RODO w przedszkolu w praktyce: podstawa prawna i praktyka

Wdrożenie przepisów Ogólnego Rozporządzenia o Ochronie Danych (RODO) w placówkach wychowania przedszkolnego stanowi jedno z najbardziej złożonych wyzwań administracyjnych i prawnych, z jakimi mierzą się dyrektorzy oraz kadra pedagogiczna. Przedszkole, jako instytucja publiczna lub niepubliczna, przetwarza codziennie ogromne ilości danych osobowych o charakterze wrażliwym. Dane te dotyczą nie tylko samych wychowanków, ale również ich rodziców, opiekunów prawnych, a także osób upoważnionych do odbioru dzieci czy personelu placówki. Specyfika pracy z dziećmi wymaga szczególnej wrażliwości i rygorystycznego przestrzegania procedur bezpieczeństwa, ponieważ małoletni są grupą szczególnie chronioną przez europejskie i krajowe przepisy o ochronie danych osobowych. Niniejsze opracowanie stanowi kompleksową analizę prawno-praktyczną wdrażania i stosowania RODO w realiach polskiego przedszkola.

1. Szczególna ochrona danych osobowych dzieci w świetle RODO

Zgodnie z motywem 38 preambuły RODO, dzieci zasługują na szczególną ochronę danych osobowych, gdyż mogą być mniej świadome ryzyka, konsekwencji, zabezpieczeń oraz praw przysługujących im w związku z przetwarzaniem danych. Ta ogólna zasada ustrojowa przekłada się bezpośrednio na obowiązki nałożone na przedszkole jako administratora danych osobowych (ADO). Każde działanie związane z pozyskiwaniem, przechowywaniem, udostępnianiem czy usuwaniem danych dzieci musi być realizowane z uwzględnieniem zasady minimalizacji danych oraz zasady rozliczalności. Oznacza to, że przedszkole musi być w stanie w każdej chwili wykazać, że przetwarza dane zgodnie z prawem, w sposób bezpieczny i tylko w takim zakresie, jaki jest niezbędny do realizacji celów statutowych i ustawowych.

2. Podstawy prawne przetwarzania danych w przedszkolu

Jednym z najczęstszych błędy popełnianych w praktyce przedszkolnej jest nadużywanie instytucji zgody rodziców jako jedynej podstawy prawnej przetwarzania danych. W rzeczywistości działalność przedszkola opiera się na kilku różnych podstawach prawnych przewidzianych w art. 6 oraz art. 9 RODO. Kluczowe jest ich precyzyjne rozróżnienie i stosowanie w zależności od celu przetwarzania.

Realizacja obowiązków prawnych (art. 6 ust. 1 lit. c RODO)

Większość procesów przetwarzania danych w przedszkolu wynika bezpośrednio z przepisów prawa krajowego. Do najważniejszych aktów prawnych regulujących funkcjonowanie przedszkoli należą ustawa z dnia 14 grudnia 2016 r. – Prawo oświatowe, ustawa z dnia 7 września 1991 r. o systemie oświaty oraz rozporządzenia wykonawcze Ministra Edukacji Narodowej. Na tej podstawie przedszkole przetwarza dane w celu:

przeprowadzenia procesu rekrutacji dzieci do placówki (zakres danych kandydata oraz jego rodziców ściśle określają przepisy Prawa oświatowego),
prowadzenia dokumentacji przebiegu nauczania, działalności opiekuńczej i wychowawczej (dzienniki zajęć przedszkolnych, arkusze obserwacji pedagogicznej, dokumentacja logopedyczna czy psychologiczna),
zapewnienia bezpiecznych i higienicznych warunków pobytu dzieci w placówce.

W wyżej wymienionych obszarach przedszkole nie musi, a wręcz nie powinno pobierać od rodziców zgody na przetwarzanie danych. Podstawą prawną jest tu obowiązek prawny ciążący na administratorze.

