Dołącz do czytelników
Brak wyników

Pod paragrafem

7 września 2020

NR 104 (Wrzesień 2020)

RODO w nowym roku szkolnym

12

Początek roku szkolnego to również czas, w którym należy przeanalizować zasady przetwarzania danych, które są wykorzystywane w danej szkole, oraz skompletować wymaganą dokumentację, w tym niezbędne zgody rodziców na przetwarzanie danych osobowych.

Wykorzystanie wizerunku ucznia

Na początku roku szkolnego z reguły podejmuje się decyzję co do tego, jakie dane będą umieszczane na stronie internetowej szkoły. Jeżeli zwyczajem danej jednostki jest umieszczanie na stronie szkoły czy też w mediach społecznościowych wizerunków uczniów, niezbędne jest uzyskanie zgód na przetwarzanie tych danych. Ogólną zasadę, z której wynika obowiązek uzyskania takiej zgody, wprowadza art. 6 ust. 1a rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. U. UE.L. z 2016 r. Nr 119, poz. 1), czyli RODO, zgodnie z którym przetwarzanie jest zgodne z prawem, jeżeli osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów.
Pamiętać jednak należy, że oprócz RODO obowiązuje również art. 81 ust. 1 ustawy o prawie autorskim i prawach pokrewnych (t.j. Dz. U. z 2019 r., poz. 1231 z późn. zm.), stosownie do którego rozpowszechnianie wizerunku wymaga zezwolenia osoby na nim przedstawionej. W braku wyraźnego zastrzeżenia zezwolenie nie jest wymagane, jeżeli osoba ta otrzymała umówioną zapłatę za pozowanie. Zgodnie jednak z ust. 2 tej regulacji zezwolenia nie wymaga rozpowszechnianie wizerunku:

POLECAMY

  • osoby powszechnie znanej, jeżeli wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych, w szczególności politycznych, społecznych, zawodowych,
  • osoby stanowiącej jedynie szczegół całości, takiej jak: zgromadzenie, krajobraz, publiczna impreza.

Jeżeli zatem wizerunek osób biorących udział w szkolnej imprezie będzie wykorzystywany wyłącznie w postaci przykładowo zdjęcia całej imprezy, to wówczas nie ma potrzeby uzyskania zgody poszczególnych jej uczestników na rozpowszechnianie. Jeżeli jednak rozpowszechnianiu ulegnie wizerunek konkretnej osoby, to wówczas oczywiście jej zgoda jest niezbędna. Zgoda taka może być udzielona w dowolnej formie, ale z uwagi na fakt, że ciężar udowodnienia, że faktycznie została ona udzielona, spoczywa na wykorzystującym wizerunek, czyli na szkole reprezentowanej przez jej dyrektora, dla celów dowodowych zalecana jest właśnie forma pisemna. Ponadto należy pamiętać o tym, że w przypadku każdej publikacji konieczne jest sprawdzenie, czy zgoda na rozpowszechnianie wizerunku nadal obowiązuje i np. nie została cofnięta. Prawo do cofnięcia zgody na rozpowszechnianie wizerunku można bowiem wywieść z treści art. 23 i 24 Kodeksu cywilnego (t.j. Dz. U. z 2019 r., poz. 1145 z późn. zm.). Zgodnie z art. 23 k.c. dobra osobiste człowieka, jak w szczególności: zdrowie, wolność, cześć, swoboda sumienia, nazwisko lub pseudonim, wizerunek, tajemnica korespondencji, nietykalność mieszkania, twórczość naukowa, artystyczna, wynalazcza i racjonalizatorska, pozostają pod ochroną prawa cywilnego niezależnie od ochrony przewidzianej w innych przepisach. 
Zgodnie z kolei z art. 24 § 1 k.c. ten, czyje dobro osobiste zostaje zagrożone cudzym działaniem, może żądać zaniechania tego działania, chyba że nie jest ono bezprawne. W razie dokonanego naruszenia może on także żądać, ażeby osoba, która dopuściła się naruszenia, dopełniła czynności potrzebnych do usunięcia jego skutków, w szczególności – ażeby złożyła oświadczenie odpowiedniej treści i w odpowiedniej formie. Na zasadach przewidzianych w Kodeksie cywilnym może on również żądać zadośćuczynienia pieniężnego lub zapłaty odpowiedniej sumy pieniężnej na wskazany cel społeczny.
Wizerunek jest zatem dobrem osobistym i podlega ochronie. W przypadku gdy wizerunek zostaje wykorzystany w sposób niezgodny z udzieloną zgodą, wówczas zainteresowany może zażądać zaprzestania naruszania jego dobra osobistego, co oznacza oczywiście wycofanie zgody na rozpowszechnienie wizerunku. 

