Ochrona danych osobowych to bardzo ważny obszar działalności szkół i placówek, który wciąż wzbudza wśród rodziców i pracowników oświaty wiele wątpliwości. Najczęstsze pytania dotyczą podstaw prawnych, celów i zakresu przetwarzania danych osobowych. Przygotowany przez Urząd Ochrony Danych Osobowych miniporadnik ma pomóc we właściwym zrozumieniu tych zagadnień, a co za tym idzie – podejmowaniu odpowiednich decyzji w praktyce.

Dzienniki szkolne

Jak wiadomo, dzienniki lekcyjne pełne są informacji, w tym także danych osobowych nie tylko uczniów, ale i rodziców. UODO przypomina, że zgoda rodziców nie stanowi podstawy prawnej do przetwarzania tych danych, ponieważ przetwarzanie danych w dokumentacji szkolnej odbywa się na podstawie przepisu prawa.

Sposób prowadzenia dokumentacji przez placówki oświatowe regulują …

(…) przepisy ustawy Prawo oświatowe (u.P.o.) oraz akty prawne wydane na jej podstawie. Szkoły prowadzą dla każdego oddziału dziennik lekcyjny, w którym dokumentuje się przebieg nauczania w danym roku szkolnym. Zasada ta wynika z § 8 ust. 1 rozporządzenia MEN w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji.

Zgodnie z § 8 ust. 2 cyt. rozp. do dziennika wpisuje się nazwiska i imiona uczniów, daty i miejsca urodzenia oraz adresy ich zamieszkania, imiona i nazwiska rodziców oraz adresy ich zamieszkania (jeżeli są różne od adresu zamieszkania ucznia) oraz adresy poczty elektronicznej rodziców i numery ich telefonów, jeżeli je posiadają.

Podobnie sprawa ma się w przypadku dzienników elektronicznych. Zgodnie bowiem z ww. rozp. dzienniki lekcyjne mogą być prowadzone także w postaci elektronicznej, a za zgodą organu prowadzącego szkołę mogą być prowadzone tylko w tej postaci. Dziennik elektroniczny stanowi więc dokumentację prowadzoną przez szkołę i zarówno sposób jego prowadzenia, jak i zakres danych osobowych w nim zawartych, regulują przepisy prawa.

Przetwarzanie danych osobowych w dzienniku elektronicznym, do którego mają dostęp rodzice, nie oznacza, że dane te będą powszechnie dostępne w sieci. Dziennik elektroniczny umożliwia rodzicom m.in. bieżące śledzenie postępów w nauce ich dziecka. Dzięki odpowiednim zabezpieczeniom dostęp do danych z dziennika mają tylko osoby uprawnione, tzn. rodzice uczniów mają wgląd do danych tylko w zakresie dotyczącym ich własnych dzieci.

Przynależność do mniejszości

Szkoła może przetwarzać dane etniczne ucznia na potrzeby organizacji kształcenia dzieci mniejszości narodowych i etnicznych – to także wynika z regulacji prawnych, tym razem tych dotyczących kształcenia dzieci mniejszości narodowych i etnicznych. Działanie to wiąże się też z realizacją ważnego interesu publicznego, jakim jest prawo do podtrzymywania poczucia tożsamości narodowej, etnicznej i językowej oraz dostosowanie do tego zadania organizacji procesu kształcenia.

Uczniowie należący do mniejszości narodowych i etnicznych mają m.in. prawo do nauki języka danej mniejszości lub w języku mniejszości, a szkoła umożliwia im podtrzymywanie poczucia tożsamości narodowej, etnicznej, językowej i religijnej, a w szczególności naukę języka oraz własnej historii i kultury.

Gdy szkoła chwali się sukcesami uczniów

Szkoły bardzo często publikują na swoich stronach internetowych informacje o wynikach i osiągnięciach uczniów podczas konkursów czy olimpiad. Czy wymaga to zgody rodziców laureatów? Nie, jeśli szkoła publikuje ogólną informację o wynikach, czyli nie wskazuje wprost, który uczeń osiągnął dany wynik – wyjaśnia UODO.

