Fotografie, kamery a WhatsApp v súkromnej škôlke – GDPR v praxi

Fotografie detí na webe či Facebooku bez preukázateľného súhlasu zákonného zástupcu patria do najprísnejšej sankčnej kategórie – do 20 mil. € alebo 4 % obratu podľa § 104 ods. 2 zákona č. 18/2018 Z. z. a GDPR. Podľa metodiky Úradu na ochranu osobných údajov SR pre školy je právnym základom zverejňovania fotografií súhlas, ktorý musí byť slobodný, konkrétny, informovaný, preukázateľný a je kedykoľvek odvolateľný; pri deťoch ho udeľuje zákonný zástupca písomne. Pri kamerách je základom oprávnený záujem (ochrana majetku) a metodika úradu ich pre školy bližšie neupravuje – pozor na zámenu s českou metodikou. JUDr. Milan Ficek rozoberá aj WhatsApp skupiny a povinnosť určiť zodpovednú osobu.

V praxi advokátskej kancelárie sa opakovane stretávame s tým, že súkromné škôlky zverejňujú fotografie detí bez usporiadaného právneho základu. Ak zákonný zástupca odvolá súhlas s fotografovaním, škola to musí rešpektovať okamžite, a to bez ohľadu na to, že pri nástupe dieťaťa súhlas podpísal. Súhlas je podľa GDPR kedykoľvek odvolateľný a odvolanie nemusí mať žiadnu osobitnú formu – stačí e-mail, telefonát alebo ústne oznámenie. Odo dňa odvolania nemá škola právny základ na ďalšie spracúvanie a už zverejnené fotografie tohto dieťaťa musí odstrániť.

Ochrana osobných údajov je pritom pre škôlku najpodceňovanejšia oblasť s najvyššou sankčnou hrozbou vôbec.

Prečo sú fotografie detí najrizikovejšia kategória

Sankcie podľa § 104 zákona č. 18/2018 Z. z. o ochrane osobných údajov a podľa GDPR ukladá Úrad na ochranu osobných údajov SR:

Zverejnenie fotografie dieťaťa bez platného právneho základu spadá do najprísnejšej kategórie podľa odseku 2, pretože ide o porušenie zásady zákonnosti a podmienok súhlasu. Priťažujúcou okolnosťou je, že ide o údaje detí, teda zraniteľných osôb. Úrad na ochranu osobných údajov už v minulosti identifikoval porušenia v školách práve pri zverejňovaní fotografií a videí bez primeraného právneho základu.

Fotografie: kedy súhlas potrebujete a kedy nie

Podľa metodiky Úradu na ochranu osobných údajov SR k spracúvaniu osobných údajov v prostredí škôl treba rozlišovať dve situácie:

• Interná pedagogická dokumentácia – triedna kniha, osobný spis dieťaťa, evidencia dochádzky. Právnym základom je zákonná povinnosť podľa čl. 6 ods. 1 písm. c) GDPR. Súhlas sa tu nevyžaduje a ani sa oň nesmie žiadať – žiadať súhlas na spracúvanie, ktoré škola musí vykonávať zo zákona, je samo osebe chybou.
• Zverejnenie fotografií na webe, Facebooku, Instagrame, v kronike, na table alebo v propagačných materiáloch. Zverejňovanie nie je zákonnou povinnosťou školy, preto je právnym základom súhlas podľa čl. 6 ods. 1 písm. a) GDPR.

Metodika úradu zdôrazňuje, že súhlas musí byť slobodný, konkrétny, informovaný, jednoznačný a preukázateľný a že sa poskytuje podľa účelu. Pri deťoch mladších ako 16 rokov – teda v materskej škole vždy – ho udeľuje zákonný zástupca, spravidla v písomnej forme.

Najčastejšie chyby, ktoré v škôlkach vidíme:

1. Jeden univerzálny súhlas na všetko. Súhlas „so spracúvaním fotografií na akékoľvek účely“ nie je konkrétny, a preto je neplatný. Účely treba rozdeliť: interná galéria pre rodičov, web školy, sociálne siete, propagačné materiály, médiá. Rodič má mať možnosť odsúhlasiť niektoré a iné odmietnuť.
2. Súhlas viazaný na prijatie dieťaťa. Ak rodič vníma, že bez podpisu súhlasu dieťa neprijmú, súhlas nie je slobodný a je neplatný. Súhlas musí byť oddelený od zmluvy a od rozhodnutia o prijatí.
3. Súhlas bez možnosti odvolania. Rodič musí byť poučený, že súhlas môže kedykoľvek odvolať a ako to má urobiť.
4. Nemožnosť preukázať súhlas. Škola musí vedieť doložiť, kto, kedy, na aký účel a v akom rozsahu súhlas udelil.
5. Fotografie ostatných detí v zábere. Ak rodič jedného dieťaťa súhlas odvolal, nemožno zverejniť skupinovú fotografiu, na ktorej je jeho dieťa rozpoznateľné.

