Problem braku kompleksowych regulacji procesów związanych z przetwarzaniem danych przez poradnie psychologiczno-pedagogiczne był sygnalizowany wielokrotnie przez Urząd Ochrony Danych Osobowych. Zmiany obowiązują od 28 grudnia 2021 r.

Poradnie udzielające pomocy psychologiczno-pedagogicznej przetwarzają dane osobowe uczniów i ich rodziców, a także nauczycieli czy specjalistów udzielających pomocy. W prowadzonej dokumentacji zbierają szeroki zakres danych zwykłych i szczegółowych. W zakresie danych o charakterze zwykłym: imiona i nazwiska dziecka oraz jego rodziców, numer PESEL dziecka, numer i seria innego dokumentu potwierdzającego tożsamość, adresy zamieszkania oraz dane kontaktowe. W zakresie danych szczegółowych: stan zdrowia, przekonania religijne czy światopoglądowe, a więc informacje wymagające szczególnej ochrony. Dokumentacja prowadzona przez poradnie, niezależnie od tego, czy jest w formie papierowej, czy elektronicznej, powinna być chroniona przy zapewnieniu wysokich standardów bezpieczeństwa.

Dotychczasowa praktyka poradni psychologiczno-pedagogicznych

W dotychczas akceptowanej przez poradnie pedagogiczno-psychologiczne formie, rodzic lub opiekun prawny we wniosku o wydanie orzeczenia o potrzebie kształcenia lub opinii składał również oświadczenie o wyrażeniu zgody na przetwarzanie danych osobowych dziecka lub ucznia. Taki wymóg formalny wynikał wprost z § 6 ust. 2 pkt 2 uchylonego z dniem 28 grudnia 2021 r. rozporządzenia Ministra Edukacji Narodowej z dnia 7 września 2017 r. w sprawie orzeczeń i opinii wydawanych przez zespoły orzekające działające w publicznych poradniach psychologiczno-pedagogicznych (Dz.U. z 2017 r. Nr 1743).

Prezesa Urzędu Ochrony Danych Osobowych apeluje do Resortu Edukacji o przeprowadzenie zmian

Problem braku kompleksowych regulacji procesów związanych z przetwarzaniem danych zawartych w dokumentacji, prowadzonej przez poradnie psychologiczno-pedagogiczne, wielokrotnie sygnalizował Prezes Urzędu Ochrony Danych Osobowych. Organ nadzorczy wielokrotnie wskazywał, że rozporządzenie Ministra Edukacji Narodowej z dnia 7 września 2017 r. w sprawie orzeczeń i opinii wydawanych przez zespoły orzekające działające w publicznych poradniach psychologiczno-pedagogicznych zawiera błędną podstawę prawną do przetwarzania danych osobowych przez poradnie psychologiczno-pedagogiczne na potrzeby orzeczeń wydawanych przez zespoły orzekające np. o potrzebie kształcenia indywidualnego lub specjalnego. Przetwarzanie danych w związku z działalnością poradni psychologiczno-pedagogicznych nie może być kształtowane wyłącznie w oparciu o zgodę, o której mowa w art. 9 ust. 2 lit. a) RODO. Zgoda w każdym momencie może być wycofana, a jej wycofanie niesie określone konsekwencje prawne.

Zgoda nie zawsze jest właściwą podstawą przetwarzania danych

Przypomnijmy, że zgodnie z art. 6 ust. 1 RODO dane osobowe mogą być przetwarzane, gdy jest to niezbędne do:

• wykonania umowy,
• wypełnienia obowiązku prawnego ciążącego na administratorze,
• ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej,
• wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi albo administrator musi zrealizować cel wynikający z prawnie uzasadnionych interes.

Dopiero, gdy, przeprowadzona przez administratora danych, analiza wykaże, że w danej organizacji nie mogą być zastosowane wymienione przesłanki, to podstawą do przetwarzania danych osobowych może być zgoda, ale tylko, gdy spełnione zostaną określone warunki dotyczące np. dobrowolności jej złożenia.

