Asmens duomenų apsauga mokykloje: kada privalomas duomenų apsaugos pareigūnas

Valstybinė ar savivaldybės mokykla, mūsų vertinimu, privalo turėti duomenų apsaugos pareigūną. Tai lemia ne mokinių skaičius ir ne tai, kokius duomenis ji tvarko, o tai, kas ji yra. Bendrasis duomenų apsaugos reglamentas (toliau – BDAR) pareigą sieja su valdžios institucija ar įstaiga (BDAR 37 str. 1 d. a p.), o šią sąvoką Lietuvoje apibrėžia Asmens duomenų teisinės apsaugos įstatymas (toliau – ADTAĮ) 2 str. 2 d. Nevalstybinei mokyklai atsakymas nėra savaime aiškus: jį reikia įvertinti ir užrašyti.

Toliau – ką numato pats Švietimo įstatymas, kuo mokykla grindžia tvarkymą, kada pareigūnas privalomas ir kas gresia be jo.

Mokykla kaip duomenų valdytoja

Duomenų valdytojas yra tas, kuris nustato duomenų tvarkymo tikslus ir priemones. Kai tikslus ir priemones nustato teisė, valdytoją gali nustatyti ta pati teisė (BDAR 4 str. 7 p.). Švietimo įstatymas (toliau – ŠĮ) nustato, kad valstybinė ir savivaldybės mokykla yra viešasis juridinis asmuo, veikiantis kaip biudžetinė arba viešoji įstaiga, o nevalstybinė mokykla yra juridinis asmuo (ŠĮ 43 str. 1 d.). Todėl už mokinių, tėvų ir darbuotojų duomenis, kuriuos mokykla tvarko savo veikloje, atsako ji pati, o ne savivaldybė.

Tačiau ne visas tvarkymas, kuriame mokykla dalyvauja, yra jos. Švietimo įstatymas numato kelias centralizuotas sistemas ir mokyklos pareigas:

• Mokinių registro ir kitų švietimo registrų informacines sistemas steigia ir valdo Švietimo, mokslo ir sporto ministerija. Ji yra šių sistemų duomenų, įskaitant asmens duomenis, valdytoja (ŠĮ 56 str. 1 d. 6 p.). Mokinių registre tvarkomi duomenys apie mokinius, jų programas, mokyklą, ugdymo organizavimą, pasiekimus ir įgytą išsilavinimą (ŠĮ 76 str. 2 d.).
• Švietimo valdymo informacinės sistemos (ŠVIS) ir joje tvarkomų duomenų valdytoja taip pat yra ministerija (ŠĮ 73 str. 2 d.).
• Prašymų priimti į valstybines ir savivaldybių mokyklas pateikimas, eilės sudarymas, priimtų mokinių sąrašų tvirtinimas ir mokinių duomenų tvarkymas vykdomi centralizuotai, ministro nustatyta tvarka (ŠĮ 29 str. 2¹ d., įsigaliojusi 2026 m. sausio 1 d.).
• Mokykla gali vykdyti bendrojo ugdymo programas tik tada, kai ugdymo apskaitai jos dienynai sudaromi elektroninių dienynų pagrindu (ŠĮ 43 str. 8 d. 3 p.).

Mokinių registro ir ŠVIS duomenų valdytoja yra ministerija. Kas yra centralizuoto priėmimo ir elektroninio dienyno duomenų valdytojas, ŠĮ nenurodo: priėmimą administruoja viešoji įstaiga „Mokausi Lietuvoje“ (ŠĮ 29 str. 8¹ d.), o dėl elektroninio dienyno mokykla turi pati įvertinti savo vaidmenį (BDAR 4 str. 7 p.). Jei dienyno paslaugą teikia tiekėjas, tvarkantis duomenis mokyklos vardu, su juo reikia sutarties ar kito teisės akto pagal BDAR 28 str. 3 d. Už tai, ką mokykla renka pati, kam perduoda ir kiek laiko saugo, atsako mokykla.

