Jak chroni� dane osobowe w szkole

Dodane: 20-02-12 przez: beata

Problematyka danych osobowych jest w naszym kraju wci�� jeszcze s�abo poznana, a �wiadomo�� w zakresie przepis�w reguluj�cych to zagadnienie jest niewystarczaj�ca. Sfera o�wiaty nie stanowi w tym wypadku wyj�tku - ka�dego kolejnego roku Generalny Inspektor Danych Osobowych (dalej "GIODO") wydaje decyzje �wiadcz�ce o tym, �e znajomo�� przepis�w traktuj�cych o ochronie danych osobowych nie jest w�r�d przedstawicieli szkolnictwa wystarczaj�ca, a je�eli nawet znajomo�� owych przepis�w nie budzi zastrze�e�, to nad wyraz cz�sto rodz� one problemy interpretacyjne.

W poni�szym omówieniu przybli�ono zagadnienia zwi�zane z ochron� danych osobowych, których zg��bienie wydaje si� nieodzowne dla osób funkcjonuj�cych w sferze o�wiaty. Lepsze poznanie odpowiednich regulacji mo�e si� okaza� przydatne zw�aszcza obecnie, w przededniu premiery nowego Systemu Informacji O�wiatowej.

Podstawowe regulacje

Kluczow� rol� w zakresie prawnej regulacji ochrony danych osobowych w Polsce odgrywa ustawa z dnia 29.08.1999 r. o ochronie danych osobowych (Dz.U. z 2002 r. Nr 101, poz. 926, z pó�n. zm.), okre�lana dalej skrótem u.o.d.o. Ustawa okre�la m.in., w jakich sytuacjach i jakie dane osobowe mog� podlega� przetwarzaniu, precyzuje wymogi stawiane administratorom danych, a tak�e okre�la prawne konsekwencje naruszenia postanowie� w niej zawartych.

Zakres podmiotów podlegaj�cych regulacjom u.o.d.o. wskazany zosta� w art. 3 tej�e ustawy. Ustaw� stosuje si� do organów pa�stwowych, organów samorz�du terytorialnego oraz do pa�stwowych i komunalnych jednostek organizacyjnych. Znajduje ona tak�e zastosowanie, z nielicznymi wyj�tkami, w odniesieniu do:

podmiotów niepublicznych realizuj�cych zadania publiczne,
osób fizycznych i osób prawnych oraz jednostek organizacyjnych nieb�d�cych osobami prawnymi, je�eli przetwarzaj� dane osobowe w zwi�zku z dzia�alno�ci� zarobkow� , zawodow� lub dla realizacji celów statutowych

– które maj� siedzib� lub miejsce zamieszkania na terytorium RP albo w pa�stwie trzecim, o ile przetwarzaj� dane osobowe przy wykorzystaniu �rodków technicznych znajduj�cych si� na terytorium RP. Oznacza to, �e przepisy u.o.d.o. znajduj� zastosowanie tak�e w dzia�alno�ci szkó� oraz jednostek, które przetwarzaj� dane osobowe w ramach dzia�alno�ci na polu o�wiaty (np. organów prowadz�cych).

Dane i ich przetwarzanie

Przedmiot regulacji u.o.d.o. stanowi ochrona danych osobowych. Nie wszystkie informacje dotycz�ce osoby stanowi� dane osobowe w rozumieniu cytowanej ustawy. Przez „dane osobowe” nale�y w tym wypadku rozumie� tylko informacje dotycz�ce zidentyfikowanej lub mo�liwej do zidentyfikowania osoby fizycznej. Osob� mo�liw� do zidentyfikowania jest z kolei osoba, której to�samo�� mo�na okre�li� bezpo�rednio lub po�rednio, w szczególno�ci przez powo�anie si� na numer identyfikacyjny albo jeden lub kilka specyficznych czynników okre�laj�cych jej cechy fizyczne, fizjologiczne, umys�owe, ekonomiczne, kulturowe lub spo�eczne. Danymi osobowymi b�d� zatem np. obrazy zarejestrowane przez szkolny monitoring, je�eli na ich podstawie mo�liwa jest identyfikacja osoby. Informacji nie uwa�a si� za umo�liwiaj�ce okre�lenie to�samo�ci osoby, je�eli wymaga�oby to nadmiernych kosztów, czasu lub dzia�a�.

Ochrona tak pojmowanych danych osobowych dotyczy procesu ich przetwarzania. Przez przetwarzanie nale�y rozumie� szereg czynno�ci, pocz�wszy od zbierania danych, a na ich usuwaniu sko�czywszy. W u.o.d.o. zdefiniowano przetwarzanie jako jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udost�pnianie i usuwanie, a zw�aszcza te, które wykonuje si� w systemach informatycznych.

