Przy rekrutacji do przedszkoli i szkół placówki nie mogą żądać numeru PESEL, a także numeru i serii dowodu osobistego rodziców kandydata - przypomina Urząd Ochrony Danych Osobowych. Przestrzega też przed publikowaniem list uczniów przyjętych do szkoły na portalach społecznościowych, w tym fanpage’ach placówek oświatowych.

W poniedziałkowym komunikacie UODO poinformował, że rodzice oraz inspektorzy ochrony danych z sektora oświaty zwracają się do urzędu z wieloma pytaniami dotyczącymi przetwarzania danych osobowych podczas trwającej rekrutacji do szkół i przedszkoli. Wątpliwości budzi m.in. zakres danych wymagany we wnioskach rekrutacyjnych czy okres przechowywania danych osobowych kandydatów.

UODO przypomina, że przepisy prawa oświatowego określają zakres danych osobowych, które może zawierać wniosek o przyjęcie dziecka do placówki oświatowej. Są to dane osobowe kandydata, m.in. jego: imię, nazwisko, data urodzenia, numer PESEL oraz adres miejsca zamieszkania.

Urząd podkreśla, że przepisy wskazują również na przetwarzanie danych osobowych rodziców kandydata, różnicują jednak zakres gromadzonych danych w zależności od tego, czy kandydat jest osobą pełnoletnią.

Eksperci: w czasie pandemii więcej fałszywych e-wiadomości do wyłudzania danych

Zobacz również

W określonych przypadkach wymagane są dodatkowe dokumenty. Np. gdy liczba kandydatów okaże się większa niż ta przewidziana przez szkołę, przepisy zakładają konieczność dołączenia do wniosku np. prawomocnego wyroku sądu rodzinnego orzekającego rozwód lub separację lub aktu zgonu, oświadczenia o samotnym wychowywaniu dziecka oraz niewychowywaniu żadnego dziecka wspólnie z jego rodzicem, czy też oświadczenia o dochodzie na osobę w rodzinie kandydata - jeżeli organ prowadzący określił kryterium dochodu na osobę w rodzinie kandydata.

Kandydaci ubiegający się o przyjęcie do publicznych szkół podstawowych o profilu sportowym muszą przedłożyć w szkole orzeczenie lekarskie świadczące o ich stanie zdrowia.

Urząd zaznaczył, że dostaje pytania sygnalizujące zbieranie przez szkoły danych, takich jak: numer PESEL, numer i seria dowodu osobistego rodziców kandydata. "W tym wypadku zbieranie takich danych stanowi naruszenie nie tylko Prawa oświatowego, ale i zasad (m.in. legalizmu, proporcjonalności i minimalizacji), o których mowa w art. 5 RODO. Regulacje prawa oświatowego dotyczące treści wniosku o przyjęcie do przedszkola, szkoły (art. 150 i 151) nie wymieniają bowiem danych rodziców w postaci numeru PESEL, numeru i serii dowodu osobistego (w odróżnieniu od np. numeru PESEL kandydata), jako tych, które szkoła (przedszkole) może żądać w ramach rekrutacji" - wyjaśniono.

Jednocześnie przypomniano o obowiązku informacyjnym. Placówki oświatowe powinny odpowiednio informować rodziców i uczniów o tym, co dalej będzie się działo z ich danymi, np. kto jest ich administratorem, na jakiej podstawie są przetwarzane, w jakim celu i przez jaki okres.

Jeśli rekrutacja jest przeprowadzana przy użyciu systemów informatycznych, formularz elektroniczny powinien zawierać odpowiednią klauzulę informacyjną, a wszelkie informacje dotyczące danych osobowych powinny być napisane jasnym i prostym językiem, zwłaszcza, gdy są kierowane do dzieci.

Dane uzyskane podczas postępowania rekrutacyjnego mogą być przechowywane nie dłużej niż do końca okresu, w którym uczeń korzysta z wychowania przedszkolnego w danym przedszkolu albo uczęszcza do danej szkoły. Dane osobowe kandydatów nieprzyjętych mogą być przechowywane przez rok, chyba że na rozstrzygnięcie dyrektora przedszkola, szkoły lub placówki została wniesiona skarga do sądu administracyjnego i postępowanie nie zostało zakończone prawomocnym wyrokiem.

Urząd odniósł się też do zasad publikowania list uczniów przyjętych do szkół. Wyniki rekrutacji z podaniem imienia i nazwiska kandydatów oraz z najniższą liczbą punktów, która uprawnia do przyjęcia, do tej pory były umieszczane przede wszystkim w siedzibie danej placówki.

W związku z obecną sytuacją epidemiczną, zgodnie z nowymi przepisami wydanymi na podstawie specustawy ws. koronawirusa, wyniki postępowania rekrutacyjnego podaje się do publicznej wiadomości także na stronach internetowych tych jednostek. W ocenie UODO nie jest natomiast dopuszczalne publikowanie tych list na portalach społecznościowych, w tym fanpage’ach placówek oświatowych.

Urząd zaleca, by administrator danych osobowych dokonał analizy ryzyka, jakie wiąże się z publikacją list w internecie. "Ważna jest zasada minimalizacji danych czy ograniczenia przechowywania. Zatem należy przetwarzać te dane, które są ograniczone oraz przez okres nie dłuższy niż jest to niezbędne do celów, w których dane są przetwarzane. UODO jednak zaleca, aby dyrektorzy korzystali z form komunikacji elektronicznej i indywidualnie informowali kandydata i jego rodziców o wynikach przeprowadzonej rekrutacji.

Zdaniem UODO, po zakończeniu zawieszenia zajęć stacjonarnych w szkołach i przedszkolach, powinno się usunąć listy przyjętych kandydatów ze strony internetowej i zamieścić je na tablicy ogłoszeń w placówce.

Według rozporządzenia ministra edukacji z 9 kwietnia, zajęcia stacjonarne są zawieszone do 26 kwietnia.