Zasady udostępniania danych osobowych. Instrukcja dla dyrektorów

Kiedy szkoła musi udostępnić dane osobowe? Telefon z komisariatu policji z prośbą o dane ucznia, pismo z sądu rodzinnego żądające dokumentacji, wniosek od kuratora sądowego o informacje na temat frekwencji i zachowania podopiecznego, zapytanie z ośrodka pomocy społecznej dotyczące sytuacji rodzinnej – to sytuacje, które mogą wywołać niepewność nawet u najbardziej doświadczonego dyrektora szkoły. Jest to moment, w którym przepisy RODO spotykają się z  innymi przepisami prawa, które zobowiązują placówki oświatowe do ścisłej współpracy z organami i różnymi instytucjami w realizacji ich ustawowych zadań. Jak pogodzić ochronę danych z udostępnianiem danych innym podmiotom i nie narazić się na zarzut naruszenia przepisów? Szkoła jako administrator danych osobowych Zanim przejdziemy do szczegółowego omówienia zasad udostępniania danych, warto przypomnieć fundamentalną kwestię: szkoła jest administratorem danych osobowych w rozumieniu art. 4 pkt 7 RODO. Oznacza to, że dyrektor, działając w imieniu szkoły, samodzielnie decyduje o celach i sposobach przetwarzania danych osobowych uczniów, ich rodziców, a także pracowników placówki. Ta rola wiąże się z pełną odpowiedzialnością za zgodność przetwarzania z przepisami prawa. Administrator musi przestrzegać zasad określonych w art. 5 RODO, w tym zasady zgodności z prawem, rzetelności i przejrzystości, zasady ograniczenia celu, zasady minimalizacji danych, zasady prawidłowości, zasady ograniczenia przechowywania oraz zasady integralności i poufności. Co szczególnie istotne w kontekście udostępniania danych, administrator ponosi odpowiedzialność za przestrzeganie tych zasad i musi być w stanie wykazać ich przestrzeganie. To właśnie zasada rozliczalności wyrażona w art. 5 ust. 2 RODO. Udostępnienie danych osobowych jest jedną z operacji przetwarzania wymienionych w art. 4 pkt 2 RODO obok zbierania, utrwalania, przechowywania czy usuwania. Każda taka operacja musi mieć swoją podstawę prawną określoną w art. 6 RODO. Nie istnieje więc coś takiego jak „automatyczne” czy „oczywiste” prawo jakiegokolwiek organu do uzyskania danych ze szkoły. Zawsze musi istnieć podstawa prawna, która takie uprawnienie przyznaje. Kiedy szkoła ma obowiązek przekazać dane? Szkoła ma obowiązek udostępnić dane osobowe wyłącznie wtedy, gdy żądanie opiera się na konkretnym przepisie prawa nakładającym taki obowiązek. Zgodnie z art. 6 ust. 1 lit. c RODO przetwarzanie danych jest zgodne z prawem, gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. To jedna z sześciu podstaw legalności przetwarzania danych i właśnie ona najczęściej znajduje zastosowanie w przypadku żądań ze strony organów publicznych. Ustawa Prawo oświatowe w art. 98 ust. 2 pkt 1 wprost wskazuje, że statut szkoły dla dzieci i młodzieży określa organizację współdziałania z poradniami psychologiczno-pedagogicznymi oraz innymi instytucjami działającymi na rzecz rodziny, dzieci i młodzieży. Przepis ten stanowi ogólną ramę...