Baza wiedzy

Prawo oświatowe a RODO

Proces naboru do Placówek Oświatowych stanowi wyzwanie pod względem nie tylko organizacyjnym, ale także prawnym. Kluczową rolę odgrywa tutaj bezpieczeństwo danych kandydatów i ich rodzin. Z jednej strony wymaga on pozyskania szeregu informacji o Kandydatach i ich rodzinach. Z drugiej strony „Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych, w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych” nakłada precyzyjnie obowiązki w zakresie ochrony prywatności.

Specyfika prawna naboru do placówek oświatowych

Ustawa – Prawo oświatowe (Dz.U. z 2026 r. poz. 820) określa zasady przyjmowania dzieci do Placówek Publicznych. Przepisy te narzucają określone procedury weryfikacyjne, które muszą być realizowane w ściśle określonych terminach. Jednocześnie cała procedura podlega ogólnemu rozporządzeniu o ochronie danych, co bezpośrednio wpływa na bezpieczeństwo danych przetwarzanych podczas tych procesów.

Wyzwanie stanowi tutaj zachowanie równowagi w związku z weryfikacją kryteriów ustawowych oraz poszanowaniem prywatności. Ochrona danych osobowych w Oświacie polega na jej poprawnym ustrukturyzowaniu.

Zakres danych we wniosku rekrutacyjnym

Warto podkreślić, że podstawą prawną przetwarzania tych danych nie jest zgoda, lecz obowiązek prawny ciążący na Administratorze (art. 6 ust. 1 lit. c RODO), w związku z odpowiednimi przepisami Ustawy – Prawo Oświatowe. Eliminuje to konieczność pozyskiwania zgód Rodziców na przetwarzanie danych z formularza rekrutacyjnego.

Ustawa definiuje zamknięty katalog informacji, jakich Placówka może żądać od Rodziców. Są to m.in.:

• imię, nazwisko, data urodzenia oraz numer PESEL Kandydata,
• adres zamieszkania Kandydata i Rodziców,
• dane kontaktowe Rodziców lub Opiekunów Prawnych.

Niedopuszczalne jest żądanie kserokopii dowodów osobistych Rodziców. Także zabronione jest zbieranie zaświadczeń o zarobkach w formie niedopisanej przez Uchwały Organu Prowadzącego czy pozyskiwanie nadmiarowych informacji o sytuacji majątkowej i rodzinnej, które nie wynikają wprost z kryteriów naboru.

Weryfikacja kryteriów naboru a dane szczególnej kategorii

Weryfikacja kryteriów ustawowych oraz samorządowych (np. wielodzietność, samotne wychowywanie dziecka, niepełnosprawność), opiera się przede wszystkim na oświadczeniach składanych przez Rodziców pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia. Taki mechanizm chroni Placówkę przed nadmiernym gromadzeniem dokumentacji źródłowej. Dodatkowo wpływa na bezpieczeństwo danych wrażliwych.

Wyjątek stanowią sytuacje, w których Kandydat posiada orzeczenie o potrzebie kształcenia specjalnego lub opinię z Poradni Psychologiczno-Pedagogicznej, ponieważ wtedy Placówka przetwarza dane dotyczące zdrowia (art. 9 ust. 2 lit. g RODO). Dokumenty te są niezbędne do zapewnienia Dziecku odpowiednich warunków edukacyjnych. Jednak ich obieg musi być ściśle ograniczony do osób upoważnionych, a dokumentacja przechowywana w warunkach uniemożliwiających dostęp osób postronnych. Ponadto bezpieczeństwo danych w takich przypadkach wymaga szczególnych zabezpieczeń.

Publikacja wyników rekrutacji – siedziba Placówki a Internet

Przepisy Prawa Oświatowego wskazują jednoznacznie: listy z wynikami rekrutacji podaje się do publicznej wiadomości wyłącznie poprzez umieszczenie w widocznym miejscu w siedzibie Placówki Oświatowej.

Niedopuszczalna jest publikacja na oficjalnej stronie internetowej szkoły lub w mediach społecznościowych. Urząd Ochrony Danych Osobowych stoi na stanowisku, że takie działania stanowią poważne naruszenie przepisów. Należy mieć na uwadze, iż Internet ma zasięg globalny, a publikacja danych w sieci bez wyraźnej podstawy ustawowej jest niezgodna z prawem – nawet za domniemaną lub wyrażoną zgodą Rodziców.

Elektroniczne systemy rekrutacyjne i bezpieczeństwo IT

Współczesny nabór do szkół oraz rekrutacje do przedszkoli w dużej mierze opierają się na zewnętrznych systemach informatycznych i platformach, zaś korzystanie z takich rozwiązań wymaga od Dyrektora Placówki formalnego uregulowania relacji z dostawcą oprogramowania.

Zgodnie z art. 28 RODO, Placówka Oświatowa (jako Administrator Danych) musi zawrzeć z podmiotem dostarczającym system rekrutacyjny pisemną umowę powierzenia przetwarzania danych osobowych. Ponadto kluczowe jest zapewnienie bezpiecznych kanałów komunikacji z Rodzicami. Przesyłanie informacji o wynikach rekrutacji powinno odbywać się za pośrednictwem szyfrowanych kont w systemie naboru. Nie wolno używać otwartych, nieszyfrowanych wiadomości e-mail, które łatwo mogą zostać przejęte przez osoby niepowołane. Takie działania zapewniają bezpieczeństwo danych podczas elektronicznej komunikacji.

Realizacja obowiązku informacyjnego i retencja danych

Transparentność procesu rekrutacyjnego wymaga prawidłowej realizacji obowiązku informacyjnego, dlatego Rodzic składający dokumenty musi w jasny i przystępny sposób dowiedzieć się:

• kto jest Administratorem jego danych,
• w jakim celu dane są przetwarzane,
• jakie przysługują mu prawa (np. prawo dostępu do danych, ich sprostowania czy wniesienia skargi do Prezesa UODO).

Klauzula informacyjna powinna znaleźć się bezpośrednio na wniosku rekrutacyjnym lub w widocznym miejscu w systemie rekrutacji online.

Równie istotnym zagadnieniem jest retencja danych, czyli czas ich przechowywania. W tym kontekście bezpieczeństwo danych, zarówno kandydatów przyjętych, jak i nieprzyjętych, ma kluczowe znaczenie.

• Dane Kandydatów przyjętych: stają się częścią dokumentacji przebiegu nauczania i są przechowywane przez cały okres edukacji Ucznia w placówce. Następnie są archiwizowane zgodnie z jednolitym rzeczowym wykazem akt.
• Dane Kandydatów nieprzyjętych: powinny być domyślnie przechowywane przez okres roku (lub do zakończenia ewentualnych postępowań przed sądami administracyjnymi). Następnie należy je trwale i bezpiecznie zniszczyć.