Kiedy dokumentacja RODO w placówce oświatowej wymaga aktualizacji?

Wdrożenie dokumentacji RODO w placówce oświatowej to nie jednorazowe zadanie

Wdrożenie dokumentacji ochrony danych osobowych w szkole, przedszkolu czy innej placówce oświatowej bardzo często traktowane jest jako zadanie jednorazowe. To jeden z najczęstszych i zarazem najkosztowniejszych błędów, jakie popełniają dyrektorzy jednostek oświatowych.

RODO opiera się na zasadzie rozliczalności (art. 5 ust. 2 RODO). Oznacza ona, że administrator musi być w stanie wykazać, że przetwarza dane zgodnie z przepisami. W placówce oświatowej administratorem danych jest sama placówka: szkoła, przedszkole czy zespół szkół – a nie dyrektor. Dyrektor reprezentuje administratora i wykonuje w jego imieniu obowiązki wynikające z RODO. To rozróżnienie ma realne konsekwencje dla dokumentacji, do których wrócimy poniżej.

Dokumentacja, która nie odpowiada rzeczywistości, roli dowodowej nie spełnia. Co więcej: nieaktualne rejestry, polityki i klauzule potrafią zaszkodzić bardziej niż ich brak, bo tworzą fałszywe wrażenie zgodności i utrudniają obronę w razie kontroli Prezesa Urzędu Ochrony Danych Osobowych.

Dokumentacja RODO to „żywy” zbiór dokumentów, który musi nadążać za tym, co faktycznie dzieje się w placówce. Poniżej wskazujemy najważniejsze momenty, w których należy się nią zająć.

Kiedy należy zaktualizować dokumentację RODO w szkole lub przedszkolu?

1. Zmiana na stanowisku dyrektora placówki

   To sytuacja, o której zapomina się najczęściej, i jednocześnie taka, w której łatwo o nieporozumienie. Administratorem danych pozostaje placówka, więc sama zmiana dyrektora nie zmienia tożsamości administratora – w klauzulach informacyjnych nadal figuruje ta sama szkoła czy przedszkole. Zmienia się natomiast osoba, która administratora reprezentuje i która w jego imieniu wykonuje obowiązki wynikające z RODO: podpisuje polityki i procedury, wydaje upoważnienia, odpowiada za organizację ochrony danych i występuje w kontaktach z organem nadzorczym.

   Dlatego po zmianie na stanowisku dyrektora należy zweryfikować i zaktualizować przede wszystkim:

   • upoważnienia do przetwarzania danych wydane pracownikom (nowy dyrektor powinien je potwierdzić lub wydać na nowo),
   • podpisy pod politykami i procedurami wewnętrznymi,
   • wszelkie dokumenty, w których dyrektor wskazany jest z imienia i nazwiska.

   Warto również zweryfikować, czy prawidłowo wyznaczono Inspektora Ochrony Danych i czy aktualne są dane osoby kontaktowej w sprawach ochrony danych. Konieczne jest wreszcie formalne przekazanie nowemu dyrektorowi całej dokumentacji wraz z rejestrem czynności przetwarzania oraz ewidencją upoważnień.

2. Zmiana Inspektora Ochrony Danych (IOD)

   Dane IOD są jedną z informacji, które administrator ma obowiązek podać osobom, których dane dotyczą, oraz zgłosić do Prezesa UODO. Powołanie nowego inspektora, zmiana jego danych kontaktowych albo odwołanie dotychczasowego IOD wymagają aktualizacji:

   • klauzul informacyjnych (widnieją w nich dane kontaktowe do IOD),
   • zawiadomienia złożonego do Prezesa UODO (zgłoszenie/aktualizacja danych IOD w terminie ustawowym),
   • informacji publikowanej na stronie internetowej i w widocznym miejscu w placówce,
   • wewnętrznych procedur określających zadania i uprawnienia inspektora.

3. Wdrożenie monitoringu wizyjnego

   Uruchomienie monitoringu to jedno z najczęstszych działań generujących obowiązek aktualizacji dokumentacji – a zarazem obszar szczególnie kontrolowany. Monitoring w szkołach i placówkach oświatowych regulują odrębne przepisy prawa oświatowego, które nakładają dodatkowe wymogi wykraczające poza samo RODO.

