Szkoła wdraża nowe narzędzie cyfrowe, uczniowie zakładają w nim konta, a rodzic dowiaduje się o tym z komunikatu w dzienniku elektronicznym. RODO w szkole a AI to temat, o którym mówi się mało, choć dotyczy rzeczy konkretnej: danych dziecka przekazywanych zewnętrznym dostawcom przez instytucję, która ma obowiązek chronić te dane. Rodzic ma tu więcej praw, niż mu się wydaje, i warto z nich korzystać spokojnie, ale konsekwentnie.
Ten tekst wyjaśnia, kto za co odpowiada, o co można zapytać i jak brzmi pytanie, które zwykle porządkuje sytuację najszybciej. Nie zastępuje porady prawnej. Należy do działu Jak kraje chronią dzieci przed AI i całości opisanej w głównym przewodniku AI a dziecko.
W skrócie
- Administratorem danych ucznia jest szkoła, a nie dostawca narzędzia.
- Przekazanie danych zewnętrznej usłudze wymaga podstawy prawnej i umowy powierzenia.
- Rodzic ma prawo wiedzieć, jakie dane i w jakich systemach są przetwarzane.
- W szkole działa inspektor ochrony danych i to do niego kieruje się pytania.
- Zgoda rodzica nie jest podstawą do wszystkiego i nie zastępuje oceny ryzyka przez szkołę.
Kto tu za co odpowiada
Administratorem danych osobowych ucznia jest szkoła, ponieważ to ona decyduje o celach i sposobach ich przetwarzania. Dostawca narzędzia cyfrowego działa zwykle jako podmiot przetwarzający, czyli wykonuje operacje na danych w imieniu szkoły i na podstawie zawartej z nią umowy powierzenia. To rozróżnienie ma praktyczne znaczenie, bo oznacza, że pytania kieruje się do szkoły, a nie do firmy zza oceanu.
W każdej szkole publicznej działa też inspektor ochrony danych, którego dane kontaktowe powinny być dostępne na stronie placówki. To właściwy adres dla pytań o to, jakie systemy są używane i na jakiej podstawie. Kontakt z nim nie jest krokiem konfliktowym, tylko normalną procedurą, podobnie jak pytanie o zasady opisane w tekście Regulamin AI w klasie.
| Pytanie | Do kogo |
|---|---|
| Jakie narzędzia cyfrowe używane są w klasie | Wychowawca lub dyrekcja |
| Jakie dane ucznia trafiają do dostawców | Inspektor ochrony danych |
| Na jakiej podstawie prawnej | Inspektor ochrony danych |
| Czy jest umowa powierzenia | Inspektor ochrony danych |
| Czy przeprowadzono ocenę skutków | Inspektor ochrony danych |
| Brak odpowiedzi lub odpowiedź wymijająca | Skarga do Prezesa UODO |
Zgoda nie jest odpowiedzią na wszystko
Szkoły często proszą rodziców o zgodę na korzystanie z narzędzia i traktują to jako załatwienie sprawy. Tymczasem zgoda jest tylko jedną z możliwych podstaw przetwarzania danych i nie zwalnia szkoły z obowiązku oceny, czy dane narzędzie w ogóle powinno być używane oraz jakie dane są mu przekazywane.
Co więcej, zgoda musi być dobrowolna, a w relacji szkoła-rodzic dobrowolność bywa iluzoryczna, jeśli odmowa oznacza wykluczenie dziecka z zajęć. Dlatego warto pytać nie o to, czy podpisaliśmy zgodę, tylko o to, jakie dane są przetwarzane i po co. To pytanie prowadzi do sedna, a pytanie o zgodę zwykle do formularza.
Ocena skutków, czyli sprawdzenie przed wdrożeniem
Przy narzędziach przetwarzających dane na dużą skalę albo w sposób mogący powodować wysokie ryzyko dla praw osób, administrator ma obowiązek przeprowadzić ocenę skutków dla ochrony danych. W kontekście szkolnym dotyczy to zwłaszcza systemów analizujących zachowanie, postępy albo aktywność uczniów.
Pytanie o to, czy taka ocena została przeprowadzona, jest jednym z najskuteczniejszych, jakie rodzic może zadać, bo od razu pokazuje, czy wdrożenie było przemyślane. Warto też pamiętać, że unijne przepisy o sztucznej inteligencji zaliczają systemy stosowane w edukacji do kategorii wysokiego ryzyka, co nakłada dodatkowe obowiązki. Piszę o tym w tekście AI Act a dzieci.
Prawa, z których warto korzystać
Rodzic działający w imieniu dziecka ma prawo dostępu do informacji o przetwarzanych danych, ich sprostowania oraz, w określonych sytuacjach, usunięcia. Ma także prawo wiedzieć, komu dane są przekazywane i jak długo są przechowywane. Wniosek kieruje się do szkoły, najlepiej pisemnie, a odpowiedź powinna nadejść w terminie przewidzianym przepisami.
