Blog

Newslettery rodičům ze školního webu: jak na to podle GDPR

Ředitelka základní školy chce posílat rodičům měsíční přehled akcí e-mailem. Má adresy od zápisu. Může prostě napsat a odeslat? Odpověď závisí na tom, co přesně posílá — a na základě čeho e-mailové adresy rodičů vůbec má. Tenhle rozdíl je praktický, ne právnický.

Dvě kategorie e-mailů: provozní sdělení a newsletter

Toto rozlišení je klíčové a školy ho často přehlížejí — nebo ho naopak přeceňují a zbytečně žádají souhlas tam, kde ho nepotřebují.

Provozní školní sdělení

Jde o e-maily, které přímo souvisejí s plněním povinností školy nebo se vztahem mezi školou a rodičem jako zákonným zástupcem žáka. Tyto e-maily lze zasílat bez zvláštního souhlasu — právní základ je buď plnění zákonné povinnosti, nebo oprávněný zájem školy jako správce, nebo plnění smlouvy (zápisový lístek jako smluvní vztah).

Příklady provozních sdělení:

• Změna v provozu školy nebo jídelny (ředitelské volno, onemocnění zaměstnance)
• Termín třídních schůzek nebo konzultačního odpoledne
• Informace o poplatcích, platbě školného nebo školné v přírodě
• Upozornění na povinné dokumenty ke sběru nebo podpisu
• Urgentní bezpečnostní sdělení

Newsletter a hromadná propagační sdělení

Jakmile e-mail přesáhne provozní informaci a stane se volitelným obsahem — přehled akcí minulého měsíce, upozornění na nový blogový příspěvek, pozvánka na akci, kterou rodič navštívit nemusí — mluvíme o sdělení, ke kterému je zpravidla třeba souhlas.

Hranice mezi oběma kategoriemi není vždy ostrá. Pozvánka na dobrovolnou školní akademii — je to provozní sdělení, nebo newsletter? Konkrétní posouzení patří k DPO.

Typ sdělení	Příklady	Souhlas potřeba?
Provozní sdělení	Termín schůzky, změna v provozu, poplatky	Zpravidla ne
Volitelné aktuality	Měsíční přehled akcí, reportáž z výletu	Souhlas doporučen
Propagační newsletter	Nábor žáků, kurzy, nabídky třetích stran	Souhlas povinný
Hromadné sdělení s přílohami	Školní zpravodaj, výroční zpráva k přečtení	Závisí na obsahu — konzultujte s DPO

Právní základ: jak to funguje bez žargonu

GDPR vyžaduje, aby každé zpracování osobních údajů mělo tzv. právní základ — důvod, proč smíte e-mailové adresy rodičů vůbec použít. Pro školy jsou relevantní tyto:

• Plnění zákonné povinnosti — škola musí ze zákona informovat zákonné zástupce o určitých věcech. E-mail jako komunikační kanál je přirozený.
• Oprávněný zájem — škola má legitimní zájem komunikovat s rodiči o věcech, které přímo souvisejí se vzděláváním a provozem. Tento základ má ale limity — zájem školy nesmí převážit nad zájmy rodičů.
• Souhlas — pro vše ostatní. Souhlas musí být svobodný, konkrétní, informovaný a jednoznačný. Rodič ho musí mít možnost kdykoliv odvolat, aniž by ho to poškodilo.

Zápisový lístek s e-mailovou adresou neznamená automaticky souhlas se zasíláním newsletteru. Jsou to dvě různé věci.

Jak sbírat souhlasy přes web školy

Pokud se škola rozhodne pro newsletter, web je přirozené místo pro sběr souhlasů. Klíčové je nastavit to správně hned od začátku.

Co musí formulář pro přihlášení k newsletteru obsahovat

• Pole pro e-mail — jednoduché, bez nadměrného sběru dat (jméno přidejte jen pokud ho reálně budete v e-mailech používat).
• Jasné zaškrtávací políčko — „Chci dostávat [název newsletteru] od ZŠ [název]." Políčko nesmí být předem zaškrtnuté.
• Odkaz na informace o zpracování OÚ — rodič musí vědět, kdo je správce a jak může souhlas odvolat.
• Frekvence a obsah — alespoň rámcově: „zasíláme jednou měsíčně přehled akcí a aktualit školy".

