Kiedy zdjęcie podlega przepisom o ochronie danych?
Nie każde zdjęcie wykonane na terenie placówki automatycznie będzie objęte regulacjami z zakresu ochrony danych osobowych. Kluczowym kryterium jest możliwość identyfikacji osoby. Art. 4 pkt 1 RODO definiuje dane osobowe jako wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Fotografia, na której uwidoczniona jest twarz dziecka, zdjęcie grupowe z rozpoznawalnymi osobami, nagranie wideo przedstawiające konkretne dziecko czy fotografia podpisana imieniem i nazwiskiem – we wszystkich tych przypadkach mamy do czynienia z przetwarzaniem danych osobowych.
Inaczej wygląda sytuacja, gdy wykonane ujęcie przedstawia duży plan ogólny (np. fotografię dłoni dzieci pracujących nad projektem plastycznym bez uwidocznienia twarzy). W takich przypadkach identyfikacja jest niemożliwa i przepisy o ochronie danych nie znajdują zastosowania.
W praktyce jednak granica bywa płynna. Dlatego rekomendacja dla dyrektorów brzmi następująco: w razie jakichkolwiek wątpliwości co do rozpoznawalności osób na zdjęciu należy traktować je tak, jakby stanowiło daną osobową. Ostrożność w tym obszarze nigdy nie jest nadmierna.
Trzy reżimy prawne ochrony wizerunku
Wizerunek dziecka nie podlega jednemu, lecz trzem reżimom ochrony prawnej, które funkcjonują równolegle.
Pierwszy z nich to RODO, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Na gruncie tego aktu każda operacja na wizerunku (utrwalenie, przechowywanie, publikacja, udostępnienie) jest przetwarzaniem danych osobowych i wymaga jednej z podstaw prawnych wskazanych w art. 6 ust. 1 RODO.
Reżim drugi to ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych, której art. 81 wprowadza odrębny zakaz rozpowszechniania wizerunku bez zgody osoby na nim przedstawionej. Przepis ten działa niezależnie od RODO. Oznacza to, że nawet jeśli placówka dysponuje prawidłową podstawą do przetwarzania danych osobowych, musi dodatkowo spełnić wymogi prawa autorskiego w zakresie rozpowszechniania wizerunku.
Trzeci obszar ochrony wynika z ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny, który uznaje wizerunek za dobro osobiste podlegające ochronie cywilnoprawnej (art. 23). Naruszenie tego dobra może prowadzić do roszczeń o zadośćuczynienie, odszkodowanie lub zobowiązanie do określonego działania (np. usunięcia materiałów).
W praktyce, aby legalnie opublikować zdjęcie dziecka, placówka musi działać z poszanowaniem przepisów wszystkich trzech reżimów ochrony wizerunku jednocześnie.
Prawo autorskie – odrębne zasady rozpowszechniania
Niezależnie od spełnienia wymogów RODO placówka musi pamiętać o regulacji zawartej we wspomnianym art. 81 ustawy o prawie autorskim i prawach pokrewnych. Przepis ten ustanawia generalną zasadę, zgodnie z którą rozpowszechnianie wizerunku wymaga zezwolenia osoby na nim przedstawionej, a w przypadku osoby niepełnoletniej – jej przedstawiciela ustawowego.
Ustawa przewiduje trzy wyjątki od tego wymogu, jednak ich przydatność w środowisku szkolnym jest ograniczona. Pierwszy wyjątek dotyczy osób powszechnie znanych, który nie obejmuje dzieci. Trzeci odnosi się do pozowania za umówionym wynagrodzeniem – sytuacja w placówce niespotykana. Jedynie drugi wyjątek, gdy osoba stanowi wyłącznie szczegół większej całości, takiej jak zgromadzenie, krajobraz lub publiczna impreza, może mieć sporadyczne zastosowanie. Trzeba jednak podkreślić, że wyjątek ten dotyczy sytuacji, w których konkretna osoba jest faktycznie nierozpoznawalnym elementem tła. Zdjęcie kilkorga dzieci stojących na scenie podczas uroczystości w placówce, nawet jeśli w tle widać widownię, nie kwalifikuje się pod ten wyjątek – dzieci na scenie są podmiotami zdjęcia, nie jego szczegółem.