Zgoda rodziców jako podstawa opcjonalna (art. 6 ust. 1 lit. a RODO)

Zgoda rodziców lub opiekunów prawnych jest wymagana wyłącznie wtedy, gdy przetwarzanie danych wykracza poza obowiązki nałożone na przedszkole przez przepisy prawa oświatowego. Typowymi przykładami, gdzie zgoda jest niezbędna, są:

publikowanie wizerunku dziecka (zdjęć, nagrań wideo) na stronie internetowej przedszkola, w mediach społecznościowych czy w materiałach promocyjnych,
udział dziecka w konkursach, olimpiadach czy turniejach organizowanych przez podmioty zewnętrzne, co wiąże się z przekazaniem danych dziecka organizatorowi,
organizacja dodatkowych, nieobowiązkowych zajęć (np. religia, dodatkowe lekcje języków obcych, zajęcia rytmiki prowadzone przez firmy zewnętrzne),
udostępnianie danych kontaktowych rodziców (np. numerów telefonów) radzie rodziców w celu ułatwienia komunikacji.

3. Przetwarzanie danych szczególnej kategorii (dane o zdrowiu)

Przedszkola bardzo często przetwarzają dane dotyczące zdrowia dzieci, które zgodnie z art. 9 RODO stanowią dane szczególnej kategorii (tzw. dane wrażliwe). Przetwarzanie takich danych jest co do zasady zabronione, chyba że spełniony zostanie jeden z wyjątków określonych w art. 9 ust. 2 RODO. W praktyce przedszkolnej najczęściej stosuje się dwie podstawy:

Wyraźna zgoda rodziców (art. 9 ust. 2 lit. a RODO): Stosowana np. przy zbieraniu informacji o alergiach pokarmowych dziecka, chorobach przewlekłych (np. cukrzyca, astma) czy specjalnych potrzebach żywieniowych. Informacje te są niezbędne, aby zapewnić dziecku bezpieczny pobyt i odpowiednie wyżywienie. Zgoda ta musi być wyraźna, pisemna i precyzyjnie określać, komu te dane mogą być udostępnione (np. intendentowi, kucharkom, nauczycielom danej grupy).
Względy ważnego interesu publicznego (art. 9 ust. 2 lit. g RODO): W połączeniu z przepisami Prawa oświatowego, np. przy organizowaniu kształcenia specjalnego lub pomocy psychologiczno-pedagogicznej na podstawie orzeczeń i opinii wydawanych przez poradnie psychologiczno-pedagogiczne.

4. Obowiązek informacyjny (art. 13 RODO) – konstrukcja i realizacja

Prawidłowe spełnienie obowiązku informacyjnego to jeden z najważniejszych przejawów realizacji zasady przejrzystości. Przedszkole musi przekazać rodzicom komplet wymaganych informacji w momencie pozyskiwania danych osobowych. Informacje te powinny być sformułowane w sposób zwięzły, przejrzysty, zrozumiały i łatwo dostępny.

Klauzula informacyjna dla rodziców musi obowiązkowo zawierać:

tożsamość i dane kontaktowe przedszkola (jako administratora),
dane kontaktowe powołanego Inspektora Ochrony Danych (IOD),
cele przetwarzania danych osobowych oraz podstawę prawną ich przetwarzania,
informacje o odbiorcach danych osobowych lub o kategoriach odbiorców (np. podmioty świadczące usługi IT, firmy ubezpieczeniowe, organ prowadzący),
okres, przez który dane osobowe będą przechowywane, a gdy to niemożliwe, kryteria ustalania tego okresu (np. zgodnie z jednolitym rzeczowym wykazem akt),
informacje o prawie do żądania od administratora dostępu do danych osobowych, ich sprostowania, usunięcia lub ograniczenia przetwarzania, a także o prawie do wniesienia sprzeciwu i prawie do przenoszenia danych,
informacje o prawie do cofnięcia zgody w dowolnym momencie (jeśli przetwarzanie odbywa się na podstawie zgody),
informację o prawie wniesienia skargi do organu nadzorczego (Prezesa Urzędu Ochrony Danych Osobowych),
informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym oraz jakie są konsekwencje ich niepodania.

