STAN PRAWNY NA 18 WRZEŚNIA 2020 Współpraca z poradnią – przekazywanie danych wrażliwych Opracował: Michał Łyszczarz, prawnik, główny specjalista w Wydziale Oświaty w Urzędzie Miasta w Dąbrowie Górniczej, współautor komentarza do Ustawy o systemie oświaty oraz szeregu publikacji z zakresu prawa oświatowego Podstawa prawna: • Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobo-wych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U. UE.L. z 2016 r. Nr 119 poz. 1), • Rozporządzenie Ministra Edukacji Narodowej z dnia 7 września 2017 r. w sprawie orzeczeń i opinii wydawanych przez zespoły orzekające działające w publicznych po-radniach psychologiczno-pedagogicznych (Dz.U. z 2017 r. poz. 1743), • Rozporządzenie Ministra Edukacji Narodowej z dnia 1 lutego 2013 r. w sprawie szcze-gółowych zasad działania publicznych poradni psychologiczno-pedagogicznych, w tym publicznych poradni specjalistycznych (Dz.U. z 2013 r. poz. 199 ze zm.), • Rozporządzenie Ministra Edukacji Narodowej z dnia 9 sierpnia 2017 r. w sprawie zasad organizacji i udzielania pomocy psychologiczno-pedagogicznej w publicznych przedszkolach, szkołach i placówkach (t.j. Dz.U. z 2020 r. poz. 1280). Przedszkola objęte są regulacją Rozporządzenia w sprawie zasad organizacji i udzielania po-mocy psychologiczno-pedagogicznej w publicznych przedszkolach, szkołach i placówkach, co pociąga za sobą również obowiązek współpracy z poradniami psychologiczno-pedagogicznymi. Obowiązek ten sformułowany został wprost w § 4 ust. 3 pkt 2, zgodnie z którym pomoc psychologiczno-pedagogiczna jest organizowana i udzielana we współpracy z poradniami psychologiczno-pedagogicznymi, w tym poradniami specjalistycznymi. Współpraca ta wymaga wzajemnego przepływu informacji między przedszkolem a poradnią, a ponieważ dotyczy konkretnego dziecka, oznacza to również wzajemne przekazywanie sobie danych osobowych, w związku z czym w kontaktach z poradnią przedszkole musi stosować się do zasad zawartych w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO). Przetwarzanie danych Zgodnie z art. 4 pkt 2 RODO „przetwarzanie” oznacza operację lub zestaw operacji wykony-wanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takich jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywa-nie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, do-pasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Ten katalog obejmuje praktycznie wszelkie czynności, jakie można wykonać na danych oso-bowych, które przetwarza przedszkole, w tym danych osobowych przetwarzanych w związku z udzielaniem dziecku pomocy psychologiczno-pedagogicznej. Prawo do przetwarzania da-nych musi być jednak oparte o jedną lub więcej przesłanek wskazanych w art. 6 RODO, który wskazuje, że przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: 1) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobo-wych w jednym lub większej liczbie określonych celów, 2) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, 3) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na ad-ministratorze, 4) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane do-tyczą, lub innej osoby fizycznej, 5) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicz-nym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, 6) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych intere-sów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobo-wych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. W odniesieniu do pomocy psychologiczno-pedagogicznej oraz współpracy z poradnią można jednak wymienić więcej niż jedną przesłankę dającą prawo do przetwarzania danych. Dane będą przetwarzane, gdyż osoba, której one dotyczą, wyraziła na to zgodę, ewentualnie wyraził tą zgodę przedstawiciel ustawowy osoby, której dane dotyczą, np. rodzic dziecka. Nie ozna-cza to jednak, że udzielenie pomocy