Source: https://nadzornadszkola.wip.pl/159-listopad-2019-r./ochrona-danych-osobowych-w-praktyce-5587.html
Timestamp: 2020-02-19 11:19:58
Legal References Found: art. 33
 art. 9
 art. 2
 art. 5
 art. 4
 art. 6
 art. 9
 art. 33

Document Content:
Ochrona danych osobowych w praktyce - Aktualności oświatowe
Odpowiedź wraz z komentarzem
Informowanie nauczyciela o tym, że wpłynęła skarga na niego
Czy nauczyciel powinien być poinformowany o fakcie złożenia na niego skargi przez rodziców
Nauczyciel ma prawo zapoznać się ze złożoną na niego skargą, o ile nie zostanie naruszona ochrona danych osobowych skarżącego rodzica. Co do zasady każdemu przysługuje prawo dostępu do informacji publicznej (art. 2 ustawy o dostępie do informacji publicznej). Od tego uprawnienia istnieją jednak wyjątki:
prawo do informacji publicznej podlega ograniczeniu w zakresie i na zasadach określonych w przepisach o ochronie informacji niejawnych oraz o ochronie innych tajemnic ustawowo chronionych;
prawo do informacji publicznej podlega ograniczeniu ze względu na prywatność osoby fizycznej lub tajemnicę przedsiębiorcy (art. 5 ustawy o dostępie do informacji publicznej).
Nieuprawnionym byłoby wyłączenie spośród dokumentów podlegających ujawnieniu w trybie ustawy o dostępie do informacji publicznej skarg, czy też petycji przekazanych organowi administracji publicznej przez mieszkańców gminy, dotyczących funkcjonowania na terenie gminy zakładów opieki medycznej (wyrok Wojewódzkiego Sądu Administracyjnego w Gorzowie Wielkopolskim z 6 grudnia 2007 r. II SA/Go 595/07). Oczywiście tezę tego wyroku odnieść również można do skarg złożonych na działania nauczyciela.
W przypadku jednak, gdy w treści informacji publicznej zawarte są dane osobowe, w tym wypadku dane skarżącego rodzica, wówczas, prawo skarżącej do informacji publicznej podlega ograniczeniu. Jeżeli zatem nauczyciel wnioskuje o udostępnienie mu skargi na niego złożonej, to skarga taka powinna mu zostać udostępniona, o ile jej udostępnienie nie narusza przepisów o ochronie danych osobowych. Nauczyciel ma zatem prawo zapoznać się z treścią skargi, to można to zrobić poprzez wskazanie zawartych w niej zarzutów, unikając naruszenia ochrony danych osobowych zawartych w skardze.
Osoba, która prosi o udzielenie informacji o uczniu - podaje w e-mailu informację, że jest rodzicem dziecka (ojcem). Czy udostępniając dane o uczniu (informację czy dziecko zostało przez matkę zapisane do naszej szkoły), naruszamy przepisy o ochronie danych osobowych?
W przypadku opisanym w pytaniu nie można udzielić informacji o uczniu drogą mailową. Należy zachować szczególną ostrożność, udzielając informacji o uczniu w przypadku, gdy nie jest możliwe zidentyfikowanie odbiorcy tej informacji. Zawiera ona natomiast dane osobowe, które oczywiście muszą być szczególnie chronione, zgodnie z regulacjami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, czyli RODO.
Udostępnianie danych osobowych podmiotowi, którego tożsamość nie mogła zostać w żaden sposób zweryfikowana, grozi naruszeniem ochrony danych, pociągającym za sobą konsekwencje przewidziane m.in. w art. 33 RODO. Przepis ten wskazuje natomiast, że w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia - zgłasza je organowi nadzorczemu, czyli Prezesowi Urzędu Ochrony Danych Osobowych, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia.
Naruszenie ochrony danych może również skutkować nałożeniem kary administracyjnej. Dlatego też, w przypadku, gdy nie ma możliwość identyfikacji odbiorcy warto wezwać go do osobistego stawiennictwa w szkole, właśnie w celu dokonania tej identyfikacji.
Czy można prowadzić zeszyt obserwacji ucznia szkoły podstawowej, w którym byłyby zapisywane informacje o jego zachowaniu i który byłby codziennie przekazywany za pośrednictwem ucznia rodzicom? Czy nie byłoby to naruszenie przepisów RODO?
Przepisy prawa oświatowego nie wprowadzają możliwości prowadzenia zeszytu obserwacji ucznia. Dane osobowe mogą być przetwarzane, jeśli osoba, której dotyczy przetwarzanie (opiekun prawny) wyraziła zgodę na przetwarzanie swoich danych osobowych w określonym celu.
Żaden przepis prawa oświatowego nie wskazuje na możliwość prowadzenia zeszytu obserwacji ucznia. W szkołach publicznych prowadzi się:
księgę ewidencji uczniów,
dzienniki zajęć (w tym rewalidacyjno-wychowawczych i indywidulanych),
w indywidualnej teczce, dla każdego ucznia dokumentację badań i czynności uzupełniających prowadzonych w szczególności przez pedagoga, psychologa, logopedę, doradcę zawodowego, terapeutę pedagogicznego, lekarza oraz innego specjalistę, a także indywidualne programy edukacyjno-terapeutyczne oraz indywidualne programy zajęć.
