Source: https://mwinspektorzy.pl/ochrona-danych-osobowych-w-szkole/
Timestamp: 2020-07-05 23:44:26+00:00
Document Index: 94305851

Matched Legal Cases: ['art. 8', 'art. 9', 'art. 32', 'art. 33', 'art. 13', 'art. 14', 'art. 32', 'art. 32', 'art. 6', 'art. 6', 'art. 6', 'art. 21', 'art. 7', 'art. 28', 'art. 6']

Ochrona danych osobowych w szkole - Kompendium wiedzy
Strona główna » Blog » Ochrona danych osobowych » Niezbędnik RODO » Ochrona danych osobowych w szkole
RODO obowiązuje od 25 maja 2018 roku, ale dyrektorzy i nauczyciele w dalszym ciągu mają wątpliwości związane z tym jak powinna wyglądać ochrona danych osobowych w szkole i w jaki sposób właściwie przetwarzać dane osobowe swoich uczniów, ich opiekunów oraz pracowników.
Nowe przepisy o ochronie danych osobowych w szkole
Ogólne rozporządzenie o ochronie danych RODO obowiązuje od 25 maja 2018 roku. Nowe przepisy w dalszym ciągu budzą skrajne emocje: od tych pozytywnych do negatywnych. Na każdym kroku spotykamy się z tzw. RODO absurdami, które nie są wynikiem treści przepisów, tylko ich błędnej interpretacji. Na rynku zapanowała RODO panika, która przejawia się nadgorliwością w podejściu do stosowania przepisów unijnego rozporządzenia.
Błędne podejście do nowych zasad niesie ze sobą ogromne ryzyko. Czasami prowadzi to do różnych absurdalnych sytuacji – bywa, że mających poważne, negatywne konsekwencje. Najbardziej zagrożone są obszary, w których przetwarza się dane osobowe na dużą skalę oraz dane szczególnej kategorii danych (w dużym uproszczeniu dawniej dane wrażliwe), np. szkoły (placówki oświatowe), szpitale.
RODO obowiązuje od ponad roku i z każdym miesiącem rośnie świadomość wagi ochrony danych osobowych zarówno po stronie administratorów, jak i osób, których dane są przetwarzane. Świadczy o tym wzrastająca liczba skarg i pytań, która wpływa do Urzędu Ochrony Danych Osobowych. RODO absurdów jest mniej, ale w dalszym ciągu pytań i wątpliwości nie brakuje. Bardzo często otrzymujemy zapytania od niepewnych dyrektorów szkół, nauczycieli oraz innych pracowników placówek oświatowych.
Sprawdź nasze szkolenie: Ochrona danych osobowych w edukacji
Ochrona dzieci najważniejsza!
Zrozumienie nowych przepisów i skuteczne ich wdrożenie umożliwia ochronę dzieci oraz buduje wzajemne zaufanie między szkołą i rodzicami.
RODO często kojarzy się z wysokimi karami finansowymi, a nie (zgodnie z założeniami) gwarancją bezpieczeństwa. Takie podejście przyczynia się do nadinterpretacji przepisów i co za tym idzie wprowadzania niewygodnych, absurdalnych rozwiązań, np. przesadne odbieranie zgód od rodziców, czy niepotrzebne zawieranie umów powierzenia przetwarzania danych osobowych.
Ochrona danych osobowych w szkole jest ważna ze względu na bezpieczeństwo uczniów, szczególnie w dzisiejszych czasach, kiedy korzystanie z usług internetowych to codzienność. W dobie portali społecznościowych, skrzynek mailowych, czy innych witryn internetowych nasze dane osobowe są zagrożone. Często nie zdajemy sobie sprawy, kto i w jakim celu wykorzystuje informacje o nas.
