Rodzice oraz inspektorzy ochrony danych z sektora oświaty zwracają się do UODO z licznymi pytaniami nt. przetwarzania danych osobowych podczas trwającej obecnie rekrutacji do szkół i przedszkoli.
Rekrutacja
Przed rodzicami ważny moment, aby dokonać wyboru placówki oświatowej, a więc szkoły lub przedszkola, dla swoich dzieci. Przedszkolaków i uczniów przyjmuje się do szkół i przedszkoli po przeprowadzeniu rekrutacji.Na podstawie wniosku wypełnionego przez rodzica, o przyjęciu dziecka decyduje dyrektor placówki. Prawo oświatowe w art. 150 i 151 wskazuje treść wniosku i zgłoszenia o przyjęcie dziecka do przedszkola, szkoły i innych placówek oraz niezbędne załączniki. Dane te ─ wymienione w art. 150 ust. 1 ─ są przetwarzane w celu realizacji obowiązku prawnego, który ciąży na administratorze (rt. 6 ust. 1 lit. c RODO). W związku z tym administrator (szkoła /przedszkole/inna placówka oświatowa) nie musi pozyskiwać zgody rodziców dzieci na przetwarzanie danych zawartych w tych wnioskach.
Warto odnotować, że – zgodnie z przepisami oświatowymi ─ mówiąc o rodzicach, należy także rozumieć: prawnych opiekunów dziecka lub osoby, które sprawują pieczę zastępczą nad dzieckiem.
Polecamy: Tarcza antykryzysowa – Samorząd i administracja. Pakiet e-booków
Zakres danych osobowych jakie powinien zawierać wniosek
Powyższe przepisy prawa oświatowego wskazują zakres danych osobowych, które zawiera wniosek o przyjęcie do placówki oświatowej. Są to dane osobowe kandydata, m.in. jego: imię, nazwisko, data urodzenia, numer PESEL oraz adres miejsca zamieszkania. Przepisy wskazują również na przetwarzanie danych osobowych rodziców kandydata, jednakże różnicują zakres gromadzonych danych w zależności od tego, czy kandydat jest osobą pełnoletnią, czy też nie.
Do wniosku załącza się również dokumenty, które potwierdzają odpowiednio spełnianie przez kandydata określonych w ustawie kryteriów.
W sytuacji gdy np. liczba kandydatów okaże się większa niż ta przewidziana przez szkołę, przepisy zakładają konieczność dołączenia do wniosku dodatkowych dokumentów, np.: prawomocnego wyroku sądu rodzinnego orzekającego rozwód lub separację lub aktu zgonu, oświadczenia o samotnym wychowywaniu dziecka oraz niewychowywaniu żadnego dziecka wspólnie z jego rodzicem, czy też oświadczenia o dochodzie na osobę w rodzinie kandydata (jeżeli organ prowadzący określił kryterium dochodu na osobę w rodzinie kandydata).
Jako inny przykład złożenia dodatkowych dokumentów w procesie rekrutacji, można podać kandydatów ubiegających się o przyjęcie do publicznych szkół podstawowych o profilu sportowym. Muszą oni bowiem przedłożyć w szkole orzeczenie lekarskie wydane przez lekarza podstawowej opieki zdrowotnej, świadczące o ich stanie zdrowia umożliwiającym podjęcie nauki w tychże szkołach.
W tym miejscu warto zaznaczyć, że do UODO napływają w związku z prowadzonymi rekrutacjami pytania, sygnalizujące zbieranie przez szkoły danych, takich jak: numer PESEL, numer i seria dowodu osobistego rodziców kandydata. W tym wypadku zbieranie takich danych stanowi naruszenie nie tylko Prawa oświatowego, ale i zasad (m.in. legalizmu, proporcjonalności i minimalizacji), o których mowa w art. 5 RODO. Regulacje prawa oświatowego dotyczące treści wniosku o przyjęcie do przedszkola, szkoły (art. 150 i 151) nie wymieniają bowiem danych rodziców w postaci numeru PESEL, numeru i serii dowodu osobistego (w odróżnieniu od np. numeru PESEL kandydata), jako tych, które szkoła (przedszkole) może żądać w ramach rekrutacji.
