W związku z tym, iż 1.9.2017 r. wejdzie w życie ustawa z 14.12. 2016 r. – Przepisy wprowadzające ustawę – Prawo oświatowe, która zakłada m.in. likwidację gimnazjów, do Biura GIODO docierają liczne pytania od tych szkół, jakich obowiązków w obliczu nadchodzących zmian powinny one dopełnić w zakresie prowadzonych zbiorów danych osobowych. Przede wszystkim zaś chcą wiedzieć, czy konieczne jest złożenie wniosku o wykreślenie tych zbiorów.

Skala problemu jest znaczna, bowiem dotychczas gimnazja zgłosiły do rejestracji ok. 3700 zbiorów danych osobowych, z czego większość została wpisana do jawnego, ogólnokrajowego rejestru zbiorów danych osobowych.

Analiza nowych przepisów

Wygaszanie gimnazjów ma być realizowane w różnych wariantach przewidzianych w art. 129 ustawy z 14.12.2016 r. Przepisy wprowadzające ustawę – Prawo oświatowe i może polegać na:

1) przekształceniu w inną szkołę lub

2) włączeniu do innej szkoły.

W art. 129 ust. 1 i 3 powołanej ustawy wymieniono podmioty (szkoły), w które można przekształcić lub do których można włączyć gimnazja. W każdym z tych przypadków dojdzie do likwidacji gimnazjum. Likwidacja szkoły w Rejestrze Szkół i Placówek Oświatowych następuje z dniem złożenia wniosku, przy czym nie jest możliwe zlikwidowanie szkoły w czasie roku szkolnego. Oznacza to, że szkoła może być zlikwidowana w dniu 31 sierpnia (art. 59 ust. 1 ustawy z 7.9.1991 r. o systemie oświaty).

Ważne
Zatem po 1 września 2017 r. szkoły, na które przejdą prawa i obowiązki dotychczasowych gimnazjów, staną się administratorami danych przetwarzanych przez zlikwidowane placówki.

Co powinni zrobić nowi administratorzy?

Ci nowi administratorzy danych, w związku z wejściem w prawa i obowiązki gimnazjów, powinni dokonać oceny, czy zaprzestano przetwarzania danych w zbiorach zgłoszonych przez gimnazja, co stanowi przesłankę do wykreślenia zbioru z rejestru, ewentualnie czy konieczne jest zgłoszenie zmian w tych zbiorach (np. gdy celem przetwarzania danych stała się archiwizacja).

Nie zawsze trzeba zgłaszać zmiany

Jeśli chodzi o wynikający z art. 41 ust. 2 ustawy o ochronie danych osobowych obowiązek zgłaszania zmian w zbiorze, zauważyć należy, że nie dotyczy on sytuacji, w której administrator danych powołał administratora bezpieczeństwa informacji i zgłosił go Generalnemu Inspektorowi do rejestracji, a w zbiorze przetwarzane są wyłącznie dane zwykłe.

Przykład
W przypadku powołania ABI nie będzie istniał obowiązek zgłaszania zmian w zbiorach takich jak np. rejestry korespondencji, w których przetwarzane są dane zwykłe.

Czy konieczne jest zgłaszanie nowych zbiorów?

Wydaje się, że co do zasady w wyniku włączenia gimnazjum do innej szkoły nie powstaną nowe zbiory danych osobowych, gdyż każda szkoła prowadzi analogiczne zbiory (np. związane z rekrutacją), w których cel przetwarzania, zakres danych i podstawa prawna są tożsame. Możliwe jest włączenie danych przetwarzanych w dotychczasowych zbiorach danych prowadzonych przez gimnazja do istniejących już zbiorów danych prowadzonych przez szkołę, do której włączono gimnazjum.

Wykreślenie zbioru danych z rejestru prowadzonego przez GIODO

Stosownie do art. 44a pkt 1 ustawy o ochronie danych osobowych, wykreślenie z rejestru zbiorów danych osobowych jest dokonywane, w drodze decyzji administracyjnej, jeżeli zaprzestano przetwarzania danych w zarejestrowanym zbiorze. Przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie. Oznacza to, że nawet przechowywanie dokumentów wyłącznie w celu archiwalnym jest równoznaczne z przetwarzaniem zawartych w nich danych osobowych.

Ważne
W większości przypadków wygaszanie gimnazjów nie będzie zatem wiązało się z koniecznością złożenia wniosku o wykreślenie zbioru przez szkoły, w które zostaną przekształcone gimnazja lub w skład których wejdą te likwidowane placówki.

Ewentualne wątpliwości, które mogą się pojawić w konkretnych przypadkach, będą rozstrzygane w toku indywidualnych postępowań prowadzonych przez GIODO.