Ochrona danych w przypadku regulacji u.o.d.o. obejmuje ich przetwarzanie w zbiorach danych – posiadaj�cych struktur� zestawach danych o charakterze osobowym, dost�pnych wed�ug okre�lonego kryterium, niezale�nie od tego, czy zestaw jest rozproszony lub podzielony funkcjonalnie. Przyk�adem mog� by� w tym wypadku kartoteki, skorowidze, ksi�gi i wykazy. Ustawodawca przewidzia� tak�e jeden wyj�tek – przepisy u.o.d.o. stosuje si� mianowicie do przetwarzania danych w systemach informatycznych, nawet je�eli przetwarzanie to ma miejsce poza zbiorem danych.

Administrator danych

Wa�n� rol� w kontek�cie ochrony danych osobowych pe�ni administrator tych�e danych. W my�l u.o.do. jest to organ, jednostka organizacyjna, podmiot lub osoba decyduj�ce o celach i �rodkach przetwarzania danych osobowych. W przypadku przedszkoli, szkó� i innych placówek o�wiatowych to w�a�nie same te podmioty s� administratorami danych osobowych.

Obowi�zki administratora, jako osoba kieruj�ca dzia�alno�ci� szko�y lub placówki, wykonuje jej dyrektor. Status administratora nie przys�uguje natomiast jednostkom obs�ugi administracyjno-ekonomicznej szkó�. GIODO rozstrzygn��, �e jednostki takie nale�y traktowa� jak podmioty, o których mowa w art. 31 u.o.d.o., przetwarzaj�ce dane osobowe na zlecenie administratora. Stosuje si� do nich zatem przepisy dotycz�ce powierzenia przetwarzania danych osobowych.

Jak stanowi u.o.d.o., administrator danych mo�e powierzy� przetwarzanie danych innemu podmiotowi. Mo�e to uczyni� na drodze umowy zawartej w formie pisemnej. Wspomniany podmiot mo�e przetwarza� dane wy��cznie w zakresie przewidzianym w umowie. Zanim jednak w ogóle do przetwarzania przeze� danych dojdzie, musi on podj�� wszystkie �rodki zabezpieczaj�ce zbiór danych, o których b�dzie jeszcze mowa przy okazji wyszczególniania obowi�zków administratora dotycz�cych zabezpieczania danych.

Zasady przetwarzania

W ustawie wyró�nia si� zwyk�e dane osobowe i tzw. dane wra�liwe. Do tej drugiej grupy zalicza si� dane:

ujawniaj�ce pochodzenie rasowe lub etniczne,
ujawniaj�ce pogl�dy polityczne, przekonania religijne lub filozoficzne,
ujawniaj�ce przynale�no�� wyznaniow�, partyjn� lub zwi�zkow�,
o stanie zdrowia, kodzie genetycznym, na�ogach lub �yciu seksualnym,
dotycz�ce skaza�, orzecze� o ukaraniu i mandatów karnych, a tak�e innych orzecze� wydanych w post�powaniu s�dowym lub administracyjnym.

Przetwarzanie ww. danych jest zabronione, o ile nie wyst�pi� wskazane w u.o.d.o. wyj�tki.

Przetwarzanie zwyk�ych danych osobowych jest, co do zasady, dopuszczalne, ale by by�o ono zgodne z prawem, konieczne jest wyst�pienie przynajmniej jednej z wymienionych w u.o.d.o. przes�anek. Przetwarzanie jest dopuszczalne, gdy:

osoba, której dane dotycz�, wyrazi na to zgod�, chyba �e chodzi o usuni�cie dotycz�cych jej danych (zgoda mo�e obejmowa� tak�e przetwarzanie danych w przysz�o�ci, je�eli nie zmienia si� cel przetwarzania); wyj�tkowo mo�na przetwarza� dane bez zgody, gdy jest ona wymagana – je�eli pozyskanie zgody jest niemo�liwe, a przetwarzanie danych jest niezb�dne dla ochrony interesów osoby, której dane dotycz�, mo�na przetwarza� dane bez zgody a� do czasu, gdy uzyskanie zgody stanie si� mo�liwe,
jest to konieczne dla realizacji umowy, gdy osoba, której dane dotycz�, jest jej stron� lub gdy jest to niezb�dne do podj�cia dzia�a� przed zawarciem umowy na ��danie osoby, której dane dotycz�,
jest niezb�dne do wykonywania okre�lonych prawem dzia�a� realizowanych dla dobra publicznego,
jest to niezb�dne dla wype�nienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolno�ci osoby, której dane dotycz�.

