Przetwarzanie danych osobowych uczniów pochodzących z Ukrainy w szkołach i placówkach?

1. ,,Inne formy wychowania przedszkolnego, szkoły, placówki, organy prowadzące szkoły lub placówki, organy sprawujące nadzór pedagogiczny oraz inne podmioty realizujące zadania i obowiązki określone w ustawie, przetwarzają dane osobowe w zakresie niezbędnym dla realizacji zadań i obowiązków wynikających z tych przepisów” – przywołując zapis art. 30a ust. 1 ustawy Prawo oświatowe trzeba wskazać, że jest on stosunkowo nowy, dodano go bowiem 4 maja 2019 r. na mocy ustawy z 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.
2. Praktycznie adresatami ust. 1 są wszystkie jednostki organizacyjne i organy, do których odnoszą się przepisy ustawy prawo oświatowe, stanowiąc źródło ich zadań i obowiązków. Lista tych podmiotów będzie obejmowała:

inne formy wychowania przedszkolnego (art. 32 ust. 2 ustawy Prawo oświatowe);
szkoły lub placówki (art. 4 ustawy Prawo oświatowe);
organy prowadzące szkoły lub placówki (art. 8 ust. 2 ustawy Prawo oświatowe);
organy sprawujące nadzór pedagogiczny (art. 60 ustawy Prawo oświatowe);
inne podmioty realizujące zadania i obowiązki określone w ustawie, np. rada oświatowa, powołana na podstawie art. 78 ustawy Prawo oświatowe lub podmioty współdziałające ze szkołami w trybie art. 3 ustawy Prawo oświatowe.

