Source: https://82.pre.zzz-temp.e-firma.pl/artykul/zadania-dyrektora-placowki-oswiatowej-w-kontekscie-rodo
Timestamp: 2020-07-14 03:16:33
Legal References Found: Art. 5
 art. 32

Art. 33

Art. 13
 art. 13
 art. 24

Art. 7
 art. 7

Document Content:
Zadania dyrektora placówki oświatowej w kontekście RODO - Nowe zasady przetwarzania danych osobowych po wdrożeniu RODO
Dariusz Skrzyński / 30 września 2019
Od 25 maja 2018 r. zasady przetwarzania danych osobowych w placówkach oświatowych, również w tych prowadzonych przez podmioty niesamorządowe, są ustalane na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, dalej: RODO. Zapisy rozporządzenia unijnego uzupełnia nowa ustawa o ochronie danych osobowych. Reguluje ona jednak zupełnie inne zagadnienia.
Przedstawiamy minimalny wykaz zadań, które powinny zostać zrealizowane przed 25 maja, ale również czynności do wykonania już po tym terminie.
Praktyczne uwagi do zmian
Co należało zrobić przed 25 maja 2018 r.
1. Opracowanie polityki ochrony danych lub dostosowanie funkcjonującej dokumentacji
Art. 5, art. 32 RODO
Warto pomyśleć o przygotowaniu dokumentacji, która będzie choćby w prosty sposób opisywać procedury postępowania z danymi osobowymi, jakie zachodzą w jednostce. Nie musi to być żaden formalny dokument. RODO nie wymaga już bezwzględnie posiadania polityki bezpieczeństwa i instrukcji zarządzania systemami informatycznymi służącymi do przetwarzania danych osobowych.
Przy tworzeniu takiej dokumentacji kluczowe jest, by zastanowić się nad środkami ochrony danych. Środki te muszą być takie, by zapewnić bezpieczeństwo danych (art. 32 RODO). Chodzi o to, by dane nie wyciekły, by nie uzyskał do nich dostępu nikt nieuprawniony, by nikt ich nie skasował, nie zmodyfikował itp. Być może stosowane dotychczas zabezpieczenia techniczne i organizacyjne wystarczą. Być może warto rozważyć wdrożenie dodatkowych środków, które poprawią bezpieczeństwo ochrony danych. Może jakieś informacje w tych dokumentach nie odpowiadają rzeczywistości i należy je poprawić. Jeżeli w placówce nie ma polityki bezpieczeństwa i instrukcji, to warto przygotować choćby jeden dokument opisujący postępowanie z danymi osobowymi w jednostce. W takim dokumencie powinny znaleźć się wszystkie istotne informacje dotyczące obiegu danych osobowych w placówce. Przed przygotowaniem dokumentacji trzeba wdrożyć odpowiednie procedury i środki ochrony danych osobowych, a dopiero potem je opisać. Chodzi o to, by dokumentacja odpowiadała rzeczywistości, a nie była tylko kolejnym niechcianym dokumentem.
2. Opracowanie polityki zarządzania naruszeniami i dokumentacji
naruszeń, z uwzględnieniem wzorów zawiadomień o naruszeniu dla podmiotu danych
Art. 33 i 34 RODO, motyw 85 oraz 87–88 preambuły RODO
Administrator ma obowiązek zgłaszania wszelkich naruszeń bezpieczeństwa danych osobowych w czasie do 72 godzin od naruszenia, bezpośrednio do właściwego organu nadzoru – Prezesa UODO. Musi także poinformować daną osobę o naruszeniu jej danych (art. 33 RODO). Pojęcie „naruszenie ochrony danych osobowych” zasługuje na szczególną uwagę w związku z tym, że zostało zdefiniowane jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
3. Opracowanie nowych klauzul informacyjnych
Art. 13 i 14 RODO, motyw 60–62 preambuły RODO
RODO wprowadza rozszerzony obowiązek informacyjny. Warto porównać art. 13 i 14 RODO oraz art. 24 i 25 obecnej ustawy o ochronie danych osobowych. RODO rozróżnia dwa rodzaje obowiązku informacyjnego – kiedy administrator danych zbiera je:
poprzez ustne przekazanie informacji (ale wówczas szkoła czy przedszkole nie udowodnią, że taki obowiązek spełniły),
na jakimkolwiek formularzu, za pomocą którego zbierane są dane osobowe.
Istnieje wyjątek od konieczności dopełnienia obowiązku informacyjnego, który wskazuje, że gdy osoba, której dane dotyczą, ma już informacje, które powinny być jej przekazane, wtedy nie trzeba spełniać obowiązku informacyjnego. Zatem z obowiązku informacyjnego całkowicie zwolnieni są ci administratorzy danych, którzy przetwarzają dane osób, które wiedzą, kim jest administrator (szkoła, przedszkole) i w jakim celu przetwarza ich dane
4. Opracowanie wzorcowych zgód na przetwa­­rzanie danych
Art. 7 RODO, motyw 32, 33, 42, 43, 58, 171 preambuły RODO
Należy zweryfikować treść zgód obecnie stosowanych i dostosować je do wymagań art. 7 RODO. Rozporządzenie unijne nie wprowadza rewolucyjnych zmian w kwestii zgody. Zgoda może mieć formę nie tylko oświadczenia, ale również wyraźnego działania potwierdzającego (np. udział w konkursie). Podano przykłady form wyrażenia zgody (pisemne, elektroniczne lub ustne oświadczenie). RODO wyjaśnia, jaki minimalny zakres informacji o procesie przetwarzania danych należy przekazać osobie wyrażającej zgodę, aby była ona świadoma: tożsamość administratora i zamierzone cele przetwarzania. Możliwe będzie zbieranie jednej zgody na przetwarzanie danych osobowych w kilku różnych celach (np. na przetwarzanie danych przy rekrutacji i ponowne wykorzystanie danych przy ewentualnym naborze uzupełniającym w przyszłości). Najważniejsze zmiany polegają przede wszystkim na potwierdzeniu w treści RODO warunków wyrażenia zgody (art. 7 RODO).
I tak, żeby przetwarzanie danych na podstawie zgody było legalne, należy zapewnić:
możliwość wycofania zgody w łatwy sposób i w dowolnym momencie – jeśli administrator planuje uzyskiwać zgodę, powinien już na tym wstępnym etapie przewidzieć mechanizm jej wycofania, a więc zastanowić się, jak będzie można tę zgodę odwołać (gdzie rodzic musi się zgłosić, jaki dokument wypełnić),
dobrowolność wyrażenia zgody – chodzi o to, żeby nie uzależniać podjęcia pewnych działań od wyrażenia zgody (np. udział w konkursie uzależniony od wyrażenia zgody na przetwarzanie danych przez podmiot fundujący nagrodę
w konkursie), aby osoba wyrażająca zgodę rozumiała istotę zgody, jej cel i skutki, aby miała pełne rozeznanie, przez kogo konkretnie i w jakim celu jej dane będą przetwarzane,
możliwość udowodnienia uzyskania zgody – jeśli administrator nie jest w stanie tego wykazać, nie dysponuje podstawą prawną umożliwiającą mu przetwarzanie danych osobowych.
„Wyrażam zgodę na przetwarzanie moich danych osobowych (danych mojego dziecka) podanych w ................................, tj. ...................... przez ......................... w celach .......................................... Zgodę wyrażam dobrowolnie. Wiem, że w każdej chwili będę mógł odwołać zgodę przez .................................. (należy wskazać, w jaki sposób można zgodę odwołać)”.
Jednostka nie musi pozyskiwać nowych zgód po 25 maja na wykorzystanie danych uczniów, nauczycieli, pracowników, rodziców, jeżeli zebrane zgody odpowiadają warunkom RODO. Zazwyczaj brak możliwości kontynuowania przetwarzania w oparciu o dotychczasowe zgody będzie wynikał przede wszystkim z niewyrażania zgody w sposób świadomy (np....