Zakres danych osobowych potrzebnych do zawarcia umowy z przedszkolem

• Rafał Stępniewski
• /
• 14 września 2020

Podstawą legalizującą przetwarzanie danych osobowych dzieci oraz ich rodziców w przedszkolach państwowych i prywatnych jest przesłanka określona w art. 6 ust. 1 lit. c RODO, czyli wypełnienie obowiązku prawnego ciążącego na administratorze. 

Urząd Ochrony Danych Osobowych przypomina, że przedszkola mają prawo pozyskiwać tylko dane niezbędne do zawarcia umowy o świadczenie usług: imię i nazwisko rodziców/opiekunów prawnych dziecka, adres ich zamieszkania, kontakt telefoniczny i mejlowy. Zbieranie dodatkowego zakresu danych, jak np. PESEL, informacje o miejscu zatrudnienia rodziców czy stanie zdrowie dziecka stanowią — co do zasady — naruszenie art. 5 RODO dotyczącego zasad przetwarzania danych osobowych (legalizmu, minimalizacji, ograniczenia celu).

Przesłanki pozwalające zbierać dodatkowe dane osobowe

I choć wydaje się logiczne, że przedszkole nie powinno przetwarzać danych rodziców związanych z ich życiem zawodowym, np. miejsce pracy czy stanowisko służbowe, jednak często placówki oświatowe zbierają takie informacje. Przetwarzanie takich danych nie będzie naruszać przepisów RODO, jeśli zostanie spełniona co najmniej jedna z przesłanek określonych art. 6 ust. 1 RODO. Będzie to możliwe m.in. jeśli osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych lub przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą.

Przedszkola gromadząc dane na temat miejsca pracy rodziców powołują się również na rozporządzenie Ministra Edukacji Narodowej i Sportu z 31 grudnia 2002 roku w sprawie bezpieczeństwa i higieny w publicznych i niepublicznych szkołach i placówkach. Zgodnie z §  41 ust. 1 rozporządzenia, przedszkole ma obowiązek powiadomić niezwłocznie rodziców o wypadku ich dziecka. Jeśli dojdzie do takiej sytuacji, a nie ma możliwości bezpośredniego kontaktu telefonicznego z rodzicami, informacja na temat miejsca jego pracy może okazać się niezwykle przydatna.

Umowa z przedszkolem — przetwarzanie szczególnej kategorii danych osobowych

Zgodnie z art. 9 ust. 1 RODO zabrania się przetwarzania szczególnej kategorii danych osobowych. Należą do nich m.in. dane ujawniające pochodzenie rasowe lub etniczne, a także dane dotyczących zdrowia. Informacje o przebytych chorobach, hospitalizacji, stanie psychicznym są — do do zasady zabronione. Takie dane nie są warunkiem koniecznym przy rekrutacji do przedszkola i nie są związane z realizacją obowiązku wychowania i sprawowania opieki nad dzieckiem.

Rodzice w trosce o zdrowie swoich dzieci udostępniają placówkom oświatowym dane na temat stanu ich zdrowia. Niezwykle ważne jest przecież, aby opiekunowie wiedzieli, że dziecko jest alergikiem, ma orzeczenie o potrzebie kształcenia specjalnego albo ma zdiagnozowane zaburzenia lękowe. 

RODO dopuszcza przetwarzanie szczególnej kategorii danych osobowych, jeśli będzie spełniona jedna z przesłanek wymienionych w art. 9 ust. 2 RODO, np. osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach lub przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej. Zgoda rodzica na przetwarzanie takich danych musi być świadoma, dobrowolna i możliwa do wycofania w każdym momencie.

Wyciekły w Twojej firmie dane osobowe

możemy Ci pomóc w analizie i zgłoszeniu do UODO

Sprawdź szczegóły

Umowa z przedszkolem — dane osobowe dziadka lub cioci

Rodzice często podają również w umowach dane osobowe innych członków rodziny — dziadków, innych krewnych lub przyjaciół, którzy mogą odebrać dziecko z przedszkola podczas ich nieobecności. Zwykle jest to numer dowodu osobistego, telefon kontaktowy, rzadziej adres zamieszkania. Podanie takich danych wymaga oczywiście zgody osób, których dane dotyczą. W celu identyfikacji takiej osoby w momencie odbioru dziecka, pracownik placówki może poprosić o okazanie dowodu osobistego.

Zasady dotyczące przetwarzania danych osobowych

Zgodnie z art. 5 RODO, dane osobowe muszą być:

a)     przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą — zgodność z prawem, rzetelność i przejrzystość,

b)     zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami;  dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami — ograniczenie celu,

c)      adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane — minimalizacja danych,

d)     prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane — prawidłowość,

e)     przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą — ograniczenie przechowywania,

f)      przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych — integralność i poufność.

CZYTAJ TEŻRODO w przedszkolu

Obowiązki administratora danych w przedszkolu

Podczas rekrutacji w przedszkolu gromadzone są dane osobowe dzieci oraz ich rodziców/opiekunów prawnych. Realizacja obowiązku informacyjnego, określonego w art. 13 i 14 RODO, spoczywa na przedszkolu i jest jednym z podstawowych obowiązków spoczywających na administratorze. Może być spełniony poprzez umieszczenie klauzuli informacyjnej w papierowym formularzu dostępnym w miejscu, gdzie osoby, których dane dotyczą podają swoje dane lub umieszczenie klauzuli informacyjnej w formularzu elektronicznym.

Niezwykle istotne jest informowanie rodziców, kto jest ich administratorem danych osobowych i na jakiej podstawie będą przetwarzane ich dane. W klauzuli informacyjnej powinny znaleźć się następujące informacje: 

• kto jest administratorem danych osobowych rodziców i dziecka, 

• kontakt do inspektora danych osobowych (zgodnie z art. 37 ust. 1a RODO, inspektor obowiązkowo powinien zostać powołany w podmiotach publicznych, w przedszkolach prywatnych nie jest to obowiązkowe), 

• cele przetwarzania danych osobowych, 

• czas przetwarzania danych, 

• prawa przysługujące osobom, których dane dotyczą, 

• informacja na temat udostępniania danych podmiotom trzecim współpracującym z przedszkolem.

Obowiązkiem administratora jest przeanalizowanie, czy zakres danych osobowych, które przedszkole będzie pozyskiwać w trakcie rekrutacji jest związany z realizacją interesu, który uzasadnia przetwarzanie konkretnych danych i czy nie będzie naruszać praw osób, których dane dotyczą. 

Jak chronić dane dzieci przed nieuprawnionym przetwarzaniem przez szkołę? Anna Stępniewska

Dziękujemy, że przeczytałaś/eś nasz artykuł do końca. Jeśli chcesz być na bieżąco z informacjami za zakresu bezpieczeństwa, zapraszamy do naszego serwisu ponownie!
Jeżeli podobał Ci się artykuł podziel się z innymi udostępniając go w mediach społecznościowych.