psychologiczno-pedagogicznej wymaga zgody rodziców na przetwarzanie danych. Odrębną podstawą prawną przetwarzania jest pkt 3 przywołanego przepisu, zgodnie z którym przetwarzanie jest niezbędne dla wypełnienia obowiązku prawne-go ciążącego na administratorze. Źródłem takiego obowiązku jest np. § 12 Rozporządzenia w sprawie zasad organizacji i udzielania pomocy psychologiczno-pedagogicznej w publicznych przedszkolach, szkołach i placówkach, który dotyczy organizacji zindywidualizowanej ścieżki kształcenia. Jest ona organizowana dla dzieci, które mogą uczęszczać do przedszkola, ale ze względu na trudności w funkcjonowaniu, wynikające w szczególności ze stanu zdrowia, nie mogą realizować wszystkich zajęć wychowania przedszkolnego lub zajęć edukacyjnych wspólnie z oddziałem przedszkolnym i wymagają dostosowania organizacji i procesu naucza-nia do ich specjalnych potrzeb edukacyjnych. Zindywidualizowana ścieżka obejmuje wszyst-kie zajęcia wychowania przedszkolnego lub zajęcia edukacyjne, które są realizowane wspólnie z oddziałem przedszkolnym oraz indywidualnie z dzieckiem. Objęcie dziecka zindywidualizowaną ścieżką wymaga opinii publicznej poradni. Przed wyda-niem opinii publiczna poradnia, we współpracy z przedszkolem oraz rodzicami dziecka, prze-prowadza analizę funkcjonowania wychowanka uwzględniającą efekty udzielanej dotychczas przez przedszkole pomocy psychologiczno-pedagogicznej. Analiza obejmuje szerokie badanie funkcjonowania dziecka w przedszkolu i zakłada współpracę między przedszkolem a porad-nią. Współpraca jest obowiązkowa dla każdej z tych jednostek. Ponieważ wynika z tego rów-nież obowiązek ciążący na administratorze, to istnieje wyraźna podstawa przetwarzania da-nych. Pamiętać jednak należy, że art. 6 RODO nie dotyczy przetwarzania danych szczególnej kate-gorii, np. dotyczących zdrowia. Ta kategoria danych osobowych jest objęta regulacją art. 9 RODO, który umożliwia przetwarzanie danych szczególnej kategorii tylko w wyraźnie wska-zanych w tym przepisie przypadkach. Zgodnie zatem z ust. 1 tej regulacji zabrania się prze-twarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy poli-tyczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności albo orien-tacji seksualnej tej osoby. Zdrowie dziecka zostało wyraźnie uwzględnione w tej kategorii da-nych, których przetwarzanie co do zasady jest zabronione, natomiast wyjątki od tego zakazu znajdują się w art. 9 ust. 2 RODO. Zakaz ten nie ma np. zastosowania wtedy, gdy: • osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, • przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej, zapewnienia opieki zdrowotnej, • przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dzie-dzinie zdrowia publicznego. Przesłanki te dają prawo przetwarzania danych dotyczących zdrowia dziecka na potrzeby udzielanej pomocy psychologiczno-pedagogicznej. Z reguły składając wniosek do poradni o wydanie orzeczenia lub opinii, rodzice podpisują odpowiednią klauzulę dotyczącą zgody na przetwarzanie danych. W przypadku przedszkola również można taką zgodę uzyskać, nato-miast nie jest ona niezbędna. Przywołane regulacje RODO w połączeniu z cytowanymi prze-pisami rozporządzeń stanowią samoistną przesłankę przetwarzania. Przekazanie danych Zgodnie z przytoczonym wcześniej art. 4 pkt 2 RODO udostępnianie jest jedną z operacji wykonywanych na danych osobowych w ramach ich przetwarzania i w przypadku współpracy z poradnią taka właśnie operacja na danych będzie wykonywana. Nadmienić należy, że RO-DO przewiduje jedynie dwie metody przekazywania danych osobowych pomiędzy różnymi podmiotami niebędącymi właścicielami tych danych, czyli wspomniane udostępnienie oraz powierzenie przetwarzania. Różnica pomiędzy powierzeniem przetwarzania danych a ich udostępnieniem polega na tym, że w przypadku powierzenia przetwarzania danych podmiot przekazujący