IOD w szkole językowej – czy musi być wyznaczony

Administrator danych osobowych musi wyznaczyć inspektora ochrony danych zawsze gdy:

• przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości;
• główna działalność administratora polega na przetwarzaniu na dużą skalę danych osobowych wrażliwych oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa;
• główna działalność administratora polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę.

W pozostałych przypadkach to administrator danych powinien zdecydować, czy wyznaczyć inspektora.

Jaki status ma szkoła językowa? Szkoła ta, wbrew swojej nazwie, nie jest placówką oświatową. Nie ma ona żadnego wyodrębnionego statusu ani formy prawnej. To nic innego jak przedmiot działalności prowadzonej przez przedsiębiorcę.

Do jednostek sektora finansów publicznych zalicza się np. szkoły publiczne prowadzone przez jednostki samorządu terytorialnego.

Szkoła językowa nie jest podmiotem publicznym. Tym samym status przedsiębiorcy prowadzącego tę szkołę nie obliguje go do wyznaczenia inspektora ochrony danych.

Oczywiste jest, że szkoła językowa nie będzie przetwarzała danych osobowych wrażliwych oraz dotyczących wyroków skazujących i naruszeń prawa. Pozostaje więc trzecia z przesłanek a mianowicie sytuacja, gdy główna działalność administratora polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę.

Czym jest duża skala? To sformułowanie nieostre, tzw. klauzula generalna. Operacje przetwarzania o dużej skali to operacje, które służą przetwarzaniu znacznej ilości danych osobowych na szczeblu regionalnym, krajowym lub ponadnarodowym i które mogą wpłynąć na dużą liczbę osób, których dane dotyczą, oraz które mogą powodować wysokie ryzyko (motyw 91 RODO). To pewna wskazówka interpretacyjna. ale nie wyjaśnia ona jak duży ma być zakres przetwarzanych danych albo jak dużej ilości osób dane są przetwarzane w danej szkole aby mówić o przetwarzaniu na dużą skalę.

Aby określić, czy przedsiębiorca prowadzący szkołę językową przetwarza dane na dużą skalę, powinien on wziąć pod uwagę:

• liczbę osób, których dane są przetwarzane (podmiotów danych) - np. liczbę uczniów;
• zakres przetwarzanych danych osobowych –czy np. szkoła ogranicza się wyłącznie do podstawowych danych (imię, nazwisko, adres) czy też przetwarza np. dane wrażliwe uczniów;
• obszar, na którym dane są przetwarzane – czy np. szkoła przekazuje dane osobowe uczniów do państwa trzecich (poza Europejski Obszar Gospodarczy);
• czas, przez jaki dane są przetwarzane – czy np. szkoła przetwarza dane po zakończeniu edukacji przez ucznia, przez długi czas.

Oczywiście to nie wszystko. Należy ustalić, czy wspomniana duża skala dotyczy regularnego i systematycznego monitorowania podmiotów danych.