W skrócie
Dwa dokumenty, ten sam dzień, ta sama materia. Różnica dotyczy trackerów: co do zasady zakazane w szkole, odradzane na uczelni. Student jest pełnoletni, ale pozostaje w stosunku podporządkowania, więc nadal jest osobą wymagającą szczególnej ochrony na potrzeby DPIA, a zgoda dalej nie działa jako podstawa prawna.
Jedyna prawdziwa różnica
W tekście szkolnym CNIL pisze, że administrator musi się upewnić, iż narzędzie nie korzysta z trackerów reklamowych, «co do zasady zakazanych» z uwagi na neutralność publicznej usługi edukacyjnej, obejmującą neutralność handlową. Jeśli są, trzeba je wyłączyć.
W tekście dla szkolnictwa wyższego ten sam organ, tego samego dnia, «zaleca preferowanie narzędzi, które nie wiążą się ze stosowaniem przez dostawcę trackerów lub mechanizmów śledzenia do celów reklamowych, profilowania czy komercyjnego ponownego wykorzystania danych, albo w których takie funkcje mogą zostać wyłączone przez uczelnię». Zaleca: nie zakazuje. I nie przywołuje zasady neutralności publicznej usługi edukacyjnej.
To nie jest przeoczenie. Zakaz szkolny opiera się na zasadzie dotyczącej publicznej usługi nauczania szkolnego; szkolnictwo wyższe ma własne ramy. Dla IOD praktyczny skutek jest konkretny: wniosku o trackerach zapisanego w DPIA liceum nie kopiuje się do DPIA uczelni, bo przesłanka prawna jest inna.
Student jest pełnoletni i nadal wymaga szczególnej ochrony
W kwestii szczególnej ochrony CNIL nie ustępuje. W tekście uczelnianym uzasadnia zalecenie ochrony danych przed ryzykiem ujawnienia organom państw trzecich właśnie «podatnością osób, których dane dotyczą, w szczególności studentów, znajdujących się w sytuacji podporządkowania».
Podporządkowanie wywołuje dwa skutki. W analizie podstawy prawnej wyklucza zgodę, która musi być dobrowolna i niezależna od pozycji władczej administratora: student musi móc odmówić bez negatywnych konsekwencji, a nie może. W analizie DPIA uruchamia kryterium osób wymagających szczególnej ochrony, dokładnie tak jak małoletni.
Co się nie zmienia
- Podstawa prawna: wykonanie zadania realizowanego w interesie publicznym, dla uczelni publicznych i prywatnych.
- Informacja zwięzła, przejrzysta, zrozumiała i łatwo dostępna (artykuły 12, 13 i 14), dostępna przed rozpoczęciem przetwarzania i powtarzana na początku każdego roku.
- DPIA obowiązkowa przy spełnieniu dwóch kryteriów EROD i prawdopodobna w większości przypadków.
- Gwarancje podmiotu przetwarzającego z artykułu 28 i umowa z obowiązkowymi postanowieniami, w tym o zakończeniu współpracy, odwracalności i usunięciu danych.
- Transfery według rozdziału V, z SecNumCloud jako przykładem wyłącznego podlegania prawu europejskiemu.
Czego brakuje na uczelni
Dwóch elementów obecnych w tekście szkolnym nie ma w uczelnianym: odesłania do artykułu L.131-2 kodeksu edukacji, dotyczącego publicznej usługi cyfrowej edukacji szkolnej, oraz dekretu nr 2025-1165 z 5 grudnia 2025 r., wiążącego wybory techniczne publicznych collèges i lycées. Uczelnie są na tym polu wolne, a bardziej odsłonięte na drugim: wybór trzeba uzasadnić w DPIA, a nie scedować na dostawcę.
Błąd, którego nie należy popełniać
Traktowanie obu dokumentów jak jednego. Są bliźniacze w osiemdziesięciu procentach i rozchodzą się dokładnie tam, gdzie zwykle zapada decyzja zakupowa: czy narzędzie z trackerami reklamowymi jest dopuszczalne. W szkole odpowiedź brzmi nie. Na uczelni: «lepiej nie, a jeśli są, muszą dać się wyłączyć».
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
