GDPR στο Φροντιστήριο: Ποια Δεδομένα Μαθητών Επιτρέπεται να Κρατάτε

Ένα φροντιστήριο επεξεργάζεται προσωπικά δεδομένα ανηλίκων, δηλαδή τη κατηγορία που ο GDPR προστατεύει με τη μεγαλύτερη αυστηρότητα. Η καλή είδηση είναι ότι η συμμόρφωση για μια μικρή επιχείρηση δεν απαιτεί νομικό τμήμα: απαιτεί να ξέρετε τι κρατάτε, γιατί, για πόσο και ποιος το βλέπει — και να το έχετε γραπτό.

Το άρθρο περιγράφει τις γενικές αρχές του Κανονισμού (ΕΕ) 2016/679 και του ν. 4624/2019. Δεν υποκαθιστά νομική συμβουλή για τη δική σας περίπτωση.

Η αρχή που λύνει τις μισές απορίες

Η ελαχιστοποίηση: συλλέγετε μόνο ό,τι χρειάζεστε πραγματικά για τη συγκεκριμένη λειτουργία. Πριν προσθέσετε ένα πεδίο στη φόρμα εγγραφής, ρωτήστε τι θα κάνετε με αυτό. Αν η απάντηση είναι «μπορεί να χρειαστεί», δεν το ζητάτε.

Στην πράξη, ένα φροντιστήριο δικαιολογημένα χρειάζεται:

• Ονοματεπώνυμο μαθητή, τάξη, σχολείο.
• Στοιχεία επικοινωνίας κηδεμόνων.
• Δεδομένα φοίτησης: τμήματα, παρουσίες, βαθμούς.
• Οικονομικά: δίδακτρα, πληρωμές, στοιχεία τιμολόγησης.

Δεν χρειάζεται κατά κανόνα: ΑΜΚΑ μαθητή, ιατρικά δεδομένα, επάγγελμα ή εισόδημα γονέων, φωτογραφίες. Αν κάποιο από αυτά είναι απαραίτητο για συγκεκριμένο λόγο, ο λόγος πρέπει να μπορεί να διατυπωθεί.

Οι ειδικές κατηγορίες

Δεδομένα υγείας, μαθησιακές δυσκολίες, διαγνώσεις και γνωματεύσεις ανήκουν στις ειδικές κατηγορίες με πολύ αυστηρότερους κανόνες. Αν το φροντιστήριο τα χρειάζεται πραγματικά — για παράδειγμα για προσαρμογές σε μαθητή με δυσλεξία — τότε χρειάζεται ρητή, τεκμηριωμένη συγκατάθεση, χωριστή αποθήκευση και πρόσβαση μόνο σε όσους τα χρειάζονται για τη δουλειά τους.

Πρακτικά αυτό σημαίνει: η διάγνωση δεν πάει στο πεδίο «σημειώσεις» που το βλέπουν όλοι οι καθηγητές, και δεν κυκλοφορεί σε εφαρμογή μηνυμάτων.

Νομική βάση: τι σημαίνει στην πράξη

Δεν στηρίζονται όλα στη συγκατάθεση, και είναι λάθος να ζητάτε συγκατάθεση για τα πάντα:

• Εκτέλεση σύμβασης: τα βασικά στοιχεία μαθητή και κηδεμόνα, οι παρουσίες, τα δίδακτρα. Δεν χρειάζεται συγκατάθεση — χωρίς αυτά δεν υπάρχει υπηρεσία.
• Έννομη υποχρέωση: τα φορολογικά παραστατικά.
• Συγκατάθεση: για ό,τι είναι προαιρετικό — φωτογραφίες σε ιστοσελίδα και social, διαφημιστικά μηνύματα, ειδικές κατηγορίες δεδομένων.

Η συγκατάθεση πρέπει να είναι χωριστή ανά σκοπό, ελεύθερη και ανακλητή. Ένα τσεκάρισμα «αποδέχομαι τα πάντα» στη φόρμα εγγραφής δεν είναι έγκυρη συγκατάθεση.

