RODO, czyli przepisy dotyczące ochrony danych osobowych znajdują się obecne w niemalże każdej przestrzeni życia publicznego. Ochrona danych osobowych stanowi bardzo ważny aspekt funkcjonowania także przedszkoli niepublicznych. Przedszkole przetwarza dane osobowe uczniów, ich rodziców, nauczycieli. W niniejszym artykule przedstawimy w pigułce wiedzę dotyczącą procedury RODO w przedszkolu niepublicznym.

Co to jest RODO?

Podstawę prawną nakładającą obowiązek ochrony danych osobowych stanowi Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz.UE.L 2016 Nr 119, str. 1).

Samo pojęcie RODO stanowi skrót od słów Rozporządzenie o Ochronie Danych Osobowych, które w języku angielskim określane jest jako GDPR, co z kolei stanowi skrót od sformułowania General Data Protection Regulation.

RODO w przedszkolu, czyli kto odpowiada na przetwarzanie danych osobowych w Twojej placówce?

Do przestrzegania oraz realizacji przepisów RODO obowiązany jest każdy podmiot, który w jakikolwiek sposób przetwarza dane osobowe. Ochrona danych osobowych spoczywa na administratorze, którym jest przedszkole niepubliczne reprezentowane przez organ prowadzący, zazwyczaj dyrektora placówki.

Organ uprawniony do reprezentacji przedszkola niepublicznego zapewnia zgodne z prawem przetwarzanie danych osobowych dzieci, rodziców i nauczycieli. Jednocześnie ponosi odpowiedzialność za pracowników, których do przetwarzania danych upoważni.

Czy przedszkole niepubliczne musi zatrudnić inspektora ochrony danych?

W art. 37 RODO określono jakie podmioty mają obowiązek wyznaczenia inspektora ochrony danych osobowych. Należą do nich m.in. organy i podmioty publiczne lub inne podmioty, które przetwarzają dane osobowe na dużą skalę. Z przepisu tego wynika, że przedszkole niepubliczne nie jest zobligowane do powołania inspektora danych osobowych.

Klauzula informacyjna RODO w przedszkolu prywatnym

Obowiązek informacyjny spoczywa na przedszkolu już w trakcie postępowania rekrutacyjnego. Podczas rekrutacji rodzice podają dane osobowe swoje oraz dzieci, które placówka gromadzi. Przedszkole powinno zatem w dokumencie rekrutacyjnym umieścić klauzulę informacyjną dotyczącą ochrony danych osobowych.

I tak, do informacji, które powinny znajdować się w klauzuli informacyjnej RODO w przedszkolu zaliczamy:

1. Dokładne oznaczenie danych administratora danych osobowych (przedszkola).
2. Dane inspektora ochrony danych – jeżeli został wyznaczony.
3. Wskazanie celu przetwarzania danych wraz z podstawami prawnymi.
4. Informacje o możliwości cofnięcia zgody na przetwarzanie danych osobowych, zgłoszenia sprzeciwu wobec przetwarzania danych, prawa do usunięcia danych, ograniczenia przetwarzania, dostępu do treści swoich danych, sprostowania, przenoszenia danych oraz złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
5. Informacje o tym komu i w jakim celu zostaną udostępnione dane osobowe.

Jakie dane osobowe przedszkole może przetwarzać bez zgody rodziców?

Zgodnie z art. 6 ust. 1 lit. c RODO przetwarzanie danych osobowym związane z realizacją obowiązku prawnego ciążącego na administratorze jest zgodne z prawem.

Podstawa prawna takiego przetwarzania danych osobowych musi zostać określona w akcie prawnym powszechnie obowiązującym. W przypadku przedszkola niepublicznego będą to akty regulujące funkcjonowanie systemu oświaty. Zgoda rodzica nie będzie zatem wymagana, jeżeli przetwarzanie danych osobowych odbywa się na podstawie ustawy.

Przykładowo, do takiego przetwarzania danych możemy zaliczyć prowadzenie dziennika bądź rejestru z danymi uczniów, przechowywanie upoważnień rodziców do odbierania dziecka z przedszkola czy wystawianie świadectw.

Także umieszczanie na tablicach w placówce prac wykonanych przez uczniów z danymi ich autorów nie wymaga zgody rodzica. Jednakże pamiętać należy o tym, że rodzic ma prawo złożyć sprzeciw jeżeli uzna, że wystawianie prac dziecka godzi w jego dobro.

Zgoda na przetwarzanie danych osobowych RODO w przedszkolu

Zgoda na przetwarzanie danych w przedszkolu jest wymagana w każdym przypadku, kiedy obowiązek przetwarzania danych osobowych nie wynika z ustawy.

Do takich sytuacji zaliczyć można publikację wizerunku dziecka na stronie internetowej przedszkola, jego imienia i nazwiska czy zdjęcia z uroczystości na którym dziecko się znajduje. Publikacja zdjęcia dziecka czy jego danych wymaga zgody jego opiekuna prawnego.

