STAN PRAWNY NA 16 PAŹDZIERNIKA 2020 Obowiązki związane z RODO – nowy rok szkolny Opracował: Michał Łyszczarz, prawnik, główny specjalista w Wydziale Oświaty w Urzędzie Miasta w Dąbrowie Górniczej, współautor komentarza do Ustawy o systemie oświaty oraz szeregu publikacji z zakresu prawa oświatowego Podstawa prawna: • Ustawa z dnia 14 marca 1985 r. o Państwowej Inspekcji Sanitarnej (t.j. Dz.U. z 2019 r. poz. 59 ze zm.), • Ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (t.j. Dz.U. z 2019 r. poz. 1231 ze zm.), • Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz.U. z 2020 r. poz. 256), • Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobo-wych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U. UE.L. z 2016 r. Nr 119 poz. 1), • Rozporządzenie Ministra Edukacji Narodowej z dnia 20 marca 2020 r. w sprawie szczególnych rozwiązań w okresie czasowego ograniczenia funkcjonowania jednostek systemu oświaty w związku z zapobieganiem, przeciwdziałaniem i zwalczaniem CO-VID-19 (Dz.U. z 2020 r. poz. 493 ze zm.), • Rozporządzenie Ministra Zdrowia z dnia 20 marca 2020 r. w sprawie ogłoszenia na obszarze Rzeczypospolitej Polskiej stanu epidemii (Dz.U. z 2020 r. poz. 491 ze zm.). Sytuacja prawna, w jakiej obecnie funkcjonują przedszkola, jest szczególna z uwagi na obo-wiązywanie wytycznych przeciwepidemicznych Głównego Inspektora Sanitarnego, przyję-tych na podstawie art. 8a ust. 5 pkt 2 Ustawy z dnia 14 marca 1985 r. o Państwowej Inspekcji Sanitarnej, które rekomendują m.in. zakup termometru, najlepiej bezdotykowego, oraz pomiar temperatury u dzieci w celu wykrycia ewentualnych objawów wskazujących na możliwość zarażenia. Wytyczne te są wiążące dla dyrektora przedszkola, co wynika nie tylko z treści przywołanej regulacji, lecz również z § 13c Rozporządzenia MEN z dnia 20 marca 2020 r. w sprawie szczególnych rozwiązań w okresie czasowego ograniczenia funkcjonowania jednostek systemu oświaty w związku z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, który wprost stanowi, że dyrektor jednostki systemu oświaty uwzględnia w funkcjonowaniu jed-nostki przepisy odrębne dotyczące ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii oraz wytycznych ministra właściwego ds. zdrowia, Głównego Inspektora Sanitarnego oraz ministra właściwego ds. oświaty i wychowania. Dokonywanie pomiaru tem-peratury oznacza natomiast, że przedszkole przetwarza dane szczególnej kategorii (dane wrażliwe), o których mowa w art. 9 RODO. Dane wrażliwe Możliwość przetwarzania danych szczególnej kategorii, czyli danych dotyczących zdrowia dziecka, jest niezbędna w obliczu stanu epidemii wprowadzonego (i nadal obowiązującego) na mocy Rozporządzenia MZ z dnia 20 marca 2020 r. w sprawie ogłoszenia na obszarze Rze-czypospolitej Polskiej stanu epidemii. Pojawiają się jednak różne opinie na temat tego, czy w nowym roku szkolnym dyrektor powinien zebrać zgody rodziców na dokonywanie pomiaru temperatury, czy też pobieranie takich zgód nie jest potrzebne, a pomiaru tego można dokonać wyłącznie na podstawie wytycznych GIS-u, popartych dodatkowo treścią art. 9 ust. 2 lit. i RODO, zgodnie z którym przetwarzanie danych szczególnej kategorii jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi. Oczywiście zagrożenie koronawirusem, wynikające wyraźnie z wprowadzonego w kraju stanu epidemii, oznacza, że takie zagrożenie z prawnego punktu widzenia jest obecne i umożliwia przetwarzanie danych dotyczących temperatury. Dotyczące przedszkoli wytyczne GIS-u z 26 sierpnia 2020 r. wskazują jednak, że należy uzyskać zgodę rodziców/opiekunów na pomiar temperatury ciała dziecka, jeśli zaistnieje taka konieczność w przypadku wystąpienia niepokojących objawów chorobowych. Jak należy postąpić, jeżeli zgoda taka nie zostanie udzielona? W takim przypadku istnieje podstawa do tego, aby odmówić przyjęcia dziecka do przedszkola w danym dniu, jeżeli taką konsekwencję przewidują procedury obowiązujące w placówce. Można się natomiast zasta-nowić, czy mierzenie temperatury powinno być faktycznie przeprowadzane każdego dnia, w celach profilaktycznych, jeśli wytyczne tego nie wymagają, czy też stosować takie rozwią-zanie wyłącznie wtedy, gdy istnieje podejrzenie, że dziecko gorączkuje. Pamiętać przy tym należy, że odizolowanie dziecka jest możliwe także wówczas, gdy wystąpią inne objawy, np. katar czy kaszel. Wykorzystanie wizerunku dziecka Na początku roku szkolnego podejmuje się z reguły decyzję na temat tego, jakie dane będą umieszczane