Z uwagi na wejście w życie w dniu 25 maja 2018 r. ogólnego rozporządzenia o ochronie danych osobowych tj. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE nowy rok szkolny obfitować będzie w szereg zmian związanych z tematyką przetwarzania danych osobowych w szkole. Pośród nich najważniejszą jest obowiązek doręczenia rodzicom nowych zgód na przetwarzanie danych osobowych uczniów przez szkołę.
Z uwagi m.in. na głośno dyskutowaną zasadę minimalizmu danych osobowych polegającą na tym, że dopuszczalne jest jedynie przetwarzanie danych osobowych niezbędnych do osiągnięcia celu przetwarzania formularze zgód pod kątem swojej treści merytorycznej charakteryzować się będą cechami:
a) dobrowolności polegającej na tym, że osoba, której dane dotyczą, ma możliwość dokonania rzeczywistego wyboru, nie może istnieć ryzyko, że osoba ta zostanie wprowadzona w błąd, czy zastraszona konsekwencjami braku wyrażenia zgody na przetwarzanie danych osobowych.
b) konkretności polegającej, na tym, że aby zgoda była ważna, musi być konkretna. Innymi słowy, szkoła musi podać wyraźny i sprecyzowany cel przetwarzania pobieranych danych osobowych.
c) świadomości polegającej na tym, że zgoda na przetwarzanie danych osobowych musi odnosić się do konkretnego stanu faktycznego i obejmować wybrane dane oraz podawać cel ich przetwarzania.
d) jednoznaczności polegającej na tym, że wszystkie aspekty i elementy oświadczenia muszą być jasne dla podpisującego zgodę.
Ważne jest także, aby rodzice zostali poinformowani w postaci klauzul informacyjnych:
1) o tożsamości administratora danych i o jego danych kontaktowych,
2) jeżeli administrator danych powołał Inspektora Ochrony Danych (IOD) – o danych kontaktowych IOD,
3) o celach i podstawie przetwarzania danych, a jeżeli przetwarzanie odbywa się na tej podstawie, że jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią – o tych prawnie uzasadnionych interesach,
4) o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją,
5) gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego,
6) o okresie czasu, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu,
7) o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych,
8) jeżeli przetwarzanie odbywa się na podstawie zgody – o prawie do cofnięcia zgody w dowolnym momencie,
9) o prawie wniesienia skargi do organu nadzorczego, o tym, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych,
10) jeżeli dochodzi do tzw. zautomatyzowanego podejmowania decyzji lub profilowania – należy poinformować o tym fakcie oraz podać istotne informacje o zasadach automatycznego podejmowania decyzji, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.
W związku z powyższym należy także sprecyzować miejsce i sposób przechowywania nowo pobranych zgód na przetwarzanie danych osobowych, tak by od nowego roku szkolnego było to spójne z dokumentacją wprowadzoną w szkole związaną z wdrożeniem RODO.