Przetwarzanie jest dopuszczalne tak�e wtedy, gdy jest ono niezb�dne dla zrealizowania uprawnienia lub spe�nienia obowi�zku wynikaj�cego z przepisu prawa. Powo�anie si� na przepis mówi�cy o niezb�dno�ci przetwarzania z racji uprawnienia lub konieczno�ci spe�nienia obowi�zku wynikaj�cego z przepisu prawa nie b�dzie jednak uzasadnione, je�eli przetwarzanie dotyczy danych wykraczaj�cych poza przepisami okre�lony zakres.

Przyk�ad 1

Organ prowadz�cy przetwarza dane nauczycieli w oparciu o przepisy ustawy z dnia 19.02.2004 r. o systemie informacji o�wiatowej (Dz.U. Nr 49, poz. 463, z pó�n zm.). Przetwarzaniu podlegaj� m.in. imiona i nazwiska nauczycieli, cho� w ustawie o takich danych si� nie wspomina. Organ argumentuje, �e takie dane s� niezb�dne do tego, by móg� realizowa� ustawowe obowi�zki. Czy s�usznie?

Podmioty powo�uj�ce si� na obowi�zek wynikaj�cy z przepisów prawa przetwarzaj� niekiedy dane osobowe w zakresie szerszym, ani�eli pozwalaj� na to konkretne przepisy. Jako przyk�ad pos�u�y� mo�e chocia�by przetwarzanie przez j.s.t. danych osobowych nauczycieli, wychowawców i innych pracowników pedagogicznych w oparciu o przepisy wspomnianej ustawy o systemie informacji o�wiatowej. Zgodnie z art. 3 ust. 4 pkt 1 ustawy zbiór danych o wspomnianych osobach zawiera informacje na temat numeru PESEL, p�ci, roku urodzenia, formy i wymiaru zatrudnienia, stopnia awansu zawodowego, wykszta�cenia, przygotowania pedagogicznego, a tak�e informacje o formie kszta�cenia i doskonalenia, sprawowanych funkcjach i zajmowanych stanowiskach, rodzajach prowadzonych zaj�� albo przyczynach nieprowadzenia zaj��, sta�u pracy, wysoko�ci wynagrodzenia z wyszczególnieniem jego sk�adników i wysoko�ci niektórych dodatków. Zdarza si�, �e podobnie jak w zaprezentowanym przyk�adzie j.s.t., powo�uj�c si� na ww. przepis, przetwarzaj� tak�e imiona i nazwiska nauczycieli, wychowawców i innych pracowników pedagogicznych. Tymczasem w �wietle przywo�anej regulacji oczywistym jest, �e nie s� do tego uprawnione.

Do administratora nale�� decyzje w przedmiocie celów przetwarzania i u�ytych do tego �rodków. Zgodnie z art. 26 u.o.d.o. powinien on przede wszystkim do�o�y� szczególnej staranno�ci w celu ochrony interesów osób, których dane dotycz�, a w szczególno�ci jest obowi�zany zapewni�, aby dane by�y:

przetwarzane zgodnie z prawem,
zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami,
merytorycznie poprawne i adekwatne w stosunku do celów, w jakich s� przetwarzane,
przechowywane w postaci umo�liwiaj�cej identyfikacj� osób, których dane dotycz�, nie d�u�ej ni� jest to niezb�dne do osi�gni�cia celu przetwarzania.

Przyk�ad 2

Dyrektor szko�y zaleci� umieszczanie w dziennikach lekcyjnych informacji o miejscach i stanowiskach pracy rodziców. Twierdzi, �e informacje takie mog� by� potrzebne w razie konieczno�ci nawi�zania kontaktu z rodzicem. Czy twierdzenie dyrektora jest s�uszne?

Cho� ka�dy przypadek przetwarzania nale�y ocenia� odr�bnie, w powo�anej sytuacji mo�na z du�� doz� prawdopodobie�stwa za�o�y�, �e przetwarzanie wspomnianych danych nie jest zgodne z regulacjami u.o.d.o. Nale�y zauwa�y�, �e dane powinny by� nade wszystko adekwatne w stosunku do celów, w jakich s� przetwarzane. Osi�gni�cie celu, jakim jest skontaktowanie si� z rodzicami, nie wymaga tymczasem znajomo�ci ich miejsca zatrudnienia, a tym bardziej zajmowanego stanowiska. Za dopuszczalne nale�y natomiast uzna� w tym kontek�cie przetwarzanie informacji dotycz�cych numerów telefonów uczniów (opiekunów prawnych) cho� pozyskiwania tego typu danych nie przewidziano w stosownych aktach prawnych.

