Przetwarzanie danych wrażliwych uczniów przez poradnię psychologiczno-pedagogiczną – na jakiej podstawie?

Przetwarzanie danych osobowych szczególnej kategorii jest dopuszczalne m.in. wówczas, gdy:

• osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, (art. 9 ust. 2 lit. a RODO),
• przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą (art. 9 ust. 2 lit. b RODO),
• przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą (art. 9 ust. 2 lit. g RODO).

Odnosząc się do powyższych celów należy wskazać, co następuje:

1. Pytanie dotyczy przetwarzania danych wrażliwych uczniów korzystających z poradni. Tymczasem lit. b dotyczy kwestii związanych ze sprawami pracowniczymi, ubezpieczeń społecznych (emerytury, renty, inne świadczenia) i ochrony socjalnej. Zaś dane uczniów przetwarzane są w związku z realizacją zadań oświatowych, które mnie mieszczą się ani w dziedzinie prawa pracy, zabezpieczenia społecznego ani też ochrony socjalnej. Art. 9 ust. 2 lit. b RODO nie może więc stanowić podstawy prawnej przetwarzania danych wrażliwych w przedstawionym przypadku.
2. Pojęcie ważnego interesu publicznego nie zostało zdefiniowane w RODO. Niemniej jednak należy zwrócić tu uwagę, że dopuszczalność przetwarzania danych wrażliwych w realizacji interesu publicznego powinna zostać przewidziana w ustawodawstwie unijnym lub krajowym (sformułowanie "na podstawie prawa Unii lub prawa państwa członkowskiego"). Aktualnie brak jest regulacji przewidujących upoważnienie do przetwarzania danych wrażliwych przez poradnie psychologiczno-pedagogiczne. Powołanie się na taką przesłankę przetwarzania danych jest więc dość ryzykowne.

Należy więc przyjąć, że prawidłową podstawą prawną przetwarzania danych wrażliwych przez poradnię jest art. 9 ust. 2 lit. a RODO, tj. wyraźna zgoda na przetwarzanie danych osobowych przez podmiot danych w jednym lub kilku konkretnych celach.