Przedszkole przetwarza dane szczególnie wrażliwe: numery PESEL, informacje o alergiach i lekach, dane kontaktowe, a także zgody RODO na wizerunek i przetwarzanie danych szczególnej kategorii. Wyciek choćby jednego z tych zbiorów to nie tylko problem wizerunkowy – to ryzyko kary administracyjnej do 20 milionów EUR na podstawie art. 83 ust. 5 RODO oraz obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin. Ten artykuł pokazuje, co dokładnie grozi placówce, jakie dane wymagają najsurowszej ochrony i jak odpowiednio zabezpieczyć system informatyczny, żeby kontrola UODO nie była zaskoczeniem.
Jakie dane przetwarza przedszkole i dlaczego są wrażliwe?
Ochrona danych osobowych w przedszkolu zaczyna się od inwentaryzacji tego, co faktycznie jest przetwarzane. Katalog jest szerszy, niż większość dyrektorów zakłada.
Dane zwykłe (art. 6 RODO) obejmują imię i nazwisko dziecka, datę urodzenia, numer PESEL, adres zamieszkania, dane kontaktowe rodziców i opiekunów oraz informacje o osobach upoważnionych do odbioru. Dane szczególnej kategorii (art. 9 RODO) to wszystko, co dotyczy zdrowia: alergie pokarmowe, przyjmowane leki, diety eliminacyjne, orzeczenia o niepełnosprawności, a niekiedy wyznanie lub przynależność etniczna, gdy wynika z zaleceń dietetycznych. Dane wizerunkowe to zdjęcia i nagrania wideo gromadzone w galeriach grupowych lub materiałach promocyjnych.
Poniższa tabela pokazuje główne kategorie danych przetwarzanych przez typowe przedszkole wraz z podstawą prawną i zalecanym okresem retencji:
| Kategoria danych | Przykłady | Podstawa prawna (RODO) | Zalecany okres retencji |
|---|---|---|---|
| Identyfikacyjne dziecka | Imię, nazwisko, PESEL, data urodzenia | Art. 6 ust. 1 lit. c (obowiązek prawny) | Do końca roku po zakończeniu uczęszczania + 5 lat |
| Kontaktowe rodziców | Telefon, e-mail, adres | Art. 6 ust. 1 lit. b (umowa) lub lit. c | Czas trwania umowy + przedawnienie roszczeń (3 lata) |
| Zdrowotne dziecka (art. 9) | Alergie, leki, dieta, orzeczenia | Art. 9 ust. 2 lit. a (zgoda) lub lit. c (ochrona zdrowia) | Czas uczęszczania + do czasu wycofania zgody |
| Wizerunek | Zdjęcia, nagrania wideo | Art. 6 ust. 1 lit. a (zgoda) | Czas uczęszczania + 12 miesięcy |
| Finansowe | Historia płatności czesnego, numery kont | Art. 6 ust. 1 lit. b i lit. c | 5 lat (przepisy rachunkowe) |
Co grozi za naruszenie ochrony danych osobowych w przedszkolu?
Naruszenia RODO wiążą się z karami w dwóch progach. Pierwsze, dotyczące m.in. braku wymaganej zgody na przetwarzanie danych szczególnej kategorii (art. 9), naruszenia zasad przetwarzania z art. 5 RODO czy praw podmiotów danych – zagrożone są karą do 20 milionów EUR lub 4% globalnego rocznego obrotu (art. 83 ust. 5 RODO). Drugie, obejmujące m.in. brak realizacji obowiązku wyznaczenia IOD, brak rejestru czynności przetwarzania czy braki w umowach powierzenia – grożą karą do 10 milionów EUR lub 2% obrotu (art. 83 ust. 4 RODO).
Dla przedszkola kluczowy jest też obowiązek notyfikacji naruszenia. Gdy dojdzie do wycieku danych (np. przejęcie konta administratora, utrata laptopa z bazą dzieci, phishing na adres dyrektora), placówka musi:
Zgłosić naruszenie do UODO (art. 33 RODO)
Bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Zgłoszenie składa się elektronicznie przez formularz na uodo.gov.pl. Spóźnienie wymaga uzasadnienia.
