Przetwarzanie danych osobowych w szkole to proces, który w praktyce zaczyna się znacznie wcześniej niż pierwszy wpis w dzienniku i kończy dużo później niż wydanie świadectwa. Z mojego doświadczenia wynika, że placówki oświatowe bardzo często nie zdają sobie sprawy, jak szeroki jest zakres danych, które przetwarzają na co dzień, i jak wiele obszarów działalności szkoły obejmuje RODO.
W szkole przetwarzane są dane uczniów, rodziców, nauczycieli i pracowników administracyjnych. Obejmują one nie tylko imiona, nazwiska czy dane kontaktowe, ale również informacje o stanie zdrowia, opiniach i orzeczeniach poradni psychologiczno-pedagogicznych, frekwencji, wynikach nauczania czy sytuacji rodzinnej. To sprawia, że szkoła działa w środowisku podwyższonego ryzyka i musi zachować szczególną ostrożność.
Przetwarzanie danych osobowych w szkole odbywa się w wielu procesach jednocześnie. Sekretariat, dziennik elektroniczny, rekrutacja, zajęcia dodatkowe, stołówka, świetlica, monitoring wizyjny czy komunikacja z rodzicami to tylko część obszarów, w których dochodzi do przetwarzania danych. Każdy z tych procesów musi mieć jasno określony cel, podstawę prawną oraz zakres dostępu do danych.
W praktyce kluczowe znaczenie ma organizacja pracy. Dane osobowe w szkole nie są przetwarzane wyłącznie w systemach informatycznych. Są obecne w dokumentach papierowych, rozmowach, korespondencji e-mailowej i codziennych kontaktach z rodzicami. Dlatego ochrona danych nie sprowadza się do zabezpieczeń technicznych, ale obejmuje również jasne zasady postępowania i świadomość pracowników.
Przetwarzanie danych osobowych w szkole powinno być prowadzone w sposób, który chroni prawa uczniów i rodziców, a jednocześnie nie paraliżuje działalności dydaktycznej. Dobrze uporządkowane procesy i zrozumiałe procedury pozwalają pogodzić obowiązki wynikające z RODO z codziennym funkcjonowaniem placówki oświatowej.
Spis treści
Obowiązki szkoły w zakresie przetwarzania danych osobowych
Dowiedz się, jak szkoły powinny przetwarzać dane osobowe swoich uczniów i pracowników. Przeczytaj nasz artykuł i dowiedz się, jak zapewnić ochronę danych w szkole.
Wprowadzenie
Przetwarzanie danych osobowych w szkole jest niezbędne do realizacji zadań statutowych placówki. Jednocześnie jest to proces, który wymaga przestrzegania odpowiednich zasad i wymagań, w tym zasad ogólnego rozporządzenia o ochronie danych osobowych (RODO). W tym artykule przedstawiamy podstawowe informacje na temat przetwarzania danych osobowych w szkole oraz zasady i wymagania, których należy przestrzegać.
Co to są dane osobowe?
Dane osobowe to informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, takie jak imię, nazwisko, adres zamieszkania, numer telefonu, adres e-mail czy PESEL.
Kto jest administratorem danych osobowych w szkole?
Administratorem danych osobowych jest szkoła reprezentowana przez dyrektora placówki.
Jakie dane osobowe przetwarza szkoła?
Szkoła przetwarza m.in. dane osobowe uczniów i pracowników, takie jak:
- imię i nazwisko
- data i miejsce urodzenia
- adres zamieszkania
- numer PESEL
- numer telefonu i adres e-mail
- dane dotyczące wykształcenia i osiągnięć
- dane dotyczące zatrudnienia i wynagrodzenia
Obowiązki szkoły w zakresie ochrony danych osobowych
Przestrzeganie wdrożonej polityki ochrony danych jest jednym z najważniejszych obowiązków szkoły w zakresie ochrony danych osobowych. Szkoła musi zagwarantować, że wszelkie dane osobowe uczniów, rodziców i pracowników są przechowywane i przetwarzane zgodnie z przepisami RODO.