Odpowiednio zatem dokumentacja w podobnym zakresie powinna być prowadzona w szkole niepublicznej.
Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków określonych w RODO:
W mojej ocenie nie zachodzi prawna możliwość prowadzenia zeszytu obserwacji ucznia. Natomiast dane osobowe mogą być przetwarzane, jeśli osoba, której dotyczy przetwarzanie (opiekun prawny) wyraziła zgodę na przetwarzanie swoich danych osobowych w określonym celu.
Od 4 maja 2019 r. ograniczony zostaje zakres danych osobowych, jakie można pozyskiwać i przetwarzać w ramach rekrutacji do pracy oraz zatrudniania pracowników. Sprawdź, jakich danych będzie można żądać od kandydata do pracy, a jakie będzie można uzyskać tylko z jego inicjatywy.
Zakres danych osobowych, które można pozyskać od kandydata do pracy – patrz tabela 1.
Zakres danych osobowych, które można pozyskać od pracownika – patrz tabela numer 2.
Pracodawca będzie mógł przetwarzać także inne dane osobowe kandydata do pracy i pracownika za ich zgodą. Osoby te będą mogły swoją zgodę w każdym czasie wycofać, lecz nie może to powodować wobec niego jakichkolwiek negatywnych konsekwencji, w szczególności nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę.
Co do zasady pozyskanie dodatkowych danych osobowych będzie możliwe zarówno na wniosek pracodawcy, jak i z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Jednakże przetwarzanie danych:
ujawniających:
biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej,
dotyczących zdrowia, seksualności lub orientacji seksualnej osoby ubiegającej się o zatrudnienie lub pracownika możliwe będzie wyłącznie za zgodą i z inicjatywy tej osoby (art. 22(1b) Kodeksu pracy po nowelizacji w zw. z art. 9 ust. 1 Rozporządzenia RODO).
Dodatkowo, do przetwarzania powyżej wymienionych danych osobowych, będą mogły być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych wydane przez pracodawcę. Osoby dopuszczone do przetwarzania takich danych będą obowiązane do zachowania ich w tajemnicy.
Przetwarzanie danych biometrycznych pracownika będzie jednak dopuszczalne także wtedy, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony.
Wstępnym badaniom lekarskim nie podlega pracownik, który posiada aktualne orzeczenie lekarskie stwierdzające brak przeciwwskazań do pracy w warunkach pracy opisanych w skierowaniu na badania lekarskie i nowy pracodawca stwierdzi, że warunki te odpowiadają warunkom występującym na danym stanowisku pracy. Przepis ten uzupełniono o podstawę żądania przez nowego pracodawcę aktualnego orzeczenia lekarskiego oraz skierowania na badania będące podstawą wydania tego orzeczenia (art. 229 § 1(3) Kodeksu pracy po nowelizacji). Jeżeli pracodawca stwierdzi jednak, że warunki określone w tym skierowaniu nie odpowiadają warunkom występującym na danym stanowisku pracy, będzie miał obowiązek zwrócić osobie przyjmowanej do pracy to skierowanie oraz orzeczenie lekarskie wydane w wyniku tego skierowania (art. 229 § 7(1) Kodeksu pracy po nowelizacji).
Tabela 1. Zakres danych osobowych, które można pozyskać od kandydata do pracy
Zakres dotychczas pozyskiwanych danych
Zakres danych, jakie można pozyskiwać od 4 maja 2019 r.
3. Miejsce zamieszkania (adres do korespondencji)
3. Dane kontaktowe wskazane przez kandydata
6. Przebieg dotychczasowego zatrudnienia
Tylko jeśli jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku można żądać także danych osobowych obejmujących:
3. Przebieg dotychczasowego zatrudnienia
Tabela 2. Zakres danych osobowych, które można pozyskać od pracownika
Inne dane osobowe pracownika, a także imiona i nazwiska oraz daty urodzenia dzieci pracownika, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy.
Numer PESEL pracownika nadanego przez Rządowe Centrum Informatyczne Powszechnego Elektronicznego Systemu Ewidencji Ludności (RCI PESEL).
Numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość.
Inne dane osobowe jeżeli obowiązek ich podania wynika z odrębnych przepisów.
Inne dane osobowe, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu praw
Ustawa z 6 września 2001 r. o dostępie do informacji publicznej (tekst jedn. Dz.U. z 2018 r., poz. 1330 ze zm.) – art. 2, art. 5.
Ustawa z 26 czerwca 1974 r. Kodeks pracy (Dz.U. z 2018 r., poz. 917 ze zm.).
Ustawa z 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. z 2019 r., poz. 730) – art. 4.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U. UE.L. z 2016 r. nr 119, poz. 1) – art. 6, art. 9 ust. 1, art. 33.
Agnieszka Kosiarz, Michał Łyszczarz, Anna Trochimiuk