Ocenić ryzyko dla osób fizycznych
Jeżeli naruszenie może powodować wysokie ryzyko dla praw i wolności osób (np. kradzież tożsamości, ujawnienie danych zdrowotnych dziecka) – konieczne jest też powiadomienie osób, których dane dotyczą, bez zbędnej zwłoki (art. 34 RODO).
Udokumentować incydent wewnętrznie
Niezależnie od poziomu ryzyka każde naruszenie musi być odnotowane w wewnętrznym rejestrze naruszeń z opisem okoliczności, skutków i podjętych działań naprawczych (art. 33 ust. 5 RODO).
Twój żłobek nie ma kompletu dzieci?
Wyróżnij swój żłobek w katalogu Beetly – rodzice szukają placówek właśnie tu. Dodaj galerię, opis i godziny otwarcia, żeby wyróżnić się wśród konkurencji.
Wypromuj swoją placówkęIOD w przedszkolu – kto musi go wyznaczyć?
Inspektor Ochrony Danych (IOD) to osoba, która nadzoruje przestrzeganie RODO wewnątrz organizacji, szkoli pracowników i jest punktem kontaktowym dla UODO. Obowiązek jego wyznaczenia wynika z art. 37 RODO.
Przedszkole publiczne bezwzględnie musi mieć IOD – jako organ lub podmiot publiczny spełnia przesłankę z art. 37 ust. 1 lit. a RODO. Dane IOD należy zgłosić do UODO przez system ePUAP lub portal UODO.
Przedszkole niepubliczne (prywatne) co do zasady nie jest zobowiązane do wyznaczenia IOD wyłącznie na tej podstawie. Obowiązek może jednak powstać na mocy art. 37 ust. 1 lit. b lub lit. c RODO, jeżeli główna działalność wymaga regularnego i systematycznego monitorowania osób na dużą skalę, lub jeśli placówka przetwarza szczególne kategorie danych na dużą skalę. W praktyce wiele prywatnych przedszkoli dobrowolnie wyznacza IOD jako element polityki bezpieczeństwa, co UODO ocenia pozytywnie.
Cyberbezpieczeństwo w przedszkolu – nowe obowiązki od 2026 r.
Obok RODO od 3 kwietnia 2026 r. obowiązuje znowelizowana Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 20 t.j.), implementująca dyrektywę NIS2. Na jej mocy szkoły i przedszkola zostały zakwalifikowane jako podmioty ważne i objęte uproszczonym modelem wymagań bezpieczeństwa informacji (Załącznik nr 4 do ustawy). Termin na wdrożenie obowiązków to 12 miesięcy od dnia wejścia ustawy w życie (3 kwietnia 2026 r.), czyli do 3 kwietnia 2027 r.
Co to oznacza w praktyce? Placówka musi wdrożyć i utrzymywać podstawowe środki techniczne i organizacyjne:
Minimalne wymagania cyberbezpieczeństwa dla przedszkola (Załącznik nr 4 do ustawy o KSC)
Co powinna umieć dobra aplikacja w zakresie ochrony danych osobowych w przedszkolu?
Zarządzanie ochroną danych osobowych w przedszkolu ułatwia dedykowany system, który od początku projektowany był z myślą o wymogach RODO. W dobrym systemie każda operacja na danych dziecka jest kontrolowana na kilku poziomach.
Szukasz usług dla swojej placówki?
Catering dla żłobków, sale zabaw, animacje, logopedzi, fizjoterapeuci – sprawdź sprawdzonych dostawców, z których korzystają inne placówki w Twojej okolicy.
Przeglądaj usługi dla placówekModuł zarządzania dziećmi przechowuje pełen profil dziecka: PESEL (11 cyfr), dane kontaktowe, informacje o alergiach i lekach jako tekst swobodny, a także zgody RODO w czterech kategoriach (zgoda RODO, wizerunek, regulamin, zgoda na przetwarzanie danych szczególnej kategorii). Każda zgoda ma osobny status i datę udzielenia.
