Jak na ochranu osobních údajů na vzdělávací akci? Základní pravidla a užitečné tipy.

Vzdělávací akce obvykle nakládají s mnoha osobními údaji účastníků a také instruktorů. Jelikož je administrativa vzdělávacích akcí a související problematika ochrany osobních údajů částečně specifická od jiných skautských činností, přinášíme doporučení a užitečné tipy pro zpracování osobních údajů právě na vzdělávacích akcích.

Základní pravidla pro práci s osobními údaji jsou stejná, a tak v případě zpracování osobních údajů vzdělávacími akcemi doporučujeme používat obvyklé nástroje, které používají přímo skautské jednotky.

skautIS - informační systém

Jelikož je skautIS náš vlastní informační systém, který naše osobní údaje chrání dostatečným způsobem, lze jej doporučit jako primární místo pro uchovávání osobních údajů. Základní funkčnost i pro vzdělávací akce poskytuje již dlouho (např. kompletní vedení seznamu účastníků, instruktorů a týmu s potřebnými oprávněními. Navíc možnosti skautISu se dále rozšiřují. Díky tomu už nyní ve skautISu například můžete o účastnících zjistit případná zdravotní a další omezení (pokud je u své osoby uvádějí), jakož i doplňkové souhlasy se zpracováním osobních údajů (viz. dále). Jsme si vědomi, že každá vzdělávací akce v různé míře potřebuje vést evidenci účastníků. Zvažte však, zda je pro každý případ nutné si vést jejich další evidenci mimo skautIS nebo zda si právě jako většina akcí dostatečně vystačíte právě s evidencí ve skautISu (přehled účastníků toho umí dost).

Google disk

SkautIS nemusí zejména např. pro evidenci splněných úkolů na akci, různých stravovací omezení, přehled plateb či jiných speciálních situací zcela dostačovat. V těchto případech přichází potřeba vedení některých vybraných osobních údajů účastníků na dalších místech mimo skautIS ve formě různých souborů a zejména tabulek. Vřele doporučujeme pro tyto účely využít právě skautských Google disků, jelikož u nich máme jistotu, že veškerá data jsou správně zabezpečená, máme nad nimi kontrolu a jsou uložena v EU tak, jak požaduje směrnice GDPR. S využitím skautských Google disků a jakýchkoliv dalších úložišť se pojí několik dalších doporučení.

Velmi doporučujeme uchovávat mimo skautIS jen takové osobní údaje účastníků, které nemohou být uchovávány přímo ve skautISu, a vždy zvažte, zda je pro takovou evidenci opravdu rozumný důvod. Považujeme tak za zbytečné, abyste v těchto "tabulkách" opakovaně evidovali např. data narození účastníků, jejich rodná čísla a adresy, když tyto informace jsou už dostatečně evidovány ve skautISu a pro další agendu provozu akce obvykle nejsou potřebné. Chápeme však potřebu dále evidovat jméno, příjmení, přezdívku účastníka pro jeho identifikaci v agendě, kterou mimo skautIS řešíte - tedy obvykle s dalším osobním údajem (např. zda účastník zaplatil kurzovní poplatek nebo úspěšně napsal test).

Sdílení osobních údajů a Google konference

Dalším doporučením, které je jedním z obecných pravidel ochrany osobních údajů, je jejich sdílení pouze s osobami, které tyto údaje skutečně potřebují. Na kurzech probíhá častá obměna týmu v rámci ročníků a není v pořádku, pokud některý z instruktorů, který se už na daném ročníku akce nepodílí, má stále plný přístup k osobním údajům účastníků tohoto ročníku. Doporučujeme si pro tyto situace v týmu vytvořit jasná pravidla, pro jejich realizaci doporučujeme využít zejména Google konference. Pokud takovou konferenci uděláte pro každý ročník akce zvlášť, přidáte do ní pouze instruktory daného ročníku akce a zároveň konferenci přidáte přístup pouze do konkrétní složky tohoto ročníku, máte zabezpečeno, že k daným osobním údajům konkrétního ročníku mají přístup pouze ti instruktoři, kteří jsou členy právě této ročníkové Google konference.

Oddělení osobních údajů z různých ročníků

V rámci Google disku je také možné použít tzv. týmové disky. Avšak velmi doporučujeme je využívat tak, že pro každý ročník akce využijete samostatný týmový disk, aby bylo podle popisu výše možné vymezit jednotlivé instruktory, kteří mají mít přístup k danému ročníku. Týmové disky totiž tvoří uzavřený systém a není možné (až na jednotlivé soubory) u nich sdílet jejich podsložky různým jiným konkrétním lidem. Buď tedy lze mít jeden obyčejný Google disk vzdělávací akce, který se bude "rozpadat" na podsložky pro konkrétní ročníky, do kterých budou mít přístup za pomocí Google skupin uzavřená skupina instruktorů (až napřiklad na sdílení konkrétních jednotlivých složek a souborů pro externí instruktory, kteří se podílí pouze na některých programech) nebo lze vytvářet týmové disky pro každý ročník akce, ideálně opět za použití Google konference.