Szko�y i placówki – przes�anki przetwarzania

Przetwarzanie danych osobowych przez szko�y i placówki odbywa si� na ogó� w oparciu o nast�puj�ce przes�anki:

przetwarzanie jest niezb�dne do realizacji uprawnienia lub spe�nienia obowi�zku wynikaj�cego z przepisu prawa,
osoba, które dane dotycz�, wyrazi�a zgod� na ich przetwarzanie.

Uprawnienie lub obowi�zek

Cho� problematyka ochrony danych osobowych zosta�a do�� kompleksowo uregulowana w u.o.d.o., ocena zgodno�ci ich przetwarzania z prawem wymaga niekiedy znajomo�ci przepisów innych aktów prawnych. Ma to zwi�zek cho�by z omawian� ju� przes�ank� dopuszczalno�ci przetwarzania danych osobowych, zgodnie z któr� dopuszcza si� przetwarzanie, je�eli jest ono niezb�dne do zrealizowania uprawnienia lub spe�nienia obowi�zku wynikaj�cego z przepisu prawa.

W przypadku jednostek funkcjonuj�cych w oparciu o u.s.o. przepisy nak�adaj�ce takie obowi�zki zawarte s� m.in. we wspomnianej ustawie, a tak�e w rozp. MENiS z dn. 19.02.2002 r. w sprawie sposobu prowadzenia przez publiczne przedszkola, szko�y i placówki dokumentacji przebiegu nauczania, dzia�alno�ci wychowawczej i opieku�czej oraz rodzajów tej dokumentacji (Dz.U. Nr 23, poz. 225, z pó�n. zm.), zw. dalej „rozporz�dzeniem o dokumentacji”.

Zgodnie z przepisami rozporz�dzenia placówki o�wiatowe maj� za zadanie prowadzi� dokumentacj�, wymagaj�c� pozyskiwania danych osobowych. Przyk�adowo:

przedszkole i szko�a podstawowa, w której zorganizowano oddzia� przedszkolny prowadz� dla ka�dego oddzia�u dziennik zaj�� przedszkola; do dziennika zaj�� wpisuje si� nazwiska i imiona dzieci, daty i miejsca ich urodzenia, nazwiska i imiona rodziców (prawnych opiekunów) i adresy ich zamieszkania,
szko�a podstawowa prowadzi ksi�g� ewidencji dzieci podlegaj�cych obowi�zkowi odbycia rocznego przygotowania przedszkolnego i obowi�zkowi szkolnemu, zamieszka�ych w obwodzie szko�y, gimnazjum z kolei prowadzi ksi�g� ewidencji dzieci i m�odzie�y b�d�cych absolwentami szko�y podstawowej, podlegaj�cych obowi�zkowi szkolnemu, zamieszka�ych w obwodzie gimnazjum; ksi�ga zawiera informacje o imieniu (imionach) i nazwisku, dacie i miejscu urodzenia, numerze PESEL i adresie zamieszkania dziecka, a tak�e o imionach i nazwiskach rodziców (prawnych opiekunów) oraz adresach ich zamieszkania.

Zbli�ony zakres danych osobowych obejmuj� tak�e inne, przewidziane rozporz�dzeniem zbiory, tj. prowadzone przez szko�y ksi�gi uczniów i dzienniki lekcyjne czy te� ksi�gi wychowanków i dzienniki zaj�� wychowawczych prowadzone przez specjalne o�rodki szkolno-wychowawcze, specjalne o�rodki wychowawcze oraz placówki zapewniaj�ce opiek� i wychowanie uczniom w okresie pobierania nauki poza miejscem sta�ego zamieszkania.

Tak w przypadku tych, jak i innych ksi�g i dzienników, rozporz�dzenie wymienia dane osobowe, jakie powinny w nich by� zawarte. Mo�liwo�� pozyskiwania tych danych nie mo�e by� przez nikogo kwestionowana – w tym wypadku mamy do czynienia z dopuszczalno�ci� przetwarzania danych, jako niezb�dnych dla spe�nienia obowi�zku wynikaj�cego z przepisu prawa.

