RODO w szkole – jak chronić dane uczniów i rodziców zgodnie z prawem?

1. Dlaczego RODO w szkole jest szczególnie wymagające?

Szkoły i przedszkola znajdują się w wyjątkowej sytuacji, jeśli chodzi o ochronę danych osobowych.

1. Przetwarzają dane dzieci, które w rozumieniu RODO należą do grupy wymagającej szczególnej ochrony.
2. Katalog danych w placówce oświatowej jest wyjątkowo szeroki od imion i adresów, przez oceny i frekwencję, po informacje o stanie zdrowia, niepełnosprawności czy sytuacji rodzinnej ucznia.
3. W codziennej pracy szkoły uczestniczy wielu przetwarzających nauczyciele, psycholodzy, pedagodzy, pracownicy sekretariatu, a niekiedy też zewnętrzne podmioty obsługujące dziennik elektroniczny czy stołówkę.

Wszystko to sprawia, że ryzyko niezamierzonego naruszenia przepisów jest w placówkach oświatowych stosunkowo wysokie, a konsekwencje mogą dotknąć zarówno dyrektora, jak i poszczególnych nauczycieli.

2. Kto jest administratorem danych w szkole?

Administratorem danych osobowych w publicznej szkole lub przedszkolu jest co do zasady dyrektor placówki działający w imieniu szkoły jako jednostki organizacyjnej. To właśnie dyrektor odpowiada za wdrożenie i utrzymanie systemu ochrony danych, nadawanie upoważnień pracownikom oraz wyznaczenie Inspektora Ochrony Danych.

Warto wiedzieć, że szkoła obsługiwana przez Centrum Usług Wspólnych (CUW) lub Centrum Obsługi Jednostek Oświatowych może dzielić rolę administratora z podmiotem obsługującym – w takim przypadku niezbędne jest precyzyjne ustalenie, kto za co odpowiada, i udokumentowanie tego w formie porozumienia lub umowy.

3. Jakie dane przetwarza szkoła i na jakiej podstawie?

Jakie dane przetwarza szkoła i na jakiej podstawie?

Szkoła przetwarza dane osobowe na kilku różnych podstawach prawnych, zależnie od kategorii danych i celu ich przetwarzania:

• Przepisy prawa (art. 6 ust. 1 lit. c i e RODO) – prowadzenie dziennika lekcyjnego, dokumentacji pedagogicznej, arkuszy ocen, świadectw i akt osobowych uczniów. To najczęstsza podstawa w placówkach publicznych.
• Umowa (art. 6 ust. 1 lit. b RODO) – umowy z rodzicami dotyczące np. zajęć dodatkowych lub świetlicy.
• Zgoda (art. 6 ust. 1 lit. a RODO) – wyłącznie dla celów, które nie wynikają z żadnego przepisu, np. publikacja wizerunku dziecka na stronie szkoły lub w mediach społecznościowych.
• Uzasadniony interes (art. 6 ust. 1 lit. f RODO) – stosowany bardzo rzadko w szkołach publicznych, wyłącznie w wyjątkowych sytuacjach.

4. Najważniejsze obowiązki szkoły wynikające z RODO

1

Wyznaczenie Inspektora Ochrony Danych (IOD)

Każda szkoła publiczna jako podmiot sektora publicznego jest zobowiązana do wyznaczenia IOD. Jego dane kontaktowe należy zgłosić do UODO i opublikować na stronie BIP placówki. IOD nie zastępuje dyrektora w odpowiedzialności za ochronę danych, lecz pełni rolę doradczą i nadzorczą.

2

Prowadzenie Rejestru Czynności Przetwarzania (RCP)

Szkoła musi prowadzić i na bieżąco aktualizować rejestr wszystkich operacji przetwarzania danych: od dziennika elektronicznego, przez listy kontaktowe rodziców, po monitoring wizyjny. RCP to podstawowy dokument sprawdzany podczas kontroli UODO.

3

Obowiązek informacyjny wobec rodziców i uczniów

Przy każdym pozyskiwaniu danych przy zapisie dziecka do szkoły, zbieraniu danych kontaktowych, organizowaniu wycieczek rodzice i pełnoletni uczniowie muszą otrzymać pełną klauzulę informacyjną. Dokument musi wyjaśniać cel przetwarzania, podstawę prawną, okres przechowywania i prawa przysługujące osobie.

