Source: https://ecrkbialystok.com.pl/component/tags/tag/rodo
Timestamp: 2020-08-13 02:07:58+00:00
Document Index: 81254495

Matched Legal Cases: ['art. 4', 'art. 6', 'art. 81', 'art. 17', 'art. 30', 'art. 24', 'art. 4', 'art. 6', 'art. 81', 'art. 221', 'art. 221', 'art. 10', 'art. 7', 'art. 221', 'Art. 221', 'art. 221', 'Art. 221', 'art. 49', 'art. 237', 'art. 83', 'art. 33', 'art. 6', 'art. 81', 'art. 81', 'Art. 81', 'art. 106', 'art. 6', 'art. 9', 'art. 9', 'art. 9', 'Art. 30', 'art. 30', 'art. 9', 'Art. 30', 'Art. 30', 'art. 28', 'art. 28', 'art. 17', 'art. 6', 'art. 9', 'art. 110', 'Art. 110', 'art. 6', 'art. 81', 'Art. 6']

< class="item_title">	Czy były dyrektor ma prawo do bycia zapomnianym i do żądania usunięcia swoich danych osobowych, w tym wizerunku, które zostały zgromadzone i upublicznione w związku z pełnioną przez niego funkcją?
Pełnienie funkcji publicznej niesie ze sobą określone konskwencje prawne, a w przypadku ochrony danych osobowych pewne ograniczenia tej ochrony.
Z jednej strony mamy obowiązek archiwizowania dokumentacji wytworzonej w związku z pełnieniem przez daną osobę w przeszłości funkcji dyrektora szkoły oraz udostępniania informacji publicznej dotyczącej działalności danej osoby jako pełniącej funkcję organu szkoły (art. 4 ust. 1 pkt 5 i art. 6 ustawy o dostępie do informacji publicznej). W orzecznictwie ugruntowany jest pogląd, że zaprzestanie pełnienia funkcji publicznej nie oznacza, że informacje z okresu, gdy funkcja ta była pełniona, przestają podlegać udostępnieniu z ograniczeniem prywatności jednostki, bowiem wciąż będą one udostępniane osobom zainteresowanym w odniesieniu do okresu pełnienia funkcji (wyrok Naczelnego Sądu Administracyjnego z 8 lipca 2015 r., sygn. akt I OSK 1530/14). Z kolei wizerunek osoby powszechnie znanej, jeżeli wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych – np. dyrektora szkoły pobierającego wynagrodzenie ze środków publicznych oraz wizerunek osoby stanowiącej jedynie szczegół całości takiej jak zgromadzenie, krajobraz, publiczna impreza może być rozpowszechniany (czyli przetwarzany) bez zezwolenia tej osoby (art. 81 ust. 2 ustawy o prawie autorskim i prawach pokrewnych).
Natomiast z drugiej strony, ogólną zasadą RODO jest zakaz przechowywania danych w nieskończoność oraz nie są wyraźnie wyłączone uprawnienia osoby obecnie lub w przeszłości pełniącej funkcję publiczną do korzystania m.in. z uprawnienia do bycia zapomnianym, o którym mowa w art. 17 ust. 1 RODO, czyli do usunięcia jej danych osobowych i zaprzestania ich przetwarzania. Problematyczna jest natomiast kwestia, z uwagi na konieczność pogodzenia uprawnień publicznych oraz prywatnych, od jakiego momentu z takich uprawnień były dyrektor korzysta. Obowiązujące przepisy nie określają, przez jak długi okres dla celów archiwizacyjnych i związanych z dostępem do informacji publicznej mogą być przechowywane dane osoby, która pełniła funkcję publiczną. W związku z tym obecnie zagadnienia te regulują samodzielnie administratorzy danych, którzy indywidualnie ustalają terminy przetwarzania danych w celach archiwizacyjnych i związanych z dostępem do informacji publicznej – art. 30 ust. 1 lit. f RODO. Przed upływem tego terminu, szkoła jako administrator może odmówić usunięcia danych byłego dyrektora, z uwagi na potrzebę ich dalszego przetwarzania. Usunięciu podlegają natomiast dane byłego dyrektora, które nie służą takim celom lub upłynął czas, przez jaki administrator może lub musi przechowywać określone dane, jak ma to np. miejsce w odniesieniu do przechowywania przez 6 lat oświadczeń majątkowych w BIP (art. 24h ust. 6 ustawy o samorządzie gminnym)
art. 4 ust. 1 pkt 5 i art. 6 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. z 2019 r. poz. 1429)
art. 81 ust. 2 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (Dz. U. z 2019 r. poz. 1231)
< class="item_title">	Czy dyrektor może kontaktować się z pracownikiem korzystając z jego prywatnego numeru telefonu?
