RODO w szkole jazdy - o czym musi pamiętać właściciel OSK
Szkoła jazdy przetwarza więcej danych osobowych, niż mogłoby się wydawać - nie tylko imię, nazwisko i telefon kursanta, ale też numer PESEL, numer PKK, wyniki egzaminów wewnętrznych, a czasem orzeczenie lekarskie o braku przeciwwskazań do kierowania pojazdem. To oznacza konkretne obowiązki wynikające z RODO.
Szkoła jest administratorem danych kursantów
To szkoła jazdy - nie dostawca oprogramowania - jest administratorem danych osobowych swoich kursantów. To szkoła decyduje, po co dane są zbierane i jak długo są przechowywane, i to szkoła odpowiada przed kursantem oraz przed Urzędem Ochrony Danych Osobowych (UODO) za ich prawidłowe przetwarzanie.
Dostawca systemu to procesor - i potrzebna jest umowa
Jeśli szkoła korzysta z aplikacji lub programu do zarządzania kursantami, dostawca tego oprogramowania przetwarza dane w imieniu szkoły - w rozumieniu RODO jest to podmiot przetwarzający (procesor). Art. 28 RODO wymaga w takiej sytuacji pisemnej umowy powierzenia przetwarzania danych (tzw. DPA), która określa m.in. zakres przetwarzania, obowiązki zabezpieczenia danych i listę dalszych podprocesorów (np. dostawcy poczty e-mail, płatności czy powiadomień push).
Orzeczenia lekarskie to dane szczególnej kategorii
Informacja o stanie zdrowia - w tym orzeczenie lekarskie kursanta - to dane szczególnej kategorii w rozumieniu art. 9 RODO, objęte wyższym standardem ochrony niż dane „zwykłe”. System, w którym szkoła przechowuje skany takich dokumentów, powinien ograniczać do nich dostęp tylko do osób, które faktycznie tego potrzebują, i nie udostępniać ich publicznie (np. jako plik pod ogólnodostępnym linkiem).
Co w praktyce powinna mieć szkoła
- Podpisaną umowę powierzenia (DPA) z dostawcą systemu do zarządzania OSK.
- Zgody kursantów zbierane aktywnie (nie domyślnie zaznaczone) i możliwe do wycofania.
- Sposób na realizację praw kursanta: dostęp do danych, sprostowanie, usunięcie, przeniesienie.
- Wiedzę, gdzie fizycznie/technicznie przechowywane są dane (np. lokalizacja serwerów).
- Procedurę na wypadek naruszenia ochrony danych (zgłoszenie do UODO w ciągu 72 godzin od stwierdzenia naruszenia).
Retencja dokumentacji szkoleniowej
Przepisy dotyczące ośrodków szkolenia kierowców nakładają obowiązek przechowywania dokumentacji przebiegu szkolenia przez określony czas - co w praktyce oznacza, że szkoła nie może po prostu „usunąć” danych kursanta zaraz po zakończeniu kursu, tak jak mogłaby to zrobić firma z innej branży. Dobry system powinien to rozróżniać: pozwalać zanonimizować dane, których szkoła już nie potrzebuje, bez naruszania obowiązku przechowania dokumentacji wymaganej odrębnymi przepisami.