Podstawą prawną jest art. 89 ust. 1 PrOśw.

Zgodnie z art. 4 pkt 2 RODO „przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Jak zatem wynika z przywołanej regulacji udostępnianie jest jedną z operacji wykonywanych na danych osobowych w ramach ich przetwarzania.

Różnica pomiędzy powierzeniem przetwarzania danych a ich udostępnieniem polega natomiast na tym, że w przypadku powierzenia przetwarzania danych podmiot przekazujący dane nadal decyduje zarówno o sposobie jak i celach przetwarzania danych. W takim wypadku należy zawrzeć umowę powierzenia przetwarzania, na podstawie art. 28 RODO. Zgodnie z ust. 3 tej regulacji umowa powinna określać:

  1. przedmiot i czas trwania przetwarzania – czyli jakie czynności i przez jaki okres czasu będą wykonywane w ramach umowy, z których jednocześnie wynika obowiązek przetwarzania danych,
  2. charakter i cel przetwarzania – np. przetwarzanie w celu zawarcia umowy ubezpieczenia,
  3. rodzaj danych osobowych oraz kategorie osób których dane dotyczą,
  4. obowiązki i prawa administratora.

W przypadku udostępnienia danych podmiot je udostępniający, czyli w opisanym w pytaniu przypadku szkoła, nie będzie już decydował o sposobie i celach przetwarzania danych. Wówczas nie zawiera się umowy powierzenia przetwarzania pomiędzy administratorem a podmiotem przetwarzającym.

Pamiętać natomiast należy, że udostępnienie musi zostać oparte o konkretną podstawę prawną. W przypadku opisanym w pytaniu podstawą tą jest art. 89 ust. 1 PrOśw, zgodnie z którym szkoła publiczna może być zlikwidowana z końcem roku szkolnego przez organ prowadzący szkołę, po zapewnieniu przez ten organ uczniom możliwości kontynuowania nauki w innej szkole publicznej tego samego typu, a także kształcącej w tym samym lub zbliżonym zawodzie. Organ prowadzący jest obowiązany, co najmniej na 6 miesięcy przed terminem likwidacji, zawiadomić o zamiarze likwidacji szkoły: rodziców uczniów, a w przypadku uczniów pełnoletnich – tych uczniów, właściwego kuratora oświaty oraz organ wykonawczy jednostki samorządu terytorialnego właściwej do prowadzenia szkół danego typu.

Ważne

Z przepisu tego wyraźnie zatem wynika, że to organ prowadzący ma obowiązek zawiadomienia uczniów i ich rodziców o zamiarze likwidacji szkoły. Co za tym idzie musi dysponować danymi osobowymi tych podmiotów, aby te obowiązki zrealizować. W tym wypadku mamy zatem do czynienia z podstawą do udostępnienia danych przez szkołę, nie ma natomiast podstaw do zawierania umowy powierzenia przetwarzania. Podmiot przekazujący dane, czyli szkoła, nie decyduje bowiem w przypadku likwidacji szkoły o celach przetwarzania danych.

Obowiązkiem dyrektora likwidowanej szkoły jest zatem udostępnienie żądanych przez organ prowadzący danych.