Ponadto, szkoła musi mieć wyznaczonego Inspektora Ochrony Danych Osobowych (IOD), który będzie nadzorował proces przetwarzania danych osobowych w szkole. IOD jest osobą odpowiedzialną za nadzór nad przestrzeganiem przepisów dotyczących ochrony danych osobowych w szkole oraz za reprezentowanie szkoły w kontaktach z organem nadzorczym ds. ochrony danych osobowych.
Dane osobowe uczniów i rodziców
Szkoła jest odpowiedzialna za przechowywanie i przetwarzanie danych osobowych uczniów i rodziców, takich jak imię i nazwisko, adres zamieszkania, numer telefonu, adres e-mail, itp. Dane te są potrzebne do prowadzenia dokumentacji szkolnej, korespondencji z rodzicami oraz do zapewnienia bezpieczeństwa uczniom.
Szkoła poinformować rodziców lub opiekunów prawnych o procesach przetwarzania danych, o celu przetwarzania danych oraz o prawie do ich wglądu, poprawiania i usuwania. Jest to obowiązek wynikający z art. 13 RODO – jego potoczna nazwa brzmi: obowiązek informacyjnym.
Szkoła powinna przetwarzać dane osobowe uczniów wyłącznie w celu realizacji swoich zadań statutowych, takich jak organizowanie zajęć, wystawianie świadectw czy prowadzenie ewidencji uczniów. Przetwarzanie danych osobowych uczniów musi odbywać się w sposób zgodny z przepisami RODO, z uwzględnieniem zasad poufności, integralności i dostępności. Szkoła powinna dbać o to, by dane uczniów nie były udostępniane osobom trzecim bez ich zgody lub bez wyraźnego upoważnienia przepisami prawa.
Dane osobowe pracowników szkoły
Szkoła również przechowuje i przetwarza dane osobowe swoich pracowników, takie jak imię i nazwisko, numer telefonu, adres e-mail, dane potrzebne do zawarcia umowy o pracę, która jest zwyczajowa przyjętą formą zatrudnienia wśród kadry pedagogicznej itp. W tym przypadku, szkoła musi przestrzegać takich samych przepisów dotyczących ochrony danych osobowych, jak w przypadku danych uczniów i rodziców.
Szkolenia ochrony danych
Szkolenia ochrony danych osobowych, są zalecanym środkiem organizacyjnym ochrony danych osobowych, przeprowadzenie ich przez szkołę świadczy o dobrych praktykach ochrony danych osobowych, dzięki szkoleniu kadra pedagogiczna może świadomie przetwarzać dane osobowe i przestrzegać przepisów dotyczących ochrony danych.
Jakie prawa przysługują osobom, których dane osobowe są przetwarzane w szkole?
Osoby, których dane osobowe są przetwarzane w szkole, mają prawo do:
- dostępu do swoich danych osobowych
- ich sprostowania
- usunięcia
- ograniczenia przetwarzania
- przenoszenia
- wniesienia sprzeciwu wobec przetwarzania danych osobowych
Jakie są zagrożenia dla przetwarzania danych w szkole?
Zagrożenia dla przetwarzania danych w szkole mogą pochodzić z różnych źródeł, w tym z nieautoryzowanych do dostępów do danych, niedostatecznej ochrony danych, nieprawidłowego przechowywania danych oraz niezgodnego z prawem ich wykorzystania. Aby zminimalizować te ryzyka, szkoły powinny wdrożyć odpowiednie środki ochrony, takie jak szyfrowanie danych, tworzenie polityki o ochronie danych i okresowe szkolenia dla pracowników. Ponadto, szkoły powinny regularnie sprawdzać swoje systemy i procedury w celu wykrywania ewentualnych nieprawidłowości i wprowadzać poprawki, jeśli to konieczne. W ten sposób zminimalizują one ryzyko naruszenia przepisów dotyczących ochrony danych osobowych i zapewnią bezpieczeństwo ich przetwarzania.
Co to jest audyt RODO? Audyt RODO w szkole
Audyt RODO to proces weryfikacji zgodności działań firmy z wymaganiami Rozporządzenia o ochronie danych osobowych. Celem audytu jest identyfikacja zagrożeń dla danych osobowych oraz wskazanie działań, które należy podjąć w celu poprawy bezpieczeństwa danych.