Je třeba si uvědomit, že pořadatelem vzdělávací akce je konkrétní organizační jednotka, která za akci odpovídá a to i v rovině ochrany osobních údajů. Proto by podle vaší domluvy měl mít statutární orgán přístup k takovým složkám, aby mohl ochranu osobních údajů garantovat. A podobně jako vzdělávací tým po skončení daného ročníku předává pořádající jednotce hospodaření akce se všemi potřebnými dokumenty k řádnému uchování a zpracování, měl by instruktorský tým pořadateli vhodně předat i uchovávané agendy s osobními údaji účastníků. To může být komplikované za situace, kdy vzdělávací akce mění během roků organizační jednotku, pod kterou svou akci pořádají. Opět lze velmi doporučit využití skautských Google disků, kdy nejlépe příslušné složky pro jednotlivé ročníky nebo týmové disky jednotlivých ročníků jsou vždy vlastněny pořadající jednotkou. To považujeme za nejméně rizikový a přitom z hlediska ochrany osobních údajů dostatečný způsob ochrany. Tento způsob sice klade vyšší požadavky na domluvu mezi pořadatelem a instruktory akce, avšak zřízení Google disku je ve skautISu umožněno každé organizační jednotce (a také oddílům) a vše je zdarma, takže se nejedná o technický nebo finanční problém. Zároveň by instruktorský tým, rsp. vedoucí akce, měl pořadateli předat také další papírovou dokumentaci, ve které figurují osobní údaje a kterou již nepotřebuje a přesto má být dále uchovávána. Typicky se tak děje po skončení a vyúčtování proběhlého ročníku akce.

Přihlašování účastníků

Pokud nepoužíváte přihlašování účastníků přes skautIS, doporučujeme k tomu opět používat Google formuláře vedených pod skautskými disky (opět nejlépe pořadatele akce). Do on-line přihlášek na VzA není třeba přidávat žádné další souhlasy a informace o zpracování osobních údajů - tyto jsou již dostatečně pokryty v přihláškách členů do organizace a pokud máte např. pochybnosti, zda daný účastník dal souhlas se zveřejněním fotek z akce na FB nebo nějakém úložišti, zkontrolujte si to přímo u jeho osoby ve skautISu v záložce "Členství a registrace". SkautIS neustále vylepšujeme a počítáme s doplněním některých souhrnných informací o účastnících přímo do tabulky účastníků vedených u vzdělávací akce, např. právě o informaci, zda dali doplňkové souhlasy se zpracováním osobních údajů. Pokud máte mezi účastníky někoho, kdo není členem organizace, doporučujeme pro zajištění ochrany osobních údajů použít přihlášku pro nečlena (jejíž vzor je zpracován a na Křižovatce zveřejněn). V případě, že je účastník dospělý, si tuto přihlášku můžete snadno upravit tak, aby tomuto odpovídala (odstranit zákonného zástupce apod.). Domníváme se však, že se jedná o situaci málo frekventovanou, proto toto řešení považujeme za dostatečné.

Komunikace s účastníky

Pro komunikaci s účastníky můžeme opět doporučit skautské Google konference, kdy neposíláte emailem hromadně adresy (tedy je nemusíte ručně přidávat a nevidí je všichni adresáti) a zaroveň máte jasný přehled, kdo je členem konference a kdo nikoliv. Pokud potřebujete účastníky kontaktovat po skončení akce, např. pro účely pokurzovních setkání apod., měli byste tak činit v přiměřené míře a promyšleně (v rámci přihlášky do organizace je již řádně vyřešeno i toto posílání informacích o akcích a činnosti v organizaci). Pokud jste se s účastníky přímo nedomluvli na neomezeném/konkrétním posílání informací, nemělo by toto kontaktování být nepřiměřeně časté a zejména obtěžující. Ve skautském prostředí tento požadavek může znít absurdně, avšak někteří účastníci minulých ročníků už po letech vůbec nemusí být členy organizace a vy byste tak měly zejména pro tyto případy zachovávat pravidla ochrany osobních údajů a neposílat jim nevyžádané informace.

Další doporučení a vylepšování

Nedoporučujeme vedení osobních údajů rozdrobovat do dalších nástrojů, pokud to vyloženě nepotřebujete. Kombinace skautISu a skautského Google disku (resp. konferencí a formulářů) by měla být dostatečná a poskytnout vám kompletní funkčnost potřebnou pro zajištění vzdělávací akce.

Jsme si vědomi, že praxe ochrany osobních údajů je na vzdělávacích akcích tak rozmanitá, jako vzdělávací akce samotné. Výše uvedené informace jsou však doporučením, které z našeho ohledu zajišťuje naplnění podmínek ochrany osobních údajů a zároveň se snaží zachovat takový komfort a jednoduchost administrativy, jaký je jen aktuálně možný. Očekáváme však, že možnosti skautISu a Google služeb dále porostou a tedy dojde k dalšímu zefektivnění této agendy.

Více se o dané problematice můžete dozvědět mimo jiné na Ústřední lesní škole 23.-25. listopadu 2018 na Kaprálově Mlýně u Brna. Počítáme s diskuzí na toto téma a zajímají nás názory a praxe vzdělavatelů. Na setkání budou vzdělavatelům představeny další vylepšení skautISu (v oblasti kompletních on-line přihlášek apod.) a i nadále budeme vhodným způsobem celou agendu vylepšovat.

V případě dotazů můžete psát na registrace@skaut.cz.

Jan Novák
koordinátor oblasti organizace