Czytnik biometryczny może być wykorzystywany, by sprawdzić, czy opłacono obiady wydawane na stołówce – uznał sąd, uchylając karę nałożoną przez prezesa UODO na jedną ze szkół.

To pierwszy wyrok uchylający w pełni decyzję prezesa Urzędu Ochrony Danych Osobowych (w jednej z wcześniejszych spraw sąd zakwestionował co prawda część decyzji, ale zgodził się co do jej meritum). Orzeczenie, którego uzasadnienie właśnie zostało opublikowane w bazie orzecznictwa, jest także istotne z innego względu – zakwestionowano w nim bowiem samo podejście do jednej z naczelnych zasad RODO: minimalizacji danych.
Chodzi o karę 20 tys. zł nałożoną w lutym 2020 r. na Szkołę Podstawową nr 2 w Gdańsku za zainstalowanie czytników linii papilarnych przed wejściem do szkolnej stołówki. Uczeń przykładał palec, skaner porównywał odcisk i identyfikował dziecko. Po przesłaniu informacji do systemu ten weryfikował, czy posiłek został opłacany. Jak podkreślała dyrekcja szkoły, rozwiązanie takie wprowadzono na prośbę samych rodziców. Dzieci gubiły bowiem stosowane wcześniej karty lub zapominały ich zabrać z domu. To zaś powodowało problemy. System biometryczny pozwalał zaś na łatwą identyfikację. Na jego użycie rodzice musieli jednak wyrazić pisemną zgodę. W roku szkolnym 2019/2020 z czytnika korzystało 680 uczniów. Rodzice czterech nie wyrazili na to zgody. Musieli oni czekać, aż do stołówki wejdą wszystkie dzieci używające czytnika i dopiero na końcu wpuszczano ich do środka, w inny sposób sprawdzając, czy mają opłacone posiłki.
Różne podejścia
Zgodnie z art. 9 RODO zakazane jest przetwarzanie danych sensytywnych, w tym również biometrycznych. Ustęp 2 tego przepisu wskazuje zamknięty katalog sytuacji, w których jest to dopuszczalne. Szkoła twierdziła, że podstawę prawną stanowią w jej przypadku dobrowolne zgody rodziców. UODO nie zgodził się z tą argumentacją, uznając, że chodziło o realizację zadań opiekuńczych. Zgodnie bowiem z art. 106 ustawy – Prawo oświatowe (t.j. Dz.U. z 2020 r. poz. 910 ze zm.), wypełniając te cele, szkoła może zorganizować stołówkę. W tej sytuacji podstawą przetwarzania danych (ale nie tych sensytywnych) jest więc ustawa, a wówczas zgoda nie wchodzi już w grę.
Wojewódzki Sąd Administracyjny w Warszawie doszedł do innych wniosków. Nie miał wątpliwości, że chodzi o dane biometryczne, a więc szczególne, ale jego zdaniem nawet ich przetwarzanie szkoła mogła oprzeć na pisemnej zgodzie rodziców.
Jednocześnie sąd zgodził się z UODO, że zastosowanie w tej sprawie znajdują podstawowe zasady określone w art. 5 RODO. Przetwarzane dane muszą więc być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Rozumienie tej ostatniej zasady, określanej jako minimalizacja danych, okazało się kluczowe do rozstrzygnięcia tej sprawy.
Prezes UODO – podobnie jak część przedstawicieli doktryny – uważa, że zasada minimalizacji nie pozwala na przetwarzanie danych, jeśli ten sam cel można uzyskać w inny sposób.
„Szkoła nie powinna pozyskiwać danych ponad miarę, lecz jedynie te, które są niezbędne dla zrealizowania celów. Należy zauważyć, iż przetwarzanie danych biometrycznych nie jest niezbędne dla osiągnięcia celu, jakim jest identyfikacja uprawnienia dziecka do odebrania obiadu. Wyżej wymienioną identyfikację szkoła może przeprowadzić za pomocą innych środków, mniej ingerujących w prywatność dziecka korzystającego z usług stołówki szkolnej” – można przeczytać w uzasadnieniu decyzji nakładającej karę na szkołę.
Innymi słowy, skoro karta elektroniczna czy też nawet zwykłe podanie nazwiska wystarczały do weryfikacji tego, czy dziecko ma opłacony obiad, to nie powinno się przetwarzać danych tak szczególnych jak linie papilarne.
Sąd w inny sposób zinterpretował zasadę minimalizacji.
„Odczytywanie z analizowanego przepisu normy nakazującej ograniczenie danych jedynie do niezbędnego minimum i przetwarzanie tylko takich danych, bez których nie da się osiągnąć celu, uznać należy za interpretację zbyt daleko idącą. Zdaniem sądu, wymóg niezbędności należy odczytywać łącznie z wymogiem adekwatności i stosowności, co powinno pozwolić na uwzględnienie okoliczności i dopuszczenie przetwarzania danych, które w istotny sposób mogą pomóc osiągnąć cele przetwarzania” – można przeczytać w uzasadnieniu wyroku z 7 sierpnia 2020 r. (sygn. akt II SA/Wa 809/20).
Będzie kasacja
Sąd przyznał, że pogodzenie wymogu adekwatności i minimalizacji może nie być łatwe. Jego zdaniem jest to jednak możliwe i nie można zasadzie minimalizacji przyznawać pierwszeństwa. Warunkiem jest to, aby przetwarzane dane miały ścisły związek z realizowanym celem. Wystarczy jednak choćby to, by ułatwiały jego osiągnięcie. W tej sprawie zaś szkoła wykazała, że używanie czytnika linii papilarnych ułatwia weryfikację, kto ma opłacony posiłek, oraz wyjaśniła, dlaczego stosowane wcześniej metody (m.in. karty) nie spełniały jej oczekiwań.
Prawnicy specjalizujący się w ochronie danych osobowych doceniają obszerną i wszechstronną analizę RODO, jakiej dokonał sąd w uzasadnieniu wyroku. Nie wszyscy jednak zgadzają się z wyciągniętymi wnioskami.
– Sąd wybrał jedną z możliwych i obecnych w polskiej literaturze możliwości wykładni zasady minimalizacji danych osobowych, uznając, że istnieje „konieczność zachowania odpowiednich proporcji zakresu danych do celów przetwarzania i przetwarzanie tylko takich danych, które są potrzebne dla realizacji określonych celów”. W mojej ocenie, zwłaszcza w przypadku podmiotu publicznego, takie podejście może budzić wątpliwości i bliżej mi tutaj – także w świetle art. 51 ust. 2 Konstytucji RP – do słownikowego rozumienia wymogu zachowania niezbędności, przetwarzania takich danych, bez którego nie da się osiągnąć celu przetwarzania – komentuje dr Paweł Litwiński, adwokat z kancelarii Barta Litwiński.
Prezes UODO nie zgadza się z orzeczeniem WSA w Warszawie i zapowiada złożenie kasacji do Naczelnego Sądu Administracyjnego.