Kamerový systém: možný, ale s prísnymi limitmi

Metodika úradu pre školy uvádza pri kamerovom systéme ako vhodný právny základ oprávnený záujem podľa čl. 6 ods. 1 písm. f) GDPR, konkrétne ochranu majetku. Pri opakovanom poškodzovaní vybavenia na ihrisku je oprávnený záujem dobre preukázateľný.

Zároveň však platí:

• Kamery nesmú snímať priestory, kde deti trávia čas – triedy, herne, spálne, jedáleň, umyvárne a záchody. Monitorovanie sa obmedzuje na vstupy, obvod objektu a ohrozený majetok.
• Treba vykonať a zdokumentovať test proporcionality – teda posúdiť, či sa cieľ nedá dosiahnuť menej invazívnym spôsobom (osvetlenie, oplotenie, zámky). Ak sa dá, kamera neobstojí.
• Treba splniť informačnú povinnosť – viditeľné označenie monitorovaného priestoru a dostupná úplná informácia o spracúvaní.
• Treba určiť primeranú dobu uchovávania záznamov a dodržiavať ju; záznamy sa uchovávajú len na nevyhnutný čas.
• Kamerový systém patrí do záznamov o spracovateľských činnostiach.
• Pri systematickom monitorovaní priestoru, v ktorom sa pohybujú deti, je veľmi pravdepodobne potrebné posúdenie vplyvu na ochranu údajov (DPIA) podľa čl. 35 GDPR a § 42 zákona č. 18/2018 Z. z.

Upozornenie na častý omyl: po slovenskom internete koluje podrobná metodika ku kamerovým systémom (72 hodín uchovávania, triedy systémov, vzdialenosti informačných tabúľ). Ide o metodiku českého úradu, ktorá nie je pre Slovensko záväzná. Slovenský úrad má metodické usmernenie ku kamerám na rodinnom dome, nie k školám. Netreba sa preto spoliehať na cudzie čísla ako na zákonnú povinnosť – rozhodujúce je vlastné, riadne zdokumentované posúdenie.

WhatsApp skupiny: najpodceňovanejšie riziko

Toto je oblasť, ktorú škôlky riešia najmenej – a pritom v nej vzniká najviac nekontrolovaných spracúvaní.

Ak skupinu zriadila a spravuje učiteľka v rámci svojich pracovných úloh na komunikáciu s rodičmi, prevádzkovateľom je škola, nie učiteľka. Z toho vyplývajú konkrétne problémy:

• Telefónne čísla rodičov sú osobné údaje sprístupnené všetkým členom skupiny; sprístupnenie kontaktov medzi rodičmi navzájom potrebuje vlastný právny základ.
• Fotografie detí zdieľané v skupine sa okamžite dostávajú mimo kontroly školy – rodičia si ich ukladajú a ďalej posielajú. Odvolanie súhlasu jedného rodiča už technicky nemožno premietnuť.
• Prenos do tretej krajiny – prevádzkovateľom služby je spoločnosť skupiny Meta, čo otvára otázku právneho základu prenosu podľa kapitoly V GDPR.
• Komunikácia mimo oficiálnych kanálov spravidla nie je zachytená v zázname o spracovateľských činnostiach ani v informačnej povinnosti.
• Pri odchode učiteľky zostávajú kontakty rodičov v jej súkromnom telefóne.

Odporúčanie: presunúť oficiálnu komunikáciu s rodičmi do školského systému (napríklad EduPage alebo iný nástroj so spracovateľskou zmluvou), fotografie sprístupňovať cez uzavretú galériu s prístupom pre konkrétneho rodiča, a používanie súkromných účtov zamestnancov na komunikáciu s rodičmi upraviť interným predpisom. Ak si skupinu založia rodičia sami a škola v nej nevystupuje, uplatní sa domáca výnimka podľa čl. 2 ods. 2 písm. c) GDPR a škola za ňu nezodpovedá – práve preto je dôležité tieto dve situácie od seba oddeliť.

Zodpovedná osoba (DPO)

Metodika Úradu na ochranu osobných údajov SR pre školy uvádza, že všetky školy a školské zariadenia majú povinnosť určiť si zodpovednú osobu a jej kontaktné údaje nahlásiť úradu, pričom školy kvalifikuje ako orgány verejnej moci v zmysle GDPR. Kvalifikácia súkromnej materskej školy ako orgánu verejnej moci je právne diskutabilná, no aj bez nej by súkromná škôlka pravdepodobne spadla pod kritérium rozsiahleho spracúvania údajov zraniteľných osôb podľa čl. 37 GDPR.

Praktické odporúčanie je preto jednoznačné: zodpovednú osobu určiť a nahlásiť úradu. Náklad je nízky a v prípade kontroly ide o prvý bod, ktorý sa preveruje.

Minimálny súbor dokumentácie, ktorý má mať každá súkromná škôlka

1. záznamy o spracovateľských činnostiach (deti, rodičia, zamestnanci, kamery, web);
2. informačná povinnosť pre rodičov a pre zamestnancov;
3. oddelené a účelovo členené súhlasy s evidenciou ich udelenia a odvolania;
4. bezpečnostná dokumentácia a poučenie zamestnancov o mlčanlivosti;
5. sprostredkovateľské zmluvy (účtovníctvo, IT, školský systém, fotograf);
6. posúdenie vplyvu (DPIA) tam, kde je potrebné – typicky pri kamerách;
7. postup pri porušení ochrany údajov vrátane 72-hodinovej lehoty na oznámenie úradu podľa čl. 33 GDPR;
8. určená a nahlásená zodpovedná osoba.

Súvisiace otázky

Môže rodič odvolať súhlas s fotografovaním kedykoľvek?

Áno. Odvolanie súhlasu je právo dotknutej osoby a nemôže byť sťažené – nemožno preň vyžadovať osobitné tlačivo ani osobnú návštevu. Odvolanie pôsobí do budúcnosti, ale zverejnené fotografie treba odstrániť, pretože ich ďalším zverejňovaním by sa spracúvali údaje bez právneho základu.

Môžeme fotografie detí posielať rodičom, ak si to niektorý rodič neželá?

Sprístupnenie fotografií rodičom je samostatný účel a potrebuje vlastný právny základ. Ak rodič nesúhlasí s tým, aby bolo jeho dieťa fotografované, nesmie sa objaviť ani v galérii pre ostatných rodičov. V praxi to znamená buď fotografovať tak, aby dieťa nebolo v zábere, alebo fotografie pred zverejnením filtrovať.

Môže rodič natáčať besiedku v škôlke?

Ak rodič nahráva vlastné dieťa výlučne pre osobnú potrebu, uplatní sa domáca výnimka podľa čl. 2 ods. 2 písm. c) GDPR a GDPR sa nepoužije. Situácia sa však mení v okamihu, keď záznam zverejní na sociálnej sieti – vtedy sa domáca výnimka končí. Škola by preto mala pravidlá nahrávania upraviť v školskom poriadku a rodičov na to pri podujatiach upozorniť.

Musíme mať sprostredkovateľskú zmluvu s fotografom?

Ak fotograf fotografuje na objednávku školy a podľa jej pokynov, spracúva údaje v jej mene a sprostredkovateľská zmluva podľa čl. 28 GDPR je potrebná. Ak si fotografa objednávajú a platia priamo rodičia a on koná vo vlastnom mene, je samostatným prevádzkovateľom. Túto hranicu treba nastaviť vopred a písomne.

Ako dlho môžeme uchovávať údaje o deťoch po skončení dochádzky?

Údaje vedené v pedagogickej dokumentácii sa uchovávajú podľa registratúrneho plánu a osobitných predpisov. Údaje spracúvané na základe súhlasu – teda najmä fotografie – sa musia vymazať po dosiahnutí účelu alebo po odvolaní súhlasu, teda spravidla podstatne skôr. Bežnou chybou je ponechanie fotogalérií z minulých rokov na webe donekonečna.

Čo robiť, ak dôjde k úniku údajov?

Porušenie ochrany osobných údajov, ktoré pravdepodobne povedie k riziku pre práva a slobody dotknutých osôb, treba oznámiť Úradu na ochranu osobných údajov do 72 hodín od zistenia. Pri vysokom riziku treba informovať aj samotné dotknuté osoby. Každé porušenie – aj to neoznamované – musí byť zdokumentované; absencia evidencie porušení je pri kontrole samostatným zistením.

JUDr. Milan Ficek, advokát
Ficek & Partners, s. r. o., Žilinská 14, 811 05 Bratislava
Advokátska kancelária spracúva pre súkromné materské školy, jasle a detské centrá kompletnú GDPR dokumentáciu – záznamy o spracovateľských činnostiach, informačnú povinnosť, účelovo členené súhlasy so spracúvaním fotografií, sprostredkovateľské zmluvy, posúdenie vplyvu pri kamerových systémoch a interné pravidlá komunikácie s rodičmi. Zastupujeme školy pri kontrolách a v konaniach pred Úradom na ochranu osobných údajov SR a pri riešení sťažností rodičov.

Súvisiaci prehľad: Za čo môže súkromná materská škola dostať pokutu. Termín konzultácie: dohodnúť termín konzultácie.

Právny stav k 30. 8. 2026.