W ramach przeprowadzonej ankiety doszło do przetwarzania danych osobowych uczniów, w tym także danych osób niepełnoletnich, przede wszystkim ich imion i nazwisk, oznaczenie klasy, określenia opiekunów prawnych (rodziców), informacji o stanie rodziny (pełna, niepełna), a także informacji o śmierci opiekuna prawnego (rodzica), separacji opiekunów prawnych (rodziców), ich wykształceniu i sytuacji zawodowej, liczbie osób w gospodarstwie domowym, sytuacji finansowej, stanie zdrowia oraz nałogach opiekunów prawnych (rodziców), sytuacji mieszkaniowej oraz o fakcie otrzymania pomocy finansowej.
Przetwarzanie danych uczniów odbywało się w zakresie ich zbierania, przechowywania oraz usunięcia.
W toku kontroli UODO ustalono, że ankietę przeprowadzono w celu zidentyfikowania uczniów, którzy wymagają udzielenia wsparcia psychologicznego przez szkołę, do której uczęszczają. Ankieta została przeprowadzona wyłącznie za pomocą papierowych formularzy in blanco, które zostały rozdane wychowawcom klas: 7 – 8 oraz klas licealnych na polecenie Dyrektora placówki.
Wszystkie zwrócone egzemplarze ankiety zostały komisyjnie zniszczone. Jak wynika z ustaleń kontroli, dane osobowe zawarte w ankietach nie zostały wprowadzone do elektronicznych systemów telekomunikacyjnych, nie zostały utrwalone na nośnikach danych elektronicznych ani na innych nośnikach informacji, w tym w formie papierowej. Po zebraniu ankiet, wychowawcy nie sporządzali ich skanów, kopii papierowych, ani nie sporządzali innych, dodatkowych dokumentów, zawierających dane osobowe, dotyczące ankiet. Na dzień rozpoczęcia kontroli dane osobowe uczniów pozyskane w związku z przeprowadzeniem ankiet nie były już przetwarzane.
Jak wynika z materiału dowodowego pozyskanego w wyniku kontroli ankiety były przeprowadzane w sposób wykluczający możliwość zapoznania się z zawartymi w nich danymi przez osoby nieuprawnione.
Szkoła przeprowadzając ankietę wśród uczniów, naruszyła zasadę przetwarzania danych zgodnie z prawem, w myśl której dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Powyższa zasada została rozwinięta w treści art. 6 ust. 1 lit. c RODO, zgodnie z którym przetwarzanie jest zgodne z prawem wyłącznie w przypadku, gdy – i w takim zakresie w jakim – spełniony jest warunek, iż przetwarzanie to jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.
Szkoła jako podmiot publiczny może przetwarzać dane osobowe w zakresie wykonywanych przez niego zadań nałożonych ustawami. Z kolei w myśl Prawo oświatowe stanowi, że szkoły przetwarzają dane osobowe w zakresie niezbędnym dla realizacji zadań i obowiązków wynikających z tych przepisów. W aktach prawnych regulujących zasady funkcjonowania instytucji oświatowych, nie określa się takich zadań i obowiązków szkół, które uzasadniałyby przetwarzanie danych osobowych uczniów w sposób, w jaki uczyniono to w ukaranym podmiocie, a więc w związku z przeprowadzeniem ankiety.
Prezes UODO uznał, że w ustalonych okolicznościach niniejszej sprawy wystarczającym środkiem jest udzielenie upomnienia. Za okoliczność łagodzącą uznano niezamierzony charakter naruszenie. Dyrektor placówki niezwłocznie podjął szereg działań naprawczych takich m. in jak: zniszczenie formularzy ankiety lub jej nieprzeprowadzenie przez niektórych nauczycieli, zorganizowanie szkolenia pracowników w celu podniesienia ich świadomości w zakresie kwestii ochrony danych osobowych, a także dokonanie analizy zdarzenia, jakim było przeprowadzenie ankiety wśród uczniów, ze względu na wystąpienie ryzyka naruszenia praw i wolności osób fizycznych. Ponadto na podstawie okoliczności przedmiotowej sprawy brakuje podstaw do uznania, że osoby których dane dotyczą, poniosły na skutek zdarzenia szkodę. Prezes UODO nie otrzymał sygnałów, aby ze strony szkoły miały miejsce podobne zachowania skutkujące naruszeniami.
Ze szczegółami sprawy można zapoznać się w treści decyzji, która dostępna jest pod linkiem: https://uodo.gov.pl/decyzje/DKN.5112.7.2020%20%09