Obecné nařízení o ochraně osobních údajů (GDPR) umožňuje jen využívání osobních údajů, které jsou nezbytně nutné a jen k legitimním účelům. Z tohoto důvodu není vhodné vyžadovat informaci o rodném čísle dítěte nebo jeho rodičů ani o zaměstnání rodičů.
GDPR ve svém článku 6 obsahuje právní důvody zpracování osobních údajů. Jedním z nich je i souhlas subjektu osobních údajů, kterého lze využít v případě, že nelze použít jiný z důvodů uvedených v GDPR.
Vždy však platí, že dané osobní údaje lze použít výhradě k účelu, za jakým byly získány, a to jen v nezbytně nutném rozsahu a po nezbytně nutnou dobu.
Užití jména a příjmení dítěte, data narození, adresy, jména a příjmení rodičů, resp. zákonného zástupce a jejich adresy spadá pod právní důvod zpracování uvedený v čl. 6 odst. 1 písm. b) GDPR (zpracování nezbytné pro plnění smlouvy) a není k němu třeba udělení souhlasu. Do stejné kategorie by mohlo spadat i použití tel. čísla, popř. e-mailové adresy v případě, kdy je nutno rodiče neprodleně informovat o nastalé situaci (pokud je smlouva uzavírána písemně, doporučuji tam tuto záležitost výslovně ošetřit).
Údaje související se zdravotním stavem dítěte patří mezi osobní údaje, dříve označované jako citlivé. Dnes jsou upraveny v článku 9 GDPR jako „zvláštní kategorie osobních údajů” a mohou být používány („zpracovávány”) jen ve zvláště uvedených případech (čl. 9 odst. 2 GDPR).
