Czy dane osobowe w szkołach są właściwie chronione? Czy elektroniczne dzienniki zajęć w szkołach są bezpieczne? Jakie obowiązki nakłada na dyrektora szkoły ustawa o ochronie danych osobowych?  Na te kwestie zwraca uwagę list śląskiego wicekuratora oświaty skierowany do dyrektorów szkół.

Szanowni Państwo

Dyrektorzy Szkół!

W związku z pismem Ministerstwa Edukacji Narodowej nr DKOW-WOKW-DD-5007/17/2010 z dnia 30 sierpnia 2010 r. oraz wynikami kontroli przeprowadzonej przez Generalnego Inspektora Ochrony Danych Osobowych w jednej z firm oferujących szkołom oprogramowanie do prowadzenia dzienników lekcyjnych i dzienników zajęć w formie elektronicznej zwracam uwagę na obowiązek przestrzegania przez dyrektorów szkół przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. nr 23, poz. 225 z późn. zm).

Zgodnie z przepisami ww. ustawy dziennik elektroniczny stanowi zbiór danych, w tym danych osobowych o uczniach, a dyrektorzy szkół, w których wybrano taką formę dokumentowania zajęć lekcyjnych, są administratorami tych zbiorów danych.

Powyższa ustawa nakłada na administratorów danych liczne obowiązki, wśród nich wymóg szczególnej staranności przy przetwarzaniu danych osobowych, a także obowiązek stosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożenia oraz kategorii danych objętych ochroną (art. 36 ustawy). W myśl art. 39 ustawy o ochronie danych osobowych administrator danych prowadzi ewidencję osób upoważnionych do przetwarzania danych osobowych oraz (art. 40) zgłasza zbiór do rejestracji Generalnemu Inspektorowi Danych Osobowych.

Wiele szkół prowadzących dzienniki za pomocą systemu informatycznego dane osobowe uczniów i ich przedstawicieli umieszcza na serwerach firm obsługujących system e-dziennik. Dostęp do danych osobowych w nich zawartych jest możliwy przez Internet za pomocą połączeń szyfrowanych. Zgodnie z treścią art. 31 ustawy o ochronie danych osobowych, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych osobowych. Podmiot ten może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie oraz jest obowiązany podjąć środki zabezpieczające zbiór danych i spełnić wymagania określone w Rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz.1024). W zakresie przestrzegania tych przepisów dyrektor szkoły (oraz podmiot, któremu w drodze umowy powierzono przetwarzanie danych osobowych) ponosi odpowiedzialność.

Jeżeli szkoły i placówki oświatowe powierzyły firmom przetwarzanie danych bez zawarcia w formie pisemnej umów, należy uznać, że został naruszony art. 31 ust. 1 ustawy o ochronie danych osobowych. Prywatna firma dostarczająca szkole określoną usługę nie może przejmować kompetencji dyrektora szkoły, tj. swobodnie zarządzać elektronicznym dziennikiem lekcyjnym i udostępniać (bądź nie udostępniać) rodzicom uczniów, możliwość logowania się do tego dziennika. W myśl § 23 Rozporządzenia Ministra Edukacji Narodowej i Sportu z dnia 19 lutego 2002 r.
w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji (Dz. U. z 2002 r. Nr 23, poz. 225 z późn. zm.) dyrektor szkoły ponosi odpowiedzialność za właściwe prowadzenie i przechowywanie dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz za wydawanie przez szkołę dokumentów zgodnych z posiadaną dokumentacją.

Decyzja o tym, czy rodzice uczniów będą mogli logować się do systemu dziennika elektronicznego i jaki zakres będzie im udostępniony należy do kompetencji dyrektora szkoły. Decyzja ta powinna w równym stopniu obejmować wszystkich rodziców i określać jednakowe warunki korzystania z e-dziennika. Pobieranie opłat od rodziców za dostęp do dziennika elektronicznego jest nieuprawnione. Zgodnie z art. 54 ust. 8 ustawy z dnia 7 września 1991 r. o systemie oświaty (tekst jednolity: Dz. U. z 2004 r. Nr 256, poz. 2572 z późn. zm.), w celu wspierania działalności statutowej szkoły lub placówki rada rodziców może gromadzić fundusze z dobrowolnych składek rodziców oraz innych źródeł. Ustawa
o systemie oświaty nie przewiduje innej formy pobierania opłat od rodziców uczniów szkół publicznych.

Także przenoszenie danych osobowych znajdujących się w dzienniku elektronicznym (na ogół dobrze zabezpieczonych serwerów dostawcy) na komputery osobiste użytkowników nie powinno mieć miejsca, gdyż nie gwarantuje zabezpieczenia danych przed dostępem osób nieuprawnionych i naraża na możliwości ich zniszczenia lub utraty.

WICEKURATOR

mgr Tadeusz Żesławski

Źródło: http://kuratorium.katowice.pl/index.php?page=News&menuItemId=291&news=1171