CORE CONSULTING

Tag: Uczniowie i rodzice

Jak długo publikować dane uczniów na stronie internetowej?

W dzisiejszych czasach posiadanie przez placówkę oświatową strony internetowej to praktycznie standard. Strona służy do udzielania informacji, do prowadzenia komunikacji z uczniami i rodzicami, do promowania działalności placówki oraz sukcesów jej uczniów. Nierzadko strona internetowa szkoły stanowi elektroniczny odpowiednik kroniki szkolnej, w której przechowywane są zdjęcia czy artykuły z lat poprzednich. Publikacja takich materiałów, wiąże się jednak z koniecznością ich weryfikacji. Nasuwa się zatem pytanie, jak długo można publikować dane uczniów na stronie internetowej? Poniżej przedstawiamy Państwu odpowiedzi.

Na wstępie należy zaznaczyć, że przepisy prawa nie mówią jednoznacznie, jak długo możemy publikować dane (zwłaszcza wizerunek) uczniów na stronie internetowej. Oznacza to, że odpowiedzi musimy udzielić sobie sami w oparciu o zasady wynikające z RODO. Przede wszystkim musimy spełnić dwa warunki: posiadać ważną (aktualną) podstawę przetwarzania danych oraz kierować się zasadą ograniczenia przechowywania danych.

1. Podstawa przetwarzania

Publikacja wizerunku ucznia, możliwa jest dopiero po pobraniu zgody od jego rodziców (lub samego ucznia, gdy jest osobą pełnoletnią). Taka zgoda jest najbardziej adekwatną podstawą prawną, ponieważ prowadzenie strony internetowej (i zamieszczanie na niej materiałów) nie jest ani uprawnieniem, ani obowiązkiem placówki oświatowej. Krótko mówiąc, przepisy prawa ani nie zobowiązują, ani nie zabraniają placówce stworzyć strony. Co do zasady, nie możemy więc oprzeć publikowania danych uczniów o przepis prawa, ani o działanie w interesie publicznym (w tym drugim przypadku, sytuacja przedstawia się nieco odmiennie w przypadku kadry pedagogicznej).

2. Ograniczenie przechowywania danych

Dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Jeśli więc przy przyjmowaniu nowych uczniów do szkoły, zbieramy od ich rodziców zgody na publikację wizerunku na stronie, to powinniśmy przyjąć, że zgoda obowiązuje do momentu jej odwołania i nie dłużej niż przez okres, niezbędny do realizacji celu w postaci, np. zamieszczania wiadomości o bieżących wydarzeniach (a w przypadku np. ukończenia edukacji w placówce przez danego ucznia, należy zastanowić się, czy dalsza publikacja danych, nadal służy do spełnienia przyjętego przez placówkę celu).

Często zadawane pytania

Czy w takim razie dane uczniów mogą być publikowane na stronie w nieskończoność?


Nie. Już na etapie pozyskiwania zgody powinniśmy wiedzieć, jak długo chcemy przetwarzać dane osobowe. Możemy na przykład wewnętrznie ustalić, że zakładka „Aktualności” (również „Galeria” czy „Archiwum”) nie zawiera wpisów starszych niż 3-4 lata. Nie trzeba tego robić w żaden oficjalny sposób (dyrektor nie musi w tym celu wydawać zarządzenia). Najważniejsze, by każda osoba zaangażowana w tworzenie strony wiedziała, jakie zasady zostały przyjęte.

Nasza szkoła ma kilkuletnią tradycję chwalenia się osiągnięciami uczniów – niektóre informacje o naszych sportowcach lub laureatach olimpiad tematycznych sięgają daleko wstecz (8-10 lat). Czy musimy teraz usunąć zakładkę z wybitnymi uczniami i zrezygnować z naszego dorobku?

To zależy. Jeśli przed wejściem RODO do stosowania (czyli przed 25 maja 2018 roku) nie zbieraliśmy zgód od uczniów, mamy dwa wyjścia: skontaktować się z absolwentami, w celu uzyskania od nich zgody na dalszą publikację danych lub, jeżeli nie jest to możliwe, dopiero wtedy usunąć ich dane. Nie możemy przetwarzać danych bezpodstawnie – czyli nie możemy publikować wizerunku lub innych danych uczniów bez ich zgody (lub zgody ich rodziców).

W takim razie chcemy rozpocząć „kolekcjonowanie” sukcesów uczniów od nowa (tzn. odkąd obowiązuje RODO). Czy zgoda, którą zbieramy od każdego nowego ucznia wystarczy, by przez kolejne 5-10 lat publikować informacje o jego wybitnych osiągnięciach?

Rekomendujemy zbieranie osobnej zgody od konkretnych uczniów. Jeżeli chcemy utworzyć specjalną zakładkę lub listę wybitnych uczniów, tak naprawdę tworzymy nowy cel przetwarzania ich danych. Ten cel nie polega już na raportowaniu bieżących wydarzeń, lecz długofalowym promowaniu działalności (jakości nauczania, tradycji) szkoły. Dlatego też uczniowie udzielający zgody powinni mieć świadomość, do czego informacje o nich będą wykorzystywane i przez jaki czas.

