Szkoła przetwarza dane setek osób - uczniów, rodziców, nauczycieli i pracowników obsługi - w tym dane o zdrowiu i specjalnych potrzebach edukacyjnych. RODO nie podaje zamkniętej listy dokumentów, ale wymaga, by szkoła potrafiła wykazać, że przestrzega przepisów (art. 5 ust. 2 i art. 24 ust. 1). W praktyce oznacza to kilkanaście dokumentów i rejestrów, które opisujemy niżej, z listą kontrolną na końcu.
Kto odpowiada za dane w szkole
Administratorem danych jest szkoła jako jednostka. Obowiązki administratora wykonuje w jej imieniu dyrektor - to on zatwierdza politykę ochrony danych, wydaje upoważnienia, decyduje o zgłoszeniu naruszenia i odpowiada na kontrolę Prezesa UODO.
Inspektor ochrony danych jest obowiązkowy
Art. 37 ust. 1 lit. a RODO wymaga wyznaczenia inspektora ochrony danych (IOD) przez organy i podmioty publiczne. Ustawa z 10 maja 2018 r. o ochronie danych osobowych (art. 9) zalicza do nich jednostki sektora finansów publicznych, więc szkoła prowadzona przez samorząd musi mieć IOD. Pamiętaj o trzech rzeczach:
- jeden inspektor może obsługiwać kilka szkół (art. 37 ust. 3 RODO), co często organizuje gmina,
- o wyznaczeniu IOD zawiadamia się Prezesa UODO w ciągu 14 dni (art. 10 ustawy),
- dane kontaktowe inspektora publikuje się, na przykład na stronie szkoły (art. 37 ust. 7 RODO).
Dyrektor nie powinien być jednocześnie inspektorem - to on decyduje o celach przetwarzania, a zadania IOD nie mogą prowadzić do konfliktu interesów (art. 38 ust. 6). Szkoła niepubliczna musi ocenić obowiązek wyznaczenia IOD według art. 37 ust. 1 RODO.
Dokumenty, które powinna mieć każda szkoła
Polityka ochrony danych
Art. 24 ust. 2 RODO wymaga wdrożenia odpowiednich polityk ochrony danych, jeśli jest to proporcjonalne do czynności przetwarzania. W szkole to dokument porządkujący: kto za co odpowiada, jak wydaje się upoważnienia, jak postępuje się z dokumentami i nośnikami, jak reaguje się na naruszenie.
Rejestr czynności przetwarzania
Rejestr z art. 30 RODO opisuje każdą czynność: cel, kategorie osób i danych, odbiorców, planowany termin usunięcia i ogólny opis zabezpieczeń. Wyjątek dla podmiotów zatrudniających mniej niż 250 osób szkoły nie dotyczy, bo przetwarzanie danych uczniów nie jest sporadyczne i obejmuje dane o zdrowiu. Jak prowadzić rejestr krok po kroku, opisujemy w artykule o rejestrze czynności przetwarzania.
Typowe czynności w szkole to m.in. rekrutacja, prowadzenie dziennika i arkuszy ocen, pomoc psychologiczno-pedagogiczna, kształcenie specjalne, opieka w świetlicy, stołówka, wycieczki, kadry i płace, publikacja wizerunku na stronie i w mediach społecznościowych, monitoring.
Klauzule informacyjne dla uczniów, rodziców i pracowników
Art. 13 RODO wymaga poinformowania osoby, gdy dane zbiera się od niej, a art. 14 - gdy pochodzą z innego źródła (na przykład dane rodzica podane przez drugiego rodzica albo dane ucznia przekazane przez inną szkołę). Klauzula podaje m.in. administratora, kontakt do IOD, cele i podstawy prawne, odbiorców, okres przechowywania i prawa osoby. Informacje kierowane do dziecka trzeba napisać językiem dla niego zrozumiałym (art. 12 ust. 1).
Upoważnienia i oświadczenia o poufności
Każdy, kto ma dostęp do danych, przetwarza je wyłącznie na polecenie administratora (art. 29 i art. 32 ust. 4 RODO). RODO nie narzuca formy, ale imienne upoważnienie z zakresem i ewidencja upoważnień to najprostszy dowód. Wygodnie jest określić zakres dla grupy stanowisk - nauczyciel, wychowawca, pedagog, sekretariat, księgowość - i dopisać wyjątki dla konkretnej osoby.
