W literaturze przedmiotu oraz orzecznictwie pojawił się interesujący dwugłos oparty na sprawie przetwarzania danych biometrycznych dzieci na potrzeby weryfikacji dokonywanych opłat za posiłki w stołówce publicznej szkoły. Dotyczy on możliwości przetwarzania danych biometrycznych w placówkach edukacyjnych, zastosowania zgody jako podstawy prawnej przetwarzania oraz interpretacji zasady adekwatności danych. Autor zbiera istotne głosy orzecznictwa i doktryny oraz wyraża własny pogląd odnosząc się do problemu z szerszej perspektywy, uwzględniającej także kwestie ochrony praw podstawowych dzieci.
In the literature on the subject and in the case law, an interesting ambiguity has appeared based on the issue of the processing of children's biometric data for the purpose of verifying payments for meals in the canteen of a public school. It concerns the very possibility of processing biometric data in public schools, the use of consent as a legal basis for the processing of such personal data, and the interpretation of the principle of data adequacy. The author gathers important voices of jurisprudence and doctrine and expresses his own view, referring to the problem from a broader perspective, also taking into account the issues of protection of the fundamental rights of children.
Słowa kluczowe: RODO, dzieci, ochrona danych osobowych, biometria, szkoła
Keywords: GDPR, children, personal data protection, biometrics, school
W literaturze przedmiotu oraz orzecznictwie pojawił się interesujący dwugłos oparty na sprawie przetwarzania danych biometrycznych dzieci na potrzeby weryfikacji dokonywanych opłat za posiłki w stołówce publicznej szkoły.
Z jednej strony został zarysowany pogląd oparty na decyzji Prezesa Urzędu Ochrony Danych Osobowych[1] (dalej: Prezes UODO) oraz częściowo aprobujące ją wypowiedzi doktryny[2]. Odmienne zdanie dotyczące zastosowania przesłanek legalizacyjnych przetwarzania szczególnych kategorii danych[3] oraz interpretacji zasad adekwatności (minimalizacji) danych zostało nakreślone, z drugiej strony, w wyrokach Wojewódzkiego Sądu Administracyjnego (dalej: WSA) (ze skargi szkoły na decyzję Prezesa UODO)[4], a następnie Naczelnego Sądu Administracyjnego (dalej: NSA) (oddalającym skargę kasacyjną Prezesa UODO)[5] oraz częściowo aprobującej glosie dr. hab. A. Mednisa[6].
Niniejszy artykuł jest okazją do zebrania istotnych głosów stron oraz oceny sprawy z szerszej perspektywy, uwzględniającej także kwestie ochrony praw podstawowych dzieci. Temat podjęto, mając na uwadze również fakt, że analogiczne sprawy pojawiły się w wielu krajach europejskich, w wyniku czego wydawane były decyzje i formułowane wytyczne organów nadzorczych oraz dokonywane rozstrzygnięcia sądów.
W szkole podstawowej używano odcisków palców uczniów, aby sprawdzać, kto zapłacił za obiady w stołówce. Dane zebrane i przetwarzane były za pomocą czytnika biometrycznego, który umieszczony był przy wejściu do stołówki szkolnej, a który identyfikował dzieci korzystające z posiłków w stołówce szkolnej, w celu weryfikacji uiszczenia opłaty za posiłek w danym dniu. Rodzice lub opiekunowie prawni indywidualnie wyrażali zgodę na taki sposób identyfikacji dzieci korzystających ze stołówki. Po podpisaniu umowy i wyrażeniu zgody przez rodzica na korzystanie z czytnika biometrycznego dziecko rejestrowane było w systemie ewidencji wpłat i posiłków poprzez wprowadzenie jego imienia, nazwiska i klasy oraz imienia, nazwiska, adresu e-mail i telefonu kontaktowego rodzica. Następnie, jeśli rodzic wyraził zgodę, dochodziło do rejestracji wzorca odcisku palca dziecka w czytniku. Od tego momentu wzorzec identyfikowany był przez ww. system za pomocą liczby porządkowej w czytniku, który w chwili znalezienia wzorca biometrycznego, odpowiadającego w danym momencie przyłożonemu odciskowi palca, wysyłał do systemu numer, który w systemie przypisany był danej osobie i następnie odczytywał status obiadu (opłacony albo nieopłacony). Rodzic w umowie o korzystanie z posiłków w stołówce szkolnej miał możliwość wyboru: wyrażenia zgody lub niewyrażenia zgody na korzystanie z czytnika na odcisk palca.
W szkole uprzednio istniały także alternatywne sposoby ewidencji osób korzystających ze stołówki szkolnej, to jest za pomocą karty magnetycznej lub na podstawie nazwiska i numeru umowy. Weryfikacja oparta na biometrii została wprowadzona, zgodnie z oświadczeniem szkoły, na prośbę rady rodziców. Szkoła ustaliła, że wcześniej wykorzystywane metody nie były wystarczająco funkcjonalne.