Nowe rozporządzenie Ministra Edukacji i Nauki

Minister Edukacji i Nauki przychylił się do argumentów prawnych przedstawionych w wystąpieniu Prezesa UODO i usunął wymóg zamieszczania we wniosku o wydanie opinii bądź orzeczenia, oświadczenia wnioskodawcy o wyrażeniu zgody na przetwarzanie danych osobowych w celu wydania orzeczenia lub opinii. Takie zmiany zostały już wprowadzone rozporządzeniem Ministra Edukacji i Nauki z dnia 30 listopada 2021 r., które zmieniło powołane wcześniej rozporządzenie z 2017 r. Nowe przepisy obowiązują od dnia 28 grudnia 2021 r. Zgoda nie może być już podstawą przetwarzania danych osobowych na potrzeby orzeczeń i opinii wydawanych przez zespoły orzekające działające w publicznych poradniach psychologiczno-pedagogicznych.

Więcej:
https://uodo.gov.pl/pl/138/2165,
http://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20170001743/O/D20171743.pdf,
https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20210002294/O/D20212294.pdf.

Brakuje Ci praktycznej wiedzy z zakresu danych osobowych? Chcesz przygotować się do kontroli ze stronu Urzędu Ochrony Danych Osobowych lub potrzebujesz przygotować projekt odpowiedzi na pismo organu nadzorczego? Zapraszamy do kontaktu: biuro@ochronadanych-rodo.pl

Z uwagi na wysokość nałożonej kary pieniężnej w wysokości 225 mln euro (jedna z najwyższych kar pieniężnych nałożonych na podstawie RODO), toczący się pomiędzy twórcą najpopularniejszego internetowego komunikatora WhatsApp, a Europejską Radą Ochrony Danych spór sądowy będzie miał duże znaczenie dla ochrony danych osobowych europejskich konsumentów.

Spółka WhatsApp Ireland Limited z siedzibą w Dublinie, Irlandia (dalej: “WhatsApp IE”) skierowała do Europejskiego Trybunału Sprawiedliwości pierwszą w historii skargę przeciwko Europejskiej Radzie Ochrony Danych, zarzucając jej naruszenie szeregu przepisów prawa w związku z przyjęciem na podstawie art. 65 RODO wiążącej decyzji nr 1/2021 w sprawie sporu powstałego w związku z projektem decyzji irlandzkiego organu nadzorczego („Data Protection Commission”, zwany dalej Data Protection) dotyczącego wymienionej powyżej aplikacji mobilnej.

Spór dotyczy projektu decyzji wydanego przez irlandzki organ nadzorczy w porozumieniu z Europejską Radą Ochrony Danych Osobowych w sprawie dotyczącej nieprawidłowego wypełnienia przez WhatsApp obowiązków informacyjnych. Zasądzona kwota 225 mln euro jest jedną z najwyższych kar pieniężnych nałożonych na podstawie RODO.

W wyniku przeprowadzonego postępowania stwierdzono, że WhatsApp w nieprawidłowy sposób informował użytkowników z Unii Europejskiej o tym, w jaki sposób zbiera i przetwarza ich dane osobowe. Tym samym, według organu nadzoru, WhatsApp naruszył zasady wynikające z art. 12, 13 i 14 RODO oraz nie informował należycie użytkowników aplikacji na czym polegają prawnie uzasadnione interesy dostawcy usługi przetwarzania danych. Ponadto irlandzki organ ochrony danych stwierdził, że WhatsApp dopuścił się także naruszenia art. 5 ust. 1 lit. a RODO, czyli zasady przejrzystości w przetwarzaniu danych osobowych.

Zaktualizowana polityka prywatności jednej z najpopularniejszych na świecie aplikacji, służących do komunikacji 2 miliardów użytkowników ze 180 krajów, uzależnia możliwość korzystania z aplikacji od udzielenia zgody na udostępnienie danych osobowych portalowi społecznościowemu Facebook, w tym m.in. numeru telefonu, nazwy profilu oraz adresu IP.

