Ocena skutków dla ochrony danych (DPIA) w placówce oświatowej
Monitoring, biometria, platformy edukacyjne, narzędzia AI. Część operacji na danych uczniów wymaga przed uruchomieniem pisemnej oceny skutków. Sprawdź w kilka minut, czy dotyczy to Twojej placówki, a jeśli tak, przygotujemy ją za Ciebie.
Pisemna analiza jednego konkretnego przetwarzania danych
DPIA (ang. Data Protection Impact Assessment), czyli ocena skutków dla ochrony danych, to dokument, w którym administrator analizuje jedną operację przetwarzania, np. monitoring wizyjny szkoły albo platformę do nauki zdalnej, i odpowiada na cztery pytania:
- Co dokładnie robimy z danymi? Jakie dane zbieramy, o kim, w jakim celu, jak długo je przechowujemy i kto ma do nich dostęp.
- Czy to jest konieczne? Czy cel da się osiągnąć przy mniejszej ilości danych albo w mniej inwazyjny sposób.
- Co może pójść nie tak? Wyciek, nieuprawniony dostęp, nadmierna kontrola uczniów lub pracowników, i jakie byłyby tego skutki dla ludzi.
- Jak temu zapobiegamy? Konkretne zabezpieczenia techniczne i organizacyjne.
Ocenę przeprowadza się przed rozpoczęciem przetwarzania (art. 35 ust. 1 RODO). Jest ona zarazem dowodem dla Prezesa UODO, że placówka przemyślała ryzyko i odpowiednio na nie zareagowała. Jeżeli mimo zastosowanych zabezpieczeń ryzyko pozostaje wysokie, przed rozpoczęciem przetwarzania trzeba skonsultować się z Prezesem UODO (art. 36 ust. 1 RODO).
Gdy przetwarzanie może powodować wysokie ryzyko dla osób
RODO wymaga oceny skutków, gdy dany rodzaj przetwarzania może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych (art. 35 ust. 1 RODO). Przepis wskazuje też przypadki, w których ocena jest wymagana zawsze, m.in. przetwarzanie na dużą skalę szczególnych kategorii danych, np. danych o zdrowiu, oraz systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie (art. 35 ust. 3 RODO).
Prezes UODO opublikował wykaz rodzajów operacji wymagających oceny skutków, oparty na 12 kryteriach wysokiego ryzyka. Co do zasady spełnienie dwóch kryteriów oznacza obowiązek przeprowadzenia DPIA. Dzieci należą do osób szczególnie wymagających ochrony, dlatego w placówkach oświatowych ten próg osiąga się szybciej niż w typowej firmie.
Typowe sytuacje w szkołach i przedszkolach
- monitoring wizyjny obejmujący uczniów i pracowników, zwłaszcza w dużej placówce albo z nagrywaniem dźwięku,
- biometryczna kontrola dostępu, np. odcisk palca przy wejściu, na stołówce lub w bibliotece,
- platformy edukacyjne i aplikacje analizujące postępy lub zachowanie uczniów,
- przetwarzanie danych o zdrowiu i specjalnych potrzebach edukacyjnych, zwłaszcza w placówkach specjalnych, terapeutycznych i poradniach,
- narzędzia oparte na sztucznej inteligencji, które oceniają uczniów lub wspierają rekrutację,
- konsultacje i zajęcia terapeutyczne prowadzone online.
Nie każde przetwarzanie wymaga DPIA. Jeżeli placówka uzna, że ocena nie jest potrzebna, powinna umieć wykazać, dlaczego (zasada rozliczalności, art. 5 ust. 2 RODO). Wynik testu poniżej i nasza analiza wstępna dają taki ślad w dokumentacji.
Czy musisz przeprowadzić ocenę skutków dla ochrony danych (DPIA)?
Odpowiedz na pięć pytań dotyczących jednej konkretnej operacji przetwarzania, np. monitoringu, e-dziennika albo platformy edukacyjnej. Test opiera się na art. 35 RODO, wykazie Prezesa UODO i wytycznych europejskich, a na końcu wskazuje, co zrobić dalej. Wynik ma charakter orientacyjny i nie zastępuje analizy konkretnego przypadku.
Ładowanie testu…
Przygotujemy DPIA od początku do końca
Kancelaria Prawa Gospodarczego i Oświatowego przygotowuje oceny skutków dla szkół, przedszkoli, poradni i placówek kształcenia ustawicznego. Ustalamy, czy ocena jest potrzebna, analizujemy ryzyko, proponujemy konkretne zabezpieczenia i przekazujemy gotowy dokument, który obroni się w razie kontroli Prezesa UODO.
Jak przebiega współpraca
- Bezpłatna rozmowa wstępna. Ustalamy, jakiego przetwarzania dotyczy ocena, i proponujemy zakres prac.
- Zebranie informacji. Krótka ankieta i spotkanie, stacjonarnie lub online, z osobami, które znają proces: dyrekcją, IT, kadrami, dostawcą systemu.
- Analiza i projekt dokumentu. Otrzymują Państwo projekt DPIA do uwag.
- Omówienie wyników. Wyjaśniamy, które zabezpieczenia są konieczne i w jakiej kolejności je wdrożyć.
- Wersja ostateczna. Dokument gotowy do podpisu i do okazania w razie kontroli.
Cena
Cena zależy od liczby ocenianych procesów i ich złożoności. Po bezpłatnej rozmowie przedstawiamy wiążącą ofertę z zakresem i terminem.
Potrzebujesz DPIA albo nie masz pewności?
Prześlij nam wynik testu albo opisz planowane przetwarzanie. Odpowiemy, czy ocena jest potrzebna i ile będzie kosztować.
Podstawa prawna
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), Dz. Urz. UE L 119 z 4.05.2016, s. 1, ze zm., art. 35 i 36.
Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony (M.P. z 2019 r. poz. 666).
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (AI Act), Dz. Urz. UE L z 12.07.2024, załącznik III pkt 3.
Prezes UODO, poradnik „Kiedy trzeba przeprowadzić ocenę skutków dla ochrony danych?” z dnia 31 marca 2025 r.
Europejska Rada Ochrony Danych, Wytyczne 3/2019 w sprawie przetwarzania danych osobowych za pośrednictwem urządzeń wideo, wersja 2.0.
Grupa Robocza Art. 29, Wytyczne dotyczące oceny skutków dla ochrony danych oraz pomocne przy ustaleniu, czy przetwarzanie „może powodować wysokie ryzyko” do celów rozporządzenia 2016/679 (WP 248 rev.01).