Przepisy Ustawy z dnia 13 maja 2016 roku o przeciwdziałaniu zagrożeniom przestępczością na tle seksualnym i ochronie małoletnich – dalej „ustawa” – zostały w 2024 roku znacznie rozbudowane w kierunku zapewnienia lepszej ochrony praw dzieci, w szczególności poprzez skuteczniejsze zbieranie od nich sygnałów i sprawdzanie kompetencji osób z nimi pracujących. Kluczowym elementem nowych regulacji są standardy ochrony małoletnich, które muszą funkcjonować w zgodzie z przepisami o ochronie danych osobowych. Prezes Urzędu Ochrony Danych Osobowych (UODO) wydał specjalne zalecenia, jak pogodzić obowiązek zbierania informacji o karalności pracowników z wymogami RODO.
Zbieżność celów ustawy i RODO
W motywie 38 RODO wskazano, że szczególnej ochrony danych osobowych wymagają dzieci, gdyż mogą one być mniej świadome ryzyka, konsekwencji, zabezpieczeń i praw przysługujących im w związku z przetwarzaniem danych osobowych. Taka szczególna ochrona powinna mieć zastosowanie przede wszystkim do wykorzystywania danych osobowych dzieci do celów marketingowych lub do tworzenia profili osobowych lub profili użytkownika oraz do zbierania danych osobowych dotyczących dzieci, gdy korzystają one z usług skierowanych bezpośrednio do nich. Zgoda osoby sprawującej władzę rodzicielską lub opiekę nie powinna być konieczna w przypadku usług profilaktycznych lub doradczych oferowanych bezpośrednio dziecku.
W związku z powyższym dobrostan i bezpieczeństwo dzieci są wartościami, o które należy dbać nie tylko zgodnie z przepisami ustawy, ale też w myśl unormowań RODO.
Ustawowe środki ochrony
Określonymi w ustawie szczególnymi środkami ochrony przeciwdziałającymi zagrożeniom przestępczością na tle seksualnym są:
Rejestr Sprawców Przestępstw na Tle Seksualnym;
obowiązki pracodawców i innych organizatorów w zakresie działalności związanej z wychowaniem, edukacją, wypoczynkiem, leczeniem, świadczeniem porad psychologicznych, rozwojem duchowym, uprawianiem sportu lub realizacją innych zainteresowań przez małoletnich, lub z opieką nad nimi oraz pracowników i innych osób dopuszczanych do takiej działalności;
określenie miejsc szczególnego zagrożenia przestępczością na tle seksualnym.
Szczególnymi środkami ochrony małoletnich są natomiast:
ocena prawdopodobieństwa ponownego popełnienia przestępstwa przeciwko wolności seksualnej i obyczajności na szkodę małoletniego;
standardy ochrony małoletnich;
analiza zdarzeń, w których wyniku małoletni na skutek działania rodzica albo opiekuna prawnego lub faktycznego poniósł śmierć lub doznał ciężkiego uszczerbku na zdrowiu;
Krajowy Plan Przeciwdziałania Przemocy na Szkodę Małoletnich oraz Krajowy Plan Przeciwdziałania Przestępstwom Przeciwko Wolności Seksualnej i Obyczajności na Szkodę Małoletnich;
kontrola wykonywania obowiązków w zakresie sprawdzania osób zatrudnianych lub dopuszczanych do działalności związanej z kontaktem z małoletnimi, oraz w zakresie wprowadzania standardów ochrony małoletnich.
Stosowanie wymienionych środków ochrony wiąże się z koniecznością przetwarzania danych osobowych, w tym danych dzieci i osób, które mają z nimi pracować. Wymaga to zatem przestrzegania wymogów RODO.
Zalecenia Prezesa UODO
Prezes UODO, wydając zalecenia dotyczące ochrony danych osobowych przetwarzanych w związku ze stosowaniem przepisów ustawy, skoncentrował się na realizacji standardów ochrony małoletnich oraz na postępowaniach sprawdzających, dotyczących osób, które mają być zatrudnione lub dopuszczone do działalności związanej z kontaktem z dziećmi.