Zgoda rodziców jest jednak niezbędna w przypadku, gdy informacja o sukcesach ucznia zawiera jego dane osobowe, umożliwiające identyfikację. Jak tłumaczy Urząd, wynika to z faktu, że takie działanie szkoły nie jest ani jej obowiązkiem, ani uprawnieniem. Szkoła podejmuje je we własnym interesie, np. w celach promocyjnych. Tymczasem RODO jednoznacznie wskazuje, że dane osobowe muszą być przetwarzane zgodnie z prawem, zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Przesłanką legalizującą publikowanie danych osobowych uczniów na stronie internetowej szkoły będzie art. 6 ust. 1 lit. a RODO, a zatem zgoda rodziców.

„Publiczne wyczytywanie w czasie uroczystości szkolnej imion i nazwisk uczniów wyróżnionych za wybitne osiągnięcia edukacyjne uznać należy za czynności dozwolone i niewymagające uprzedniej zgody rodziców ucznia – albo w przypadku ucznia pełnoletniego – samego ucznia” – precyzuje UODO.

Zgodnie z ustawą o systemie oświaty i ustawą – Prawo oświatowe szkoła nie potrzebuje uzyskiwać zgód, jeśli przetwarza dane uczniów w celach oświatowych, wynikających z tych ustaw, i związanych z nauką i wychowaniem uczniów.

Ochrona wizerunku

Wizerunek ucznia utrwalony na fotografii może być rozpowszechniany na stronie internetowej szkoły lub w mediach społecznościowych prowadzonych przez szkołę wyłącznie na podstawie zezwolenia osoby, która przedstawia. Podstawą prawną do publikowania wizerunku jest zgoda (określona w art. 6 ust. 1 lit. a RODO, a osoba, która ma udzielić takiej zgody, powinna być świadoma tego, w jakim celu jest jej to proponowane, jak długo i gdzie jej wizerunek będzie przetwarzany. Jeśli chodzi o publikację fotografii ucznia, to zgodę administrator powinien uzyskać od rodzica dziecka.

UODO ma też radę dla rodziców publikujących fotografie swoich pociech w otoczeniu innych dzieci – powinni oni uzyskać zgodę na publikację od opiekunów prawnych tych dzieci.

Z wykorzystywaniem czyjegoś wizerunku utrwalonego na fotografii wiąże się też konieczność pozyskania zezwolenia na rozpowszechnienie tego wizerunku (ustawa o prawie autorskim i prawach pokrewnych). Zgodnie z art. 81 ust. 2 pkt 2 tej ustawy zgoda uwidocznionych osób lub ich rodziców nie jest konieczna, gdy sylwetka stanowi jedynie szczegół całości uwiecznionej na zdjęciu. Możliwe jest więc rozpowszechnianie zdjęć z zabaw szkolnych czy wycieczek, na których sylwetka osoby nie jest wyodrębniona, lecz jest tylko elementem szerszego planu.

Gdy krewny odbiera dziecko

W świetle obowiązujących przepisów to przede wszystkim rodzice mają prawo, w ramach wykonywania władzy rodzicielskiej (art. 93, 95 § 2 Kodeksu rodzinnego i opiekuńczego), przyprowadzać i odbierać swoje dziecko lub dzieci ze szkoły. Pozostałe osoby (np. babcia, dziadek) mogą wykonywać te czynności na podstawie upoważnienia udzielonego przez rodziców. Szkoła ma zatem prawo żądać przedstawienia takiego upoważnienia.

Ale czy przedstawiciel szkoły może poprosić osobę upoważnioną do odbioru dziecka o okazanie dowodu osobistego w celu weryfikacji tożsamości? W opinii UODO dyrektor szkoły, choć wykonuje zadania związane z zapewnieniem bezpieczeństwa uczniom i nauczycielom w czasie zajęć szkolnych, nie ma podstaw do legitymowania osób, co najwyżej może zażądać uwiarygodnienia tożsamości. Wybór środków dla uwierzytelnienia swojej tożsamości należy jednak do osoby, która posiada pełnomocnictwo do odbioru dziecka – może ona w tym celu okazać dowód tożsamości lub inny dokument potwierdzający tożsamość (paszport, legitymacja inwalidy itp.).

Udostępnianie danych osobowych ucznia

Każdorazowe udostępnienie danych dotyczących ucznia musi mieć podstawę w obowiązujących przepisach prawa. Może ono nastąpić na podstawie jednej z przesłanek określonych w art. 6 ust. 1 RODO. Decyzja należy do administratora, który będzie musiał ocenić podstawy.

Często pojawia się pytanie, czy rodzic może uzyskać informacje na temat swojego dziecka przez telefon. Jest to możliwe, ale po spełnieniu kilku warunków. Najważniejsze jest zidentyfikowanie dzwoniącego i ustalenie, czy jest on uprawniony do pozyskania informacji o dziecku. Szkoła ma bowiem obowiązek zapewnić, że dane osobowe nie będą udostępniane osobom nieupoważnionym. Informacje, które mogą pozwolić na weryfikację dzwoniącego, to np.: imię i nazwisko dziecka, wiek dziecka, data urodzenia, imiona rodziców. Można też spytać, w co dziecko jest ubrane, do której klasy uczęszcza, jak nazywa się jego wychowawca. Jeżeli istnieją jakiekolwiek wątpliwości co do tożsamości osoby usiłującej pozyskać informacje dotyczące dziecka, należy odmówić ich udzielenia.

Aby uniknąć ryzykownych sytuacji, rodzice powinni kontaktować się ze szkołą za pośrednictwem ustalonego jako bezpieczny kanału komunikacji, np. dziennika elektronicznego. Jeżeli szkoła nie prowadzi takiego dziennika, środkiem komunikacji może być e-mail, przy czym zaleca się, aby nauczyciele używali do korespondencji mailowej z uczniami czy rodzicami służbowych adresów poczty elektronicznej. Z kolei szkoła może wykorzystywać adresy mailowe rodziców (opiekunów prawnych) dzieci do kontaktu z nimi, jeżeli osoby te wyrażą na to zgodę.

„Szczególną uwagę należy zwrócić na zabezpieczenie danych osobowych udostępnianych w przesyłanych wiadomościach. Dlatego wykorzystując pocztę elektroniczną do kontaktów z rodzicami, szkoła powinna wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiedni do ryzyka. Trzeba podkreślić, że to szkoła, a nie nauczyciele są administratorami podejmującymi decyzję co do przyjmowanych w szkole kanałów komunikacji. Dlatego tak ważne jest, aby wdrażać odpowiednie procedury i przeprowadzać systematyczne szkolenia w celu uświadamiania określonych ryzyk, jakie wiążą się z przetwarzaniem danych poza przyjętymi procedurami” – ostrzega UODO.

Należy pamiętać, że tylko osoby uprawnione mogą otrzymać informacje o dziecku. Oznacza to, że szkoła nie może udostępnić informacji o postępach w nauce czy zachowaniu ucznia przykładowo babci lub dziadkowi upoważnionym do odbioru dziecka ze szkoły, jeżeli osoby te nie posiadają odrębnego upoważnienia. „Aby babcia lub dziadek mogli otrzymywać takie informacje, muszą zostać upoważnieni przez rodziców (opiekunów prawnych). Nie wystarczy upoważnienie, którego zakres obejmuje jedynie odbiór ucznia ze szkoły” – wyjaśnia UODO. Jednocześnie dodaje, że jeżeli krewni są upoważnieni na przykład do udziału w wywiadówce, to wtedy szkoła ma podstawę prawną do udostępnienia im danych jako wyznaczonym do tego celu przez rodziców (opiekunów prawnych) pełnomocnikom.

Co może policja?

Zgodnie z ustawą o Policji jej funkcjonariusze w zakresie wykonywania swoich czynności służbowych mają uprawnienie do żądania niezbędnej pomocy od instytucji państwowych, organów administracji rządowej i samorządu terytorialnego oraz przedsiębiorców prowadzących działalność w zakresie użyteczności publicznej. Jednocześnie ww. podmioty mają obowiązek w zakresie swojego działania udzielić tej pomocy, zgodnie z obowiązującymi przepisami prawa.

Szkoła jako administrator, czyli podmiot, który decyduje o celach i sposobach przetwarzania danych osobowych, musi czuwać nad tym, by dane te były przetwarzane (a więc i udostępniane) zgodnie z prawem, merytorycznie poprawne, adekwatne do celów, w jakich są przetwarzane (art. 5 ust. 1 lit. a, c, d RODO). Oznacza to w szczególności konieczność wnikliwej weryfikacji wniosków o udostępnienie danych wpływających do administratora. Jeśli wniosek dotyczy zadań i obowiązków służbowych realizowanych przez policję (np. prowadzenia postępowania karnego) i spełnia przywołane wymagania (m.in. wskazuje właściwą podstawę prawną, cel i zakres danych), to żądane dane powinny zostać udostępnione.

Proces pozyskiwania danych przez Policję opiera się na przepisach ustawy o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości. Co istotne, właściwy organ Policji powinien wskazać na konkretny przepis prawa regulujący daną sytuację, w związku z którą zwraca się o dane ucznia. Ogólnie wskazana podstawa prawna to za mało, by udostępniać dane ucznia, bo szkoła jako administrator nie ma wtedy możliwości dokonania oceny wniosku.

Monitoring wizyjny

Zasady i warunki stosowania monitoringu w placówkach oświatowych reguluje u.P.o. Stanowi ona, że jeżeli jest to niezbędne do zapewnienia bezpieczeństwa uczniów i pracowników lub ochrony mienia, dyrektor szkoły lub placówki, w uzgodnieniu z organem prowadzącym szkołę lub placówkę oraz po przeprowadzeniu konsultacji z radą pedagogiczną, radą rodziców i samorządem uczniowskim, może wprowadzić szczególny nadzór nad pomieszczeniami szkoły lub placówki lub terenem wokół szkoły lub placówki w postaci środków technicznych umożliwiających rejestrację obrazu (monitoring).

Monitoring nie obejmuje pomieszczeń, w których odbywają się zajęcia dydaktyczne, wychowawcze i opiekuńcze oraz w których uczniom udzielana jest pomoc psychologiczno-pedagogiczna, czy przeznaczonych do odpoczynku i rekreacji pracowników. Nie może on obejmować także pomieszczeń sanitarnohigienicznych, gabinetu profilaktyki zdrowotnej, szatni i przebieralni. Prawo dopuszcza stosowanie monitoringu w takich miejscach, o ile jest on niezbędny ze względu na istniejące zagrożenie dla realizacji celu, jakim jest zapewnienie bezpieczeństwa, ale rozwiązanie to nie może naruszyć godności ani innych dóbr osobistych uczniów, pracowników i innych osób, w szczególności muszą zostać zastosowane techniki uniemożliwiające rozpoznanie przebywających w tych pomieszczeniach osób.

Wprowadzenie monitoringu powinno być poprzedzone spełnieniem wszystkich warunków wynikających z u.P.o., wraz z wykazaniem niezbędności dla takiej formy ingerencji w prywatność dzieci i innych osób (opinia Europejskiej Rady Ochrony Danych wprost wskazuje na konieczność udokumentowania, że zastosowano uprzednio inne środki ingerencji, które jednak okazały się nieefektywne, co zaskutkowało wprowadzeniem monitoringu).

Jeżeli budynek szkolny lub jego najbliższe otocznie są monitorowane, to miejsca te powinny zostać oznaczone graficznie. Zgodnie z zasadą przejrzystości dyrektor, działający w imieniu szkoły jako administrator danych rejestrowanych za pomocą monitoringu, odpowiada za właściwe oznaczenie pomieszczenia i terenu objętego takim nadzorem. Oznaczenie powinno być widoczne i czytelne, może mieć postać graficzną lub dźwiękową, a ponadto musi być przygotowane nie później niż dzień przed uruchomieniem systemu monitorowania.

Czy rodzice mogą domagać się od dyrektora szkoły, aby tymczasowo w sali dydaktycznej zamontował monitoring po to, by obserwować wykonywanie pracy nauczyciela? Odpowiedź musi brzmieć: nie.

Po pierwsze, zgodnie z przepisami monitoring nie może być montowany w salach dydaktycznych. Po drugie, założenie monitoringu nie może stanowić środka nadzoru nad jakością wykonywania pracy przez pracowników szkoły lub placówki. Po trzecie, zamontowanie kamer w sali dydaktycznej może naruszać dobra osobiste, w tym prywatność zarówno nauczycieli, jak i samych uczniów.

Czy rodzice mogą domagać się udostępnienia nagrania ze szkolnego monitoringu, jeżeli z powodu bójki z udziałem uczniów dochodzą roszczeń na drodze sądowej i muszą je udowodnić? Sprawa nie jest prosta, bo administrator danych, do którego wpływa żądanie udostępnienia nagrania z monitoringu, musi też chronić dane osób trzecich, których wizerunek mógł zostać zarejestrowany kamerą. Powinien więc ocenić, czy w określonych okolicznościach udostępnienie danych nie naruszy praw innych osób (jeżeli tak by się stało, odmawia udostępnienia).

Zasadność udostępnienia danych muszą wskazywać okoliczności faktyczne w sprawie. Udostępnienie danych innych osób utrwalonych na nagraniu może nastąpić na podstawie przesłanki określonej w art. 6 ust. 1 lit. f RODO. Odmowa może nastąpić dopiero po analizie zasadności skierowanego do administratora żądania. Ponadto zgodnie z obowiązującymi przepisami przy udostępnianiu informacji o osobach trzeba mieć na względzie ochronę innych praw i wolności, np. wolności wypowiedzi.

Współpraca z inspektorem ochrony danych

W razie wątpliwości dotyczących obowiązujących przepisów, podstaw czy celów przetwarzania danych osobowych uczniów, najlepiej zasięgnąć wiedzy u wyznaczonego przez szkołę inspektora ochrony danych (IOD). Administrator, czyli szkoła, publikuje dane kontaktowe inspektora ochrony danych w postaci imienia, nazwiska oraz adresu poczty elektronicznej lub numeru telefonu. Dane kontaktowe IOD muszą być łatwo dostępne – szkoła może je umieścić na swojej stronie internetowej lub wywiesić na tablicy informacyjnej na terenie placówki.

Małgorzata Tabaszewska – specjalistka prawa oświatowego

Podstawa prawna:

1. Rozporządzenie Ministra Edukacji Narodowej z dn. 25.08.2017 r. w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji – Dz.U. z 2017 r. poz. 1646, ze zm.
2. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dn. 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych – zwane RODO) – Dz.Urz. UE z 2016 r. L 119/1.
3. Ustawa z dn. 04.02.1994 r. o prawie autorskim i prawach pokrewnych – Dz.U. z 2021 r. poz. 1062.
4. Ustawa z dn. 25.02.1964 r. Kodeks rodzinny i opiekuńczy – tekst jedn. Dz.U. z 2020 r. pod poz. 1359.

oprac. \m/ \mos/