Korzyści wynikające z przeprowadzenia audytu RODO w szkole
Przeprowadzenie audytu RODO w szkole ma wiele korzyści zarówno dla szkoły jak i uczniów. W tej sekcji omawiamy najważniejsze z nich:
- Poprawa bezpieczeństwa danych osobowych w szkole.
- Zwiększenie świadomości pracowników na temat ochrony danych osobowych.
- Zwiększenie zaufania rodziców do szkoły
- Minimalizacja ryzyka naruszenia przepisów o ochronie danych osobowych.
- Oszczędność czasu i pieniędzy w dłuższej perspektywie.
Kto powinien przeprowadzić audyt RODO?
W celu przeprowadzenia audytu RODO w firmie należy przygotować odpowiedni zespół, składający się z osób posiadających odpowiednie kompetencje, doświadczenie i kwalifikacje zawodowe, w szczególności:
- Wiedzę i doświadczenie w zakresie ochrony danych osobowych, w tym znajomość RODO i innych przepisów dotyczących ochrony danych.
- Zrozumienie procesów przetwarzania danych i zabezpieczeń technicznych i organizacyjnych.
- Umiejętność identyfikacji i oceny ryzyka związanego z przetwarzaniem danych osobowych.
- Umiejętność komunikacji i pracy w grupie.
- Certyfikat lub szkolenie specjalistyczne w zakresie ochrony danych osobowych.
- Doświadczenie w przeprowadzaniu audytów i analizie danych.
Uwaga: Wymagania audytora RODO nie zostały określony przez RODO, ani żaden inny przepis ochrony danych osobowych.
Przeprowadzenie audytu RODO w szkole
Przeprowadzenie audytu RODO w szkole pozwala na zidentyfikowanie zagrożeń i słabości w zakresie ochrony danych osobowych oraz na przygotowanie planu działań, który pozwoli na poprawę bezpieczeństwa danych w szkole. Przeprowadzenie audytu RODO powinno odbywać się regularnie, a zespół odpowiedzialny za przeprowadzenie audytu powinien mieć odpowiednie kwalifikacje i doświadczenie. Brak przeprowadzenia audytu RODO może skutkować poważnymi konsekwencjami w postaci kar finansowych, utraty zaufania rodziców oraz wypowiedzeniem umowy bez zachowania okresu wypowiedzenia. Dlatego też warto inwestować w przeprowadzenie audytu RODO i regularnie monitorować stan ochrony danych osobowych w szkole.
Jak przeprowadzić audyt RODO w szkole? Kroki do wykonania.
Przygotowanie planu audytu – należy ustalić cel audytu oraz zakres działań, które zostaną poddane weryfikacji.
Przeprowadzenie inwentaryzacji danych osobowych – należy zbadać, jakie dane osobowe szkoła przetwarza, jakie są źródła tych danych, jakie cele przetwarzania są realizowane oraz kto ma dostęp do danych.
Weryfikacja zgodności z przepisami RODO – należy sprawdzić, czy szkoła przestrzega wymogów RODO, takich jak informowanie osób o przetwarzaniu danych, uzyskiwanie zgody na przetwarzanie danych, zapewnienie odpowiedniego poziomu bezpieczeństwa danych itp.
Ocena ryzyka – należy ocenić ryzyko związane z przetwarzaniem danych osobowych oraz zaproponować odpowiednie środki zapobiegawcze.
Wnioski i rekomendacje – na podstawie przeprowadzonego audytu należy przygotować raport, w którym zostaną zawarte wnioski i rekomendacje dotyczące poprawy ochrony danych osobowych w szkole.