W praktyce przedszkolnej zaleca się stosowanie tzw. warstwowego obowiązku informacyjnego. Skrócona informacja może znajdować się bezpośrednio na formularzu wniosku rekrutacyjnego, natomiast pełna klauzula informacyjna powinna być stale dostępna na stronie internetowej przedszkola oraz na tablicy ogłoszeń dla rodziców w budynku placówki.

5. Publikacja wizerunku dziecka i zgody na wizerunek

Publikacja zdjęć i filmów z życia przedszkola to doskonały sposób na promocję placówki i dokumentowanie rozwoju dzieci. Jednak wizerunek dziecka jest jego daną osobową podlegającą ścisłej ochronie. Rozpowszechnianie wizerunku wymaga zgody rodziców, która musi spełniać rygorystyczne warunki określone w RODO oraz w ustawie o prawie autorskim i prawach pokrewnych.

Zgoda na przetwarzanie wizerunku w przedszkolu musi być:

Dobrowolna: Przedszkole nie może uzależniać przyjęcia dziecka do placówki lub udziału w standardowych zajęciach od wyrażenia zgody na publikację wizerunku.
Konkretna i jednoznaczna: Rodzic musi dokładnie wiedzieć, na co się zgadza. Niedozwolone jest stosowanie jednej, ogólnej zgody na "przetwarzanie danych i wizerunku we wszystkich celach". Formularz powinien zawierać osobne opcje (checkboxy) dla różnych kanałów publikacji, np.: zgoda na publikację na stronie internetowej przedszkola, zgoda na publikację na oficjalnym profilu przedszkola na portalu Facebook, zgoda na umieszczenie zdjęć w kronice przedszkolnej.
Świadoma: Sformułowana prostym językiem, bez zawiłych sformułowań prawniczych.

Rodzic ma prawo w każdym momencie wycofać zgodę na publikację wizerunku dziecka. Wycofanie zgody nie działa wstecz, ale nakłada na dyrektora przedszkola obowiązek niezwłocznego usunięcia zdjęć lub filmów z przestrzeni publicznej (np. ze strony internetowej czy profilu społecznościowego) bądź takiego ich zmodyfikowania, aby wizerunek dziecka nie był możliwy do zidentyfikowania (np. poprzez zamazanie twarzy).

6. Rola Inspektora Ochrony Danych (IOD) w placówce oświatowej

Zgodnie z art. 37 ust. 1 lit. a RODO, publiczne przedszkola, jako jednostki sektora finansów publicznych realizujące zadania publiczne, mają bezwzględny obowiązek wyznaczenia Inspektora Ochrony Danych (IOD). W przypadku przedszkoli niepublicznych obowiązek ten zależy od skali i charakteru przetwarzania, jednak ze względu na przetwarzanie danych szczególnej kategorii (dane o zdrowiu, orzeczenia o niepełnosprawności) powołanie IOD jest wysoce zalecane i stanowi dobrą praktykę rynkową.

Do głównych zadań IOD w przedszkolu należy:

informowanie administratora oraz pracowników o obowiązkach spoczywających na nich na mocy RODO oraz innych przepisów o ochronie danych,
monitorowanie przestrzegania przepisów RODO oraz wewnętrznych polityk bezpieczeństwa przedszkola,
przeprowadzanie szkoleń dla personelu pedagogicznego i administracyjnego,
doradztwo w zakresie oceny skutków dla ochrony danych (DPIA) oraz audytowanie systemów informatycznych,
pełnienie funkcji punktu kontaktowego dla rodziców (osób, których dane dotyczą) oraz dla organu nadzorczego (PUODO).

Dane kontaktowe IOD (imię, nazwisko, adres e-mail lub numer telefonu) muszą być podane do publicznej wiadomości – np. na stronie internetowej przedszkola oraz w klauzulach informacyjnych.

