Czego nie może nauczyciel z RODO w codziennej pracy

Nauczyciel w szkole nie jest administratorem danych, dlatego w codziennej pracy nie może sam decydować o celach ani sposobach przetwarzania danych, nie może udostępniać danych uczniów podmiotom zewnętrznym, nie może przetwarzać danych osobowych na publicznych portalach, nie ma prawa wyrażać zgody w imieniu uczniów, nie wolno mu ujawniać danych wrażliwych ani wyników oceniania oraz nie powinien używać nieoficjalnych kanałów komunikacji i niechronionych prywatnych urządzeń do obsługi dokumentacji szkolnej [1][2][3][4][5].

Co nauczyciel NIE może robić z danymi osobowymi uczniów i rodziców?

Nauczyciel nie może przetwarzać danych osobowych poza zakresem obowiązków służbowych, ponieważ administratorem jest szkoła, a nie indywidualny nauczyciel [1][2]. W konsekwencji nie może on samodzielnie określać celu, zakresu ani sposobu przetwarzania [2].

Na ogólnie dostępnych stronach i portalach nauczyciel może publikować tylko materiały edukacyjne, nie wolno mu umieszczać tam danych uczniów ani rodziców [1][3].

Nie powinien udostępniać danych z dziennika lekcyjnego ani z dokumentów szkoły podmiotom zewnętrznym oraz nie ma prawa wyrażać skutecznej zgody na przetwarzanie danych w imieniu uczniów [4].

W komunikacji szkolnej nie wolno ujawniać danych wrażliwych. UODO wyraźnie wskazuje, że w klasie nie należy ujawniać takich informacji ani wyczytywać ocen na głos [5].

Kto jest administratorem danych i jak działa odpowiedzialność w szkole?

Administratorem danych w rozumieniu RODO jest szkoła reprezentowana przez dyrektora, a nauczyciel działa w jej strukturze i na podstawie stosownego upoważnienia [1][2]. Odpowiedzialność za zgodność przetwarzania z RODO ma charakter scentralizowany i spoczywa na administratorze, natomiast nauczyciel wykonuje czynności przetwarzania zgodnie z poleceniami służbowymi [2][6].

Dostęp do danych jest dystrybuowany zgodnie z rolami i zakresem obowiązków, co oznacza, że nie każdy pracownik szkoły może widzieć wszystkie dane [7][4]. Zasada ta jest konsekwentnie podkreślana w poradnikach i materiałach szkoleniowych dla oświaty [8].

Dlaczego zgoda nie jest podstawą w codziennej pracy nauczyciela?

Podstawą przetwarzania danych uczniów przez szkołę jest realizacja zadań edukacyjnych, wychowawczych i opiekuńczych. W tych obszarach przetwarzanie nie opiera się na zgodzie, jeśli istnieje inna przesłanka prawna wynikająca z przepisów prawa oświatowego oraz RODO [9][10].

Zgoda rodzica lub pełnoletniego ucznia jest wymagana tylko wtedy, gdy brak jest innej podstawy prawnej [9]. Jednocześnie nauczyciel nie może wyrażać zgody w imieniu uczniów ani kreować dodatkowych podstaw przetwarzania poza tymi, które określił administrator [4].

Gdzie nauczyciel może publikować materiały i jakich danych nie wolno tam umieszczać?

Na publicznych portalach i stronach internetowych nauczyciel może publikować treści o charakterze edukacyjnym, natomiast nie może tam przetwarzać ani ujawniać danych osobowych uczniów lub rodziców [1][3]. Zasada ta chroni przed nieuprawnionym rozpowszechnianiem danych w otwartej przestrzeni cyfrowej [1][3].

W kontaktach z rodzicami należy korzystać z oficjalnych, zapewnionych przez szkołę kanałów komunikacji, a nie z prywatnych i nieformalnych przestrzeni publicznych [5].

Jak ograniczać zakres przetwarzania danych w praktyce?

W szkole obowiązuje zasada minimalizacji danych. Nauczyciel ma gromadzić i używać wyłącznie te informacje, które są niezbędne do konkretnego zadania, i tylko w celu realizacji obowiązków służbowych [9].