Wybór właściwej podstawy prawnej z RODO
Jednym z najczęstszych błędów popełnianych przez placówkę jest stosowanie niewłaściwej podstawy prawnej przetwarzania wizerunku. Art. 6 ust. 1 RODO wymienia sześć takich podstaw, z których w kontekście szkolnym zastosowanie mają przede wszystkim trzy.
Zgoda rodzica lub pełnoletniego ucznia (art. 6 ust. 1 lit. a RODO) jest podstawą właściwą wszędzie tam, gdzie placówka wykorzystuje wizerunek w celach promocyjnych, komunikacyjnych lub informacyjnych, a więc przy zamieszczaniu zdjęć i filmów na stronie internetowej placówki, na profilach w serwisach społecznościowych, w folderach i ulotkach rekrutacyjnych czy w materiałach przekazywanych mediom lokalnym. Dotyczy to również publikacji na tablicach informacyjnych umieszczonych na zewnątrz budynku, jeśli są dostępne dla osób postronnych.
Realizacja obowiązku wynikającego z przepisu prawa (art. 6 ust. 1 lit. c RODO) uzasadnia przetwarzanie wizerunku w sytuacjach ściśle regulowanych ustawowo. Przykładem jest zamieszczenie fotografii na legitymacji szkolnej.
Wykonywanie zadania realizowanego w interesie publicznym (art. 6 ust. 1 lit. e RODO) może stanowić podstawę przetwarzania wizerunku w kilku istotnych obszarach. Przede wszystkim jest to właściwa podstawa dla monitoringu wizyjnego – art. 108a Prawa oświatowego powierza dyrektorowi zadanie zapewnienia bezpieczeństwa dzieci i pracowników oraz ochrony mienia, co stanowi realizację zadania w interesie publicznym. Na tej samej podstawie funkcjonuje przetwarzanie wizerunku w narzędziach informatycznych udostępnianych na podstawie art. 44a Prawa oświatowego. Działanie w interesie publicznym (art. 6 ust. 1 lit. e RODO) może ponadto stanowić podstawę przy prowadzeniu kroniki placówki, dokumentacji archiwalnej lub sprawozdawczej wynikającej z realizacji zadań statutowych.
Trzeba jednak wyraźnie zastrzec, że podstawa przetwarzania odnosząca się do interesu publicznego, nie obejmuje aktywności placówki w mediach społecznościowych. Prowadzenie profilu placówki na Facebooku czy Instagramie ma charakter promocyjny i komunikacyjny – nie mieści się w pojęciu zadania publicznego. Próba uzasadnienia publikacji zdjęć dzieci w serwisach społecznościowych interesem publicznym może skutkować zarzutem bezpodstawnego przetwarzania danych.
Monitoring wizyjny – szczegółowe ramy Prawa oświatowego
Art. 108a Prawa oświatowego tworzy kompleksowe ramy prawne dla stosowania monitoringu w placówkach oświatowych. Choć monitoring nie wymaga zgody rodziców (jego podstawą jest realizacja zadania publicznego, jakim jest zapewnienie bezpieczeństwa na terenie placówki), to podlega ścisłym ograniczeniom ustawowym, których naruszenie może prowadzić do zarzutu nieproporcjonalnej ingerencji w prywatność dzieci.
Dyrektor może zdecydować o zainstalowaniu systemu rejestracji obrazu wyłącznie wówczas, gdy jest to niezbędne do zapewnienia bezpieczeństwa dzieci i pracowników lub ochrony mienia. Decyzja wymaga uprzedniego uzgodnienia z organem prowadzącym oraz konsultacji z radą pedagogiczną i radą rodziców. Przepis wyraźnie zastrzega, że system kamer nie może służyć do kontrolowania jakości pracy nauczycieli i pozostałego personelu.