dane nadal decydu-je zarówno o sposobie, jak i celach przetwarzania danych. W takim wypadku należy zawrzeć umowę powierzenia przetwarzania na podstawie art. 28 RODO. Według ust. 3 tej regulacji umowa powinna określać: • przedmiot i czas trwania przetwarzania – czyli jakie czynności i przez jaki czas będą wykonywane w ramach umowy, z których jednocześnie wynika obowiązek przetwa-rzania danych, • charakter i cel przetwarzania – np. przetwarzanie w celu zawarcia umowy ubezpiecze-nia, • rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, • obowiązki i prawa administratora. Udostępnienie nie wymaga zawarcia umowy. Możliwość udostępnienia musi wyraźnie wyni-kać z przepisów. Jeżeli podmiot zewnętrzny, którym dla przedszkola w omawianym przypad-ku jest poradnia, zwraca się o dane osobowe dziecka, to można je udostępnić, gdy istnieje re-gulacja, która taką współpracę przewiduje. Z punktu widzenia dyrektora przedszkola istotne jest w tym wypadku to, że taka regulacja istnieje. Jest nią § 7 ust. 2 Rozporządzenia w sprawie orzeczeń i opinii wydawanych przez zespoły orzekające działające w publicznych poradniach psychologiczno-pedagogicznych, zgodnie z którym w celu uzyskania informacji o sytuacji dydaktycznej i wychowawczej dziecka przewodniczący zespołu może zwrócić się do właściwego dyrektora z prośbą o wydanie opinii przez nauczycieli, wychowawców grup wy-chowawczych lub specjalistów, prowadzących zajęcia z dzieckiem, informując o tym wnio-skodawcę. Przepis ten jest wyraźną podstawą udostępnienia danych pomiędzy przedszkolem a poradnią psychologiczno-pedagogiczną, ale podobnie jak w przypadku każdej regulacji dotyczącej udostępniania danych osobowych, należy szczególną uwagę zwrócić na zakres danych wska-zanych w tym przepisie. Mamy tu wyraźnie określone, że opinia, o którą zwraca się poradnia, dotyczy sytuacji dydaktycznej i wychowawczej, nie ma natomiast mowy o danych wrażli-wych, danych szczególnej kategorii. Rozporządzenie w § 7 ust. 3 dokładnie wskazuje, czego ma dotyczyć opinia wydana przez przedszkole. Powinna ona zawierać informacje o: • rozpoznanych przez nauczycieli, wychowawców grup wychowawczych lub specjali-stów prowadzących zajęcia z dzieckiem indywidualnych potrzebach rozwojowych i edukacyjnych oraz możliwościach psychofizycznych dziecka, w tym mocnych stro-nach i uzdolnieniach, • funkcjonowaniu dziecka w przedszkolu, w tym występujących trudnościach, a w przy-padku dzieci: o niepełnosprawnych, niedostosowanych społecznie lub zagrożonych niedostosowa-niem społecznym objętych kształceniem specjalnym – wielospecjalistyczną ocenę poziomu funkcjonowania dziecka, o z niepełnosprawnością intelektualną w stopniu głębokim objętych zajęciami rewa-lidacyjno-wychowawczymi – okresową ocenę funkcjonowania dziecka; • informację o działaniach podjętych przez nauczycieli, wychowawców grup wychowawczych lub specjalistów w celu poprawy funkcjonowania dziecka w przedszkolu, formach udzielonej dziecku pomocy psychologiczno-pedagogicznej, okresie ich udzielania oraz efektach podjętych działań i udzielanej pomocy oraz wnioskach dotyczących dalszej pracy z dzieckiem, mających na celu poprawę funkcjonowania dziecka. Trzeba tu zwrócić uwagę na fakt, że opinia dotyczy również dzieci niepełnosprawnych, a za-tem Rozporządzenie zakłada, że poradnia i przedszkole będą przekazywać dane związane ze stanem zdrowia dziecka. Obowiązujące regulacje dotyczące współpracy przedszkola i poradni są więc dostosowane do wymogów RODO w tym zakresie, że prawo do przetwarzania danych, w tym danych wrażli-wych, przez obydwie strony tej współpracy, jest wyraźnie wykazane w przepisach. W przy-padkach niewykraczających poza ramy współpracy określone przepisami nie ma potrzeby zawierania dodatkowych umów powierzenia przetwarzania i nie następuje z tego tytułu naru-szenie ochrony danych osobowych.