GDPR pentru școli și grădinițe: datele elevilor, fotografii și DPO

Școlile și grădinițele de stat sunt autorități publice, deci trebuie să numească un responsabil cu protecția datelor (art. 37 alin. (1) lit. a) din GDPR). Ele prelucrează în principal date ale minorilor: catalog, dosare, date medicale, fotografii și conturi pe platforme online. Publicarea fotografiilor cu copiii necesită, de regulă, acordul scris al părinților, separat de înscriere.

Unitățile de învățământ de stat sunt autorități publice. Pentru ele, art. 37 alin. (1) lit. a) din Regulamentul (UE) 2016/679 impune desemnarea unui responsabil cu protecția datelor, indiferent de numărul de elevi. Criteriile sunt explicate în ghidul cine are nevoie de DPO.

Pe lângă DPO, școala are aceleași obligații ca orice operator:

registrul activităților de prelucrare (art. 30), care acoperă secretariatul, cadrele didactice, cabinetul medical și administrația;
note de informare pentru părinți, elevi și personal (art. 13–14), scrise pe înțelesul părinților;
respectarea drepturilor persoanelor vizate (art. 15–22), exercitate de regulă de părinți în numele copiilor;
măsuri de securitate pentru catalog, dosare, calculatoarele din secretariat și conturile pe platforme (art. 32);
procedură de notificare a incidentelor în 72 de ore (art. 33–34);
contracte de împuternicire (art. 28) cu furnizorii de catalog electronic, platforme educaționale și servicii IT.

Specificul școlii este că majoritatea persoanelor vizate sunt copii. GDPR cere o protecție sporită pentru datele minorilor, fiindcă aceștia înțeleg mai greu riscurile.

Ce date prelucrați

Activitate	Date prelucrate	Temei legal
Înscriere și dosarul elevului	certificat de naștere, CNP, domiciliu, date ale părinților	art. 6 alin. (1) lit. c) și e)
Catalog, situații școlare, SIIIR	note, absențe, medii, situații disciplinare	art. 6 alin. (1) lit. c) și e)
Cabinet medical școlar, scutiri	fișa medicală, adeverințe, alergii, vaccinări	art. 9 alin. (2) lit. h)
Cerințe educaționale speciale	certificat de orientare școlară, evaluări, diagnostic	art. 6 alin. (1) lit. e), art. 9 alin. (2) lit. g) sau h)
Burse și sprijin social	venituri ale familiei, situația socială	art. 6 alin. (1) lit. c)
Platforme online și conturi de elev	nume, adresă de e-mail, activitate pe platformă	art. 6 alin. (1) lit. e)
Fotografii și filmări publicate	imaginea copiilor	art. 6 alin. (1) lit. a), acordul părinților
Supraveghere video	imaginea elevilor, a personalului și a vizitatorilor	art. 6 alin. (1) lit. e); pentru personal, și art. 5 din Legea 190/2018
Resurse umane	dosare de personal, salarii, concedii medicale	art. 6 alin. (1) lit. b) și c), art. 9 alin. (2) lit. b)

Fotografiile cu copiii și acordul părinților

Fotografiile de la serbări, concursuri sau excursii sunt cea mai vizibilă prelucrare dintr-o școală. Publicarea lor pe site, pe Facebook sau în presa locală nu este necesară pentru actul educațional, deci se bazează pe consimțământul părinților. Ca să fie valabil:

acordul se cere separat de cererea de înscriere și nu se bifează implicit;
formularul precizează unde se publică imaginile (site, rețele sociale, revista școlii, afișe);
refuzul nu are nicio consecință pentru copil, care participă în continuare la activități;
părinții pot retrage acordul oricând, iar școala scoate fotografiile de pe canalele proprii;
numele complet al copilului nu se asociază cu fotografia fără motiv.

Fotografiile făcute de părinți la serbare pentru uz personal sunt altă discuție; școala poate însă cere părinților, prin regulament, să nu le publice pe cele în care apar alți copii.

Catalog, platforme și camere video

Catalogul pe hârtie se păstrează încuiat, iar cel electronic se folosește doar cu conturi individuale, fiecare părinte având acces la situația propriului copil. Situațiile școlare, absențele și sancțiunile unui elev nu se discută în grupuri comune și nu se afișează pe hol.