Upoważnienia do przetwarzania danych osobowych

Nauczyciele i pracownicy niepedagogiczni szkoły w trakcie pracy przetwarzają dane osobowe i pomimo tego, że są pracownikami szkoły, czyli administratora, powinni posiadać upoważnienie dyrektora do przetwarzania danych, czego wymaga art. 35 RODO. Zgodnie bowiem z tą regulacją podmiot przetwarzający oraz osoby działające z upoważnienia administratora lub podmiotu przetwarzającego i mające dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego.
Każda jednostka organizacyjna systemu oświaty powinna posiadać rejestr upoważnień do przetwarzania danych osobowych, a na początku każdego roku szkolnego warto sprawdzić, czy jest on aktualny, tzn. czy zakresy upoważnień zawartych w tym rejestrze zgadzają się z faktycznymi danymi przetwarzanymi przez pracowników i czy wszyscy pracownicy przetwarzający dane osobowe dysponują odpowiednimi upoważnieniami. W razie potrzeby należy oczywiście dokonać odpowiednich zmian w upoważnieniach. 
Odrębnie natomiast należy potraktować przetwarzanie danych przez wewnętrzny organ szkoły o charakterze społecznym, czyli radę rodziców. W jej wypadku, zgodnie ze stanowiskiem Urzędu Ochrony Danych Osobowych, upoważnienia do przetwarzania danych nie są potrzebne. Pogląd taki wyrażony został w wydaniu trzecim (czerwiec 2019) Newslettera Urzędu Ochrony Danych Osobowych do Inspektorów Ochrony Danych, dostępnym na stronie UODO (uodo.gov.pl). Odpowiadając na pytanie jednego z inspektorów, UODO stwierdził, że administratorem danych osobowych rodziców uczestniczących w radzie rodziców, jak i danych przetwarzanych na jej posiedzeniach, jest szkoła, w ramach której ta rada działa, nie zaś sama rada rodziców.
„Rada rodziców jest wewnętrznym organem szkoły, który reprezentuje ogół rodziców uczniów. Jej działanie regulują art. 83 i 84 ustawy z dnia 14 grudnia 2016 r. Prawo oświatowe (Dz. U. z 2018 r., poz. 996). Tworzenie rady rodziców jest obligatoryjne (za wyjątkiem szkół i placówek artystycznych określonych w rozporządzeniu ministra właściwego do spraw kultury i ochrony dziedzictwa narodowego). Rada rodziców posiada określone w ustawach samodzielne kompetencje, jednak mimo to nie można jej uznać za administratora danych osobowych, bowiem jest to organ wewnętrzny szkoły o charakterze społecznym, działający w ramach jej struktury organizacyjnej, nieposiadający osobowości prawnej. Rada rodziców nie ma również charakteru jednostki organizacyjnej i nie została wyposażona w przymiot zdolności prawnej (vide wyrok Naczelnego Sądu Administracyjnego z dnia 22 czerwca 2017 r., sygn. akt I OSK 2505/16). Co więcej, zgodnie z ugruntowanym orzecznictwem rada rodziców nie ma zdolności sądowej, 
tzn. nie jest osobą fizyczną, osoba prawną, nie jest także jednostką organizacyjną niebędącą osobą prawną, której ustawa przyznaje zdolność prawną. Nie jest również organizacją społeczną w rozumieniu art. 33 § 2 k.p.a., uprawnioną do występowania w interesie rodziców uczniów (vide postanowienia Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 czerwca 2016 r., sygn. akt: II SA WA 754/16; postanowienie Naczelnego Sądu Administracyjnego z dnia 14 czerwca 2012 r., sygn. akt: I OZ 421/12; postanowienie Naczelnego Sądu Administracyjnego z dnia 16 lutego 2009 r., sygn. akt: I OSK 121/09)”. 
Rada działa natomiast w granicach powierzonych jej ustawowo kompetencji i w tym zakresie jej członkowie nie potrzebują dodatkowego upoważnienia do przetwarzania danych. 

Pielęgniarka szkolna 

Zgodnie z art. 6 ust. 1 ustawy o opiece zdrowotnej nad uczniami (Dz. U. z 2019 r., poz. 1078) pielęgniarka środowiska nauczania i wychowania albo higienistka szkolna sprawują profilaktyczną opiekę zdrowotną nad uczniami w gabinecie profilaktyki zdrowotnej zlokalizowanym w szkole, a w przypadku braku gabinetu profilaktyki zdrowotnej w szkole – w miejscu określonym w umowie o udzielanie świadczeń opieki zdrowotnej.
Zgodnie z kolei z art. 12 ust. 2 ustawy organ prowadzący szkołę na podstawie umowy nieodpłatnie udostępnia pielęgniarce środowiska nauczania i wychowania albo higienistce szkolnej gabinet profilaktyki zdrowotnej w szkole.
Pojawia się pytanie, na jakiej podstawie pielęgniarka przetwarza dane osobowe uczniów. Otóż zgodnie z powszechnie akceptowanym poglądem pielęgniarka w szkole jest odrębnym administratorem danych osobowych, samodzielnie zbierającym dane dotyczące zdrowia uczniów. Jest to zgodne z art. 9 RODO, który wprowadza ogólny zakaz przetwarzania danych wrażliwych, w tym danych dotyczących zdrowia, za wyjątkiem przypadków wskazanych w ust. 2 tej regulacji. Jednym z nich jest sytuacja, w której osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach. Jeżeli zatem pełnoletni uczeń lub przedstawiciele ustawowi ucznia niepełnoletniego wyrażą zgodę na przetwarzanie danych dotyczących zdrowia, wówczas pielęgniarka takie dane przetwarza, właśnie jako odrębny administrator. Tu jednak pojawia się problem, bowiem sam fakt, że pielęgniarka jest odrębnym administratorem danych nie oznacza, że szkoła może jej przekazać dane dotyczące zdrowia uczniów. 
Zgodnie z art. 4 pkt 2 RODO „przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takich jak: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpow-
szechnianie lub...

Dalsza część jest dostępna dla użytkowników z wykupionym planem

Przypisy