Konsekwencje niewłaściwego przetwarzania danych osobowych w szkole
Niewłaściwe przetwarzanie danych osobowych w szkole może skutkować poważnymi konsekwencjami, takimi jak kary finansowe, utrata zaufania uczniów i rodziców oraz negatywny wpływ na reputację szkoły. Zgodnie z RODO maksymalna wysokość kary pieniężnej, która może być nałożona na podstawie RODO, wynosi – co do zasady – 20 milionów euro lub 4% całkowitego rocznego światowego obrotu przedsiębiorcy z poprzedniego roku obrotowego. Warto jednak zaznaczyć, że szkołę jako podmiot publiczny zgodnie z art. 102 ustawy o ochronie danych osobowych obowiązuję dużo mniejsze stawki. Zgodnie z powyższym artykułem Prezes UODO może nałożyć maksymalnie 100 000 zł kary na jednostki sektora finansów publicznych (określone w art. 9 ustawy o finansach publicznych).
Wszyscy pracownicy szkoły powinni być świadomi konsekwencji niewłaściwego przetwarzania danych osobowych i przestrzegać polityki ochrony danych, aby zapewnić ochronę danych uczniów i pracowników.
Rozporządzenie o Ochronie Danych Osobowych (RODO) wymaga od przedsiębiorców, aby oni stosowali odpowiednie środki organizacyjne i techniczne w celu zapewnienia bezpieczeństwa przetwarzania danych osobowych. Przykłady takich środków to:
- Uwierzytelnianie – dostęp do danych osobowych mają jedynie upoważnieni przez administratora pracownicy, którzy legitymują się nadanym identyfikatorem i hasłem,
- Kopie zapasowe danych – w przypadku kiedy dane osobowe zostaną utracone, administrator będzie miał możliwość odzyskania ich z innego źródła,
- Anonimizacja – przekształcenie danych osobowych w takim stopniu, że nie jest możliwa identyfikacja konkretnej osoby,
- Zasada poufności – zobowiązanie pracowników do zachowania w tajemnicy przetwarzanie danych osobowych oraz sposobu ich zabezpieczenia
- Szyfrowanie danych: stosowanie szyfrowania danych osobowych w celu zabezpieczenia ich przed nieautoryzowanym dostępem.
- Zabezpieczenia fizyczne: zabezpieczanie pomieszczeń, w których przechowywane są dane osobowe, przed dostępem osób nieupoważnionych.
- Zabezpieczenia sieciowe: stosowanie zabezpieczeń sieciowych, takich jak firewalle, filtrowanie pakietów i VPN, w celu zabezpieczenia danych osobowych przed nieautoryzowanym dostępem z internetu.
- Dzienniki zdarzeń: rejestrowanie działań przetwarzania danych osobowych, w celu śledzenia i wykrywania nieautoryzowanych działań.
- Ochrona haseł: stosowanie silnych haseł i regularne ich zmienianie, w celu ochrony przed nieautoryzowanym dostępem.
- Kontrola dostępu: udzielanie dostępu do danych osobowych tylko upoważnionym pracownikom i zabezpieczenie przed nieautoryzowanym dostępem.
- Procedury awaryjne: opracowanie i regularne testowanie procedur awaryjnych, które pozwolą na skuteczne przywracanie danych osobowych w przypadku awarii lub naruszenia ochrony danych.
- Szkolenia: szkolenia pracowników w zakresie przepisów RODO oraz odpowiednich procedur i środków bezpieczeństwa.
Rozliczalność w szkole – obowiązek wykazania zgodności z RODO
Zasada rozliczalności, ujęta w art. 5 ust. 2 RODO, nakłada na administratora danych – w przypadku szkoły jest nim najczęściej dyrektor – obowiązek nie tylko wdrażania i przestrzegania zasad przetwarzania danych osobowych w szkole, ale także możliwości udowodnienia, w jaki sposób są one realizowane w praktyce. Oznacza to, że placówka musi w każdej chwili być w stanie wykazać, że dane uczniów, rodziców i pracowników są:
- przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty,
- zbierane w konkretnych i uzasadnionych celach,
- ograniczone do niezbędnego zakresu,
- prawidłowe i aktualne,
- przechowywane przez czas niezbędny do realizacji celów,
- odpowiednio zabezpieczone.
