Na základě kontrolního plánu pro rok 2018 provedl Úřad kontrolu, jejímž předmětem bylo zpracování osobních údajů v souvislosti s poskytováním služeb tzv. Smart cities, a to ve věci poskytovatele služby „Kolínská chytrá klíčenka" (dále také „Klíčenka“).
Kontrolující zjistili, že kontrolovaná osoba zpracovává osobní údaje žáků a jiných osob v souvislosti s používáním bezkontaktní čipové karty Kolínská chytrá klíčenka jako identifikátor do školní jídelny a identifikátor ke vstupu do kolárny. Od září 2017 získali Klíčenku všichni žáci s tím, že všichni její uživatelé (resp. rodiče nebo zákonní zástupci) vyslovili souhlas s užíváním služeb, které Klíčenka umožňuje, pokud si ji aktivovali pro využití nabízených služeb. Samotná Klíčenka nemá dle tvrzení kontrolované osoby a jejího zřizovatele města Kolín v souvislosti s uzavřenou smlouvou s dodavatelem Klíčenky umožňovat propojení poskytovaných služeb, a to ani v rámci dalších služeb, které lze ke Klíčence zřídit u jiných poskytovatelů.
V souvislosti s vedením seznamu žáků kontrolovanou osobou při využívání Klíčenky ve školní jídelně kontrolující zjistili porušení nařízení (EU) 2016/679, spočívající v tom, že do seznamu uživatelů byli zahrnuti i žáci, kteří Klíčenku jako identifikátor do školní jídelny nevyužívají. Pro toto zpracování osobních údajů žáků nestravujících se ve školní jídelně nesvědčil kontrolované osobě právní titul a samotné zpracování tak bylo nezákonné.
Úřad zjistil, že kontrolovaná osoba výše uvedeným jednáním porušila povinnosti stanovené čl. 5 odst. 1 písm. a) (zákonnost, korektnost a transparentnost), písm. b) (účelové omezení), písm. e) (omezení uložení) a čl. 6 odst. 1 (zákonnost zpracování) nařízení (EU) 2016/679.
Vzhledem k tomu, že kontrolovaná osoba závadný stav neprodleně napravila, Úřad neuložil opatření k odstranění zjištěných nedostatků. S ohledem na skutečnost, že Základní škola Kolín V., Ovčárecká 374 je veřejným subjektem, Úřad ji ve správním řízení uznal vinnou ze spáchání přestupku a podle § 62 odst. 5 zákona č. 110/2019 Sb. od uložení pokuty upustil.
Kontrolu řídil inspektor PhDr. Petr Krejčí.
Doporučení:
Úřad poukazuje na skutečnost, že zpracovávání osobních údajů dětí je třeba věnovat vždy zvýšenou pozornost, protože patří mezi zranitelné subjekty údajů. Děti zasluhují zvláštní ochranu osobních údajů, protože si mohou být méně vědomy dotčených rizik, důsledků a záruk a svých práv v souvislosti se zpracováním osobních údajů.