Dostęp do danych jest kontrolowany przez role systemowe: rodzic widzi wyłącznie profil własnego dziecka, nauczyciel – tylko dzieci ze swojej grupy, a administrator ma dostęp do wszystkich rekordów. Taka segmentacja ogranicza ryzyko przypadkowego ujawnienia danych wewnątrz placówki i jest zgodna z zasadą minimalizacji danych z art. 5 ust. 1 lit. c RODO.
Panel ustawień zawiera dziennik zdarzeń – administrator może sprawdzić, kto i kiedy modyfikował dane, logował się do systemu lub eksportował pliki. To gotowy ślad audytowy, który UODO może zażądać podczas kontroli. Przesyłane pliki (np. skan orzeczenia lub zaświadczenia lekarskiego) powinny być skanowane antywirusowo przed zapisem w chmurze.
Na potrzeby realizacji praw podmiotów danych (art. 15 RODO – prawo dostępu, art. 17 RODO – prawo do usunięcia) administrator może wygenerować eksport danych dziecka do Excela obejmujący ponad 20 kolumn. To kompletna odpowiedź na wniosek rodzica o udostępnienie lub usunięcie danych bez ręcznego przeszukiwania segregatorów.
Praktyczny scenariusz: co zrobić, gdy dojdzie do wycieku danych
Wtorek, godz. 8:15. Marta, administrator systemu w prywatnym przedszkolu przy ul. Słonecznej, zauważa w dzienniku zdarzeń systemu serię logowań z nieznanego adresu IP w nocy. Konto jednej z nauczycielek zostało prawdopodobnie przejęte przez phishing. W folderze eksportów widać plik pobierany o godz. 2:34 – lista dzieci ze wszystkimi danymi, w tym informacjami o alergiach.
Co powinna zrobić Marta w ciągu następnych godzin?
Natychmiast zablokuj konto
Dezaktywuj konto nauczycielki w panelu zarządzania użytkownikami. Zmień hasła do wszystkich kont z uprawnieniami administratora. Wyloguj wszystkie aktywne sesje.
Udokumentuj incydent
Zrzuty ekranu z Dziennika zdarzeń, logi dostępu, dane eksportowanego pliku, czas zdarzenia. Wszystko trafi do wewnętrznego rejestru naruszeń bezpieczeństwa – obowiązkowego od art. 33 ust. 5 RODO.
Zgłoś incydent do CSIRT NASK i (jeśli dotyczy) UODO
KSC (art. 23 ustawy o KSC): wyślij wczesne ostrzeżenie do CSIRT NASK (platforma S46) w ciągu 24 godzin od wykrycia potencjalnie poważnego incydentu, a pełny raport w ciągu 72 godzin. Obowiązek dotyczy placówek jako podmiotów ważnych.
RODO (art. 33): jeśli incydent naruszył bezpieczeństwo danych osobowych – zgłoszenie do UODOprzez uodo.gov.pl również w ciągu 72 godzin. Jeśli eksportowane dane zawierały informacje o zdrowiu dzieci (alergie, leki) – ryzyko jest wysokie i zgłoszenie jest obowiązkowe.
Powiadom rodziców (jeśli ryzyko jest wysokie)
Art. 34 RODO: powiadomienie musi być jasne, zrozumiałe i bez zbędnej zwłoki. Opisz, jakie dane mogły wyciec, jakie ryzyko z tego wynika i co placówka zrobiła. Moduł wiadomości w systemie pozwala wysłać komunikat do wszystkich rodziców w kilku kliknięciach.
Przeprowadź analizę po incydencie
Skąd pochodzi phishing? Czy pracownicy przeszli szkolenie z rozpoznawania podejrzanych e-maili? Czy włączone jest uwierzytelnianie dwuskładnikowe? Wyniki analizy wpisz do rejestru i zaktualizuj procedury.
Najczęstsze pytania o ochronę danych osobowych w przedszkolu
Czy przedszkole musi mieć rejestr czynności przetwarzania danych?