Przekazywanie danych osobowych dzieci przedszkolnych do Sanepidu

Pytanie: Proszę o informację w sprawie przekazywania danych osobowych dzieci przedszkolnych do Sanepidu, celem objęcia kwarantanną dzieci, które miały kontakt z zakażonym dzieckiem w przedszkolu. Rodzic uważa, że dyrekcja nie powinna przekazywać takich danych. Dodatkowo dane zostały przekazane w zaszyfrowanym pliku w tabelce, którą otrzymaliśmy od sanepidu.

Odpowiedź: Placówka oświatowa uprawniona jest do udostępnienia danych dzieci, celem objęcia ich kwarantanną, na potrzeby prowadzonego postępowania epidemiologicznego. Oczywiście istotne jest zabezpieczenie tych danych, co słusznie ostało uczynione.

Działanie to, uzasadnione jest realizacją zadań z powołaniem na klauzulę interesu publicznego lub klauzulę władzy publicznej (art. 6 ust. 1 lit. e RODO). Celem takiego przetwarzania jest przeciwdziałanie rozprzestrzenianiu się chorób zakaźnych oraz podjęcie działań ułatwiających służbom sanitarnym dochodzenie epidemiologiczne na wypadek wykrycia, że osoba zakażona przebywała na terenie placówki. Innymi słowy cel jaki przyświeca placówce w przypadku udostępniania danych dzieci to ochrona życia i zdrowia wychowanków, pracowników oraz osób przebywających na terenie Przedszkola, poprzez podejmowanie odpowiednich działań zapobiegawczych w celu unieszkodliwienia źródeł zakażenia i przecięcia dróg szerzenia danej choroby zakaźnej. Jednocześnie jest to ułatwienie prowadzenia dochodzenia epidemiologicznego.  

Potencjalnie rodzic może złożyć sprzeciw wobec takiego przetwarzania, z przyczyn związanych z jego szczególną sytuacją. Realnie jednak taki sprzeciw nie będzie uwzględniony, bowiem przedszkole posiada wspominane powyżej ważne prawnie uzasadnione podstawy do przetwarzania, nadrzędne wobec interesów, praw i wolności osoby, której dane dotyczą – szeroko pojęte przeciwdziałanie chorobom zakaźnym.

Wizerunek ucznia po ukończeniu edukacji w szkole

Wizerunek osoby, która wyraziła zgodę, może być nadal wykorzystywany w sposób, na jaki ta osoba wyraziła zgodę (np. jeśli osoba wyraziła zgodę na zamieszczanie zdjęć, wideo na stronie www, to wyłącznie na tej stronie może być zamieszczany). Zgoda jest ważna, aż do momentu jej wycofania, a jej wycofanie pozostanie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na jej podstawie, przed jej wycofaniem (czyli działania podjęte przed wycofaniem zgody, w postaci wykorzystywania wizerunku będą działaniami legalnymi, ale po wycofaniu zgody, należy wszystkie treści usunąć). Istotne jest to, że dana osoba, jeszcze przed wyrażeniem zgody, powinna być poinformowana o tym, że zgoda może być wycofana, jak również, że jej wycofanie nie będzie miało wpływu na legalność przetwarzania, jakiego dokonano przed jej wycofaniem.

Nie bez znaczenia jest jednak sposób i warunki, w jakich taka zgoda została udzielona. Przepisy bowiem precyzują warunki wyrażenia zgody:

  1. zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia;
  2. jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele;
  3. administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych (oznacza to, że podpisaną zgodę należy przechowywać);
  4. jeśli  zgoda jest wyrażana w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem.

W przypadku wyrażenia zgody, w sposób naruszający te wymogi, a tym samy będące naruszeniem RODO, oświadczenie takie nie będzie wiążące.

Oczywiście jeśli dana osoba nie wycofa zgody na wykorzystywanie wizerunku, placówka może wcześniej usunąć materiały ze strony www, oraz social media, z uwagi na to, że materiały przestały być przydatne do realizowanego celu, jakim jest promocja placówki, działań podejmowanych przez placówkę.

Konkurs międzyszkolny – o czym należy pamiętać

Placówka będąca organizatorem konkursów międzyszkolnych, powinna odpowiednio zadbać o ochronę danych osobowych, zarówno uczestników, jak i ich opiekunów oraz nauczycieli. Poniższe zalecenia,
dotyczą każdej placówki, która kieruje konkurs do uczniów (podopiecznych / słuchaczy) spoza swojej organizacji, czyli zbiera zgłoszenia osób z zewnątrz.

ORGANIZATOR KONKURSU POWINIEN
PAMIĘTAĆ O:
A. ZEBRANIU ODPOWIEDNICH ZGÓD.
B. PRZEKAZANIU KLAUZULI INFORMACYJNEJ.
C. UREGULOWANIU PRZETWARZANIA DANYCH
PRZEZ INNE PLACÓWKI.
D. NADANIU UPOWAŻNIEŃ.

