Przechowywanie prac semestralnych a RODO

Naruszenie przepisów RODO

Co do zasady nie ma powszechnie obowiązujących przepisów, które nakazywałyby w ten czy inny sposób przekazywać prace. To, w jaki sposób odbywa się obieg korespondencji i jak dyrektor jako administrator danych osobowych odpowiada za ich ochronę, powinno wynikać z regulacji (procedur) wewnętrznych. Jeżeli przyjęty przez dyrekcję sposób przekazywania prac semestralnych Pani nie odpowiada, to warto byłoby wystąpić do dyrekcji z pisemnymi zastrzeżeniami co do przyjętego sposobu oddawania prac ze wskazaniem na następujące aspekty.

Administrator danych osobowych, tj. dyrektor placówki, odpowiada za ochronę danych, a przyjęty w szkole sposób oddawania prac semestralnych narusza przepisy o ochronie danych osobowych w poniższym zakresie:

1) dane zostają udostępnione osobie, która nie jest pracownikiem szkoły, nie ma upoważnienia do przetwarzania danych osobowych ani też nie jest podmiotem przetwarzającym dane w imieniu szkoły; dochodzi zatem do naruszenia następujących przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) w skrócie RODO:

a) naruszenie zasady ograniczonego celu ich przetwarzania, tj. art. 5 ust. 1 lit b RODO – zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych albo do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami;

b) naruszenie zasady integralności i poufności danych, tj. art. 5 ust. 1 lit. f RODO – przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”);

c) po stronie starosty grupy brak jest podstawy do przetwarzania danych osobowych zgodnie z art. 6 RODO;

d) przyjęcie takiego sposobu przekazywania prac powoduje naruszenie art. 24 RODO, zgodnie z którym „uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane”. W kontekście powyższego można również zapytać dyrekcję, jakie środki techniczne i organizacyjne zostały wdrożone w związku z takim, a nie innym sposobem przekazywania prac semestralnych;

e) należy zapytać o procedury w przypadku naruszenia danych osobowych, tj. np. zgubienia pracy zaliczeniowej innego ucznia przez starostę – czy konieczne będzie ponowne sporządzenie pracy, jaki będzie termin ponownego złożenia pracy zaliczeniowej;

f) należy zadać pytanie – w jaki sposób dyrekcja chce wyegzekwować od starosty obowiązek ochrony danych osobowych zawartych w pracach zaliczeniowych.

Wskazanie lepszej formy przekazywania prac

Dodatkowo proszę wskazać, że w Pani ocenie najlepszym sposobem przekazywania prac zaliczeniowych byłoby ich złożenie w sekretariacie, co zapewniałoby ochronę danych osobowych. Należy w tym wypadku podać następujące argumenty:

a) pracownicy szkoły posiadają upoważnienie do przetwarzania danych osobowych udzielone przez dyrektora, a zatem są obowiązani do przetwarzania danych osobowych zgodnie z prawem, na podstawie udzielonego upoważnienia oraz są obowiązani do ochrony danych osobowych;

b) złożenie prac w sekretariacie wiąże się z mniejszym ryzykiem utraty danych zawartych w pracy zaliczeniowej niż złożenie jej u osoby trzeciej niebędącej pracownikiem szkoły;

c) taki sposób składania prac zaliczeniowych uwzględnia również ochronę sporządzonych dzieł na gruncie prawa autorskiego, bez obawy o przywłaszczenie danej pracy.

Ważne, aby w piśmie do dyrekcji podkreślać, że przyjmując taki, a nie inny sposób składania prac dyrektor zwiększa ryzyko naruszenia danych osobowych poprzez utratę ich poufności oraz integralności. Takie postępowanie niewątpliwie narusza powszechnie obowiązujące przepisy.