4

Upoważnienia pracowników i ich ewidencja

Każdy pracownik mający dostęp do danych osobowych uczniów i rodziców musi posiadać pisemne upoważnienie określające zakres przetwarzania. Dotyczy to nauczycieli, wychowawców, pedagogów, psychologów, pracowników sekretariatu i stołówki. Upoważnienia należy ewidencjonować i aktualizować przy zmianach zakresu obowiązków

5

Umowy powierzenia z podmiotami zewnętrznymi

Jeśli szkoła korzysta z zewnętrznego dostawcy dziennika elektronicznego, systemu do zarządzania stołówką, oprogramowania kadrowego lub firmy obsługującej serwery, musi mieć podpisaną umowę powierzenia przetwarzania danych z każdym takim podmiotem. Brak umowy powierzenia to jedna z najczęstszych podstaw decyzji UODO.

6

Zgłaszanie naruszeń i procedura incydentowa

Nauczyciel, który przypadkowo wysłał listę ocen do niewłaściwego rodzica, lub pracownik sekretariatu, który zgubił teczki z danymi każda taka sytuacja to potencjalne naruszenie wymagające oceny. Jeśli stwarza ryzyko dla praw uczniów, należy je zgłosić do UODO w ciągu 72 godzin. Szkoła powinna mieć prostą procedurę wewnętrznego zgłaszania incydentów.

7

Szkolenie pracowników

Każdy pracownik przetwarzający dane osobowe musi być przeszkolony z zakresu ochrony danych. W praktyce dotyczy to całego grona pedagogicznego i pracowników administracji. Certyfikat szkolenia stanowi dokumentację realizacji tego obowiązku i jest weryfikowany podczas kontroli.

Realizujemy szkolenia RODO dedykowane pracownikom oświaty

Program obejmuje wszystkie obszary: podstawy prawne, upoważnienia, klauzule informacyjne, monitoring, media społecznościowe i incydenty z przykładami z życia szkoły.

Zapisz się na szkolenie

5. Najczęstsze błędy i pułapki w placówkach oświatowych

1. Publikowanie zdjęć uczniów bez ważnej podstawy prawnej

Wiele szkół umieszcza zdjęcia dzieci na stronie internetowej, w mediach społecznościowych lub w lokalnej prasie, opierając się na zgodach zebranych przy zapisie do szkoły. Problem w tym, że zgody często są wadliwe zbyt ogólne, nieprecyzyjne lub pobrane „przy okazji” innych formalności, co sprawia, że nie spełniają wymogów RODO.

2. Udostępnianie danych uczniów rodzicom innych dzieci

Przekazanie listy kontaktowej klasy wszystkim rodzicom, czy ogłoszenie wyników sprawdzianu z imionami i nazwiskami uczniów, poinformowanie innych rodziców o absencji konkretnego dziecka to sytuacje, które w szkołach zdarzają się nagminnie i które stanowią naruszenie RODO.

3. Monitoring wizyjny bez spełnienia obowiązku informacyjnego

Szkoły coraz częściej instalują kamery zarówno na terenie zewnętrznym, jak i wewnątrz budynku. Tymczasem monitoring w szkole wymaga spełnienia szczegółowych wymogów: poinformowania uczniów, rodziców i pracowników o jego zakresie, celu i podstawie prawnej, oznaczenia kamer tabliczkami i wpisania monitoringu do RCP.

4. Brak umowy powierzenia z dostawcą dziennika elektronicznego

Dziennik elektroniczny to jedno z największych skupisk danych osobowych uczniów i rodziców w szkole. Tymczasem wiele placówek korzysta z zewnętrznych systemów dziennikowych bez podpisanej umowy powierzenia przetwarzania danych z dostawcą. Każdy audyt lub kontrola UODO natychmiast to wykrywa.

5. Przechowywanie dokumentacji szkolnej dłużej niż to konieczne

Zasada minimalizacji danych wymaga, żeby dane były przechowywane nie dłużej, niż jest to niezbędne do celów, w których zostały zebrane. Wiele szkół gromadzi dokumenty (listy, formularze, zgody) latami, bez weryfikacji, czy nadal jest podstawa do ich przechowywania.