Kodėl vaikų duomenims taikomas griežtesnis matas

BDAR nurodo, kad vaikams reikia ypatingos asmens duomenų apsaugos, nes jie gali nepakankamai suvokti pavojus, pasekmes, apsaugos priemones ir savo teises (BDAR 38 konstatuojamoji dalis). Tai matyti ir BDAR tekste: vertinant teisėtą interesą, vaiko interesams skiriamas ypatingas dėmesys (BDAR 6 str. 1 d. f p.).

Mokinio duomenys nėra tik vardas ir pažymiai. Specialieji ugdymosi poreikiai gali atsirasti dėl įgimtų ar įgytų sutrikimų (ŠĮ 2 str. 26 d.), o pedagoginė psichologinė tarnyba juos vertina ir medicininiu aspektu (ŠĮ 14 str. 3 d.). Su jais susijusi informacija gali atskleisti vaiko sveikatą. Sveikatos duomenis tvarkyti draudžiama, nebent taikoma viena iš BDAR 9 str. 2 d. išimčių (BDAR 9 str. 1 d.).

Kuo mokykla grindžia duomenų tvarkymą

Mokykla tvarko duomenis todėl, kad to reikalauja įstatymas, arba todėl, kad vykdo jai pavestą viešąją užduotį – ugdymą. Tai du BDAR pagrindai: teisinė prievolė (BDAR 6 str. 1 d. c p.) ir užduotis, vykdoma viešojo intereso labui arba vykdant viešosios valdžios funkcijas (BDAR 6 str. 1 d. e p.). Abiem atvejais pagrindas turi būti nustatytas ES ar valstybės narės teisėje (BDAR 6 str. 3 d.). Mokyklai tai yra Švietimo įstatymas ir pagal jį priimti teisės aktai. Teisėtu interesu valdžios institucijos, vykdydamos savo užduotis, remtis negali (BDAR 6 str. 1 d. antroji pastraipa).

Sutikimas tinka tik ten, kur tėvai ar mokinys iš tikrųjų gali atsisakyti sutikti ar sutikimą atšaukti nepatirdami žalos (BDAR 42 konstatuojamoji dalis). BDAR nurodo, kad sutikimas neturėtų būti pagrindas, kai šalių padėtis aiškiai nelygi, ypač kai valdytojas yra valdžios institucija (BDAR 43 konstatuojamoji dalis). Klasės sąrašas, pažymiai ar lankomumas sutikimu negrindžiami. Kada sutikimas galioja, rašome straipsnyje apie sutikimą pagal BDAR. Kaip tai veikia su nuotraukomis, kai tėvai nesutaria, aptarėme straipsnyje apie vaiko nuotraukas mokykloje.

Kada duomenų apsaugos pareigūnas mokyklai privalomas

Pareigūną privaloma skirti, kai duomenis tvarko valdžios institucija ar įstaiga, išskyrus teismus, vykdančius teismines funkcijas (BDAR 37 str. 1 d. a p.). BDAR šios sąvokos neapibrėžia. 29 straipsnio darbo grupė Gairėse dėl duomenų apsaugos pareigūnų (WP 243 rev.01) nurodė, kad ją reikia aiškinti pagal nacionalinę teisę.

ADTAĮ 2 str. 2 d. valdžios institucijomis ir įstaigomis laiko valstybės ir savivaldybių institucijas ir įstaigas, įmones ir viešąsias įstaigas. Jos turi atitikti dvi sąlygas:

• Jos yra finansuojamos iš valstybės ar savivaldybių biudžetų ir valstybės pinigų fondų.
• Jos yra Viešojo administravimo įstatymo nustatyta tvarka įgaliotos atlikti viešąjį administravimą arba teikia asmenims viešąsias ar administracines paslaugas, ar vykdo kitas viešąsias funkcijas.