Na marginesie w�a�ciwych rozwa�a� nale�y przypomnie�, �e dzienniki, o których mowa w rozporz�dzeniu o dokumentacji, a zatem:

dziennik zaj�� przedszkola,
dziennik lekcyjny,
dziennik zaj�� w �wietlicy,
dziennik zaj�� wychowawczych,
dziennik zaj�� dydaktyczno-wyrównawczych i specjalistycznych,
dziennik zaj�� rewalidacyjno-wychowawczych,
dziennik zaj�� prowadzonych w godzinach „karcianych”,
dziennik prowadzony przez pedagoga lub psychologa zatrudnionego w przedszkolu, szkole lub placówce,
dziennik zaj�� sta�ych oraz dziennik zaj�� okresowych i okazjonalnych ka�dego ko�a lub, w przypadku placówki kszta�cenia praktycznego, grupy uczniów,

mog� by� prowadzone w formie elektronicznej. Jak zauwa�y� GIODO, prowadzenie dzienników w takiej formie nie narusza prawa do ochrony danych osobowych uczniów. W�a�ciwie prowadzony e-dziennik nie stanowi zagro�enia dla bezpiecze�stwa danych, mo�e wr�cz stanowi� u�atwienie w ramach ich ochrony.

Zgoda na przetwarzanie

W przypadku gdy szko�a zamierza przetwarza� dane osobowe w zakresie szerszym ani�eli wynikaj�cy z przepisów prawa, konieczne staje si� uzyskanie zgody zainteresowanej osoby na przetwarzanie tych danych. O�wiadczenie o zgodzie powinno wskazywa� podmiot, który ma dane przetwarza�, a tak�e zakres danych i cel ich przetwarzania. Zgody nie mo�na domniemywa� w oparciu o o�wiadczenie woli innej tre�ci, nie mo�e ona by� tak�e dorozumiana. Nale�y ponadto pami�ta� o tym, �e zgod� w odniesieniu do przetwarzania danych osoby niepe�noletniej nale�y uzyska� od jej rodziców (opiekunów prawnych).

Przetwarzanie w o�wiacie – przyk�adowe zagadnienia problemowe

Dane uczniów

Obok danych nauczycieli, dane uczniów podlegaj� przetwarzaniu w jednostkach o�wiatowych w najszerszym zakresie. Skali przetwarzania danych odpowiada w tym wypadku skala w�tpliwo�ci dotycz�cych tego procesu. Oto przyk�adowe problemy, jakie wyst�pi� mog� w zwi�zku z przetwarzaniem danych uczniów:

dane osobowe uczniów mog� by� udost�pniane tylko wówczas, gdy zachodz� przes�anki przetwarzania; na mocy § 5 ust. 1 rozp. MEN z dn. 30.04.2007 r. w sprawie warunków i sposobu oceniania, klasyfikowania i promowania uczniów i s�uchaczy oraz przeprowadzania sprawdzianów i egzaminów w szko�ach publicznych (Dz.U. Nr 83, poz. 562, z pó�n. zm.) dane dotycz�ce ocen ucznia maj� w zwi�zku z tym prawo pozna� jego rodzice (prawni opiekunowie); prawo takie nie przys�uguje natomiast innym ni� ucze� i rodzice (opiekunowie prawni) osobom (np. babci), bez wzgl�du na stopie� pokrewie�stwa mi�dzy nimi a uczniem;
zgodnie z cytowanym przepisem rodzicom (opiekunom prawnym) przys�uguje prawo do zapoznania si� z ocenami ucznia; ucze� nie mo�e wy��czy� prawa swoich rodziców (prawnych opiekunów) do zapoznania si� ze swoimi ocenami nawet po osi�gni�ciu pe�noletnio�ci, przepisy nie nadaj� mu bowiem takiego uprawnienia;
w my�l obowi�zuj�cych przepisów zamieszczenie na tablicy og�osze� list dzieci wraz z wyszczególnieniem kwot zaleg�ych op�at nie mo�e by� traktowane jako jednoznacznie naruszaj�ce przepisy u.o.d.o.; administrator danych powinien jednak wskaza� przynajmniej jedn� przes�ank� przetwarzania, która czyni je zgodnym z wymogami u.o.d.o.