Zakres przestrzenny monitoringu podlega ścisłym ograniczeniom. Kamery nie mogą obejmować pomieszczeń dydaktycznych, gabinetów pomocy psychologiczno-pedagogicznej, pomieszczeń przeznaczonych do odpoczynku i rekreacji pracowników, pomieszczeń higieniczno-sanitarnych, szatni, przebieralni ani gabinetu profilaktyki zdrowotnej. Odstępstwo od tej zasady jest dopuszczalne jedynie w wyjątkowych okolicznościach, gdy istniejące zagrożenie uzasadnia monitoring w tych strefach i pod bezwzględnym warunkiem zastosowania technik uniemożliwiających rozpoznanie przebywających w tych pomieszczeniach osób.
Nagrania przechowywane są maksymalnie przez trzy miesiące od daty ich powstania, po czym podlegają obligatoryjnemu zniszczeniu. Społeczność szkolna musi zostać poinformowana o uruchomieniu systemu z co najmniej czternastodniowym wyprzedzeniem, a strefy objęte rejestracją muszą być czytelnie oznakowane. Nowo zatrudnieni pracownicy powinni otrzymać pisemną informację o stosowaniu monitoringu przed dopuszczeniem do wykonywania obowiązków. Dyrektor jest również zobowiązany do uzgodnienia z organem prowadzącym środków technicznych i organizacyjnych zabezpieczających przechowywane nagrania.
Wymogi prawidłowej zgody
Tam, gdzie podstawą przetwarzania jest zgoda, jej prawidłowe pozyskanie decyduje o legalności całej operacji. Warunki wyrażenia zgody reguluje art. 7 RODO, natomiast jej definicję zawiera art. 4 pkt 11 RODO, który stawia przed zgodą cztery kumulatywne wymogi.
Wymóg dobrowolności wyklucza jakikolwiek nacisk na rodziców. Art. 7 ust. 4 RODO nakazuje przy ocenie dobrowolności zgody uwzględniać w szczególności, czy wykonanie umowy (a w kontekście szkolnym – korzystanie z usług placówki) nie jest uzależnione od wyrażenia zgody na przetwarzanie danych, które nie jest niezbędne do wykonania tej umowy. Placówka nie może zatem uzależniać uczestnictwa dziecka w wydarzeniach placówki od wyrażenia zgody na publikację wizerunku. Uczeń, którego rodzice nie wyrazili zgody, powinien mieć pełne prawo uczestniczenia w danym wydarzeniu (np. festynie czy wycieczce) z zastrzeżeniem, że osoba odpowiedzialna za dokumentację fotograficzną zadba o to, by nie utrwalać jego wizerunku.
Wymóg konkretności oznacza precyzyjne wskazanie celu i miejsca publikacji. Czy placówka dysponuje zgodą „na wszystko i na zawsze”? Oczywiście, że nie. Praktyka stosowania jednego ogólnego oświadczenia obejmującego bliżej nieokreślone „cele informacyjne i promocyjne” nie spełnia tego wymogu. Prawidłowo skonstruowany formularz powinien umożliwiać rodzicowi odrębne wyrażenie zgody na poszczególne kanały rozpowszechniania (np. oddzielnie na stronę internetową placówki, oddzielnie na publikacje drukowane). Takie podejście respektuje autonomię decyzyjną rodzica i pozwala uniknąć sytuacji, w której brak akceptacji dla jednego kanału przekreśla zgodę na pozostałe.
Wymóg świadomości obliguje administratora do przekazania rodzicowi pełnej informacji o tym, co stanie się z wizerunkiem dziecka, a zatem w jakim kontekście zostanie opublikowany, kto będzie miał do niego dostęp, jak długo pozostanie dostępny i jakie są konsekwencje cofnięcia zgody.