Kwestię determinującą decyzje UODO był zapewne fakt, że zgodnie z pierwotnymi zasadami wydawania obiadów umieszczonymi na stronie internetowej stołówki uczniowie, którzy nie posiadali identyfikacji biometrycznej, przepuszczali wszystkich i oczekiwali na końcu kolejki, a gdy wszyscy uczniowie ze zgodą na identyfikację biometryczną weszli do stołówki, zaczynano wpuszczać pojedynczo pozostałych uczniów. System ten, zgodnie z późniejszym oświadczeniem szkoły, został zmieniony.
Prezes UODO po przeprowadzeniu postępowania stwierdził naruszenie przez szkołę przepisów art. 5 ust. 1 lit. c oraz art. 9 ust. 1 RODO[7], oraz nakazał placówce usunięcie danych osobowych w zakresie odcisków palców dzieci, zaprzestanie zbierania danych w postaci cyfrowej informacji o charakterystycznych punktach linii papilarnych palców dzieci korzystających z usług stołówki szkolnej oraz nałożył na szkołę karę pieniężną w wysokości 20 tysięcy złotych[8].
W uzasadnieniu Prezes UODO uznał, że nie doszło do skutecznego uchylenia zakazu przetwarzania z art. 9 ust. 1 RODO, ponieważ w opisywanej sprawie wyraźna zgoda rodziców (art. 9 ust. 2 lit. a RODO) nie może być przesłanką przetwarzania z uwagi na brak dobrowolności jej wyrażenia. W tym aspekcie Prezes UODO wskazywał na brak równowagi stron, to znaczy: pozycja szkoły (administratora) w stosunku do danych uczniów była przeważająca.
Organ nadzorczy stwierdził, że przetwarzanie danych biometrycznych uczniów nie jest niezbędne do osiągnięcia celu, jakim jest identyfikacja uprawnienia dziecka do odebrania obiadu. Zdaniem organu nadzorczego wspomnianą identyfikację ucznia szkoła może bowiem przeprowadzić za pomocą innych środków, mniej ingerujących w prywatność dziecka.
Z decyzją nie zgodziła się szkoła, która złożyła skargę do WSA, wskazując m.in., że rodzic w sposób dobrowolny wyrażał pisemnie zgodę (lub jej wyraźnie nie wyrażał) na korzystanie z czytnika biometrycznego na odcisk palca. W przypadku niewyrażenia zgody uczeń mógł korzystać ze stołówki szkolnej, a weryfikacja odbywała się „ręcznie”, na podstawie numeru umowy i nazwiska. Zdaniem szkoły zgoda rodzica była dobrowolna, konkretna, świadoma i jednoznaczna w formie oświadczenia. W konsekwencji placówka uznała, że może być ona przesłanką legalizującą przetwarzanie danych. Co istotne, w odniesieniu do naruszenia art. 5 ust. 1 lit. c RODO szkoła zauważyła, że przed wprowadzeniem czytnika na odcisk palca stosowała czytnik na elektroniczną kartę, lecz system ten nie zapewniał sprawności ewidencji osób korzystających z posiłków w stołówce, a więc nie był wystarczający do realizacji celu przetwarzania.
Wojewódzki Sąd Administracyjny dokonał oceny legalności zaskarżonej decyzji Prezesa UODO. Wskazał, że decyzja narusza w sposób istotny obowiązujące przepisy prawa, przede wszystkim poprzez niewłaściwą wykładnię i zastosowanie art. 5 ust. 1 lit. c oraz art. 9 ust. 1 i ust. 2 lit. a RODO, a w konsekwencji wadliwe uznanie, że szkoła, przetwarzając dane biometryczne swoich uczniów, naruszyła przepisy RODO.
Zdaniem WSA zgoda na przetwarzanie danych wrażliwych była wystarczająca do uchylenia zakazu z art. 9 ust. 1 RODO.
Dodatkowo WSA wskazał, że zasadę z art. 5 ust. 1 lit. c RODO należy interpretować w omawianej sprawie bardziej jako zasadę adekwatności niż minimalizacji przetwarzania danych. Oznacza to, że dane osobowe powinny być stosowne (odpowiednie) do celu wyznaczonego dla procesu. Zdaniem WSA „zaprezentowana przez organ nadzorczy wykładnia […] zasady minimalizacji danych jest błędna, gdyż w sposób nieuprawniony pomija w ramach jej oceny istotny aspekt adekwatności i stosowności, co prowadzi w konsekwencji do zbyt rygorystycznego postrzegania tej zasady”. WSA uznał, że na podstawie zbierania mniejszej liczby danych nie można było (choć podejmowano próby w tym) osiągnąć celu przetwarzania, jakim była ewidencja osób uprawnionych do korzystania ze stołówki szkolnej.
