Pracují školy s osobními údaji správně?

V důsledku postupující elektronizace se objevují nové povinnosti škol týkající se práce s osobními údaji a doručování, které navazují na již dříve uložené – a v řadě případů ne zcela realizované.

Řada škol například stále zpracovává jen údaje, které získá od zákonných zástupců či zletilých žáků a studentů.

Na začátku školního roku škola (školské zařízení) často rozhoduje svým ředitelem ve správním řízení na základě ustanovení § 164 odst. 1 písm. a) školského zákona. Toto ustanovení se vztahuje jak na školy veřejné, tak na školy neveřejné.

Řada škol například stále zpracovává jen údaje, které získá od zákonných zástupců či zletilých žáků a studentů. Při výkonu svých agend je však škola povinna primárně pracovat jako Orgán veřejné moci dále jen „OVM“) primárně s tzv. referenčními údaji, obsaženými v tzv. základních registrech. Tato povinnost je založena v pátém paragrafu zák. č. 111/2009 Sb. Zákon zde výslovně uvádí, že OVM využívá údaje vedené v základním registru nebo agendovém informačním systému v rozsahu potřebném k provedení úkonu orgánu veřejné moci a v rámci výčtu údajů zpřístupněných orgánu veřejné moci pro výkon agendy, v jejímž rámci je úkon orgánu veřejné moci prováděný a pro jejíž výkon je orgán veřejné moci registrovaný.

Od osob, po kterých je jiným právním předpisem požadováno doložení údajů vedených v základním registru nebo agendovém informačním systému, je proto OVM oprávněn požadovat poskytnutí takových údajů pouze, pokud:

• nejsou obsaženy ve výčtu údajů zpřístupněných orgánu veřejné moci pro výkon agendy,
• jsou označeny jako nesprávné,
• vznikne oprávněná pochybnost o správnosti údaje.

Srovnáme-li rozsah osobních údajů, které je škola povinna vést ve své matrice dle § 28 zák. č. 561/2004 s výčtem v § 18 zák. č. 111/2009 Sb. zjistíme, že fakticky veškeré údaje o totožnosti žáků a jejich zákonných zástupců jsou referenčními údaji. Jedinou výjimkou je tzv. „doručovací adresa“ pro konkrétní řízení, které může účastník řízení uvést správnímu orgánu dle § 19, odst. 4) zák. č. 500/2004 Sb., správní řád.

Fakticky by tak měla škola údaje získané z podaných přihlášek a dalších formulářů ověřovat vůči referenčním údajům vedeným v tzv. Informačním systému základních registrů (dále jen „ISZR“) již několik let. Běžně používané školní IS však touto funkčností dodnes nedisponují, takže fakticky jediným nástrojem, které mohou školy k přístupu do ISZR využít, je elektronická spisová služba.

Mimochodem, i v její právní úpravě najdeme povinnost ověřovat platnost osobních údajů, evidovaných v tzv. jmenném rejstříku. Veřejnoprávní původce je povinen ověřovat přesnost údajů vedených ve jmenném rejstříku o odesílatelích a adresátech dokumentů evidovaných v evidenčních pomůckách, popřípadě tyto údaje doplňovat ze zdrojů souvisejících s plněním úkolů v jeho působnosti – tedy mimo jiné i z ISZR.

A tím se konečně dostáváme k souhrnu postupů, které by měli zaměstnanci školy, připravující dokumenty správních řízení, respektovat.

Osobní údaje fyzických osob, převzaté z doručených dokumentů, by vždy měly být před zápisem do jmenného rejstříku spisové služby či školní matriky ověřeny vůči ISZR. Týká se to osobních údajů žáků, studentů i zákonných zástupců, případně dalších účastníků řízení.

Nejpozději před vyhotovením finální podoby písemnosti, kterou bude škola ve správním řízení doručovat, by mělo být ověřeno, zda adresát není vlastníkem datové schránky. I pro školu totiž platí následující povinnost, uložená v § 17 zákona č. 300/2008 Sb.: „
Umožňuje-li to povaha dokumentu a má-li fyzická osoba, podnikající fyzická osoba nebo právnická osoba zpřístupněnu svou datovou schránku, orgán veřejné moci doručuje dokument této osobě prostřednictvím datové schránky, pokud se nedoručuje veřejnou vyhláškou nebo na místě. Doručuje-li se způsobem podle tohoto zákona, ustanovení jiných právních předpisů upravující způsob doručení se nepoužijí.“ Fakticky je tak škola povinna vydat rozhodnutí v elektronické podobě, tedy ve výstupním souborovém formátu pro textové dokumenty a opatřené otiskem kvalifikovaného podpisového certifikátu s kvalifikovaným časovým razítkem i v případě, že vede spisovou službu v listinné podobě.

V této souvislosti si dovoluji upozornit na jeden obecně rozšířený omyl. Ověřit existenci datové schránky dotazem do veřejně dostupného seznamu nestačí. Seznam totiž neobsahuje data o schránkách fyzických osob, které požádaly o vymazání z tohoto seznamu ve smyslu § 14b odst. 4 zákona č. 300/2008 Sb., o elektronických úkonech a autorizované konverzi dokumentů. I v tomto případě je tak jediným spolehlivým zdrojem dat ISZR. I z tohoto krátkého přehledu je zřejmé, že povinností, předepsaných právními normami pro počínání OVM při jeho činnosti je celá řada. Jakákoli vada při vedení řízení by přitom mohla být důvodem pro stížnost na nesprávný úřední postup. A obdobných povinností bude s nástupem digitalizace v nadcházejících měsících výrazně přibývat. S ohledem na skutečnost, že kvalitní elektronická spisová služba dokáže všechna výše uvedená rizika ošetřit, doporučuji soustředit se při výběru na spisové služby, vybavené jak rozhraním na ISZR a další datové zdroje, ale i schopné integrace na školní informační systémy.

Autor článku:
Mgr. Vít Cvrček - autor je metodik s dvacetiletou praxí ve veřejné správě, kde mimo jiné z pozice zástupce ředitele odboru ICT řídil vývoj informačních systémů na dvou ministerstvech, která zastupoval i v pracovních skupinách Rady vlády pro informační společnost a konkurenceschopnost. Od roku 2008 působí v pracovních skupinách Hospodářské komory ČR a ICT Unie se zaměřením na legislativu eGovernmentu, agendové informační systémy a elektronickou správu dokumentů.