MATERIAŁ SPONSOROWANY RODO w szkole – najważniejsze pytania Materiał opracowany przez Asysta sp. z o.o., która specjalizuje się w outsourcingu kadr i płac oraz RODO. Firma działa na rynku od 2013 r., a od 2016 r. jest ekspertem w zakresie ochrony danych osobowych, co potwierdzają m.in. kompetencje audytorskiego systemu ISO 27001. Aktualnie spółka obsługuje ponad 200 podmiotów, przede wszystkim z sektora samorządowego, w tym także placówki edukacyjne, pełniąc również funkcję inspektora ochrony danych Podstawa prawna: • Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (tekst mający znaczenie dla EOG), • Ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. z 2019 r. poz. 730), • Ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (t.j. Dz.U. z 2021 r. poz. 1062 ze zm.). Wejście w życie Ustawy w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych miało na celu zharmonizowanie polskich przepisów z unijnymi regulacjami dotyczącymi RODO. Efektem tych działań jest nowelizacja aż 162 rodzimych aktów prawnych. W związku z tak licznymi zmianami ustawodawczymi wiele szkół może mieć problem z określeniem, co tak naprawdę jest ich obowiązkiem w zakresie ochrony danych osobowych. Odpowiadamy na 7 najważniejszych pytań o RODO w szkole. Co oznacza skrót RODO? RODO obowiązuje już ponad cztery lata, a termin ten na stałe wszedł do codziennego języka, jednak nie każdy wie, co dokładnie oznacza to słowo – to skrótowiec utworzony od nazwy unijnego Ogólnego rozporządzenia o ochronie danych osobowych (ang. General Data Protection Regulation, GDPR) . Jego cele to harmonizacja przepisów o ochronie danych osobowych i umożliwienie ich swobodnego przepływu w UE. Czym jest obowiązek informacyjny? Obowiązek informacyjny to powinność poinformowania osoby, której dane dotyczą, o tym, przez kogo i w jaki sposób będą one przetwarzane. Obowiązek ten wypełniany jest przez przekazanie tzw. klauzuli informacyjnej. Nie istnieje jeden, idealny zapis takiej klauzuli. Wszystko zależy od tego, do czego faktycznie placówka będzie używać zebranych danych. Należy to jasno opisać i udostępniać do wglądu w momencie pozyskiwania danych. Warto pamiętać także o tym, że w niektórych przypadkach przepisy związane z RODO przewidują zwolnienie z obowiązku informacyjnego. Czy można żądać zgody na przetwarzanie danych osobowych? Zgoda jest zawsze dobrowolna. Szkoła nie może jej żądać, a rodzice nie muszą jej wyrażać. Można ją wyrazić w formie oświadczenia lub wyraźnego działania potwierdzającego, np. poprzez odhaczenie okienka na stronie internetowej lub podanie danych, które są wyraźnie oznaczone w danym formularzu jako nieobowiązkowe. Szkoła powinna jednak zawsze poinformować, w jakim celu będzie dane przetwarzać oraz jakie prawa przysługują w związku z wyrażeniem zgody danej osobie. Nic nie stoi też na przeszkodzie, aby placówka informowała o korzyściach, jakie przyniesie jej i szkolnej społeczności przetwarzanie konkretnych danych. Im większa jest świadomość osób wyrażających zgodę, tym lepiej. Czy szkoła musi mieć zgodę na przetwarzanie każdych danych? Placówka oświatowa nie ma takiego obowiązku. Niektóre dane szkoła musi przetwarzać, ponieważ wynika to z jej ustawowych obowiązków. W większości będą to: imię, nazwisko, data urodzenia oraz PESEL ucznia, a także imiona i nazwiska rodziców oraz ich dane kontaktowe. Do tego konieczne jest też oświadczenie o miejscu zamieszkania zarówno rodziców, jak i ucznia. Kto właściwie jest administratorem danych osobowych w szkole? Administratorem danych osobowych jest podmiot decydujący o celach i sposobach przetwarzania danych, czyli w tym przypadku szkoła, którą reprezentuje dyrektor. Dyrektor placówki reprezentujący administratora (czyli szkołę) ma obowiązek zapewnienia zgodnego z prawem przetwarzania danych osobowych, ponosi on również odpowiedzialność za działania wszystkich osób upoważnionych do przetwarzania tych danych w jednostce. Czy nauczyciel może kontaktować się z rodzicami z prywatnego adresu e-mailowego? Szkoła powinna dołożyć wszelkich starań, aby wykorzystywane przez nią narzędzia jak najlepiej chroniły dane osobowe. Dyrektor placówki nie powinien zalecać nauczycielom używania prywatnych adresów e-mailowych, ponieważ nie ma nad nimi kontroli. Ponadto, co istotne, prywatne adresy e-mailowe często zakładane są na bezpłatnych domenach, a tu obowiązuje zasada: „Jeśli coś jest za darmo, Ty jesteś produktem”. Za „bezpłatne” rzeczy w sieci płacimy zazwyczaj naszymi danymi. Prywatnie nauczyciel sam decyduje o tym, jakie podejmuje ryzyko, jednak w kontaktach służbowych komunikacja powinna być prowadzona poprzez wdrożone w szkole narzędzia, np. dzienniki elektroniczne. Jeśli zaś nauczyciele muszą użyć adresów e-mailowych, lepiej, aby były to skrzynki służbowe. Czy placówka może prowadzić profil na Facebooku? Korzystanie z Facebooka i innych kont społecznościowych nie jest zakazane, ale niesie ze sobą podwyższone ryzyko naruszenia bezpieczeństwa danych osobowych. Prowadząc fanpage, szkoła nadal jest administratorem danych osobowych uczniów, rodziców, pracowników i nauczycieli. Właściciel Facebooka, czyli firma META, na niektórych polach współadministruje danymi, które pojawiają się na profilu, dlatego dobrze jest znać przepisy w zakresie publikacji wizerunków, które w Polsce reguluje Ustawa o prawie autorskim i prawach pokrewnych. Warto w tym miejscu wspomnieć o stanowisku, jakie zajął niemiecki organ nadzorczy właściwy do ochrony danych osobowych, czyli Federalny Komisarz ds. Ochrony Danych i Wolności Informacji, którego zdaniem konieczne jest usunięcie wszystkich fanpage’ów prowadzonych na Facebooku przez niemieckie organizacje rządowe, ponieważ administrator tego portalu społecznościowego nie dostosował wdrożonych rozwiązań do przepisów z zakresu ochrony danych osobowych, zarówno tych dotyczących RODO, jak i niemieckich uregulowań prawnych w tym zakresie . Więcej informacji w zakresie wdrożeń RODO w placówkach oświatowych na stronie: RODO w szkole - asystahr.pl