Z poglądem prawnym wyrażonym przez WSA zgodził się NSA i oddalił skargę kasacyjną Prezesa UODO. W ustnych motywach zasadniczo podzielił wszystkie systemowe uwagi organu nadzorczego odnośnie do rozumienia zasady adekwatności, zastrzegając jednak, że musi być ona rozumiana nieco inaczej, gdy odnosimy ją do przetwarzania na podstawie zgody. Zdaniem Sądu jeżeli spełnione są przesłanki z art. 4 pkt 11 RODO, to dopuszczalny zakres przetwarzanych danych określa właśnie ta zgoda. Oznacza to, że adekwatność zgody należy badać w odniesieniu do niej samej, a nie do obiektywnych kryteriów. NSA oparł to spojrzenie na porównaniu do art. 9 ust. 2 lit. e RODO (oczywiste upublicznienie danych). Zdaniem NSA ustawodawca unijny przyjął, że jest to swego rodzaju „zgoda blankietowa”, ponieważ osoba upubliczniająca swoje dane nie wie, kto i w jakim celu będzie te dane sensytywne przetwarzał.
Kolejno NSA wskazał, że nie można także podnosić, iż zgoda nie jest równoważną przesłanką przetwarzania danych sensytywnych i w związku z tym szkoła mogła oprzeć na niej proces przetwarzania.
Naczelny Sąd Administracyjny odniósł się także do kwestii, którą pominął WSA, a mianowicie do dobrowolności zgody. W toku postępowania szkoła przedstawiła swoje stanowisko odnośnie do różnicowania dzieci ze względu na wyrażoną zgodę i wyjaśniła, że mimo umieszczenia takiej informacji na stronie internetowej placówki, do takich działań w rzeczywistości nie dochodziło. Na dowód tego dołączyła do akt sprawy regulamin stołówki szkolnej wraz z wzorem umowy, który nie pozwala różnicować dzieci korzystające ze stołówki na tej podstawie. Szkoła wskazała, że stosowała inne reguły niż te określone w informacji dostępnej na stołówce szkolnej, do której odnosił się organ nadzorczy przy wydawaniu decyzji.
Mając świadomość zakresu rozpoznania sprawy, należy uwypuklić fakt, że NSA nie objął całkowicie swoją percepcją kwestii tego, że w omawianej sprawie chodziło o placówkę publiczną, jak również że przetwarzanie dotyczyło danych sensytywnych dzieci oraz ewentualnej nierównowagi podmiotów. W ustnych motywach nie odniósł się ponadto do kwestii praw podstawowych dzieci, w tym do konieczności ochrony ich prywatności.
Na gruncie powyżej opisanego kazusu rysuje się kilka istotnych zagadnień prawnych, które były podstawą odmiennych rozstrzygnięć sądów administracyjnych, organu nadzorczego, a także wypowiedzi doktryny. Sprowadzają się one do kwestii:
a) możliwości zastosowania biometrii do takich procesów przetwarzania, jak ewidencja osób korzystających ze stołówki szkolnej,
b) celu przetwarzania danych osobowych,
c) rozbieżności pomiędzy zasadną adekwatności przetwarzania a minimalizacją przetwarzanych danych (art. 5 ust. 1 lit. c RODO),
d) możliwości wyrażenia zgody i oparcia się na tej podstawie przy przetwarzaniu danych z odcisków palców uczniów.
W artykule zostaną pominięte podnoszone na pewnym etapie sprawy argumenty szkoły, jakoby w procesie nie dochodziło do przetwarzania szczególnych kategorii danych. Zostały one zakwestionowane zarówno przez organ nadzorczy, sądy administracyjne, jak i w wypowiedziach doktryny[9], nie stanowią zatem przedmiotu do szerszej dyskusji.
Wraz z rozwojem nowych technologii szczególne kategorie danych są częściej wykorzystywane. Dotyczy to również danych biometrycznych, powalających na stosunkowo łatwą, szybką i jednoznaczną identyfikację. Nie można jednak czynić z nich użytku we wszystkich sytuacjach, a jedynie wtedy, gdy jest to proporcjonalne do zamierzonego celu[10]. Przykładowo, jak wskazuje P. Fajgielski, „zgodnie z utrwaloną […] linią orzeczniczą, kwestionowane jest wykorzystywanie danych biometrycznych do kontroli czasu pracy”[11].
W doktrynie praktycznie zgodnie uznaje się, że istnieje możliwość zastosowania biometrii w procesach wymagających jednoznacznego potwierdzenia tożsamości do kontroli dostępów do pomieszczeń, obszarów, systemów związanych z bezpieczeństwem[12]. Dotyczy to sytuacji, w których na przykład przekazanie karty dostępu innej (nieuprawnionej) osobie może stanowić zagrożenie dla procesu, w tym dla danych osobowych.
W podobnym procesie, dotyczącym przetwarzania danych biometrycznych w szkole, wypowiedział się Sąd Administracyjny w Marsylii, który uchylił decyzję władz samorządowych dotyczącą możliwości identyfikacji uczniów wchodzących do budynków szkół na podstawie rozpoznawania rysów twarzy. Podobnie jak w sprawie polskiej szkoły, przetwarzanie odbywało się na podstawie zgody[13]. Uprzednio taki sposób identyfikacji zakwestionował także francuski organ nadzorczy oraz wskazał na wysokie ryzyko związane z małoletniością osób oraz koniecznością oceny procesu pod kątem niezbędności i proporcjonalności. W podobnej sprawie tożsamo wypowiedział się szwedzki organ nadzorczy[14].
Powyższe orzeczenia wskazują na zasadniczo jednolity sposób orzekania organów w sprawach dotyczących ochrony danych osobowych, w których wykorzystywana jest biometria. Szczególnie restrykcyjne podejście można zauważyć w sprawach odnoszących się do osób małoletnich. Każdorazowo organy wskazują na konieczność uwzględnienia na etapie projektowania proporcjonalności oraz niezbędności danych biometrycznych dla procesu[15].
W świetle powyższego wyroki WSA i NSA są swego rodzaju zerwaniem z kształtującą się linią interpretacyjną organów orzekających (zarówno sądów, jak i organów nadzorczych) w Unii Europejskiej w sprawach dotyczących wykorzystania danych sensytywnych w odniesieniu do małoletnich. Z kolei utrzymanie pewnej wspólnej linii interpretacyjnej w sytuacjach wykorzystania podobnych technologii, na podstawie tej samej regulacji (RODO) jawi się jako niezbędne dla zachowania jednolitego standardu ochrony praw podstawowych.
W analizie przepisów RODO nie można zastosować prostej analogii sprowadzającej się do założenia, że w przypadku posiadania podstawy prawnej przetwarzania administrator zapewnia jednocześnie zgodność z przepisami tego rozporządzenia. Przeciwnie, przetwarzanie szczególnych kategorii danych zobowiązuje administratora do podjęcia dalej idących środków ochrony w każdej fazie procesu.
Motyw 78 RODO stanowi, że ochrona praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych, by zapewnić spełnienie wymogów RODO. Aby móc wykazać przestrzeganie tego rozporządzenia, administrator powinien przyjąć wewnętrzną politykę i wdrożyć środki, które są zgodne w szczególności z zasadą uwzględniania ochrony danych w fazie projektowania oraz z zasadą domyślnej ochrony danych, polegające m.in. na minimalizacji przetwarzania danych osobowych.
Rodzic w umowie o korzystanie z posiłków w stołówce szkolnej miał możliwość wyboru: wyrażenia zgody lub niewyrażenia zgody na korzystanie z czytnika na odcisk palca. W celu opracowania w procesie przetwarzania danych osobowych operacji dotyczącej zbierania zgód, w pierwszej kolejności należy przeanalizować proces przetwarzania pod kątem prywatności w fazie projektowania (zasada privacy by design). W standard ochrony danych nie wpisują się wyłącznie zabezpieczenia technologiczne, lecz także organizacyjne. Oznacza to, że administrator danych osobowych powinien podjąć również organizacyjne działania, które w danym procesie prowadziłyby do możliwości zbierania mniejszej liczby danych.
Analizując stanowiska podmiotów dotyczące procesu przetwarzania danych osobowych, wokół którego toczy się sprawa, można dokonać jednego rozróżnienia determinującego rozbieżne stanowiska. Mianowicie chodzi o cel przetwarzania danych osobowych[16]. Słusznie zauważył WSA (za komentarzem D. Lubasza[17]), że aby określić „niezbędny” zakres przetwarzania danych osobowych, najpierw należy zdefiniować konkretny cel ich zbierania. W przedmiotowej sprawie celem deklaratoryjnie przez szkołę określonym oraz przez Prezesa UODO przyjętym była ewidencja osób korzystających ze stołówki szkolnej celem prawidłowego naliczania opłat. Celem procesu nie było zatem zapewnienie sprawnego dostępu chętnych dzieci do stołówki szkolnej. Jest to zasadnicza różnica. Dla procesu, którego cel zdefiniowano jako „zapewnienie sprawnego dostępu do stołówki szkolnej w stosunkowo krótkim czasie przerwy międzylekcyjnej”, dobierane będą inne zakresowo dane osobowe niż dla procesu przetwarzania danych zdefiniowanego przez szkołę. W tym drugim przypadku nieznacząca będzie przykładowo szybkość operacji na danych osobowych. Sąd, analizując kwestie dotyczące zasady adekwatności, pominął wątpliwość co do braku ściśle określonego celu.
Dla zapewnienia sprawności dostępu do stołówki jedyną metodą działania nie jest coraz szersza ingerencja w przetwarzanie danych osobowych, lecz przykładowo zmiany organizacyjne lub infrastrukturalne w działalności szkoły. Realizacja przez szkołę celu zapewnienia szybkiego dostępu do stołówki znajduje swoje potwierdzenie w ustaleniach Prezesa UODO, który określając wysokość kary finansowej, wskazał, że szkoła „podjęła świadomą decyzję, motywowaną chęcią sprawnej identyfikacji dzieci pobierających posiłki w stołówce szkolnej”. Nieprzekonujący wydaje się argument dotyczący liczby uczniów korzystających ze stołówki szkolnej (ponad 600 osób). Doświadczenie życiowe wskazuje, że inne szkoły radzą sobie z organizacją spraw stołówki przy równie dużej liczbie uczniów bez daleko idącej ingerencji w prywatność tych osób. Jednocześnie zastosowana mogła wzmacniać efekt dyskryminacyjny osób, które nie wyraziły zgody na identyfikację za pomocą danych daktyloskopijnych.
