Prezes UODO wystąpił do Ministra Edukacji i Nauki o rozważenie kompleksowego uregulowania w przepisach prawa kwestii związanych z prowadzeniem dokumentacji przez poradnie psychologiczno-pedagogiczne.

Urząd Ochrony Danych Osobowych dostrzegając od wielu lat lukę prawną w dostosowaniu regulacji dotyczących działalności poradni psychologiczno-pedagogicznych do przepisów ogólnego rozporządzenia o ochronie danych (RODO) wystąpił do Ministra Edukacji i Nauki o systemowe zmiany w przepisach prawa. Obecnie Prawo oświatowe oraz akty wykonawcze do tej ustawy zapewniają jedynie fragmentaryczną ochronę danych osobowych zawartych w dokumentacji prowadzonej przez poradnie.

W celu udzielenia pomocy psychologiczno-pedagogicznej poradnie przetwarzają dane osobowe zarówno uczniów i ich rodziców, jak i nauczycieli czy psychologów udzielających pomocy. W prowadzonej dokumentacji są zebrane dane  zwykłe w postaci imienia i nazwiska, adresu zamieszkania,  a także szczególne kategorie danych osobowych. Te drugie to informacje m.in. o stanie zdrowia, ujawniające przekonania religijne czy światopoglądowe, a więc informacje wymagające szczególnej ochrony. Zdaniem UODO dokumentacja prowadzona przez poradnie, niezależnie od tego, czy jest w formie papierowej, czy elektronicznej, powinna być chroniona przy zapewnieniu wysokich standardów bezpieczeństwa.

Aktualne problemy

Obecne przepisy nie zapewniają kompleksowego uregulowania zasad działania tego typu poradni. Ponadto nie regulują procesów związanych z przetwarzaniem danych zawartych w dokumentacji, a są to m.in.: kwestie związane ze źródłami pozyskania danych osobowych, prowadzenia dokumentacji, zakresem informacji, jaki jest w niej gromadzony,. Dodatkowo nie są uregulowane kwestie związane z dostępem podmiotów do danych zawartych w tych dokumentach. Kluczowym problemem jest brak podstawy prawnej do udostępniania zawartych w niej danych innym podmiotom.

Ocena skutków dla ochrony danych osobowych

UODO w wystąpieniu skierowanym do Ministra Edukacji i Nauki podkreślił, że przetwarzanie danych osobowych zawartych w dokumentacji wytwarzanej przez poradnie psychologiczno-pedagogiczne powinno zostać głęboko przeanalizowane z punktu widzenia zgodności z zasadami określonymi w RODO. Analiza taka przynosi realne korzyści, ponieważ pozwala projektodawcom dostrzec procesy, które powinny ulec zmianie. Zawsze należy pamiętać, aby odpowiednio wyważyć procesy związane z przetwarzaniem danych osobowych z prywatnością osób, których dane dotyczą. Zaprojektowanie ochrony danych osobowych a często także dokonanie oceny skutków dla ochrony danych osobowych pozwoli podczas tworzenia prawa ocenić, czy występują luki lub niespójności z obecnie obowiązującymi przepisami.

Zgodność z zasadami RODO

Każde przetwarzanie danych osobowych musi być zgodne z zasadami przyjętymi w RODO. Dane osobowe muszą być przede wszystkim przetwarzane zgodnie z prawem  (zasada legalizmu). Obecnie, jeśli chodzi o przetwarzanie danych w dokumentacji prowadzonej przez poradnie psychologiczno-pedagogiczne, zauważano brak podstawy prawnej do udostępniania zawartych w niej danych innym podmiotom. Zdaniem UODO, należy rozważyć objęcie takiej dokumentacji prawnie chronioną tajemnicą, podobnie jak w przypadku dokumentacji medycznej, m.in. ze względu na  przetwarzane w niej zróżnicowanych danych, jakimi są także dane szczególnej kategorii.

Organ nadzorczy zwrócił także uwagę, że obecne regulacje w postaci rozporządzenia Ministra Edukacji Narodowej z dnia 7 września 2017 r. w sprawie orzeczeń i opinii wydawanych przez zespoły orzekające działające w publicznych poradniach psychologiczno-pedagogicznych stanowią iż wniosek o wydanie opinii lub orzeczenia przez poradnie zawiera oświadczenie wnioskodawcy o wyrażeniu zgody na przetwarzanie danych osobowych. Biorąc pod uwagę status podmiotów (podmioty publiczne i niepubliczne realizujące zadania publiczne), jak również charakter realizowanych przez nich zadań jako administratorów danych, to podstawy przetwarzania przez nich szczególnej kategorii danych osobowych powinny wynikać z przepisów ustawy zapewniających odpowiednie gwarancje ochrony danych osobowych,  a nie być  kształtowane wyłącznie w oparciu o zgodę, o której mowa w  art. 9 ust. 2 lit. a)  rozporządzenia 2016/679, która w każdym momencie może być wycofana, a jej wycofanie niesie określone konsekwencje prawne.

Problem braku kompleksowych regulacji procesów związanych z przetwarzaniem danych zawartych w dokumentacji prowadzonej przez poradnie psychologiczno-pedagogiczne był sygnalizowany wielokrotnie jeszcze przez Generalnego Inspektora Ochrony Danych Osobowych.

Przegląd dotychczasowych reguł towarzyszących przetwarzaniu danych przez poradnie psychologiczno-pedagogiczne i przyjęcie nowych rozwiązań prawnych w tym obszarze z pewnością przyczyni się do wsparcia funkcjonowania poradni oraz podniesienia standardów ochrony danych osobowych. Przede wszystkim jednak wzmocni prawa osób, którym taka pomoc jest udzielana.

UODO