W szkołach trackery reklamowe są zakazane, i nie chodzi o zgodę

Neutralność handlowa nie jest zaleceniem

W tym punkcie CNIL nie stosuje trybu przypuszczającego. Administrator musi się upewnić, że narzędzie nie korzysta z trackerów reklamowych, «co do zasady zakazanych» z uwagi na zasadę neutralności publicznej usługi edukacyjnej, obejmującą neutralność handlową. Jeżeli narzędzie stosuje mechanizmy śledzące do celów reklamowych lub profilowania, administrator musi te funkcje wyłączyć.

Ta reguła nie wywodzi się z RODO i nie da się jej załatwić polem zgody: pochodzi z prawa usług publicznych. Dostawca, który odpowiada «użytkownik może odmówić», nie odpowiedział na pytanie.

Dlaczego zgoda się nie broni

Gdy korzystanie z narzędzi do pracy zespołowej w celach dydaktycznych wiąże się z przetwarzaniem danych osobowych, administrator musi najpierw ustalić podstawę prawną każdej operacji. Jeżeli przetwarzanie służy zadaniom publicznym szkoły — publicznej lub prywatnej — a w szczególności publicznej usłudze cyfrowej edukacji z artykułu L.131-2 kodeksu edukacji, podstawą jest wykonanie zadania realizowanego w interesie publicznym.

Zgoda, pisze CNIL, trudno może być utrzymana: aby była ważna, musi być dobrowolna, czyli ani wymuszona, ani uzależniona od pozycji władczej administratora. Uczeń, jego opiekun prawny albo nauczyciel muszą móc odmówić bez negatywnych konsekwencji, a w kontekście szkolnym ten warunek nie jest spełniony.

Ocena skutków, prawie zawsze

Istotne są tu trzy kryteria EROD: przetwarzanie dotyczące osób wymagających szczególnej ochrony, przetwarzanie na dużą skalę oraz przetwarzanie danych wrażliwych. Małoletni należą do pierwszej kategorii, a wraz z nimi personel administracyjny i nauczyciele pozostający w stosunku podporządkowania.

Przy spełnieniu co najmniej dwóch kryteriów ocenę skutków należy przeprowadzić przed rozpoczęciem przetwarzania. CNIL dodaje, że w większości przypadków jest ona prawdopodobnie konieczna, a w razie wątpliwości lepiej ją wykonać. Administrator może zwrócić się o pomoc do swojego IOD oraz do dostawcy narzędzia, który jako podmiot przetwarzający ma obowiązek współpracy na podstawie art. 28 ust. 3 lit. f).

Informację pisze się dla tego, kto ma ją przeczytać

Informacja musi być zwięzła, przejrzysta, zrozumiała i łatwo dostępna (artykuły 12, 13 i 14). W przypadku małoletnich CNIL wymaga dostosowania do wieku: prosty język zgodnie z normami ISO 24495-1:2023 i ISO 24495-2:2025 albo metoda «łatwe do czytania i zrozumienia» dla osób z trudnościami w czytaniu lub z niepełnosprawnością.

• Przed rozpoczęciem przetwarzania, na przykład przy pierwszym logowaniu do narzędzia.
• Także pocztą elektroniczną do wszystkich osób, których dane dotyczą.
• I na początku każdego roku szkolnego: w szkole podstawowej na zebraniu z opiekunami.

Dekret, który zawęża wybór

Dla publicznych collèges i lycées samo RODO nie wystarcza. Dekret nr 2025-1165 z 5 grudnia 2025 r. w sprawie ram odniesienia dla cyfryzacji edukacji nakazuje korzystanie z narzędzi i usług cyfrowych spełniających określone przez ministra wymagania techniczne w zakresie bezpieczeństwa, interoperacyjności i odpowiedzialnej cyfryzacji.