Podstawowe obowiązki przedszkola – administratora danych

W przypadku zbierania danych osobowych od osoby, której one dotyczą, przedszkole występujące w roli administratora danych, jest zobowiązane poinformować tę osobę m.in. o adresie swojej siedziby i pełnej nazwie, celu zbierania danych, prawie dostępu do treści swoich danych oraz ich poprawiania, dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.

Ponadto przedszkole jest zobowiązane zastosować środki zapewniają ochronę danych. Są nimi środki techniczne i organizacyjne. Środki te powinny zapewniać ochronę przetwarzania danych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. Przedszkole w szczególności powinno zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. W związku z tym przedszkole powinno m.in. prowadzić odpowiednią dokumentację opisującą sposób przetwarzania danych, w tym ewidencję osób upoważnionych do ich przetwarzania.

Przedszkole, jako administrator danych, zobowiązane jest również w niektórych przypadkach zgłosić zbiór danych osobowych do rejestracji przez GIODO.

Skutki zaniechania w zakresie ochrony danych osobowych

a)    powództwo o zadośćuczynienie

Jeżeli w opinii rodziców dzieci uczęszczających do danego przedszkola, dyrektor przedszkola, naruszył ich dobra osobiste, wymienione w art. 23 ustawy Kodeks cywilny z dnia 23 kwietnia 1964 r. (Dz. U. z 1964 r., nr 16, poz. 93 z późn. zm.), rodzice mogą wnieść powództwo cywilne do właściwego miejscowo sądu powszechnego o zadośćuczynienie za doznaną krzywdę.

b)    kary za naruszenie przepisów ustawy o ochronie danych osobowych

Zgodnie z ustawą o ochronie danych osobowych, ten kto przetwarza w zbiorze dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do których przetwarzania nie jest uprawniony (np. nie posiada zgody na ich przetwarzanie), podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Te same kary dotyczą tego, kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych udostępnia je lub umożliwia dostęp do nich osobom nieupoważnionym.

Ponadto, kto będąc do tego obowiązany nie zgłasza do rejestracji zbioru danych, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Te same kary dotyczą tego, kto administrując zbiorem danych nie dopełnia obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub przekazania tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w ustawie o ochronie danych osobowych.

autor: radca prawny Mirosław Stefanik