Szkolenie porządkuje trzy obszary, które w wielu placówkach działają oddzielnie: codzienną dokumentację, zgody oraz reakcję na naruszenie ochrony danych. Rada przećwiczy wspólną ścieżkę od zauważenia pomyłki do przekazania informacji administratorowi i inspektorowi ochrony danych.
Sytuacja, w której to szkolenie ma sens
Pracownik wysyła załącznik dotyczący ucznia do niewłaściwego rodzica. Próbuje samodzielnie odzyskać wiadomość i czeka z poinformowaniem dyrektora. W tym czasie upływają kolejne godziny.
W innym procesie sekretariat używa formularza, który łączy zgodę na udział dziecka w wydarzeniu, wykonanie zdjęć oraz publikację na stronie i w mediach społecznościowych. Nikt nie potrafi szybko sprawdzić, kiedy zgoda została wycofana i w których kanałach znajduje się materiał.
Problemem nie jest wyłącznie brak dokumentu. Problemem jest brak jednej drogi postępowania. Pracownik powinien wiedzieć, co zabezpieczyć, komu zgłosić zdarzenie i czego nie ocenia sam. Administrator wraz z inspektorem ochrony danych potrzebuje faktów: czasu, zakresu danych, odbiorcy, możliwych skutków i wykonanych działań.
Szkolenie ma sens również wtedy, gdy placówka posiada politykę ochrony danych, ale personel zna tylko hasło „RODO” i automatycznie prosi rodziców o zgodę. Rada sprawdzi na przykładach, kiedy zgoda może być właściwą podstawą, kiedy szkoła realizuje obowiązek prawny oraz dlaczego zgoda „na wszystko i na zawsze” nie porządkuje procesu.
Co mówi prawo, a co zostaje decyzją szkoły
PRZEPIS
Rozporządzenie (UE) 2016/679 z 27 kwietnia 2016 r., stosowane od 25 maja 2018 r., wymaga zgodności z prawem, ograniczenia celu, minimalizacji, prawidłowości, ograniczenia przechowywania, bezpieczeństwa i rozliczalności. Wynika to z art. 5 ust. 1–2 RODO. Podstawy przetwarzania określają art. 6 i 9, a warunki zgody art. 7.
Art. 33 ust. 1 przewiduje zgłoszenie naruszenia Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny po stwierdzeniu naruszenia. Zgłoszenie nie jest wymagane, gdy jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Art. 33 ust. 5 wymaga dokumentowania naruszeń. Art. 34 dotyczy zawiadomienia osoby, gdy może wystąpić wysokie ryzyko.
Termin 72 godzin nie jest czasem, który pracownik może wykorzystać na samodzielne naprawianie błędu. Pracownik zgłasza zdarzenie niezwłocznie zgodnie z procedurą placówki. Ocenę ryzyka i decyzję o zawiadomieniu organu podejmuje administrator przy udziale IOD.
Przy rozpowszechnianiu wizerunku znaczenie ma także art. 81 ustawy z 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych, tekst jednolity Dz.U. z 2025 r. poz. 24. Wizerunek umożliwiający identyfikację jest jednocześnie daną osobową.
REKOMENDACJA CDKN
Placówka używa jednego formularza pierwszego zgłoszenia incydentu, ale nie oczekuje od pracownika kwalifikacji prawnej. Formularz zbiera fakty potrzebne administratorowi i IOD. Zgody na wizerunek rozdzielają cele i kanały publikacji.
DECYZJA PLACÓWKI
Administrator ustala role, kanał alarmowy, zastępstwo IOD, rejestr naruszeń, zasady retencji, zatwierdzone systemy oraz procedurę publikacji i usuwania materiałów. Wzory ze szkolenia wymagają dostosowania do tych decyzji.
Program
Moduł 1 · Mapa odpowiedzialności i dokumentacji — 30 min
- ▪Administrator, IOD, pracownik i podmiot przetwarzający.
- ▪Cel, podstawa, odbiorcy, dostęp i retencja.
- ▪Rozliczalność: jaki dokument potwierdza wykonanie działania.
Moduł 2 · Zgody i wizerunek bez formularza „na wszystko” — 30 min
- ▪Zgoda a obowiązek prawny i zadanie realizowane przez szkołę.
- ▪Oddzielenie udziału w wydarzeniu od publikacji zdjęcia.
- ▪Cele, kanały, wycofanie zgody i sprzeciw dziecka.