7. Procedura obsługi wniosków rodziców i terminy

Rodzice jako przedstawiciele ustawowi małoletnich dzieci mają prawo do zgłaszania różnego rodzaju żądań i wniosków opartych na prawach przysługujących im na mocy RODO. Przedszkole musi być przygotowane na sprawną obsługę takich wniosków. Do najczęstszych należą:

Wniosek o dostęp do danych (art. 15 RODO): Rodzic ma prawo uzyskać od przedszkola potwierdzenie, czy przetwarzane są dane jego dziecka, a także otrzymać kopię tych danych (np. kopia dokumentacji przebiegu nauczania, kopia opinii psychologicznej).
Wniosek o sprostowanie danych (art. 16 RODO): Dotyczy poprawienia nieaktualnych lub błędnych danych (np. zmiana adresu zamieszkania, zmiana nazwiska).
Wniosek o usunięcie danych / prawo do bycia zapomnianym (art. 17 RODO): Ma zastosowanie wyłącznie do danych przetwarzanych na podstawie zgody (np. żądanie usunięcia zdjęć dziecka). Przedszkole nie może usunąć danych, których przechowywanie jest obowiązkiem ustawowym (np. dokumentacja przebiegu nauczania musi być przechowywana przez okresy wynikające z przepisów archiwalnych).

Termin realizacji: Zgodnie z art. 12 ust. 3 RODO, przedszkole jako administrator ma obowiązek odpowiedzieć na wniosek bez zbędnej zwłoki, a w każdym razie w terminie jednego miesiąca od dnia otrzymania wniosku. W sytuacjach szczególnie skomplikowanych lub przy dużej liczbie wniosków, termin ten może zostać przedłużony o kolejne dwa miesiące. Jednak w takim przypadku przedszkole must w ciągu pierwszego miesiąca poinformować rodzica o przedłużeniu terminu wraz z podaniem przyczyn opóźnienia.

8. Monitoring wizyjny w przedszkolu a ochrona prywatności

Instalacja monitoringu wizyjnego w przedszkolach to powszechna praktyka mająca na celu zapewnienie bezpieczeństwa dzieciom i pracownikom oraz ochronę mienia. Zasady stosowania monitoringu w placówkach oświatowych reguluje art. 108a Prawa oświatowego. Zgodnie z tym przepisem:

monitoring może być wprowadzony, jeśli jest to niezbędne do zapewnienia bezpieczeństwa uczniów i pracowników lub ochrony mienia,
kamery nie mogą obejmować pomieszczeń, w których uczniom udzielana jest pomoc psychologiczno-pedagogiczna, pomieszczeń przeznaczonych do odpoczynku i rekreacji pracowników, a także pomieszczeń sanitarnohigienicznych (szatnie, toalety), chyba że stosowanie monitoringu w tych pomieszczeniach jest niezbędne i nie naruszy to godności oraz innych dóbr osobistych uczniów i pracowników,
nagrania z monitoringu mogą być przechowywane przez okres nieprzekraczający 3 miesięcy, po czym muszą zostać trwale zniszczone, chyba że nagranie stanowi dowód w postępowaniu prawnym.

Przedszkole ma obowiązek oznaczyć strefę monitorowaną w sposób widoczny i czytelny (za pomocą odpowiednich piktogramów) oraz poinformować o wprowadzeniu monitoringu z wyprzedzeniem co najmniej 14 dni przed jego uruchomieniem.