W kontekście szkoły rozliczalność obejmuje m.in.:
- Dokumentowanie działań – prowadzenie rejestru czynności przetwarzania danych osobowych w szkole, w którym odnotowuje się cel i zakres przetwarzania, podstawę prawną, kategorie osób i danych oraz wszystkie procesy związane z danymi osobowymi.
- Transparentność – przygotowanie dokumentacji potwierdzającej zgodność działań z RODO, gotowej do okazania podczas kontroli lub audytu. Obejmuje to także wyjaśnienie stosowanych rozwiązań oraz dowody, że wszystkie obowiązki wynikające z RODO są spełnione.
- Obsługę zgłoszeń i realizację praw jednostki – umożliwienie osobom, których dane dotyczą, skorzystania z praw takich jak dostęp do danych, ich sprostowanie, usunięcie czy ograniczenie przetwarzania. Każde żądanie powinno być udokumentowane i prawidłowo obsłużone.
- Zgłaszanie naruszeń – w razie naruszenia ochrony danych osobowych szkoła ma obowiązek zgłosić ten fakt do Prezesa Urzędu Ochrony Danych Osobowych w ciągu maksymalnie 72 godzin.
- Stosowanie środków technicznych i organizacyjnych – wdrażanie rozwiązań zwiększających bezpieczeństwo danych, takich jak szyfrowanie, polityka czystego biurka czy wykonywanie kopii zapasowych, wraz z ich dokumentowaniem i uzasadnieniem.
Brak właściwej dokumentacji może zostać uznany za naruszenie RODO, nawet jeśli szkoła w praktyce działa zgodnie z przepisami. Dlatego zasada rozliczalności wymaga nie tylko prawidłowego postępowania, ale i systematycznego udowadniania tego w sposób formalny.
Rejestr czynności przetwarzania danych osobowych w szkole
Rejestr czynności przetwarzania, o którym mowa w art. 30 RODO, to dokument opisujący, jakie operacje na danych osobowych wykonuje szkoła, w jakim celu, na jakiej podstawie prawnej i w jakim zakresie. Obowiązek jego prowadzenia dotyczy również jednostek oświatowych, ponieważ przetwarzają one dane w sposób systematyczny i na dużą skalę.
W rejestrze szkoły powinny znaleźć się:
- nazwa czynności przetwarzania,
- cel przetwarzania,
- podstawa prawna (np. ustawa Prawo oświatowe, zgoda rodzica),
- źródło danych,
- kategorie danych (np. dane identyfikacyjne, dane o stanie zdrowia),
- nazwa podmiotu przetwarzającego dane (procesora),
- kategorie odbiorców (np. organ prowadzący, kuratorium, dostawcy usług IT),
- transfer danych do kraju trzeciego (jeśli dotyczy),
- planowany okres przechowywania danych,
- lokalizacja danych,
- opis zabezpieczeń.
Jak prowadzić rejestr czynności przetwarzania w praktyce?
- Forma prowadzenia rejestru
Rejestr czynności przetwarzania danych osobowych w szkole może być prowadzony zarówno w wersji papierowej, jak i elektronicznej. Kluczowe jest, aby był utrzymywany w aktualnej formie i zawierał pełny zakres wymaganych informacji.
- Układ rejestru
Najczęściej spotykanym rozwiązaniem jest tabela, w której poszczególne kolumny obejmują wymagane dane o czynnościach przetwarzania. Wzory takich rejestrów, w tym dostosowane do specyfiki szkół, można znaleźć np. na stronie internetowej Urzędu Ochrony Danych Osobowych.
- Bieżąca aktualizacja
Każda istotna zmiana w procesach przetwarzania danych osobowych w szkole – np. wprowadzenie nowego oprogramowania, modyfikacja celu przetwarzania czy rozszerzenie zakresu danych – powinna być niezwłocznie ujęta w rejestrze.
- Udostępnianie rejestru
Rejestr powinien być dostępny do wglądu na żądanie organu nadzorczego (np. UODO) oraz osób, których dane są w nim ujęte.
Czym jest powierzenie danych osobowych?