Obowiązek informacyjny
W trakcie rekrutacji organ prowadzący przedszkole lub szkołę pozyskuje bardzo wiele danych dotyczących nie tylko samego dziecka, ale także jego rodziców. Dlatego tak ważne jest odpowiednie informowanie rodziców i uczniów o tym, co dalej będzie się działo z tymi danymi (np. kto jest ich administratorem, na jakiej podstawie są przetwarzane, w jakim celu i przez jaki okres).
Prawo oświatowe pozwala na przeprowadzanie postępowania rekrutacyjnego z wykorzystaniem systemów informatycznych. W takiej sytuacji możliwe jest sporządzenie formularza elektronicznego zawierającego odpowiednią klauzulę informacyjną, co powinno stanowić jego niezbędny element. Należy także pamiętać, że każda komunikacja prowadzona przez administratora z osobami, których dane dotyczą, musi spełniać odpowiednie wymagania. Wszelkie informacje podawane odbiorcom, w tym na podstawie art. 13 i 14 RODO, w szczególności muszą przybrać przejrzystą, zrozumiałą i łatwo dostępną formę, co oznacza, że powinny być napisane jasnym i prostym językiem, zwłaszcza, gdy są kierowane do dzieci.
Przechowywanie danych
Warto odnotować, że dane uzyskane podczas postępowania rekrutacyjnego są przechowywane nie dłużej niż do końca okresu, w którym uczeń korzysta z wychowania przedszkolnego w danym przedszkolu albo uczęszcza do danej szkoły. Natomiast dane osobowe kandydatów nieprzyjętych są przechowywane przez rok, chyba że na rozstrzygnięcie dyrektora przedszkola, szkoły lub placówki została wniesiona skarga do sądu administracyjnego i postępowanie nie zostało zakończone prawomocnym wyrokiem.
Publikacja list uczniów przyjętych do szkoły
Wyniki rekrutacji podaje się do publicznej wiadomości, podając imię i nazwisko kandydata oraz adnotację, czy został przyjęty czy nieprzyjęty do danej placówki.
Listy takie są umieszczane w widocznym miejscu, w siedzibie danego publicznego przedszkola, szkoły, czy innej placówki. Powinny one zawierać imiona i nazwiska kandydatów uszeregowane w kolejności alfabetycznej oraz najniższą liczbę punktów, która uprawnia do przyjęcia.
Dotychczas dyrektorzy placówek nie udostępniali list obejmujących wspomniane dane osobowe, np. na stronach internetowych lub na portalach społecznościowych, w tym na fanpage’ach szkoły.
W związku z obecną sytuacją epidemiczną – zgodnie z nowymi przepisami wydanymi na podstawie specustawy ws. koronawirusa ─ wyniki postępowania rekrutacyjnego w formie list kandydatów, o których mowa w art. 158 ust. 1 i 3 Prawa oświatowego, podaje się do publicznej wiadomości także na stronach internetowych tych jednostek. W ocenie UODO nie jest natomiast dopuszczalne publikowanie tych list na portalach społecznościowych czy fanpage’ach placówek oświatowych.
Administrator przed udostępnianiem danych powinien dokonać analizy ryzyka, jakie wiąże się z publikacją list w Internecie. Ważna jest zasada minimalizacji danych czy ograniczenia przechowywania. Zatem należy przetwarzać te dane, które są ograniczone oraz przez okres nie dłuższy niż jest to niezbędne do celów, w których dane są przetwarzane. UODO jednak zaleca, aby dyrektorzy korzystali z form komunikacji elektronicznej i indywidualnie informowali kandydata i jego rodziców o wynikach przeprowadzonej rekrutacji.
Jednocześnie w ocenie UODO, po zakończeniu czasowego ograniczenia funkcjonowania jednostek systemu oświaty, należałby usunąć listy przyjętych kandydatów ze strony internetowej i zamieścić je na tablicy ogłoszeń w placówce.