Dzieci jako osoby niepełnoletnie nie są w stanie w pełni świadomie ocenić konsekwencji udostępniania swoich danych, co uzasadnia objęcie ich wzmocnioną ochroną prawną. RODO (motyw 38) wprost wskazuje na tę szczególną ochronę, a polskie przepisy uzupełniają ją, ustalając wiek 16 lat jako próg samodzielnego wyrażenia zgody w kontekście usług cyfrowych.
Jakie dane przetwarzają placówki oświatowe?
Szkoły i przedszkola przetwarzają dane identyfikacyjne i kontaktowe uczniów oraz rodziców, informacje o wynikach w nauce, frekwencji i zachowaniu, dane o zdrowiu i niepełnosprawności, potrzebach żywieniowych (alergie, dieta religijna), wizerunek (zdjęcia, nagrania, monitoring) oraz dane o sytuacji rodzinnej. Część z nich - jak dane zdrowotne czy religijne - należy do kategorii szczególnych (art. 9 RODO) i podlega surowszym rygorom.Kluczowe obowiązki administratora
Administratorem danych jest zazwyczaj organ prowadzący lub dyrektor placówki. Do jego obowiązków należą:- Klauzule informacyjne - rodzice muszą zostać poinformowani o celach i podstawach przetwarzania już przy zapisie dziecka, w jasnym i zrozumiałym języku.
- Podstawa prawna - większość danych przetwarzana jest na podstawie przepisów prawa oświatowego (art. 6 ust. 1 lit. c RODO). Publikacja zdjęć w mediach czy na stronie szkoły wymaga odrębnej, dobrowolnej zgody rodzica.
- Zgoda na wizerunek - musi być wyraźna i dobrowolna. Nie może być warunkiem uczestnictwa w zajęciach. Rodzic ma prawo odmówić bez konsekwencji dla dziecka.
- Monitoring wizyjny - dopuszczalny wyłącznie w miejscach wskazanych w Prawie oświatowym, po poinformowaniu uczniów, rodziców i pracowników. Nagrania należy usuwać po maksymalnie 3 miesiącach.
- Umowy powierzenia - każde przekazanie danych do systemów zewnętrznych (dziennik elektroniczny, platformy e-learningowe) wymaga zawarcia stosownej umowy.
- Bezpieczeństwo danych - dokumentacja uczniów musi być zabezpieczona; dostęp do niej mają wyłącznie upoważnieni pracownicy.
Komunikacja z rodzicami a ochrona prywatności
Klasowe grupy na Facebooku, WhatsAppie czy Messengerze niosą realne ryzyko - informacje o uczniach trafiają poza kontrolowany system. Bezpieczniejszą alternatywą są oficjalne platformy komunikacji (dziennik elektroniczny, dedykowane aplikacje szkolne) zapewniające odpowiedni poziom bezpieczeństwa i rozliczalności.Konsekwencje naruszeń
UODO nałożył już kary na szkoły za nieuprawnione publikowanie wizerunku uczniów, przetwarzanie danych bez podstawy prawnej oraz brak odpowiednich środków bezpieczeństwa. Poza karami administracyjnymi placówka może ponosić odpowiedzialność cywilną wobec rodziców i uczniów.Podsumowanie
Prawidłowe wypełnianie obowiązków wynikających z RODO w placówkach oświatowych wymaga rzetelnej dokumentacji, przejrzystej komunikacji z rodzicami, właściwie pozyskanych zgód oraz regularnych szkoleń dla pracowników. W razie wątpliwości warto skonsultować się z Inspektorem Ochrony Danych lub zewnętrznym specjalistą ds. RODO.