Warto zauważyć, że początkowo kara miała być niższa, jednak, po wielu konsultacjach, europejski regulator w porozumieniu z irlandzkim organem ochrony danych kilkakrotnie podniósł jej wysokość. Wskazał też odpowiednie wymagania, które WhatsApp powinien podjąć w celu poprawy zgodności z RODO, gdyż stwierdzone naruszenia art. 14 RODO mają „bardzo poważny charakter” i „dużą wagę”, a naruszenia stanowią „wysoki stopień zaniedbania”.

Więcej informacji:
https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:62021TN0709&from=EN

Czy pracodawca może kontrolować służbową skrzynkę pracownika?

Zastosowanie monitoringu poczty elektronicznej w firmie staje się coraz popularniejszym narzędziem kontroli pracowników. To wyzwanie organizacyjne dla pracodawcy, bo z jednej strony powinien zapewnić zgodność wewnętrznych regulacji z RODO, a z drugiej z Kodeksem Pracy, który wymaga poinformowania pracownika o prowadzeniu monitoringu poczty.

„Zgodnie z art. 223 ustawy z dnia 26 czerwca 1974 r. Kodeksu pracy jeżeli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy, pracodawca może wprowadzić kontrolę służbowej poczty elektronicznej pracownika (monitoring poczty elektronicznej)”.

W ostatnim roku pojawiło się jednak kilka ciekawych wypowiedzi europejskich organów nadzorczych dotyczących stosowania w firmach monitoringu poczty elektronicznej pracowników. Odpowiadają one na wiele pytań dotyczących dostępu do poczty elektronicznej pracowników oraz osób, z którymi zakończono już współpracę. Sprawy są o tyle ciekawe, bo rodzime UODO nie przeprowadziło w sprawie monitoringu poczty pracowników postępowania zakończonego wydaniem decyzji administracyjnej.

Stanowiska europejskich organów ochrony danych

Włoski organ ochrony danych osobowych (GARANTE PER LA PROTEZIONE DEI DATI PERSONALI: dalej Garante) ukarał spółkę Mapei karą 15 tys. Euro za utrzymywanie dostępu do imiennej, służbowej skrzynki pocztowej byłego pracownika. Garante uzasadniając decyzję o wymierzeniu kary argumentowało, że ukarana firma nie poinformowała byłego pracownika o aktywności jego imiennego adresu służbowej poczty elektronicznej po ustaniu zatrudnienia. Z ustaleń dokonanych przez organ nadzorczy wynika, że korespondencja z tego konta była przekierowywana do byłego przełożonego. Przez ten czas były pracodawca miał dostęp do prywatnych wiadomości kierowanych na skrzynkę zwolnionego z pracy pracownika. W ocenie włoskiego organu nadzorczego w opisanej sprawie doszło do naruszenia zasady minimalizacji danych i legalności oraz naruszono przepisy dotyczące realizacji prawa dostępu do danych i ich usunięcia. Zdaniem organu nadzorczego niewystarczające jest powołanie się przez pracodawcę na potrzebę dostępu do historycznych danych przechowywanych na skrzynce pocztowej z uwagi na istniejący interes w postaci zachowania ciągłości biznesowej.

W ostatnim czasie kwestią monitoringu poczty elektronicznej zajął się również norweski organ nadzorczy (Datatilsynet, dalej norweski organ nadzorczy). Sprawa zakończyła się wymierzeniem norweskiemu przedsiębiorstwu kary w wysokości 25 tys. EUR. Powodem wymierzenia kary było nielegalne przekierowywanie poczty elektronicznej pracownika na inną skrzynkę firmową celem zapewnienia wysokiej organizacji pracy. W ramach przeprowadzonego postępowania organ nadzorczy zidentyfikował szereg uchybień, z czego najpoważniejszym był brak procedur dotyczących stosowania monitoringu służbowej poczty elektronicznej, które wskazywałyby na konkretne podstawy prawne i zapewniały zgodność z Kodeksem Pracy. W ramach przeprowadzonego postępowania organ nadzorczy zidentyfikował szereg uchybień, z czego najpoważniejszym był brak procedur dotyczących stosowania monitoringu służbowej poczty elektronicznej, które wskazywałyby na konkretne podstawy prawne i zapewniały zgodność z Kodeksem Pracy.