A. ODPOWIEDNIO SFORMUŁOWANA ZGODA
Pamiętajmy, aby zadbać o następujące zgody:
• Na przetwarzanie danych osobowych uczestnika – w celu wzięcia udziału w konkursie.
• Wykorzystanie wizerunku – zarówno uczestników, jak
i ich nauczycieli i opiekunów – jeśli chcemy umieszczać zdjęcia z przebiegu konkursu lub jego laureatów na stronie internetowej lub mediach społecznościowych.
• Na umieszczenie danych takich jak imię i nazwisko, klasa, wiek oraz miejsce zajęte w klasyfikacji konkursu na stronie internetowej organizatora – jeśli chcemy takie informacje zamieścić w Internecie.

B. KLAUZULA INFORMACYJNA
Każdy konkurs wiąże się z przetwarzaniem danych osobowych – nie tylko uczestników, ale także rodziców (opiekunów prawnych), w przypadku niepełnoletnich dzieci oraz nauczycieli. Każda z tych osób, powinna zostać poinformowana o tym, w jaki sposób przetwarzane będą jej dane.
Jak optymalnie przekazać klauzulę informacyjną?
• Pełna klauzula, powinna być dostępna na stronie internetowej i w sekretariacie organizatora. Najlepiej, jeśli klauzula ta, stanowi załącznik do regulaminu konkursu.
• Skróconą klauzulę informacyjną – najlepiej umieścić na formularzach (przykładowo w stopce dokumentu). Niemniej, aby wspomniane rozwiązanie było skuteczne, musimy pamiętać o tym, by klauzula w wersji pełnej, była łatwo dostępna – patrz punkt wyżej.

C. REGULACJA SPOSOBU PRZETWARZANIA
DANYCH POMIĘDZY PLACÓWKAMI
Jeśli zgłoszenia uczestników dokonywane są poprzez inne placówki, należy uregulować sposób, w jaki będą one przetwarzać dane osobowe. Pamiętajmy, że placówki te, zbierają dane osobowe w imieniu organizatora, na przygotowanych przez niego formularzach. W takim przypadku, niezbędne jest wskazanie przynajmniej ogólnych reguł takiego przetwarzania, już w ramach regulaminu konkursu. Docelowo szczegółowe
uregulowanie sposobu przetwarzania, powinno nastąpić przy użyciu umowy powierzenia, bądź innego instrumentu prawnego, jakim może być regulamin przetwarzania.
Jeśli uczestnicy samodzielnie i bezpośrednio zgłaszają się do nas – nie ma konieczności, aby dodatkowo regulować te zasady (nikt bowiem nie pośredniczy w przekazywaniu wypełnionych zgód i zgłoszeń).

D. UPOWAŻNIENIA DO PRZETWARZANIA
DANYCH OSOBOWYCH
Jeśli w komisji konkursowej znajdują się osoby spoza placówki (nie będące pracownikiem organizatora konkursu), przykładowo przedstawiciel sponsora lub organizacji wspierającej konkurs merytorycznie, to w takim przypadku, osobom tym należy nadać stosowne Jedyną niezbędną zgodą jest upoważnienie.

Jedyną niezbędną zgodą jest zgoda na udział w konkursie i na przetwarzanie danych osobowych, w celu jego realizacji. Zgoda na wykorzystanie wizerunku lub na udostępnienie danych na stronie
internetowej, nie powinna być obowiązkowa, a niewyrażenie tych
zgód, nie może mieć wpływu na możliwość udziału w konkursie.

Niezbędne dane kandydatów w toku rekrutacji do placówek oświatowych

Rekrutacja do placówek oświatowych zarówno w wersji elektronicznej, jak i papierowej , jest w toku, bądź niebawem się rozpocznie. Warto przypomnieć kilka podstawowych zasad, o których należy pamiętać podczas gromadzenia danych osobowych kandydatów oraz ich rodziców bądź innych opiekunów prawnych.

Jakie dane mogę zbierać?

Zakres danych osobowych, jakie mogą być pobierane przez placówki oświatowe w toku rekrutacji został wyraźnie sprecyzowany w przepisach prawa oświatowego. Wśród tych danych wyszczególnione zostały dane osobowe ucznia oraz jego rodziców albo innych opiekunów prawnych. I tak, pobiera się:

  • w przypadku kandydata niepełnoletniego: imię, nazwisko, datę urodzenia oraz numer PESEL, a w przypadku jego braku serię i numer paszportu lub innego dokumentu potwierdzającego tożsamość, imiona i nazwiska rodziców, adres miejsca zamieszkania rodziców i kandydata, adres poczty elektronicznej i numery telefonów rodziców kandydata – o ile je posiadają.
  • w przypadku kandydata pełnoletniego: imię, nazwisko, datę urodzenia oraz numer PESEL, a w przypadku jego braku serię i numer paszportu lub innego dokumentu potwierdzającego tożsamość, imiona rodziców, adres miejsca zamieszkania kandydata; adres poczty elektronicznej i numer telefonu kandydata – o ile je posiada.

