Urząd Ochrony Danych Osobowych Decyzją nr DKN.5112.7.2020 z dnia 30 czerwca 2020 r. nałożył na jedną ze szkół karę upomnienia za naruszenie przez tą szkołę przepisów art. 5 ust. 1 lit. a oraz art. 6 ust. 1 lit. c RODO, polegające na przetwarzaniu bez podstawy prawnej danych osobowych uczniów w związku z przeprowadzeniem wśród nich w roku szkolnym 2019/2020 badań (wywiadów) ankietowych, dotyczących ich sytuacji osobistej, przy użyciu ankiety pod nazwą „Diagnozowanie sytuacji domowej i szkolnej ucznia. Ankieta dla ucznia”.
Art. 5 ust. 1 lit. a RODO mówi, że dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą, natomiast art. 6 ust. 1 lit. c RODO mówi z kolei, że przetwarzanie jest zgodne z prawem wyłącznie wtedy, kiedy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.
Szkoła przeprowadziła wśród uczniów badanie z wykorzystaniem formularza ankietowego pod nazwą „Diagnozowanie sytuacji domowej i szkolnej ucznia. Ankieta dla ucznia”. W ramach przeprowadzonej ankiety, doszło do przetwarzania danych osobowych uczniów, w tym także danych osób niepełnoletnich. Dzięki ankiecie, szkoła zebrała między innymi takie dane jak: imię i nazwisko, oznaczenie klasy, określenie opiekunów prawnych (rodziców), informacja o stanie rodziny (pełna, niepełna), a także informacje o śmierci opiekuna prawnego (rodzica), separacji opiekunów prawnych (rodziców), ich wykształceniu i sytuacji zawodowej, liczbie osób w gospodarstwie domowym, sytuacji finansowej, stanie zdrowia oraz nałogach opiekunów prawnych (rodziców), sytuacji mieszkaniowej oraz o fakcie otrzymania albo nieotrzymania pomocy finansowej. Po zebraniu danych w postaci ankiet szkoła przechowywała je do czasu sporządzenia analizy, po czym ankiety (dane) zostały usunięte. W czasie kontroli okazało się, że dane nie zostały wprowadzone do systemu informatycznego ani utrwalone na nośnikach elektronicznych. Nie sporządzono też kopii papierowych ankiet ani innych dokumentów w formie elektronicznej czy papierowej zawierających dane osobowe.
Ukarana szkoła jako administrator danych dopuściła się naruszenia dwóch przytoczonych w decyzji UODO przepisów, gdyż przetwarzanie danych osobowych uczniów odbywało się bez podstawy prawnej wynikającej z przepisów obowiązujących aktów normatywnych. Należy pamiętać, że szkoła jest jednostką budżetową, a więc także jednostką sektora finansów tożsamą z podmiotem publicznym w rozumieniu przepisów RODO. Szkoła jako podmiot publiczny może zatem przetwarzać dane osobowe w zakresie wykonywanych przez niego zadań nałożonych ustawami, wyłącznie w zgodzie z art. 5 ust. 1 lit. a oraz art. 6 ust. 1 lit. c RODO. Art. 30a ustawy z dnia 14 grudnia 2016 r. Prawo oświatowe mówi z kolei, że szkoły przetwarzają dane osobowe w zakresie niezbędnym dla realizacji zadań i obowiązków wynikających z przepisów.
Warto zaznaczyć, że w składanych przez dyrektora szkoły wyjaśnieniach pojawiły się skargi na brak zainteresowania ze strony inspektora ochrony danych oraz informacja o zmianach personalnych w szkole, przez co nie zostały przekazane dokumenty. Urząd Ochrony Danych Osobowych w uzasadnieniu decyzji wyjaśnił, że administrator danych, którym jest szkoła reprezentowana przez dyrektora, jest obowiązana zapewnić ciągłość wykonywania obowiązków wynikających z przepisów RODO, bez względu na zmiany personalne na ww. stanowisku. Wyjaśnienia dyrektora szkoły w tym względzie, w tym powoływanie się, między innymi, na okoliczności nieprzekazania mu dokumentacji, mogą mieć znaczenie co najwyżej w sferze jego odpowiedzialności wynikającej ze stosunku pracy łączącego go z organem prowadzącym szkołę, nie zaś w sferze odpowiedzialności wynikającej z przepisów o ochronie danych osobowych.
Podsumuję ten artykuł krótko. Szkoła ma wykonywać zadania do których zobligowana została przez obowiązujące przepisy. Każda „wycieczka w nieznane” wcześniej czy później musi skończyć się źle.
Jeśli macie Państwo jakieś pytania lub niejasności, zachęcam do kontaktu. Moje dane kontaktowe znajdziecie na stronie głównej.