebují vlastní složku dokumentů.
Checklist před první prosincovou akcí
- Máme formulář svolení rozdělený podle kanálů (web, zpravodaj, sociální sítě, jméno u fotky)?
- Máme ho podepsaný od rodičů dětí, které na akci budou?
- Ví ten, kdo bude fotit a nahrávat, které děti mají u sociálních sítí „ne“?
- Na Facebook a Instagram jdou rozpoznatelné děti jen se souhlasem podle GDPR?
- Na web volíme hlavně celkové záběry, detaily jen se svolením?
- U fotek nejsou údaje navíc (datum narození, adresa, celé jméno, kde není potřeba)?
- U vítání občánků máme souhlas rodičů se zveřejněním jména a fotky?
- Rodiče na akci slyší krátkou prosbu, aby veřejně nesdíleli videa s cizími dětmi?
- Víme, kdo vyřídí žádost o stažení fotky a do kdy?
Pokud na většinu otázek odpovíte „ano“, prosinec zvládnete bez telefonátů od rodičů.
Jak to máme v platformě
V naší platformě VPoint má škola i obec vzor formuláře souhlasu jasně rozdělený podle kanálů a přehled, kdo co podepsal, na jednom místě. Pověřenec formulář zkontroluje a odpoví, když si nebudete jistí konkrétní fotkou. Pokud chcete vidět, jak to vypadá, domluvte si krátkou ukázku.