Valstybinė ar savivaldybės mokykla yra biudžetinė arba viešoji įstaiga, kurios savininkė arba viena iš dalininkų yra valstybė ar savivaldybė (ŠĮ 43 str. 1 d., 2 str. 25 ir 37 d.). Formaliojo švietimo programos joje finansuojamos mokymo lėšomis iš valstybės ir savivaldybių biudžetų (ŠĮ 67 str. 1 d.). Mūsų vertinimu, švietimo teikimas yra viešoji paslauga ar viešoji funkcija šios sąvokos prasme. Todėl pareigūnas tokiai mokyklai privalomas, nesvarbu, kiek joje mokinių ir kokius duomenis ji tvarko. Kitoms organizacijoms taikomus kriterijus aptarėme straipsnyje ar mūsų organizacijai privalomas duomenų apsaugos pareigūnas.

Nevalstybinė mokykla: atsakymą reikia įvertinti

Nevalstybinė mokykla yra mokykla, kurios savininkė ar viena iš dalininkų nėra valstybė ar savivaldybė (ŠĮ 2 str. 20 d.). Mokykla, kurios dalininkai yra ir savivaldybė ar valstybė, ir privatūs asmenys, pagal ŠĮ 2 str. 20, 25 ir 37 d. gali atitikti abi sąvokas, todėl jai taikytinas ir šis vertinimas. Nevalstybinei mokyklai reikia patikrinti tris kelius.

ADTAĮ sąvoka. ADTAĮ 2 str. 2 d. mini ir viešąsias įstaigas, finansuojamas iš biudžetų. Mokymo lėšos skiriamos ir nevalstybinėms mokykloms (ŠĮ 67 str. 1 d.). Ar žodžiai „valstybės ir savivaldybių“ apima visas išvardytas formas, ar viešoji įstaiga su privačiais dalininkais taip pat patenka į sąvoką, įstatymo tekstas vienareikšmiškai neatsako. Nevalstybinė mokykla, veikianti kaip viešoji įstaiga ir gaunanti mokymo lėšas, šios rizikos neturėtų atmesti be įvertinimo.

Stebėsena dideliu mastu. Pareiga atsiranda, kai pagrindinė veikla yra duomenų tvarkymo operacijos, dėl kurių būtina reguliariai ir sistemingai dideliu mastu stebėti žmones (BDAR 37 str. 1 d. b p.). Mūsų vertinimu, ugdymas savaime nėra stebėsena šia prasme. Vertinimas gali keistis, jei mokykla nuolat stebi mokinius kameromis ar sistemomis, analizuojančiomis jų elgesį: Gairėse tarp stebėsenos pavyzdžių nurodytas ir vaizdo stebėjimas.

Specialių kategorijų duomenys dideliu mastu. Pareiga atsiranda, kai pagrindinė veikla yra specialių kategorijų duomenų tvarkymas dideliu mastu (BDAR 37 str. 1 d. c p.). Gairės pagrindine veikla laiko ir tvarkymą, kuris neatsiejamas nuo veiklos. Mūsų vertinimu, bendrojo ugdymo mokyklai, kuri sveikatos duomenis tvarko tik tiek, kiek reikia pagalbai atskiriems mokiniams, šį kriterijų pritaikyti sunku. Mokyklai, kurios veikla yra mokinių su specialiaisiais ugdymosi poreikiais ugdymas, jį reikia vertinti atidžiai.

Gairėse rekomenduojama užrašyti vidinę analizę, kodėl pareigūnas skiriamas ar neskiriamas, nebent atsakymas akivaizdus, o viešąsias užduotis vykdančioms privačioms organizacijoms pareigūną skirti kaip gerąją praktiką. Pasak Gairių, savanoriškai paskirtam pareigūnui taikomi tie patys BDAR 37–39 str. reikalavimai.