Powierzenie danych ma miejsce wtedy, gdy szkoła – jako administrator – przekazuje określone informacje innemu podmiotowi po to, aby ten je przetwarzał wyłącznie w jej imieniu i zgodnie z jej poleceniami. W świecie edukacji dotyczy to m.in.:
- firm utrzymujących i obsługujących dzienniki elektroniczne,
- dostawców zewnętrznych platform e-learningowych,
- serwisów odpowiedzialnych za obsługę monitoringu,
- operatorów poczty elektronicznej czy hostingu,
- biur rachunkowych prowadzących księgowość szkoły.
W takich sytuacjach zewnętrzny podmiot pełni funkcję procesora, a cała odpowiedzialność za zgodność przetwarzania danych osobowych w szkole z przepisami nadal spoczywa na szkole jako administratorze danych.
Zasady, których trzeba przestrzegać
- Formalne potwierdzenie współpracy – zgodnie z art. 28 RODO, powierzenie wymaga zawarcia pisemnej (także elektronicznej) umowy lub innego dokumentu prawnego. Musi on jasno określać m.in. cel przetwarzania, jego czas, zakres, rodzaj powierzanych danych oraz zobowiązania stron.
- Odpowiednie zabezpieczenia – procesor ma obowiązek zastosować środki techniczne i organizacyjne gwarantujące bezpieczeństwo informacji, np. szyfrowanie czy kontrolę dostępu.
- Brak możliwości wykorzystywania danych dla siebie – podmiot przetwarzający nie może używać danych w żadnych innych celach niż te, które określiła szkoła.
Powierzenie a udostępnienie – istotna różnica
- W przypadku powierzenia dane są przetwarzane wyłącznie w interesie i na rzecz szkoły (np. firma IT utrzymująca e-dziennik).
- Przy udostępnieniu inny podmiot staje się administratorem danych i samodzielnie decyduje o ich wykorzystaniu (np. przekazanie danych organowi podatkowemu lub urzędowi pracy w celu realizacji praktyk zawodowych).
Przykłady z codziennej praktyki
- Zewnętrzna firma IT prowadzi dziennik elektroniczny szkoły, przetwarzając dane uczniów, rodziców i nauczycieli wyłącznie zgodnie z zapisami umowy powierzenia.
- Biuro rachunkowe obsługujące szkołę ma dostęp do danych pracowników i korzysta z nich tylko w ramach zleconych działań księgowych.
Starannie przygotowana umowa, z wyraźnym podziałem obowiązków i zakresem przetwarzania, jest niezbędnym elementem bezpiecznego i zgodnego z RODO przekazywania danych podmiotom zewnętrznym.
Umowa powierzenia danych osobowych w szkole - co powinna zawierać?
Każda współpraca szkoły z podmiotem przetwarzającym dane w jej imieniu wymaga zawarcia umowy powierzenia lub innego instrumentu prawnego. Umowa ta musi być zawarta w formie pisemnej (również elektronicznej) i powinna określać m.in.:
- przedmiot i czas trwania przetwarzania,
- cel i charakter przetwarzania,
- rodzaj danych osobowych (np. imiona, nazwiska, PESEL, dane kontaktowe, informacje o zdrowiu),
- obowiązki podmiotu przetwarzającego,
- kategorie osób, których dane dotyczą (uczniowie, rodzice, pracownicy),
- obowiązki i prawa administratora,
- zobowiązanie podmiotu przetwarzającego do przetwarzania danych wyłącznie na udokumentowane polecenie szkoły,
- wymóg zachowania poufności przez osoby upoważnione do przetwarzania danych,
- obowiązek wdrożenia odpowiednich środków bezpieczeństwa zgodnych z art. 32 RODO,
- zasady korzystania z podwykonawców,
- procedurę zwrotu lub usunięcia danych po zakończeniu współpracy,
- umożliwienie przeprowadzania audytów i inspekcji.
Niedopełnienie obowiązku zawarcia takiej umowy lub jej nieprawidłowe sformułowanie może skutkować odpowiedzialnością szkoły jako administratora danych.
Gotowy pakiet RODO dla szkół
Masz szkołę publiczną lub prywatną? Zadbaj o legalne przetwarzanie danych osobowych dzięki gotowemu pakietowi RODO.