Do wniosków należy dołączyć także inne dokumenty wymagane przepisami prawa oświatowego, jak np. oświadczenia o samotnym wychowywaniu dziecka, czy wyrok sądu rodzinnego orzekającego rozwód lub separację. 

Czy mogę zbierać dane identyfikacyjne opiekunów prawnych? 

Zbieranie przez placówki oświatowe numeru PESEL czy serii i numeru dowodu osobistego rodziców kandydata nie zostało ujęte w przepisach prawa oświatowego, jako niezbędne działanie w procesie rekrutacji. Pobieranie tych danych nie będzie zatem zgodne z prawem. Działanie takie będzie stanowić naruszenie przepisów prawa oświatowego oraz zasady minimalizacji, legalizmu oraz proporcjonalności, wyrażonych w art. 5 RODO. Nie zależy zatem pobierać od rodziców ich numeru PESEL czy serii i numeru dowodu osobistego.

Jak długo można przetwarzać dane osobowe zgromadzone w toku rekrutacji?

Okres przechowywania danych osobowych zależny jest od wyniku postępowania rekrutacyjnego. Sposób postępowania w przypadku kandydatów przyjętych jest odmienny niż wobec tych, którzy negatywnie przeszli rekrutację. Poniżej rozróżnienie okresu przechowywania danych wobec:

  • kandydata przyjętego: dane osobowe przechowujemy nie dłużej niż przez okres, w który uczeń uczęszcza do placówki.
  • kandydata nieprzyjętego: dane osobowe przechowujemy przez rok, chyba że na rozstrzygnięcie dyrektora  wniesiona została skarga do sądu administracyjnego i postępowanie nie zostało zakończone prawomocnym wyrokiem.

A co z publikacją wyników rekrutacji?

Wyniki postępowania rekrutacyjnego podaje się do publicznej wiadomości. Lista osób zakwalifikowanych, zawierająca imię i nazwisko kandydata, posegregowana alfabetycznie, zawierać musi także minimalną liczbę punktów, która uprawnia do przyjęcia do placówki.

Zgodnie z przepisami prawa oświatowego listę, o której mowa powyżej, podaje się do publicznej wiadomości poprzez umieszczenie w siedzibie placówki oświatowej, w widocznym miejscu.

Obecnie dopuszczalne jest również publikowanie wyników rekrutacji na stronie internetowej placówki z uwagi na wyjątkową sytuację w kraju (zgodnie z nowymi przepisami wydanymi na podstawie przepisów specustawy dotyczącej koronawirusa).

Stanowisko Urzędu Ochrony Danych Osobowych

Zgodnie z wytycznymi UODO nie jest dopuszczalne podanie do publicznej wiadomości wyników rekrutacji za pośrednictwem kont na portalach społecznościowych czy fanpage’ach placówki.

Zamieszczanie danych osobowych w internecie wiąże się z ryzykiem, które należałoby oszacować dokonując jego analizy. Podczas publikowania list uczniów należy kierować się zasadą minimalizacji, jak również ograniczenia przechowywania danych osobowych, wyrażonych w RODO.

Z uwagi na powyższe, Urząd rekomenduje by dyrektorzy informowali kandydatów indywidualnie o wynikach rekrutacji, korzystając ze środków komunikacji elektronicznej.

Po zakończeniu czasowego ograniczenia funkcjonowania placówek oświatowych należy usunąć listy kandydatów ze strony internetowej i pozostawić jedynie na tablicy ogłoszeń na terenie placówki.

Czy posiadam jeszcze inne obowiązki?

Rekrutacja do placówki oświatowej wiąże się także z koniecznością spełnienia obowiązku informacyjnego wobec osób, których dane gromadzimy, co wynika z art. 13 oraz 14 RODO. Dokonać można tego za pomocą klauzuli informacyjnej umieszczonej na wniosku do placówki lub przekazując rodzicom czy pełnoletnim kandydatom klauzuli jako odrębnego dokumentu. Może to być pełna treść klauzuli informacyjnej lub odpowiednio skrócona wersja, przy czym kompletny dokument należy umieścić na stronie internetowej i wywiesić na terenie placówki. Należy również pamiętać, że w przypadku ewentualnej kontroli ze strony organu nadzoru, placówka powinna być w stanie wykazać spełnienie obowiązku informacyjnego na gruncie RODO. Rozliczyć się ze swoich działań można przykładowo poprzez przedstawienie klauzuli informacyjnej, opatrzonej podpisem rodzica czy innego opiekuna prawnego.

Podstawa prawna

Zgodnie z ustawą z dnia 14 grudnia 2016 r. Prawo oświatowe, rodzice albo inni opiekunowie prawni składają do dyrektorów wniosek o przyjęcie ich dziecka do wybranej placówki oświatowej. Treść wniosku wraz z rodzajem załączników uregulowana została w art. 150 i 151 przywołanej ustawy. Co istotne – pozyskiwanie danych nie będzie następować na podstawie zgody, lecz z uwagi na uregulowane ich zakresu w przepisach prawa (art. 150 ust. 1) – na potrzeby realizacji obowiązku prawnego ciążącego na administratorze (placówce oświatowej).

