Wdrożenie RODO w szkole to temat, który w praktyce zawsze dotyka nie tylko przepisów, ale przede wszystkim ludzi. Z doświadczenia wiem, że szkoły bardzo często chcą działać zgodnie z prawem, ale gubią się w natłoku obowiązków, dokumentów i sprzecznych interpretacji. A trzeba pamiętać, że w placówkach oświatowych przetwarzane są dane o szczególnie wrażliwym charakterze, często dotyczące dzieci, czyli grupy wymagającej podwyższonej ochrony.
Wdrożenie RODO w szkole powinno zacząć się od uporządkowania procesów, a nie od tworzenia dokumentów „na zapas”. Kluczowe jest zrozumienie, jakie dane są przetwarzane w sekretariacie, przez nauczycieli, pedagogów, psychologów, w dziennikach elektronicznych, systemach rekrutacyjnych czy podczas zajęć dodatkowych. Dopiero mając ten obraz, można sensownie dobrać dokumentację i środki ochrony.
Bardzo istotnym elementem jest również rola pracowników szkoły. Nawet najlepsze procedury nie zadziałają, jeżeli nauczyciele i administracja nie wiedzą, jak postępować z danymi uczniów i rodziców w codziennej pracy. W szkołach naruszenia najczęściej nie wynikają ze złej woli, lecz z pośpiechu, rutyny i braku jasnych zasad.
Wdrożenie RODO w szkole nie powinno blokować jej funkcjonowania ani utrudniać pracy dydaktycznej. Dobrze przeprowadzone wdrożenie porządkuje odpowiedzialności, zwiększa bezpieczeństwo danych i daje dyrekcji realne narzędzia do wykazania rozliczalności. I właśnie o to w RODO chodzi, także w edukacji.
Spis treści
RODO w szkole
Często otrzymujemy zapytania od niepewnych dyrektorów szkół, nauczycieli oraz innych pracowników placówek oświatowych, szczególny wzrost zapytań oraz niepewności odnotowaliśmy podczas pandemii koronawirusa, kiedy to wątpliwości kwestii przetwarzania danych dot. zdrowia uczniów były szczególnie obecne. Dlatego uważamy, że tak ważna jest poprawna edukacja i zrozumienie przepisów ochrony danych osobowych.
Ogólne rozporządzenie o ochronie danych RODO obowiązuje od 25 maja 2018 roku. Chodź od wejścia w życie przepisów RODO minęło już parę lat w dalszych ciągu budzi ono skrajne emocje. Podczas przeprowadzenia audytów oraz szkoleń zetknęliśmy się z wieloma mitami na temat RODO. Mity te nie są wynikiem treści rozporządzenia, tylko jego błędnej interpretacji. Obawa przed wysokimi karami finansowymi spowodowała utarcie się wielu nieprawdziwych i szkodliwych schematów na gruncie tematyki ochrony danych osobowych.
Uważamy, że błędna interpretacja oraz nadgorliwość w stosowaniu przepisów RODO niesie za sobą ogromne ryzyko, dlatego tak ważne jest poprawne wdrożenie przepisów ochrony danych osobowych do szkół. Szkoły oraz placówki oświatowe przetwarzają dane osobowe na dużą skalę, w tym dane szczególnej kategorii (dane wrażliwe), których podmiotem są w większości przypadków osoby małoletnie.
Należy również pamiętać, ze szkoły oraz placówki oświatowe jako podmioty publiczne są zobligowane do powołania Inspektorów Ochrony Danych Osobowych – osób odpowiedzialnych za pomoc oraz doradztwo administratorowi we wszystkich kwestiach związanych z ochroną danych osobowych. Na stanowisko IOD zazwyczaj są powoływani pracownicy tych placówek, dlatego ważnym jest by przeszli oni właściwe szkolenie.
Wdrożenie RODO w szkole
Jeśli szkoła chce wdrożyć unijne przepisy dotyczące ochrony danych osobowych (RODO), musi zapewnić właściwe zabezpieczenia, aby chronić dane uczniów. Przepisy te mają na celu zapewnienie, że dane osobowe uczniów są bezpieczne i przetwarzane zgodnie z prawem. Aby to zrobić, szkoła musi wdrożyć określone środki ochrony, takie jak szyfrowanie danych, stosowanie silnych haseł i wykorzystanie systemu kontroli dostępu.