Vienas pareigūnas kelioms mokykloms

Kai valdytojas yra valdžios institucija ar įstaiga, vienas pareigūnas gali būti skiriamas kelioms įstaigoms, atsižvelgiant į jų struktūrą ir dydį (BDAR 37 str. 3 d.). Pareigūnas gali būti darbuotojas arba dirbti pagal paslaugų sutartį (BDAR 37 str. 6 d.). Gairės priduria, kad valdytojas turi užtikrinti, jog toks pareigūnas, prireikus su komanda, galėtų veiksmingai atlikti užduotis visose įstaigose. Kiekviena mokykla lieka atskira valdytoja: ji paskelbia pareigūno kontaktus ir praneša juos priežiūros institucijai (BDAR 37 str. 7 d.).

Ką pareigūnas daro ir kas juo negali būti

Pareigūnas informuoja ir konsultuoja mokyklą ir jos darbuotojus, stebi, kaip laikomasi BDAR, paprašius konsultuoja dėl poveikio duomenų apsaugai vertinimo ir bendradarbiauja su Valstybine duomenų apsaugos inspekcija (BDAR 39 str. 1 d.). Mokykla turi jį laiku įtraukti į visus duomenų apsaugos klausimus (BDAR 38 str. 1 d.). Pareigūnas negauna nurodymų dėl savo užduočių ir atsiskaito aukščiausio lygio vadovybei (BDAR 38 str. 3 d.). Kitos jo pareigos negali kelti interesų konflikto (BDAR 38 str. 6 d.). Todėl mokyklos vadovas ar jo pavaduotojas, kuris pats sprendžia, kokius duomenis mokykla renka, pareigūnu būti negali: jis turėtų prižiūrėti savo paties sprendimus. Gairėse nurodyta, kad pareigūnas negali eiti pareigų, kuriose jis nustato duomenų tvarkymo tikslus ir priemones, ir kad tai vertinama kiekvienu atveju atskirai.

Kas gali nutikti

Jei pareigūnas nepaskirtas ar neturi nepriklausomumo, pažeidžiami BDAR 37–39 str. reikalavimai. Tai pažeidimai, nurodyti BDAR 83 str. 4 d. a p. Valstybinei ar savivaldybės mokyklai už juos gali būti skirta bauda iki 0,5 procento įstaigos einamųjų metų biudžeto ir kitų praėjusiais metais gautų bendrųjų metinių pajamų dydžio, bet ne didesnė negu trisdešimt tūkstančių eurų (ADTAĮ 33 str. 1 d.).

Už tvarkymą be teisinio pagrindo ar remiantis negaliojančiu sutikimu (BDAR 83 str. 5 d. a p.) riba yra iki 1 procento tų pačių pajamų, bet ne daugiau negu šešiasdešimt tūkstančių eurų (ADTAĮ 33 str. 2 d.). Jei įstaiga vykdo ūkinę komercinę veiklą, taikomos bendrosios BDAR baudos (ADTAĮ 33 str. 3 d.).

Nevalstybinei mokyklai, kuri nėra valdžios įstaiga, taikomos bendrosios BDAR ribos: iki dešimties milijonų eurų arba įmonei iki 2 % metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 4 d.), o už principų ir pagrindų pažeidimus – iki dvidešimties milijonų eurų arba iki 4 %, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 5 d.). Kas be baudos dar gresia įstaigai, rašome straipsnyje apie baudas valstybės ir savivaldybės įstaigoms.

Kada kreiptis į teisininką

• kai mokykla neturi paskirto pareigūno arba nepranešė jo kontaktų priežiūros institucijai;
• kai pareigūno funkcijas atlieka mokyklos vadovas, jo pavaduotojas ar IT administratorius;
• kai esate nevalstybinė mokykla ir nežinote, ar jums taikoma ADTAĮ 2 str. 2 d. sąvoka;
• kai savivaldybė planuoja vieną pareigūną kelioms mokykloms;
• kai tvarkymas grindžiamas tėvų sutikimu, nors atsisakyti tėvai realiai negali;
• kai gavote Valstybinės duomenų apsaugos inspekcijos paklausimą ar tėvų skundą.