Przekazywanie danych uczniów do aquaparku – na jakiej podstawie

Zgodnie z art. 4 pkt 2 RODO "przetwarzanie" oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Jak zatem wynika z przywołanej regulacji udostępnianie jest jedną z operacji wykonywanych na danych osobowych w ramach ich przetwarzania. W przypadku udostępnienia danych podmiot je udostępniający, czyli w opisanym w pytaniu przypadku szkoła, nie będzie już decydował o sposobie i celach przetwarzania danych. Wówczas nie zawiera się umowy powierzenia przetwarzania pomiędzy administratorem a podmiotem przetwarzającym.

To właśnie brak takiej podstawy jest powodem, dla którego w opisanym przypadku powinna zostać zawarta umowa powierzenia przetwarzania danych osobowych między szkołą a aquaparkiem.

Różnica pomiędzy powierzeniem przetwarzania danych a ich udostępnieniem polega natomiast na tym, że w przypadku powierzenia przetwarzania danych podmiot przekazujący dane czyli szkoła nadal decyduje zarówno o sposobie jak i celach przetwarzania danych.

Pobierz wzór umowy powierzenia przetwarzania>>

Odnośnie charakteru danych przekazywanych w ramach umowy należy zwrócić uwagę na zasadę wynikającą z art. 5 ust. 1c RODO, zgodnie z którym przetwarzane dane osobowe powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). Istotnie zatem w ramach umowy nie powinno się przekazywać nadmiernej ilości danych, w szczególności takich, których posiadanie przez podmiot przetwarzający nie jest niezbędne dla realizacji zadania, któremu ma służyć przekazanie danych. Z tego powodu istotnie należy przeanalizować zakres przekazywanych danych i tutaj wątpliwości budzi konieczność przekazania daty urodzenia. Wydaje się, że nie jest to niezbędne, bowiem w przypadku, gdyby uczniowie w ramach zajęć byli przyporządkowywani do poszczególnych grup wiekowych, wówczas wystarczające jest przekazanie samej informacji o klasie, do której uczęszcza uczeń.