Wytyczne RODO w szkolnych casusach
- Casus nr 1 – rodzic posiadający obywatelstwo ukraińskie posłał swoje dziecko do oddziału przedszkolnego w publicznej szkole podstawowej. W trakcie składania dokumentów, poinformował dyrektora szkoły, że Jego syn cierpi na cukrzycę i w związku z tym należy systematycznie monitorować poziom glikemii. Dyrektor szkoły pozyskane o stanie zdrowia ucznia informacje przekazał pielęgniarce szkolnej oraz nauczycielowi przedszkola, bowiem w Jego przekonaniu wymagała tego konieczność zapewnienia dziecku należytej opieki. Czy dyrektor szkoły miał prawo dysponować danymi wrażliwymi, podlegającymi szczególnej ochronie prawnej zawartej w RODO (rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).
Rozważając niniejsze zagadnienie należy odnieść się do zapisów art. 155 ustawy Prawo oświatowe, gdzie czytamy: ,,w celu zapewnienia dziecku podczas pobytu w publicznym przedszkolu, oddziale przedszkolnym w publicznej szkole podstawowej, publicznej innej formie wychowania przedszkolnego, publicznej szkole i publicznej placówce, o której mowa w art. 2 pkt. 8, odpowiedniej opieki, odżywania oraz metod opiekuńczo-wychowawczych rodzic dziecka przekazuje dyrektorowi przedszkola, szkoły lub placówki uznane przez niego za istotne dane o stanie zdrowia, stosowanej diecie i rozwoju psychofizycznym dziecka”. Wedle takiej konstrukcji prawnej rodzic dziecka (zgodnie z art. 4 pkt 19 ustawy mówiąc o rodzicach należy mieć na uwadze również prawnych opiekunów dziecka oraz osoby(podmioty) sprawujące pieczę zastępczą nad dzieckiem) przekazuje dyrektorowi uznane przez niego za istotne dane o stanie zdrowia, stosowanej diecie i rozwoju psychofizycznym dziecka. Oczywistym jest, że zwrot uznane przez niego za istotne odnosi się do rodzica, a nie do dyrektora, który w opisywanej sytuacji jest jedynie adresatem informacji. Gdyby bowiem przyjąć odmienną wykładnię omawianego przepisu, to wówczas naruszałaby ona autonomię informacyjną jednostki umocowaną w art. 51 Konstytucji RP (,,Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby” i dalej ,,Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym”.
Trzeba wyraźnie wskazać, że komentowany przepis ma ogromne znaczenie, chodzi bowiem o zakres takich danych, które stanowią (i to praktycznie bez wyjątku) dane wrażliwe (sensytywne) w rozumieniu art. 9 ust. 1 RODO. Ten przepis zasadniczo zakazuje przetwarzania danych osobowych ujawniających m.in. pochodzenie etniczne, przekonania religijne i światopoglądowe czy dane dotyczące zdrowia. Przetwarzanie takich danych jest dopuszczalne wyłącznie w zakresie wynikającym z art. 9 ust 2 RODO, gdzie jednak nie figuruje generalne upoważnienie do przetwarzania danych wrażliwych uczniów przez instytucje oświatowe.
Jednak z praktycznego punktu widzenia trudno zanegować, że posiadanie określonych informacji o omawianym charakterze przez przedszkole czy szkołę, nie leży w interesie ucznia. Stąd pojawia się możliwość usprawiedliwienia przetwarzania danych przez dyrektora (poprzez przekazanie określonym osobom) na podstawie art. 9 ust. 2 lit. c lub h RODO tj. żywotny interes osoby, której dane dotyczą; profilaktyka zdrowotna.
Zacytowane powyżej sformułowanie przepisu pozostawia jednak pewne wątpliwości co do tego, czy intencją ustawodawcy było jedynie przewidzenie możliwości domagania się informacji na temat danych osobowych uczniów, czy też chodziło o coś więcej tj. upoważnienie ustawowe do przetwarzania danych przez określone jednostki systemu oświaty. Mimo tych wątpliwości, należy opowiedzieć się za wykładnią wskazującą na możliwość przetwarzania omawianych danych, z zastrzeżeniem konieczności zachowania zasad celowości i minimalizacji (zasada celowości, inaczej zasada ograniczenia celu, zakłada zbieranie danych w konkretnych, wyraźnych i prawnie uzasadnionych celach i jednocześnie nieprzetwarzanie dalej w sposób niezgodny z tymi celami. Trzeba dopowiedzieć, że przetwarzanie danych jest zgodne z prawem m.in. wtedy, gdy jest to niezbędne do wykonywania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Zasada minimalizacji z kolei, zawarta również w art. 30 a ustawy: ,,(…) w zakresie niezbędnym dla realizacji zadań i obowiązków” jest ukonstytuowana przez art. 5 ust. 1 lit. c RODO, w myśl którego dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Szkole nie wolno zatem żądać od rodzica ani przetwarzać danych nadmiarowych, wykraczających poza minimum niezbędne do realizacji zadań i obowiązków ustawowych).