Casus
Nauczyciel podczas wykonywania swoich obowiązków wychowawczo-opiekuńczych, uzyskał informację o przekonaniach światopoglądowych ucznia pochodzącego z Ukrainy. Uzyskane w ten sposób informacje wydawały się nauczycielowi do tego stopnia ,,atrakcyjne”, że przed oficjalnym otwarciem zebrania rady pedagogicznej, przed składem osobowym tejże rady, postanowił podzielić się pozyskaną informacją z innymi nauczycielami. Uczynił to w formie przekazania pewnej ,,ciekawostki”, bowiem, co dodatkowo należy zaznaczyć, zarówno porządek rady i zakres rzeczowy podejmowanych zagadnień, nie przewidywały rozpatrywania indywidualnych spraw poszczególnych uczniów. Kilka dni później w szkole odbyło się spotkanie wychowawców poszczególnych oddziałów z pedagogiem i psychologiem szkoły. Spotkanie było podyktowane niepokojącymi informacjami związanymi z popełnieniem przez ustalonych uczniów czynu niedozwolonego, związanego z dręczeniem osób o odmiennych przekonaniach światopoglądowych. Nauczyciel podjął temat ucznia pochodzenia ukraińskiego, celem wypracowania możliwych sposobów ochrony osób poszkodowanych w niniejszej sprawie, w tym praw i dobra ukraińskiego ucznia. Wobec powyższego rodzi się pytanie, jak w zakresie przepisów dotyczących przetwarzania danych, ocenić zachowania nauczyciela?
Przed udzieleniem odpowiedzi na pytanie, trzeba wspomnieć, że ust. 1 cytowanego art. 30a stanowi superfluum na tle obowiązujących przepisów RODO (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE). W zaproponowanym brzmieniu: ,,(…) w zakresie niezbędnym do realizacji zadań i obowiązków” doszukać się bowiem możemy powielonej, a zawartej w prawie Unii Europejskiej, zasady minimalizacji, w myśl której dane osobowe mogą być: ,,adekwatne, stosowane oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane” (zob. art. 5 ust. 1 lit. c RODO). Oznacza to, że szkole, placówce lub innemu podmiotowi poddanemu przepisom nie wolno żądać ani przetwarzać danych nadmiarowych, wykraczających poza minimum niezbędne do realizacji zadań i obowiązków ustawowych. Kolejną, nadrzędną zasadą jest zasada ograniczenia celu (celowości) przetwarzania danych osobowych, która zakłada zbieranie danych w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzanie dalej w sposób niezgodny z tymi celami. Zawsze należy pamiętać, że szkoła i jej przedstawiciele mogą przetwarzać tylko takie dane osobowe ucznia, które są niezbędne do realizacji konkretnych celów wynikających z prawa. Każdorazowo decyduje o tym przepis wyznaczający realizowane zadanie lub obowiązek. Zatem odpowiadając na pierwszą część pytania, należy jednoznacznie wskazać, że nauczyciel wykroczył poza zakres prawem przewidzianych uprawnień w obszarze przetwarzania danych ucznia (wykroczył poza minimum niezbędne do realizacji zadań i obowiązków ustawowych) oraz działał wbrew zasadzie celowości (innymi słowy przekazanie danych wrażliwych ucznia dotyczących przekonań światopoglądowych, przy uwzględnieniu określonego tła sytuacyjnego, nie było celowe). Jednak w zakresie drugiej sytuacji, odpowiedź będzie inna. Nauczyciel przekazał dane w postaci informacji dotyczących przekonań światopoglądowych ucznia w określonym celu, aby ujawnić istotny w sprawie fakt, w tym przypadku osobę, którą z uwagi na określone cechy na poziomie wartości i poglądów (przekonania światopoglądowe), objąć szczególną opieką i nadzorem, wynikającym z przepisów nakładających na nauczycieli obowiązek zapewnienia bezpieczeństwa wszystkim uczniom: ,,(…) nauczyciel zobowiązany jest rzetelnie realizować zadania związane z powierzonym mu stanowiskiem oraz podstawowymi funkcjami szkoły: dydaktyczną, wychowawczą i opiekuńczą, w tym zadania związane z zapewnieniem bezpieczeństwa uczniom w czasie zajęć organizowanych przez szkołę”. Zatem postępowanie nauczyciela w drugim z opisanych przypadków było uzasadnione, ukształtowane na zasadzie celowości i odbyło się z poszanowaniem zasady minimalizacji.
3.   W opisanym casusie trzeba wziąć pod uwagę jeszcze jeden aspekt, który dookreślony został w ust. 2 omawianego art. 30a: ,,Nauczyciele oraz inne osoby pełniące funkcje lub wykonujące pracę w podmiotach, o których mowa w ust.1, są obowiązani do zachowania w poufności informacji uzyskanych w związku z pełnioną funkcją lub wykonywaną pracą, dotyczących zdrowia, potrzeb rozwojowych i edukacyjnych, możliwości psychofizycznych, seksualności, orientacji seksualnej, pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub światopoglądowych uczniów”.
Niniejszy przepis wyraża obowiązek zachowania w poufności informacji uzyskanych w związku z pełnioną funkcją lub wykonywaną pracą, które należą do danych wrażliwych, objętych art. 9 ust. 1 RODO. Warte podkreślenia jest to, że obowiązek niniejszy jest w zasadzie oczywisty, wynika bowiem z samego RODO i spoczywałby na wszystkich osobach przetwarzających dane osobowe w związku z wykonywaniem zadań oświatowych, nawet gdyby art. 30a ust. 2 nie został wprowadzony do polskiego systemu prawnego. Regulacja ta zyskuje sens dopiero w związku z art. 30a ust. 3 ustawy Prawo oświatowe.
Zwrócić uwagę należy na jeszcze jedną sprawę. O ile przekazanie informacji o przekonaniach światopoglądowych w ramach prac np. zespołu wychowawców w ramach jednej szkoły, znajduje faktyczne i prawe uzasadnienie, o tyle rozciągnięcie określenia ,,(…) w związku z wykonywaniem zadań oświatowych” na inne szkoły lub placówki, bezpośrednio (np. w ramach współpracy międzyinstytucjonalnej związanej rzeczowo) niezwiązane ze sprawą, wydaje się nieuzasadnione i będzie można klasyfikować je, jako przekroczenie dozwolonych norm przetwarzania danych osobowych.
4.   Personel szkoły lub placówki najczęściej pozyskuje informacje, o których mowa, w związku z realizacją zadań publicznych, które są kwalifikowane jako wykonywane w interesie publicznym. Nie budzi wątpliwości, ze interes publiczny jest odwrotnością interesu prywatnego.
5.   Z uwagi na publicznoprawny charakter oświaty, podstawą przetwarzania danych osobowych będzie na ogół art. 6 ust. 1 lit. e RODO, zgodnie z którym przetwarzanie danych jest zgodne z prawem m.in. wtedy, gdy jest to niezbędne do wykonywania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Oznacza to, że szkoła, przetwarzając dane ucznia na podstawie przepisów prawa w celu realizacji swoich ustawowych zadań, nie potrzebuje dodatkowej zgody rodziców lub pełnoletniego ucznia (w przypadku przedstawionym w casusie taka specjalna zgoda również nie byłaby potrzebna).
6.   Treść i cel komentowanego art. 30a ust. 2 nasuwać mogą podobne zastrzeżenia jak art. 73 ust. 3 ustawy Prawo oświatowe, który zobowiązuje osoby biorące udział w zebraniu rady pedagogicznej do nieujawniania spraw poruszanych na zebraniu tego organu, a które mogą naruszać dobra osobiste uczniów lub ich rodziców, a także nauczycieli i innych pracowników szkoły lub placówki. Dlatego trzeba z całą mocą podkreślić, że art. 30a nie stanowi materialnej podstawy przetwarzania danych osobowych. Jest również oczywiste, że ten, komu nie wolno legalnie przetwarzać wrażliwych danych osobowych, tym bardziej nie może ich ujawniać. Czym innym będzie z kolei przekazywanie danych podmiotom trzecim, np. Policji, personelowi medycznemu, co jest prawnie akceptowalne na podstawie art. 9 ust. 2 RODO.

Stan prawny na dzień 23 listopada 2023 r.