Oprócz analizowanego naruszenia zasady adekwatności w przedmiotowej sprawie należy wskazać, że szkoła nie zastosowała zasady ograniczonego celu przetwarzania wyrażonej w art. 6 ust. 1 lit. b RODO. Cel przetwarzania nie był z pewnością określony w sposób wyraźny, konkretny i prawnie uzasadniony.
Analizując stan faktyczny sprawy, należy stwierdzić, że szkoła nie spełniła tej zasady lub przeprowadziła weryfikację pod kątem prywatności w fazie projektowania w niewłaściwy sposób. Ze stanu faktycznego wynika, że szkoła pierwotnie próbowała innych metod ewidencji dzieci korzystających ze stołówki, jednak nie przynosiły one spodziewanych rezultatów. Kierując się zasadą prywatności w projektowaniu, powinna ona przede wszystkim podjąć działania organizacyjne w celu realizacji zadania przy jak najmniejszym koszcie dla prywatności. Takim działaniem mogłaby być ewidencja osób wchodzących na stołówkę za pomocą legitymacji szkolnej.
To legitymacje szkolne stanowią dokument potwierdzający tożsamość ucznia i posiadanie uprawnień z nim związanych. Ustawodawca uznał zatem, że liczba danych na nich jest wystarczająca do identyfikacji uczniów. Wzory legitymacji nie zawierają szczególnych kategorii danych, a korzystanie z nich uprawnia do potwierdzenia tożsamości ucznia w równie istotnych procesach przetwarzania danych, jak na przykład w środkach komunikacji miejskiej. Obecnie przepisy prawa pozwalają także na posiadanie, oprócz zwykłej legitymacji w formie materialnej, także e-legitymacji, w tym na urządzeniach mobilnych uczniów.
Proces ewidencji osób wchodzących na stołówkę można było zatem zorganizować w taki sposób, aby przetwarzać minimalną liczbę danych jeszcze przed wprowadzeniem w szkole kart magnetycznych.
Wojewódzki Sąd Administracyjny wskazuje, że „dane biometryczne zostały zakwalifikowane do tzw. szczególnych kategorii danych osobowych […], których przetwarzanie musi być oparte na wskazanych w RODO odpowiednich dla tej kategorii przesłankach (podstawach prawnych)”. Precyzując uzasadnienie WSA, należy wskazać, że inaczej niż w przypadku „danych zwykłych”, w odniesieniu do danych wrażliwych (enumeratywnego katalogu danych) prawodawca unijny wprowadził generalny zakaz ich przetwarzania (vide art. 9 ust. 1 RODO). W ustępie 2 wskazanego przepisu przewidział on ściśle określone wyłączenia od zakazu przetwarzania, surowsze niż przesłanki legalizacyjne określone w art. 6 ust. 1 RODO. Jedną z przesłanek uchylających zakaz przetwarzania danych wrażliwych jest sformułowana w art. 9 ust. 2 lit. a RODO wyraźna zgoda na przetwarzanie tych danych w jednym lub kilku konkretnych celach. Zgodnie z definicją zgody określoną w art. 4 RODO musi być ona dobrowolna, konkretna, świadoma i jednoznaczna.
Należy krótko odnieść się do jednego z warunków wyrażenia zgody, jakim jest jej dobrowolność. Tło dla przepisów RODO stanowią wprowadzone do tego aktu motywy zamieszczone przed przepisami właściwymi, które wskazują kierunek interpretacyjny następujących po nich artykułów. I tak motyw 42 RODO stanowi, że „Wyrażenia zgody nie należy uznawać za dobrowolne, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji”. Kierując się taką interpretacją, należy, projektując proces przetwarzania danych, uwzględnić, czy można uprzednio odmówić wyrażenia zgody bez negatywnych dla siebie konsekwencji. Aplikując to do analizowanego stanu faktycznego, należy z jednej strony wskazać, że odmowa wyrażenia zgody przez rodzica w imieniu dziecka miała powodować negatywne konsekwencje dla tego małoletniego w postaci konieczności oczekiwania na końcu kolejki do stołówki szkolnej. Z drugiej strony rodzic, chcąc umożliwić swemu dziecku równe z innymi dziećmi korzystanie ze stołówki szkolnej, musiał godzić się z wykorzystaniem danych sensytywnych dziecka. Stworzony mechanizm niejako systemowo wprowadzał więc negatywne konsekwencje dla odmawiających wyrażenia zgody.