Rekrutacja dzieci do placówek oświatowych

Placówki oświatowe corocznie przeprowadzają rekrutację dzieci. Z uwagi na rozpoczęcie rekrutacji w szkołach podstawowych, oddziałach przedszkolnych, przedszkolach oraz planowanie otwarcia postępowania elektronicznego dla szkół ponadpodstawowych, warto przypomnieć podstawowe obowiązki na gruncie ochrony danych osobowych.

Zasady przeprowadzenia rekrutacji zostały uregulowane w ustawie z dnia 14 grudnia 2016 r. prawo oświatowe oraz w odpowiednich aktach wykonawczych. Podstawą przeprowadzenia postępowania rekrutacyjnego jest analiza spełnianych przez kandydata kryteriów, określonych w przywołanej ustawie, a następnie złożenie wniosku do dyrektora placówki. Dane osobowe, jakie będą zawarte w takim wniosku, obejmują podstawowe dane indentyfikacyjne kandydata, jak również jego rodziców bądź innych opiekunów prawnych oraz pozostałe dane zawarte w załączonych do wniosku dokumentach i oświadczeniach. Jednocześnie placówka oświatowa uprawniona jest do przetwarzania innych, niż wyraźnie wskazanych w przepisach, danych osobowych, jakie zostały uznane przez rodzica bądź innego opiekuna prawnego za istotne i z tego powodu zostały przekazane jednostce. Mogą to być dane o stanie zdrowia, stosowanej diecie i rozwoju psychofizycznym, przekazane celem zapewnienia odpowiedniej opieki, odżywiania oraz dostosowania metod opiekuńczo – wychowawczych.  

Podstawą przetwarzania danych osobowych nie jest zgoda, lecz w zależności od rodzaju pobieranych danych i regulacji prawnych w tym zakresie, będzie to obowiązek prawny bądź działalność w interesie publicznym lub w ramach sprawowania władzy publicznej. Dodatkowo, wszystkie osoby pełniące funkcje lub wykonujące pracę w placówkach oświatowych, są obowiązane do zachowania w poufności informacji uzyskanych w związku z pełnioną funkcją lub wykonywaną pracą.

Administratorem danych zgromadzonych w procesie rekrutacji będzie odpowiednio miasto/gmina i placówki oświatowe, a jest to uzależnione od etapu postępowania rekrutacyjnego. W ramach rekrutacji, prowadzonej przy użyciu elektronicznego systemu rekrutacji, Administratorem tak pozyskanych danych, będzie miasto/gmina, a dokładnie organ w postaci Prezydenta/Wójta. Natomiast dane osobowe zawarte we wnioskach składanych do dyrekcji placówki, staną się danymi odrębnego Administratora, jakim w tym przypadku  będzie placówka oświatowa (nie dyrektor).

Ważne, z perspektywy regulacji w obszarze ochrony danych osobowych, jest zidentyfikowanie podstawowych obowiązków, ciążących na każdym z wymienionych powyżej administratorów. Oznacza to, że zarówno miasto/gmina, jak i placówka oświatowa są zobligowani do spełniania obowiązku informacyjnego w związku z przetwarzaniem danych osobowych na kolejnych etapach rekrutacji. Przekazanie klauzuli informacyjnej przez miasto/gminę, nie zwalnia placówki oświatowej z wykonania tego obowiązku we własnym zakresie.

Wprowadzenie stanu zagrożenia epidemiologicznego znacząco ograniczyło i zmieniło sposób funkcjonowania placówek oświatowych – na mocy rozporządzenia Ministra Edukacji Narodowej z dnia 11 marca 2020 r. w sprawie czasowego ograniczenia funkcjonowania jednostek systemu oświaty w związku z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19. Zmiana organizacji pracy placówek, nie pozostaje bez znaczenia dla procesu rekrutacji. Obecnie, celem zminimalizowania ryzyka rozprzestrzeniania się COVID-19, niektóre dokumenty niezbędne w postępowaniu rekrutacyjnym, będą mogły być zastąpione oświadczeniem, skanem, wiadomością od podmiotu, który zaświadczenie winien wystawić (np. zaświadczenie o zatrudnieniu, zaświadczenie z poradni o potrzebie kształcenia specjalnego). Po ustaniu stanu zagrożenia epidemiologicznego, pojawi się prawdopodobnie obowiązek przedłożenia oryginałów bądź uwierzytelnionych kopii.

Przetwarzanie danych osobowych ucznia w procesie nauki zdalnej

Nauka zdalna stawia przed systemem oświaty nowe wyzwania, zarówno w zakresie formy jej prowadzenia, wykorzystywanych narzędzi, jak i weryfikacji pracy uczniów. Pamiętajmy jednak, że ta nadzwyczajna sytuacja nie zwalnia placówek z przestrzegania zasad ochrony danych osobowych.