9. Najczęstsze błędy i ryzyka w codziennej praktyce przedszkola

W codziennym pośpiechu i natłoku obowiązków łatwo o uchybienia, które mogą skutkować naruszeniem ochrony danych osobowych. Do najczęstszych błędów należą:

Udostępnianie list dzieci w miejscach publicznych: Wywieszanie list dzieci przyjętych do przedszkola, podziału na grupy czy list obecności na drzwiach wejściowych lub w holu placówki. Jest to rażące naruszenie prywatności. Takie informacje powinny być przekazywane rodzicom indywidualnie lub zabezpieczone przed wglądem osób postronnych.
Brak umów powierzenia przetwarzania danych (DPA): Przedszkola często korzystają z usług podmiotów zewnętrznych (np. firmy fotograficzne realizujące sesje zdjęciowe, firmy cateringowe, dostawcy systemów IT do obsługi e-dziennika czy opłat). Przekazywanie danych osobowych dzieci lub rodziców tym podmiotom bez zawarcia pisemnej umowy powierzenia przetwarzania danych (zgodnie z art. 28 RODO) stanowi poważne naruszenie prawa.
Nadmiarowość zbieranych danych (zasada minimalizacji): Zbieranie danych, które nie są niezbędne do realizacji celów (np. żądanie podania numeru PESEL babci lub dziadka upoważnionego do odbioru dziecka – do identyfikacji wystarczy imię, nazwisko oraz okazanie dokumentu tożsamości).
Brak kontroli nad dostępem do dokumentacji papierowej: Pozostawianie dzienników zajęć, kart zgłoszeniowych czy orzeczeń o niepełnosprawności na biurkach w salach dydaktycznych lub w sekretariacie w miejscach dostępnych dla osób trzecich.

10. Praktyczny przykład: Organizacja uroczystości "Dnia Babci i Dziadka"

Podczas uroczystości przedszkolnych rodzice oraz zaproszeni goście masowo rejestrują przebieg występów za pomocą telefonów komórkowych i aparatów fotograficznych. Jak w takiej sytuacji przedszkole powinno podejść do kwestii RODO?

Analiza prawna i rozwiązanie: Przetwarzanie danych (w tym wizerunku) przez osoby fizyczne w celach czysto osobistych lub domowych (tzw. wyłączenie domowe – art. 2 ust. 2 lit. c RODO) nie podlega przepisom RODO. Oznacza to, że babcia, dziadek czy rodzic mogą robić zdjęcia swojemu wnukowi podczas występu. Jednak sytuacja komplikuje się, gdy rodzic chce opublikować nagranie z całej uroczystości (na którym widoczne są też inne dzieci) w serwisie YouTube lub na swoim publicznym profilu w mediach społecznościowych. Taka publikacja wykracza poza "wyłączenie domowe" i wymagałaby zgody rodziców wszystkich nagranych dzieci.

Rekomendacja dla przedszkola: Przed rozpoczęciem uroczystości dyrektor lub nauczyciel prowadzący powinien wygłosić krótką informację porządkową. Należy poprosić rodziców i gości o to, aby wykonywane zdjęcia i nagrania służyły wyłącznie do użytku prywatnego (domowego archiwum) i przypomnieć, że publikowanie wizerunku innych dzieci w Internecie bez zgody ich rodziców jest niezgodne z prawem. Taki krok wykazuje należytą staranność ze strony przedszkola jako administratora.

11. Podsumowanie i rekomendacje wdrożeniowe dla dyrektorów

Wdrożenie i utrzymanie standardów RODO w przedszkolu w praktyce wymaga systematyczności i stałego podnoszenia świadomości personelu. Bezpieczeństwo danych osobowych dzieci zależy w głównej mierze od codziennych nawyków nauczycieli i pracowników obsługi. Dyrektor przedszkola powinien regularnie współpracować z wyznaczonym Inspektorem Ochrony Danych, przeprowadzać okresowe audyty procedur oraz dbać o to, aby wszelkie zgody i klauzule informacyjne były aktualne i zgodne z obowiązującym stanem prawnym. Odpowiednio zaprojektowany system ochrony danych nie tylko chroni placówkę przed dotkliwymi karami finansowymi ze strony organu nadzorczego, ale przede wszystkim buduje zaufanie rodziców, którzy powierzają przedszkolu to, co dla nich najcenniejsze – swoje dzieci.