   Wdrożenie monitoringu wymaga między innymi:

   • opracowania procedury (regulaminu) funkcjonowania monitoringu,
   • uzupełnienia rejestru czynności przetwarzania o nową czynność,
   • ustalenia i udokumentowania okresu przechowywania nagrań,
   • oznaczenia obszaru objętego monitoringiem,
   • przygotowania klauzuli informacyjnej dla osób wchodzących na teren placówki,
   • w przypadku szkół – dopełnienia obowiązków konsultacyjnych i uzgodnieniowych wynikających z Prawa oświatowego.

   Konieczna bywa też analiza ryzyka lub ocena skutków dla ochrony danych (DPIA), zwłaszcza gdy monitoring obejmuje szerokie obszary lub jest prowadzony na dużą skalę.

4. Wdrożenie nowych systemów informatycznych i platform

   Dziennik elektroniczny, platforma do nauczania zdalnego, system rekrutacyjny, oprogramowanie do obsługi stołówki, systemy do zarządzania biblioteką czy nowe konta pocztowe – każdy nowy system oznacza nowy proces przetwarzania danych, a często także nowego podmiotu przetwarzającego.

   W takim przypadku należy:

   • zawrzeć umowę powierzenia przetwarzania danych z dostawcą (o ile ten przetwarza dane w imieniu placówki),
   • uzupełnić rejestr czynności przetwarzania oraz rejestr umów powierzenia,
   • zweryfikować kwestię ewentualnego przekazywania danych poza Europejski Obszar Gospodarczy (np. gdy dostawca korzysta z serwerów lub usług chmurowych spoza EOG),
   • zaktualizować analizę ryzyka.

5. Nowa umowa powierzenia lub zmiana podmiotu przetwarzającego

   Placówki oświatowe powierzają dane wielu podmiotom: firmie księgowej, dostawcy oprogramowania, firmie obsługującej BHP, podmiotom medycyny szkolnej, organizatorom wycieczek, dostawcom cateringu. Rozpoczęcie współpracy z nowym podmiotem, zakończenie współpracy z dotychczasowym albo zmiana zakresu przetwarzania powinny być odzwierciedlone w dokumentacji.

   Aktualizacji wymagają wówczas:

   • rejestr umów powierzenia,
   • treść samych umów powierzenia (muszą spełniać wymogi art. 28 RODO),
   • niekiedy także klauzule informacyjne, jeśli zmienia się kategoria odbiorców danych.

6. Nowe procesy przetwarzania danych

   Placówki systematycznie podejmują nowe aktywności, które wiążą się z przetwarzaniem danych: prowadzenie profilu w mediach społecznościowych, publikowanie zdjęć uczniów na stronie internetowej, organizacja konkursów, prowadzenie zajęć dodatkowych, obsługa programów stypendialnych, uruchomienie zapisów online, ankiety wśród rodziców.

   Każdy nowy proces należy:

   • zidentyfikować i przypisać mu podstawę prawną przetwarzania,
   • ująć w rejestrze czynności przetwarzania,
   • opatrzyć właściwą klauzulą informacyjną,
   • w razie potrzeby – przygotować odpowiednie zgody (np. na publikację wizerunku ucznia).

7. Publikacja wizerunku uczniów i pracowników

   Zdjęcia z uroczystości szkolnych, filmy z akademii, galerie na stronie internetowej, relacje w mediach społecznościowych – to obszar, w którym łatwo o naruszenie. Rozpoczęcie tego typu działalności lub zmiana kanałów publikacji (np. wejście na nową platformę społecznościową) wymaga przygotowania lub aktualizacji wzorów zgód na przetwarzanie wizerunku, klauzul informacyjnych oraz wewnętrznej procedury określającej, kto i na jakich zasadach publikuje materiały.

8. Zmiana przepisów prawa

   Prawo ochrony danych i przepisy oświatowe podlegają zmianom. Nowelizacje ustaw, nowe rozporządzenia, wytyczne Prezesa UODO oraz orzecznictwo mogą wpłynąć na treść podstaw prawnych przetwarzania, okresy przechowywania danych czy zakres obowiązków informacyjnych. Placówka powinna reagować na zmiany przepisów, weryfikując, czy dotychczasowe dokumenty pozostają zgodne z aktualnym stanem prawnym.

9. Naruszenie ochrony danych osobowych

   Każde naruszenie (np. zgubienie nośnika z danymi, błędne wysłanie korespondencji, wyciek danych, atak na system informatyczny) powinno zostać odnotowane w wewnętrznym rejestrze naruszeń – niezależnie od tego, czy podlegało zgłoszeniu do Prezesa UODO. Incydent jest też sygnałem, że warto zweryfikować procedury reagowania i wdrożyć środki zaradcze, co również powinno znaleźć odzwierciedlenie w dokumentacji.

