Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych
advertisement
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy). Przetwarzanie danych osobowych może być uznane za zgodne z prawem jedynie wówczas, gdy administrator danych wykaże się spełnieniem co najmniej jednego warunku wymienionego w art. 23 ust. 1 w/w ustawy. Na mocy tego przepisu przetwarzanie danych jest dopuszczalne m.in. wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę. Jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, a także wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Przetwarzanie danych osobowych przez placówki oświatowe odbywa się przede wszystkim na podstawie przepisów szczególnych w stosunku do ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, gdyż wymieniona ustawa określa jedynie ogólne zasady ochrony danych osobowych. Aktami prawnymi określającymi kompetencje dyrektora szkoły oraz wskazującymi, w jakim zakresie szkoła może przetwarzać dane osobowe uczniów są: 1. Ustawa z dnia 7 września 1991 r. o systemie oświaty (tekst jednolity. Dz.U. z 2004 r. Nr 256 poz. 2572 z późn. zm.), 2. Ustawa z dnia 26.01.1982 r. Karta Nauczyciela (tekst jednolity. Dz. U. z 2006 r. Nr 97 poz. 674 z późn. zm.), 3. Ustawa z dnia 19 lutego 2004 r. o systemie informacji oświatowej (Dz. U. z 2005 r., Nr 49, poz. 463, z późn. zm.), 4. Rozporządzenie Ministra Edukacji Narodowej i Sportu z dnia 19 lutego 2002 r. w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji (Dz. U. z 2002 r. Nr 23, poz. 225 z późn. zm.), 5. Rozporządzenie Ministra Edukacji Narodowej i Sportu z dnia 20 lutego 2004 r. w sprawie warunków i trybu przyjmowania uczniów do szkół publicznych oraz 1 przechodzenia z jednych typów szkół do innych (Dz. U. z 2004 r. Nr 26 poz. 232 z późn. zm. ), 6. Rozporządzenie Ministra Edukacji Narodowej i Sportu z dnia 16 grudnia 2004 r. w sprawie szczegółowego zakresu danych w bazach danych oświatowych, zakresu danych identyfikujących podmioty prowadzące bazy danych oświatowych, terminów przekazywania danych między bazami danych oświatowych oraz wzorów wydruków zestawień zbiorczych (Dz. U. z 2005 r., Nr 277, poz. 2746 z późn. zm.) 7. Rozporządzenie Ministra Edukacji Narodowej z dnia 30 kwietnia 2007 r. w sprawie warunków i sposobu oceniania, klasyfikowania i promowania uczniów i słuchaczy oraz przeprowadzania sprawdzianów i egzaminów w szkołach publicznych (Dz. U. z 2007 r. Nr 83, poz. 562 z późn. zm.). Jednak jest wiele sytuacji, w których dochodzi do przetwarzania danych osobowych, a przepisy oświatowe nie precyzują, w jaki sposób należy to zrobić. Tak więc dyrektorzy szkół i nauczyciele muszą kierować się poszanowaniem zasad ochrony danych osobowych i prywatności z zachowaniem zdrowego rozsądku oraz wcześniej uzgodnić z rodzicami lub opiekunami prawnymi dzieci sposoby postępowania w konkretnych sytuacjach. Dotyczy to np. wywieszania na drzwiach budynku list dzieci przyjętych do szkoły z ich danymi i danymi ich rodziców, umieszczania na stronach internetowych szkoły, tablicach ogłoszeń lub głośnego odczytywania na zebraniu z rodzicami informacji o dziecku dotyczących wyników klasyfikacji, frekwencji, zachowania, chorób czy upubliczniania rankingu uczniów. Wymienione wyżej przypadki wymagają uzgodnień międy dyrektorem szkoły, nauczycielami i rodzicami, natomiast zbyt formalne traktowanie tego zagadnienia jest raczej niewskazane. Niemniej jednak należy poinformować uczniów i ich rodziców o przyjętych w szkole zasadach czy procedurach upubliczniania danych osobowych uczniów i uzyskać ich zgodę na taką formę przetwarzania danych osobowych ich dzieci. Art. 27 ust. 1 ustawy o ochronie danych