Dane nauczycieli

Nauczyciele s� zatrudnieni w szkole, w zwi�zku z czym szko�a, jako pracodawca, musi przetwarza� ich dane osobowe. Podobnie jak w przypadku uczniów, kwestia uprawnie� do przetwarzania rodzi okre�lone w�tpliwo�ci, o czym szerzej poni�ej:

przekazanie przez dyrektora organowi prowadz�cemu danych osobowych nauczyciela w zwi�zku z prowadzonym post�powaniem o nadanie stopnia awansu zawodowego nie narusza przepisów u.o.d.o., o ile tylko przekazaniu podlegaj� dane adekwatne do celu ich pó�niejszego przetwarzania; przetwarzanie danych GIODO uzna� w tym wypadku za niezb�dne do wykonywania okre�lonych prawem zada� realizowanych dla dobra publicznego;
za nielegalne uzna� GIODO upublicznianie zarz�dze� dyrektora szko�y, informuj�cych o braku kwalifikacji wymienionych z imienia i nazwiska nauczycieli; zdaniem GIODO taka praktyka mo�e prowadzi� do udost�pnienia danych osobowych nauczycieli osobom nieuprawnionym;
�adne przepisy nie uzasadniaj� przekazywania organowi prowadz�cemu pe�nych akt osobowych pracowników zatrudnionych w szko�ach; nauczyciel jest bowiem zatrudniony w szkole, a kierownikiem zak�adu pracy jest w tym wypadku dyrektor i to on jest administratorem danych osobowych pracowników zwi�zanych ze stosunkiem pracy.

Dane rodziców

Rodzice to trzecia kategoria osób, których dane podlegaj� cz�stemu przetwarzaniu przez jednostki dzia�aj�ce na podstawie przepisów u.s.o. Tak�e i w przypadku tych danych dochodzi do sporów na tle legalno�ci ich przetwarzania:

GIODO uzna�, �e publikuj�c adresy zamieszkania cz�onków rady rodziców dyrektor ingeruje w sfer� �ycia prywatnego wspomnianych osób; rada rodziców powinna okre�li� zasady kontaktowania si� z ni� w stosownym regulaminie;
dyrektor likwidowanej szko�y nie mo�e odmówi� organowi prowadz�cemu udost�pnienia adresów korespondencyjnych rodziców (prawnych opiekunów) uczniów, je�eli organ zamierza wykorzysta� adresy do poinformowania ww. osób o planach likwidacyjnych; u.s.o. w art. 59 ust. 1 nak�ada na organ prowadz�cy obowi�zek powiadomienia rodziców uczniów o planowanej likwidacji szko�y co najmniej na 6 miesi�cy przed planowanym terminem likwidacji; mo�liwo�� przetwarzania danych osobowych rodziców obejmuj�cych ich adresy korespondencyjne jest w tym wypadku niezb�dna dla wykonania obowi�zku, jaki ci��y na organie prowadz�cym w �wietle obowi�zuj�cych przepisów ustawowych – tym samym zachodzi jedna z wymienionych w art. 23 u.o.d.o. przes�anek uzasadniaj�cych przetwarzanie danych osobowych.

Zabezpieczenie danych osobowych

Na administratorze danych ci��y ustawowy obowi�zek zabezpieczenia danych osobowych. Jest on obowi�zany zastosowa� �rodki techniczne i organizacyjne, które zapewni� ochron� przetwarzanych danych odpowiedni� do zagro�e� oraz kategorii danych obj�tych ochron�. W szczególno�ci za� powinien zabezpieczy� dane przed ich udost�pnieniem osobom nieupowa�nionym, zabraniem przez osob� nieuprawnion�, przetwarzaniem z naruszeniem ustawy oraz zmian�, utrat�, uszkodzeniem lub zniszczeniem.

Do przetwarzania danych mog� zosta� dopuszczone wy��cznie osoby posiadaj�ce upowa�nienie, które nada� administrator danych. Administrator powinien prowadzi� ewidencj� osób upowa�nionych do ich przetwarzania, zawieraj�c�:

imi� i nazwisko osoby upowa�nionej,
dat� nadania i ustania upowa�nienia oraz zakres upowa�nienia do przetwarzania danych osobowych,
identyfikator, je�eli dane s� przetwarzane w systemie informatycznym.

Administrator danych jest ponadto obowi�zany zapewni� kontrol� nad tym, jakie dane osobowe, kiedy i przez kogo zosta�y do zbioru wprowadzone oraz komu s� przekazywane.

Upowa�nienie do przetwarzania danych powinno zosta� wydane w formie pisemnej. W upowa�nieniu takim powinna si� znale�� wzmianka o okresie, na jaki zostaje wydane, o zakresie danych, które mog� podlega� przetwarzaniu przez okre�lon� osob�, a tak�e o zakresie czynno�ci podejmowanych przez ni� w zwi�zku ze wspomnianymi danymi.