Jeden z podnoszonych przez Prezesa UODO w sprawie argumentów dotyczył braku dobrowolności zgody ze względu na brak równowagi stron pomiędzy podmiotami. W tym kontekście warto przytoczyć motyw 43 RODO, który wskazuje, że „Aby zapewnić dobrowolność, zgoda nie powinna stanowić ważnej podstawy prawnej przetwarzania danych osobowych w szczególnej sytuacji, w której istnieje wyraźny brak równowagi między osobą, której dane dotyczą, a administratorem, w szczególności gdy administrator jest organem publicznym i dlatego jest mało prawdopodobne, by w tej konkretnej sytuacji zgodę wyrażono dobrowolnie we wszystkich przypadkach”. Za nierównowagę stron należy uznać sytuację, gdy po jednej ze stron istnieje duża władczość nad podmiotem mającym wyrazić zgodę. Europejska Rada Ochrony Danych w swoich wytycznych dotyczących zgody podjęła się analizy tego motywu, wprost wskazując, że „dzieci w placówce edukacyjnej stanowią typowy przykład sytuacji, w której istnieje nierównowaga między osobą, której dane dotyczą, a administratorem i w której należy raczej zastosować inną podstawę prawną”[18].
W podobnym charakterze wypowiadał się w swoich wytycznych z dnia 20 listopada 2020 r. Komitet Konsultacyjny Konwencji Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (dalej: Konwencja 108), który wskazuje, że „Dane biometryczne nie powinny być rutynowo przetwarzane w placówkach edukacyjnych. Wykorzystanie danych biometrycznych w placówkach edukacyjnych w wyjątkowych okolicznościach, takich jak weryfikacja tożsamości, w tym zdalna opieka, jest dozwolone tylko wtedy, gdy mniej inwazyjna metoda może osiągnąć ten sam cel, zgodnie z zasadą bezwzględnej konieczności, po przeprowadzeniu oceny skutków dla ochrony danych i przy odpowiednich zabezpieczeniach przewidzianych prawem, zgodnie z art. 6 ust. 1 Konwencji 108+. Powinno to obejmować należyte uwzględnienie zagrożeń, jakie przetwarzanie danych wrażliwych może stwarzać dla praw i podstawowych wolności dziecka, włączając dyskryminację przez całe życie. Należy oferować metody alternatywne bez uszczerbku”[19].
Gremia międzynarodowe zgodnie zatem wskazują, że zgodę na przetwarzanie danych sensytywnych w placówkach edukacyjnych należy, co do zasady, odrzucić jako obarczoną brakiem dobrowolności ze względu na faktyczną nierówność podmiotów, czyli szkoły i ucznia, zwłaszcza gdy mamy do czynienia z placówką publiczną.
Nie sposób zatem zgodzić się ze stwierdzeniem A. Mednisa, że „[WSA] […] zasadnie zatem pominął wywód PUODO [dotyczący możliwości zastosowania zgody – przyp. RC] i dopuścił zgodę jako podstawę przetwarzania danych uczniów korzystających ze stołówki”[20]. Zresztą sam A. Mednis wyraża wątpliwość co do braku dobrowolności, jednakże poprzestaje jedynie na tym stwierdzeniu, nie próbując konsekwentnie rozwinąć tej wątpliwości.
Bez znaczenia jest kwestia, że jedynie kilkoro rodziców dzieci w ciągu dwóch lat trwania procesu przetwarzania danych biometrycznych odmówiło wyrażenia zgody. Nie potwierdza to dużej akceptowalności rozwiązania, ale może potwierdzać, że proces przetwarzania mógł wywołać efekt dyskryminacyjny wobec tych dzieci.
Nie sposób jednak zgodzić się z interpretacją Prezesa UODO w kwestii możliwości stosowania do tego procesu przetwarzania danych art. 6 ust. 1 lit. e RODO, to jest niezbędności przetwarzania do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Proces dotyczył bowiem danych wrażliwych, a w zakresie organizacji stołówki szkolnej mogą być przetwarzane także inne dane tego typu, na przykład dotyczące szczególnych diet uczniów, alergenów pokarmowych etc.[21] Prezes UODO, chcąc rozwiązać jednoznacznie te kwestie, powinien przeanalizować przesłanki wyłączające zakaz przetwarzania szczególnych kategorii danych, na przykład art. 9 ust. 2 lit. g RODO.
Zasadniczo w aktywnościach szkoły mogą pojawić się sytuacje, gdy niezbędne będzie przetwarzanie danych sensytywnych i będzie potrzeba oparcia się na innych przesłankach legalizacyjnych niż te określone w art. 6 ust. 1 RODO[22].
Podsumowując ten punkt, należy zauważyć, że o ile wyraźna zgoda może być samodzielną podstawą przetwarzania danych sensytywnych, jednakowoż w tej konkretnej sytuacji samo złożenie, że istnieje potrzeba wykorzystywania takich danych, była błędna, a co za tym idzie – wadliwość zgody (ze względu na brak dobrowolności) jest wtórna. Konkluzja Prezesa UODO wyrażona w decyzji, a dotycząca braku możliwości zastosowania wyraźnej zgody w kontestowanym procesie znajduje swoje potwierdzenie także w opiniach międzynarodowych specjalistów z zakresu prawa ochrony danych osobowych.