Φωτογραφίες: το συχνότερο λάθος

Ανάρτηση φωτογραφίας αναγνωρίσιμου ανήλικου μαθητή σε ιστοσελίδα, Facebook ή Instagram απαιτεί ρητή, γραπτή συγκατάθεση των γονέων για τον συγκεκριμένο σκοπό. Η συγκατάθεση για φωτογραφία στην τάξη δεν καλύπτει τη δημοσίευση στο διαδίκτυο.

Πρακτικά: κρατήστε χωριστό έντυπο συγκατάθεσης εικόνας, με επιλογές — εσωτερική χρήση, ιστοσελίδα, μέσα κοινωνικής δικτύωσης — και σεβαστείτε τις αρνήσεις χωρίς συζήτηση.

Για πόσο τα κρατάτε

Ο GDPR δεν δίνει αριθμούς· απαιτεί να ορίσετε εσείς περίοδο διατήρησης και να την τηρήσετε. Ένα εύλογο πλαίσιο:

• Ενεργοί μαθητές: όσο διαρκεί η σχέση.
• Μετά την αποχώρηση: περιορισμένη περίοδος για λειτουργικούς λόγους, όπως βεβαιώσεις φοίτησης.
• Φορολογικά παραστατικά: για όσο ορίζει η φορολογική νομοθεσία — ρωτήστε τον λογιστή σας.
• Ειδικές κατηγορίες: διαγράφονται μόλις πάψει ο σκοπός.

Το κρίσιμο είναι η ετήσια εφαρμογή. Μια πολιτική διατήρησης που δεν εκτελείται ποτέ είναι χειρότερη από καμία, γιατί τεκμηριώνει ότι ξέρατε και δεν κάνατε.

Ποιος βλέπει τι

Η πρόσβαση δίνεται με βάση τον ρόλο, όχι με βάση την εμπιστοσύνη:

• Καθηγητής: μαθητές των δικών του τμημάτων, παρουσίες, βαθμούς. Όχι οικονομικά, όχι στοιχεία άλλων τμημάτων.
• Γραμματεία: στοιχεία επικοινωνίας, εγγραφές, οικονομικά.
• Διεύθυνση: τα πάντα.

Ένα κοινόχρηστο αρχείο Excel με κωδικό που τον ξέρουν όλοι είναι το ακριβώς αντίθετο από αυτό, και είναι ταυτόχρονα το πιο διαδεδομένο σύστημα στον κλάδο.

Τι πρέπει να έχετε γραπτό

1. Ενημέρωση προς γονείς: τι δεδομένα κρατάτε, γιατί, για πόσο, ποια δικαιώματα έχουν. Δίνεται στην εγγραφή.
2. Αρχείο δραστηριοτήτων επεξεργασίας: λίστα του τι επεξεργάζεστε και με ποια βάση.
3. Συμβάσεις με εκτελούντες: με κάθε πάροχο που επεξεργάζεται δεδομένα για λογαριασμό σας — λογισμικό, λογιστής, πάροχος SMS.
4. Πολιτική διατήρησης και διαγραφής.
5. Διαδικασία για περιστατικό παραβίασης.

Τα δικαιώματα των γονέων

Ο γονιός μπορεί να ζητήσει αντίγραφο των δεδομένων του παιδιού του, διόρθωση ανακριβειών, ή διαγραφή όταν δεν υπάρχει πια λόγος διατήρησης. Οι προθεσμίες απάντησης είναι σύντομες.

Ένα σύστημα από το οποίο μπορείτε να εξάγετε την καρτέλα ενός μαθητή σε λίγα λεπτά κάνει αυτό το αίτημα ρουτίνα. Ένα σύστημα διάσπαρτο σε πέντε αρχεία το κάνει μέρες δουλειάς.

Χρειάζεστε Υπεύθυνο Προστασίας Δεδομένων;

Ο ορισμός DPO είναι υποχρεωτικός σε συγκεκριμένες περιπτώσεις, κυρίως όταν η βασική δραστηριότητα περιλαμβάνει μεγάλης κλίμακας επεξεργασία ειδικών κατηγοριών δεδομένων ή συστηματική παρακολούθηση. Τυπικό φροντιστήριο μέσης εκπαίδευσης συνήθως δεν εμπίπτει· κέντρο που επεξεργάζεται συστηματικά δεδομένα υγείας είναι διαφορετική συζήτηση. Είναι ερώτημα που αξίζει να θέσετε σε ειδικό αντί να το υποθέσετε.