Wielokrotnie zdarza się, że dyrektor kontaktuje się z pracownikiem na jego prywatny numer telefonu. Czy pracodawca może wykorzystywać do kontaktu prywatny numer telefonu pracownika? Czy może żądać podania jego prywatnego numeru telefonu?
Kodeks pracy dokładnie wskazuje dane, jakie pracodawca może żądać od pracownika. Zgodnie z zapisami art. 221 § 1:
(§ 2. Pracodawca żąda podania danych osobowych, o których mowa w § 1 pkt 4–6, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku.)
Ponadto § 3. określa, że pracodawca żąda od pracownika podania dodatkowo danych osobowych obejmujących:
W katalogu tych danych nie został ujęty wprost prywatny numer telefonu pracownika, zostały wskazane dane do kontaktu – może to być adres e-mail, adres do korespondencji. Zatem jeśli pracownik poda inne dane kontaktowe niż prywatny numer telefonu, to jego podanie będzie miało charakter dobrowolny, a zgodnie z art.. 221a zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 221 § 1 i 3, z wyjątkiem danych osobowych, o których mowa w art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)) – dalej zwanej RODO.
Zatem, aby pracodawca mógł kontaktować się z pracownikiem wykorzystując jego prywatny numer telefonu musi uzyskać zgodę pracownika – na piśmie – gdyż zgodnie z art. 7 RODO ust. 1. jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych. Warto także, aby taka zgoda wskazywała zasady kontaktu. Co więcej kontakt powinien następować w godzinach pracy.
Jeśli natomiast pracownik nie wyrazi zgody na podanie prywatnego numeru kontaktowego lub wycofa zgodę, to zgodnie z art. 221a § 2 nie może być to podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę, a dla pracodawcy oznacza zakaz kontaktowania się w ten sposób z pracownikiem (z wyjątkiem sytuacji naglących, które mogą powodować zagrożenie mienia i interesów pracodawcy).
Opracowane na podstawie ustawy z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)podpisanej w dn. 3 kwietnia br. przez Prezydenta, zmieniającej brzmienie art. Art. 221i wprowadzającej art. 221ado Kodeksu pracy.
Art. 221i 221austawy dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 2018 r. poz. 917 z późn. zm.).
< class="item_title">	Czy pracodawca powinien zawierać umowy powierzenia z takimi podmiotami, jak ZUS czy bank?
Wykonując funkcję inspektora ochrony danych często spotykam się z wątpliwościami pracodawców dotyczącymi konieczności zawierania przez nich jako administratorów umów powierzenia przetwarzania danych osobowych z takim podmiotami, jak GUS, ZUS, urząd skarbowy czy bank. Czy takie umowy powinny być zawierane?
W przypadkach odnoszących się do przekazywania przez administratora, jako pracodawcy danych osobowych takim podmiotom, jak GUS, ZUS, czy urząd skarbowy mamy do czynienia z udostępnieniem danych na podstawie przepisów prawa, nie zaś z powierzeniem przetwarzania. Na administratorze, jako pracodawcy ciąży bowiem obowiązek przekazywania szeregu danych osobowych pracowników w związku z realizacją ustawowych zadań. Do obowiązków tych należą m.in.:
wobec ZUS – obowiązki wynikające z art. 49 ust. 2 i 4 ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych na podstawie wzoru określonego w rozporządzeniu Ministra Rodziny, Pracy i Polityki Społecznej z dnia 20 grudnia 2018 r. w sprawie określenia wzorów zgłoszeń do ubezpieczeń społecznych i ubezpieczenia zdrowotnego, imiennych raportów miesięcznych i imiennych raportów miesięcznych korygujących, zgłoszeń płatnika składek, deklaracji rozliczeniowych i deklaracji rozliczeniowych korygujących, zgłoszeń danych o pracy w szczególnych warunkach lub o szczególnym charakterze, raportów informacyjnych, oświadczeń o zamiarze przekazania raportów informacyjnych oraz innych dokumentów,
wobec Urzędu Skarbowego - obowiązki w zakresie odprowadzania podatku dochodowego od osób fizycznych na podstawie ustawy z 26 lipca 1991 r. o podatku dochodowym od osób fizycznych,
wobec GUS - obowiązek wynikający z art. 237 § 3 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy na podstawie rozporządzenia Ministra Pracy i Polityki Społecznej z dnia 7 stycznia 2009 r. w sprawie statystycznej karty wypadku przy pracy.