Jeśli szkoła nie odpowiada albo odpowiedź jest wymijająca, przysługuje skarga do Prezesa Urzędu Ochrony Danych Osobowych. To narzędzie warto traktować jako ostateczność, bo zwykle wystarcza rozmowa, ale sama świadomość jego istnienia zmienia ton wielu rozmów. Prawa dotyczące usług komercyjnych opisuję w tekście Dane dziecka w aplikacjach z AI.
Jak o to pytać, żeby nie zrobić awantury
Ton ma tu duże znaczenie, bo szkoła zwykle nie działa w złej wierze, tylko wdraża narzędzia bez pełnej analizy, często pod presją czasu. Pytanie zadane jako zainteresowanie działa lepiej niż zarzut: chciałabym wiedzieć, jakie dane mojego dziecka trafiają do tego systemu i na jakiej podstawie.
Dobrym momentem jest zebranie, bo temat dotyczy wszystkich rodziców, a pytanie zadane publicznie zwykle uruchamia rozmowę, której nikt wcześniej nie zaczął. Warto też poprosić o odpowiedź na piśmie, co nie jest gestem nieufności, tylko normalną praktyką. Jak przygotować takie wystąpienie, opisuję w tekście Zebranie z rodzicami o AI.
Co powinna zrobić szkoła
Sensowna praktyka szkolna obejmuje cztery rzeczy. Po pierwsze, spis używanych narzędzi cyfrowych wraz z informacją, jakie dane przetwarzają. Po drugie, umowy powierzenia z dostawcami i sprawdzenie, gdzie dane są przechowywane. Po trzecie, informacja dla rodziców napisana zrozumiałym językiem, a nie skopiowana klauzula.
Po czwarte, zasada minimalizacji: do narzędzia trafia tylko tyle danych, ile jest niezbędne, a konta uczniów zakłada się bez podawania nadmiarowych informacji. Ta ostatnia zasada bywa najczęściej pomijana, a rozwiązuje najwięcej problemów, tak samo jak ograniczanie danych w usługach opisanych w tekście Dane dziecka w aplikacjach z AI. Zasady korzystania z narzędzi w klasie opisuję w tekście AI w klasie.
Co zrobić dziś
- Sprawdź na stronie szkoły dane kontaktowe inspektora ochrony danych.
- Zapytaj wychowawcę, jakie narzędzia cyfrowe wykorzystywane są w klasie.
- Zadaj jedno pytanie na piśmie: jakie dane dziecka trafiają do tych systemów i na jakiej podstawie.
- Sprawdź, czy konto szkolne dziecka nie zawiera nadmiarowych danych.
Czego nie robić
- Nie kieruj pytań do dostawcy narzędzia. Administratorem jest szkoła.
- Nie zakładaj, że podpisana zgoda załatwia sprawę. To tylko jedna z możliwych podstaw.
- Nie zaczynaj od skargi. Zwykle wystarcza pytanie zadane spokojnie i na piśmie.
- Nie odpuszczaj przy wymijającej odpowiedzi. Masz prawo do konkretnej informacji.
Najczęstsze pytania
Kto odpowiada za dane ucznia w szkolnych narzędziach cyfrowych?
Administratorem jest szkoła, ponieważ to ona decyduje o celach i sposobach przetwarzania. Dostawca narzędzia działa zwykle jako podmiot przetwarzający, na podstawie umowy powierzenia zawartej ze szkołą.
Czy rodzic ma prawo wiedzieć, jakie systemy szkoła wykorzystuje?
Tak. Rodzic działający w imieniu dziecka ma prawo do informacji o przetwarzanych danych, o odbiorcach oraz o okresie przechowywania. Pytania kieruje się do szkoły, najlepiej przez inspektora ochrony danych.
Czy zgoda rodzica wystarczy, żeby szkoła mogła używać dowolnego narzędzia?
Nie. Zgoda jest jedną z możliwych podstaw przetwarzania i nie zwalnia szkoły z obowiązku oceny, jakie dane są przekazywane i czy jest to niezbędne. Dodatkowo zgoda musi być dobrowolna.
Co zrobić, gdy szkoła nie odpowiada na pytania o dane?
Najpierw ponowić pytanie na piśmie, kierując je do inspektora ochrony danych. Przy braku reakcji albo odpowiedzi wymijającej przysługuje skarga do Prezesa Urzędu Ochrony Danych Osobowych.
O co zapytać na zebraniu?
Najskuteczniejsze są dwa pytania: jakie narzędzia cyfrowe są używane w klasie oraz jakie dane dziecka do nich trafiają i na jakiej podstawie. Przy systemach analizujących zachowanie uczniów warto dopytać o ocenę skutków dla ochrony danych.