Obowiązki lektorów w zakresie RODO w szkole językowej

Zapewnienie bezpieczeństwa informacji w placówce edukacyjnej wymaga wdrożenia restrykcyjnego reżimu organizacyjnego wśród personelu dydaktycznego, bez względu na formę ich zatrudnienia.

Podstawy prawne operowania danymi

Przetwarzanie danych osobowych uczniów przez kadrę musi opierać się na kategorycznej legalności i celowości – wolno je wykorzystywać wyłącznie w celu realizacji usług oświatowych. Udzielenie dostępu uwarunkowane jest formalnym statusem współpracownika: w przypadku pracowników etatowych oraz osób na umowach zlecenia konieczne jest nadanie imiennego upoważnienia. Jeśli współpraca odbywa się w oparciu o kontrakt B2B, obligatoryjne jest zawarcie odrębnej umowy powierzenia przetwarzania danych osobowych.

Bezwzględnie obowiązuje nakaz zachowania poufności, zakazujący wykorzystywania powierzonych baz danych do celów niezwiązanych ze współpracą (np. do samodzielnego pozyskiwania klientów). Administrator musi przy tym stosować regułę minimalnego dostępu, udostępniając konkretnym osobom wyłącznie ten zakres informacji, który jest im bezpośrednio niezbędny.

Środki techniczne i organizacyjne (TOMs)

Standardy bezpieczeństwa narzucają na personel konkretne obowiązki o charakterze technicznym oraz fizycznym:

• Systemy i urządzenia: Wymagane jest korzystanie z indywidualnych kont użytkowników chronionych silnymi hasłami, obligatoryjne wdrożenie uwierzytelniania dwuskładnikowego (2FA) wszędzie tam, gdzie infrastruktura na to pozwala, stosowanie blokad ekranu oraz pełne szyfrowanie przenośnych urządzeń mobilnych.

• Środowisko fizyczne: Dokumentacja papierowa wymaga przechowywania w zamykanych szafach; personel obowiązują procedury „clean desk” (czyste biurko) oraz „clean screen” (czysty ekran).

• Komunikacja: Dopuszczalne jest wykorzystywanie wyłącznie dedykowanych, służbowych skrzynek e-mail oraz zatwierdzonych aplikacji korporacyjnych. Obowiązuje kategoryczny zakaz transmitowania danych osobowych poprzez prywatne komunikatory.

• Utylizacja: Likwidacja danych fizycznych musi odbywać się przy użyciu niszczarek do dokumentów, a w przestrzeni cyfrowej – poprzez bezpieczne kasowanie zawartości nośników.

• Zarządzanie incydentami: Szkoła musi dysponować sformalizowaną i przejrzystą ścieżką zgłaszania naruszeń, połączoną z prowadzonym rejestrem incydentów.

Zleceniobiorca otrzymuje upoważnienie do przetwarzania danych kursantów wyłącznie w celu realizacji zajęć oraz w zakresie wskazanym przez Szkołę. Naruszenie zasad ochrony danych stanowi ciężkie naruszenie obowiązków.

Aby system działał poprawnie, każdy nauczyciel w procesie wdrażania (onboardingu) musi otrzymać pakiet startowy zawierający upoważnienie lub umowę powierzenia oraz instrukcję bezpieczeństwa. Niezbędne jest także zorganizowanie początkowego szkolenia RODO, z obowiązkiem jego corocznej aktualizacji , oraz stosowanie ustandaryzowanych list kontrolnych przy zatrudnianiu i zwalnianiu personelu, gwarantujących skuteczne odebranie dostępów i nośników.