Unijne rozporządzenie o ochronie danych osobowych RODO obejmuje szczególną ochroną dzieci. Motyw 38 preambuły RODO stanowi, że szczególnej ochrony danych osobowych wymagają dzieci, ponieważ mogą być mniej świadome ryzyka, konsekwencji zabezpieczeń i praw przysługujących im w związku z przetwarzaniem danych osobowych. Taka szczególna ochrona powinna dotyczyć przede wszystkim wykorzystywania danych osobowych dzieci do celów marketingowych lub do tworzenia profili osobowych lub profili użytkownika oraz do zbierania danych osobowych dotyczących dzieci, gdy korzystają one z usług skierowanych bezpośrednio do nich. Zgoda osoby sprawującej władzę rodzicielską lub opiekę nie powinna byc konieczna w przypadku usług profilaktycznych lub doradczych oferowanych bezpośrednio dziecku.
Odniesienia do szczególnej ochrony danych można znaleźć również w innych motywach i artykułach rozporządzenia. RODO nakazuje, aby wszystkie komunikaty dotyczące przetwarzania danych osobowych kierowane do dzieci były napisane jasnym, zrozumiałym językiem, a w niektórych przypadkach dodatkowo wizualizowane.
Zgodę na przetwarzanie danych osobowych dziecka wyrażają rodzice lub jego prawni opiekunowie, ale art. 8 RODO mówi, że dziecko, które ukończyło 16 rok życia może samodzielnie wyrazić zgodę w przypadku usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku.
Dziecko, które ukończyło 16 rok życia może samodzielnie wyrazić zgodę na przetwarzanie danych osobowych w przypadku usług społeczeństwa informacyjnego.
Świadomość ochrony danych osobowych
Każdy powinien mieć świadomość, że brak kontroli nad własnymi danymi osobowymi może powodować poważne zagrożenia dla nas samych. Unijne rozporządzenie o ochronie danych osobowych RODO daje nam szereg praw, które pozwalają tę kontrolę zachować. Ludzie często nie wiedzą, że informacje o nich stanowią ich dane osobowe, które nie mogą być bezprawnie wykorzystywane. RODO wprowadza nowe definicje danych osobowych.
Dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (“osobie, której dane dotyczą”).
Ochrona danych osobowych w szkole – kategorie danych osobowych:
a) dane tzw. zwykłe:
adres e-mail itp.,
b) szczególne kategorie danych osobowych:
c) dane dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa.
W szkołach i placówkach oświatowych przetwarzane są wszystkie kategorie danych osobowych:
dane osobowe zwykłe, np. imię i nazwisko, adres, dane kontaktowe, zapisy w rejestrze dyscyplinarnym, oceny;
dane tzw. szczególnych kategorii danych osobowych, np. dane biometryczne ucznia (odciski palców, zdjęcia), przekonania religijne (uczestnictwo w zajęciach katechezy), stan zdrowia (np. zwolnienie z lekcji W-F);
w szkołach dane o karalności (o skazaniu lub jego braku) dopuszczalne są, jeżeli wymagają tego przepisy prawa.
Zgodnie z wyrokiem Trybunału Sprawiedliwości UE w sprawie C-434/16 Nowak pojęcie danych osobowych obejmuje również pisemne odpowiedzi udzielone przez osobę przystępującą do egzaminu zawodowego i ewentualne naniesione przez egzaminatora komentarze odnoszące się do tych odpowiedzi.
Dyrektor szkoły w rzeczywistości ochrony danych osobowych
Szkoła jest administratorem danych osobowych i to jej zadaniem jest zapewnienie sprawnie funkcjonującego systemu ochrony danych osobowych. Za nadzór nad prawidłowym przetwarzaniem danych osobowych w szkole odpowiada dyrektor szkoły:
reprezentuje szkołę (tj. administratora danych osobowych),
zapewnia zgodne z prawem przetwarzanie danych osobowych,
odpowiada za działania wszystkich upoważnionych osób w jednostce.
Administratorem danych osobowych uczniów, ich rodziców, nauczycieli, pracowników szkoły jest ten, kto decyduje o celach i sposobach przetwarzania tych danych, czyli szkoła, którą reprezentuje dyrektor szkoły.