Szkoła powinna tworzyć politykę o ochronie danych osobowych, aby wyjaśnić, jakie dane są przetwarzane, w jaki sposób są chronione i kto ma dostęp do nich. Powinna ona zawierać informacje na temat rodzajów danych przetwarzanych, środków technicznych i organizacyjnych stosowanych do ich ochrony oraz odpowiedzialności za ich właściwe wykorzystanie.
Oprócz tworzenia polityki ochrony danych osobowych, szkoła powinna również wdrażać procedury w celu zapewnienia, że są one przestrzegane. Powinna również przeprowadzać regularne kontrole, aby upewnić się, że dane są właściwie przechowywane i wykorzystywane, oraz stosować odpowiednie środki ochrony w miejscach, w których przechowywane są dane. Ponadto, szkoła powinna okresowo przeprowadzać szkolenia dla swoich pracowników, aby upewnić się, że wszyscy pracownicy znają przepisy ochrony danych osobowych oraz wiedzą jakie normy zostały wdrożone przez IOD.
Jakie dane osobowe przetwarza szkoła?
Szkoły przetwarzają szereg danych osobowych, w tym dane o urodzeniu, adresie, historii edukacji, płci i numerze PESEL. Szkoły mogą również przechowywać i przetwarzać dane dotyczące zdrowia i bezpieczeństwa uczniów, dane dotyczące zarobków rodziców lub opiekunów oraz informacje dotyczące nieobecności uczniów.
RODO w szkole językowej
Wdrożenie RODO w szkołach językowych opiera się na tych samych podstawowych zasadach co w każdej innej instytucji edukacyjnej: każda informacja dotycząca zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej podlega ochronie zgodnie z art. 4 ust. 1 RODO. Szkoła językowa jako administrator danych musi zatem:
określić cele i podstawy prawne przetwarzania,
wdrożyć obowiązek informacyjny wobec kursantów i ich rodziców/opiekunów,
stosować środki techniczne i organizacyjne adekwatne do ryzyka,
prowadzić rejestr czynności przetwarzania tam, gdzie jest to konieczne,
a także zadbać o umowy powierzenia z zewnętrznymi podmiotami.
Czy poziom językowy (np. A1/B2/C1) to dane osobowe?
Tak, informacje o umiejętności językowej i przypisany do niej poziom (np. A1, B2, C1) są danymi osobowymi w rozumieniu RODO, gdyż:
Dotyczą osoby zidentyfikowanej lub możliwej do zidentyfikowania – poziom językowy jest przypisany konkretnej osobie, której dane są przetwarzane w systemie edukacyjnym. Nawet jeśli poziom ten sam w sobie nie ujawnia tożsamości, to w kontekście dokumentacji kursanta jest „informacją odnoszącą się do osoby”.
Informacja może odnosić się do profilu edukacyjnego i kompetencji językowej konkretnej osoby – RODO obejmuje „informacje, które mogą być powiązane z osobą” i nie musi to być wyłącznie imię, nazwisko czy PESEL.
Czy to dane szczególnej kategorii (art. 9 RODO)?
Nie, informacje o poziomie językowym nie są danymi szczególnych kategorii ujętymi w art. 9 RODO, ponieważ:
nie odnoszą się do zdrowia, poglądów politycznych, orientacji czy innych wrażliwych cech chronionych wprost przez RODO,
nie dotyczą danych biometrycznych, genetycznych ani stanu zdrowia.
Dlatego nie wymagają szczególnych podstaw przetwarzania sensu stricto z art. 9, ale zawsze mieszczą się w ogólnej ochronie danych osobowych i wymagają odpowiednich podstaw prawnych (np. wykonania umowy kursu językowego, obowiązków informacyjnych, realizacji praw osoby, którym dane dotyczą).
Jakie są zagrożenia dla przetwarzania danych w szkole?