Wymóg jednoznaczności wyklucza wszelkie formy dorozumianego przyzwolenia. Zgoda musi przybrać formę wyraźnego oświadczenia woli – nie może wynikać z milczenia, bierności ani z domyślnie zaznaczonego pola w formularzu.
W przypadku dzieci niepełnoletnich oświadczenie składają rodzice lub opiekunowie prawni. Gdy oboje sprawują pełną władzę rodzicielską, z formalnego punktu widzenia wystarczająca jest zgoda jednego z nich. Niemniej w sytuacjach, w których placówka posiada wiedzę o konflikcie między rodzicami (np. w związku z trwającym postępowaniem rozwodowym), rozsądnym działaniem ochronnym jest uzyskanie zgody obojga. Odmienna sytuacja zachodzi wówczas, gdy władza rodzicielska jednego z rodziców została ograniczona – zakres uprawnień tego rodzica wynika z orzeczenia sądu i to jego treść będzie decydująca. Warto również pamiętać, że uczeń, który ukończył 18 lat, nabywa samodzielną zdolność do cofnięcia zgody wyrażonej wcześniej przez rodziców w jego imieniu.
Elementy wzorcowego formularza
Prawidłowy formularz zgody powinien identyfikować administratora danych (pełna nazwa placówki, adres, dane kontaktowe inspektora ochrony danych), wskazywać cel przetwarzania sformułowany w sposób zrozumiały i konkretny oraz definiować zakres zgody (wyłącznie fotografie czy również nagrania wideo; samo ujęcie czy także podpisanie imieniem i nazwiskiem). Formularz powinien ponadto enumeratywnie wymieniać kanały publikacji z możliwością odrębnego zaznaczenia każdego z nich, zawierać pouczenie o prawie do cofnięcia zgody w dowolnym momencie i o braku wpływu cofnięcia na legalność wcześniejszego przetwarzania, informować o dobrowolności i o braku negatywnych konsekwencji odmowy, a także spełniać pozostałe wymogi, jakie klauzuli informacyjnej stawia art. 13 RODO, w tym wskazywać kategorie odbiorców danych i katalog przysługujących praw. Co istotne, art. 7 ust. 2 RODO wymaga, aby w przypadku gdy zgoda jest wyrażana w formie pisemnego oświadczenia, które dotyczy także innych kwestii, zapytanie o zgodę zostało przedstawione w sposób pozwalający wyraźnie je odróżnić od pozostałych treści, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. W praktyce oznacza to, że zgoda na publikację wizerunku nie powinna być wkomponowana w treść innego dokumentu (np. umowy o świadczenie usług czy karty zapisu dziecka do placówki) lecz stanowić odrębny, wyraźnie wyodrębniony element.
Z organizacyjnego punktu widzenia sprawdza się model dwóch formularzy. Formularz roczny, zbierany na początku roku szkolnego, obejmujący standardowe, cyklicznie powtarzające się formy publikacji. Formularz okolicznościowy stosuje się natomiast wówczas, gdy planowane wykorzystanie wykracza poza zakres zgody rocznej (np. przy profesjonalnej sesji zdjęciowej do kampanii rekrutacyjnej, nagraniu spotu promocyjnego czy współpracy z zewnętrzną redakcją).
Dokumentowanie zgód – zasada rozliczalności w praktyce
Art. 5 ust. 2 RODO formułuje zasadę rozliczalności, zgodnie z którą to na administratorze – a zatem na placówce – spoczywa ciężar wykazania, że przetwarzanie odbywa się zgodnie z przepisami. Zasadę tę wzmacnia art. 7 ust. 1 RODO, który wprost stanowi, że jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych. Co to oznacza w praktyce? Że w przypadku kontroli Prezesa Urzędu Ochrony Danych Osobowych to nie rodzic musi udowodnić, że zgody nie było, lecz to placówka musi udowodnić, że zgoda została wyrażona.
