RODO w szkole lub uczelni wymaga rozdzielenia kilku różnych sytuacji: realizacji obowiązków edukacyjnych, prowadzenia dokumentacji, udzielania pomocy uczniom, korzystania z platform oraz publikowania materiałów promocyjnych. Każda z nich ma własny cel, zakres danych i zasady dostępu. Zgoda rodzica na zdjęcie nie uprawnia do dowolnego wykorzystania informacji o dziecku, a obowiązek prowadzenia dokumentacji nie uzasadnia udostępnienia jej wszystkim pracownikom.
Poniższy przewodnik uwzględnia stan prawny na 30 września 2026 r. Dotyczy zarówno organizacji pracy szkoły, jak i odrębnych problemów uczelni. Punktem wyjścia jest ustalenie, jakie przepisy i zadania dotyczą konkretnej placówki. Publiczna szkoła będąca jednostką budżetową, szkoła prowadzona przez fundację i uczelnia niepubliczna nie mają identycznej sytuacji prawnej. Wspólne pozostają zasady legalności, minimalizacji, przejrzystości, bezpieczeństwa i rozliczalności.
Kto odpowiada za dane w placówce
Administratorem jest podmiot decydujący o celach i sposobach przetwarzania, z uwzględnieniem właściwych przepisów sektorowych. W typowej działalności szkoły jest nim szkoła reprezentowana przez dyrektora. Nie oznacza to jednak, że każda czynność organu prowadzącego jest wykonywana w tej samej roli. Przy realizacji własnych ustawowych kompetencji może on działać jako odrębny administrator, natomiast obsługa wykonywana w imieniu placówki wymaga odrębnej oceny stosunku powierzenia.
Przykładowo kontrola wykonywana przez organ prowadzący nie daje nieograniczonego dostępu do informacji o problemach rodzinnych lub psychologicznych wszystkich uczniów. Szkoła powinna ustalić podstawę żądania, cel kontroli i niezbędny zakres dokumentów. Centralna obsługa księgowa również nie uzasadnia automatycznego otwarcia całego dziennika elektronicznego. Zasady dotyczące właściwego przypisania kompetencji rozwija przewodnik po RODO w administracji publicznej.
W uczelni należy podobnie rozpoznać role jednostek organizacyjnych, partnerów badawczych i zewnętrznych dostawców. Wydział nie staje się odrębnym administratorem tylko dlatego, że prowadzi własny formularz. Przy wspólnym badaniu kilka podmiotów może natomiast wspólnie określać cele i sposoby przetwarzania. Umowa powinna odzwierciedlać rzeczywistą organizację projektu, a nie tylko nazwę wybraną dla wygody rozliczeń.
Podstawa prawna przed pobraniem formularza
Obowiązki wynikające z prawa oświatowego, przepisów o dokumentacji lub właściwych systemach publicznych mogą uzasadniać przetwarzanie na podstawie artykułu 6 ustęp 1 litera c lub e RODO. Placówka powinna wskazać konkretny obowiązek albo zadanie, a następnie sprawdzić niezbędne dane. Nie należy zbierać zgody na operację, którą trzeba wykonać niezależnie od jej udzielenia. Cofnięcie takiej pozornej zgody nie może przecież zwolnić szkoły z ustawowego prowadzenia dokumentacji.
Z drugiej strony istnienie umowy z rodzicem nie oznacza, że wszystkie dane dziecka są objęte podstawą wykonania umowy. Artykuł 6 ustęp 1 litera b wymaga niezbędności i odpowiedniej relacji z osobą, której dane dotyczą. Formularz rekrutacyjny, zapis na dodatkowe zajęcia i newsletter dla absolwentów wymagają własnej oceny. W przypadku przekazywania danych do SIO lub POL-on należy stosować właściwe przepisy i wymagany zakres, zamiast przenosić do systemu wszystkie informacje posiadane przez placówkę.