Odnosząc się do kwestii umów zawieranych przez pracodawcę z bankiem, to w tym przypadku również nie możemy mówić o powierzeniu przetwarzania danych. Pracodawca zawiera z bankiem umowę o świadczenie usług bankowych i to na jej podstawie udostępnia dane swoich pracowników w celu dokonania przelewów wynagrodzeń. Bank realizuje zadania wynikające z przepisów ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe i w momencie otrzymania od pracodawcy danych pracowników w celu świadczenia usług bankowych, staje się administratorem tych danych.
https://uodo.gov.pl/pl/225/878
< class="item_title">	Czy rada rodziców może być administratorem danych osobowych?
Do UODO trafilło pytanie dotyczące przetwarzania danych osobowych rodziców i ich przetwarzania przez radę rodziców:
"Odpowiadając na pytanie jednego z inspektorów UODO stwierdził, że administratorem danych osobowych rodziców uczestniczących w radzie rodziców, jak i danych przetwarzanych na jej posiedzeniach jest szkoła, w ramach której ta rada działa, nie zaś sama rada rodziców.
Rada rodziców jest wewnętrznym organem szkoły, który reprezentuje ogół rodziców uczniów. Jej działanie regulują art. 83 i 84 ustawy z dnia 14 grudnia 2016 r. Prawo oświatowe (Dz.U. z 2018 r., poz. 996). Tworzenie rady rodziców jest obligatoryjne (za wyjątkiem szkół i placówek artystycznych określonych w rozporządzeniu ministra właściwego do spraw kultury i ochrony dziedzictwa narodowego). Rada rodziców posiada określone w ustawach samodzielne kompetencje, jednak mimo to nie można jej uznać za administratora danych osobowych, bowiem jest to organ wewnętrzny szkoły o charakterze społecznym, działający w ramach jej struktury organizacyjnej, nie posiadający osobowości prawnej. Rada rodziców nie ma również charakteru jednostki organizacyjnej i nie została wyposażona w przymiot zdolności prawnej (vide wyrok Naczelnego Sądu Administracyjnego z 22 czerwca 2017 r., sygn. akt I OSK 2505/16). Co więcej zgodnie z ugruntowanym orzecznictwem rada rodziców nie ma zdolności sądowej, tzn. nie jest osobą fizyczną, osoba prawną, nie jest także jednostką organizacyjną niebędącą osobą prawną, której ustawa przyznaje zdolność prawną. Nie jest również organizacją społeczną w rozumieniu art. 33 § 2 k.p.a. uprawnioną do występowania w interesie rodziców uczniów (vide postanowienia Wojewódzkiego Sądu Administracyjnego w Warszawie z 8 czerwca 2016 r., sygn. II SA WA 754/16; postanowienie Naczelnego Sądu Administracyjnego z 14 czerwca 2012 r., sygn. I OZ 421/12; postanowienie Naczelnego Sądu Administracyjnego z 16 lutego 2009 r., sygn. I OSK 121/09)."
< class="item_title">	Czy szkoła może tworzyć tablice pamięci z wizerunkami absolwentów?
W wielu szkołach, przedszkolach od lat wiszą tablice, na których upamiętnieni zostali byli uczniowie, wychowankowie – przez zdjęcia opisane imionami i nazwiskami.
Czy pod rządami RODO dalej mogą wisieć?
Obowiązujące przepisy prawa nie przyznają uprawnienia jednostce oświatowej do publikowania zdjęć swoich absolwentów. A wizerunek jest chroniony nie tylko przez przepisy o ochronie danych osobowych (art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), który określa możliwości przetwarzania danych osobowych), ale także przez ustawę o prawie autorskim i prawach pokrewnych (Dz. U. z 2018 r. poz. 1191 z późn. zm.), która w art. 81 określa warunki legalności rozpowszechniania wizerunku.
Co zatem będzie decydowało o możliwości tworzenia takich miejsc pamięci?
Po pierwsze wyraźna zgoda każdej z osób lub jej przedstawiciela ustawowego (gdy absolwent nie jest jeszcze pełnoletni). Dotyczy to przede wszystkim zdjęć indywidualnych oraz grupowych prezentujących daną osobę na tle innych.
Po drugie spełnienie warunków określonych w art. 81 ustawy o prawie autorskim i prawach pokrewnych. tzn. bez zgody można rozpowszechniać wizerunek osoby powszechnie znanej, jeżeli wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych, w szczególności politycznych, społecznych, zawodowych, a także jeśli wizerunek osoby stanowi jedynie szczegół całości takiej jak zgromadzenie, krajobraz, publiczna impreza.