Przetwarzanie danych osobowych polega na każdej czynności wykonywanej na danych, np. zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adoptowanie lub modyfikowanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie, łączenie, ograniczanie, usuwanie lub niszczenie danych.
Przetwarzanie danych osobowych zwykłych jest zgodne z prawem, gdy:
jest to niezbędne do wykonania umowy;
jest to niezbędne do wypełnienia obowiązku prawnego;
jest to niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej;
jest to niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub prawa i wolności osoby, której dane dotyczą.
Każda z przesłanek może stanowić samodzielną podstawę prawną przetwarzania danych osobowych.
W szkołach i placówkach oświatowych zazwyczaj przetwarzanie odbywa się na podstawie przepisów prawa, dlatego odbieranie dodatkowych zgód od rodziców czy opiekunów prawnych jest błędem. Zgoda na przetwarzanie jest ostatecznością i należy o nią prosić w sytuacjach, w których nie ma innej podstawy prawnej. Trzeba również pamiętać, że w przypadku odbierania zgody zawsze musi być spełniony warunek dobrowolności (osoba, która wyraża zgodę nie może być do tego zmuszona np. uniemożliwienie zawarcia umowy).
Wyrażenie pisemnej zgody przez rodzica / opiekuna prawnego na przetwarzanie danych osobowych dziecka nie jest tym samym, co pisemne potwierdzenie o zapoznaniu się z informacjami na temat przetwarzania danych osobowych (tzw. obowiązkiem informacyjnym)
Przetwarzanie danych szczególnej kategorii danych w szkołach jest możliwe w szczególnych przypadkach (art. 9 ust. 2 RODO):
udzielenie wyraźnej zgody na przetwarzanie danych w konkretnym celu;
przetwarzanie danych jest niezbędne do wypełnienia obowiązków i wykonywania poszczególnych praw przez administratora lub osobę, której dane dotyczą w dziedzinie prawa pracy, zabezpieczenia socjalnego i społecznego;
przetwarzania danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej;
przetwarzanie danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;
przetwarzanie danych jest niezbędne ze względów związanych z ważnym interesem publicznym, o ile przepisy nie naruszają istoty prawa do ochrony danych;
przetwarzanie danych jest niezbędne do celów oceny zdolności pracownika do pracy;
przetwarzanie danych jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych, historycznych lub statystycznych.
Szkoły dane osobowe mogą przetwarzać na podstawie przepisów prawa, m.in:
Bezpieczeństwo przetwarzania danych osobowych w szkole
Placówki oświatowe muszą odpowiednio zabezpieczyć wszystkie dane osobowe (art. 32 RODO) poprzez wdrożenie właściwych środków technicznych i organizacyjnych, np.:
zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie uszkodzenia fizycznego lub technicznego;
Przy doborze odpowiednich środków technicznych i organizacyjnych, należy uwzględnić:
charakter, zakres, kontekst i cele przetwarzania,
ryzyko naruszenia praw lub wolności osób, których dane dotyczą
Placówki oświatowe muszą prowadzić dokumentację dotyczącą przetwarzania danych osobowych. Ważne, żeby dokumentacja zawierała wszystkie najważniejsze elementy wymagane przepisami ogólnego rozporządzenia o ochronie danych RODO, np.:
odpowiednie polityki ochrony danych, w tym polityka postępowania w razie naruszenia ochrony danych (nowym obowiązkiem wynikającym z art. 33 RODO jest konieczność zgłaszania naruszeń ochrony danych Prezesowi Urzędu Ochrony Danych Osobowych – przykład naruszenia w szkole: przypadkowe wysłanie danych dziecka do innego rodzica);
W przypadku naruszenia, które powoduje poważne zagrożenie dla osób, których dane dotyczą, administrator danych ma obowiązek zgłoszenia go Prezesowi Urzędu Ochrony Danych Osobowych (nie później niż w ciągu 72 godzin od stwierdzenia naruszenia).