Dane o zdrowiu, niepełnosprawności lub przekonaniach religijnych wymagają dodatkowo właściwej przesłanki z artykułu 9 ustęp 2. Samo powołanie się na dobro ucznia nie jest taką przesłanką. Trzeba ustalić właściwe przepisy, cel pomocy i osoby potrzebujące dostępu. Nauczyciel może potrzebować informacji o sposobie udzielenia wsparcia, lecz nie zawsze całej diagnozy. Dokumentacja medyczna prowadzona przez odrębny podmiot leczniczy nie staje się automatycznie dokumentacją dostępną każdemu pracownikowi szkoły.
Dziennik elektroniczny i uprawnienia użytkowników
Bezpieczeństwo dziennika zaczyna się od mapy ról: wychowawca, nauczyciel przedmiotu, sekretariat, dyrekcja, rodzic i uczeń potrzebują różnych informacji. Zakres dostępu powinien odpowiadać zadaniom, w tym uzasadnionemu zastępstwu. Sam fakt zatrudnienia w placówce nie wystarcza do przeglądania dowolnej dokumentacji. Uprawnienia należy zmieniać po zmianie obowiązków, przejściu ucznia do innej klasy i zakończeniu współpracy z pracownikiem.
Konta rodziców trzeba powiązać z właściwym dzieckiem i rzeczywistym zakresem uprawnień przedstawiciela. Informacja o rozwodzie nie przesądza sama o utracie prawa do informacji; znaczenie może mieć odpowiednie orzeczenie dotyczące władzy rodzicielskiej. Pełnoletność ucznia również wymaga ponownego ustalenia podstaw dostępu rodzica. Placówka powinna mieć procedurę wyjaśniania takich zmian, bez przesyłania orzeczeń wszystkim nauczycielom lub umieszczania ich w ogólnodostępnych uwagach.
Wieloskładnikowe uwierzytelnianie, szczególnie dla kont uprzywilejowanych, indywidualne konta, kontrola eksportów i odtwarzanie kopii zapasowych są praktycznymi sposobami ograniczania ryzyka. Ich dobór należy uzasadnić. Nie istnieje wynikający z samego RODO uniwersalny obowiązek przechowywania każdego logu przez co najmniej dwanaście miesięcy. Trzeba określić cel rejestrowania zdarzeń, zakres zapisu, dostęp i czas przechowywania. Wymagania artykułu 32 RODO obejmują także dostępność danych i regularne sprawdzanie skuteczności zabezpieczeń.
Dostawca platformy nie przejmuje odpowiedzialności szkoły
Jeżeli dostawca przetwarza dane w imieniu placówki, stosuje się artykuł 28. Powierzenie wymaga pisemnej umowy, także elektronicznej, albo innego wiążącego aktu prawnego zgodnego z prawem Unii lub państwa członkowskiego. Dokument powinien opisywać rzeczywistą usługę i obowiązki, a nie ograniczać się do oświadczenia o zgodności z RODO. Wzór umowy powierzenia może pomóc w uporządkowaniu zagadnień wymagających uzgodnienia.
Należy sprawdzić instrukcje, poufność, bezpieczeństwo, dalszych przetwarzających i pomoc w realizacji praw oraz obsłudze naruszeń. Trzeba też ustalić, jak po zakończeniu usługi przetwarzający, według wyboru administratora, usunie albo zwróci wszystkie dane osobowe oraz usunie wszelkie istniejące kopie, również przy zwrocie danych. Wyjątek dotyczy sytuacji, gdy prawo Unii lub państwa członkowskiego wymaga przechowywania danych przez przetwarzającego. Gdy przetwarzający działa na podstawie wiążącego go prawa Unii lub państwa członkowskiego zamiast instrukcji, obowiązują warunki ustawowego wyjątku, w tym wcześniejszego poinformowania administratora, chyba że prawo zabrania tego ze względu na ważny interes publiczny.
Nie każdy odbiorca jest jednak przetwarzającym. Dostawca może wykonywać odrębne operacje we własnych celach, które trzeba osobno ocenić. Bezpłatność aplikacji nie dowodzi, że nie wykorzystuje ona danych do innych celów. Przed wdrożeniem warto sprawdzić ustawienia analityczne, integracje, miejsca przetwarzania i możliwość eksportu. Samo wybranie europejskiego centrum danych nie rozstrzyga całego zagadnienia przekazywania danych do państw trzecich ani dostępu innych podmiotów.