Przypomniał, że nowe obowiązki dotyczą organów zarządzających jednostkami systemu oświaty (przedszkoli, szkół i schronisk młodzieżowych) oraz innych placówek oświatowych, opiekuńczych, wychowawczych, resocjalizacyjnych, religijnych, artystycznych, medycznych, rekreacyjnych, sportowych lub związanych z rozwijaniem zainteresowań, do których uczęszczają albo w których przebywają małoletni, a także organizatorów tych działalności oraz podmiotów świadczących usługi hotelarskie, turystyczne czy prowadzących inne miejsca zakwaterowania zbiorowego. Placówki te miały do 15 sierpnia 2024 roku czas na wprowadzenie standardów pracy i postępowania z dziećmi. Chodzi m.in. o to, by lepiej rejestrować i analizować sygnały o problemach zgłaszanych przez dzieci. Nowe wymogi dotyczą też opiekunów. Pracodawca lub inny organizator działalności musi uzyskać informacje, czy dane przyszłego pracownika lub osoby dopuszczanej do działalności są zamieszczone w Rejestrze z dostępem ograniczonym, lub w Rejestrze osób, w stosunku do których Państwowa Komisja do spraw przeciwdziałania wykorzystaniu seksualnemu małoletnich poniżej lat 15 wydała postanowienie o wpisie w Rejestrze. Osoba, z którą ma być nawiązany stosunek pracy lub która ma być dopuszczona do działalności, musi przedstawić również informacje o swojej karalności. Dotyczy to przestępstw o charakterze seksualnym, przestępstw przeciwko życiu i zdrowiu (np. pobicie, spowodowanie uszczerbku na zdrowiu), przestępstwa znęcania się, przestępstwa handlu ludźmi, przestępstw z ustawy o przeciwdziałaniu narkomanii lub informacji o odpowiadających tym przestępstwom czynach zabronionych określonych w przepisach prawa obcego.
Jak wdrożyć standardy ochrony małoletnich zgodnie z zaleceniami UODO?
Prezes UODO podkreślił, że zarówno dane o pracownikach i kandydatach do pracy, jak i informacje przekazywane przez dzieci trzeba przetwarzać z poszanowaniem prawa ochrony danych osobowych. Zaniedbania w tej dziedzinie mogą narazić wszystkich na bardzo poważne problemy (rodzić wysokie ryzyka dla praw lub wolności tych osób).
By zminimalizować niebezpieczeństwo niewłaściwego przetwarzania danych osobowych dla przyjęcia i realizacji standardów ochrony małoletnich (dzieci), należy przeprowadzić ocenę (analizę) ryzyka, weryfikację dotąd obowiązujących w organizacji polityk ochrony danych, sposobów realizacji obowiązków wynikających z RODO. Trzeba dostosować przyjęte dotąd rozwiązania – uwzględniając ochronę danych w fazie projektowania oraz domyślną ochronę danych – do wymagań przewidzianych znowelizowanymi przepisami. Mechanizmy te administrator obowiązany jest bowiem stosować, nie tylko określając sposoby przetwarzania, ale i dostosowując je do zmieniającego się stanu prawnego (nowe przepisy z punktu widzenia RODO wprowadzają nowe procesy przetwarzania danych osobowych). Jednym z obowiązków administratora jest czuwanie nad aktualizacją przyjętych rozwiązań, gdy wiążą go nowe regulacje prawne.