Podstawy przetwarzania danych uczniów przy wykorzystaniu metod kształcenia na odległość

Wynikiem obecnej sytuacji oraz obowiązku prowadzenia nauki w trybie zdalnym, jest poszukiwanie przez jednostki oświatowe nowych sposobów komunikacji pomiędzy nauczycielami, a uczniami. Wymaga to wykorzystania nowych narzędzi – takich jak platformy, aplikacje czy portale społecznościowe. Bardzo często konieczne jest założenie każdemu z uczniów indywidulanego konta w wybranym programie, czy aplikacji co wiąże się z przekazywaniem danych osobowych. W związku z tym, może pojawić się pytanie, czy szkoła powinna uzyskać zgodę rodziców na takie przetwarzanie. Warto pamiętać, że placówka przetwarza dane osobowe wykonując zadania realizowane w interesie publicznym (art. 6 ust. 1 lit e RODO), do których należy świadczenie usług edukacyjnych i opiekuńczo – wychowawczych.

Dlatego też, zgoda na przetwarzanie danych osobowych nie znajdzie tutaj zastosowania – ponieważ świadczenie tych usług nie ma charakteru dobrowolnego, a obowiązkowy. Obowiązek realizowania zadań jednostek z wykorzystaniem metod i technik kształcenia na odległość, lub w inny odpowiedni sposób, został uregulowany w rozporządzeniu Ministra Edukacji Narodowej z dnia 11 marca 2020 r. w sprawie czasowego ograniczenia funkcjonowania jednostek systemu oświaty w związku z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19.

Wybór stosowanych narzędzi powinien być jednak rozsądny – należy przeanalizować transparentność wybranych aplikacji oraz, w miarę możliwości, korzystać z jak najmniejszej ich ilości tak, aby nie mnożyć kont zakładanych uczniom, a dane udostępniać jak najmniejszej liczbie podmiotów.

Pamiętajmy, że przetwarzanie danych osobowych uczniów na podstawie interesu publicznego obejmuje tylko te dane, które są niezbędne do osiągnięcia tego celu. Przykładowo do założenia konta i skutecznego kontaktowania się z uczniem wystarczy jego imię, nazwisko oraz klasa – wizerunek będzie stanowił dane nadmiarowe. Co nie znaczy, że szkoła w ogóle nie może go wykorzystywać.

Wizerunek ucznia – czy potrzebna jest zgoda?

O ile zadania z matematyki, czy biologii łatwo sprawdzić na podstawie przesłanych przez uczniów rozwiązań zadań, o tyle niełatwa jest weryfikacja zadań plastycznych, technicznych, czy tez wykonania ćwiczeń w ramach domowych zajęć z wychowania fizycznego. Wyzwaniem jest również utrzymanie poczucia wspólnoty uczniów i nauczycieli.

Rozwiązaniem tej sytuacji stało się dokumentowanie pracy uczniów przez rodziców za pomocą zdjęć, które następnie przesyłane są do nauczycieli – często znajdują się na nich również sami uczniowie. Czynność przesyłania fotografii nie budzi zastrzeżeń (jest to udokumentowanie zrealizowanych zadań), jednak zdarza się, że zostają one umieszczone na stronie internetowej szkoły lub na profilu na portalu Facebook. Pamiętajmy jednak, że przetwarzanie wizerunku na publicznych stronach nie jest niezbędne do osiągnięcia celu, jakim jest edukacja w trybie zdalnym. Dlatego też, takie przetwarzanie nie znajdzie oparcia w realizacji interesu publicznego i w tym przypadku niezbędna będzie zgoda rodzica na wykorzystanie wizerunku.

Nauczyciel zamieszczający fotografie powinien zatem zweryfikować, czy i w jakim zakresie została ona wyrażona. Zgoda ta powinna wskazywać w swej treści na jakich stronach lub portalach szkoła może zamieścić wizerunek. Dlatego też, jeśli w ramach nauki zdalnej placówka zaczęła korzystać z nowego narzędzia np. założyła fanpage na wspomnianym już portalu Facebook i zamierza zamieszczać tam zdjęcia uczniów – niezbędne będzie wcześniejsze zebranie zgód na takie przetwarzanie.

Podobnie – jeśli na fotografii znajduje się rodzic dziecka – takie wykorzystanie wizerunku będzie wymagało jego zgody.

Mając na uwadze, że zebranie zgody w formie pisemnej w obecnych warunkach jest w praktyce niemożliwe, dopuszczalne i wskazane jest zbieranie zgód za pośrednictwem komunikacji elektronicznej (e-mail, dziennik elektroniczny). Zgoda taka może mieć charakter jednorazowy („Czy mogę zamieścić zdjęcie Piotrka z lekcji WF-u na naszym profilu na Facebook’u?”), jak też może mieć charakter ogólny (na wszystkie tego rodzaju działania). W przypadku zgody ogólnej sugerujemy wykorzystać wzór zgody opracowany przez Inspektora Ochrony Danych (poprzez przeklejenie jej treści odpowiednio do wiadomości e-mai / dziennika elektronicznego z prośbą o potwierdzenie przez rodziców).

Podsumowanie

Pamiętajmy, że przetwarzanie danych osobowych przez placówkę odbywa się w celu realizacji procesu nauki zdalnej – realizacji interesu publicznego (art. 6 ust.1 lit e RODO). Niemniej, placówka powinna przetwarzać tylko te dane które są niezbędne do tego celu – zgodnie z zasadą minimalizacji.

