7 sierpnia 2020 roku Wojewódzki Sąd Administracyjny w Warszawie wydał wyrok w sprawie o sygn. akt II SA/Wa 809/20. Jest to pierwszy w Polsce wyrok uchylający w pełni decyzję prezesa Urzędu Ochrony Danych Osobowych. 18 lutego 2021 roku w bazie orzecznictwa zostało opublikowane uzasadnienie tego wyroku, które jest istotne z tego względu, iż zakwestionowano w nim samo podejście do jednej z naczelnych zasad RODO tj. minimalizacji danych.
Tłem wyroku stała się sytuacja z ubiegłego roku, kiedy Prezes UODO otrzymał informację o gromadzeniu przez jedną z gdańskich szkół podstawowych odcisków palców dzieci korzystających z usług szkolnej stołówki. Przed wejściem do stołówki szkolnej zainstalowano czytniki linii papilarnych. Uczniowie chcący skorzystać ze stołówki, przykładali palec do czytnika, wskutek czego skaner porównywał odcisk i identyfikował dziecko. Po przesłaniu informacji do systemu ten weryfikował, czy posiłek dziecka został w danym dniu opłacony. System został wprowadzony z inicjatywy rodziców uczniów szkoły, w celu weryfikacji opłat. Ponadto, według ustaleń organu, dzieci, których rodzice nie wyrazili zgody na korzystanie z czytnika, musiały ustawić się na końcu kolejki do stołówki.
Zgodnie z art. 9 ust. 1 RODO, zabronione jest przetwarzanie tzw. „wrażliwych” danych osobowych, w tym także danych biometrycznych, celem jednoznacznego zidentyfikowania osoby fizycznej. Istnieją jednak ściśle określone sytuacje, w których przepisy rozporządzenia dopuszczają przetwarzanie takich danych. Ich katalog znajduje się w art. 9 ust. 2 RODO. Szkoła uznała, że podstawą przetwarzania danych biometrycznych dzieci korzystających ze szkolnej stołówki jest art. 9 ust. 2 lit. a RODO, tj. dobrowolna i wyraźna zgoda rodziców tych dzieci.
Ze stanowiskiem przyjętym przez szkołę nie zgodził się jednak Prezes UODO, powołując się na przepisy ustawy z dnia 14 grudnia 2016 roku – Prawo oświatowe, według których podstawą przetwarzania jakichkolwiek danych osobowych dzieci w związku z realizacją zadania szkoły polegającego na prowadzeniu stołówki szkolnej jest art. 6 ust. 1 lit. e RODO. W efekcie, według organu, szkoła może przetwarzać tylko te dane osobowe ucznia, które są niezbędne do świadczenia usług stołówki szkolnej. W konsekwencji, nie jest niezbędnym dla zweryfikowania uprawnienia dziecka do posiłku przetwarzanie jego danych biometrycznych.
Ponadto, Prezes UODO uznał „nowe” zasady wydawania posiłków za wprowadzające nierówne traktowanie uczniów, gdyż promują tych, których rodzice zgodzili się na korzystanie z identyfikacji biometrycznej.
W związku ze stwierdzonymi naruszeniami przepisów art. 5 ust. 1 lit. c oraz art. 9 ust. 1 RODO, Prezes UODO nakazał szkole usunięcie danych osobowych w zakresie przetworzonych do postaci cyfrowej informacji o charakterystycznych punktach linii papilarnych palców dzieci korzystających z usług stołówki, nakazał szkole zaprzestania zbierania tych danych, a także nałożył na szkołę karę finansową w wysokości 20.000,00 złotych.
WSA w Warszawie uchylił tę decyzję. Sąd wskazał w szczególności, że wykorzystanie odcisków palców do identyfikacji dzieci korzystających ze stołówki nie stanowiło naruszenia zasad adekwatności i minimalizacji.
Argumentację oparto w szczególności na rozważaniach dotyczących rozumienia zasady minimalizacji danych, opisanych przez prof. Fajgielskiego w komentarzu do RODO ("Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz").
W opinii Sądu decyzja Urzędu Ochrony Danych Osobowych naruszyła w istotny sposób przepisy obowiązującego prawa – zarówno europejskiego, jak i krajowego. Sąd uznał, że po zestawieniu wzorca biometrycznego zarejestrowanego na urządzeniu z palcem dziecka przyłożonego do czytnika biometrycznego i pozostałymi informacjami, możliwa jest identyfikacja dziecka, wobec czego szkoła przetwarzała dane biometryczne swoich uczniów. Sąd uznał, że przesłanką umożliwiającą przetwarzanie tych danych była zgoda rodziców, gdyż w myśl art. 9 ust. 2 lit. a RODO stanowiła pisemne oświadczenie, w którym w sposób niebudzący wątpliwości i jednoznaczny wyrażono zgodę na przetwarzanie danych w określonym celu. Wobec powyższego Sąd uznał, że szkoła przetwarzając dane biometryczne uczniów nie naruszyła zakazu przetwarzania tych danych, ponieważ legitymowała się odpowiednią podstawą prawną. Ponadto, w ocenie Sądu, organ zbyt rygorystycznie zinterpretował przepis art. 5 ust. 1 lit. c RODO, w którym mowa o zasadzie minimalizacji danych. Wykładnia prezentowana przez organ nadzorczy uniemożliwiłaby w ocenie Sądu przetwarzanie jakichkolwiek danych innych niż tylko te, bez których cel nie może zostać osiągnięty. Sąd zauważył, że w niektórych sytuacjach przetwarzanie danych ponad konieczne minimum nie stoi w sprzeczności z zasadą minimalizacji.
W konsekwencji, WSA uchyliło zaskarżoną decyzję Prezesa Urzędu Ochrony Danych Osobowych. Wyrok w tej sprawie nie jest prawomocny. Prezes UODO nie podziela stanowiska Sądu. Organ zapowiedział wniesienie skargi kasacyjnej do Naczelnego Sądu Administracyjnego.
Opracowała: Martyna Kujawa
Specjalista ds. ochrony danych osobowych
Pełna treść wyroku jest dostępna pod adresem:
http://orzeczenia.nsa.gov.pl/doc/2A2CFDE9D2