Każda szkoła publiczna wyznacza inspektora ochrony danych. Inspektor może pracować na podstawie umowy o świadczenie usług (art. 37 ust. 6 RODO). Pełnimy tę funkcję dla szkół i jednostek samorządu w województwie pomorskim.
Zadania inspektora
- Informowanie dyrektora i pracowników o obowiązkach wynikających z przepisów o ochronie danych i doradzanie w tym zakresie.
- Monitorowanie przestrzegania przepisów i wewnętrznych zasad szkoły, w tym szkolenia pracowników.
- Współpraca z Prezesem UODO i pełnienie funkcji punktu kontaktowego.
- Kontakt z osobami, których dane dotyczą, w sprawach związanych z przetwarzaniem ich danych.
W czym pomagamy szkole
- Rejestr czynności przetwarzania, klauzule informacyjne, upoważnienia do przetwarzania danych.
- Umowy powierzenia przetwarzania z dostawcami usług, np. dziennika elektronicznego lub platform edukacyjnych.
- Publikacja danych na stronie internetowej i w Biuletynie Informacji Publicznej.
- Zgody na wykorzystanie wizerunku uczniów.
- Obsługa naruszeń ochrony danych i kontakt z UODO.
- Monitoring wizyjny. Zasady monitoringu w szkole.
- Procedura zgłoszeń wewnętrznych dla sygnalistów.
RODO a ustawa o krajowym systemie cyberbezpieczeństwa
Art. 32 RODO wymaga zabezpieczeń odpowiednich do ryzyka dla danych osobowych. Ministerstwo Cyfryzacji przypomina o tym przepisie, wyjaśniając, że szkoły stosujące załącznik nr 4 do ustawy o KSC nie mają formalnego obowiązku szacowania ryzyka. Wiele zabezpieczeń jest wspólnych, np. kopie zapasowe, uprawnienia, szkolenia i obsługa incydentów, dlatego oba obszary prowadzimy razem.
Standardy ochrony małoletnich
Standardy ochrony małoletnich obejmują m.in. zasady korzystania z urządzeń elektronicznych z dostępem do sieci Internet oraz procedury ochrony dzieci przed treściami szkodliwymi. Pomagamy, aby zapisy standardów zgadzały się z ustawieniami sprzętu i sieci w szkole.
Pytania, które dostajemy najczęściej
Czy szkoła musi wyznaczyć inspektora ochrony danych?
Tak. Szkoła publiczna jako podmiot publiczny wyznacza inspektora ochrony danych (art. 37 ust. 1 lit. a RODO). Inspektor może być pracownikiem szkoły albo wykonywać zadania na podstawie umowy o świadczenie usług (art. 37 ust. 6). Kilka podmiotów publicznych może wyznaczyć wspólnego inspektora (art. 37 ust. 3).
W jakim terminie zgłasza się naruszenie ochrony danych?
Administrator zgłasza naruszenie do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po jego stwierdzeniu, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób (art. 33 ust. 1 RODO). Gdy naruszenie może powodować wysokie ryzyko, administrator zawiadamia także osoby, których dane dotyczą (art. 34). Wszystkie naruszenia dokumentuje się (art. 33 ust. 5).
Jaka jest górna granica kary dla szkoły publicznej?
Dla jednostek sektora finansów publicznych ustawa o ochronie danych osobowych przewiduje administracyjną karę pieniężną do 100 000 zł (art. 102 ust. 1 pkt 1).
Czy szkoła musi mieć procedurę zgłoszeń wewnętrznych dla sygnalistów?
Obowiązek ustalenia procedury dotyczy podmiotu, na rzecz którego według stanu na 1 stycznia lub 1 lipca danego roku wykonuje pracę zarobkową co najmniej 50 osób (art. 23 ust. 1 ustawy o ochronie sygnalistów). W jednostkach samorządu obowiązek wykonują ich jednostki organizacyjne (art. 23 ust. 4). Ustawa przewiduje też wyłączenie dla gmin i powiatów liczących mniej niż 10 000 mieszkańców (art. 23 ust. 5).
Podstawa prawna i źródła
- RODO: art. 15, 32–34, 37–39
- Ustawa o ochronie danych osobowych, art. 102 (ISAP)
- Ustawa o ochronie sygnalistów, art. 23 (ISAP)
- Ustawa o przeciwdziałaniu zagrożeniom przestępczością na tle seksualnym i ochronie małoletnich, art. 22c (ISAP)
Treść ma charakter informacyjny. W konkretnej sprawie rozstrzyga aktualne brzmienie przepisów i stanowisko właściwego organu.