Pytanie:

Jestem pedagogiem szkolnym, pracuję w dwóch różnych instytucjach. Mam pytanie odnośnie procedur obiegu dokumentacji szkolnej, a dokładniej opinii oraz orzeczeń z poradni psychologiczno-pedagogicznych. W jednaj szkole kopie opinii oraz orzeczeń gromadzi pedagog, w drugiej orzeczenia są trzymane w sejfie (tylko do wglądu). W jednaj szkole mogę kserować opinię (bez danych osobowych), w drugiej tylko zalecenia (bo diagnoza to już dane wrażliwe). Wiem, że w innych szkołach wychowawcy dysponują swoimi kopiami kompletnych opinii oraz orzeczeń - to bardzo ułatwia pracę. Zastanawiam się, czy jest jakaś podstawa prawna regulująca te kwestie. Które rozwiązanie jest poprawne, jak to w zasadzie powinno wyglądać krok po kroku?

Odpowiedź:

To kwestia zasad przyjętych w danej placówce w związku z RODO. Placówka powinna chronić dane osobowe wrażliwe bo te są w opiniach i orzeczeniach poradni i zapewnić dostęp do tych informacji osobo upoważnionym (nauczycielom pracujących z dzieckiem, szczególnie specjalistom jak pedagog szkolny). Kwestia organizacyjna obiegu takich dokumentów, czy dostępu do nich regulowana jest na poziomie każdej szkoły. Niewątpliwie nauczyciel pedagog powinien mieć dostęp do opinii i orzeczeń dotyczących ucznia. Warto w tym kontekście skorzystać z pomocy Inspektora Ochrony Danych Osobowych, który powinien być w każdej szkole publicznej, i zgłosić postulat modyfikacji procedur, czy oceny ich poprawności w kontekście dostępu do orzeczeń i opinii poradni.

Uzasadnienie:

Przedszkole, szkoła czy placówka nie mają obowiązku uzyskiwania zgody rodziców (lub pełnoletnich uczniów) na przetwarzanie danych osobowych w związku z udzielaniem pomocy psychologiczno-pedagogicznej, gdyż działania szkoły są niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Osoby udzielające takiej pomocy powinny działać na podstawie upoważnienia nadanego przez administratora danych osobowych – dyrektora szkoły.

Konieczne jest, by nauczyciele i specjaliści znali szkolne procedury bezpieczeństwa związane z ochroną danych osobowych, a stosowane i dostępne środki ochrony umożliwiały rzeczywiste zabezpieczenie informacji (np.: zamykane szafy, komputery chronione indywidualnym hasłem, ewidencja osób mających dostęp do dokumentacji ucznia, kontrola dostępu do pomieszczeń). Jednym z ważnych mechanizmów bezpieczeństwa w tym zakresie jest również obowiązek zachowania w tajemnicy danych osobowych oraz sposobów ich zabezpieczenia.

Administrator danych osobowych (dyrektor szkoły) ma obowiązek stosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych, odpowiednio do zagrożeń oraz kategorii danych objętych ochroną. Dane osobowe powinny być zabezpieczone przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem przepisów oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.

Stosowane środki zabezpieczeń oraz sposób przetwarzania danych powinny zostać opisane w polityce bezpieczeństwa przetwarzania danych osobowych lub w innym dokumencie, do opracowania i przestrzegania której obowiązany jest dyrektor. Takich regulacji wymaga także sposób postępowania z dokumentacją badań i czynności uzupełniających gromadzonych w indywidualnych teczkach uczniów czy dziennikami prowadzonymi przez specjalistów (np. określenie warunków dostępu do tej dokumentacji w szkole, kwestia wynoszenia dzienników do domu).

Podstawa prawna:

• 6, art. 9, art. 24 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119/1).