STAN PRAWNY NA 15 LIPCA 2025

Ogólne rozporządzenie o ochronie danych (RODO) zabrania wprost przetwarzania tzw. szczególnych kategorii danych osobowych, które potocznie nazywa się danymi wrażliwymi. Zakazowi temu towarzyszą jednak liczne wyjątki przewidziane w art. 9 ust. 2 RODO. Przedszkole pełni funkcję administratora danych osobowych (ADO) odpowiedzialnego za ochronę takich danych. Dyrektor przedszkola powinien zatem wiedzieć, że dane wrażliwe należy przetwarzać na podstawie innych przesłanek prawnych niż dane osobowe zwykłe.

Pojęcie danych wrażliwych

Artykuł 9 ust. 1 RODO zabrania przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności bądź orientacji seksualnej tej osoby. Niniejszy katalog danych można uznać właśnie za katalog danych wrażliwych.

Przedszkole ma często do czynienia z tego typu danymi – najczęściej są to dane dotyczące zdrowia. Według RODO dane dotyczące zdrowia oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej, w tym o korzystaniu z usług opieki zdrowotnej, ujawniające informacje o stanie jej zdrowia. Jak precyzuje motyw 35 Preambuły RODO, do danych osobowych dotyczących zdrowia należy zaliczyć wszystkie dane o stanie zdrowia osoby, której dane dotyczą, ujawniające informacje o jej przeszłym, obecnym lub przyszłym stanie fizycznego lub psychicznego zdrowia. Należą do nich m.in.: numer, symbol lub oznaczenie przypisane danej osobie fizycznej w celu jednoznacznego zidentyfikowania tej osoby do celów zdrowotnych oraz wszelkie informacje, np. o chorobie, niepełnosprawności, ryzyku choroby, historii medycznej, leczeniu klinicznym lub stanie fizjologicznym bądź biomedycznym osoby, której dane dotyczą, niezależnie od ich źródła pochodzenia, którym może być chociażby lekarz czy pracownik przedszkola.

Zwróćmy zatem uwagę, że do danych o stanie zdrowia można zaliczyć np. informacje z orzeczenia o niepełnosprawności lub orzeczenia o potrzebie kształcenia specjalnego. Dane o stanie zdrowia (m.in. o funkcji aparatu mowy) przetwarza też przedszkolny logopeda. Do danych o stanie zdrowia zaliczyć trzeba także informacje o alergiach przekazane przez rodziców oraz pochodzące od nich informacje o konieczności podawania dziecku lekarstw czy zastosowania konkretnej diety.

Dane o stanie zdrowia przetwarzane przez przedszkole to nie tylko dane dotyczące dzieci. Mogą też trafić do przedszkola dane osobowe dotyczące nauczycieli lub innych pracowników/współpracowników placówki, najczęściej pod postacią zaświadczeń lekarskich czy orzeczeń o niepełnosprawności. Tym samym nawet zwolnienie lekarskie L4 niezawierające opisu konkretnej choroby zalicza się do danych wrażliwych. Włączymy do nich także dane o stanie zdrowia dostarczone przez pracownika, w tym informację o niepełnosprawności kandydata do pracy lub pracownika.

Wśród innych danych wrażliwych trafiających do przedszkola wymienić można np. informację o przynależności etnicznej bądź wyznaniowej dzieci, a także informację o przynależności pracowników do związków zawodowych.

Od pojęcia danych wrażliwych należy odróżnić przetwarzanie danych osobowych dotyczących wyroków skazujących i naruszeń prawa. Podlega ono odrębnemu rygorowi z art. 10 RODO, z którego wynika, że takiego przetwarzania wolno dokonywać wyłącznie pod nadzorem władz publicznych lub – co najważniejsze – jeżeli przetwarzanie jest dozwolone prawem przewidującym odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. Dlatego, przetwarzania w kontekście wymaganych zaświadczeń z Krajowego Rejestru Karnego dokonywać trzeba najczęściej na podstawie art. 6 ust. 1 lit. c i art. 10 RODO w powiązaniu z przepisem szczególnym, np. z art. 10 ust. 8a Karty nauczyciela, zgodnie z którym nauczyciel przed nawiązaniem stosunku pracy ma obowiązek przedstawić dyrektorowi informację z Krajowego Rejestru Karnego w celu potwierdzenia spełniania warunku niekaralności (dotyczy tylko placówek publicznych), czy w związku z przepisami o przeciwdziałaniu zagrożeniom przestępczością na tle seksualnym i ochronie małoletnich (dotyczy wszystkich placówek).

Ogólne zasady przetwarzania danych wrażliwych

Art. 5 RODO wyznacza ogólne zasady przetwarzania danych. Należy je stosować także w związku z przetwarzaniem danych wrażliwych. Z przepisu tego wynika przede wszystkim, że dane wrażliwe muszą być:

• przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (ust. 1 lit. a),
• zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (ust. 1 lit. b),
• adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (zasada minimalizacji danych opisana w ust. 1 lit. c),
• prawidłowe i w razie potrzeby uaktualniane (ust. 1 lit. d),
• przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane (ust. 1 lit. e),
• przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych (ust. 1 lit. f).

Art. 5 ust. 2 wyraża natomiast tzw. zasadę rozliczalności, w myśl której ADO odpowiada za przestrzeganie wskazanych przepisów art. 5 ust. 1 i musi być w stanie wykazać ich przestrzeganie.

Ważne! Powyższe zasady powinny znaleźć odzwierciedlenie choćby w informacji o przetwarzaniu danych, kierowanej do osób, których dane dotyczą, na podstawie art. 13 RODO (oznacza się w niej m.in. cele, podstawy prawne przetwarzania i okres przechowywania danych).