Prezes Urzędu Ochrony Danych Osobowych nałożył karę upomnienia na szkołę, która przeprowadziła wśród uczniów ankietę „Diagnozowanie sytuacji domowej i szkolnej ucznia. Ankieta dla ucznia”. Badania te dotyczyły sytuacji osobistej uczniów. Urząd uznał, że szkoła nie ma podstawy prawnej do zbierania i przetwarzania takich danych.

UODO ustalił, że ankietę przeprowadzono w celu zidentyfikowania uczniów, którzy wymagają udzielenia wsparcia psychologicznego przez szkołę, do której uczęszczają. Ankieta miała postać papierowych formularzy in blanco, które zostały rozdane wychowawcom klas VII i VIII oraz klas licealnych na polecenie dyrektora placówki.

Dane, które zbierano, dotyczyły …

(…) uczniów, w tym także osób niepełnoletnich, przede wszystkim ich imion i nazwisk, oznaczenia klasy, określenia opiekunów prawnych (rodziców), informacji o stanie rodziny (pełna, niepełna), a także informacji o śmierci opiekuna prawnego (rodzica), separacji opiekunów prawnych (rodziców), ich wykształceniu i sytuacji zawodowej, liczbie osób w gospodarstwie domowym, sytuacji finansowej, stanie zdrowia oraz nałogach opiekunów prawnych (rodziców), sytuacji mieszkaniowej oraz o fakcie otrzymania pomocy finansowej.

Przetwarzanie danych odbywało się w zakresie ich zbierania, przechowywania oraz usunięcia. Wszystkie zwrócone egzemplarze ankiety zostały komisyjnie zniszczone. Kontrolerzy ustalili, że dane osobowe zawarte w ankietach nie zostały wprowadzone do elektronicznych systemów telekomunikacyjnych ani utrwalone na nośnikach danych elektronicznych czy innych, w tym w formie papierowej. Po zebraniu ankiet wychowawcy nie sporządzali ich skanów, kopii papierowych ani innych, dodatkowych dokumentów zawierających dane osobowe z ankiet. W dniu kontroli pozyskane dane osobowe uczniów nie były już przetwarzane. Ustalono też, że ankiety były przeprowadzane w sposób wykluczający możliwość zapoznania się z danymi przez osoby nieuprawnione. Uznano więc, że dane były względnie bezpieczne.

Niemniej jednak UODO podkreślił, że szkoła naruszyła w tym przypadku zasadę, w myśl której dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Ta zasada została rozwinięta w art. 6 ust. 1 lit. c RODO, zgodnie z którym przetwarzanie jest zgodne z prawem wyłącznie w przypadku, gdy – i w takim zakresie w jakim – spełniony jest warunek, że przetwarzanie to jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.

Szkoła jako podmiot publiczny może przetwarzać dane osobowe w zakresie wykonywanych przez nią zadań nałożonych ustawami. Prawo oświatowe stanowi, że szkoły przetwarzają dane osobowe w zakresie niezbędnym dla realizacji zadań i obowiązków wynikających z tych przepisów. W aktach prawnych regulujących zasady funkcjonowania instytucji oświatowych nie określa się takich zadań i obowiązków szkół, które uzasadniałyby przetwarzanie danych osobowych uczniów w sposób, w jaki uczyniono to w ukaranym podmiocie.

Okolicznością łagodzącą w tym przypadku był niezamierzony charakter naruszenia. Poza tym dyrektor placówki niezwłocznie podjął szereg działań naprawczych, m.in. zniszczył formularze ankiety i odwołał jej przeprowadzenie przez niektórych nauczycieli, zorganizował też szkolenia pracowników w celu podniesienia świadomości w zakresie ochrony danych osobowych.

Małgorzata Tabaszewska – specjalistka prawa oświatowego

Podstawa prawna:

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dn. 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) – Dz.Urz. UE z 2016 r. L 119/1.