Zagrożenia dla przetwarzania danych w szkole mogą pochodzić z różnych źródeł, w tym z nieautoryzowanych do dostępów do danych, niedostatecznej ochrony danych, nieprawidłowego przechowywania danych oraz niezgodnego z prawem ich wykorzystania. Aby zminimalizować te ryzyka, szkoły powinny wdrożyć odpowiednie środki ochrony, takie jak szyfrowanie danych, tworzenie polityki o ochronie danych i okresowe szkolenia dla pracowników. Ponadto, szkoły powinny regularnie sprawdzać swoje systemy i procedury w celu wykrywania ewentualnych nieprawidłowości i wprowadzać poprawki, jeśli to konieczne. W ten sposób zminimalizują one ryzyko naruszenia przepisów dotyczących ochrony danych osobowych i zapewnią bezpieczeństwo ich przetwarzania.
Szkoły powinny również pamiętać o wykonywaniu regularnych kopii zapasowych danych osobowych w celu ochrony przed utratą danych. Powinny one również stosować określone procedury w przypadku wystąpienia incydentu bezpieczeństwa, aby zapewnić szybkie i skuteczne usunięcie wszelkich nieprawidłowości. Wreszcie, szkoły powinny stosować mechanizmy monitorowania i raportowania zgodnie z obowiązującymi przepisami dotyczącymi ochrony danych osobowych, aby zapewnić pełne przestrzeganie przepisów. Podsumowując, wdrożenie RODO w szkołach oznacza wyższy poziom ochrony danych osobowych uczniów i rodziców. Aby to osiągnąć, szkoły muszą wdrożyć odpowiednie środki ochrony, takie jak szyfrowanie danych, tworzenie polityki o ochronie danych oraz regularne szkolenia dla pracowników. Powinny one również wykonywać regularne kopie zapasowe danych i stosować procedury w przypadku incydentów bezpieczeństwa, aby zapewnić skuteczną ochronę danych osobowych.
Ochrona danych osobowych w szkole – kategorie danych osobowych:
a) dane tzw. zwykłe:
- imię, nazwisko,
- adres zamieszkania,
- data i miejsce urodzenia,
- numer telefonu,
- wykonywany zawód,
- adres e-mail itp.,
b) szczególne kategorie danych osobowych:
- pochodzenie rasowe lub etniczne,
- poglądy polityczne,
- przekonania religijne lub światopoglądowe,
- przynależność do związków zawodowych,
- dane genetyczne,
- dane biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej,
- dane dotyczące zdrowia, seksualności lub orientacji seksualnej,
c) dane dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa.
Status dyrektora szkoły w realiach przepisów ochrony danych
Administratorem danych osobowych jest szkoła i to jej zadaniem jest przestrzegane przepisów ochrony danych osobowych oraz wykazanie owego przestrzegania, zgodnie z zasadą rozliczalności. Dyrektor szkoły na mocy art. 7 ustawy Karta Nauczyciela reprezentuje szkołę, jest więc on osobą odpowiedzialną za prawidłowy nadzór przetwarzania danych osobowych w szkole.
Jakie kategorie danych osobowych są przetwarzane w szkołach i placówkach oświatowych?
- dane osobowe zwykłe, np. imię i nazwisko, NIP, adres, dane kontaktowe, wizerunek, obecność, oceny;
- dane osobowe szczególne tzw. wrażliwe, np. dane biometryczne ucznia (odciski palców), przekonania religijne (uczestnictwo w zajęciach katechezy), stan zdrowia (np. badania podmiotowe, zwolnienie z lekcji W-F);
- dane dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa. W celu potwierdzenia spełniania warunku niekaralności nauczyciel, przed nawiązaniem stosunku pracy, jest obowiązany przedstawić dyrektorowi szkoły informację z Krajowego Rejestru Karnego.
Rozliczalność w szkole (art. 5 ust. 2 RODO)
Rozliczalność w szkole jest jednym z filarów skutecznego wdrożenia RODO w szkole. Zasada ta oznacza, że szkoła – jako administrator danych osobowych – ma nie tylko stosować przepisy RODO, ale również móc udowodnić, że je stosuje. W praktyce oznacza to konieczność dokumentowania wszystkich działań związanych z ochroną danych.