Prawidłowa realizacja minimalizacji oznacza akceptowanie wyłącznie niezbędnego zakresu danych, kontrolowanie przepływu informacji w obrębie wyznaczonych ról i stosowanie zasad poufności [1][9]. W zdalnym nauczaniu szkoła może wymagać od ucznia wyłącznie danych potrzebnych do założenia konta i realizacji nauki, bez nadmiarowych żądań [10].

Jak chronić dokumenty i systemy w codziennej pracy i przy zdalnym nauczaniu?

Dokumentacja i dane uczniów muszą być zabezpieczone przed dostępem osób nieuprawnionych oraz przetwarzane na zasadach określonych przez administratora. Dotyczy to zarówno pracy stacjonarnej, jak i zdalnej, w tym zakazu wykorzystywania niechronionych prywatnych urządzeń do przechowywania danych szkolnych [2][10].

W praktyce priorytetem jest bezpieczne przechowywanie dokumentów, niedopuszczanie do ich wglądu osób postronnych, kontrolowanie uprawnień do dzienników i systemów oraz korzystanie wyłącznie z kanałów komunikacji wskazanych przez szkołę [1][5][6]. Te same zasady podkreślają sektorowe wytyczne UODO i materiały wdrożeniowe dla oświaty [8].

Czego nie wolno ujawniać w komunikacji szkolnej?

W komunikacji szkolnej nie wolno ujawniać danych wrażliwych, w tym informacji dotyczących zdrowia, sytuacji rodzinnej czy treści dokumentacji psychologiczno-pedagogicznej, bez odpowiedniej podstawy prawnej i kontroli dostępu [4].

UODO jednoznacznie przypomina, że nie należy publicznie ujawniać danych uczniów ani wyników oceniania [5]. Ograniczenia te wiążą nauczyciela we wszystkich kanałach komunikacji oraz w dokumentacji papierowej i elektronicznej [7][5].

Na czym polega dostęp do danych według ról i czy każdy pracownik szkoły może widzieć wszystko?

Dostęp jest przyznawany zgodnie z zasadą niezbędności, więc pracownicy widzą tylko te dane, które są konieczne do wykonania ich obowiązków. Nauczyciel nie powinien mieć dostępu do informacji wykraczających poza jego zadania dydaktyczne, wychowawcze i opiekuńcze [7][4].

Taki model ogranicza ryzyko nieuprawnionego dostępu i wzmacnia odpowiedzialność administratora, co podkreślają zarówno UODO, jak i materiały szkoleniowe dla placówek oświatowych [2][8][6].

Podsumowanie zasad, których nauczyciel musi przestrzegać na co dzień

• Nauczyciel nie jest administratorem danych i działa wyłącznie w ramach upoważnień oraz poleceń administratora, którym jest szkoła reprezentowana przez dyrektora [1][2].
• Nie może samodzielnie decydować o celach i sposobach przetwarzania ani rozszerzać zakresu danych poza niezbędny do realizacji zadań [2][9].
• Nie wolno mu publikować danych uczniów lub rodziców na publicznych portalach, nawet gdy publikuje materiały edukacyjne [1][3].
• Nie powinien udostępniać danych z dziennika ani dokumentacji szkoły podmiotom zewnętrznym i nie ma prawa wyrażać zgody w imieniu uczniów [4].
• Nie wolno ujawniać danych wrażliwych w komunikacji szkolnej, w tym publicznie prezentować wyników oceniania [4][5].
• Powinien stosować zasadę minimalizacji danych i korzystać wyłącznie z oficjalnych kanałów komunikacji wskazanych przez szkołę [5][9].
• Musi chronić dokumenty i systemy, także w pracy zdalnej, oraz nie używać niechronionych prywatnych urządzeń do przetwarzania danych szkolnych [2][10][6].
• Dostęp do danych ma charakter ograniczony i jest przyznawany według ról, więc nie każdy pracownik widzi wszystko [7][4].
• Opisane zasady są konsekwentnie potwierdzane w poradnikach i wytycznych dla oświaty opracowanych przez UODO i MEN [8].