Tak. Obowiązek wynika z art. 30 RODO i dotyczy każdego administratora – bez względu na wielkość organizacji. Wyjątek z art. 30 ust. 5 (organizacje zatrudniające poniżej 250 osób) nie zwalnia z prowadzenia rejestru, jeśli przetwarzane są dane szczególnej kategorii (art. 9), co w przypadku każdego przedszkola posiadającego informacje o stanie zdrowia dzieci jest regułą, a nie wyjątkiem.
Jak długo przedszkole może przechowywać dane dziecka po zakończeniu uczęszczania?
Dane potrzebne do rozliczeń finansowych – 5 lat (przepisy rachunkowe). Dokumentacja pedagogiczna – 5 lat od końca roku szkolnego (rozporządzenie o dokumentacji). Dane przetwarzane wyłącznie na podstawie zgody (np. wizerunek) – do czasu wycofania zgody lub upływu okresu wskazanego w jej treści. Dane z rekrutacji dzieci nieprzyjętych – 1 rok. Przechowywanie danych dłużej niż wynika z celu przetwarzania narusza zasadę ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO.
Czy rodzic może zażądać usunięcia wszystkich danych dziecka?
Prawo do usunięcia danych (art. 17 RODO) jest możliwe do realizacji tylko wtedy, gdy odpadła podstawa prawna przetwarzania. Danych przetwarzanych na podstawie obowiązku prawnego (np. dokumentacja finansowa) nie można usunąć na żądanie rodzica przed upływem ustawowego okresu przechowywania. Dane przetwarzane wyłącznie na podstawie zgody (wizerunek, newsletter) należy usunąć niezwłocznie po wycofaniu zgody.
Czy wysyłanie danych dzieci e-mailem jest bezpieczne?
Zwykły e-mail bez szyfrowania nie powinien być kanałem do przesyłania danych szczególnej kategorii (m.in. zdrowotnych). UODO w swoich zaleceniach wskazuje, że do komunikacji zawierającej dane wrażliwe należy stosować kanały z weryfikacją tożsamości i szyfrowaniem transportu. Grupy na Facebooku czy Messengerze jako kanały wymiany informacji o dzieciach to naruszenie zasady poufności z art. 5 ust. 1 lit. f RODO.
Jaka kara grozi za brak zgody na przetwarzanie danych o alergiach dziecka?
Przetwarzanie danych zdrowotnych bez właściwej podstawy prawnej z art. 9 ust. 2 RODO to naruszenie zagrożone karą do 20 milionów EUR lub 4% globalnego obrotu rocznego (art. 83 ust. 5 lit. a RODO). W praktyce UODO bierze pod uwagę skalę i charakter naruszenia; dla małego przedszkola kara będzie proporcjonalna, ale reputacyjne skutki ujawnienia danych zdrowotnych dzieci są zawsze poważne.
Czy IOD w przedszkolu może być zewnętrzna firma?
Tak. Art. 37 ust. 6 RODO wprost dopuszcza pełnienie funkcji IOD na podstawie umowy o świadczenie usług. W przypadku małych placówek to często tańsze rozwiązanie niż zatrudnienie etatowego inspektora. Umowa musi precyzyjnie określać zakres zadań, dostępność IOD i zasady komunikacji z UODO. Dane IOD (imię, nazwisko, kontakt) należy zgłosić do rejestru UODO.
Czytaj też
Zgoda na wizerunek dziecka w przedszkolu – darmowy wzór RODO
Zgoda na wizerunek dziecka w przedszkolu wzór zgodny z RODO – pobierz darmowy szablon, poznaj 8 obowiązkowych elementów klauzuli i dowiedz się, kiedy zgoda jest zbędna.
Ustawa Kamilka: standardy ochrony małoletnich w przedszkolu
Jak wdrożyć standardy ochrony małoletnich zgodnie z Ustawą Kamilka? Gotowa lista kontrolna dla dyrektora, wzory dokumentów i rola systemu zarządzania placówką.