RODO w szkole językowej – dokumentacja, inspektor ochrony danych

Obowiązkowe dokumenty, które powinien przygotować administrator prowadzący szkołęjęzykową, to:

• rejestr naruszeń ochrony danych,
• raport dokumentujący wyniki przeprowadzonych ocen skutków do oceny danych.

W pozostałym zakresie dokumentacja danych osobowych może mieć bardzo różny kształt i tytuły. Wszystko zależy od tego, jakie dane, w jakiej formie, na jakiej podstawie i w jakim zakresie administrator przetwarza (art. 24 RODO).

Administrator danych osobowych ma obowiązek wyznaczyć inspektora ochrony danych, gdy:

• przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości;
• główna działalność administratora polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę;
• główna działalność administratora polega na przetwarzaniu na dużą skalę danych osobowych wrażliwych oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa.

Organami lub podmiotami publicznymi zobowiązanymi do ustanowienia IOD są m.in. jednostki sektora finansów publicznych.

Tymczasem szkoła językowa nie jest nawet jednostką oświaty, a tym bardziej podmiotem publicznym. Z tego tytułu szkoła językowa nie ma obowiązku ustanawiania IOD.

Samo to jednak nie wystarczy. Należy przeanalizować także drugą ze wskazanych przesłanek (trzecia nie wchodzi w grę, ponieważ dotyczy danych, których szkoły językowe w praktyce nie przetwarzają).

Przetwarzanie danych na dużą skalę – co to znaczy? Ustalając, czy przetwarzanie danych osobowych w konkretnej szkole odbywa się na dużą skalę, należy wziąć pod uwagę:

• liczbę osób, których dane są przetwarzane (podmiotów danych) − np. liczbę uczniów;
• zakres przetwarzanych danych osobowych – czy np. szkoła ogranicza się wyłącznie do podstawowych danych (imię, nazwisko, adres), czy też przetwarza np. dane wrażliwe uczniów;
• obszar, na którym dane są przetwarzane – czy np. szkoła przekazuje dane osobowe uczniów do państw trzecich (poza Europejski Obszar Gospodarczy);
• czas, przez jaki dane są przetwarzane – czy np. szkoła przetwarza dane po zakończeniu edukacji przez ucznia, przez długi czas.