Stanowisko krajowego organu ochrony danych osobowych

Jakie stanowisko prezentuje w tej sprawie rodzimy Urząd Ochrony Danych Osobowych? W zamieszczonym na stronie www Urzędu komunikacie przedstawiono wynikające z Kodeksu Pracy zasady monitoringu. W celu zapewnienia stosowania legalnego monitoringu zwrócono szczegółową uwagę na spełnienie przez pracodawcę obowiązków informacyjnych wobec pracowników. Zatrudnieni mają prawo poznać w jakim celu firma będzie stosować monitoring poczty elektronicznej i jaki jest jego zakres. Najlepiej, aby informacja została przygotowana w formie pisemnej. Informacje najlepiej umieścić w zbiorowym układzie pracy, w regulaminie pracy albo w formie obwieszczenia na tablicy ogłoszeń. Kontrola poczty nie może naruszać tajemnicy korespondencji oraz dóbr osobistych pracownika.

O czym jeszcze powinien pamiętać pracodawca?

Pracodawca powinien poinformować pracowników o wprowadzeniu monitoringu poczty elektronicznej, nie później niż dwa tygodnie przed jego uruchomieniem. Przy wprowadzeniu monitoringu pomocne może się okazać przeprowadzenie oceny skutków dla ochrony danych (DPIA) oraz środków zabezpieczających prywatność pracowników. Wystrzegamy się wprowadzania ukrytego monitoringu do kontroli pracowników lub wprowadzania go w firmach, w których nie ma takiej potrzeby np. w salonie fryziersko – kosmetycznym . Wszystko po to, aby nie narazić się na zarzuty związane z prowadzeniem w organizacji nielegalnego monitoringu lub naruszenia dóbr osobistych pracowników.

Więcej:

• Ordinanza ingiunezione nei confronti di Mapei S.p.A. – 2 luglio 2020 [9445180] https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9445180
• https://uodo.gov.pl/pl/138/1635
• https://www.datatilsynet.no/en/news/2021/fined-for-illegal-forwarding-of-e-mail

Fundacja, zajmująca się świadczeniem pomocy prawnej, ukarana za brak zawiadomienia UODO o naruszeniu danych osobowych.

W ostatnim czasie Prezes Urzędu Ochrony Danych Osobowych (dalej: „Prezes UODO”, „organ nadzorczy”) nałożył na Fundację Promocji Mediacji i Edukacji Prawnej Lex Nostra (dalej: „Fundacja”) administracyjną karę pieniężną w wysokości 13644 zł za naruszenie RODO. Powodem nałożenia kary było niezgłoszenie organowi nadzorczemu naruszenia ochrony danych osobowych, oraz niezawiadomienie o incydencie osób, których dotyczył wyciek danych.

Najnowsza decyzja UODO dotyczy uchybień związanych z niewykonaniem obowiązku zgłoszenia naruszenia danych osobowych, do którego doszło w październiku 2020 r. w wyniku kradzieży teczek, zawierających dane osobowe 96 niezidentyfikowanych beneficjentów fundacji m.in. imię, nazwisko, adres do korespondencji, numer telefonu oraz numer PESEL.

„Zgodnie z art. 33 RODO w przypadku naruszenia ochrony danych osobowych, administrator danych bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu. A w sytuacji wysokiego ryzyka dla praw lub wolności osób fizycznych wynikających z naruszenia, administrator musi zawiadomić osobę, której dane dotyczą o zaistniałym incydencie.”

Początkiem sprawy było „zawiadomienie o podejrzeniu naruszenia zasad przestrzegania przepisów o ochronie danych osobowych” w związku z utratą danych wielu osób na skutek kradzieży dokumentów w biurze terenowym Fundacji. Następnie Prezes UODO zwrócił się do Fundacji o ustosunkowanie się do treści skargi oraz udzielenie odpowiedzi na pytania dotyczące formalnego zgłoszenia naruszenia ochrony danych. Wobec braku zgłoszenia naruszenia ochrony danych osobowych do UODO i braku zawiadomienia osób, których dotyczyło naruszenie, Prezes UODO wszczął wobec Fundacji postępowanie administracyjne.
W odpowiedzi Fundacja wskazała, że nie zawiadomiła o sprawie UODO ani osób, których dane dotyczą, ponieważ uznała zdarzenie za obarczone niskim ryzykiem. Z ustaleń poczynionych przez organ nadzorczy wynika, że Fundacja nie była w stanie dokładnie wskazać kategorii danych osobowych zawartych w utraconej dokumentacji ani nie próbowała zweryfikować faktycznego zakresu danych osobowych objętych naruszeniem, co mogło przyczynić się do niewłaściwego oszacowania przez nią ryzyka naruszenia.