Jednym ze sprawdzonych sposobów spełnienia tego wymogu jest prowadzenie uporządkowanego rejestru zgód, dokumentującego co najmniej dane dziecka, zakres i datę wyrażenia zgody oraz – w przypadku jej cofnięcia – datę i formę tego cofnięcia. Oryginały dokumentów papierowych powinny być przechowywane w warunkach zapewniających ich bezpieczeństwo i poufność. W przypadku zgód wyrażanych drogą elektroniczną konieczne jest zabezpieczenie dowodu ich udzielenia, np. w postaci potwierdzeń systemowych, zrzutów ekranu lub korespondencji e-mail.
Wróćmy do scenariusza z początku artykułu: rodzic żąda usunięcia zdjęcia, sekretariat nie znajduje formularza. Nawet jeśli zgoda faktycznie została wyrażona, brak możliwości jej wykazania stawia placówkę w identycznej sytuacji, jakby zgody nigdy nie udzielono. W razie postępowania kontrolnego organ nadzorczy przyjmie, że przetwarzanie odbywało się bezpodstawnie.
Serwisy społecznościowe – utrata kontroli nad materiałem
Prowadzenie przez placówkę profilu w serwisie społecznościowym jest dziś powszechną praktyką, ale niesie ze sobą ryzyka, które wykraczają poza standardowe publikacje na stronie internetowej placówki.
Po pierwsze, materiał zamieszczony na platformie zewnętrznej podlega regulaminowi tej platformy, nie placówki. Użytkownicy serwisu mogą go udostępniać, kopiować, komentować i placówka nie jest w stanie temu zapobiec. Po drugie, placówka staje się współadministratorem danych wraz z operatorem platformy (potwierdza to dotychczasowe orzecznictwo Trybunału Sprawiedliwości UE), co generuje dodatkowe obowiązki informacyjne. Po trzecie, nawet usunięcie materiału z profilu placówki nie gwarantuje jego faktycznego zniknięcia z sieci – kopie mogą funkcjonować na profilach osób, które zdążyły je pobrać lub udostępnić.
Dlatego w formularzach zgody warto wyraźnie informować rodziców o tych ograniczeniach. Rodzic powinien mieć świadomość, że wyrażając zgodę na publikację w serwisie społecznościowym, akceptuje ryzyko dalszego rozpowszechnienia materiału przez osoby trzecie, nad którymi placówka nie sprawuje kontroli.
Odrębnym problemem jest korzystanie przez nauczycieli z prywatnych urządzeń i prywatnych kont w mediach społecznościowych do dokumentowania wydarzeń w placówce. Pedagog, który fotografuje dzieci podczas wycieczki służbowym aparatem i przekazuje materiały osobie odpowiedzialnej za profil placówki, postępuje prawidłowo. Ten sam pedagog, który wykonuje identyczne zdjęcia prywatnym telefonem i zamieszcza je na swoim osobistym koncie w serwisie społecznościowym, dopuszcza się naruszenia – nawet jeśli oznacza w poście profil placówki. Rodzice wyrazili zgodę na publikację na kanałach placówki, nie na prywatnym koncie pracownika. Dodatkowo dochodzi problem przetwarzania danych na niezabezpieczonym urządzeniu prywatnym, poza kontrolą administratora.
Materiały drukowane – trudność wycofania
Publikacje papierowe (foldery rekrutacyjne, plakaty, ulotki, numery gazetki placówki) wymagają odrębnego zaplanowania z perspektywy ochrony wizerunku. Ich specyfika polega na tym, że po wydruku i dystrybucji wycofanie materiału jest praktycznie niemożliwe lub znacząco utrudnione.
Dla dyrektora oznacza to konieczność szczególnej ostrożności, jak również transparentnego informowania rodziców i dzieci. Przy zbieraniu zgód warto jednoznacznie informować, że obejmują one też materiały papierowe, i wyjaśniać, iż po wydruku cofnięcie zgody nie pozwoli na odzyskanie już rozpowszechnionych egzemplarzy. W publikacjach o długim cyklu życia, takich jak folder prezentujący ofertę placówki wykorzystywany przez kilka lat, rekomendowane jest stosowanie ujęć, na których dzieci nie są indywidualnie rozpoznawalne, lub korzystanie z licencjonowanych zdjęć stockowych. Alternatywnie warto rozważyć przeniesienie kluczowych materiałów promocyjnych do formy elektronicznej, która umożliwia szybką modyfikację lub usunięcie w razie cofnięcia zgody.