Analiza ryzyka
Art. 24 ust. 1 i art. 32 RODO każą dobrać zabezpieczenia do ryzyka. Szkoła potrzebuje więc udokumentowanej analizy: jakie zagrożenia dotyczą danych (zgubiony pendrive, wspólne hasło do dziennika, otwarta szafa z dokumentacją poradni), jak są prawdopodobne, jakie byłyby skutki i co z tym robimy. Jeśli przetwarzanie może powodować wysokie ryzyko, potrzebna jest ocena skutków dla ochrony danych (DPIA, art. 35).
Procedura naruszeń i ewidencja naruszeń
Naruszenie, które może powodować ryzyko, zgłasza się Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia (art. 33 ust. 1). Każde naruszenie - także niezgłoszone - wpisuje się do wewnętrznej ewidencji (art. 33 ust. 5). Szczegóły w artykule naruszenie ochrony danych krok po kroku.
Wnioski osób
Rodzic może zażądać dostępu do danych dziecka, sprostowania albo ograniczenia przetwarzania (art. 15-21 RODO). Szkoła odpowiada bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; termin można przedłużyć o kolejne dwa miesiące, informując o tym osobę w ciągu pierwszego miesiąca (art. 12 ust. 3). Przyda się rejestr wniosków i wzory odpowiedzi.
Umowy powierzenia
Dostawca dziennika elektronicznego, platformy do nauki zdalnej, programu kadrowo-płacowego czy obsługi informatycznej zwykle przetwarza dane w imieniu szkoły. Potrzebna jest umowa z elementami z art. 28 ust. 3 RODO. Jeśli umowę podpisał organ prowadzący, szkoła powinna mieć jej kopię i wiedzieć, jakie dane obejmuje. Warto prowadzić rejestr umów powierzenia.
Monitoring wizyjny
Monitoring w szkole reguluje art. 108a Prawa oświatowego. Dyrektor może go wprowadzić, gdy jest to niezbędne dla bezpieczeństwa uczniów i pracowników lub ochrony mienia, w uzgodnieniu z organem prowadzącym i po konsultacjach z radą pedagogiczną, radą rodziców i samorządem uczniowskim. Co do zasady nie obejmuje pomieszczeń, w których odbywają się zajęcia i udzielana jest pomoc psychologiczno-pedagogiczna, pokoi wypoczynku pracowników, toalet, gabinetu profilaktyki zdrowotnej, szatni i przebieralni. Nagrania przechowuje się nie dłużej niż 3 miesiące. Uczniów i pracowników informuje się przed uruchomieniem, a teren oznacza w widoczny sposób. Monitoring potrzebuje własnej czynności w rejestrze i własnej klauzuli.
Lista kontrolna dla dyrektora
| Obszar | Podstawa | Co sprawdzić |
|---|---|---|
| Inspektor ochrony danych | art. 37 RODO, art. 9-10 ustawy | wyznaczony, zgłoszony do UODO, kontakt opublikowany |
| Polityka ochrony danych | art. 24 ust. 2 RODO | zatwierdzona, aktualna, znana pracownikom |
| Rejestr czynności | art. 30 RODO | każda czynność ma cel, kategorie, odbiorców, termin usunięcia |
| Klauzule informacyjne | art. 13-14 RODO | dla uczniów, rodziców, pracowników, kandydatów, monitoringu |
| Upoważnienia | art. 29, art. 32 ust. 4 RODO | każdy pracownik z dostępem ma upoważnienie i zna zasady |
| Analiza ryzyka | art. 24, art. 32 RODO | udokumentowana, z planem postępowania i datą przeglądu |
| Naruszenia | art. 33-34 RODO | procedura, ewidencja, osoba kontaktowa |
| Wnioski osób | art. 12, art. 15-21 RODO | rejestr wniosków, wzory odpowiedzi, pilnowany termin |
| Umowy powierzenia | art. 28 RODO | dziennik, platformy, kadry, informatyk - umowy i rejestr |
| Monitoring | art. 108a Prawa oświatowego | konsultacje, oznaczenia, okres przechowywania |
Dokumentacja, która nadąża za szkołą
Najczęstszy problem nie polega na braku dokumentów, tylko na tym, że każdy żyje własnym życiem. Nowy nauczyciel ma upoważnienie, ale rejestr czynności nie zna nowej platformy, a klauzula wciąż wymienia poprzedniego dostawcę dziennika.
Cyberenu składa dokumentację RODO z jednego opisu szkoły: czynność wpisana raz trafia do rejestru, klauzuli, upoważnień i analizy ryzyka. Szkoła dostaje swoje rozszerzenie wzoru, a konsultant albo inspektor ochrony danych sprawdza każdy krok przed wydaniem. Jeśli organ prowadzący obsługuje kilka placówek, formy współpracy opisuje oferta, a o wdrożenie zapytasz przez stronę kontaktową.