Oświadczenie o zgodzie na przetwarzanie danych osobowych może zostać zawarte w dokumencie, w którym znajdują się także inne informacje. Przykładowo przedszkole może umieścić zapytanie o zgodę na publikację zdjęć dziecka w umowie o opiekę nad dzieckiem zawartej z rodzicem. Ważne jest jednak, aby taki zapis w umowie został sformułowany wyraźnie i prosto, pozwalając na jednoznaczne stwierdzenie, iż osoba wyrażająca zgodę zapis zrozumiała. Dodatkowo niezbędne jest poinformowanie osoby, która wyraża zgodę o możliwości jej wycofania w dowolnym momencie.

Przedszkole ma obowiązek uzyskania zgody rodzica także na wykorzystanie wskazanego przez niego adresu e-mail do kontaktu przez przedszkole i nauczycieli.

Monitoring w przedszkolu a RODO

Możliwość instalacji systemu monitoringu w przedszkolu wynika z art. 108a ust. 1 ustawy Prawo Oświatowe. Zgodnie z tym przepisem kamery można wykorzystywać tylko w celu zapewnienia bezpieczeństwa uczniów i pracowników oraz ochrony mienia.

Kamery nie powinny obejmować pomieszczeń, w których odbywają się zajęcia, gabinetów psychologicznych, szatni, przebieralni i stołówki. Instalacja monitoringu w tych miejscach możliwa jest tylko wtedy, gdy jest to niezbędne i nie narusza godności i dóbr osobistych dzieci.  Przed wprowadzeniem monitoringu administrator danych powinien skonsultować tę kwestię z radą nauczycieli i radą rodziców. Utrwalony zapis obrazu z kamery, który zawiera dane osobowe w postaci wizerunku uczniów, pracowników i innych możliwych do identyfikacji osób, przedszkole może przetwarzać wyłącznie dla celów określonych w ustawie. Ponadto przedszkole ma obowiązek zniszczyć takie nagranie nie później niż 3 miesiące od chwili nagrania.

O wprowadzeniu monitoringu przedszkole powinno poinformować rodziców nie później niż na 2 tygodnie przed uruchomieniem monitoringu.

Dokumentacja przetwarzania danych osobowych

Przedszkole ma obowiązek prowadzenia dokumentacji opisującej sposób przetwarzania i zabezpieczenia danych osobowych, co wynika z art. 30 ust. 1 RODO. Zgodnie z tym przepisem administrator ma obowiązek prowadzić rejestr czynności przetwarzania danych osobowych, który zawiera:

1. Imię i nazwisko lub nazwę oraz dane kontaktowe administratora oraz wszelkich innych osób, które współadministrują takimi danymi.
2. Cele przetwarzania.
3. Kategoria osób, których dotyczą zbierane informacje, a także typ danych osobowych.
4. Typ odbiorców, którym informacje osobowe zostały mają zostać ujawnione.
5. Okres przetwarzania danych.
6. Generalny zarys technicznych i organizacyjnych środków zabezpieczających.

Rejestr może być prowadzony w wersji papierowej lub/oraz elektronicznej. Na wniosek Prezesa Urzędu Ochrony Danych Osobowych, dyrektor przedszkola jest zobligowany do udostępnienia mu takiego rejestru.

Obowiązek zgłoszenia naruszenia ochrony danych

Przedszkole ma obowiązek zgłosić każde naruszenie ochrony danych osobowych Prezesowi Urzędu Ochrony Danych Osobowych. Naruszenie RODO ma miejsce, jeżeli spełnione zostaną łącznie trzy przesłanki:

1. Naruszenie dotyczy danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
2. Następstwem naruszenia jest zniszczenie, utraceniem zmodyfikowanie, nieuprawnione ujawnienie lub nieuprawniony dostęp do danych,
3. Naruszenie jest skutkiem złamania zasad bezpieczeństwa danych.

W przypadku naruszenia bezpieczeństwa administrator danych osobowych w terminie do 72 godzin zgłasza takie zdarzenie Prezesowi UODO. Wyjątek stanowi sytuacja, w której administrator uzna za mało prawdopodobne, iż naruszenie spowoduje uszczerbek na prawach lub wolnościach osób fizycznych.

Ponadto o naruszeniu RODO przedszkole powinno niezwłocznie poinformować osoby, których naruszenie to dotyczy. W przypadku naruszenia ochrony danych osobowych dzieci, powiadamia się rodziców.

RODO w przedszkolu zabezpiecza prywatność wszystkich osób mających kontakt z placówką

Podsumowując, przedszkola niepubliczne, podobnie jak inne firmy czy instytucje, mają obowiązek przestrzegać zasad określonych w RODO. Przy właściwym zarządzaniu danymi osobowymi uczniów, rodziców i nauczycieli, organy zarządzające placówkami muszą pamiętać o odpowiedniej klauzuli informacyjnej, a także prawidłowym zgromadzeniu i przechowywaniu zgód. Najważniejszym jednak aspektem tych przepisów pozostaje zapewnienie bezpieczeństwa danych oraz świadomość konieczności reagowania na ewentualne naruszenia ochrony danych osobowych. Wszystko to służy przede wszystkim ochronie prywatności osób, których dane są przetwarzane, czyli osób związanych z przedszkolem w taki czy inny sposób – rodziców, dzieci, a także pracowników.