na stronie internetowej przedszkola. Jeśli dyrektor zamierza umieszczać w inter-necie wizerunek dzieci, to musi zadbać o zgodę na jego rozpowszechnianie, o której mówi art. 6 ust. 1a RODO. Przetwarzanie jest zgodne z prawem, jeżeli osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów. Wprost sformułowany obowiązek uzyskania zgody na rozpowszechnianie wizerunku wynika z treści art. 81 ust. 1 Ustawy o prawie autorskim i prawach pokrewnych. Zgodnie z ust. 2 tej regulacji zezwolenia nie wymaga rozpowszechnianie wizerunku: • osoby powszechnie znanej, jeżeli wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych, w szczególności politycznych, społecznych, zawodowych, • osoby stanowiącej jedynie szczegół całości takiej jak zgromadzenie, krajobraz, pu-bliczna impreza. Jeżeli wizerunek osób biorących udział w przedszkolnej uroczystości będzie wykorzystywany wyłącznie w charakterze prezentacji całej imprezy, to wówczas nie ma potrzeby uzyskania zgody poszczególnych jej uczestników. Upoważnienia do przetwarzania danych osobowych Nauczyciele i pracownicy niepedagogiczni przedszkola w trakcie pracy przetwarzają dane osobowe i w związku z tym pamiętać należy o wydaniu im stosownych upoważnień do prze-twarzania. Wymaga tego art. 35 RODO, zgodnie z którym każda osoba działająca z upoważ-nienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarza je wyłącznie na polecenie administratora. Przedszkole powinno posiadać rejestr upoważnień do przetwarzania danych osobowych, a na początku każdego roku szkolnego warto sprawdzić, czy jest on aktualny, tzn. czy zakresy upoważnień zawartych w tym rejestrze zgadzają się z faktycznymi danymi przetwarzanymi przez pracowników, i czy wszyscy pracownicy przetwarzający dane osobowe posiadają upo-ważnienia do przetwarzania. Oczywiście w razie potrzeby należy rejestr uaktualnić. Przetwarzanie danych przez radę rodziców W przypadku członków rady rodziców działającej w przedszkolu upoważnienia do przetwa-rzania danych nie są potrzebne. Pogląd taki wyraził Urząd Ochrony Danych Osobowych (UODO) w odpowiedzi na pytanie jednego z inspektorów. Administratorem danych osobo-wych rodziców uczestniczących w radzie rodziców oraz danych przetwarzanych na jej posie-dzeniach jest nie sama rada rodziców, lecz przedszkole, w ramach którego ona działa. Rada, będąc organem wewnętrznym placówki o charakterze społecznym i działając w ramach jej struktury, nie posiada osobowości prawnej, nie ma również charakteru jednostki organizacyj-nej i nie została wyposażona w przymiot zdolności prawnej (Wyrok Naczelnego Sądu Admini-stracyjnego z dnia 22 czerwca 2017 r., sygn. akt I OSK 2505/16). Zgodnie z ugruntowanym orzecznictwem rada rodziców nie ma zdolności sądowej i nie stanowi organizacji społecznej w rozumieniu art. 33 § 2 Kodeksu postępowania administracyjnego, uprawnionej do wystę-powania w interesie rodziców dzieci (Postanowienia Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 czerwca 2016 r., sygn. II SA WA 754/16; Postanowienie Naczelnego Sądu Administracyjnego z dnia 14 czerwca 2012 r., sygn. I OZ 421/12; Postanowienie Na-czelnego Sądu Administracyjnego z dna 16 lutego 2009 r., sygn. I OSK 121/09). Obowiązek informacyjny Należy pamiętać o spełnieniu obowiązku informacyjnego, który wynika z art. 13 RODO. Zgodnie z tą regulacją administrator podczas pozyskiwania danych osobowych przekazuje osobie, od której te dane pozyskuje, następujące informacje: • swoją tożsamość i dane kontaktowe, • dane kontaktowe inspektora ochrony danych, • cele przetwarzania danych osobowych, • informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją, • okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kry-teria ustalania tego okresu, • informacje o prawie do żądania od administratora dostępu do danych osobowych do-tyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych, • informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem, • informacje o prawie wniesienia skargi do organu nadzorczego, • informację, czy podanie danych osobowych jest wymogiem ustawowym bądź umow-nym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobo-wiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych. W przypadku przedszkoli gminnych obowiązek podania danych osobowych jest obowiązkiem ustawowym, natomiast dla przedszkoli niepublicznych obowiązek ten wynika z umowy za-wieranej z przedszkolem. Obowiązek informacyjny spełnia się w stosunku do rodziców dzieci nowo przyjętych do przedszkola.