Podmiotem zobowiązanym do wypełniania obowiązków wynikających z przepisów o ochronne danych osobowych będzie szkoła – jako jednostka organizacyjna reprezentowana w tym zakresie przez dyrektora. Oczywiście mogą zdarzyć się sytuacje w których jako administratora będzie należało uznać np. stowarzyszenie lub fundację prowadzącą szkołę, będą one jednak należały do rzadkości.
Szkoła – tak jak każdy inny ADO – musi więc wykonać obowiązek informacyjny wobec uczniów, rodziców, nauczycieli oraz innych osób zatrudnionych. Należy pamiętać, że ten obowiązek należy wykonać przy pozyskaniu danych, nie trzeba więc go ponawiać z każdym rokiem szkolnym w stosunku do osób, którym te informacje zostały przekazane wcześniej.
Podstawami prawnymi przetwarzania danych przez szkołę będą w szczególności: prawo oświatowe, karta nauczyciela, ustawa o systemie oświatowym, ustawa o systemie informacji oświatowej, ustawa o finansowaniu zadań oświatowych – ale także i kodeks pracy.
Wywieszanie na korytarzach podpisanych prac uczniów
Tu na szczęście UODO opowiedział się [Link] w „życiowy” sposób – nie trzeba pozyskiwać zgód rodziców czy uczniów na wywieszanie podpisanych prac na korytarzach, ponieważ: „gdyż jest to związane z zadaniem realizowanym przez szkołę w interesie publicznym (art. 6 ust. 1 lit. e RODO). Należy pamiętać, że taka praktyka stanowi element działań motywacyjnych, nagradzających wysiłek włożony w realizację powierzonych dzieciom zadań. Przyczynia się też do wzmocnienia poczucia własnej wartości ucznia.”
Stanowisko bardzo rozsądne, aczkolwiek jest to przykład na bardzo liberalne wykorzystanie art. 6 ust.1 lit. e RODO. Ująć to można ogólnie jako „kontekst dydaktyczny”, pod co „podciągnąć” można większość sytuacji, jakie mają miejsce za zamkniętymi drzwi sali lekcyjnej.
Należy też pamiętać, że zgody pozyskiwać nie trzeba, ale należy zapewnić możliwość wniesienia przez rodzica lub ucznia sprzeciwu, w oparciu o art. 21 ust. 1 RODO.
Między innymi takie informacje powinna zawierać prawidłowo skonstruowana na potrzeby szkoły klauzula informacyjna.
Monitoring
„Zwyczajny” ADO, tzn. taki, który działa jako prywatny przedsiębiorca – gdy stosuje monitoring powołuje się na art. 6 ust. 1 lit. f RODO, czyli uzasadniony interes w postaci zapewnienia bezpieczeństwa – ze szkołą jest jednak nieco inaczej.
W swoim poradniku na temat przetwarzania danych osobowych przez szkoły UODO unika powoływania się na podstawę prawną w postaci uzasadnionego interesu, przywołując do uzasadnienia przetwarzania na potrzeby zapewnienia bezpieczeństwa art. 6 ust. 1 pkt e RODO, czyli przetwarzania danych w celu wykonania zadania realizowanego w interesie publicznym, prze co wskazuje się „utrzymywanie bezpiecznych i higienicznych warunków nauki, wychowania i opieki w szkołach i placówkach.”
Przepis ten należy czytać w zestawieniu z art. 108a prawa oświatowego, który nadaje uprawnienie dyrektorowi szkoły do w prowadzenia na jej terenie monitoringu, ale tylko – jeżeli jest to niezbędne do zapewnienia bezpieczeństwa uczniów i pracowników lub ochrony mienia, będzie się to odbywało w porozumieniu z organem prowadzącym szkołę, oraz zostaną przeprowadzone konsultacje z radą pedagogiczną, radą rodziców i samorządem uczniowskim.
Kamery (co do zasady) nie mogą obejmować „pomieszczeń, w których odbywają się zajęcia dydaktyczne, wychowawcze i opiekuńcze, pomieszczeń, w których uczniom jest udzielana pomoc psychologiczno-pedagogiczna, pomieszczeń przeznaczonych do odpoczynku i rekreacji pracowników, pomieszczeń sanitarnohigienicznych, gabinetu profilaktyki zdrowotnej, szatni i przebieralni”.
Po za tym – tak jak w przypadku każdego innego ADO – obszar objęty monitoringiem powinien być dokładnie oznaczony.
Odrębna kwestia to udostępnianie nagrań z monitoringu – decyzje w tym zakresie podejmuje ADO – i nie ma tu „sztywno” narzuconego rygoru – od konkretnej sytuacji będzie zależało, czy ADO wyda kopię nagrania, udostępni je jedynie do wglądu, poczeka na działania policji lub UODO, który dysponuje kompetencjami do nakazania udostępnienia nagrania (jako danych osobowych). Należy jedynie zauważyć, że UODO dopuszcza [Link]udostępnianie nagrań osobom, których mienie lub dobro zostało naruszone, w celu ustalenia sprawcy pod warunkiem, że nagranie nie obejmuje osób postronnych.
Wizerunek
Zastosowanie znajdą zasady ogólne – w szczególności art. 81 prawa autorskiego odnośnie rozpowszechniania wizerunku – inaczej traktuje się np. zdjęcia z wycieczek, imprez, gdzie osoba jest jedynie szczegółem całości, a inaczej zdjęcie konkretnej osoby – należy też zwrócić uwagę na kontekst, tzn. czy konkretne zdjęcie nie przedstawia określonej osoby w sytuacji dla niej niekorzystnej – nawet jeżeli stanowi ona w nim jedynie szczegół całości.
Umowy powierzenia
Jeżeli szkoła zleciła odrębnemu podmiotowi obsługę np. e-dziennika lub monitoringu, powinna zostać w związku z tym zawarta umowa powierzenia przetwarzania, zgodnie z art. 28 RODO.