Po trzecie, gdy niemożliwa jest identyfikacja osób znajdujących się na zdjęciu. Bez zgody absolwentów można publikować zdjęcia zbiorowe (np. klasowe), które nie eksponują danej osoby, gdy dodatkowo nie towarzyszy im opis (w szczególności lista imion i nazwisk) lub inne elementy pozwalające na zidentyfikowanie tych osób lub zdjęcia są rozpowszechniane po upływie czasu, gdy na podstawie fotografii (oraz ewentualnie towarzyszących informacji) będzie niemożliwa identyfikacja wizerunku danej osoby z uwagi na jej wiek oraz zmianę wyglądu.
Art. 81. ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (Dz. U. z 2018 r. poz. 1191 z późn. zm.).
Więcej w e-szkoleniu "RODO w codziennej pracy nauczyciela - cz. III"
< class="item_title">	Czy szkoła może wprowadzić system biometrycznej identyfikacji uczniów przy korzystaniu przez nich ze stołówki szkolnej?
Prezes Urzędu Ochrony Danych Osobowych wydał decyzję w sprawie przetwarzania przez szkołę danych biometrycznych dzieci podczas korzystania przez nie z usług stołówki szkolnej.
Szkoła Podstawowa nr 2 w Gdańsku korzysta z czytnika biometrycznego przy wejściu do stołówki szkolnej, który identyfikuje dzieci w celu weryfikacji uiszczenia opłaty za posiłek.
Szkoła pozyskuje te dane i przetwarza je na podstawie pisemnej zgody rodziców lub opiekunów prawnych. To rozwiązanie funkcjonuje w placówce od 1 kwietnia 2015 r. W roku szkolnym 2019/2020 z czytnika biometrycznego korzysta 680 uczniów, a czterech uczniów z alternatywnego systemu identyfikacji.
Zgodnie z art. 106 ustawy z dnia 14 grudnia 2016 r. Prawo oświatowe (Dz. U. z 2019 r., poz. 1148) w celu zapewnienia prawidłowej realizacji zadań opiekuńczych, w szczególności wspierania prawidłowego rozwoju uczniów, szkoła może zorganizować stołówkę. W związku z tym Prezes UODO stwierdził, że podstawą przetwarzania jakichkolwiek danych osobowych dzieci w związku z realizacją tego zadania szkoły nie mogła być zgoda, ponieważ podstawą do przetwarzania danych osobowych dzieci w tym celu przez Szkołę jest art. 6 ust. 1 lit. e RODO, zgodnie z którym przetwarzanie jest zgodne z prawem między innymi gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Oznacza to, że Szkoła przetwarza dane osobowe ucznia na podstawie przepisów prawa, wykonując swoje ustawowe zadania. Nie potrzebuje zatem odrębnej zgody rodziców bądź pełnoletniego ucznia na przetwarzanie danych osobowych w związku z realizacją tych zadań, tj. świadczeniem usług przez stołówkę szkolną. Realizując tę usługę Szkoła może przetwarzać tylko te dane osobowe ucznia, które są niezbędne do świadczenia usług stołówki szkolnej. Prezes UODO wskazał, że przepisy prawa powszechnie obowiązującego wskazują rodzaj danych, jakie szkoła może pozyskiwać od swoich uczniów. Żaden z nich nie zezwala Szkole na przetwarzanie (pozyskiwanie i gromadzenie) danych biometrycznych (których przetwarzanie jest co do zasady zakazane w art. 9 ust. 1 RODO) uczniów w celu realizacji tego zadania.
W takiej sytuacji zgoda Rodzica nie może być przesłanką legalizującą przetwarzanie danych biometrycznych, ponieważ zgoda stanowi podstawę legalizującą przetwarzanie danych osobowych jedynie wtedy, gdy nie istnieją inne przesłanki na to przetwarzanie. Uznanie faktu wyrażenia zgody przez rodziców dzieci jako okoliczności legalizującej pobranie od dzieci innych danych niż wskazane przez polskiego prawodawcę, stanowiłoby obejście tych przepisów.
Wobec powyższego uznać należy, że Szkoła nie miała podstawy prawnej zezwalającej na przetwarzanie danych biometrycznych dzieci korzystających z usług stołówki szkolnej. W związku z tym, z uwagi na to, że Szkoła nie legitymuje się żadną z przesłanek określonych w art. 9 ust. 2 RODO, takie postępowanie prowadzi do naruszenia art. 9 ust. 1 RODO oraz zasady minimalizacji danych ustanowionej w RODO, zgodnie z którą administrator danych czyli w tym przypadku Szkoła, nie powinna pozyskiwać danych ponad miarę, lecz jedynie te, które są niezbędne dla zrealizowania celów. Należy zauważyć, iż przetwarzanie danych biometrycznych nie jest niezbędne dla osiągnięcia celu, jakim jest identyfikacja uprawnienia dziecka do odebrania obiadu.