W literaturze zauważa się potencjalne napięcie pomiędzy zasadą adekwatności przetwarzania danych a ich minimalizacją[23]. W tym miejscu należy wskazać, że Prezes UODO rygorystycznie podchodzi do interpretacji zasady adekwatności, uznając, że dotyczy to danych minimalnie niezbędnych do realizacji celu.
Wojewódzki Sąd Administracyjny w uzasadnieniu swojego wyroku wnikliwie analizuje potencjalną niezgodność między zasadą minimalizacji i adekwatności. W takiej sytuacji, co do zasady, należy opowiadać się za stosownością, tak jak interpretuje to sąd. Adekwatność zakłada jednak swego rodzaju proporcjonalność. W omawianej sprawie trudno uznać swoiste „przejście na odcisk palca”, skutkujące rozpoczęciem zbierania danych sensytywnych, jako realizujące taką proporcjonalność. Zdaniem autora artykułu adekwatność nie powinna być także interpretowana w oderwaniu od pozostałych przepisów prawa o ochronie danych, a zasady wyrażone w art. 5 RODO muszą być rozpatrywane kumulatywnie. W komentowanej sprawie nie zachodzi jednak takie napięcie, ponieważ – jak wskazano powyżej – jako niewłaściwie nakreślony jawi się cel przetwarzania, co z kolei determinuje zakres danych potrzebnych do jego realizacji. Przetwarzane dane nie były adekwatne do faktycznego celu, jaki powinien zostać określony.
Wojewódzki Sąd Administracyjny w swoim wyroku, a przede wszystkim w jego uzasadnieniu odniósł się jedynie do przepisów RODO. Pomimo wstępnej deklaracji, w której stwierdził, że decyzja Prezesa UODO narusza przepisy prawa europejskiego oraz krajowego, w uzasadnieniu odniósł się jedynie do interpretacji wybranych przepisów RODO, całkowicie pomijając inne przepisy prawa europejskiego oraz przepisy prawa polskiego.
W ocenie legalności procesu przetwarzania danych osobowych należy brać pod uwagę także gwarancje ochrony prywatności oraz dobra dziecka wynikające z regulacji konstytucyjnej oraz umów międzynarodowych.
Konstytucja RP w art. 51 ust. 2 stanowi, że „Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym”. Gromadzenie oznacza zbieranie danych zarówno od samych osób, których dane te dotyczą, jak i z innych źródeł. Należy wskazać, że odmiennie niż w regulacjach prawa europejskiego wobec władz publicznych – Konstytucja RP nakreśla ściślejsze reguły, to jest zapewnienia niezbędności (nie w odniesieniu do celu przetwarzania) w demokratycznym państwie prawa[24]. Określenie zapewnienia niezbędności „jest naturalnie określeniem wartościującym, jego konkretna treść ustalana będzie przez organy stosujące ów przepis konstytucyjny”[25]. Niezbędność w demokratycznym państwie prawa można w tym przypadku oceniać jako adekwatność do charakteru spełnianej przez podmiot roli. Obowiązek zapewnienia sprawnej weryfikacji płatności lub szybkiego dostępu do stołówki w szkole nie jawi się jako na tyle istotny, że pozwala na używanie danych biometrycznych.
Dodatkowo należy zauważyć, że art. 47 Konstytucji RP stanowi, że „Każdy ma prawo do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym”. Regulacja ta, stanowiąca samodzielny wzorzec kontroli konstytucyjnej, kreuje po stronie państwa pozytywne obowiązki, w tym konieczność wprowadzenia przepisów prawa zapewniających ochronę danych biometrycznych dzieci. Obecnie ochrona ich prywatności nie może zostać naruszona przez nierozsądne działanie rodziców lub szkoły, które w przyszłości mogłoby wywołać szkodę u małoletniego i narazić ową prywatność na ogromny uszczerbek. Oceniając tak to rozwiązanie, należy przyjąć, że gwarancje konstytucyjne mogły nie zostać zachowane w przedmiotowej sprawie.
W kontekście omawianej sprawy istotne są sygnalizowane w pkt 3.5 regulacje, to znaczy Konwencji 108[26] oraz Konwencji 108+, stanowiącej protokół zmieniający do wyżej cytowanej umowy międzynarodowej. W zakresie jej rozpoznania powinno się uwzględnić art. 5 ust. 2 Konwencji 108+ (warunki wyrażenia zgody), a także art. 6 ust. 1 i 2 Konwencji stanowiący o przetwarzaniu danych wrażliwych oraz konieczności uwzględnienia odpowiednich gwarancji (appropriate safeguards) przewidzianych w prawie krajowym niezależnie od ochrony konwencyjnej.