Zdjęcia uczniów: oddzielić udział od promocji
Udział w konkursie lub szkolnym wydarzeniu nie powinien być automatycznie uzależniony od zgody na nieograniczoną publikację wizerunku. UODO w komunikacie z 30 maja 2025 r. podkreślił potrzebę rozdzielenia tych decyzji. Placówka powinna wyjaśnić, gdzie materiał zostanie opublikowany, w jakim celu i jak można wycofać zgodę. Zgoda na szkolną stronę nie oznacza zgody na wykorzystanie zdjęcia przez sponsora w jego kampanii.
Oprócz podstawy przetwarzania danych trzeba uwzględnić artykuł 81 ustawy o prawie autorskim i prawach pokrewnych. Przepis reguluje rozpowszechnianie wizerunku i przewiduje wyjątki, między innymi dla osoby stanowiącej jedynie szczegół większej całości. Nie każdy portret z festynu staje się przez to takim szczegółem. Ochrona wizerunku nie zależy wyłącznie od tego, czy fotografia ma szczególną wartość artystyczną. Wyjątek od zezwolenia na rozpowszechnianie nie zastępuje oceny pozostałych wymagań RODO.
Przy niepełnoletnich trzeba prawidłowo ustalić przedstawiciela i uwzględniać dobro dziecka. Nawet formalna zgoda nie uzasadnia upokarzającej publikacji. Po osiągnięciu pełnoletności uczeń sam decyduje o wykonywaniu swoich praw. Dobrą praktyką jest wybieranie materiałów ograniczających identyfikację i niełączenie zdjęć z nadmiernymi informacjami o klasie, zdrowiu lub miejscu pobytu. Nie jest to ustawowy zakaz wszystkich zdjęć grupowych, lecz sposób ograniczania ryzyka konkretnej publikacji.
Odrębną kwestią jest artykuł 8 RODO dotyczący usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku i opartych na zgodzie. W Polsce właściwa granica wynosi 16 lat, nie 13. Nie jest to ogólny wiek samodzielnego podejmowania wszystkich decyzji szkolnych ani reguła zastępująca prawo umów. Należy też zachować wyjątek opisany w motywie 38 i wytycznych EROD: usługi profilaktyczne lub doradcze oferowane bezpośrednio dziecku, także online, nie wymagają uprzedniej zgody rodzica w tym znaczeniu.
Monitoring według aktualnego artykułu 108a
Prawo oświatowe, artykuł 108a, pozwala wprowadzić monitoring obrazu, jeżeli jest niezbędny dla bezpieczeństwa uczniów i pracowników lub ochrony mienia. Dyrektor działa w uzgodnieniu z organem prowadzącym oraz po konsultacjach z radą pedagogiczną, radą rodziców i samorządem uczniowskim. Monitoring nie powinien służyć nadzorowaniu jakości pracy pracowników. Wygoda dyscyplinowania uczniów nie zastępuje oceny ustawowego celu i niezbędności.
Przepis co do zasady wyłącza określone pomieszczenia, w tym sale zajęć, miejsca pomocy psychologiczno-pedagogicznej, pomieszczenia sanitarne oraz szatnie. Ustawowy wyjątek wymaga istniejącego zagrożenia dla wskazanego celu, niezbędności i poszanowania godności oraz innych dóbr osobistych, ze szczególnym uwzględnieniem technik uniemożliwiających rozpoznanie osób. Nie można więc przedstawiać regulacji ani jako bezwzględnego zakazu bez wyjątków, ani jako swobodnego pozwolenia po podjęciu decyzji przez dyrektora.
Nagrania można przetwarzać wyłącznie dla celu ich zebrania i przechowywać nie dłużej niż trzy miesiące od nagrania. To górna granica, a nie nakaz zachowania każdego nagrania przez pełny okres. Po jego upływie nagrania podlegają zniszczeniu, o ile odrębne przepisy nie stanowią inaczej. O wprowadzeniu monitoringu należy poinformować uczniów i pracowników nie później niż czternaście dni przed uruchomieniem. Oznaczenia obszaru muszą pojawić się nie później niż dzień wcześniej. Pracownika trzeba również poinformować na piśmie przed dopuszczeniem do obowiązków.