Cofnięcie zgody a obowiązki placówki
Prawo do cofnięcia zgody (art. 7 ust. 3 RODO) przysługuje rodzicowi w każdym czasie i nie wymaga uzasadnienia. Cofnięcie powinno być równie proste jak wyrażenie zgody, a placówka nie może wprowadzać nadmiernych formalności utrudniających skorzystanie z tego prawa.
Po otrzymaniu oświadczenia o cofnięciu zgody placówka powinna niezwłocznie odnotować ten fakt w rejestrze zgód wraz z datą oraz usunąć zdjęcia i nagrania z widocznością danego dziecka ze strony internetowej, profili w serwisach społecznościowych i pozostałych materiałów elektronicznych. Równolegle konieczne jest poinformowanie wszystkich osób odpowiedzialnych za publikacje: administratora strony, nauczyciela prowadzącego profile placówki. W przypadku materiałów drukowanych placówki powinna wycofać je z obiegu, jeśli jest to możliwe, a jeśli nie – zaprzestać dalszej dystrybucji.
Wcześniejsze przetwarzanie, dokonane w okresie obowiązywania zgody, pozostaje legalne i nie podlega kwestionowaniu. Cofnięcie zgody aktualizuje jednocześnie prawo do usunięcia danych z art. 17 RODO
(tzw. prawo do bycia zapomnianym). Dlatego jeśli placówka nie dysponuje inną podstawą prawną uzasadniającą dalsze przechowywanie wizerunku, jest zobowiązana do jego trwałego usunięcia.
Szczególną uwagę należy zwrócić na sytuacje, gdy jedno z rodziców wyraziło zgodę, a drugie żąda usunięcia materiałów. Z perspektywy bezpieczeństwa prawnego placówki właściwą reakcją jest potraktowanie sprzeciwu rodzica jako cofnięcia zgody i zaprzestanie publikacji.
Dokumentacja wewnętrzna – co powinna zawierać?
Skuteczna ochrona wizerunku dziecka wymaga nie tylko znajomości przepisów, ale przede wszystkim wdrożenia spójnego systemu procedur wewnętrznych. Dokument regulujący tę materię – niezależnie od tego, czy nosi nazwę polityki, procedury, czy instrukcji – powinien adresować co najmniej następujące zagadnienia: krąg osób objętych regulacją, zasady wykonywania i przechowywania materiałów fotograficznych oraz wideo na terenie placówki i podczas wydarzeń organizowanych przez placówkę, procedurę pozyskiwania i ewidencjonowania zgód, wykaz osób upoważnionych do publikacji wraz z przypisaniem odpowiedzialności za poszczególne kanały, tryb postępowania po cofnięciu zgody (w tym zasady rozpoznawania wniosków podmiotów danych), reguły dotyczące korzystania ze sprzętu służbowego i zakaz wykorzystywania urządzeń prywatnych do utrwalania wizerunku dzieci, a także zasady postępowania w przypadku naruszenia ochrony danych.
Osobnego uregulowania wymaga kwestia fotografowania przez rodziców podczas imprez w placówce. Placówka nie dysponuje podstawą prawną do zakazania rodzicowi utrwalania wizerunku własnego dziecka. Może natomiast (i powinna) informować uczestników wydarzeń o tym, że publikowanie w internecie zdjęć grupowych przedstawiających rozpoznawalne wizerunki cudzych dzieci wymaga zgody ich rodziców. Komunikat taki warto przekazywać na początku każdego wydarzenia, np. poprzez ustne ogłoszenie lub informację umieszczoną przy wejściu.
