Právní poradna: Praktické problémy spojené s GDPR

Běžně při příchodu do knihovny položí čtenář na pult čtenářský průkaz. Následně vrátí knihy a jde si najít nové dokumenty na vypůjčení. Průkaz mu je vrácen až při načtení těchto výpůjček. Je toto možné praktikovat i nadále?

Čtenářský průkaz obsahuje osobní údaje čtenáře – jméno čtenáře a číslo jeho průkazu a dle toho ho lze nezaměnitelně identifikovat. Jedná se tak o údaje, které jsou dle nařízení EU č. 2016/679 (GDPR) chráněny a musí s nimi být nakládáno v souladu s tímto nařízením. Dle tohoto nařízení je třeba dodržovat mj. základní zásadu nakládání s osobními údaji „shromažďovat je pouze pro určité účely a zpracovávání způsobem způsobujícím minimální rizika porušení osobních údajů“. Dle GDPR je knihovna povinna přijmout vhodná opatření k ochraně osobních údajů odpovídající míře rizika.

S ohledem na výše uvedené je nutné, aby knihovny minimalizovaly riziko, že se k osobním údajům, tj. čtenářskému průkazu čtenáře, dostane jiná osoba, než čtenář a zaměstnanec knihovny, který je oprávněn s průkazem nakládat při právních jednáních spojených s výpůjčkou (evidováním půjčovaných a vracených knih). Proto je nutné, aby čtenáři po předložení čtenářského průkazu a provedení nějaké úkonu s ním, např. vrácení výpůjček, byl průkaz vrácen tak, aby se minimalizovalo riziko, že se k průkazu a osobním údajům na něm dostane tzv. nepovolaná osoba. Takto se musí dít i v případě, že čtenář v knihovně nadále zůstává a jde si např. pro další knihy, které následně přinese k výpůjčnímu pultu a vypůjčí si je, k čemuž potřebuje zase předložit čtenářský průkaz. Čtenář ho musí opětovně předložit, nemůže ho nechat ležet např. na pultu. Může si ho však uschovat u toho zaměstnance, který je oprávněn evidovat výpůjčky a ten je povinen průkaz uložit do doby, než se čtenář vrátí s knihami na výpůjčku, na místě, kam se k průkazu nedostane nikdo jiný než tento konkrétní zaměstnanec.

Lze ověřit totožnost čtenáře předložením občanského průkazu?

Podle GDPR jsou knihovny oprávněny ověřovat osobní údaje u čtenářů dle občanského průkazu. Pokud je pracovník knihovny po čtenáři požaduje předložení občanského průkazu, je povinností toho konkrétního zaměstnance knihovny, který průkaz žádá, oznámit čtenáři důvod, proč ho požaduje, tj. že si jen ověří údaje. Dle GDPR má knihovna povinnost uchovávat údaje aktuální a přesné, takže má přímo povinnost si je ověřovat, tudíž 1 x ročně ověření dle občanského průkazu knihovna dělat může, nemůže ale žádat občanský průkaz při každé výpůjčce.

Jak je to se sdělováním osobních údajů ústně u pultu, např. sdělování historie výpůjček?

Pokud jsou sdělovány osobní údaje ústně u pultu, je to možné, ale je vhodné, aby se tak dělo v okamžiku, kdy nejsou přítomny jiné osoby, které by údaje mohly slyšet, a čtenář byl nejdříve dotázán, zda může dojít ke kontrole údajů ústně, a tento s tím vyslovil ústně souhlas.

Pokud knihovna pořádá výstavky výtvarných prací, může být na výkresu jméno dítěte?

V tomto případě jde o údaje, k jejichž zpracování je třeba souhlasu (nezletilý má nárok obecně dle právních předpisů na větší ochranu než zletilý), souhlas vydává zákonný zástupce, přičemž souhlas musí být dán ke každému účelu zpracování samostatně, nelze ho mít tzv. obecný. V případě, že se jedná o školní akci, musí být tento souhlas dán také vůči knihovně, nestačí, že ho má škola. V těchto případech je vhodné uvést u jména a příjmení i školu a třídu, aby bylo zřejmé, že údaje byly získány v rámci nějaké školní akce. Tento souhlas může být ze strany zákonného zástupce kdykoliv odvolán. A je to knihovna, kdo bude prokazovat, že souhlas byl dán, proto je nutné, aby knihovna měla dostatečné důkazy o tom, že souhlas získala.

Jak je to s fotografiemi z akcí na nástěnkách v budově knihovny, na nichž jsou děti?

Pokud jde o obecnou fotografii z akce, která zachycuje shluk osob neumožňujících identifikaci konkrétních osob a nejedná se tak o dokument, ze kterého by bylo možné identifikovat jednotlivé osoby, souhlas zákonného zástupce nezletilého není třeba.

Pokud jde ale o fotografii, ze které je možné identifikovat konkrétního nezletilého, jde v tomto případě o údaj, k jejichž zpracování je třeba souhlasu. Souhlas vydává zákonný zástupce, přičemž souhlas musí být dán ke každému účelu zpracování samostatně, nelze ho mít tzv. obecný. A v tomto případě nepostačí na viditelném místě před vstupem na akci umístit upozornění, že akce bude fotografována a k čemu budou fotky použity s tím, že pokud někdo i přes toto upozornění vstoupí, dává konkludentní souhlas s užitím fotek, protože u nezletilých za ně jedná zákonný zástupce a ten na akci není, takže fakticky nemá možnost konkludentní souhlas vstupem vyjádřit (u zletilých osob naopak postačí toto upozornění, protože mají možnost se akce nezúčastnit a tak vstupem na ni dávají konkludentní souhlas).

V případě, že se jedná o školní akci, musí být tento souhlas dán také vůči knihovně, nestačí, že ho má škola. V těchto případech je vhodné uvést u jména a příjmení i školu a třídu, aby bylo zřejmé, že údaje byly získány v rámci nějaké školní akce. Tento souhlas může být ze strany zákonného zástupce kdykoliv odvolán. A je to knihovna, kdo bude prokazovat, že souhlas byl dán, proto je nutné, aby knihovna měla dostatečné důkazy o tom, že souhlas získala.