Za to naruszenie została nałożona administracyjna kara pieniężna na Szkołę. Co więcej Prezes UODO nakazał jej usunięcie danych osobowych przetworzonych do postaci cyfrowej informacji o charakterystycznych punktach linii papilarnych palców dzieci oraz zaprzestanie dalszego zbierania danych osobowych.
W ukaranej Szkole Podstawowej nr 2, zgodnie z zasadami wydawania obiadów, umieszczonymi na stronie internetowej stołówki prowadzonej przez Szkołę, uczniowie, którzy nie posiadają identyfikacji biometrycznej, przepuszczają wszystkich i oczekują na końcu kolejki. Gdy wszyscy uczniowie z identyfikacją biometryczną wejdą do stołówki, rozpoczyna się wpuszczanie pojedynczo uczniów bez identyfikacji biometrycznej. Tego typu zasady zdaniem Prezesa UODO wprowadzają nierówne traktowanie uczniów i ich bezpodstawne zróżnicowanie, ponieważ wyraźnie promują uczniów posiadających identyfikację biometryczną. W ocenie Prezesa UODO wykorzystywanie danych biometrycznych w zestawieniu z celem, w jakim są one przetwarzane, jest w istotny sposób nieproporcjonalne.
Prezes UODO uzasadniając swoja decyzję podkreślił, że dane osobowe dzieci wymagaja szczególnej ochrony, a w omawianej sprawie przetwarzane dane są szczególnych kategorii. System biometryczny identyfikuje cechy, które są niezmienne i niejednokrotnie – jak w przypadku danych daktyloskopijnych – niemożliwe do zmiany. Z uwagi na unikalność i stałość danych biometrycznych, przekładających się na ich niezmienności w czasie, wykorzystywanie danych biometrycznych powinno odbywać się z ostrożnością i rozwagą. Dane biometryczne mają wyjątkowy charakter w świetle podstawowych praw i wolności, dlatego też wymagają wyjątkowej ochrony. Ewentualny ich wyciek może skutkować dużym ryzykiem naruszenia praw i wolności osób fizycznych.
Na podstawie: https://uodo.gov.pl/pl/138/1453
< class="item_title">	Czy szkoła musi prowadzić rejestr czynności przetwarzania?
Art. 30 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 określa podmioty, które obowiązane są prowadzić taki rejestr, a także warunki, które mają wpływ na konieczność realizowania takiego obowiązku.
Zgodnie z nim taki obowiązek spoczywa na przedsiębiorcach lub podmiotach zatrudniających co najmniej 250 osób, ale także rejestr czynności przetwarzania należy prowadzić (art. 30 ust. 5 RODO), gdy przetwarzanie danych osobowych:
może powodować ryzyko naruszenia prawa lub wolności osób, których dane dotyczą,
obejmuje szczególne kategorie danych osobowych, o których mówi art. 9 ust. 1 RODO,
obejmuje dane dotyczące wyroków skazujących i czynów zabronionych.
Taki rejestr należy prowadzić, gdy zachodzi przynajmniej jeden z ww. warunków, ale tylko dla tych wskazanych rodzajów przetwarzania.
Zatem szkoła, jak i każda placówka oświatowa obowiązana jest prowadzić rejestry czynności przetwarzania, gdyż posiada dane, które przetwarza w sposób ciągły (dane pracowników, uczniów), a także przetwarza dane szczególnej kategorii (dane kandydatów do szkoły).
Art. 30 ust. 1 wskazuje składowe takiego rejestru. Rejestr czynności przetwarzania powinien zawierać:
imię i nazwisko lub nazwę oraz dane kontaktowe administratora oraz inspektora ochrony danych;
jeżeli jest to możliwe, planowany termin usunięcia poszczególnych kategorii danych;
Na stronach Urzędu Ochrony Danych Osobowych został zamieszczony przykładowy rejestru czynności dla szkół (www.uodo.gov.pl). Przedstawiony wzór nie jest jedynym właściwym, niemniej jednak wskazuje pozycje jakie powinny się w nim znaleźć.
W załączeniu zamieszczamy proponowany przez nas sposób prowadzenia takiego rejestru czynności.
Art. 30 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 w sprawie ochrony osób
fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).
< class="item_title">	Czy w przypadku dożywiania dzieci szkoła musi zawrzeć umowę powierzenia danych z OPS?
