STAN PRAWNY NA 30 MAJA 2025

Kontrolę przestrzegania przepisów o ochronie danych osobowych przeprowadza prezes Urzędu Ochrony Danych Osobowych (UODO). Dokonuje jej na podstawie planu kontroli lub uzyskanych informacji bądź też obowiązku monitorowania przestrzegania stosowania RODO.

Czy przedszkole może spodziewać się kontroli w najbliższym czasie?

Na stronie Urzędu znajdziemy plan kontroli sektorowych UODO na 2025 r. Przedszkoli nie wymieniono w nim wprost, niemniej kontrola może dotyczyć m.in.:

• podmiotów, które przetwarzają dane dzieci – w zakresie przetwarzania wizerunku dzieci, gdy wymagana jest zgoda wyrażona przez rodziców lub opiekunów prawnych,
• wszystkich administratorów danych osobowych (ADO), do których zalicza się m.in. przedszkola – w zakresie realizacji obowiązku wynikającego z art. 33 ust. 5 RODO, polegającego na dokumentowaniu wszelkich naruszeń ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutków oraz podjętych działań zaradczych.

Przedszkole może tym samym znaleźć się wśród podmiotów kontrolowanych, zwłaszcza że przetwarza ono dane osobowe dzieci i zobowiązane jest do rejestrowania naruszeń ochrony danych osobowych. Jednak kontrolę UODO mogą także wywołać czy sprowokować konkretny incydent, np. wyciek danych z systemu informatycznego masowo stosowanego przez placówki oświatowe, lub skarga rodzica niezadowolonego ze sposobu przetwarzania danych osobowych jego dziecka. Dlatego przedszkole powinno w każdym roku być przygotowane na tego rodzaju kontrolę. Niniejszy artykuł wskazuje, jak się do niej przygotować. Informuje też, jak z punktu widzenia obowiązujących przepisów powinno przebiegać takie postępowanie.

Postępowanie kontrolne

Przepisy o kontroli UODO zawiera obecnie Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (dalej jako: Ustawa). Poniżej przedstawiamy najważniejsze – z punktu widzenia przedszkola – przepisy dotyczące postępowania kontrolnego.

Kontrolujący

Kontrolę przeprowadza upoważniony przez prezesa UODO pracownik UODO, zwany dalej „kontrolującym” (rzadziej będzie to pracownik organu ds. ochrony danych osobowych z innego kraju, działający w ramach wspólnych międzynarodowych postępowań). W pewnych sytuacjach można się domagać wyłączenia konkretnego kontrolującego, a decyzje w tej sprawie podejmuje prezes UODO. Podstawa do takiego żądania pojawia się wtedy, gdy istnieje prawdopodobieństwo, że wyniki kontroli będą oddziaływać na prawa lub obowiązki kontrolera bądź jego bliskich (np. dziecka czy małżonka). Podstawę wyłączenia mogą stanowić też uzasadnione wątpliwości co do bezstronności kontrolującego, np. gdy kontroler to były pracownik/kontrahent przedszkola lub osoba zamieszkująca w jego sąsiedztwie i skarżąca się na hałas z placu zabaw.

Istotne jest, aby zwrócić uwagę na to, czy osoba chcąca podjąć czynności kontrolne rzeczywiście reprezentuje UODO. Kontrolę można bowiem wszcząć dopiero po okazaniu:

• imiennego upoważnienia wraz z legitymacją służbową oraz
• imiennego upoważnienia wraz z dokumentem potwierdzającym tożsamość – w przypadku kontrolującego będącego członkiem lub pracownikiem organu nadzorczego innego państwa członkowskiego Unii Europejskiej (UE).

Należy sprawdzić wówczas, czy imienne upoważnienie do przeprowadzenia kontroli zawiera wszystkie wymagane przepisami elementy, tj.:

• wskazanie podstawy prawnej przeprowadzenia kontroli,
• oznaczenie organu,
• imię i nazwisko, stanowisko służbowe kontrolującego oraz numer legitymacji służbowej, a w przypadku kontrolującego z innego kraju UE – imię i nazwisko oraz numer dokumentu potwierdzającego tożsamość,
• określenie zakresu przedmiotowego kontroli,
• oznaczenie kontrolowanego,
• wskazanie daty rozpoczęcia i przewidywanego terminu zakończenia czynności kontrolnych,
• podpis prezesa UODO,
• pouczenie kontrolowanego o jego prawach i obowiązkach,
• datę i miejsce jego wystawienia.

Nic nie stoi na przeszkodzie, aby w sytuacji nabrania podejrzeń skontaktować się z UODO telefonicznie.

Obecność dyrektora przedszkola

Przepisy nakazują wykonywanie czynności kontrolnych w obecności kontrolowanego (w tym przypadku ADO reprezentowanego przez dyrektora przedszkola) lub osoby przez niego upoważnionej. W drugim przypadku dyrektor powinien pisemnie wskazać osobę, którą do udziału w kontroli upoważnił jako reprezentanta. W razie nieobecności kontrolowanego lub osoby przez niego upoważnionej kontrolujący może okazać upoważnienie do przeprowadzenia kontroli oraz legitymację służbową lub dokument potwierdzający tożsamość:

• osobie czynnej w lokalu przedsiębiorstwa w rozumieniu art. 97 Kodeksu cywilnego (zgodnie z tym przepisem osobę czynną w lokalu przedsiębiorstwa przeznaczonym do obsługiwania publiczności poczytuje się w razie wątpliwości za umocowaną do dokonywania czynności prawnych, które zazwyczaj bywają dokonywane z osobami korzystającymi z usług tego przedsiębiorstwa) lub
• przywołanemu świadkowi, jeżeli jest funkcjonariuszem publicznym w rozumieniu art. 115 § 13 Kodeksu karnego, niebędącemu pracownikiem UODO albo osobą wyłączoną w sprawie ze statusu kontrolera na wcześniejszych zasadach (np. funkcjonariuszowi organu powołanego do ochrony bezpieczeństwa publicznego).

Co może kontrolujący                                               

Przepisy UODO przyznają kontrolującemu szereg uprawnień, w tym prawo do: