Ochrona danych osobowych w szkole

Czyje dane gromadzą szkoły? Jaki jest ich zakres? Kto za nie odpowiada? Kto jest uprawniony do ich przetwarzania? Kto i w jakim zakresie może mieć do nich dostęp? To tylko część pytań, jakie każdego roku pojawiają się w kontekście ochrony prywatności uczniów i nauczycieli. Z początkiem nowego roku szkolnego wyjaśniamy najczęściej pojawiające się wątpliwości.

Co do zasady szkoły są uprawnione do gromadzenia danych swoich uczniów i ich rodziców, a także nauczycieli i innych pracowników placówki.

W odniesieniu do danych uczniów, zgodnie z Rozporządzeniem Ministra Edukacji Narodowej, szkoła prowadzi tzw. księgę uczniów. Do księgi wpisuje się m.in. imię (imiona) i nazwisko, datę i miejsce urodzenia, numer PESEL, adres zamieszkania ucznia, imiona i nazwiska rodziców oraz adresy ich zamieszkania, jeżeli są różne od adresu zamieszkania ucznia, a także datę rozpoczęcia nauki w danej szkole oraz oddział, do którego ucznia przyjęto. W księdze uczniów odnotowuje się również datę ukończenia szkoły albo datę i przyczynę opuszczenia szkoły przez ucznia.

W przypadku nauczycieli i innych pracowników szkoły zbierane są imiona i nazwiska, adresy zamieszkania, dane kontaktowe oraz informacje niezbędne do skompletowania dokumentacji pracowniczych (wykształcenie, przebieg zatrudnienia, osiągnięcia zawodowe, itp).

Szkoła ma prawo przetwarzać również niektóre dane uważane za tzw. dane wrażliwe, o których mówi ustawa o ochronie danych osobowych – przykładowo, mogą to być informacje dotyczące stanu zdrowia, a także – jeżeli uczeń nie jest obywatelem polskim – kraj pochodzenia, dane dotyczące jego statusu, itp.

Za właściwe prowadzenie i przechowywanie dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz za wydawanie dokumentów zgodnych z posiadaną dokumentacją, odpowiada dyrektor placówki edukacyjnej.

Zgodnie ze stanowiskiem GIODO, dyrektor szkoły czy innej placówki edukacyjnej, jest jednocześnie administratorem danych osobowych. Jako administrator danych prowadzi m.in. dokumentację opisującą sposób przetwarzania danych oraz stosuje środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych. Jednocześnie powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy o ochronie danych osobowych oraz zamianą, utratą, ich uszkodzeniem lub zniszczeniem. Administrator danych może powołać tzw. administratora bezpieczeństwa informacji (ABI), do którego zadań będzie należało zapewnienie przestrzegania przepisów o ochronie danych osobowych (w szczególności: sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych, nadzorowanie opracowania i aktualizowania dokumentacji opisującej sposób przetwarzania danych, oraz przestrzegania zasad w niej określonych, zapewnianie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych), prowadzenia rejestru zbiorów danych przetwarzanych przez administratora danych. ADO lub ABI są również odpowiedzialni za zawarcie pisemnych umów powierzenia przetwarzania danych osobowych pomiędzy szkołą a firmami dostarczającymi systemy informatyczne (elektroniczny dziennik, System Informacji Oświatowej).

Do gromadzonych danych mogą mieć dostęp jedynie osoby upoważnione do ich przetwarzania przez dyrektora szkoły lub ABI, a także osoby upoważnione do tego ustawowo, np. GIODO, policja i prokuratura, kuratorium oświaty. Do danych uczniów mają ponadto dostęp ich rodzice lub prawni opiekunowie. Mogą oni na bieżąco otrzymywać informacje na temat ocen, osiągnięć czy uwag dotyczących zachowania ich dziecka.

Warto też dodać, że szkoły, co niestety często ma miejsce, nie mają prawa do zamieszczania zdjęć uczniów czy informacji o ich osiągnięciach na swoich stronach internetowych. Mogą to zrobić jedynie wówczas, gdy rodzice ucznia lub sam uczeń (gdy jest pełnoletni) wyrażą na to zgodę.

Tematykę ochrony danych osobowych w szkołach normują m.in.: ustawa z 7 września 1991 r. o systemie oświaty (Dz. U. Nr 256, poz. 2572), ustawa z 15 kwietnia 2011 r. o systemie informacji oświatowej (Dz. U. z 2015 r. poz. 45), Rozporządzenie Ministra Edukacji Narodowej z 29 sierpnia 2014 r. w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i inne placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji (Dz. U. z 2014 r. poz. 1170), Rozporządzenie Ministra Edukacji Narodowej i Sportu z 9 sierpnia 2012 r. w sprawie szczegółowego zakresu danych w bazach danych oświatowych, terminów przekazywania danych między bazami danych oświatowych oraz wzorów wydruków zestawień zbiorczych (Dz. U. z 2012 r. poz. 957).

Maciej Kaczmarski

Prezes ODO 24 sp. z o.o.