Dyrektor uzgadnia z organem prowadzącym środki ochrony nagrań. Obejmuje to potrzebę ustalenia, kto może odtwarzać i eksportować materiał oraz jak dokumentuje się udostępnienie. Trzeba ocenić obowiązek przeprowadzenia DPIA zgodnie z artykułem 35 i właściwym wykazem rodzajów operacji. Nie należy zastępować tej oceny automatycznym stwierdzeniem, że każda kamera lub każdy dziennik zawsze wymaga identycznej analizy.
Uczelnia: dydaktyka i badania mają odrębne cele
Dane kandydata, dokumentacja przebiegu studiów, obsługa stypendium i dane uczestnika badania nie powinny trafiać do jednego zbioru o nieograniczonym zastosowaniu. Zespół badawczy musi ustalić cel projektu, podstawę prawną, zakres uczestników i zasady udostępniania wyników. Pozytywna opinia komisji etycznej nie zastępuje podstawy z artykułu 6 ani odpowiedniej przesłanki z artykułu 9, jeżeli badanie obejmuje dane szczególnych kategorii.
Artykuł 89 wymaga odpowiednich zabezpieczeń, zwłaszcza minimalizacji danych. Pseudonimizacja może być takim środkiem, ale nie sprawia automatycznie, że dane stają się anonimowe. Jeżeli cel można osiągnąć bez identyfikacji uczestników, trzeba odpowiednio ograniczyć przetwarzanie. Klucz pozwalający ponownie przypisać dane osobie wymaga odrębnej ochrony. Publikacja małej tabeli wyników także może ujawnić tożsamość uczestnika, jeżeli połączy się ją z informacjami o grupie.
Cel naukowy nie wyłącza automatycznie praw osób. Wyjątek od usunięcia danych z artykułu 17 ustęp 3 litera d wymaga właściwych zabezpieczeń i spełnienia przesłanki uniemożliwienia lub poważnego utrudnienia realizacji celu badania. Odstępstwa przewidziane przez artykuł 89 ustęp 2 wymagają odpowiedniej podstawy w prawie Unii lub krajowym i spełnienia jego warunków. Nie wystarczy wpisać słowa „badanie” do formularza, aby odmówić każdej prośbie uczestnika.
Przechowywanie dokumentów i obsługa praw
Nie ma jednej zasady „wszystkie dane szkolne pięćdziesiąt lat”. Arkusze ocen, dzienniki, dokumenty rekrutacyjne, kopie robocze, nagrania i materiały promocyjne wymagają odrębnej klasyfikacji według obowiązujących przepisów i właściwych zasad archiwalnych. Placówka powinna ustalić zdarzenie rozpoczynające okres przechowywania i odpowiedzialność za jego zakończenie. Ustawowy obowiązek zachowania określonego dokumentu nie oznacza konieczności utrzymywania jego licznych kopii w skrzynkach nauczycieli.
Wniosek o dostęp do danych wymaga identyfikacji osoby i ustalenia jej uprawnienia do działania za ucznia. Informacje o innych dzieciach trzeba chronić, ale obecność takich danych nie uzasadnia automatycznej odmowy całej odpowiedzi. Możliwe są odpowiednio przygotowane kopie i ograniczenie ujawnianych fragmentów. Żądanie usunięcia po zakończeniu nauki należy ocenić osobno dla dokumentów obowiązkowo przechowywanych oraz danych, których cel już wygasł.
O podjętych działaniach informuje się bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania. W razie potrzeby wynikającej ze złożoności lub liczby żądań termin można przedłużyć o najwyżej dwa kolejne miesiące, informując o tym i przyczynach w pierwszym miesiącu. Jeżeli placówka nie podejmuje działań, również bez zbędnej zwłoki i najpóźniej w ciągu miesiąca podaje przyczyny oraz możliwość skargi do UODO i skorzystania ze środków sądowych. Miesiąc nie jest równoznaczny z dowolnie przyjętymi trzydziestoma dniami.
