Tak wynika z nieprawomocnego wyroku WSA w Warszawie, który zapadł 7 sierpnia 2020 r. (sygn. akt II SA/Wa 809/20).
Z wyrokiem tym nie zgadza się prezes Urzędu Ochrony Danych Osobowych, który wniósł od niego skargę kasacyjna do Naczelnego Sądu Administracyjnego. W ocenie Prezesa UODO, przepisy o ochronie danych osobowych (RODO) kładą duży nacisk na ochronę danych osobowych dzieci, które mogą być nieświadome ryzyka, konsekwencji, zabezpieczeń oraz praw przysługujących im w związku z przetwarzaniem danych osobowych. Prezes UODO wskazał ponadto, że ewentualne naruszenia ochrony danych biometrycznych przez przetwarzającego będą mogły wiązać się z negatywnymi konsekwencjami trwającymi przez całe życie dzieci. Nawet po osiągnięciu przez nie pełnoletności. A to dlatego, że dane osobowe takie jak odcisk palca są niezmienne.
Stołówkowy Kontroler Papilarno-Transponderowy
Jedna ze szkół wprowadziła (w 2015 r.) biometryczną weryfikacje uczniów korzystających ze szkolnej stołówki. W tym celu przed wejściem do tego pomieszczenia umieszczony został Kontroler Papilarno-Transponderowy (KPT), który identyfikuje dzieci pobierające posiłki w stołówce szkolnej w celu weryfikacji uiszczenia opłaty za posiłek w danym dniu. Dane biometryczne uczniów pobierane są zaś na podstawie zgody wyrażonej przez rodzica (opiekuna prawnego).
Skarżąca szkoła wskazała, że pozyskuje dane biometryczne swoich uczniów na podstawie pisemnej zgody rodzica (opiekuna prawnego). Wyrażenie zgody jest dobrowolne: rodzic (opiekun prawny) zawierając umowę o korzystanie z posiłków ma możliwość wyboru i wyrażenia zgody lub niewyrażenia zgody na korzystanie z czytnika na odcisk palca.
Natomiast po rozwiązaniu umowy o korzystanie z obiadów w stołówce szkolnej dane potrzebne do identyfikacji zostają usunięte.
Czytaj też: Szkoła ukarana za wykorzystywanie odcisków palców uczniów>>
Praktyka zakwestionowana przez PUODO
Prezes Urzędu Ochrony Danych Osobowych uznał, że stosowana przez szkołę praktyka narusza przepisy RODO. Wskazał, że zgodnie z art. 9 ust. 1 RODO, zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, biometryczne, przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej tej osoby.
Dane biometryczne
Dane biometryczne oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne (art. 4 pkt 14 RODO).
Ponadto w ocenie Prezesa UODO podstawą przetwarzania jakichkolwiek danych osobowych dzieci w związku z realizacją zadania szkoły polegającego na prowadzeniu stołówki nie mogła być zgoda, ponieważ podstawą do przetwarzania danych osobowych dzieci w tym celu przez szkołę jest art. 6 ust. 1 lit. e RODO. W konsekwencji realizując usługę polegającą na prowadzeniu stołówki, szkoła może przetwarzać tylko te dane osobowe ucznia, które są niezbędne do świadczenia usług stołówki szkolnej. Tymczasem żaden z przepisów obowiązującego prawa nie zezwala szkole na przetwarzanie (pozyskiwanie i gromadzenie) danych biometrycznych uczniów, w celu realizacji świadczenia w postaci usług stołówki szkolnej.
Zdaniem Prezesa UODO, zgoda rodzica także nie może być przesłanką legalizującą przetwarzanie danych biometrycznych. Zgoda stanowi podstawę legalizującą przetwarzanie danych osobowych jedynie wtedy, gdy nie istnieją inne przesłanki na te przetwarzanie. Zatem uznanie faktu wyrażenia zgody przez rodziców dzieci, jako okoliczności legalizującej przetwarzanie przez szkołę danych biometrycznych uczniów, stanowi – w ocenie Prezesa RODO - obejście obowiązujących przepisów prawa.
Zgoda jako obejście prawa
Polskie sądy administracyjne zajmowały się już przetwarzaniem danych biometrycznych. Przykładem może być m.in. wyrok NSA z 1 grudnia 2009 r. (sygn. akt I OSK 249/09). Zapadł on na gruncie przepisów prawa pracy. W orzeczeniu tym sąd uznał, że wykorzystywanie danych biometrycznych pracowników do kontroli czasu pracy narusza zasadę adekwatności. Sąd ten wskazał, że wykorzystanie danych biometrycznych do kontroli czasu pracy pracowników jest nieproporcjonalne do zamierzonego celu ich przetwarzania. - Z tego względu ustawodawca ograniczył przepisem art. 22 Kodeksu Pracy katalog danych, których pracodawca może żądać od pracownika. Uznanie faktu wyrażenia zgody na podstawie art. 23 ust. 1 pkt 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych [już nieobowiązującej – MCG], jako okoliczności legalizującej pobranie od pracownika innych danych niż wskazane w art. 22 Kodeksu pracy , stanowiłoby obejście tego przepisu – podkreślił NSA.
WSA: szkoła może przetwarzać dane biometryczne uczniów
W wyroku z 7 sierpnia 2020 r. (sygn. akt II SA/Wa 809/20) Wojewódzki Sąd Administracyjny w Warszawie uznał, że szkoła może przetwarzać dane biometryczne uczniów korzystających ze szkolnej stołówki.
W swoim orzeczeniu sąd wskazał, że co do zasady przetwarzanie danych wrażliwych jest zabronione, ale art. 9 ust. 2 RODO wskazuje sytuacje uchylające ten zakaz. - Wykazanie choć jednej z nich umożliwia przetwarzanie danych wrażliwych, a więc także biometrycznych uczniów - wskazał WSA w Warszawie.
W ocenie składu orzekającego taką sytuacją usprawiedliwiającą przetwarzanie danych biometrycznych jest zgoda rodziców (opiekunów prawnych) uczniów korzystających ze szkolnej stołówki.
Warszawski sąd administracyjny uznał ponadto, że Prezes UODO dokonał błędnej wykładni przepisów RODO, pomijając m.in. aspekt adekwatności, co prowadzi do zbyt rygorystycznego postrzegania zasady minimalizacji danych. - Określenie „adekwatne” oznacza „odpowiednie, zgodne, proporcjonalne, nienadmierne” i może być traktowane jako synonim słowa „stosowne”. W pewnych okolicznościach możliwe jest zatem przetwarzanie także takich danych, które „istotnie” wspomagają osiąganie celów przetwarzania, choćby samo ich osiągnięcie mogło być możliwe także bez nich – wskazał sąd.
Innymi słowy sąd uznał, że dopuszczalne jest przetwarzanie danych w nieco szerszym zakresie niż minimum, o ile dane te mają ścisły związek z realizacją celu.
Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 7 sierpnia 2020 r., sygn. akt II SA/Wa 809/20 (nieprawomocny)
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.
