Zasady ochrony danych są określane przez rozporządzenie ogólne o ochronie danych osobowych (RODO). Ponadto od kilku lat głośno mówi się też o samodzielnym dbaniu o własną prywatność w sieci, poprzez stosowanie oprogramowania VPN co to oznacza? Głównie zapewnienie sobie większej anonimowości i bezpieczeństwa w Internecie.

Trochę inaczej wygląda kwestia ochrony danych biometrycznych, o których stało się głośno między innymi za sprawą informacji, którą w 2018 roku otrzymał polski Urząd Ochrony Danych Osobowych (UODO).

Sprawa przetwarzania danych w jednej ze szkół podstawowych

W jednej z gdańskich szkół podstawowych pobierano odciski palców dzieci, które korzystały z tamtejszej stołówki. Odbywało się to przy pomocy czytnika sprawdzającego dane daktyloskopijne, który został umieszczony przed wejściem do stołówki.

Celem tego działania była weryfikacja, czy dziecko zapłaciło tego dnia za swój posiłek. Według szkoły rodzice mogli dobrowolnie wyrazić zgodę na to, aby ich dziecko korzystało z czytnika danych biometrycznych. Niewyrażenie zgody na sprawdzanie danych było jednak związane z pewnymi niedogodnościami - dzieci wchodziły do stołówki na samym końcu kolejki po tym, gdy wszystkie inne skorzystały z czytnika.

Decyzja UODO

W reakcji na otrzymane zawiadomienie, Urząd Ochrony Danych Osobowych zadecydował o konieczności usunięcia wszystkich danych osobowych o cechach biometrycznych ze szkolnej bazy danych i zaprzestania używania wcześniej wymienionego czytnika. Dodatkowo na szkołę pnałożono karę wynoszącą 20 000 złotych.

Jak UODO uzasadnił swoją decyzję? Wspomniano między innymi o:

• wyjątkowym charakterze, jaki posiadają dane biometryczne, które są trwałe i niemożliwe do zmiany, przez co ich wykorzystanie powinno być niezwykle staranne

• konieczności ochrony danych osobowych dzieci, które nie do końca mogą zdawać sobie sprawę z konsekwencji i zagrożeń wynikających z nieodpowiedniego wykorzystywania ich danych

• braku podstawy prawnej do przetwarzania danych biometrycznych przez placówkę szkolną

• zasadzie minimalizacji danych, według której dane mogą być przetwarzane w zakresie niezbędnym do osiągnięcia konkretnych celów.

Wyrok sądu

Sprawa została skierowana do Wojewódzkiego Sądu Administracyjnego, ponieważ szkoła złożyła skargę na UODO kwestionując ich decyzję, a w wyniku przeprowadzonego postępowania, Sąd zdecydował o jej uchyleniu.

Sąd uzasadnił swoją decyzję, twierdząc, że szkoła nie naruszyła ogólnego zakazu przetwarzania danych osobowych, z art. 9 ust. 1 RODO, ponieważ szkoła uzyskała wyraźną zgodę rodziców na wykorzystywanie danych biometrycznych uczniów.

Ponadto sąd odniósł się do podniesionej przez UODO kwestii minimalizacji danych uznając, że przetwarzanie informacji osobowych w zakresie nieco szerszym niż niezbędne minimum należy uznać za dopuszczalne, jeśli przetwarzane dane są ściśle związane z realizacją celu. Sąd uznał, że szkoła odpowiednio uzasadniła związek między celem wykorzystywaniem danych i zakresem ich zbierania.

Odpowiedź UODO

Urząd Ochrony Danych Osobowych wniósł kasację do Naczelnego Sądu Administracyjnego i utrzymując swoje stanowisko w tej sprawie. Podniesiono między innymi kwestię dyskryminowania tych uczniów, którzy nie wyrazili zgody na podawanie swoich danych osobowych. Ta praktyka nie spełniała warunku dobrowolności, ponieważ brak wyrażenia zgody na sprawdzanie danych biometrycznych skutkował niekorzystnymi konsekwencjami dla uczniów.

Wspomniano również o wyrokach innych europejskich sądów, w tym sądu administracyjnego w Marsylii, który uznał za niezgodne z prawem zainstalowanie w szkołach systemu rozpoznawania twarzy. Odniesiono się też do holenderskiej sprawy, w której rozważano zabezpieczenie niektórych budynków właśnie kontrolą dostępu na podstawie danych biometrycznych.

Konwencja nr 108 Rady Europy

Na koniec wspomniano o Konwencji Nr 108 Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych. Konwencja stanowi, że dane biometryczne nie powinny być automatycznie przetwarzane w placówkach oświatowych, z wyjątkiem wyjątkowych okoliczności.

Według UODO biometryczne dane mogą być wykorzystywane wyłącznie w przypadku, gdy żadna inna metoda nie może osiągnąć tego samego celu. Podnosząc wcześniej wspomniane argumenty, Prezes UODO złożył do Naczelnego Sądu Administracyjnego kasację od wspomnianego wyroku.

Prezes UODO wyjaśnił, że według organu doszło do naruszenia zasad określonych w RODO, w tym tych dotyczących minimalizacji zbieranych danych i ich adekwatności oraz dobrowolności wyrażenia zgody na wykorzystywanie pobranych danych biometrycznych. Podniesiono również kwestię dyskryminacji uczniów, którzy nie zgodzili się na udostępnianie swoich danych.

Co dalej?

Pomimo tego, że sprawa nie została jeszcze zakończona, wyrok wydany przez sąd został pozytywnie przyjęty przez przedsiębiorców i bez wątpienia jest nie tylko odważny, ale także może stanowić furtkę do podejmowania podobnych decyzji w przyszłości.