osobowych zabrania przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Jednak i w tym przypadku ustawodawca zezwolił na przetwarzanie tych danych pod warunkiem spełnienia przez 2 administratora jednego z kilku wymienionych w ust. 2 w/w artykułu warunków. Jednym z tych warunków jest wyrażenie zgody na piśmie przez osobę, której te dane dotyczą. Oznacza to, że ujawnianie przez pielęgniarkę szkolną lub nauczyciela informacji o stanie zdrowia dziecka uczęszczającego do szkoły innym pracownikom szkoły jest bezprawne, chyba że rodzic, lub prawny opiekun dziecka, wyrazi taką zgodę na piśmie. Zgodnie z ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) oraz ustawą z dnia 19 lutego 2004 o systemie informacji oświatowej (Dz. U. z 2005 r., Nr 49, poz. 463, z późn. zm.) szkoły i placówki oświatowe zobowiązane są do chronienia wszelkich informacji, które mogą umożliwić identyfikację konkretnej osoby fizycznej. Dlatego dyrektor szkoły, jako administrator danych osobowych, ma obowiązek należycie zabezpieczyć dane osobowe uczniów, nauczycieli i innych pracowników szkoły, które gromadzi i przechowuje. W związku z powyższym dyrektor szkoły zobowiązany jest do: opracowania procedury bezpiecznego zarządzania informacją i systemem informatycznym służącym przetwarzaniu danych osobowych, pisemnego, imiennego upoważnienia każdego z pracowników do przetwarzania danych osobowych w związku z pełnionymi przez niego obowiązkami, zabezpieczenia przed dostępem osób nieupoważnionych pomieszczeń, w których przetwarzane są dane osobowe, rejestracji zbiorów osobowych u Generalnego Inspektora Danych Osobowych, jeśli taka rejestracja jest wymagana przepisami prawa. Obowiązek chronienia danych osobowych dotyczy informacji przetwarzanych w systemach elektronicznych, jak i danych zgromadzonych w księgach, kartotekach, wykazach i innych zbiorach. W przypadku szkół i placówek będą to między innymi dzienniki lekcyjne i pozalekcyjne, arkusze ocen, arkusze organizacji roku szkolnego, księgi zastępstw, ewidencje wydawanych świadectw, legitymacji i zaświadczeń. W oparciu o przytoczone wyżej przepisy prawne dziennik lekcyjny jest zbiorem danych osobowych, tak więc każda osoba przetwarzajaca dane osobowe (nauczyciel) powinna posiadać stosowne upoważnienie, a dostęp do pomieszczenia, w którym dziennik jest przechowywany (np. pokój nauczycielski) odpowiednio zabiezpieczony przed dostępem do niego osób nieuprawnionych. 3 Szkoły i placówki oświatowe mogą prowadzić dzienniki elektroniczne na podstawie rozporządzenia Ministra Edukacji Narodowej i Sportu z dnia 19 lutego 2002 r. w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji (Dz.U. z 2002 r., Nr 23 poz. 225 z późn. zm.). Zgodnie z art. 31 ustawy o ochronie danych osobowych administrator czyli dyrektor szkoły może powierzyć przetwarzanie danych osobowych innemu podmiotowi (np. przedsiębiorcy systemu informatycznego) w drodze umowy zawartej na piśmie. Umowa powinna określać cel w jakim podmiot, któremu powierzono przetwarzanie danych może je przetwarzać oraz zakres danych powierzonych do przetwarzania. Podmiot ten może bowiem przetwarzać dane wyłącznie w zakresie i w celu przewidzianym w umowie. Odpowiedzialność za przestrzeganie tych przepisów ponosi zarówno dyrektor, jak i podmiot z którym dyrektor podpisał stosowną umowę. Podmiot, któremu powierzono przetwarzanie danych osobowych jest zobowiązany podjąć środki zabezpieczające zbiór danych, o których mowa w art. 36-39 ustawy, oraz spełnić wymagania określone w przepisach, o których mowa w art. 39a ustawy o ochronie danych osobowych. Danuta Leśniewska Dolnośląski Wicekurator Oświaty Wrocław, 1.03.2011 4
