Přihláška ke stravování ve školní jídelně a souhlasy se zpracováním osobních údajů

S účinností od 25. 5. 2018 platí Nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně
fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen
„Nařízení“) takzvané „GDPR“. Jak má vypadat přihláška ke stravování ve školní jídelně, aby byla
v souladu s nařízením? Potřebuje ŠJ na přihlášce uvádět souhlas se zpracováním osobních údajů od
strávníka?

Podle čl. 6 nařízení GDPR může jakákoliv organizace zpracovávat osobní údaje, pokud:

a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních
účelů;
b) zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro
provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů;
c) zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje;
d) zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické
osoby;
e) zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu
veřejné moci, kterým je pověřen správce;
f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě
případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů
vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.

Každá školní jídelna, která je dle školského zákona zapsána v rejstříku škol, vede dle § 28 odstavec 1 a
3 školského zákona tzv. školní matriku. Možnost evidence osobních údajů, které školský zákon pro
školní matriku vymezuje v § 3, je tak zákonným důvodem zpracování na základě splnění právní
povinnosti dle bodu c) článku 6 GDPR. Z toho důvodu nemusí školní jídelna pro zpracování osobních
údajů vymezených v § 3 školského zákona žádat o souhlas se zpracováním.

Mezi diskutované problémy, které souvisí s evidencí osobních údajů ve školních jídelnách, patří
zejména

• evidence bankovního účtu zákonného zástupce,
• evidence osobních emailů, které školní jídelna používá k informování strávníka nebo jeho zákonného zástupce o provedených přihláškách a k zaslání vyúčtování,
• evidence dietního omezení pro účely přípravy dietní stravy (zdravotní stav strávníka)

Evidence bankovního účtu a osobních emailů

Přihláška ke stravování zavazuje školní jídelnu strávníkovi poskytnout stravovací službu a strávník se
zavazuje za službu hradit stanovený poplatek. Jde tedy o smlouvu mezi jídelnou a strávníkem. Proto
lze pro tento případ uplatnit bod b) článku 6 GDPR, podle kterého může organizace zpracovávat osobní
údaje nezbytné pro plnění smlouvy. Takže i z tohoto důvodu nemusí školní jídelna žádat o souhlas se
zpracováním těch údajů, které potřebuje ke splnění smlouvy o školním stravování.

Evidence zdravotního stavu pro účely dietního stravování

Právní úprava evidence osobního údaje o zdravotním stavu je opět upravena školským zákonem v § 28
odst. 3 písm. c), podle kterého „školní matrika školského zařízení podle povahy jeho činnosti obsahuje
údaje o zdravotní způsobilosti, popřípadě o zdravotních obtížích, které by mohly mít vliv na poskytování
školské služby nebo vzdělávání“. Zároveň problematiku poskytování dietního stravování řeší vyhláška
č. 107/2005 Sb., o školním stravování v §2 odst. 4: „Strávníkům, jejichž zdravotní stav podle potvrzení
registrujícího poskytovatele zdravotních služeb v oboru praktické lékařství pro děti a dorost vyžaduje
stravovat se s omezeními podle dietního režimu, může provozovatel stravovacích služeb poskytovat
školní stravování v dietním režimu, a to v případě zařízení školního stravování za podmínek stanovených
jeho vnitřním řádem a v případě jiné osoby poskytující stravovací služby v souladu s ujednáním o
zajištění školního stravování.“ Jak z výše uvedené legislativy vyplývá, tak zpracování osobního údaje o
zdravotním stavu strávníka je taktéž plněním zákonné povinnosti podle čl. 6 písm. c) nařízení GDPR
a školní jídelna nepotřebuje pro jeho zpracování souhlasy od strávníka.

Zároveň je však třeba upozornit na to, že školní jídelna si musí vždy dát pozor na to, aby skutečně
zpracovávala pouze ty osobní údaje, které pro splnění smluvních nebo právních povinností opravdu
potřebuje. V opačném případě, kdy by zpracovávala osobní údaje nad rámec těchto důvodů, by souhlas
ke zpracování údajů od strávníka potřebovala.

Informační povinnost na přihlášce

Vzhledem k výše uvedeným skutečnostem, by tak již ve většině případů nemělo být na přihláškách ke
stravování uvedeno např. „strávník souhlasí se zpracování osobních údajů podle zákona č. 101/2000
Sb. atd.“ neboť tento zákon zanikne vydáním adaptačního zákona k nařízení GDPR. Zároveň platí, že
strávník souhlas nevydává (a školní jídelna jej nepotřebuje). Pokud by jej vydal, byť takto nadbytečně,
má právo jej odvolat a školní jídelna by se tak dostala do zbytečného vysvětlování, proč nemůže
odvolání jeho souhlasu vyhovět. Informační povinnost splní školní jídelna například tímto vhodnějším
textem: „Dále beru na vědomí, že výše uvedené údaje mohou být použity do matriky ŠJ a dále
předávány dle vyhlášky č. 364/2005, o dokumentaci škol a školských zařízení, a že školní jídelna
zpracovává osobní údaje v souladu s Nařízením o ochraně osobních údajů (EU) 2016/679 (GDPR).“

Dotazy týkající se GDPR v oblasti hromadného a školního stravování můžete zdarma položit
odborníkům pomocí aplikace na stránkách www.gdprexperti.cz. Zde také naleznete celou řadu
vzorových dokumentů, komentovaných zákonů a organizačních směrnic, které přináší komplexní
řešení GDPR pro všechny školské organizace i organizace malého a středního podnikání.