Tutaj możesz pobrać nasze darmowe wzory dokumentów RODO
Ochrona danych osobowych w szkole – praktyczne wskazówki, jak przetwarzać dane osobowe w placówkach oświatowych
Urząd Ochrony Danych Osobowych wspólnie z Ministerstwem Edukacji Narodowej przygotował Poradnik RODO: Ochrona danych osobowych w szkole, który ma zapewnić zgodność z nowymi przepisami. Zawiera on praktyczne wskazówki dotyczące przetwarzania danych osobowych dzieci, ich opiekunów prawnych, nauczycieli oraz innych pracowników placówek oświatowych. Na tej podstawie opracowaliśmy najważniejsze kwestie związane z przetwarzaniem danych osobowych w szkole.
Obowiązek informacyjny w trakcie rekrutacji
Proces przyjmowania dzieci do szkoły związany jest z gromadzeniem danych osobowych kandydatów do szkoły oraz ich opiekunów prawnych. Przepisy o ochronie danych osobowych (art. 13 i 14 RODO) wymagają spełnienia wobec tych osób tzw. obowiązku informacyjnego (informacje dotyczące przetwarzania danych osobowych, np. w jakim celu, jak długo będą przetwarzane oraz o prawach, jakie przysługują osobom, których dane dotyczą).
Obowiązek informacyjny należy spełniać w jasny, przejrzysty i łatwo dostępny sposób.
Obowiązek informacyjny w kontekście zaproszenia na uroczystości i wydarzenia szkolne
Osoby zaproszone na uroczystości / wydarzenia szkolne muszą zostać poinformowane o przetwarzaniu ich danych osobowych (spełnienie obowiązku informacyjnego). Najbardziej problematyczna jest kwestia związana ze sposobem wręczenia gościom noty informacyjnej. Urząd Ochrony Danych Osobowych zaleca, żeby dokonać tzw. warstwowego przekazywania informacji, tzn. w pierwszej kolejności należy przekazać najważniejsze informacje (np. kto jest administratorem i w jakim celu będą przetwarzane dane), a następnie powiadomić, gdzie można zapoznać się ze szczegółowymi informacjami, np. na stronie internetowej szkoły.
Ochrona danych osobowych w szkole, a publikacja wyników rekrutacji
Szkoły mają obowiązek w widocznym miejscu w swojej siedzibie (np. w gablocie) opublikować listy kandydatów zakwalifikowanych i niezakwalifikowanych oraz przyjętych i nieprzyjętych (patrz: ustawa prawo oświatowe). Imiona i nazwiska kandydatów powinny być wymienione w kolejności alfabetycznej i zawierać informację o najniższej liczbie punktów, która uprawnia do przyjęcia. Publikowanie wyników procesu rekrutacyjnego na stronie internetowej szkoły nie jest dopuszczalne (nawet w przypadku udzielenia zgody przez ucznia lub jego opiekuna prawnego).
Uczniowie mają zagwarantowaną podstawową opiekę zdrowotną (patrz: porozumienie o udzielenie świadczeń opieki zdrowotnej zawartego między szkołą a podmiotem leczniczym i Narodowym Funduszem Zdrowia). Zadaniem dyrektora szkoły jest zawarcie porozumienia oraz zapewnienia odpowiedniego miejsca do świadczenia opieki zdrowotnej. Zasady dotyczące postępowania z dokumentacją medyczną uczniów leżą po stronie podmiotu leczniczego. Dokumentacja przechowywana jest w gabinecie profilaktyki do chwili zakończenia przez ucznia nauki w szkole.
Szkoła i podmiot leczniczy są odrębnymi administratorami danych – każdy we własnym zakresie i celu określa sposoby przetwarzania danych osobowych.
Pomoc psychologiczno-pedagogiczna w szkole udzielana jest dzieciom, ich opiekunom prawnym oraz nauczycielom. Specjaliści prowadzą notatki ze spotkań w formie dzienników zajęć. Każda osoba korzystająca z pomocy posiada indywidualną teczkę zawierającą dokumentację badań i czynności uzupełniających prowadzonych nie tylko przez pedagoga czy psychologa, ale również przez logopedę, doradcę zawodowego, terapeutę psychologicznego, lekarza oraz innego specjalistę.