Natomiast przetwarzanie wizerunku w celu jego wykorzystania w mediach społecznościowych lub na stronie internetowej nie jest konieczne do realizacji tego celu i musi być oparte na zgodzie (art. 6 ust. 1 lit. a RODO), która swym zakresem obejmuje stronę internetową, portal lub platformę, na której placówka zamierza umieścić zdjęcia.

Placówki oświatowe: informacje publiczne i klauzule [case studies]

Jeden z rodziców dziecka uczęszczającego do naszej placówki złożył w formie papierowej wniosek zawierający pytanie, czy placówka oświatowa korzysta z Biuletynu Informacji Publicznej a jeżeli tak, to pod jakim adresem. Czy wniosek należy skonsultować z inspektorem ochrony danych osobowych? 

Nie, ponieważ zapytanie nie odnosi się zagadnienia na gruncie ochrony danych osobowych.

Do placówki oświatowej wpłynął wniosek w sprawie udostępnienia kwoty wynagrodzenia dyrektora placówki w poszczególnych miesiącach roku. Czy mamy obowiązek przekazać takie dane? 

Tak. Wynagrodzenie dyrektora placówki jest informacją publiczną, którą należy przesłać w ramach odpowiedzi na wniosek. 

Placówka umieszcza skróconą klauzulę na wszystkich dokumentach kierowanych do rodziców przez cały rok szkolny. Czy jest to słuszne działanie? 

Nie. RODO wymaga jedynie, by obowiązek informacyjny został spełniony raz, przy pierwszym możliwym kontakcie. 

Zespół Szkolno-Przedszkolny zaprosił inne Szkoły Podstawowe oraz Przedszkola do wzięci udziału w konkursie. Zespół pragnie umieścić na stronie www listę laureatów konkursu. Czy w tym przypadku należy zebrać od rodziców dzieci zgody na taką publikację? 

Nie. Lista laureatów konkursu nie wymaga zgody. Jednakże należy o nie zadbać, jeżeli zechcemy opublikować listę wszystkich uczestników konkursu.  

Photo by Jeremy Bishop on Unsplash

Placówki oświatowe: Ochrona danych osobowych uczniów i nauczycieli w szkołach. [odpowiedzi na częste pytania]

Czy mogę żądać od rodzica podpisania zgody na publikacje wizerunku ucznia na stronie www?

Nie. Zgoda musi zawsze zostać wyrażona dobrowolnie i rodzic nie ma obowiązku godzenia się na publikacje wizerunku dziecka w Internecie. 

Kiedy należy przestawić kandydatom do pracy oraz przyszły uczniom klauzulę informacyjną? 

Dokument stanowiący zasady przetwarzania danych osobowych należy przedstawić w momencie uzyskiwania danych osobowych od kandydatów czy uczniów. Jednakże, jeżeli w danym momencie jest to niewykonalne, należy tego dokonać przy pierwszej możliwej okazji. 

Skąd mam wiedzieć jakie dane osobowe mogę zbierać w związku z ubieganiem się o przyjęcie dziecka do placówki? 

Art. 150 i 151 Prawa oświatowego wskazuje wprost na treść wniosku i niezbędne załączniki, oraz na treść zgłoszenia o przyjęcie dziecka do placówki. Dokumenty zawierają szczegółowe wytyczne odnośnie zbieranych danych osobowych. 

Czy mogę przygotować ogólny wzór zgody na publikacje wizerunku dziecka obejmujący wszystkie działania promocyjne placówki? 

Nie. Zgoda na przetwarzanie danych osobowych musi odnosić się osobno do każdego rodzaju operacji przetwarzania, w tym także do rozpowszechniania wizerunku utrwalonego przy użyciu urządzeń rejestrujących obraz i dźwięk na konkretnych polach eksploatacji. 

Czy pielęgniarka szkolna jest procesorem danych osobowych i muszę podpisać umowę powierzenia? 

Jeżeli pielęgniarka szkolna nie jest zatrudniona w placówce na umowę o prace, to staje się odrębnym administratorem danych osobowych, ponieważ jej celem jest świadczenie usług pielęgnacyjnych, diagnostycznych, leczniczych i rehabilitacyjnych w placówce czyli posiada odrębny cel przetwarzania danych osobowych niż szkoła. 

Czy na placówki oświatowe nałożony został obwiązek prowadzenia rejestru wejść i wyjść? 

Nie. Prawo oświatowe nie nakłada na placówki obowiązku prowadzenia takiej ewidencji, jednakże może to prowadzić do zwiększenia bezpieczeństwa osób przebywających na jej terenie oraz przetwarzanych w placówce danych osobowych. 

Czy zapisanie listy uczniów na nośniku przenośnym typu pendrive stanowi przetwarzanie danych osobowych? 

Tak. Takie przetwarzanie danych nazywa się utrwalaniem.

Czy biuro podróży, któremu przekazuję dane osobowe w celu przygotowania i realizacji wycieczki uczniów jest administratorem danych dzieci? 