- Casus nr 2 - Dyrektor szkoły podstawowej wykorzystał istniejący w placówce monitoring wizyjny do weryfikacji obecności nauczycieli w miejscu pracy oraz sposobu wykonywania przez nich zadań i obowiązków służbowych. Na podstawie tych materiałów postanowił nałożyć na dwóch nauczycieli kary porządkowe. Następnego dnia podczas zapoznawania się z nagraniami z monitoringu zauważył, jak jeden z nauczycieli dokonał kradzieży laptopa szkolnego. Zabezpieczony materiał z monitoringu dołączył do zawiadomienia o podejrzeniu popełnienia przestępstwa złożonego do właściwej miejscowo prokuratury. Czy działania dyrektora szkoły były zasadne i czy miał prawo do wykorzystania nagrań z monitoringu wizyjnego w opisanych przypadkach?
Podstawą do wprowadzenia w szkole monitoringu wizyjnego jest art. 108a ustawy Prawo oświatowe, wprowadzony na mocy art. 154 ustawy o ochronie danych osobowych. Monitoring ten polega na używaniu środków technicznych umożliwiających rejestrację obrazu, a gromadzony w ten sposób zapis wizerunków osób przebywających w pomieszczeniach szkolnych stanowi zbiór danych osobowych – a ściślej danych biometrycznych w rozumieniu art. 4 pkt. 14 RODO. Komentowany przepis dotyczy w zasadzie tylko wewnątrzszkolnych procedur stosowania monitoringu wizyjnego, nie podejmuje regulacji w zakresie środków ochrony danych przed ich niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem. W tym zakresie dyrektor szkoły decyduje samodzielnie o odpowiednich środkach technicznych, uwzględniając powszechnie obowiązujące przepisy.
Mocno należy zaznaczyć, że materialną przesłanką wprowadzenia monitoringu wizyjnego jest niezbędność do zapewnienia bezpieczeństwa uczniów i pracowników lub ochrony mienia. Oczywiście taka klauzula ma charakter otwarty i w zasadzie podlega dość swobodnej ocenie ze strony dyrektora szkoły. Podejmując decyzję o wprowadzeniu monitoringu powinien jednak pamiętać o wspomnianej już wcześniej zasadzie minimalizacji i celowości. Dla przykładu pierwsza z zasad wskazuje, że monitoring nie powinien być zakładany w pomieszczeniach lub na terenie, gdzie nie występuje szczególne ryzyko naruszenia bezpieczeństwa osób lub ochrony mienia (np. w zamkniętych, nieuczęszczanych korytarzach, pomieszczeniach gospodarczych) i to całkowicie niezależnie od treści ust. 3, omawianego artykułu, który wyraźnie wyłącza niektóre części budynku szkoły spod szczególnego nadzoru.
Niedopuszczalność stosowania monitoringu określona została w ust. 2. Dotyczy ona konkretnego celu jakim jest nadzór nad jakością wykonywania pracy przez pracowników szkoły: ,,Monitoring nie powinien stanowić środka nadzoru nad jakością wykonywania pracy przez pracowników szkoły lub placówki”. Szczegółowiej oznacza to, że dyrektor szkoły jako pracodawca, nie powinien posługiwać się danymi z monitoringu w celu oceny pracy nauczycieli lub innych zatrudnionych w szkole osób. W szczególności zapis obrazu nie służy do weryfikacji obecności pracowników w miejscu pracy oraz sposobu wykonywania przez nich zadań i obowiązków służbowych. Zatem udzielając odpowiedzi na pierwsze pytanie postawione podczas prezentacji casusu, trzeba stwierdzić, że dyrektor szkoły nie miał prawa opierać swojego postępowania w sprawie nałożenia kary porządkowej, na dowodzie jakim było nagranie z monitoringu wizyjnego zainstalowanego w szkole.
Inaczej rzecz się ma w przypadku wykorzystania nagrania z monitoringu wizyjnego, który miałby stanowić dowód, np. w przypadku popełnienia czynu zabronionego przez nauczyciela. W tym obszarze, przekazanie nagrania, które stanowić ma najistotniejszy dowód uzasadnionego podejrzenia popełnienia przestępstwa, jest uzasadnione i dozwolone.
Stan prawny na dzień 19 września 2024 r.