Subskrybuj nas na Youtube
Uczniowie składający wnioski do szkół są zmuszani do drukowania setek tysięcy kartek papieru w imię obowiązku informacyjnego wynikającego z RODO. Zupełnie niepotrzebnie.
/>
Wniosek o przyjęcie do szkoły ponadgimnazjalnej w wielu miejscach Polski należy wypełnić za pośrednictwem przeznaczonych do tego portali. Potem jednak najczęściej trzeba wygenerowany w ten sposób dokument wydrukować i dostarczyć do szkoły pierwszego wyboru. W tym roku do wniosku automatycznie dołączane były informacje dotyczące RODO. Wskazano w nich m.in., kto jest administratorem danych (czyli szkoły, do jakich aplikuje dziecko), kontakt do inspektorów ochrony danych, podstawy ich przetwarzania, informacje o prawie dostępu czy sprostowania. Mówiąc krótko, wszystko, co nakazuje unijne rozporządzenie 2016/679. W Warszawie informacje te zajęły trzy strony z liczącego siedem stron wniosku. Zarówno kandydat, jak i jego rodzice musieli dodatkowo potwierdzić swymi podpisami, że zapoznali się z tymi informacjami.
Swobodny wybór
Nie ma wątpliwości, że obowiązek informacyjny wynikający z RODO musiał być spełniony. Pytanie jednak, czy rzeczywiście jest sens, aby zmuszać uczniów do druku wszystkich podanych informacji. Do warszawskich szkół złożyło podania ponad 46 tys. uczniów. Oznacza to, że podczas naboru wydrukowano prawie 140 tys. kartek. Kartek, których przecież i tak nie zatrzymują sami kandydaci, tylko są składane i archiwizowane w szkołach.
– Ich drukowanie i podpisywanie przez uczniów nie ma żadnego sensu. Obowiązek informacyjny wykonuje się przez przekazanie pewnych informacji, wymaganych przez RODO. Nie przez stworzenie możliwości zapoznania się z nimi, ale przez przekazanie, np. wyświetlenie na stronie internetowej – zauważa dr Paweł Litwiński, adwokat z kancelarii Barta Litwiński.
Również Urząd Ochrony Danych Osobowych nie widzi sensu wymagania druku informacji związanych z RODO.
– W przedstawionym przypadku administrator bardzo skrupulatnie podszedł do spełnienia wynikającego z RODO obowiązku informacyjnego. Jednocześnie to przykład dowodzący, że wciąż wiele podmiotów mało odważnie korzysta ze swobody, jaką daje im ten akt prawny, i jeszcze nie w pełni wdraża zasadę przejrzystości informowania i komunikowania – zauważa Agnieszka Świątek-Druś, rzecznik prasowy UODO.
– Przepisy RODO nie narzucają jednego, obowiązującego wszystkich sposobu realizacji obowiązku informacyjnego. W art. 12 ust. 1 RODO wręcz wskazuje się, że informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach – elektronicznie. Pozostawia w tym względzie dużą swobodę, z której administratorzy muszą nauczyć się korzystać – dodaje.
Zasada rozliczalności
Zapytaliśmy Urząd Miasta w Warszawie, dlaczego zdecydował się wymagać drukowania wszystkich informacji z RODO i nie poprzestał na ich udostępnienie na samym portalu. Niestety nie otrzymaliśmy odpowiedzi. Prawdopodobnie powodem była chęć zapewnienia rozliczalności. Chodzi o to, by w razie kontroli administrator mógł wykazać, że rzeczywiście wypełnił obowiązek informacyjny. Gdy będzie miał wydruki z podpisami uczniów i rodziców, nie będzie co do tego wątpliwości.
Tyle że jednocześnie sposób ten jest nie tylko kosztowny (i to także dla szkół, które muszą przechowywać te wydruki), ale i nieekologiczny.
– Wszystkie wymagane prawem informacje można było podać w portalu, za pośrednictwem którego generowano wnioski. Zasada rozliczalności nie może być rozumiana jako konieczność posiadania wydruku z podpisem – zgodność wykazujemy np. przez odpowiednią politykę ochrony danych, w której opisujemy ten sposób wykonania obowiązku informacyjnego, czy dokumentację techniczną platformy – mówi Paweł Litwiński.
W Warszawie nie można było wygenerować wniosków w inny sposób niż za pomocą wspomnianej wcześniej platformy. Gdyby na niej przedstawiono informacje wynikające z RODO, to każdy mógłby się z nimi zapoznać. A samo złożenie podania potwierdzałoby ten fakt.
Podobnie uważa UODO.
– Zasada rozliczalności nie musi oznaczać tworzenia i gromadzenia niepotrzebnej dokumentacji. Nie zawsze konieczne jest np. zbieranie zgód czy oświadczeń w formie papierowych, podpisanych własnoręcznie dokumentów. Zapoznanie się z określoną informacją przekazaną przez administratora może być potwierdzone poprzez odnotowanie tego faktu np. w systemie informatycznym. Również inne przyjęte przez administratorów procedury lub rozwiązania mogą być dowodem na to, że dopełniono obowiązku informacyjnego – wyjaśnia Agnieszka Świątek-Druś.
– Warto podkreślić, że w niektórych sytuacjach, zwłaszcza w przypadku komunikacji elektronicznej, obowiązek informacyjny może być realizowany warstwowo. Oznacza to, że najpierw można podać podstawowe informacje i wskazać, gdzie dostępnych jest więcej szczegółów na temat zasad przetwarzania danych osobowych – dodaje.
UODO podkreśla również, że informacje wynikające z RODO powinny być podawane w sposób przejrzysty. Powinny być zwięzłe, formułowane prostym, zrozumiałym dla wszystkich językiem.
Własnoręczny podpis
W podaniach do szkół wymagano również potwierdzenia własnoręcznym podpisem, zarówno przez ucznia, jak i rodziców, że zapoznali się z informacjami na temat przetwarzania ich danych osobowych. Pytanie, co by się stało, gdyby takich podpisów zabrakło? Czy szkoła odmówiłaby przyjęcia wniosku? O to również zapytaliśmy warszawski ratusz, ale także nie dostaliśmy odpowiedzi.
– To administrator danych ma obowiązek wykazania zgodności z prawem i nie można tego rozumieć jako prawa żądania podpisu pod potwierdzeniem wykonania obowiązku informacyjnego. Brak takiego podpisu nie powinien więc mieć żadnego wpływu na całość procesu, w tym wypadku rekrutacji do liceum – uważa Paweł Litwiński.
– Tutaj zresztą pojawia się jeszcze dodatkowy problem związany z dobrowolnością. Każdy, kto chce się dostać do liceum, podpisze wszystko, czego się od niego zażąda. Tyle że stawianie takich wymogów jest całkowicie bezpodstawne. Na tej samej zasadzie nie powinno się np. od kobiety rodzącej i zgłaszającej się na izbę przyjęć wymagać podpisu pod przekazywanymi jej informacjami związanymi z RODO – zauważa adwokat.