Prowadząc rekrutację do szkół, przedszkoli i placówek, szkoły przetwarzają dane osobowe. Rodzi to pewne zagrożenia dla bezpieczeństwa tych danych, w szczególności gdy rekrutacja jest przeprowadzana elektronicznie. Przedstawiamy wskazówki Prezesa Urzędu Ochrony Danych Osobowych, jak w zgodzie z RODO przetwarzać dane osobowe uczniów i rodziców w trakcie rekrutacji.
Przetwarzaj tylko takie dane, które są niezbędne do przeprowadzenia rekrutacji |
We wniosku o przyjęcie wskazane są następujące dane osobowe:
Dodatkowe przetwarzane są również dane osobowe rodziców kandydata, w zakresie zależnym od tego, czy kandydat jest osobą pełnoletnią, czy też nie. Do wniosku załączane są dokumenty, które potwierdzają odpowiednio spełnianie przez kandydata określonych w ustawie kryteriów. Jeśli liczba kandydatów okaże się większa niż przewidziana przez szkołę, wówczas do wniosku dołącza się dodatkowe dokumenty np.:
Czasami zaś konieczność złożenia dodatkowych dokumentów w procesie rekrutacji może wynikać ze specyfiki danej szkoły. W przypadku publicznej szkoły podstawowej o profilu sportowym do wniosku należy dołączyć także orzeczenie lekarskie wydane przez lekarza podstawowej opieki zdrowotnej, świadczące o ich stanie zdrowia umożliwiającym podjęcie nauki w tychże szkołach. Nie ma żadnych podstaw do zbierania takich danych, jak numer PESEL, numer i seria dowodu osobistego rodziców kandydata. Danych takich nie ma we wnioskach o przyjęcie. |
Nie pozyskuj zgody rodziców |
Przyjęcie do przedszkola lub szkoły odbywa się po przeprowadzeniu rekrutacji, w oparciu o wypełniony przez rodzica wniosek. Treść tego wniosku wskazana jest w art. 150 i 151 Prawa oświatowego. Dane osobowe wymienione w tym wniosku są przetwarzane w celu realizacji ciążącego na administratorze obowiązku prawnego (art. 6 ust. 1 lit c RODO). Tym samym błędem byłoby uzyskiwanie zgody rodziców (opiekunów prawnych) na przetwarzanie danych osobowych w tych wnioskach. |
Spełnij obowiązek informacyjny w przejrzystej, zrozumiałej i łatwo dostępnej formie |
W związku z rekrutacją organ prowadzący przedszkole lub szkołę pozyskuje dane osobowe dziecka i jego rodziców. Musi więc spełnić wobec rodziców i dzieci obowiązek informacyjny. Jeżeli rekrutacja przeprowadzana jest z wykorzystaniem systemów informatycznych to można spełnić obowiązek informacyjny, przekazując informacje w formularzu elektronicznym. Przekazywane informacje powinny przybrać przejrzystą, zrozumiałą i łatwo dostępną formę, zwłaszcza jeśli są kierowane do dzieci. |
Dane osobowe przechowuj nie dłużej niż jest to konieczne |
Dane osobowe pozyskane podczas postępowania rekrutacyjnego mogą być przechowywane:
|
Publikuj wyniki rekrutacji w internecie tylko w takim zakresie, w jakim wymagają tego przepisy |
Przepisy obligują dyrektora do podania wyników rekrutacji do publicznej wiadomości. Lista z wynikami powinna być umieszczona w widocznym miejscu, w siedzibie danego publicznego przedszkola lub szkoły. Przepisy ustanowione na okres zawieszenia funkcjonowania jednostek oświaty w czasie pandemii wymagają także publikacji na stronach internetowych szkół. Dodatkowo UODO zaleca indywidualne poinformowanie kandydata i jego rodziców o wynikach przeprowadzonej rekrutacji, za pomocą środków komunikacji elektronicznej. Jak wskazuje UODO, list z wynikami rekrutacji nie należy publikować na portalu społecznościowym. Na opublikowanej liście:
Publikacja list z wynikami rekrutacji w internecie wiąże się z ryzykiem naruszenia ochrony danych. Dlatego administrator przed taką publikacją powinien dokonać analizy ryzyka. Powinien także przetwarzać tylko te dane, jakie są wymagane w zakresie publikacji. Poza tym po zakończeniu czasowego ograniczenia funkcjonowania jednostek systemu oświaty, należy usunąć listy przyjętych kandydatów ze strony internetowej i zamieścić je na tablicy ogłoszeń w placówce. |