Dokumentacja pomocy psychologiczno-pedagogicznej zawiera dane osobowe, w tym dane szczególnie chronione.
Odbiór dzieci oraz udzielanie informacji osobom trzecim
Rodzice lub inni opiekunowie zgłaszają (upoważniają) w szkole osoby, które będą mogły odebrać dzieci ze szkoły lub innej placówki oświatowej oraz którym będzie można udzielić informacji na temat dziecka. Szkoła nie musi odbierać od tych osób pisemnej zgody na przetwarzanie danych osobowych, ale musi pamiętać o spełnieniu wobec tych osób obowiązku informacyjnego (art. 14 RODO – przypadek, kiedy szkoła otrzymała informacje od rodziców a nie bezpośrednio od tych osób). Klauzulę informacyjną można wręczyć osobiście (np. przy pierwszym kontakcie w szkole) lub wysłać pocztą.
Wyjątkową trudność sprawia udzielanie informacji na temat dziecka przez telefon. Urząd Ochrony Danych Osobowych podkreśla, że najważniejsze jest zidentyfikowanie dzwoniącego oraz ustalenie, czy jest on uprawniony do pozyskania informacji o dziecku. Tylko jak to zrobić? Szkoła ma obowiązek strzec informacji o dzieciach i nie może udostępniać ich osobom do tego nieupoważnionym. Pomocne mogą okazać się pytania sprawdzające znajomość dziecka, np. imiona rodziców, nazwisko wychowawcy itp.
W przypadku wątpliwości związanych z identyfikacją osoby dzwoniącej, należy odmówić udzielenia informacji o dziecku przez telefon.
Praca nauczycieli poza szkołą
Szkoła jako administrator musi zapewnić bezpieczeństwo danych osobowych (art. 32 RODO). Korzystanie z materiałów zawierających dane uczniów poza szkołą powoduje duże ryzyko naruszenia ochrony danych osobowych (np. pozostawienie w transporcie komunikacji miejskiej), zniszczenia, zmiany treści, uszkodzenia czy też udostępnienia osobom nieupoważnionym (np. domownikom). Nie ma przepisu zakazującego tego typu praktykę. System ochrony danych osobowych w szkole powinien uwzględnić również takie sytuacje – Dyrektor musi podjąć decyzję, czy nauczyciel należycie zabezpieczy dane osobowe uczniów poza szkołą.
Uczniowie oraz ich opiekunowie prawni muszą zostać poinformowani o zastępstwach za nieobecnych nauczycieli. Przekazywanie takich informacji nie powinno zdradzać przyczyny nieobecności nauczyciela, np. informacji o stanie zdrowia nauczyciela zastępowanego.
Komunikacja z rodzicami za pośrednictwem poczty elektronicznej
Szkoła do kontaktu z rodzicami może korzystać z poczty elektronicznej. Należy zapewnić bezpieczeństwo informacjom przesyłanym za pomocą e-maila (art. 32 RODO). Maile powinny być szyfrowane, a sprzęty zabezpieczone hasłem. Pomocne mogą być regularne szkolenia kadry nauczycielskiej z zakresu ochrony danych osobowych, phishingu, oprogramowań i właściwego korzystania z poczty elektronicznej.
Nauczyciele do e-mailowego kontaktu z rodzicami muszą korzystać ze służbowych adresów e-mail oraz odpowiednio zabezpieczać dane osobowe udostępniane w przesyłanych wiadomościach.
Karty dostępu w szkole
Karty dostępu umożliwiają wejście na teren szkoły osobom upoważnionym. Korzystanie z takiego rozwiązania nie jest wymagane przepisami prawa, dlatego należy skorzystać z innej przesłanki legalizującej przetwarzanie danych osobowych.
