Do napisania tego artykułu zainspirowało mnie kilka publikacji w ostatnim czasie. Zanim przejdę do merytoryki, dwa zdania o artykule, czyli krótka instrukcja:

  • Nie jestem ekspertem w dziedzinie edukacji i ochrony danych
  • RODO nie jest schematyczne. Nie da się stosować dokładnie tych samych zasad w przypadku podobnych instytucji. Wystarczy jedna, drobna zmiana i już całość systemu, zakres analiz, dokumentacji, będą zdecydowanie inne. 

Na #RODOmaniakach od samego początku staramy się pokazać jak ROZUMIEĆ RODO. A więc jak przeprowadzić wnioskowanie w konkretnych przypadkach. W przeciwnym razie organizator ochrony danych nie będzie umiał wytłumaczyć, dlaczego przyjęto konkretne rozwiązania. I nie wytłumaczy tego ani administratorowi, ani pracownikom, ani inspektorowi urzędu nadzorczego. A tego ostatniego nie satysfakcjonuje tłumaczenie “wszyscy tak robią”. 

Proces rozważania przetwarzania danych osobowych

W ramach tego procesu uzyskujemy odpowiedź, czy wolno nam konkretne dane osobowe przetwarzać. Przebieg procesu (od razu wypełnimy). 

Cel przetwarzania danych w procesie

O tym, czym się różni proces przetwarzania danych osobowych od procesu głównego (biznesowego, ustawowego), w którym przetwarzane są dane osobowe przeczytasz tutaj: https://rodomaniacy.pl/rodowarsztat/proces/ 

Celem przetwarzania danych osobowych w postaci wizerunku jest potwierdzenie obecności na zajęciach. 

Pojawiają nam się tutaj dwa cele:

  • Nadzór nad realizacją obowiązku szkolnego osób w określonym wieku,
  • Potwierdzenie realizacji zajęć.

Zakres przetwarzanych danych (za pomocą kamery i mikrofonu)

  • Wizerunek
  • Głos

I coś jeszcze… Dziś pominę ten aspekt, ale za pomocą kamery w laptopie “wchodzimy” do czyjegoś domu. Pod rozwagę. 

Cel, a przesłanka

Do tego aby przetwarzać dane osobowe musi być co najmniej jedna przesłanka z art 6 RODO. W przypadku każdej instytucji publicznej w Polsce na tym etapie zawsze zadajemy pytania:

  • Czy zakres działania, który chcemy objąć dodatkowymi formami oraz metodami przetwarzania danych osobowych ujęty jest w ustawie jako realizujący cel instytucji?

Jeśli tak – to mamy już obawy, że to przetwarzanie będzie w interesie publicznym. Dlatego pytamy wprost:

  • Czy działanie instytucji, określone w punkcie wyżej realizuje cel publiczny lub czy jest związane z wykonywaniem władzy?

Szkoła, a zadania publiczne

Jak napisałem na wstępie, nie zajmujemy się oświatą, także całe poniższe rozważanie mam nadzieję, że zostanie uzupełnione przez ekspertów (merytorycznie). Proces wdrożeń, audytów prowadzimy z udziałem osób merytorycznych z organizacji, bo to ich system nie nasz. W związku z tym ten artykuł właśnie się zakończył (prawie), bo odpowiedzi muszą udzielić administratorzy danych i ich IOD-dzi.  

Jeśli jednak okaże się, że szkoła jest instytucją realizującą zadania w interesie publicznym, a wiele wskazuje na to że tak, bo przecież edukacja to zadanie publiczne z Ustaw o samorządach. Wskazuje też na to wiele monografii jak i informacji o przetwarzaniu danych osobowych przez szkoły. Zastosowanie więć będzie miał art 6.3 RODO. 

Podsumowanie

Niniejszy artykuł ma za zadanie zdradzić nieco warsztatu jak pracujemy. Doskonale zdaję sobie sprawę z tego, że klienci często oczekują wykonania za nich pracy od początku do końca z podejmowaniem decyzji, ale przecież:

  • To nie my podejmujemy ryzyko, więc nie my określamy poziom jego akceptacji (np. poprzez akceptację wyników szacowania i oceny ryzyka dla osób fizycznych, których dane dotyczą), 
  • To nie my akceptujemy ramy systemu (poprzez akceptację deklaratywnej Polityki Bezpieczeństwa Danych Osobowych),
  • To nie my akceptujemy organizację i przypisanie nowych zadań komórkom organizacyjnym,
  • To nie my dokonujemy zakupów zabezpieczenia technicznego (szaf, sejfów, aplikacji). 

Mogę wymienić jeszcze wiele elementów z których składa się system ochrony danych osobowych. Warto jednak rozróżnić zakres pracy “bezpieczników” od zakresu pracy decydentów systemu. Mimo tego, że wszelkie procesy bezpieczeństwa są kwalifikowane do procesów pomocniczych, jednak trzeba na nie znaleźć nieco czasu.