Gminny ośrodek pomocy społecznej na podstawie ustawy z dnia 12 marca 2004 r. o pomocy społecznej oraz uchwały nr 140 z dnia 15 października 2018 r. w sprawie ustanowienia wieloletniego rządowego programu „Posiłek w szkole i w domu” na lata 2019-2023 realizuje zadanie jakim jest dożywanie dzieci w szkołach. W związku z ww. zadaniem pomiędzy GOPS, a szkołą dochodzi do wymiany danych osobowych uczniów, którzy potrzebują takiej formy wsparcia. Czy w ww. przypadku będzie dochodziło do powierzenia danych osobowych uczniów między tymi podmiotami oraz konieczności zawarcia umowy, czy raczej będzie tu miało miejsce udostępnienie danych osobowych?
https://uodo.gov.pl/pl/225/1170
< class="item_title">	Czy w przypadku kierowania ucznia na praktyki zawodowe konieczne jest powierzenie?
Zgodnie z przepisami RODO konieczność zawarcia umowy powierzenia przetwarzania danych osobowych istnieje wówczas, gdy administrator danych osobowych zleca przetwarzanie danych innemu podmiotowi (podmiotowi przetwarzającemu). Wówczas podmiot przetwarzający przetwarza dane w imieniu administratora, a nie w imieniu własnym (tj. nie staje się administratorem danych). Podmiot przetwarzający nie decyduje bowiem o celach i sposobach przetwarzania, gdyż przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora (art. 28 ust. 3 lit. a RODO).
Kwestie związane z praktyczną nauką zawodu uregulowane zostały w ustawie Prawo oświatowe oraz w rozporządzeniach wykonawczych. Zgodnie z przepisami rozporządzenia Ministra Edukacji Narodowej z dnia 22 lutego 2019 r. w sprawie praktycznej nauki zawodu, uczniowie i słuchacze (dalej: uczniowie) publicznych szkół ponadgimnazjalnych prowadzących kształcenie zawodowe uczestniczą w zajęciach praktycznych bądź praktykach zawodowych. Mogą być one organizowane na podstawie umowy zawartej przez szkołę z pracodawcą w przypadku ucznia lub na podstawie umowy zawartej z pracodawcą przez młodocianego pracownika.
W przypadku organizacji praktycznej nauki zawodu przez szkołę przekazuje ona na mocy umowy dane osobowe uczniów podmiotowi, z którym zawarła umowę o realizacje takiej nauki. Podmiot ten z chwilą otrzymania danych ucznia staje się ich administratorem. Zwrócić bowiem należy uwagę, że zarówno szkoła, jak i pracodawca mają określone w ww. rozporządzeniu role i zadania związane z organizacją praktycznej nauki zawodu. Pracodawca zapewnia możliwość faktycznego odbywania praktyk, zapoznając praktykanta m.in. z organizacją pracy, regulaminem oraz dyscypliną pracy. Może też upoważnić go do przetwarzania danych osobowych, jeżeli będzie to niezbędne w związku z odbywaniem praktyki.
Oznacza to, że zarówno szkoła, jak i podmiot przyjmujący uczniów na praktyczną naukę zawodu występują w roli odrębnych administratorów. Wobec powyższego – skoro nie występuje sytuacja określona w art. 28 RODO (tj. przetwarzanie danych w imieniu administratora) – nie ma obowiązku zawierania umowy powierzenia przetwarzania danych osobowych. W tej sytuacji mamy do czynienia z udostępnieniem danych osobowych niebędącym powierzeniem – podmiot, który otrzymuje dane osobowe, przetwarza je w celach, które samodzielnie kształtuje – nie w celach własnych udostępniającego.
Źródło: https://uodo.gov.pl/pl/225/1465
< class="item_title">	Dlaczego prowadzenie rejestru czynności jest zaliczane do zadań IOD?
https://uodo.gov.pl/pl/225/659
< class="item_title">	Jak powinien zareagować dyrektor na wniosek o usunięcie danych osobowych?
Reakcją administratora na wniosek o usunięcie danych osobowych winno być usunięcie tych danych zgodnie z żądaniem, jeśli spełnione są przesłanki uwzględnienia wniosku z art. 17 ust. 1 RODO.
W szczególności żądanie usunięcia danych powinno być zrealizowane, gdy dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane bądź osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie danych i nie ma innej podstawy prawnej przetwarzania.
W każdym indywidualnym przypadku administrator danych zobowiązany jest ustalić, czy na podstawie dotychczas posiadanych przez siebie informacji jest w stanie ustalić tożsamość osoby, która wystąpiła z żądaniem. Dopiero w razie niemożności zweryfikowania tożsamości osoby żądającej usunięcia danych administrator może zażądać dodatkowych informacji od podmiotu danych. Dla potwierdzenia tożsamości podmiotu, który zażądał usunięcia danych wystarczający może okazać się zwykły e-mail zawierający skan podpisanego żądania o usunięcie danych (np. w sytuacji gdy e-mail wysłany został ze znanego administratorowi danych adresu albo gdy podpis na skanie dokumentu jest zgodny z podpisem znajdującym się na dokumentach składanych do tej pory przez podmiot danych). Natomiast chodzi o e-mail czy pismo, które zawiera żądanie usunięcia danych, to ze względu na zasadę rozliczalności i uprawnienia podmiotów danych (np. prawo do przeniesienia danych) administrator powinien rozważyć pozostawienie e-miala, pisma w dokumentacji, ale jednoczesne podjęcie czynności prowadzących do zminimalizowania zawartych w nich danych osobowych.
