Szkoła podstawowa nr 2 w Gdańsku musi zapłacić 20 tysięcy złotych kary za naruszenie przepisów o ochronie danych osobowych. Nie brzmi to specjalnie fascynująco. Tyle tylko, że szkoła zbierała odciski palców swoich uczniów na szkolnej stołówce. Tymczasem RODO chroni także tego typu dane biometryczne przed bezprawnym przetwarzaniem.
Można jeszcze zrozumieć, że obywateli próbują inwigilować rządy i tajne służby – ale żeby szkolne stołówki?
Postęp technologiczny to rzecz zasadniczo pozytywna, jednak obarczona pewnym ryzykiem. Dobrodziejstwa współczesnej myśli technicznej czy informatycznej mogą w końcu zostać wykorzystane przeciwko obywatelom. By łatwiej ich kontrolować, ograniczać ich prawa czy wolności. Myśląc jednak o potencjalnym zagrożeniu inwigilacją i gromadzeniu wrażliwych danych przez rozmaite instytucje mamy na myśli raczej system Pegasus w rękach rządów a nie szkolną stołówkę.
Tymczasem, jak na swojej stronie internetowej informuje Urząd Ochrony Danych Osobowych, szkoła podstawowa nr 2 w Gdańsku została ukarana przez UODO za pozbawione podstawy prawnej gromadzenie danych biometrycznych uczniów. Szkoła zbierała odciski palców po to, by wyrobić uczniom specjalne legitymacje uprawniające do odbioru posiłków.
Kara wynosi 20 tysięcy złotych. Szkoła została ponadto zobowiązana do usunięcia zgromadzonych w postaci cyfrowej danych daktyloskopijnych uczniów i zaprzestania całego procederu.
Uczniowie korzystający z biometrycznego sposobu identyfikacji byli uprzywilejowani względem pozostałych
Trzeba przyznać, że jest to jedna z tych sytuacji, w których można się zastanawiać, jak w ogóle mogło do niej dojść. Zgodnie z ustaleniami UODO, od 2015 r. gdańska szkoła zbierała odciski palców swoich uczniów tworząc tym samym własny system biometrycznej identyfikacji. Tylko po to, by wydawać im obiady na stołówce. Objęto nim 680 wychowanków. Czterech było identyfikowanych w inny sposób – w oparciu o kartę elektroniczną, lub zwykłe podanie imienia i nazwiska.
Cały system funkcjonował w oparciu o pisemne zgody rodziców. Sprawiał również wrażenie rozwiązania fakultatywnego. Haczyk tkwił jednak w tym, że dzieci korzystające z identyfikacji biometrycznej miały pierwszeństwo przy wydawaniu posiłków. Uczniowie nieobjęci tym systemem byli zmuszeni do zajęcia miejsca na samym końcu kolejki. Niewątpliwie więc swoboda wyboru w tym przypadku była dość pozorna.
Preferencja dla dzieci korzystających z systemu biometrycznego, zdaniem prezesa UODO, wprowadzała właściwie segregację uczniów. To z kolei prowadziło do ich nierównego traktowania i bezpodstawnego różnicowania. Tego zresztą nie sposób nie zauważyć. Co więc musiało dziać się w szkolnej stołówce, że szkoła zdecydowała się na takie rozwiązanie? Być może wcześniej jakieś dzieci pobierały podwójne porcje podając się za kolegów.
Gdańska szkoła zbierała odciski palców uczniów, ale twierdzi że nie przetwarzała danych osobowych – przepisy RODO twierdzą co innego
Prezes UODO uznał działanie ze strony szkoły za środek nieproporcjonalny i jak najbardziej możliwy do zastąpienia innym. To szczególnie ważne. Przepisy RODO wymagają, by przetwarzanie danych osobowych było między innymi niezbędne do zrealizowania stawianego przed nim celu. W przeciwnym wypadku staje się ono bezprawne. Filozofia stojąca za rozporządzeniem w ogóle zakłada minimalizację takiego przetwarzania – unikanie go wszędzie tam, gdzie jest to możliwe.
Warto także pamiętać, że szkoła zbierała odciski palców uczniów bez posiadania konkretnej podstawy prawnej do takich działań. Sama zgoda rodziców w tym przypadku takiej nie stanowi.
Jak podaje serwis niebezpiecznik.pl, szkoła próbowała się tłumaczyć, że wcale w żaden sposób nie przetwarzała danych osobowych. Dane związane z czytnikiem odcisków palca miały być gromadzone tylko w samym czytniku w postaci zapisu “ciągu bajtów”. Niestety, dane daktyloskopijne w takiej formie mieszczą się w definicji „danych biometrycznych” zawartej w art. 14 pkt 14) RODO.
Ciekawe czy koszt szkolnego systemu identyfikacji biometrycznej zwrócił się dzięki niewydanym ponadplanowo obiadom?
Należy zgodzić się z uzasadnieniem decyzji o nałożeniu kary, że dane osobowe dzieci zasługują na szczególną ochronę. Dane daktyloskopijne nie ulegają zmianie. Gdyby brak należytych zabezpieczeń umożliwił ich wyciek, skutki mogłyby okazać się bardziej opłakane niż w przypadku innej kategorii danych osobowych.
Sam fakt, że szkoła zbierała odciski palców swoich uczniów zakrawa na absurd. Kilka obiadów na szkolnej stołówce nie uzasadnia nie tylko samego przetwarzania danych tego typu, ale również nawet samego tworzenia tak skomplikowanych systemów. Nie sposób nie zadać w tym przypadku pytania o sposób gospodarowania przez dyrekcję pieniędzmi. Tymi samorządowymi, bądź pochodzącymi bezpośrednio od rodziców.