Typowe nieprawidłowości i jak ich unikać
Doświadczenie z praktyki oświatowej pozwala wskazać kilka powtarzających się nieprawidłowości. Pierwszą z nich jest zbieranie zgody o zbyt ogólnej treści, która nie spełnia wymogu konkretności. Typowe sformułowanie brzmi: „wyrażam zgodę na wykorzystanie wizerunku mojego dziecka w celach związanych z działalnością szkoły”, bez wskazania jakiegokolwiek kanału publikacji.
Drugą jest brak jakiegokolwiek systemu ewidencji – placówka gromadzi formularze, ale nie prowadzi rejestru pozwalającego szybko ustalić, czyj wizerunek można publikować, a czyj nie.
Trzecią jest niereagowanie na cofnięcie zgody, w rezultacie czego materiały pozostają dostępne na stronie internetowej lub w serwisie społecznościowym, mimo że rodzic miesiącami bezskutecznie domaga się ich usunięcia.
Czwartą jest publikowanie materiałów ujawniających wrażliwe informacje o dziecku – zdjęć z zajęć korekcyjno-kompensacyjnych, z gabinetu logopedycznego czy z sal, w których prowadzone są zajęcia rewalidacyjne. Tego rodzaju fotografie mogą pośrednio ujawniać dane dotyczące zdrowia w rozumieniu art. 9 RODO, co podlega znacznie surowszym przesłankom przetwarzania.
Piątą jest brak cyklicznego przeglądu opublikowanych materiałów – na stronie internetowej placówki wciąż widnieją zdjęcia dzieci, które ukończyły przedszkole kilka lat temu lub zgody zostały cofnięte. W takim przypadku placówka może narazić się na zarzut przetwarzania danych pomimo ustania celu, dla którego dane zostały zebrane bądź przetwarzania bez podstawy prawnej. Rekomendacją jest przeprowadzanie co najmniej raz w roku szkolnym przeglądu wszystkich kanałów publikacji pod kątem aktualności zgód i adekwatności opublikowanych treści – tego rodzaju audyt pozwala wykryć i wyeliminować większość opisanych powyżej nieprawidłowości.
Od czego zacząć?
Ochrona wizerunku dziecka wymaga od dyrektora placówki świadomego zarządzania wieloma aspektami prawnymi i organizacyjnymi jednocześnie. Fundamentem jest rozumienie, że wizerunek podlega jednoczesnej ochronie na gruncie RODO, prawa autorskiego i Kodeksu cywilnego. Zgody muszą być konkretne, świadome, dobrowolne i jednoznaczne, z odrębnym wskazaniem każdego kanału publikacji. Zasada rozliczalności z art. 5 ust. 2 RODO wymaga uporządkowanej dokumentacji. Publikacja w mediach społecznościowych niesie ryzyko utraty kontroli nad materiałem i nie może opierać się na podstawie interesu publicznego. Monitoring wizyjny i kształcenie zdalne podlegają szczegółowym regulacjom Prawa oświatowego, ograniczającym zarówno zakres, jak i czas przechowywania danych. We wszystkich tych obszarach obowiązuje zasada minimalizacji z art. 5 ust. 1 lit. c RODO – placówka przetwarza wizerunek wyłącznie w zakresie rzeczywiście niezbędnym.
Konkretny pierwszy krok? Przeprowadzenie audytu wszystkich kanałów publikacji – strony internetowej, profili w serwisach społecznościowych, archiwalnych materiałów – pod kątem aktualności zgód i adekwatności opublikowanych treści. Tego rodzaju przegląd warto przeprowadzać co najmniej raz w roku szkolnym. Skuteczna ochrona wizerunku jest bowiem możliwa wyłącznie wówczas, gdy odpowiednie procedury zostaną nie tylko opracowane, ale też wdrożone i utrwalone w codziennej praktyce – poprzez systematyczne szkolenie wszystkich osób, które mają kontakt z wizerunkiem dzieci.