6. Dane szczególnych kategorii w szkole – co musisz wiedzieć?

Szkoła bardzo często przetwarza tzw. dane wrażliwe, czyli dane szczególnych kategorii w rozumieniu art. 9 RODO. Zaliczają się do nich między innymi informacje o stanie zdrowia ucznia, orzeczenia o niepełnosprawności, opinie poradni psychologiczno-pedagogicznych czy informacje o wyznaniu religijnym (w kontekście uczestnictwa w lekcjach religii).

Przetwarzanie takich danych wymaga nie tylko wyraźnej podstawy prawnej, lecz także wyjątkowej staranności w zakresie zabezpieczeń. Dane o zdrowiu uczniów nie mogą być przechowywane w ogólnodostępnych miejscach, omawiane przy innych rodzicach ani przekazywane podmiotom, które nie mają prawnej podstawy do ich otrzymania.

7. FAQ – najczęściej zadawane pytania

FAQ

Czy rodzic ma prawo dostępu do wszystkich danych swojego dziecka przetwarzanych przez szkołę?

Tak, rodzic jako przedstawiciel ustawowy dziecka ma prawo do uzyskania informacji o tym, jakie dane dziecka szkoła przetwarza, w jakim celu i na jakiej podstawie. Szkoła ma 30 dni na udzielenie odpowiedzi. Wyjątkiem są sytuacje, gdy udostępnienie danych mogłoby naruszać prawa innych osób, np. danych nauczycieli zawartych w dokumentach oceniających ucznia.

Czy szkoła może używać prywatnych komunikatorów (np. WhatsApp, Messenger) do kontaktu z rodzicami?

To jeden z najczęściej zadawanych pytań. Korzystanie z prywatnych komunikatorów do przesyłania danych uczniów i rodziców jest ryzykowne z punktu widzenia RODO, ponieważ dane mogą być przetwarzane przez dostawców tych aplikacji poza kontrolą szkoły. Bezpieczniejszym rozwiązaniem jest komunikacja wyłącznie przez dziennik elektroniczny lub oficjalne kanały szkoły, do których jest podpisana umowa powierzenia.

Czy nauczyciel może robić zdjęcia uczniom podczas zajęć i wydarzeń szkolnych?

Tak, ale wyłącznie na zasadach zgodnych z RODO. Zdjęcia do celów dokumentacyjnych wewnętrznych (np. kronika szkoły niepubliczna) to inna kategoria niż zdjęcia publikowane na stronie szkoły lub w mediach społecznościowych. Do publikacji wizerunku zawsze wymagana jest odrębna, dobrowolna zgoda rodzica lub pełnoletniego ucznia.

Jak długo szkoła może przechowywać dane uczniów po zakończeniu nauki?

Okresy przechowywania dokumentacji szkolnej wynikają z przepisów prawa oświatowego oraz jednolitego rzeczowego wykazu akt (JRWA). Arkusze ocen przechowuje się bezterminowo, świadectwa – 50 lat, a większość pozostałej dokumentacji od 5 do 25 lat. Po upływie okresu retencji dane powinny być zniszczone w sposób uniemożliwiający ich odtworzenie.

Czy każdy nauczyciel musi przejść szkolenie z RODO?

Tak. Obowiązek przeszkolenia pracowników przetwarzających dane osobowe wynika wprost z przepisów. W szkole dotyczy to całego grona pedagogicznego oraz pracowników administracji, w tym sekretariatu. Certyfikat ukończenia szkolenia stanowi dokumentację realizacji tego obowiązku podczas ewentualnej kontroli UODO.

Co zrobić, gdy rodzic nie wyraża zgody na przetwarzanie danych dziecka?

Jeśli szkoła przetwarza dane na podstawie przepisów prawa, zgoda rodzica nie jest wymagana i jej brak nie ma znaczenia prawnego. Jeśli natomiast chodzi o przetwarzanie oparte na zgodzie np. publikacja zdjęć – brak zgody oznacza, że szkoła po prostu nie może dokonać danej czynności. Odmowa zgody nie może negatywnie wpływać na sytuację ucznia w szkole.

8. Szkolenie RODO dla placówek oświatowych

Prowadzimy szkolenia z ochrony danych osobowych dedykowane pracownikom sektora oświaty. Program łączy część teoretyczną z praktyczną i odpowiada na realne pytania z codziennej pracy nauczyciela, wychowawcy i pracownika sekretariatu.