Sposób przetwarzania wizerunku dzieci
Zgodnie z art. 4 pkt 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. U. UE. L. z 2016 r. Nr 119, poz. 1) dane biometryczne (zaliczane do danych szczególnie chronionych, przetwarzanych na podstawie wyraźnego upoważnienia w obowiązującym przepisie) oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby (np. wizerunek twarzy lub dane daktyloskopijne). Gdyby ustawa uprawniała szkołę do zastosowania systemu dokonującego automatycznego przetworzenia wizerunku dziecka lub rodzica w celu zidentyfikowania i na tej podstawie umożliwienia wstępu do szkolnych pomieszczeń, takie dane biometryczne byłyby przetwarzane technicznie w rozumieniu RODO. Jednak nie wszystkie informacje dotyczące cech fizycznych, fizjologicznych lub behawioralnych człowieka są zaliczane w RODO do danych biometrycznych, gdy nie pochodzą z przetwarzania technicznego. W literaturze podkreśla się, że wizerunek twarzy lub sposób poruszania się należą do cech biometrycznych człowieka. Jednocześnie jednak stanowią przedmiot zwykłego, codziennego obrotu, gdy nie są przetwarzane specjalnymi metodami technicznymi, umożliwiającymi jednoznaczną identyfikację osoby fizycznej lub potwierdzenie jej tożsamości1. W tym ostatnim przypadku wizerunek dzieci może być przetwarzany jak zwykłe dane osobowe, z poszanowaniem ich uprawnień określonych w regulacjach unijnych i krajowych.
Zasady stosowania monitoringu
Zgodnie z art. 5 ust. 1 lit. b i c) RODO konieczne jest zbieranie danych osobowych (w tym także wizerunku), w konkretnych, wyraźnych i prawnie uzasadnionych celach. Niedopuszczalne jest jednak ich dalsze przetwarzanie w sposób niezgodny z tymi celami – należy przy tym przestrzegać zasady minimalizacji przetwarzania danych osobowych, które muszą być adekwatne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane.
Na podstawie art. 7 ust. 1 RODO, jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.
Zgodnie z powyższymi zasadami, w szczególności stosowanie w szkole monitoringu wymaga wcześniejszego rozważenia (lub przeprowadzenia przeglądu już istniejącego systemu), czy utrwalanie wizerunku w konkretnych miejscach jest rzeczywiście konieczne do zapewnienia porządku i bezpieczeństwa, czy też wystarczające będą mniej inwazyjne środki. Dla przykładu: kamery można zainstalować przy wejściach, na placu zabaw oraz rozważyć ewentualne ich rozmieszczenie wewnątrz budynku, np. na korytarzach, schodach i w szatniach, w których dzieci zostawiają okrycia wierzchnie, lub tam, gdzie znajduje się mienie szkolne. Nie powinny natomiast być rozmieszczane w miejscach, gdzie dzieci są przebierane, w łazienkach i sanitariatach. Ani uczniowie, ani personel nie powinni być utrwalani w sytuacjach intymnych. Do zachowania bezpieczeństwa dzieci (i pracowników) oraz prawidłowego wykonywania zadań przez szkole nie jest też potrzebne zamontowanie działających kamer w pomieszczeniach, w których są prowadzone zajęcia. Z tego względu należałoby z nich zrezygnować albo wyjątkowo podjąć decyzję o nagrywaniu obrazu z sal w czasie zajęć, gdy zgodę na utrwalanie wizerunku wyrażą nauczyciel oraz rodzice wszystkich uczniów. Zarówno pracownicy, jak i rodzice dzieci powinni zostać poinformowani o rozmieszczeniu kamer. Wizerunki nie powinny być utrwalane bez ich wiedzy, a ponadto powinni zostać poinformowani, jakie w związku z tym przysługują im uprawnienia i obowiązki. W przypadku zamieszczenia kamer przy wejściach, w związku z możliwością nagrania przypadkowych osób znajdujących się w pobliżu, należałoby zamieścić w widocznym miejscu tabliczki informujące o monitoringu. Jeżeli kamery miałyby się znaleźć również na ogrodzeniu, warto rozważyć ich demontaż lub wyłączenie z powodu trudności w wywiązaniu się z obowiązku informowania utrwalanych osób, często nieznanych w placówce, o przysługujących im uprawnieniach. Nagrywanie dźwięku (wewnątrz i poza budynkiem) nie jest uzasadnione potrzebą zapewnienia bezpieczeństwa uczniów i pracowników, dlatego należałoby z niego całkowicie zrezygnować.