W ramach przeprowadzonego postępowania organ nadzorczy zidentyfikował szereg uchybień, z czego najpoważniejszym było nie wykonanie oceny zdarzenia ani obowiązków związanych ze zgłoszeniem naruszenia ochrony danych do organu nadzorczego i zawiadomienia zainteresowanych osób, co wynika z art. 33-34 RODO. Fundację obciążał również brak kopii skradzionych dokumentów. Nie była ich w stanie odtworzyć nawet przy użyciu systemu informatycznego.

Obowiązek zgłoszenia do UODO naruszenia ochrony danych

UODO w uzasadnieniu decyzji o nałożeniu kary podał, że z ryzykiem naruszenia praw lub wolności osób fizycznych mamy do czynienia wówczas, kiedy naruszenie może skutkować fizyczną, materialną lub niematerialną szkodą dla osób fizycznych. Podkreślił jednak, że samo potencjalne wystąpienie ryzyka dla praw lub wolności powinno skłonić administratora danych osobowych do zgłoszenia naruszenia oraz powiadomienia o incydencie zainteresowane osoby.

Obowiązek zawiadomienia osób, których dane osobowe wyciekły

Prezes UODO uznał, że Fundacja podejmując decyzję o niezawiadomieniu organu nadzorczego o naruszeniu, jak i osób, których dane dotyczą, w praktyce pozbawiła te osoby możliwości przeciwdziałania potencjalnym szkodom. Prezes UODO podkreślił, że w przypadku, gdy Fundacja nie była w stanie zidentyfikować osób, których dotyczył wyciek, to powinna dokonać zawiadomienia w sposób ogólny np. poprzez wydanie publicznego komunikatu.

Czas na zgłoszenie naruszenia to tylko 72 h

Urząd Ochrony Danych Osobowych przypomina, że na wywiązanie się z obowiązku zgłoszenia naruszenia ochrony danych mamy 72 godzin po stwierdzeniu naruszenia. Ważny jest szybki czas reakcji na zaistniałe naruszenia, która ma zapewnić osobom, których dane dotyczą, możliwość jak najlepszego zabezpieczenia swoich danych np. w przypadku kradzieży tożsamości czy wyłudzenia pożyczki. Takie sytuacje mają miejsce, gdy wyciekły dane widniejące w naszych dokumentach tożsamości – imię i nazwisko, nr PESEL, czy adres zamieszkania.

„Zgłoszenia naruszenia danych osobowych można dokonać na dwa sposoby: elektronicznie oraz pocztą tradycyjną, a najszybszą drogą jest wysłanie zgłoszenia za pośrednictwem platformy biznes.gov.pl lub platformy ePUAP, co zapewnia dotrzymanie terminu określonego w RODO”.

Co z tego wynika?

Prezes UODO sporą wagę przykłada do przestrzegania obowiązków dotyczących zgłaszania naruszeń ochrony danych osobowych. Konsekwencją są kolejne kary pieniężne kierowane do administratorów danych w związku z brakiem zawiadomienia lub nieterminowym zawiadomieniem Prezesa UODO i poszkodowanych ewentualnym wyciekiem danych osób. Na powyższym przykładzie widać także, że art. 33 i 34 RODO sprawiają wiele problemów administratorom danych, którym trudno jest dokonać właściwej oceny, czy powstałe w ich organizacjach naruszenie ochrony danych podlega zgłoszeniu oraz jak wyliczyć czas powstania naruszenia.

Z decyzją można się zapoznać pod następującym linkiem: https://uodo.gov.pl/decyzje/DKN.5131.11.2020