2.1 Osobní údaj
Osobním údajem je každá informace o identifikované nebo identifikovatelné fyzické osobě.
Osobu lze identifikovat přímo nebo nepřímo, například podle:
- jména a příjmení,
- data narození,
- rodného čísla,
- adresy,
- fotografie,
- telefonního čísla,
- e-mailové adresy,
- IP adresy,
- identifikátoru zařízení,
- uživatelského účtu,
- lokalizačních údajů,
- kombinace údajů o třídě, věku, výsledcích a rodinné situaci.
Osobním údajem nemusí být jen údaj uvedený ve školní matrice. Může jím být také hlasový záznam, rukopis, přístupový log nebo údaj o tom, že konkrétní žák navštívil školního psychologa.
2.2 Identifikovaná a identifikovatelná osoba
Osoba je identifikovaná, pokud je její totožnost přímo zřejmá.
Příklad:
Jan Novák, narozený 12. dubna 2009, třída 2.B.
Osoba je identifikovatelná, jestliže lze její totožnost zjistit kombinací dostupných informací.
Příklad:
Jediný sedmnáctiletý žák školy, který se účastnil konkrétní zahraniční stáže.
Ani odstranění jména proto nemusí znamenat anonymizaci.
2.3 Pseudonymizace
Při pseudonymizaci jsou přímé identifikátory nahrazeny kódem.
Například:
- místo jména je použito číslo žáka,
- tabulka výsledků používá interní identifikátor,
- seznam identifikátorů a jmen je uložen odděleně.
Pseudonymizovaná data jsou nadále osobními údaji, pokud existuje možnost zpětného přiřazení.
2.4 Anonymizace
Anonymizace znamená nevratné odstranění možnosti identifikovat konkrétní osobu.
Skutečná anonymizace musí zohlednit:
- možnost přímé identifikace,
- možnost spojení s jinými databázemi,
- malé skupiny osob,
- kombinaci věku, oboru, třídy a dalších znaků,
- dostupné technické prostředky.
Výrok „odstranili jsme jméno, takže je to anonymní“ bývá často nesprávný.
2.5 Zpracování osobních údajů
Zpracováním je prakticky jakákoliv systematická operace s osobními údaji, například:
- získání,
- zapsání,
- uložení,
- třídění,
- vyhledání,
- zobrazení,
- předání,
- zveřejnění,
- změna,
- zálohování,
- omezení,
- výmaz,
- zničení.
Zpracováním je tedy i pouhé uchovávání údajů, jejich otevření v informačním systému nebo vytvoření zálohy.
Definice zpracování je uvedena v článku 4 odst. 2 GDPR. ÚOOÚ ji vykládá jako soubor operací prováděných s osobními údaji automatizovaně i neautomatizovaně.