Wykonywanie i używanie fotografii z dziećmi
Na tych samych zasadach jest przetwarzany wizerunek dzieci utrwalany na zdjęciach. Dodatkowo regulacje RODO uzupełnia art. 81 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (Dz. U. z 2017 r., poz. 880 z późn. zm.), zgodnie z którym rozpowszechnianie wizerunku wymaga zezwolenia osoby na nim przedstawionej. Wyjątkowo uzyskanie takiej zgody nie jest wymagane w następujących przypadkach: jeżeli uwieczniona osoba otrzymała umówioną zapłatę za pozowanie, a nie zostało w umowie wyłączone prawo do rozpowszechniania jej wizerunku; rozpowszechniany jest wizerunek osoby powszechnie znanej, jeżeli wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych, w szczególności politycznych, społecznych, zawodowych; rozpowszechniany jest wizerunek osoby stanowiącej jedynie szczegół całości takiej, jak zgromadzenie, krajobraz, publiczna impreza. W związku z tym prawie zawsze szkoła powinno uzyskać zgodę rodzica na przetwarzanie wizerunku dziecka, czyli wykonywanie i rozpowszechnianie zdjęć (np. na stronie internetowej lub profilu społecznościowym szkoły, tablicy informacyjnej) tylko tych uczniów, których rodzice wyrazili zgodę. Jej zakres może być różny – może dotyczyć tylko wykonania fotografii (lub nagrania) w celu udostępnienia wyłącznie rodzicowi albo zamkniętemu kręgowi osób, np. zalogowanym użytkownikom profilu lub strony szkoły, w szczególności rodzicom i nauczycielom danego oddziału. Szkoła powinna podchodzić z ostrożnością do upubliczniania zdjęć grupowych. Ochroną prawną jest objęte nie tylko zdjęcie czy nagranie jednego ucznia. W tych przypadkach, w których uczniowie są rozpoznawalni na materiałach grupowych, a szkoła nie uzyskała wymaganej zgody wszystkich osób na publikację, ma do wyboru bądź rezygnację z rozpowszechniania, bądź też dokonanie ukrycia rysów twarzy i ewentualnie innych charakterystycznych elementów (np. pominięcie personaliów dziecka w opisie składu grupy). Jeżeli zdjęcia nie są opatrzone dodatkowymi informacjami pozwalającym na identyfikację dziecka lub są rozpowszechniane po upływie czasu, gdy na podstawie zdjęcia (oraz ewentualnie towarzyszących informacji) niemożliwa już jest identyfikacja wizerunku danej osoby z uwagi na jej wiek oraz zmianę wyglądu, a także gdy materiały nie akcentują przedstawienia konkretnej osoby lub osób na tle pozostałych, na ogół dopuszczalne jest użycie takiej fotografii do celów, na które zgodzili się rodzice innych dzieci (wyrok Sądu Apelacyjnego z dnia
30 stycznia 2014 r., I ACa 1452/13, niepubl.). W praktyce jednak mogą zaistnieć spory co o tego, czy fotografia stanowi przedstawienie zgromadzenia i nie wymaga zgody opiekunów prawnych uwiecznionych dzieci.
Wywiązywanie się z nowych obowiązków administratora danych osobowych
Na podstawie art. 7 ust. 1 RODO, jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych. W przypadku małoletniego ucznia zgodę na przetwarzanie wizerunku jako danej osobowej wyraża w jego imieniu rodzic lub opiekun prawny (art. 95 § 1 w zw. z art. 98 § 1
ustawy z dnia 25 lutego 1964 r. Kodeks rodzinny i opiekuńczy, Dz. U. z 2017 r., poz. 682). W związku z tym rodzic może wyrazić zgodę w dowolnej formie, ale dla celów dowodowych szkoła powinna dążyć do uzyskania pisemnego oświadczenia. Co więcej, zgoda może dotyczyć wszystkich lub niektórych sposobów publikowania wizerunku dziecka, ale też nie może być blankietowa. Może także zostać cofnięta w każdym czasie. Dla szkoły będzie to równoznaczne z koniecznością dostosowania się do nowej sytuacji, np. zaprzestaniem nagrywania zajęć z takim uczniem, publikowania zdjęć indywidualnych lub grupowych, na których można zidentyfikować dziecko. Będzie to wymagało przeglądu sposobów wykorzystywania wizerunku dziecka i dokonania anonimizacji jego danych osobowych lub usunięciem publikacji. Ponieważ wyrażenie zgody jest dobrowolne, od jej udzielenia nie może być uzależnione przyjęcie dziecka do szkoły lub jego udział w zajęciach albo wydarzeniach. Nawet jeśli rodzice nie sprzeciwiają się wykorzystywaniu wizerunku, najpóźniej w ciągu miesiąca należy ich w sposób jasny, zrozumiały i konkretny poinformować w szczególności w formie pisemnej lub elektronicznej:
- w jaki sposób będą traktowane grupowe zdjęcia i nagrania;
- które zdjęcia oraz nagrania i w jaki sposób szkoła będzie publikować;
- jakie są cele przetwarzania danych osobowych i ich podstawa prawna;
- czy wizerunek będzie przekazywany innym odbiorcom;
- jak długo dane osobowe będą przechowywane (lub jakie są kryteria ustalania tego okresu);
- prawie do żądania dostępu do danych osobowych dziecka, ich sprostowania, usunięcia lub ograniczenia przetwarzania;
- prawie do wniesienia sprzeciwu wobec przetwarzania;
- prawie do przenoszenia danych;
- prawie wniesienia skargi do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych (art. 12–15 RODO).
Ponieważ szkoła ma obowiązek informowania o przetwarzaniu danych osobowych dziecka oraz umożliwienia dostępu do nich, rodzic może w każdym czasie zwrócić się z zapytaniem, m.in. czy szkoła
utrwala i przetwarza wizerunek dziecka, w jaki sposób go wykorzystuje. Nie należy odmawiać wglądu w materiały z udziałem ucznia. Gdyby rodzic wnioskował o przekazanie zgromadzonych danych o swoim dziecku, w przekazywanym piśmie lub pliku trzeba również wymienić wizerunek.
W przypadku, gdy szkoła wykryje przetwarzanie wizerunku dziecka z naruszeniem przepisu – w szczególności bez zgody rodzica lub do innych celów niż te, na które została wyrażona zgoda – albo z przekroczeniem zakresu usprawiedliwionych celów, dyrektor szkoły ma obowiązek zgłoszenia PUODO każdego takiego przypadku. Powinien to uczynić bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia (art. 33 RODO).
Takie działanie będzie konieczne, gdy bez zgody rodzica zdjęcie lub nagranie dziecka zostanie wykorzystane do promowania placówki, co stwierdzą sami pracownicy przedszkola lub opiekun ucznia. W szkole takie naruszenie powinno zostać udokumentowane według przyjętych wewnętrznych zasad. O zdarzeniu należy też poinformować rodzica (art. 34 RODO).