Ustalony przez szkołę proces przetwarzania danych osobowych należy także ocenić pod kątem klauzuli generalnej dobra dziecka, która ma swoje potwierdzenie w przepisach prawa zarówno międzynarodowego, jak i polskiego. Klauzula dobra dziecka musi być rozpatrywana indywidualnie w każdym przypadku, na podstawie dotychczasowego dorobku judykatury i doktryny prawa. Zasadniczo dobro dziecka stanowi wartość nadrzędną, a inne dobra i interesy nie powinny mieć pierwszeństwa przed tą zasadą. Zobowiązani do ochrony dobra dziecka są nie tylko rodzice lub opiekunowie prawni małoletnich, lecz także inne podmioty, w tym placówki edukacyjne. W tym konkretnym przypadku klauzula dobra dziecka powinna być interpretowana jako konieczność zapewnienia jak najdalej idącej ochrony prywatności dziecka. Należy przypomnieć, że dane biometryczne, to jest odcisk palca, są jednoznacznie identyfikujące i niezmienne. Pozyskiwanie takich szczególnych kategorii danych osobowych dzieci do procesu przetwarzania danych, jakim jest dostęp do stołówki szkolnej, jawi się jako nierespektujący tej zasady.
W przypadku naruszenia ochrony danych osobowych, to jest na przykład incydentu bezpieczeństwa i ich ujawnienia wobec podmiotów nieuprawnionych, mogłoby to powodować daleko idące skutki dla tychże. Działanie rodziców skierowane na chęć szybkiego dostępu do stołówki odbywa się ze szkodą dla prywatności dzieci i mogłoby wywołać negatywne skutki, których same dzieci po osiągnięciu pełnoletniości nie mogłyby cofnąć. Wyciek danych biometrycznych pozwalałby na wygenerowanie odcisku palca, a co za tym idzie – wykorzystywanie tego rodzaju danych na przykład w celach przestępczych.
Dodatkowo zasadę dobra dziecka należy rozpatrywać wobec innych dzieci, które korzystają ze stołówki szkolnej. Szkoła miała tak zorganizować system wejścia na stołówkę, że dzieci, których rodzice nie wyrazili zgody na przetwarzanie danych biometrycznych (a więc działając w najlepiej pojmowanym interesie swoich dzieci), musiały oczekiwać na końcu kolejki. Spowodowało to, że w szkole miała być pośrednio zorganizowana dyskryminacja dzieci ze względu na przetwarzanie danych osobowych. Zgodnie z deklaracjami szkoły na etapie postępowania sądowo-administracyjnego w ogóle do niej nie doszło.
Tak zaprojektowany proces potwierdza brak dobrowolności zgody oraz brak równowagi sił podmiotów występujących w procesie przetwarzania danych. Przyjmuje się, że niewyrażenie zgody nie powinno prowadzić do negatywnych konsekwencji. Rodzice, nie chcąc, aby ich dzieci „systemowo” oczekiwały na końcu kolejki, decydowali się na wyrażenie takiej zgody.
Konkludując, należy wskazać, że w kontynentalnym systemie ochrony danych osobowych zgodnie wskazuje się na konieczność szczególnej ochrony danych osobowych dzieci oraz uwzględnienie czynnika małoletniości jako determinującego zapewnienie wyższego standardu. Jeżeliby przyjąć interpretację przepisów określoną przez WSA, a sprowadzającą się jedynie do „pozytywistycznego” badania zaistnienia przesłanek legalizujących przetwarzanie szczególnych kategorii danych osobowych dzieci, bez uwzględnienia szerszego kontekstu stanowienia i stosowania przepisów, można dojść do wniosku, że ochrona danych wrażliwych małoletnich niczym nie różni się od zbierania danych takich kategorii od osób dorosłych, co w konsekwencji wprost zaprzeczy zasadzie szczególnej ochrony małoletnich wyrażonej w RODO oraz innych przepisach prawa.
Zgoda w relacjach pomiędzy uczniem a szkołą, co do zasady, powinna zostać odrzucona. Nie oznacza to jednak, że nie mogą pojawić się procesy przetwarzania szczególnych kategorii danych, w których będzie potrzebne jej uzyskanie. Powinna być ona jednak przyjęta jako ostatnia możliwość w sytuacji, gdy zbieranie danych wrażliwych jest oczywiście niezbędne i nie sposób wskazać innej postawy z art. 9 ust. 2 RODO. Taka sytuacja nie miała jednak miejsca w omawianym kazusie.
Placówki edukacyjne, przystępując do zbierania danych osobowych, w szczególności gdy mają to być dane sensytywne, powinny dogłębnie przeanalizować projektowany proces, w tym właściwie i konkretnie określić cel przetwarzania, zadbać o zgodność z zasadami wyrażonymi w art. 5 ust. 1 RODO oraz uwzględnić wszystkie potencjalne skutki, w tym możliwość wystąpienia dyskryminacji.
Reasumując, utrzymanie przez NSA w mocy wyroku WSA może wywołać daleko idące skutki polegające na pojawieniu się podobnych procesów przetwarzania danych dzieci, które w konsekwencji doprowadzą do obniżenia standardu ochrony ich danych osobowych w placówkach edukacyjnych.