Zapraszamy na szkolenia dotyczące ochrony danych osobowych,gdzie odpowiemy na wiele innych pytań nurtujących ADO, IOD.
< class="item_title">	Jak Prezes UODO nakłada administracyjne kary pieniężne?
Na stronach Urzędu Ochrony Danych Osobowych pojawia się coraz więcej informacji dotyczących nałożenia kar finansowych przez Prezesa UODO. Warto wiedzieć jakie okoliczności bierze pod uwagę Prezes Urzędu nakładając karę?
Istotne będą więc m.in.:
Prezes UODO bierze pod uwagę ww. czynniki zarówno wtedy, gdy decyduje o zasadności nałożenia administracyjnej karypieniężnej, jak i wtedy, gdy określa jej wysokość. Przepisy przewidują górne limity wysokości kar. Prezes UODO nakłada karę pieniężną za naruszenie w wysokości:
https://uodo.gov.pl/pl/138/1244
< class="item_title">	Jaka jest podstawa przetwarzania danych członków rodziny pracownika korzystającego z ZFŚS?
Pracownicy, składając wniosek o uzyskanie świadczenia z ZFŚS i przedstawiając dane o swojej sytuacji życiowej, rodzinnej i materialnej,podają również dane członków swojej rodziny. Jaka jest podstawa prawna przetwarzania danych tych osób (dane małżonka, dzieci pracownika)? Czy właściwą przesłanką jest zgoda?
Zgodnie z przepisami ustawy z dnia 4 marca 1994 r. o zakładowym funduszu świadczeń socjalnych, zarówno przyznawanie świadczeń, jak i ich wysokość uzależnione są od spełnienia przez osobę ubiegającą się o dane świadczenie określonych kryteriów socjalnych. Artykuł 8 ust. 1 wspomnianej ustawy zobowiązuje pracodawcę do tego, by uzależnił udzielenie ulgi lub świadczenia od sytuacji życiowej, rodzinnej i materialnej osoby uprawnionej do korzystania z Funduszu. A zatem podstawami uprawniającymi pracodawców do przetwarzania danych na potrzeby przyznania ulgowej usługi i świadczenia oraz dopłaty z zakładowego funduszu świadczeń socjalnych oraz ustalenia ich wysokości są art. 6 ust. 1 lit. c oraz art. 9 ust. 2 lit. b RODO w połączeniu z właściwym, wyżej wskazanym przepisem ustawy o zakładowym funduszu świadczeń socjalnych.
Pracodawca nie powinien zatem pozyskiwać zgody na przetwarzanie danych osobowych od członków rodziny pracownika, bowiem żeby przyznać pracownikowi świadczenie z zakładowego funduszu świadczeń socjalnych, pracodawca musi poznać i ocenić sytuację życiową i materialną pracownika oraz członków jego rodziny, z którymi prowadzi on wspólne gospodarstwo domowe. W celu realizacji tych potrzeb musi więc przetwarzać dane osobowe tych osób, ale tylko te dane, które są niezbędne dla realizacji celu, w jakim je pozyskał.
< class="item_title">	Jakie dane nauczycieli szkoła może przekazać organowi prowadzącemu?
W przepisach prawa oświatowego zostały ściśle określone dane osobowe nauczycieli, które szkoła może przekazać organowi prowadzącemu.
Zgodnie z art. 110 ust. 2 ustawy Prawo oświatowe dyrektor zobowiązany jest opracować arkusz organizacyjny szkoły, który przekazuje organowi prowadzącemu do zatwierdzenia. Natomiast rozporządzenie MEN w sprawie szczegółowej organizacji publicznych szkół i publicznych przedszkoli określa dane, jakie taki arkusz musi zawierać:
§ 17 Arkusz organizacji szkoły określa:
2) imię, nazwisko, stopień awansu zawodowego i kwalifikacje poszczególnych nauczycieli oraz rodzaj prowadzonych przez nich zajęć, w tym liczbę godzin tych zajęć; (…).
W związku z tym organ prowadzący szkołę ma dostęp do takich danych osobowych jak: imię i nazwisko nauczyciela, jego stopień awansu zawodowego, kwalifikacje oraz rodzaj prowadzonych przez niego zajęć.
