4.1 Správce
Správce určuje:
- proč se osobní údaje zpracovávají,
- jakými základními prostředky se zpracovávají.
Ve školním prostředí je správcem zpravidla škola jako právnická osoba, nikoliv jednotlivý učitel, ředitel nebo správce sítě.
Ředitel a zaměstnanci jednají jménem školy.
4.2 Zpracovatel
Zpracovatel zpracovává osobní údaje pro správce podle jeho pokynů.
Může jím být například:
- provozovatel školního informačního systému,
- poskytovatel cloudového úložiště,
- externí účetní firma,
- dodavatel stravovacího systému,
- poskytovatel hostingu,
- externí správce IT,
- dodavatel kamerového systému s přístupem k záznamům.
Ne každý dodavatel je zpracovatelem. Rozhoduje skutečná činnost, nikoliv název smlouvy.
4.3 Smlouva se zpracovatelem
Pokud dodavatel zpracovává osobní údaje pro školu, musí být vztah upraven podle článku 28 GDPR.
Smlouva má stanovit zejména:
- předmět a dobu zpracování,
- povahu a účel zpracování,
- kategorie údajů,
- kategorie subjektů údajů,
- povinnost mlčenlivosti,
- bezpečnostní opatření,
- pravidla pro další zpracovatele,
- pomoc při vyřizování práv subjektů údajů,
- postup při bezpečnostním incidentu,
- vrácení nebo vymazání údajů po skončení služby,
- možnost auditu.
Nestačí, že dodavatel na webu napíše „jsme GDPR compliant“.
4.4 Společní správci
Dvě organizace mohou společně určovat účely a prostředky zpracování.
Příkladem může být společný projekt několika škol, pokud společně rozhodují:
- jaké údaje se budou získávat,
- za jakým účelem,
- kdo je bude používat,
- jak budou zveřejněny.
V takovém případě je nutné vymezit odpovědnost společných správců podle článku 26 GDPR.