Wymóg uzyskania upowa�nienia dotyczy tylko tych osób, które przetwarzaj� dane osobowe. Administrator nie jest zatem obowi�zany do wydania upowa�nienia osobom, które w szkole lub placówce maj� jedynie dost�p do pomieszcze�, w których dane osobowe s� przechowywane, ale ich nie przetwarzaj�. Nale�y przy tym pami�ta�, �e dane te musz� zosta� w nale�yty sposób zabezpieczone, tak by osoby nieupowa�nione nie mia�y do nich dost�pu.

Przetwarzanie w systemach informatycznych

Przetwarzanie danych osobowych odbywa si� cz�sto w systemach informatycznych. W szko�ach popularno�� takiej metody przetwarzania wzros�a z chwil�, gdy dopuszczono prowadzenie dzienników w formie elektronicznej. Systemy, z pomoc� których odbywa si� przetwarzanie, musz� spe�nia� warunki, które okre�lone zosta�y w rozp. MSWiA z dn. 29.04.2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiada� urz�dzenia i systemy informatyczne s�u��ce do przetwarzania danych osobowych (Dz.U. Nr 100, poz. 1024).

W my�l rozporz�dzenia, na dokumentacj� przetwarzania danych osobowych sk�ada si� polityka bezpiecze�stwa i instrukcja zarz�dzania systemem informatycznym. Pierwsza z nich okre�la m.in. budynki i pomieszczenia, w których przetwarzane s� dane osobowe, zbiory danych, ich struktur� i sposób przep�ywu danych pomi�dzy poszczególnymi systemami, a tak�e �rodki techniczne niezb�dne dla zapewnienia poufno�ci, integralno�ci i rozliczalno�ci przetwarzania danych. Instrukcja natomiast zawiera w szczególno�ci postanowienia dotycz�ce procedur nadawania uprawnie� do przetwarzania danych, stosowanych metod i �rodków uwierzytelniania czy te� sposobu, miejsca i okresu przechowywania elektronicznych no�ników informacji zawieraj�cych dane osobowe oraz kopii zapasowych.

Dla ka�dej osoby, której dane osobowe s� przetwarzane w systemie informatycznym – z wyj�tkiem systemów s�u��cych do przetwarzania danych osobowych ograniczonych wy��cznie do edycji tekstu w celu udost�pnienia go na pi�mie – system zawiera� musi odnotowanie:

daty pierwszego wprowadzenia danych do systemu;
identyfikatora u�ytkownika wprowadzaj�cego dane osobowe do systemu, chyba �e dost�p do systemu informatycznego i przetwarzanych w nim danych posiada wy��cznie jedna osoba;
�ród�a danych, w przypadku zbierania danych nie od osoby, której one dotycz�;
informacji o odbiorcach, w rozumieniu art. 7 pkt 6 u.o.d.o., którym dane osobowe zosta�y udost�pnione, dacie i zakresie tego udost�pnienia, chyba �e system informatyczny u�ywany jest do przetwarzania danych zawartych w zbiorach jawnych.

Wa�ne!
Jak wykaza�y kontrole przeprowadzone przez GIODO, nie zawsze wykorzystywany w szkole lub placówce system spe�nia wymienione powy�ej wymogi. W efekcie kontroli, które mia�y miejsce w roku 2010, stwierdzono m.in. przypadki, w których system s�u��cy do prowadzenia e-dziennika nie pozwala� na odnotowanie informacji wymienionych w powy�szym wyliczeniu.

Zg�oszenie zbioru danych do rejestracji

Zasadniczo administrator ma obowi�zek zg�oszenia zbioru danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych. Wyj�tki od tej regu�y przewidziano w art. 43 ust. 1 u.o.d.o. Zgodnie z art. 43 ust. 1 z obowi�zku dokonania rejestracji zwolnieni s� m.in. administratorzy danych przetwarzanych w zwi�zku z zatrudnieniem u nich, �wiadczeniem im us�ug na podstawie umów cywilnoprawnych, a tak�e dotycz�cych osób u nich zrzeszonych lub ucz�cych si�. Oznacza to, �e rejestracji nie podlega wi�kszo�� zbiorów powstaj�cych w szko�ach i innych placówkach o�wiatowych, które to zbiory obejmuj� dane uczniów i nauczycieli. Obowi�zek rejestracji obejmie natomiast cho�by rejestr uczniów zamieszka�ych w obwodzie szko�y, realizuj�cych obowi�zek szkolny w innej szkole, rejestr korespondencji czy rejestr upowa�nie� do odbioru dzieci ze �wietlicy. Obowi�zek taki b�dzie te� udzia�em innych ni� szko�a podmiotów przetwarzaj�cych dane uczniów i nauczycieli.

