Prace semestralne w szkole a RODO – kto może je odbierać?

Kiedy sposób oddawania prac może naruszać RODO?

Sam fakt, że szkoła przyjmuje prace semestralne poza sekretariatem, nie jest jeszcze automatycznie naruszeniem prawa. Kluczowe jest to, czy przyjęta procedura rzeczywiście zapewnia ochronę danych osobowych zgodnie z art. 5 ust. 1 lit. a, c i f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), czyli zgodność z prawem, minimalizację danych oraz integralność i poufność.

Jeżeli prace mają być przekazywane innemu słuchaczowi, np. staroście grupy, pojawia się realne ryzyko, że osoba ta uzyska dostęp do danych bez wyraźnej podstawy organizacyjnej i bez odpowiednich zabezpieczeń. W praktyce problem dotyczy nie tylko nazwiska autora pracy, ale również treści dokumentu, podpisu, numeru albumu, adresu e-mail, danych o frekwencji, a czasem także informacji wrażliwych ujawnionych w samej pracy.

Dyrektor szkoły odpowiada za to, aby przetwarzanie odbywało się zgodnie z RODO na podstawie art. 24 ust. 1 RODO, który nakazuje wdrożenie odpowiednich środków technicznych i organizacyjnych uwzględniających charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych.

Czy starosta grupy może odbierać prace od innych słuchaczy?

To zależy od konkretnego modelu organizacyjnego przyjętego w szkole i od tego, czy szkoła potrafi wykazać zgodność takiej praktyki z zasadami RODO. Co do zasady starosta grupy nie jest pracownikiem szkoły ani osobą działającą na podstawie stosunku organizacyjnego porównywalnego z pracownikiem. Nie działa też jako podmiot przetwarzający w rozumieniu art. 4 pkt 8 oraz art. 28 RODO.

Jeżeli starosta ma fizyczny dostęp do prac zawierających dane innych osób, szkoła powinna umieć wykazać, dlaczego taki dostęp jest niezbędny oraz jakie zastosowano zabezpieczenia. W przeciwnym razie może dojść do naruszenia:

• art. 5 ust. 1 lit. b RODO – zasady ograniczenia celu,
• art. 5 ust. 1 lit. c RODO – zasady minimalizacji danych,
• art. 5 ust. 1 lit. f RODO – zasady integralności i poufności,
• art. 24 ust. 1 RODO – obowiązku wdrożenia odpowiednich środków organizacyjnych,
• art. 32 ust. 1 RODO – obowiązku zapewnienia odpowiedniego poziomu bezpieczeństwa przetwarzania.

W praktyce trudno uznać za bezpieczne rozwiązanie sytuację, w której jeden słuchacz zbiera prace innych osób, przechowuje je przez pewien czas i przekazuje dalej bez formalnej procedury, bez potwierdzenia odbioru i bez kontroli szkoły.

Jakie dane osobowe mogą znajdować się w pracy semestralnej?

RODO ma zastosowanie wtedy, gdy w pracy znajdują się dane osobowe w rozumieniu art. 4 pkt 1 RODO, czyli informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. W pracy semestralnej najczęściej będą to: imię i nazwisko, numer indeksu lub albumu, oznaczenie grupy, podpis, temat powiązany z autorem, a niekiedy także adres e-mail.

Jeżeli szkoła posługuje się szczegółowymi listami, systemem odbioru lub oznaczeniami na kopertach, trzeba też uwzględnić zasady dotyczące tego, jakie informacje placówka w ogóle może gromadzić i ujawniać w środowisku szkolnym. W tym kontekście warto przeczytać materiał o tym, jakie są dopuszczalne dane uczniów a RODO.

W niektórych przypadkach treść pracy może zawierać dane szczególnej kategorii, o których mowa w art. 9 ust. 1 RODO, np. informacje o zdrowiu, niepełnosprawności, poglądach czy sytuacji rodzinnej, jeśli temat pracy tego dotyczy. Wtedy szkoła powinna zachować jeszcze większą ostrożność organizacyjną.

Czy sekretariat musi przyjmować prace semestralne?

Nie ma przepisu, który wprost nakazywałby, aby każda szkoła przyjmowała prace wyłącznie przez sekretariat. Ani ustawa z 14 grudnia 2016 r. – Prawo oświatowe, ani ustawa z 7 września 1991 r. o systemie oświaty nie przewidują tak szczegółowego modelu obiegu każdej pracy zaliczeniowej.

Nie oznacza to jednak dowolności. Szkoła musi tak ułożyć procedurę, by spełnić obowiązki administratora danych. Jeżeli sekretariat jest organizacyjnie przygotowany do przyjmowania dokumentów, pracownicy mają stosowne upoważnienia, a szkoła może potwierdzić odbiór pracy, to właśnie ten model zwykle lepiej realizuje wymogi z art. 5 ust. 1 lit. f, art. 24 ust. 1 i art. 32 ust. 1 RODO niż przekazywanie prac przez innego słuchacza.

Dodatkowym argumentem praktycznym jest możliwość udokumentowania daty złożenia pracy, ograniczenia ryzyka zagubienia i łatwiejszego ustalenia odpowiedzialności za dokument.

Jakie obowiązki ma dyrektor szkoły jako administrator danych?

