Czy w związku z organizowaniem zajęć dla klas I-III szkół podstawowych oraz dobrowolnych konsultacji dla uczniów szkoła może wymagać od rodziców podpisywania oświadczenia dotyczącego stanu zdrowia dziecka (w tym w zakresie tego, czy w ostatnim czasie miało ono kontakt z osobą u której podejrzewa się zakażenie koronawirusem, bądź osobą przebywającą na kwarantannie).
Przetwarzanie przez szkołę danych osobowych uczniów powinno następować z zachowaniem obowiązujących przepisów prawa oraz z uwzględnieniem dobra uczniów. Dane osobowe ucznia mogą być przetwarzane jedynie w warunkach przewidzianych przepisami RODO. Z punktu widzenia przepisów RODO szkoła posługując się danymi osobowymi ucznia powinna spełnić co najmniej jeden z warunków dopuszczalności przetwarzania danych osobowych, które wskazane są w art. 6 ust. 1 RODO. Co do zasady przetwarzanie przez szkołę danych osobowych uczniów może następować jedynie za ich wiedzą i zgodą.
Szkoła ma prawo pobierać od rodziców uczniów informacje (w tym dane osobowe) dotyczące stanu zdrowia tych uczniów. Proponowane przez szkołę oświadczenie polega na pobieraniu danych osobowych (w tym wrażliwych). Przetwarzanie danych osobowych w tym przypadku odbywa się na podstawie art. 6 ust. 1 lit. a RODO a także – w zakresie w jakim dotyczy ono informacji o stanie zdrowia (a więc danych osobowych wrażliwych) – na podstawie art. 9 ust. 2 lit. a RODO. Tak więc podstawą przetwarzania danych osobowych jest zgoda podmiotu danych.
Podmiotem, który jest uprawniony do wyrażenia i odwołania zgody na przetwarzanie jego danych wrażliwych jest pełnoletni uczeń szkoły, o którego stan zdrowia (czy inne dane wrażliwe) chodzi. Ale co ze zgodą w przypadku uczniów małoletnich, o które pyta szkoła?
Zgodnie z art. 4 pkt 11 RODO zgoda oznacza okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych. Wobec tego zgoda na przetwarzanie danych może, aczkolwiek nie musi zostać udzielona w formie oświadczenia woli w rozumieniu art. 60 ustawy z dnia 23 kwietnia 1964 roku – Kodeksu cywilnego. Tak więc w przypadku ucznia do ukończenia 13 roku życia lub ubezwłasnowolnionego całkowicie wystarczająca jest zgoda na przetwarzanie danych wyrażona przez jednego z przedstawicieli ustawowych lub opiekuna dziecka (art. 98 § 1 KRO). W przypadku zaś ucznia niepełnoletniego, który ukończył 13 lat lub został ubezwłasnowolniony częściowo szkoła powinna uzyskać dwa oświadczenia tj. zgodę ucznia oraz zgodę jego przedstawiciela ustawowego bądź opiekuna. Natomiast do odwołania zgody wystarczyłoby samodzielne oświadczenie ucznia lub jego przedstawiciela ustawowego bądź opiekuna.
Należy także zalecić uzupełnienie oświadczenia jeszcze o:
- wyraźną klauzulę zgody na przetwarzanie tych danych osobowych w określonych celach (np. zapobieganie epidemii) i przez konkretnego administratora danych osobowych (szkołę);
- klauzulę informacyjną sporządzoną na podstawie i zgodnie z art. 13 RODO – bowiem dane osobowe są pobierane przez szkołę bezpośrednio od podmiotu danych, którego dotyczą te dane (ucznia, w którego imieniu działa jego przedstawiciel ustawowy).
Czy szkoła może wymagać podobnych oświadczeń od osób wchodzących do szkoły (w tym zgody na dokonanie pomiaru temperatury ciała przy użyciu termometru bezdotykowego)?
Tak. W takim przypadku w przypadku oświadczenia pisemnego mamy bez wątpienia do czynienia ze zgodą. Także w przypadku pomiaru temperatury odbywa się on za zgodą podmiotu danych, który musi np. nadstawić czoło. Podstawy prawne przetwarzania danych osobowych to więc art. 6 ust. 1 lit. a RODO a także – w zakresie w jakim dotyczy ono informacji o stanie zdrowia (a więc danych osobowych wrażliwych) – na podstawie art. 9 ust. 2 lit. a RODO.
Zasadniczo jednak jednorazowe zmierzenie temperatury nie jest przetwarzaniem danych wrażliwych (tj. danych o chorobie podmiotu danych). Sam odczyt podwyższonej temperatury nie musi bowiem świadczyć o chorobie. Stan podgorączkowy też nie zawsze jest wynikiem choroby ale na przykład wzmożonego wysiłku fizycznego. Jest to więc jedynie informacja o chwilowym stanie jednego z parametrów określających fizyczny stan organizmu. Jeżeli więc informacji o temperaturze nie będziecie Państwo nigdzie zapisywać to w ogóle w mojej ocenie nie będziemy mieli do czynienia z przetwarzaniem danych osobowych.
W niektórych przypadkach trzeba będzie uznać taki pomiar za dane osobowe i to wrażliwe (np. gdy jest on dokonywany codziennie o tej samej porze albo temperatura jest tak wysoka że raczej wyklucza przyczynę inną niż choroba). Wtedy taki pomiar dokonuje się za zgodą podmiotu danych, o której wspominaliśmy na początku.
A co w przypadku automatycznego mierzenia temperatury przez np. kamerę termowizyjną? Wówczas trudno mówić o zgodzie podmiotu danych, który bezpośrednio po wejściu będzie miał zmierzoną temperaturę. Wówczas podstawą przetwarzania danych jest art. 9 ust. 2 lit. g RODO, który pozwala na przetwarzanie danych wrażliwych gdy to przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi (art. 9 ust. 2 lit. i RODO).
Czy szkoła może wymagać od rodziców wypełniania oświadczeń, że są świadomi tego, że dziecko może ulec zakażeniu w szkole pomimo podjętych środków bezpieczeństwa i w związku z tym pozostawiają w szkole dziecko na własne ryzyko?
Tak. Przede wszystkim takie oświadczenie jest po prostu zgodne z prawdą – dziecko mimo najlepiej zabezpieczonej „antywirusowo” szkoły może ulec zakażeniu w tej szkole. Natomiast samo takie oświadczenie niespecjalnie wywołuje jakiekolwiek skutki prawne. Jeżeli więc intencją szkoły jest zabezpieczenie się przed cywilnoprawnymi roszczeniami rodziców to konieczne jest zamieszczenie dodatkowej klauzuli, na mocy której rodzice – w związku z zaznaczonymi wcześniej ryzykami zakażenia – zrzekają się w imieniu swoim i swoich małoletnich dzieci wszelkich roszczeń z tytułu ewentualnego zakażenia dziecka wirusem SARS-CoV-2.
Czy podobne oświadczenia o stanie zdrowia mogą być pobierane od nauczycieli i pracowników niepedagogicznych szkoły?
Tak. Należy zauważyć, że zgodnie z art. 9 ust. 2 lit. h RODO przetwarzanie danych wrażliwych (a więc także danych o stanie zdrowia pracowników administratora) jest możliwe gdy jest to niezbędne do celów profilaktyki zdrowotnej, do oceny zdolności pracownika do pracy czy zapewnienia opieki zdrowotnej. Nie ma tu znaczenia czy pracownik jest nauczycielem, czy też wykonuje inny zawód, niż zawód pedagoga.