Double opt-in: co to je a proč ho doporučujeme

Po odeslání přihlašovacího formuláře přijde na e-mail rodiče potvrzovací zpráva s odkazem. Teprve kliknutím na odkaz se přihlášení aktivuje. Tomuto postupu se říká double opt-in.

Zákon ho výslovně nevyžaduje, ale je doporučovanou praxí z praktického důvodu: máte průkazný záznam o tom, že rodič souhlas skutečně potvrdil ze svého e-mailu. Pokud někdo zpochybní, že se přihlásil, máte v logu záznam. Bez double opt-in se k vám mohou dostat i překlepy nebo cizí adresy.

Co musí být v každém e-mailu

Každý hromadný e-mail zasílaný rodičům — provozní i newsletter — by měl obsahovat:

• Identifikaci odesílatele — název školy, e-mailová adresa.
• Odkaz pro odhlášení — povinný pro obchodní sdělení dle zákona č. 480/2004 Sb., ale doporučovaný i pro ostatní hromadné e-maily. Odhlášení musí být jednoduché a bezplatné.
• Odkaz na zásady zpracování OÚ nebo informaci o tom, jak rodič může souhlas odvolat.

Pokud škola využívá pro rozesílku nástroj třetí strany (Mailchimp, Ecomail, nebo jiný), jsou tyto nástroje zpravidla zpracovatelem osobních údajů — je třeba s nimi mít uzavřenou smlouvu o zpracování osobních údajů (tzv. DPA). Ověřte to s vaším DPO.

Co škola zasílat nesmí nebo co je rizikové

Několik věcí, které se v praxi stávají a jsou problematické:

• Hromadný e-mail bez BCC. Pokud škola pošle e-mail rodičům s jejich adresami v poli „Komu" nebo „CC", vidí všichni adresy ostatních. To je porušení GDPR — e-mailové adresy jsou osobní údaje. Vždy používejte BCC nebo nástroj pro hromadné rozesílky.
• Reklama třetích stran. Pokud by škola rozesílala e-maily pro komerční subjekty (nabídka kroužků komerční firmy, sponzorská sdělení), jde o obchodní sdělení, ke kterému je třeba výslovný souhlas a musí být označeno jako reklama.
• Sdílení e-mailových adres rodičů třetím stranám. Bez zvláštního souhlasu nepřípustné.
• Uchovávání adres po skončení docházky dítěte. Jakmile dítě školu opustí, právní základ pro uchovávání adresy zpravidla zaniká. Definujte dobu uchování a pravidelně seznam čistěte.

Jak nastavit sběr souhlasů technicky přes web školy

Přihlašovací formulář k newsletteru na webu školy nastavíme tak, aby sbíral souhlasy správně: jasné políčko bez předvyplnění, potvrzovací e-mail, záznam o souhlasu v databázi s datem a časem.

Pokud škola používá nástroj pro rozesílku (doporučujeme — neposílat hromadné e-maily přes školní Outlook nebo Gmail), propojíme formulář přímo s ním. Rodič se přihlásí na webu, dostane potvrzovací e-mail, a od té chvíle dostává newsletter automaticky, dokud se neodhlásí.

Pro správu e-mailové komunikace s rodiči v rámci celého webu — co patří na web, co do ŠIS a co posílat přímo e-mailem — doporučujeme článek Aktuality a komunikace s rodiči přes web školy.

GDPR a newsletter: co zkontrolovat u pověřence

Než spustíte newsletter přes web, projděte s DPO tyhle body:

• Jaký je právní základ pro e-maily, které plánujete posílat (provozní vs. volitelné)?
• Jsou formuláře pro sběr souhlasů v souladu s vaší dokumentací zpracování?
• Je uzavřena smlouva o zpracování OÚ s nástrojem pro rozesílku?
• Jak dlouho budete adresy uchovávat a jak zajistíte jejich výmaz?
• Je v každém e-mailu odkaz pro odhlášení a funguje?