Dyrektor szkoły, jako osoba kierująca jednostką i działająca w imieniu administratora danych, powinien zapewnić zgodny z prawem sposób odbioru, ewidencjonowania, przechowywania i udostępniania prac. Wynika to przede wszystkim z:

• art. 5 ust. 2 RODO – zasady rozliczalności,
• art. 24 ust. 1 RODO – obowiązku wdrożenia odpowiednich środków organizacyjnych,
• art. 25 ust. 1 RODO – ochrony danych w fazie projektowania i domyślnej ochrony danych,
• art. 32 ust. 1 RODO – obowiązku zapewnienia bezpieczeństwa przetwarzania,
• art. 29 RODO – zasady przetwarzania danych wyłącznie na polecenie administratora przez osoby upoważnione.

W praktyce szkoła powinna mieć jasną procedurę odpowiadającą na pytania: kto przyjmuje prace, gdzie są składane, jak potwierdza się odbiór, kto ma do nich dostęp, jak długo są przechowywane i co dzieje się w razie zagubienia pracy.

Co może świadczyć o nieprawidłowej procedurze?

O podwyższonym ryzyku naruszenia mogą świadczyć zwłaszcza takie okoliczności:

Jakie działania warto podjąć wobec szkoły?

Najpierw warto wystąpić do dyrektora szkoły na piśmie. Najlepiej spokojnie i konkretnie poprosić o:

• wskazanie podstawy organizacyjnej przyjętej procedury odbioru prac,
• wyjaśnienie, dlaczego prace mają być przekazywane przez starostę grupy,
• opis środków bezpieczeństwa stosowanych zgodnie z art. 24 i art. 32 RODO,
• informację, kto ponosi odpowiedzialność za utratę pracy i jak szkoła dokumentuje jej przyjęcie,
• rozważenie alternatywy w postaci składania prac w sekretariacie lub bezpośrednio nauczycielowi.

Takie pismo ma sens także dlatego, że pozwala później wykazać, iż zgłoszono problem wewnętrznie przed złożeniem skargi.

Czy można złożyć skargę do Prezesa UODO?

Tak. Jeżeli szkoła nie odpowie albo podtrzyma rozwiązanie, które w ocenie słuchacza narusza zasady ochrony danych, można wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych na podstawie art. 77 ust. 1 RODO. Uprawnienie to potwierdza także art. 92 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych.

W skardze warto opisać fakty: kto odbiera prace, jakie dane zawierają, czy szkoła ma procedurę, czy doszło do ujawnienia danych albo ryzyka ich utraty, oraz dołączyć korespondencję z dyrekcją. Prezes UODO bada zgodność przetwarzania z przepisami, ale nie zastępuje szkoły w tworzeniu procedur. Dlatego im dokładniejszy opis stanu faktycznego, tym lepiej.

Czy dochodzi też do naruszenia praw autorskich?

To odrębna kwestia. Sama konieczność przekazania pracy do szkoły nie oznacza jeszcze naruszenia autorskich praw majątkowych ani osobistych. Jednak jeśli sposób obiegu dokumentu zwiększa ryzyko skopiowania, przywłaszczenia treści albo wykorzystania jej przez osoby nieuprawnione, można podnosić także argument ochrony utworu na gruncie ustawy z 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych, zwłaszcza gdy praca ma twórczy i indywidualny charakter w rozumieniu art. 1 ust. 1 tej ustawy.

W praktyce główny problem zwykle pozostaje jednak po stronie RODO i organizacji obiegu dokumentów, a nie samego prawa autorskiego.

FAQ

Czy samo imię i nazwisko na pracy oznacza, że obowiązuje RODO?

Tak. Imię i nazwisko autora pracy to dane osobowe w rozumieniu art. 4 pkt 1 RODO, więc ich przetwarzanie musi odbywać się zgodnie z tym rozporządzeniem.

Czy szkoła może kazać oddawać prace przez innego ucznia?

Nie ma przepisu, który wprost tego zakazuje, ale szkoła musi wykazać, że taki model jest zgodny z art. 5, art. 24 i art. 32 RODO. Jeśli nie potrafi zapewnić poufności i bezpieczeństwa, rozwiązanie może być nieprawidłowe.

Czy mogę odmówić przekazania pracy staroście grupy?

To zależy od regulaminu szkoły i konkretnej sytuacji. Najbezpieczniej jest równocześnie złożyć pisemny wniosek o umożliwienie oddania pracy bezpośrednio nauczycielowi albo w sekretariacie, aby nie narazić się na zarzut braku zaliczenia terminu.

Czy warto pisać od razu do UODO?

Zwykle lepiej najpierw wystąpić do szkoły o wyjaśnienia. Jeśli odpowiedź będzie niesatysfakcjonująca albo szkoła zignoruje problem, wtedy skarga do Prezesa UODO jest uzasadniona.

Co jeśli praca zginęła?

Szkoła powinna ocenić, czy doszło do naruszenia ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO i czy zachodzi obowiązek zgłoszenia naruszenia Prezesowi UODO na podstawie art. 33 RODO. Dla słuchacza ważne jest także ustalenie, jak szkoła umożliwi uzupełnienie brakującej pracy.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), w szczególności art. 4 pkt 1, 4 pkt 12, art. 5 ust. 1 lit. a, b, c i f, art. 5 ust. 2, art. 24 ust. 1, art. 25 ust. 1, art. 29, art. 32 ust. 1, art. 33, art. 77 ust. 1.
• Ustawa z 10 maja 2018 r. o ochronie danych osobowych, w szczególności art. 92 ust. 1.
• Ustawa z 14 grudnia 2016 r. – Prawo oświatowe.
• Ustawa z 7 września 1991 r. o systemie oświaty.
• Ustawa z 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych, w szczególności art. 1 ust. 1.