STAN PRAWNY NA 30 SIERPNIA 2019 Przekazanie danych osobowych organowi prowadzącemu Opracowała: Marta Handzlik-Rosuł, absolwentka Wydziału Prawa i Administracji Uniwersytetu Szczecińskiego. Specjalizuje się w prawie oświatowym i prawie pracy; zaktualizował: Tomasz Ptak, magister prawa, trener, audytor, specjalista z zakresu ochrony danych osobowych, Inspektor Ochrony Danych. Posiada sześcioletnie doświadczenie jako trener, ma w swoim dorobku kilkaset godzin szkoleń z zakresu ochrony danych osobowych Podstawa prawna: • Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U. UE.L. z 2016 r. Nr 119 poz. 1), • Ustawa z dnia 14 grudnia 2016 r. Prawo oświatowe (t.j. Dz.U. 2019 r. poz. 1148 ze zm.), • Ustawa o rachunkowości (t.j. Dz.U. z 2019 r. poz. 351 ze zm.), • Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000 ze zm.). Szkoły przetwarzają dane osobowe w ramach realizacji zadań wynikających z przepisów Ustawy Prawo oświatowe. Dodatkowo są one upoważnione do przekazywania zebranych przez siebie danych organom prowadzącym szkołę, ale tylko w przypadkach, gdy wiąże się to z wykonywaniem przez owe organy ich kompetencji i obowiązków określonych przepisami prawa. Podstawą legalności przetwarzania danych jest w takiej sytuacji art. 6 RODO, na podstawie którego przetwarzanie danych osobowych jest dozwolone, jeśli wykazana zostanie niezbędność przetwarzania danych do: • wykonania umowy, w której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, • wypełnienia obowiązku prawnego ciążącego na administratorze, • ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, • wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, • celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Ilekroć w Ustawie Prawo oświatowe mowa jest o organie prowadzącym szkołę lub placówkę – należy przez to rozumieć ministra, jednostkę samorządu terytorialnego, inne osoby prawne i fizyczne. Organ prowadzący szkołę odpowiada za jej działalność. Do jego zadań należą w szczególności: • zapewnienie warunków działania szkoły lub placówki, w tym bezpiecznych i higienicznych warunków nauki, wychowania i opieki, • zapewnienie warunków umożliwiających stosowanie specjalnej organizacji nauki i metod pracy dla dzieci i młodzieży objętych kształceniem specjalnym, • wykonywanie remontów obiektów szkolnych oraz zadań inwestycyjnych w tym zakresie, • zapewnienie obsługi administracyjnej, w tym prawnej, obsługi finansowej, w tym w zakresie wykonywania czynności, o których mowa w Ustawie o rachunkowości, i obsługi organizacyjnej szkoły lub placówki, • wyposażenie szkoły lub placówki w pomoce dydaktyczne i sprzęt niezbędny do pełnej realizacji programów nauczania, programów wychowawczo-profilaktycznych, przeprowadzania egzaminów oraz wykonywania innych zadań statutowych, • wykonywanie czynności w sprawach z zakresu prawa pracy w stosunku do dyrektora szkoły lub placówki. W celu wykonywania zadań wymienionych wyżej organy prowadzące szkołę mogą tworzyć jednostki obsługi ekonomiczno-administracyjnej lub organizować wspólną obsługę administracyjną, finansową i organizacyjną prowadzonych placówek. Zadania organu prowadzącego szkołę w samorządach terytorialnych sprawują̨: wójt (burmistrz, prezydent miasta), zarząd powiatu, zarząd województwa, rada gminy, rada powiatu, sejmik województwa, starosta i marszałek województwa. Co do zasady organ prowadzący szkołę ma dostęp do danych osobowych przetwarzanych w związku z realizacją obowiązków wynikających z przepisów prawa. Oznacza to, że szkoła powinno organowi prowadzącemu ten dostęp zapewnić. Warto jednak pamiętać, że dostęp organu prowadzącego do danych osobowych powinien być adekwatny do celu przetworzenia danych, zgodnie z zasadą minimalizacji danych. W sytuacji kontroli przeprowadzonej przez organ prowadzący szkołę i gdy ma on dostęp do dokumentacji będącej w posiadaniu placówki, organ prowadzący staje się odrębnym administratorem danych osobowych przetwarzanych w związku z kontrolą. Osoba kontrolująca powinna więc mieć upoważnienie do przetwarzania danych osobowych w zakresie przeprowadzenia kontroli. Upoważnienie takie wydaje organ prowadzący. Z kolei jeżeli organ prowadzący szkołę zapewnia obsługę administracyjną, prawną czy finansową, wówczas szkoła jest administratorem danych, udostępniając informacje w ramach powierzenia przetwarzania danych tylko w zakresie niezbędnym do realizacji tego celu. Według przepisów arkusz organizacyjny jest zatwierdzany przez organ prowadzący. W związku z tym organ ten ma dostęp do takich danych osobowych nauczycieli jak imiona, nazwiska, stopnie awansu zawodowego, kwalifikacje, rodzaj prowadzonych zajęć. Organ prowadzący ma dostęp do danych osobowych nauczycieli (w związku z realizacją zadań związanych z arkuszem organizacyjnym), ale nie może mieć dostępu do danych zawartych w aktach osobowych pracowników szkoły. Dostęp do akt osobowych przysługuje organowi prowadzącemu tylko w odniesieniu do dyrektora szkoły w związku z wykonywaniem czynności w sprawach z zakresu prawa pracy w stosunku do dyrektora. W żadnym przypadku organ prowadzący nie może mieć dostępu do danych uczniów i ich rodziców zawartych w dokumentacji prowadzonej przez szkołę, które odnoszą się do indywidualnych problemów psychologicznych czy pedagogicznych uczniów. Jeśli organ prowadzący szkołę utworzy bądź zakupi system informatyczny, który będzie wymagał udostępnienia wszystkich danych osobowych posiadanych przez szkołę, dyrektor powinien wystąpić na piśmie do organu prowadzącego, wskazując wątpliwości co do legalności wprowadzania i udostępniania takich danych w systemie oraz prosząc o podanie celu przetworzenia danych osobowych, w tym danych wrażliwych, i podanie podstawy prawnej, na której organ prowadzący opiera swoje żądania. W przypadku, gdy w przepisach brak jest podstaw do ubiegania się przez organ prowadzący o określone dane osobowe, ponieważ pozyskanie określonych danych nie jest wymagane do realizacji zadań nałożonych na organ prowadzący – udostępnienie tychże danych będzie niezgodne z przepisami Ustawy o ochronie danych osobowych. Jeśli zaś podstawa istnieje – szkoła może przekazać dane osobowe w dowolnej postaci, czy to papierowej, czy elektronicznej.