Przyk�ad 3

Organ prowadz�cy, na podstawie przepisów u.s.o. i KN, przetwarza dane dotycz�ce uczniów i nauczycieli. Przetwarzanie to odbywa si� m.in. w zwi�zku z udzielaniem pomocy materialnej uczniom (dane uczniów) czy te� udzielaniem pomocy zdrowotnej nauczycielom. Czy zbiory takich danych s� wy��czone z obowi�zku rejestracji?

Zbiory danych w omawianym przypadku podlegaj� obowi�zkowi rejestracji. Pracodawc� nauczycieli jest szko�a, nie za� organ prowadz�cy, dlatego te� zbiór danych o nauczycielach prowadzony przez organ prowadz�cy nie jest zwolniony z obowi�zku rejestracji. Zwolnienie nie b�dzie równie� dotyczy� zbioru danych o uczniach, gdy� takie zwolnienie przys�uguje tylko administratorom danych osób, które s� u nich zrzeszone lub te� u nich si� ucz�. Rejestracji zbioru danych swoich uczniów nie musi w zwi�zku z tym dokonywa� szko�a, obowi�zek rejestracji zbioru danych tych uczniów istnieje natomiast, gdy administratorem jest organ prowadz�cy.

Nowy System Informacji O�wiatowej

Powy�sze omówienie dotyczy obowi�zuj�cych ju� regulacji maj�cych zwi�zek z danymi osobowymi. Nied�ugo, bo ju� w kwietniu br., zacznie obowi�zywa� wi�kszo�� przepisów ustawy z dn. 15.04.2011 r. o systemie informacji o�wiatowej (Dz.U. Nr 139, poz. 814, z pó�n. zm.), której znaczenie w kontek�cie danych osobowych w o�wiacie jest niebagatelne. Nowy, maj�cy funkcjonowa� w oparciu o przepisy wspomnianej ustawy System Informacji O�wiatowej, dalej „SIO”, wprowadza bowiem wiele zmian w zakresie przetwarzania danych, w tym tak�e danych osobowych, w o�wiacie.

Istot� g�ównej zmiany w SIO jest gromadzenie w bazie jednostkowych danych dotycz�cych uczniów i nauczycieli, w tym danych osobowych. Dane dotycz�ce uczniów i nauczycieli podzielone zosta�y na dwa rodzaje:

identyfikacyjne (PESEL, nazwisko, imi�);
dziedzinowe (inne dane dotycz�ce ucznia lub nauczyciela, np. klasa do której ucz�szcza ucze�, stopie� awansu zawodowego nauczyciela b�d� te� zdobycie przeze� dodatkowych uprawnie�).

Dane identyfikacyjne i dziedzinowe o uczniach, s�uchaczach i wychowankach b�d� gromadzone w bazie danych SIO w postaci odr�bnych zbiorów danych o uczniach. W formie zbiorów danych o nauczycielach gromadzone b�d� z kolei dane identyfikacyjne i dziedzinowe dotycz�ce nauczycieli, wychowawców i innych pracowników pedagogicznych.

Zarówno ten zbiór, jak i wcze�niej wspomniany identyfikowane b�d� w bazie danych SIO przez PESEL oraz imi� i nazwisko (inne rozwi�zania przewidziano w przypadku obcokrajowców). Tym samym dojdzie do odst�pienia od zasady gromadzenia w SIO danych zbiorczych (opisuj�cych dzia�alno�� szkó� i placówek) na rzecz gromadzenia danych jednostkowych (co dotyczy tak�e uczniów i nauczycieli).

Najwi�cej emocji budzi zakres danych, które b�d� podlega�y przetwarzaniu w SIO. W nowym Systemie znajd� si� m.in. informacje nt. korzystania z pomocy materialnej, promocji do kolejnej klasy czy orzecze� i opinii wydanych w poradni psychologiczno-pedagogicznej. Na zagro�enia zwi�zane z przetwarzaniem danych w tak szerokim zakresie zwraca� uwag� GIODO, który nie ukrywa� swoich w�tpliwo�ci zwi�zanych z przetwarzaniem danych intymnych w zintegrowanych megabazach. Przedstawiciele resortu uspokajaj�, �e do danych wra�liwych b�dzie mia� dost�p jedynie administrator (np. dyrektor szko�y) i nie b�dzie si� mo�na z nimi zapozna� na poziomie centralnym. Na ile uzasadnione by�y obawy GIODO, przekonamy si� dopiero z chwil� inauguracji nowego SIO.

Tomasz Biega�ski

Biblioteka Prawa O�wiatowego