Moduł 3 · Incydent od pierwszej informacji do oceny — 40 min
- ▪Ograniczenie dalszego ujawniania.
- ▪Fakty potrzebne do oceny ryzyka.
- ▪Rejestr naruszeń i rozpoczęcie biegu 72 godzin.
- ▪Przypadki: błędny adresat, zgubiony dokument, niewłaściwy dostęp.
Moduł 4 · Decyzja administratora i działania naprawcze — 35 min
- ▪Zgłoszenie do Prezesa UODO albo udokumentowane niezgłoszenie.
- ▪Ocena obowiązku zawiadomienia osoby.
- ▪Komunikat, korekta procesu i dowód wykonania.
- ▪Ćwiczenie całej ścieżki na jednym zdarzeniu.
Co rada będzie umiała po szkoleniu
- ▪Przekazać incydent jednym kanałem bez samodzielnego przesądzania jego kwalifikacji.
- ▪Zapisać czas, zakres danych, odbiorców i wykonane działania.
- ▪Odróżnić zgodę od innych podstaw przetwarzania.
- ▪Rozdzielić cele i kanały wykorzystania wizerunku.
- ▪Odtworzyć drogę od zgłoszenia pracownika do decyzji administratora.
Co placówka dostaje
- ▪Karta pierwszego zgłoszenia incydentu — DOCX.
- ▪Rejestr naruszeń ochrony danych — XLSX i DOCX.
- ▪Arkusz decyzji: zgłoszenie do Prezesa UODO albo brak zgłoszenia — DOCX, do pracy z IOD.
- ▪Matryca proces–cel–podstawa–odbiorcy–retencja — XLSX.
- ▪LM13 · Rejestr zgód na wykorzystanie wizerunku — DOCX i XLSX.
- ▪Checklista przed publikacją zdjęcia — PDF.
Materiały są wzorami roboczymi. Nie zastępują dokumentacji administratora, oceny IOD ani analizy konkretnego naruszenia.
Organizacja i cena
Szkolenie trwa trzy godziny dydaktyczne, czyli 135 minut pracy. Grupa może liczyć do 50 osób. Forma online odbywa się przez Google Meet albo Zoom i kosztuje 2 490 zł netto. Szkolenie stacjonarne kosztuje 4 490 zł netto.
Koszt dojazdu nie jest wliczony w cenę stacjonarną. CDKN podaje go w ofercie przed potwierdzeniem terminu. Płatność następuje przelewem w terminie 14 dni po realizacji. Nie pobieramy zaliczki. Na zapytanie odpowiadamy w ciągu dwóch dni roboczych. Jeżeli placówka musi zmienić termin, ustalamy nowy bez dodatkowej opłaty.
Najczęstsze pytania
Czy każdy błąd trzeba zgłosić do UODO?
Nie. Każde podejrzenie naruszenia powinno jednak trafić do wewnętrznej oceny. Administrator dokumentuje zdarzenie i decyduje, czy spełnia ono przesłanki zgłoszenia.
Czy szkolenie zastępuje pracę inspektora ochrony danych?
Nie. Przygotowuje personel do szybkiego przekazywania faktów i stosowania procedury. Ocena konkretnego zdarzenia pozostaje po stronie administratora i IOD.
Czy podczas szkolenia poprawimy wszystkie zgody placówki?
Rada przećwiczy sposób ich oceny. Przygotowanie końcowych formularzy wymaga wskazania konkretnych celów, kanałów, systemów i decyzji administratora.
Czy temat obejmuje również monitoring?
Monitoring pojawia się jako jeden proces sektorowy. Szczegółowy audyt kamer, pól widzenia i retencji wymaga osobnej analizy. Uzupełnieniem jest artykuł Monitoring wizyjny w szkole.
Powiązane tematy
- ▪AI a ochrona danych ucznia — gdy szkoła przekazuje dane do narzędzia AI albo ocenia dostawcę.
- ▪Incydent cyfrowy — wizerunek, konto, nagranie — gdy pierwszym problemem jest publikacja lub przejęcie konta.
- ▪Notatka służbowa i dokumentowanie zdarzeń — gdy rada potrzebuje wspólnego standardu zapisu faktów.
Jeżeli Państwa placówka chce przećwiczyć wspólną ścieżkę RODO na szkolnych przypadkach, prosimy przesłać zapytanie o termin.
Stan prawny na dzień 2026-08-21. Program dostosowujemy do typu placówki i sytuacji, którą Państwo opiszą w zgłoszeniu.