Szkoła powinna być w stanie w każdej chwili wykazać, że dane uczniów, rodziców i pracowników są przetwarzane:
- zgodnie z prawem i w sposób przejrzysty,
- w jasno określonych celach,
- w minimalnym niezbędnym zakresie,
- prawidłowo i aktualnie,
- przez okres konieczny do realizacji tych celów,
- z zachowaniem odpowiednich zabezpieczeń technicznych i organizacyjnych.
Aby wypełnić wymogi rozliczalności, szkoła powinna stosować narzędzia i procedury takie jak:
- Rejestr czynności przetwarzania – dokument opisujący wszystkie procesy związane z danymi osobowymi, ich cele, podstawy prawne, kategorie odbiorców i zabezpieczenia.
- Polityki i procedury ochrony danych – określające zasady postępowania z dokumentacją papierową i elektroniczną, reagowania na incydenty, udzielania dostępu do danych.
- Protokoły z audytów i kontroli wewnętrznych – regularne sprawdzanie, czy pracownicy stosują się do ustalonych procedur.
- Procedury reagowania na naruszenia – opis działań, jakie należy podjąć w przypadku np. zgubienia dokumentów, włamania do systemu czy ujawnienia danych osobom nieuprawnionym.
- Potwierdzenia szkoleń pracowników – dowody na to, że personel został przeszkolony z zasad ochrony danych i zna swoje obowiązki.
Co istotne, brak dokumentacji może być potraktowany jako naruszenie RODO nawet wtedy, gdy szkoła faktycznie przestrzega prawa. Wynika to z faktu, że organ nadzorczy ocenia nie tylko stan faktyczny, ale i zdolność administratora do udokumentowania zgodności swoich działań z przepisami.
Przetwarzanie danych osobowych w szkole
„Przetwarzanie” zgodnie z art. 4 pkt 2 RODO oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
Przetwarzanie danych osobowych zwykłych jest zgodne z prawem, gdy:
- osoba, której dane dotyczą wyraziła na to zgodę;
- jest to niezbędne do zawarcia, bądź realizacji umowy;
- jest to niezbędne do wypełnienia obowiązku prawnego;
- jest to niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej;
- jest to niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
- jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub prawa i wolności osoby, której dane dotyczą.
Każda z powyższych przesłanek może stanowić samodzielną podstawę, która legalizuje przetwarzania danych osobowych.
W szkołach i placówkach oświatowych zazwyczaj przetwarzanie odbywa się na podstawie przepisów prawa, dlatego odbieranie dodatkowych zgód od rodziców czy opiekunów prawnych jest potrzebne. Zgodnie z dobrą praktyką ochrony danych osobowych, opieranie przetwarzania o przesłankę zgody jest ostatecznością i należy o nią prosić w sytuacjach, w których nie ma innej podstawy prawnej. Trzeba również pamiętać, że zgoda to dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia woli lub wyraźnego działania potwierdzającego przyzwala na przetwarzanie dotyczących jej danych osobowych.
Ważnym jest również by rozróżnić pobieranie pisemnej zgody od rodzica lub opiekuna prawnego na przetwarzani danych osobowych dziecka, a pobieranie pisemnych potwierdzeń o zapoznaniu się z informacjami na temat przetwarzania danych osobowych, które jest dobra praktyką i pomaga szkole jako administratorowi spełnić tzw. obowiązkiem informacyjnym wyrażony w art. 13 RODO.
Przetwarzanie danych szczególnej kategorii danych w szkołach jest możliwe w szczególnych przypadkach (art. 9 ust. 2 RODO):
- udzielenie wyraźnej zgody na przetwarzanie danych w konkretnym celu;
- przetwarzanie danych jest niezbędne do wypełnienia obowiązków i wykonywania poszczególnych praw przez administratora lub osobę, której dane dotyczą w dziedzinie prawa pracy, zabezpieczenia socjalnego i społecznego;
- przetwarzania danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej;
- przetwarzanie danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;
- przetwarzanie danych jest niezbędne ze względów związanych z ważnym interesem publicznym, o ile przepisy nie naruszają istoty prawa do ochrony danych;
- przetwarzanie danych jest niezbędne do celów oceny zdolności pracownika do pracy;
- przetwarzanie danych jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych, historycznych lub statystycznych.