10. Zmiany organizacyjne w placówce

    Łączenie szkół w zespoły, przekształcenia placówek, zmiana siedziby, utworzenie nowych oddziałów, uruchomienie oddziału przedszkolnego, zmiana struktury organizacyjnej — wszystko to wpływa na sposób i zakres przetwarzania danych. Reorganizacja może oznaczać zmianę administratora, konieczność aktualizacji upoważnień, rejestrów oraz klauzul informacyjnych, a także ponownego przypisania odpowiedzialności za poszczególne procesy.

11. Zmiany kadrowe i w zakresie upoważnień

    Zatrudnienie nowych pracowników, zmiana zakresu obowiązków, powierzenie nowych zadań związanych z przetwarzaniem danych – każda z tych sytuacji wymaga wydania, zmiany lub cofnięcia upoważnień do przetwarzania danych oraz aktualizacji ewidencji osób upoważnionych. Warto również pamiętać o powtarzaniu szkoleń z zakresu ochrony danych dla kadry.

12. Praca zdalna i praca poza siedzibą placówki

    Umożliwienie pracownikom pracy zdalnej lub przetwarzania danych poza siedzibą placówki (np. w domu nauczyciela) wymaga wdrożenia zasad bezpiecznego przetwarzania danych w takich warunkach, a więc opracowania lub uzupełnienia odpowiednich procedur i polityk oraz aktualizacji analizy ryzyka.

13. Okresowy przegląd dokumentacji — nawet bez zmian

    Nawet jeśli w placówce pozornie „nic się nie zmieniło”, dokumentacja RODO powinna być poddawana okresowemu przeglądowi – przyjmuje się, że co najmniej raz w roku. Regularny audyt pozwala wychwycić rozbieżności między dokumentacją a rzeczywistością, zweryfikować aktualność podstaw prawnych i okresów retencji oraz zidentyfikować procesy, które umknęły wcześniejszej analizie. Cykliczny przegląd jest jednocześnie dowodem realizacji zasady rozliczalności.

Dlaczego kompletna i edytowalna dokumentacja ma tak duże znaczenie?

Dwie cechy przesądzają o tym, czy dokumentacja RODO faktycznie chroni placówkę, czy jest jedynie martwym zbiorem plików.

• Kompletność. Dokumentacja musi obejmować wszystkie realnie prowadzone procesy przetwarzania danych – od rejestru czynności przetwarzania, przez klauzule informacyjne, polityki i procedury, po umowy powierzenia i ewidencję upoważnień. Braki w tym obszarze to najczęstsza przyczyna problemów podczas kontroli. W razie postępowania przed Prezesem UODO to na administratorze spoczywa ciężar wykazania zgodności — a wykazać można tylko to, co zostało prawidłowo udokumentowane.
• Edytowalna forma. Jak pokazują powyższe przykłady, dokumentacja musi się zmieniać razem z placówką. Jeśli dyrektor dysponuje wyłącznie wydrukiem albo zamkniętym plikiem PDF, każda drobna zmiana nazwiska, daty, dostawcy systemu – staje się problemem. Dokumentacja w formie edytowalnej (np. w plikach tekstowych, które można samodzielnie modyfikować) pozwala reagować szybko, bez konieczności zamawiania wszystkiego od nowa. To realna oszczędność czasu i pieniędzy, a przede wszystkim gwarancja, że dokumenty nadążą za rzeczywistością.

Gotowa dokumentacja i wsparcie kancelarii

Aby ułatwić placówkom oświatowym prowadzenie kompletnej i aktualnej dokumentacji, przygotowaliśmy gotowy, edytowalny pakiet dokumentacji RODO dla placówek oświatowych. Zawiera on wszystkie kluczowe dokumenty w formie, którą można samodzielnie dostosować do sytuacji konkretnej jednostki i na bieżąco aktualizować.

Zamów pakiet dokumentacji RODO: https://sklep.kpgio.pl/sklep/

Jeśli potrzebują Państwo wsparcia przy uzupełnieniu, wdrożeniu lub aktualizacji dokumentacji — pomożemy przeprowadzić placówkę przez cały proces, tak aby dokumenty odpowiadały rzeczywistemu stanowi i spełniały wymogi RODO oraz przepisów oświatowych.

Skontaktuj się z Kancelarią