Realizowanie obowiązku informacyjnego względem uczniów pełnoletnich

Jak spełnić obowiązek informacyjny wobec uczniów pełnoletnich i ich rodziców (dane rodzica są np. wpisywane do dziennika lekcyjnego, księgi uczniów. Czy trzeba stworzyć dwie klauzule, w przypadku rodziców z art. 14 RODO?

Odpowiedź:

Druga klauzula informacyjna jest potrzebna, jeżeli dane rodziców nie zostały uzyskane bezpośrednio od nich.

Uzasadnienie:

Obowiązek informacyjny jest realizowany zgodnie z art. 13 RODO w stosunku do osób, których dane dotyczą. Zgodnie z kolei z art. 14 RODO jest on realizowany jeżeli danych osobowych nie pozyskano od osoby, której dane dotyczą, a administrator podaje osobie, której dane dotyczą, następujące informacje:

• swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;
• gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;
• cele przetwarzania, do których mają posłużyć dane osobowe, oraz podstawę prawną przetwarzania;
• kategorie odnośnych danych osobowych;
• informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
• gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej;
• okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
• jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;
• informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
• jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
• informacje o prawie wniesienia skargi do organu nadzorczego;
• źródło pochodzenia danych osobowych, a gdy ma to zastosowanie – czy pochodzą one ze źródeł publicznie dostępnych;
• informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu.

Jeżeli zatem dane osobowe rodziców nie zostały pozyskane bezpośrednio od nich, lecz od pełnoletnich uczniów, wówczas obowiązek informacyjny z art. 14 RODO powinien zostać zrealizowany

Zapamiętaj:

Obowiązek informacyjny w przypadku, gdy danych osobowych nie pozyskano od osoby, której dane dotyczą, powinien zostać zrealizowany:

1. a) w rozsądnym terminie po pozyskaniu danych osobowych – najpóźniej w ciągu miesiąca – mając na uwadze konkretne okoliczności przetwarzania danych osobowych;
2. b) jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą – najpóźniej przy pierwszej takiej komunikacji z osobą, której dane dotyczą; lub
3. c) jeżeli planuje się ujawnić dane osobowe innemu odbiorcy – najpóźniej przy ich pierwszym ujawnieniu.

Podstawa prawna:

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U. UE.L.  z 2016 r. Nr 119, poz. 1)

Michał Łyszczarz
Ekspert prawa oświatowego i samorządu terytorialnego. Współautor komentarzy do Ustawy o systemie oświaty oraz szeregu publikacji z zakresu prawa oświatowego
https://www.portaloswiatowy.pl/