Jak sprawdzić, czy procedury RODO w szkole działają w praktyce?

Segregator z politykami, klauzulami i procedurami to dopiero połowa drogi. Posiadanie dokumentacji RODO to jedno, a umiejętność jej rzeczywistego stosowania – drugie. Zasada rozliczalności (art. 5 ust. 2 RODO) nie wymaga, by placówka miała dokumenty; wymaga, by potrafiła wykazać, że opisane w nich zasady są faktycznie przestrzegane. Kontrola Prezesa UODO nie ocenia grubości segregatora, tylko to, jak dane naprawdę płyną przez placówkę.

Najczęstszą słabością nie jest brak dokumentów, lecz rozdźwięk między tym, co w nich zapisano, a tym, co dzieje się na co dzień. Poniżej przedstawiamy metody, którymi można samodzielnie sprawdzić, czy procedury w szkole rzeczywiście działają – a nie tylko istnieją.

Porównaj dokumenty z rzeczywistym obiegiem danych

Najważniejszy test polega na prześledzeniu drogi konkretnych danych przez placówkę – od momentu ich pozyskania do usunięcia. Weź jeden zestaw danych ucznia i sprawdź, gdzie trafia: rekrutacja, dziennik, e-dziennik, świetlica, gabinet profilaktyki zdrowotnej, archiwum. Dla każdego z tych procesów zadaj pytanie: czy jest ujęty w rejestrze czynności przetwarzania (art. 30 RODO), czy wskazana w dokumentach podstawa prawna i okres przechowywania odpowiadają temu, co realnie się dzieje?

Następnie poszukaj procesów, które istnieją w praktyce, ale których w dokumentacji nie ma:

• grup na komunikatorach,
• arkuszy w chmurze,
• prywatnych telefonów nauczycieli używanych do kontaktu z rodzicami,
• zdjęć przechowywanych na prywatnych kontach.

Jeśli jakiś sposób przetwarzania danych funkcjonuje realnie, a nie znajduje odzwierciedlenia w rejestrze i procedurach – to właśnie luka między papierem a praktyką.

Przejdź się po placówce i obserwuj

Wiele o skuteczności procedur mówi zwykła obserwacja. Warto sprawdzić m.in.:

• czy dzienniki, arkusze ocen albo klasówki nie leżą na widoku w pokoju nauczycielskim lub na parapetach;
• czy ekran komputera w sekretariacie nie jest widoczny z korytarza, a stanowiska są blokowane po odejściu;
• czy dokumenty z danymi trafiają do niszczarki, a nie do zwykłego kosza;
• czy pomieszczenia i szafki z dokumentacją są zamykane, a klucze pod kontrolą;
• czy nauczycieli nie wynoszą dzienników i arkuszy poza placówkę, gdzie łatwo o ich utratę lub dostęp osób postronnych.

Obowiązek doboru odpowiednich środków technicznych i organizacyjnych wynika z art. 24 i art. 32 RODO – ale to, czy środki te realnie działają, widać dopiero na miejscu, a nie w treści polityki bezpieczeństwa.

Porozmawiaj z kadrą – testuj odruchy, nie znajomość przepisów

Skuteczność procedur najlepiej sprawdzić w rozmowie z pracownikami, przy czym nie chodzi o odpytywanie z artykułów RODO, lecz o praktyczne odruchy w typowych sytuacjach:

• Co robisz, gdy dzwoni osoba podająca się za babcię ucznia i prosi o informacje o dziecku? (czy pracownik weryfikuje tożsamość, zanim cokolwiek powie)
• Co robisz, gdy przypadkiem wyślesz wiadomość z danymi do niewłaściwego rodzica? (czy rozpoznaje w tym naruszenie ochrony danych i wie, komu je zgłosić)
• Komu i w jakim czasie zgłaszasz incydent?
• Kto może wyrazić zgodę na publikację zdjęcia ucznia – i czy może to zrobić dyrektor?

Jeśli kadra nie ma wyrobionych odruchów, procedura istnieje wyłącznie na papierze. Ta rozmowa jest jednocześnie testem skuteczności prowadzonych szkoleń.