Należy w związku z tym:
- weryfikować i aktualizować kategorie osób, których dane są przetwarzane oraz zakres zbieranych i przetwarzanych danych osobowych – ograniczyć je do danych niezbędnych dla realizacji obowiązków nałożonych przepisami prawa;
- weryfikować i aktualizować klauzule obowiązków informacyjnych – w szczególności: cele, podstawę prawną przetwarzania, informacje o odbiorcach lub kategoriach odbiorców danych, retencję danych, źródła pochodzenia danych;
- pamiętać, aby spełniać obowiązki informacyjne względem wszystkich osób, od których dane będą pozyskiwane;
- wyznaczyć osoby działające z upoważnienia administratora mające dostęp do danych osobowych i zajmujące się realizacją zadań wynikających z nowych przepisów dotyczących standardu ochrony małoletnich (dzieci); przyznać im odpowiednie zakresy upoważnień, zobowiązać je do zachowania danych w poufności, zweryfikować sposoby przekazywania poleceń administratora;
- zweryfikować kanały przepływu/obiegu danych osobowych i stosowane w tym zakresie narzędzia;
- upewnić się, że ustalone sposoby przetwarzania danych są znane osobom wyznaczonym/upoważnionym i są dla nich zrozumiałe;
- rozważyć, jakie dokumenty i w jakiej postaci (tradycyjnej, elektronicznej) oraz w jaki sposób mają być przetwarzane dla realizacji nowych regulacji prawnych;
- ocenić obowiązki wynikające z realizowanych przepisów w kontekście relacji łączących administratora i osoby, których dane dotyczą, i realizowanych przepisów prawa, w tym w zakresie prowadzonej dokumentacji – w szczególności w odniesieniu do: dzieci, ich rodziców/ustawowych przedstawicieli, podopiecznych placówki, klientów, pracowników, kandydatów do pracy, np. zapewniać poufność miejsc do rozmowy z dziećmi czy innymi osobami, których dane są przetwarzane;
- weryfikować i aktualizować rozwiązania, w tym dokumentację dotyczącą rejestrowania czynności przetwarzania, procedurę zgłaszania naruszeń.
W tych działaniach administratora wesprzeć może i powinien inspektor ochrony danych (IOD).
Prezes UODO zawarł ponadto w swoich zaleceniach następujące praktyczne wskazówki:
trzeba koniecznie przeprowadzić analizę ryzyka, tak jak nakazuje to RODO; należy więc zastanowić się, co złego może stać się z danymi, jak bardzo jest to prawdopodobne i jakie negatywne konsekwencje w takich przypadkach może ponieść instytucja, ale także osoby, których dane dotyczą; na tej podstawie dopiero można wdrażać procedury bezpieczeństwa – techniczne i organizacyjne;
należy pozyskiwać tylko te dane, które są naprawdę potrzebne i nic więcej; przy okazji zmiany trzeba zaktualizować klauzule informacyjne dla osób, których dane będziemy przetwarzać;
miejsca do rozmowy z dziećmi muszą zapewniać poufność;
tam, gdzie to możliwe, trzeba dane anonimizować lub pseudonimizować, aby minimalizować ryzyko identyfikacji osób fizycznych;
dostęp do danych mogą mieć tylko osoby, których zakres zadań to uzasadnia; trzeba te osoby do tego upoważnić i zawsze trzeba sprawdzać, kto uzyskuje dostęp do danych (czy taka osoba ma upoważnienie); uprawnienia dostępowe w systemie informatycznym muszą być do tego dostosowane: nikt nie powinien widzieć więcej, niż musi; nie wolno też udostępniać danych autoryzacyjnych innym osobom; należy również pamiętać o odebraniu dostępów odchodzącemu pracownikowi;
aktualność uprawnień trzeba sprawdzać regularnie – nie może być tak, że osoba, która otrzymała inne zadania, nadal korzysta z dostępu do danych, który nie jest jej potrzebny;
trzeba zadbać o bezpieczeństwo sprzętu – dane osobowe nie mogą trafiać na urządzenia niezabezpieczone (w tym na niezabezpieczone nośniki danych); nie powinno się robić kopii, bo to tworzy dodatkowe ryzyko;
bardzo ważna staje się polityka korzystania z silnych haseł;
jeżeli standard wymaga przechowania określonych dokumentów w aktach osobowych, nie należy trzymać ich w innym miejscu; dostęp do miejsc, gdzie przechowywane są dane osobowe (np. do serwerowni), mogą mieć tylko osoby uprawnione;
trzeba pamiętać o zawarciu umowy powierzenia w przypadku powierzenia poza organizację pewnych czynności dot. danych (np. dotyczących przechowywania danych).
Chociaż omówione zalecenia wydano w celu właściwego zapewnienia ochrony danych osobowych przetwarzanych w zakresie wynikającym z ustawy o przeciwdziałaniu zagrożeniom przestępczością na tle seksualnym i ochronie małoletnich, to rekomendowane przez Prezesa UODO działania mogą posłużyć doskonaleniu ochrony danych osobowych w ogólności – przetwarzanych również w różnych innych dopuszczonych przepisami RODO celach.