Platformele online folosite pentru lecții sau teme trebuie alese de școală, nu de fiecare profesor separat, și configurate cu conturi create de școală. Furnizorul platformei este împuternicit, deci este nevoie de un contract cu clauzele din art. 28.

Camerele video se montează la intrări, pe holuri și în curte, cu semnalizare vizibilă și termen de păstrare stabilit. Detalii în ghidul despre supravegherea video conform GDPR.

Greșeli frecvente

liste cu note, absențe sau probleme de sănătate trimise în grupul de mesagerie al clasei;
un singur acord generic pentru „orice fotografie, oriunde”, semnat la înscriere;
cadre didactice care folosesc conturi personale pe platforme alese individual;
dosare cu certificate medicale și evaluări psihologice ținute în dulapuri neîncuiate;
parola de la catalogul electronic împărtășită între colegi;
lipsa unui DPO desemnat, deși unitatea este de stat.

Cum vă putem ajuta

Pentru o școală sau o grădiniță, primul pas este o implementare GDPR adaptată unității de învățământ: inventarul datelor, registrul, notele de informare pentru părinți, formularul de acord pentru fotografii și regulile pentru grupurile de mesagerie. Pentru catalog, platforme și camere facem o analiză a riscurilor pentru datele elevilor.

Pentru a respecta obligația legală, putem prelua rolul de DPO extern al școlii. Organizăm și instruire GDPR pentru cadrele didactice și secretariat, cu situațiile de zi cu zi: ședințe cu părinții, excursii, concursuri, grupuri online.

Fondatorul firmei are 23 de ani de experiență, dintre care 14 în securitate, și este manager de securitate certificat și evaluator de risc la securitatea fizică, ceea ce ajută la accesul în clădire și la sistemele video. Venim la sediu în Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța și lucrăm online cu unități din restul țării.

Cât costă

Pentru unitățile cu sub 40 de angajați, abonamentul este 1.500 lei pe trimestru, preț final, deoarece firma nu este plătitoare de TVA. Pentru unitățile mai mari facem o ofertă. Toate detaliile sunt pe pagina de prețuri.

Întrebări frecvente

O școală de stat are nevoie de DPO?

Da. Unitățile de învățământ de stat sunt autorități publice, iar art. 37 alin. (1) lit. a) din GDPR le obligă să desemneze un responsabil cu protecția datelor. Același DPO poate fi desemnat pentru mai multe unități, conform art. 37 alin. (3).

Pot publica pe pagina de Facebook a școlii fotografii de la serbare?

Doar cu acordul părinților copiilor care apar în fotografii, cerut separat de actele de înscriere, pentru scopuri precise (site, rețele sociale, revista școlii). Acordul poate fi refuzat sau retras fără consecințe pentru copil, iar fotografiile acelor copii nu se publică.

Este legal un grup de WhatsApp al părinților administrat de învățătoare?

Grupul poate fi folosit pentru anunțuri, dar în el nu trebuie să circule note, situații disciplinare, probleme de sănătate sau documente ale copiilor. Informațiile despre un anumit elev se comunică doar părinților acestuia.

Putem monta camere video în sălile de clasă?

Camerele în sala de clasă monitorizează atât elevii, cât și cadrele didactice și sunt greu de justificat. Holurile, intrările și curtea sunt zonele obișnuite. Pentru personal se aplică art. 5 din Legea 190/2018: informare prealabilă, consultarea sindicatului sau a reprezentanților salariaților și păstrarea imaginilor cel mult 30 de zile, cu excepțiile prevăzute.

Grădinițele particulare au aceleași obligații?

Au aceleași obligații generale din GDPR: registru, informare, securitate, contracte cu furnizorii. Obligația de a numi DPO nu decurge automat din art. 37 alin. (1) lit. a), fiindcă nu sunt autorități publice, dar se analizează de la caz la caz.

Vorbiți direct cu consultantul, nu cu un call-center

Spuneți-ne ce fel de organizație sunteți și câți angajați aveți. În aceeași zi primiți un răspuns clar despre ce documente vă lipsesc și cât costă.

Sună: 0735 77 66 73 Cere o ofertă scrisă

Luni–Vineri, 10:00–18:00 · [email protected]

Ce obligații GDPR are o școală sau o grădiniță