Przeanalizuj incydenty i zdarzenia „o mały włos”

Sprawdź, czy placówka prowadzi wewnętrzny rejestr naruszeń – niezależnie od zgłoszeń kierowanych do Prezesa UODO – i czy odnotowuje w nim także drobne zdarzenia: zgubiony nośnik, wiadomość wysłaną do złego adresata, zaginiony dziennik. Następnie przejrzyj ostatnie przypadki:

• czy zareagowano w terminie (przy obowiązku zgłoszenia – bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin, art. 33 RODO),
• czy przy wysokim ryzyku zawiadomiono osoby, których dane dotyczą (art. 34 RODO),
• i czy wyciągnięto wnioski – na przykład zmieniono procedurę.

Uwaga na sygnał pozornie dobry: całkowity brak jakichkolwiek incydentów w placówce zwykle nie oznacza, że ich nie było, lecz że nie są wykrywane i rejestrowane. To samo w sobie jest słabością systemu.

Sprawdź umowy powierzenia i podmioty zewnętrzne

Zestaw listę realnie używanych narzędzi i usług, w których przetwarzane są dane (dziennik elektroniczny, firma IT, catering, fotograf, dostawcy platform) z listą zawartych umów powierzenia (art. 28 RODO). Częsty błąd polega na tym, że nowe narzędzie zostało wdrożone, a umowy brak – albo umowa jest, lecz dotyczy usługi, z której placówka już nie korzysta. Rozjazd między tymi dwiema listami to typowa luka.

Przećwicz realizację praw osób

Zweryfikuj, czy placówka wie, jak w praktyce obsłużyć żądanie dostępu do danych, ich sprostowania czy wycofania zgody – na przykład usunięcia opublikowanego zdjęcia. Kto się tym zajmuje, w jakim terminie, w jaki sposób? Warto przećwiczyć jedno takie żądanie „na sucho”: jeśli nikt nie potrafi go sprawnie zrealizować, procedura reagowania na wnioski istnieje tylko teoretycznie.

Wykorzystaj rolę inspektora ochrony danych i rób to cyklicznie

Zadaniem inspektora ochrony danych nie jest jednorazowe wdrożenie dokumentacji, lecz bieżące monitorowanie przestrzegania przepisów (art. 39 RODO). Warto, by IOD przeprowadzał okresowe sprawdzenia i raportował ich wyniki dyrektorowi. Weryfikacja skuteczności procedur to proces cykliczny – sytuacja, w której „raz sprawdziliśmy i jest w porządku”, nie odpowiada wymogom rozliczalności, bo placówka i sposób przetwarzania danych ciągle się zmieniają.

Dokumentacja, którą można dopasować do realiów placówki

Najczęstsza przyczyna rozdźwięku między papierem a praktyką jest prozaiczna: dokumentacja została kupiona „na sztywno” i nie przystaje do tego, jak konkretna placówka rzeczywiście funkcjonuje. W efekcie albo procedury są ignorowane, bo po prostu nie da się ich zastosować, albo praktyka rozjeżdża się z zapisami – a wtedy każda z opisanych wyżej weryfikacji wypada negatywnie.

Dlatego tak duże znaczenie ma edytowalna forma dokumentów. Możliwość samodzielnego dostosowania procedur do realnego obiegu danych w danej szkole – jej narzędzi, kanałów komunikacji, struktury i procesów – sprawia, że dokumentacja opisuje to, co naprawdę się dzieje. A tylko taka dokumentacja daje się jednocześnie stosować i wykazać. To właśnie w tej możliwości dopasowania tkwi ogromny atut edytowalnego pakietu: zamiast naginać praktykę do sztywnego wzorca, dostosowuje się dokumenty do rzeczywistości placówki.

Gotowa dokumentacja RODO dla szkół – wsparcie kancelarii

Przygotowany przez nas pakiet dokumentacji RODO dla placówek oświatowych ma właśnie taką, edytowalną formę – kluczowe dokumenty można samodzielnie dopasować do sposobu, w jaki działa konkretna jednostka, i na bieżąco aktualizować w miarę zmian.

Zamów pakiet dokumentacji RODO: https://sklep.kpgio.pl/sklep/

Jeśli potrzebują Państwo wsparcia przy dopasowaniu, uzupełnieniu lub sprawdzeniu, czy dokumentacja odpowiada rzeczywistemu funkcjonowaniu placówki – pomożemy przeprowadzić przez cały proces.

Skontaktuj się z Kancelarią

Podstawa prawna

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) – Dz.Urz. UE L 119 z 4.05.2016, s. 1, ze zm.; w szczególności art. 5 ust. 2, art. 24, art. 28, art. 30, art. 32, art. 33, art. 34 oraz art. 39.