Do przekazania tych danych administrator danych nie potrzebuje zgody nauczyciela. Obowiązek przekazania wynika wprost z ustawy i przepisów wydanych na jej podstawie.
Art. 110 ustawy z dnia 14 grudnia 2016 r. Prawo oświatowe (Dz. U. z 2018 r. poz. 996 z późn. zm.).
§ 17 ust. 2 rozporządzenia Ministra Edukacji Narodowej z dnia 17 marca 2017 r. w sprawie szczegółowej organizacji publicznych szkół i publicznych przedszkoli (Dz. U. z 2017 r. poz. 649 z późn. zm.).
< class="item_title">	Jest już podręcznik dla IOD!
Na stronach UODO udostępniono polską wersję językową podręcznika dedykowanego inspektorom ochrony danych osobowych. Nie jest to materiał dedykowany ściśle inspektorom działającym tylko w obszarze oświaty, ale niewątpliwie zawiera konkretne wytyczne i wskazówki, które mają ułatwić wykonywanie prze nich zadań.
Podręcznik to zbiór wytycznych dla IOD dotyczących sposobu zapewnienia zgodności z ogólnym rozporządzeniem o ochronie danych (RODO).
Udostępniony poradnik nie może być traktowany jako oficjalne stanowisko organu nadzorczego (PUDOD), to jednak zawarta w nim wiedza może stanowić pomoc w pełnieniu funkcji inspektora.
Co znajdziemy w podręczniku:
omówienie historii regulacji europejskich w zakresie ochrony danych osobowych oraz obecnie obowiązujących przepisów w tym zakresie;
podstawowe definicje związane z ochroną danych osobowych;
przegląd najważniejszych przepisów RODO;
praktyczne wskazówki w zakresie realizacji zadań IODO.
Podręcznik w formacje PDF dostępny na stronie PUODO: https://uodo.gov.pl/pl/168/1298
< class="item_title">	Kiedy można umieścić zdjęcie ucznia na stronie www szkoły?
Przepisy prawa oświatowego dokładnie określają, jakie dane osobowe ucznia może pozyskiwać i przetwarzać szkoła. Nie ma wśród nich wizerunku ucznia. Dlatego zgodnie z zapisami art. 6 ust 1 lit a rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych (…) administrator danych zobowiązany jest do uzyskania zgody rodzica (opiekuna prawnego) lub pełnoletniego ucznia do przetwarzania wizerunku ucznia.
Samo rozpowszechnianie zdjęć, a zatem umieszczanie ich na stronie internetowej szkoły, podlega przepisom ustawy o prawie autorskim i prawach pokrewnych (art. 81), który uzależnia możliwość rozpowszechniania zdjęć od:
zgody osoby na nim przedstawionej (w przypadku niepełnoletniego ucznia – jego rodziców (opiekunów prawnych)).
tego czyj wizerunek widnieje na zdjęciu, bowiem można rozpowszechniać wizerunek osoby powszechnie znanej, jeżeli wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych, w szczególności politycznych, społecznych, zawodowych
przedstawienia osób na zdjęciu - zezwolenia nie wymaga rozpowszechnianie wizerunku osoby stanowiącej jedynie szczegół całości takiej jak zgromadzenie, krajobraz, publiczna impreza.
Reasumując, do zamieszczania zdjęć ucznia na stronie internetowej szkoły, konieczne jest uzyskanie zgody rodziców (opiekunów prawnych) ucznia bądź też pełnoletniego ucznia, chyba, że prezentowany wizerunek stanowi jedynie szczegół zdjęcia.
Należy także pamiętać o uzyskaniu takich zgód na przetwarzanie wizerunku uczniów biorących udział w konkurach międzyszkolnych i przedstawieniu odpowiednich klauzul informacyjnych.
Art. 6. ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób
< class="item_title">	Kilka porad jak w czasie wakacji zadbać o swoje dane osobowe
Przykładem innej sytuacji, gdy w okresie wakacyjnym jesteśmy narażeni na utratę danych jest poszukiwanie pracy tymczasowej, np. przy zbiorze owoców lub w gastronomii. Niestety, wśród prawdziwych ogłoszeń są i takie, których celem jest pozyskanie jak najdokładniejszych informacji na nasz temat. Warto więc bardzo dokładnie analizować takie treści i szczególną ostrożność zachować, gdy potencjalny pracodawca chce, byśmy oprócz podstawowych danych na swój temat i wskazania danych do kontaktu, podali także np. numer PESEL i udostępnili skany naszych dokumentów tożsamości, co nie jest niezbędne w procesie rekrutacji.