Urząd Ochrony Danych Osobowych sugeruje, żeby:
odebrać zgodę na przetwarzanie danych osobowych (art. 6 ust. 1 pkt. a RODO)
oprzeć przetwarzanie danych na podstawie wykonania zadania realizowanego w interesie publicznym, takim jak utrzymywanie bezpiecznych i higienicznych warunków nauki, wychowania i opieki w szkołach i placówkach (art. 6 ust. 1 pkt e RODO).
Karty dostępu nie mogą być wykorzystywane do innych celów, np. do prowadzenia ewidencji czasu pracy nauczyciela.
Publikowanie danych osobowych uczniów na terenie szkoły lub stronie internetowej
Dane osobowe uczniów można publikować na terenie szkoły bez konieczności otrzymywania na to zgody ucznia lub jego opiekuna prawnego. Wywieszenie takich informacji związane jest z zadaniami realizowanymi przez szkołę w interesie publicznym (art. 6 ust. 1 lit. e RODO). Podpisywanie prac artystycznych lub wyróżnianie uczniów za szczególne osiągnięcia motywuje uczniów do dalszej pracy oraz podnosi poczucie własnej wartości.
Uczniowie lub opiekunowie prawni mają prawo żądać usunięcia danych osobowych opublikowanych na terenie szkoły (art. 21 ust. 1 RODO).
Publikowanie danych osobowych przez szkołę w Internecie – na stronie internetowej lub w mediach społecznościowych musi zostać poparte zgodą osoby, której dane dotyczą. Szczególnie dotyczy to wizerunku dziecka. Związane jest to nie tylko z przepisami o ochronie danych osobowych, ale również ochroną wizerunku wynikającą z ustawy o prawie autorskim i prawach pokrewnych.
Zgoda musi dokładnie określić jakie dane i w jakim miejscu zostaną opublikowane. Rodzice mają prawo nie chcieć publikowania wizerunku ich dzieci w sieci. Zgodę można w każdej chwili wycofać (art. 7 ust. 3 RODO).
Wyjątkiem publikowania wizerunku bez udzielonej zgody jest sytuacja, kiedy wizerunek osoby stanowi szczegół całości (np. w czasie zabaw szkolnych, wycieczek, kiedy sylwetka stanowi jedynie szczegół całości uwiecznionej na zdjęciu) lub jest to wizerunek osoby publicznej w czasie wykonywania swojej funkcji.
Prowadzenie dziennika elektronicznego w szkole reguluje rozporządzenia Ministra Edukacji Narodowej z dnia 25 sierpnia 2017 r. w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji. Odbieranie od rodziców zgody na przetwarzanie danych osobowych dziecka w e-Dzienniku jest błędem.
Szkoły muszą pamiętać o zawarciu umowy powierzenia przetwarzania danych osobowych z podmiotem zewnętrznym odpowiedzialnym za funkcjonowanie dziennika elektronicznego (art. 28 ust. 1 RODO).
Odczytywanie obecności po nazwisku
Odczytywanie listy obecności po nazwisku jest uzasadnione, ponieważ jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust 1 lit. c RODO). Sprawdzanie obecności poprzez używanie inicjałów, pierwszych liter nazwiska, czy pseudonim jest jednym z największych absurdów RODO w szkole.
Ochrona danych osobowych w szkole na oku inspektora ochrony danych
Bezpieczeństwo uczniów jest najważniejszym wyzwaniem przed którym stoi kadra nauczycielska. Szkoły nie zostają same z problemem przetwarzania danych osobowych. Przepisy prawa narzucają na nie powołanie inspektora ochrony danych, czyli osoby, która stoi na straży systemu ochrony danych. Rolą takiej osoby jest monitorowanie działań administratora danych, współpraca z Urzędem Ochrony Danych Osobowych oraz wspieranie w zakresie przetwarzania danych osobowych w jednostce. Szkoła powinna opublikować dane inspektora ochrony danych i powiadomić o jego powołaniu Prezesa UODO. (patrz: artykuł kiedy należy zatrudnić inspektora ochrony danych i obowiązki inspektora ochrony danych)
Wszystkie szkoły i placówki oświatowe muszą powołać swojego inspektora ochrony danych.