W dniu 25 maja 2018 r. wejdzie w życie rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE [dalej: RODO], które wprowadza zasadnicze zmiany w konstrukcji ochrony danych osobowych.

Przykładowo wśród zmian wynikających z RODO można wskazać nowe wymogi dotyczące zgody na przetwarzanie danych osobowych, rozszerzenie obowiązków informacyjnych administratora czy prawo do bycia zapomnianym.

Jedną ze zmian wprowadzonych przez RODO jest obowiązek powoływania inspektora danych osobowych [dalej także: IDO] „zawsze gdy przetwarzania danych osobowych dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości” (por. art. 37 ust. 1 pkt a) RODO). Rozporządzenie nie definiuje samodzielnie pojęcia „organ lub podmiot publiczny”. Jednocześnie zgodnie z art. 60 projektu nowej ustawy ochronie danych osobowych: Przez organy i podmioty publiczne obowiązane do wyznaczenia inspektora, o których mowa w art. 37 ust. 1 lit. a rozporządzenia 2016/679, rozumie się organy publiczne wskazane w art. 5 § 2 pkt 3 Kodeksu postępowania administracyjnego oraz podmioty publiczne wskazane w art. 9 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych, (Dz. U. z 2016 r. poz. 1870, z późn. zm.).

Przedszkole gminne jest jednostką budżetową gminy[1] i na mocy art. 9 pkt 3) ww. ustawy o finansach publicznych należy do sektora finansów publicznych. W rezultacie należy przyjąć, że począwszy od dnia 25 maja 2018 r. każde przedszkole gminne też musi mieć inspektora danych osobowych. Zadaniem IDO jest m.in. informowanie o obowiązkach z zakresu ochrony danych osobowych i doradzanie w tym zakresie.

Z obowiązku powołania IDO nie zwalnia przedszkola gminnego fakt, że podstawę przetwarzania pewnego zestawu danych osobowych dzieci (np. imiona i nazwisko, data i miejsce urodzenia, adres zamieszkania) stanowią przepisy prawa[2]. Podkreślić należy, że obok ww. danych osobowych przedszkola gminne przetwarzają duże ilości innych informacji. Rodzice powiadamiają przedszkola o różnych istotnych kwestiach zarówno dotyczących dziecka np. alergie, choroby i przyjmowane leki, religia lub światopogląd, orzeczenia sądowe dot. pieczy nad dzieckiem, jak i udostępniają dane osób trzecich np. imiona i nazwiska, telefony rodzeństwa lub dziadków uprawnionych do odbierania dziecka z placówki. Wszystkie te informacje mogą stanowić dane osobowe i podlegać ochronie na podstawie RODO.

Podkreślić należy, że RODO znajduje bezpośrednie zastosowanie w polskim systemie prawnym. Projektowana nowa ustawa o ochronie danych osobowych będzie jedynie regulować kwestie wyraźnie przekazane przez RODO lub doprecyzuje jego postanowienia. Nowa ustawa o ochronie danych osobowych jest obecnie na etapie projektowania w Ministerstwie Cyfryzacji.

[1] Por. art. 79 ust. 1 ustawy z dnia 7 września 1991 r. o systemie oświaty (tekst jedn. Dz. U. z 2016 r., poz. 1943 ze zm.).

[2] Por. § 3 ust. 3 rozporządzenia Ministra Edukacji Narodowej z dnia 29 sierpnia 2014 r. w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji (Dz. U. z 2014 r., poz. 1170).