Nie, jeżeli operator turystyczny organizuje wyłącznie na zlecenie placówki konkretną, dedykowaną wycieczkę, np. do Poznania. Staje się on wówczas podmiotem przetwarzającym. 

Czy placówka może wywiesić na terenie stołówki listę dzieci posiadających preferencyjne warunki żywnościowe? 

Nie. Lista nie może zostać wywieszona w miejscu ogólnie dostępnym, gdyż zawiera informacje odnoszące się do stanu zdrowia, czyli do danych wrażliwych uczniów. Dokument powinien na przykład znajdować się w szafce zamykanej na klucz, a dostęp do niego powinny mieć tylko osoby przygotowujące lub wydające posiłki. 

Czy mogę umieszczać prace dzieci biorących udział w konkursie wraz z ich imieniem i nazwiskiem w holu szkoły? 

Tak. Czynność ta mieści się w ramach wykonywania misji edukacyjnej placówki, mająca za zadanie wyróżnienie uczniów za szczególne osiągnięcia
czy integrowanie dzieci ze społecznością szkolna. 

Czy umieszczenie zdjęć dzieci z zawodów szkolnych na stronie www mieści się w ramach sprawowania władzy publicznej? 

Nie. Misją szkoły  nie jest promowanie placówki na stronach www czy w portalach społecznościowych typu Facebook, YouTube, Instagram. Na takie działania za każdym razem potrzebna jest odrębna zgoda. 

Czy rodzic ma prawo zgłosić sprzeciw przeciwko publicznemu wyczytywaniu imienia
i nazwiska dziecka na uroczystościach szkolnych w związku z jego wybitnymi osiągnięciami? 

Tak. Rodzicowi przysługuje prawo do złożenia sprzeciwu, jednakże zostanie ono uwzględnione tylko w momencie, gdy rodzic wykaże, że taka praktyka godzi w dobro ucznia z przyczyn związanych z jego szczególną sytuacją. 

Czy na formularzu przyjęcia dziecka do placówki uzyskać muszę zgodę rodziców na przetwarzanie danych osobowych ucznia? 

Nie. Zgoda nie jest właściwą podstawą prawną w tym przypadku, lecz wykonywanie zadania publicznego przez placówkę.  

Czy każdy opiekun prawny dziecka uzyskać musi klauzulę informacyjną związaną z rekrutacją dziecka do placówki? 

Tak. Taki obowiązek nakłada na szkołę art. 13 RODO.

Czy placówka musi przekazać klauzulę informacyjną także osobom upoważnionym przez rodziców do odbioru dziecka ze świetlicy? 

Tak. Na podstawie art. 14 RODO placówka musi zadbać, by każda z tych osób otrzymała dokument stanowiący zasady przetwarzania ich danych osobowych.

Czy mam prawo zbierać od osób upoważnionych do odbiory dziecka w placówce numeru PESEL lub ich adresu zamieszkania?

Zasadniczo nie. Zgodnie z zasadą minimalizacji danych zbieramy tylko informacje najbardziej niezbędne. Placówka musiałaby zatem wykazać uzasadniony interes, aby pobierać numer PESEL czy adres zamieszkania od tych osób. 

Czy wychowawca klasy może zbierać od rodziców dzieci ich numery telefonu oraz adresy e-mail w celach kontaktowych? 

Tak. W tym przypadku zasada minimalizacji danych nie znajduje zastosowania, ponieważ nauczyciel musi posiadać dane kontaktowe
do rodziców dzieci.  Może jednak zdarzyć się, że rodzic chce podać jedynie numer telefonu kontaktowego, do czego ma prawo. 

Jeden z nauczycieli złożył wniosek o przyznanie dofinansowania do wypoczynku wakacyjnego. Czy otrzymać powinien on klauzulę informacyjną związaną z korzystaniem z ZFŚS?

Nie, ponieważ pracownik w momencie podejmowania stosunku pracy otrzymał już klauzulę informacyjną związaną z rekrutacją i zatrudnieniem, w której przestawiona była informacja o przetwarzaniu jego danych osobowych przez szkołę w związku z korzystaniem z ZFŚS. 

Czy monitoring wizyjny może znajdować się w przebieralni uczniów? 

Zasadniczo nie, chyba że jest to niezbędne do zapewnienia bezpieczeństwa pracowników i uczniów. Jednakże fakt ten musi zostać uzgodniony z Radą Rodziców, Radą Pedagogiczną, Samorządem Uczniowskim oraz z Organem Nadzoru. 

Czy szkoła musi zawrzeć umowę powierzenia przetwarzania danych osobowych z innymi szkołami w momencie, gdy prosi je o zbieranie w swoim imieniu zgód na publikację wizerunku uczniów utrwalonych na zdjęciach z przeprowadzonego konkursu? 

Tak. W tym przypadku placówka zbiera zgody na polecenie organizatora konkursu, zatem występuje w roli procesora i należy zawrzeć z podmiotem umowę powierzenia. 

Photo by Aaron Burden on Unsplash