Informację o przetwarzaniu warto przygotować warstwowo: krótka, zrozumiała wiadomość przy zbieraniu danych oraz dostępna pełna informacja o administratorze, celach, podstawach, odbiorcach, okresach i prawach. Treść musi odpowiadać konkretnej czynności. Klauzula dotycząca rekrutacji nie wyjaśnia automatycznie późniejszej publikacji filmu promocyjnego. Przy komunikacji z dziećmi należy używać języka dostosowanego do ich możliwości zrozumienia. W placówce wielojęzycznej pomocne mogą być tłumaczenia; istotna jest rzeczywista zrozumiałość, a nie samo umieszczenie rozbudowanego dokumentu w trudno dostępnym miejscu strony.
IOD i dokumentacja zamiast pozornych gwarancji
Obowiązek wyznaczenia inspektora ochrony danych wynika z artykułu 37 RODO i artykułów 8–9 polskiej ustawy o ochronie danych osobowych. Szkoła będąca jednostką sektora finansów publicznych podlega przesłance podmiotu publicznego. W placówce niepublicznej trzeba zbadać jej status i pozostałe przesłanki, zwłaszcza główną działalność obejmującą odpowiednie przetwarzanie na dużą skalę. Nie można uzasadniać obowiązku fikcją, że każda prywatna szkoła jest organem publicznym.
Rejestr czynności przetwarzania pomaga połączyć cele z odbiorcami, kategoriami danych, terminami i zabezpieczeniami. Wyjątek dla podmiotów zatrudniających mniej niż 250 osób nie obejmuje automatycznie całej placówki. Trzeba uwzględnić przetwarzanie mogące powodować ryzyko dla praw i wolności, przetwarzanie nieokazjonalne oraz dane z artykułów 9 lub 10. Regularna działalność edukacyjna wymaga więc rzetelnego opisania właściwych czynności, niezależnie od niewielkiego zespołu.
Inspektor doradza i monitoruje, natomiast administrator odpowiada za decyzje. Warto zapewnić pracownikom krótkie instrukcje odnoszące się do rzeczywistych sytuacji: eksportu listy, rozmowy z rodzicem, zastępstwa i zgłoszenia pomyłki. Częstotliwość szkoleń należy dobrać do potrzeb i zmian; samo RODO nie wyznacza każdej szkole identycznego rocznego harmonogramu. Potwierdzenie udziału w szkoleniu nie zastępuje prawidłowo ustawionych uprawnień.
Naruszenie: ocena zaczyna się po wykryciu
Wysłanie dokumentacji do niewłaściwego rodzica, utrata urządzenia lub przejęcie konta wymagają szybkiego zabezpieczenia sytuacji i ustalenia faktów. Naruszenie ochrony danych może dotyczyć poufności, integralności albo dostępności. Nie każde zdarzenie techniczne jest takim naruszeniem. Wszystkie stwierdzone naruszenia ochrony danych trzeba jednak dokumentować, także gdy ocena nie prowadzi do zgłoszenia organowi.
Zgłoszenie na podstawie artykułu 33 następuje bez zbędnej zwłoki i w miarę możliwości nie później niż po 72 godzinach od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, aby skutkowało ryzykiem dla praw i wolności. Opóźnienie wymaga uzasadnienia; informacje można uzupełniać etapami na ustawowych warunkach. Wysokie ryzyko wymaga osobnej oceny zawiadomienia osób zgodnie z artykułem 34. Samo zawiadomienie dostawcy lub organu prowadzącego nie zastępuje tych decyzji.
Wysokość możliwej sankcji zależy od rodzaju naruszenia, okoliczności sprawy oraz statusu prawnego danego podmiotu. Artykuł 102 polskiej ustawy przewiduje szczególne limity dla wskazanych podmiotów publicznych, a pozostałe przypadki wymagają oceny według właściwego reżimu. Przegląd kar UODO należy czytać z uwzględnieniem podstawy, rodzaju podmiotu i etapu postępowania. Dla placówki najważniejsze są możliwe do wykazania decyzje oraz skuteczne działania chroniące konkretnych uczniów, studentów i pracowników.