Jaka jest podstawa przetwarzania przez szkołę danych uczniów w celu wydania mLegitymacji?

Patrząc na aktualne uregulowania, wydanie mLegitymacji (tj. elektronicznej wersji tradycyjnej legitymacji szkolnej wyświetlanej na ekranie telefonu) jest fakultatywne. Taka wersja legitymacji ma być jedynie ułatwieniem dla uczniów, bo i tak posiadają oni papierową wersję legitymacji. Nasza placówka zamierza umożliwić uczniom posiadanie takiej mobilnej legitymacji. Jaką podstawę prawną z art. 6 ust. 1 RODO (lit. a czy lit. c, czyli zgoda czy obowiązek prawny) szkoła powinna wskazywać w klauzuli informacyjnej dotyczącej usługi mLegitymacja?

W przypadku podmiotów publicznych oraz podmiotów, których działalność uregulowana została przepisami prawa co do zasady podstawę prawną przetwarzania (w tym udostępniania i pozyskiwania) danych osobowych powinno stanowić wykonanie obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO) lub wykonanie zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e RODO). W sytuacji, gdy przetwarzane będą szczególne kategorie danych, przesłanką dla ich przetwarzania zwykle będzie art. 9 ust. 2 lit. g RODO,tj. przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym na podstawie prawa Unii lub prawa państwa członkowskiego. Powołanie się na te przesłanki wymaga dodatkowo istnienia przepisów prawa wskazujących na zadania podmiotu publicznego, dla których realizacji niezbędne jest przetwarzanie danych osobowych.

Warunki i tryb wydawania mLegitymacji szkolnej uregulowane są w rozporządzeniu Ministra Edukacji Narodowej z 27sierpnia 2019 r. w sprawie świadectw, dyplomów państwowych i innych druków, wydanym na podstawie art. 11 ust. 2 ustawy z dnia 7 września 1991 r. o systemie oświaty.

Zgodnie z § 3 ust. 1 ww. rozporządzenia świadectwa szkolne promocyjne, świadectwa ukończenia szkoły, indeksy, legitymacje szkolne i e-legitymacje szkolne wydają szkołypubliczne i niepubliczne: szkoły podstawowe, szkoły ponadpodstawowe i placówki kształcenia ustawicznego.

W ust. 2 tego przepisu wskazano, że szkoły, wydając legitymację szkolną albo e-legitymację szkolną, mogą wydać dodatkowo mLegitymację szkolną, stanowiącą dokument elektroniczny przechowywany i prezentowany przy użyciu oprogramowania przeznaczonego dla urządzeń mobilnych, o którym mowa w art. 19e ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne.

Zgodnie z § 3 ust. 3 ww. rozporządzenia mLegitymacja szkolna jest wydawana na wniosek pełnoletniego ucznia lub rodziców niepełnoletniego ucznia.

W punkcie V załącznika nr 4 do powołanego rozporządzenia wskazano m.in. zakres informacji, jakie są widoczne w wizualizacji mLegitymacji szkolnej na ekranie urządzenia mobilnego. Wśród tych informacji są w szczególności następujące dane osobowe ucznia: numer legitymacji, który w przypadku ucznia niepełnosprawnego jest uzupełniony dodatkowo oznaczeniem "-N", kolorowe zdjęcie, imię lub imiona, nazwisko, data urodzenia, nr PESEL, wiek, nazwa i adres szkoły.

Zatem w treści mLegitymacji przetwarzane mogą być zarówno dane osobowe zwykłe ucznia, jak i szczególne kategorie danych (dane dotyczące zdrowia).

Mając na uwadze przytoczone powyżej przepisy prawa za właściwą przesłankę przetwarzania danych zwykłych w celu wydawania przez szkołę mLegitymacji uznać należy art. 6 ust. 1 lit. e RODO w związku z przepisami ustawy o systemie oświaty oraz ww. rozporządzenia. Zgodnie z tą przesłanką przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Przesłankę tę wskazuje się co do zasady w przypadkach, gdy ustawodawca przewidział możliwość, a nie obowiązek realizacji zadania przewidzianego w przepisie prawa.

Natomiast w przypadku przetwarzania szczególnej kategorii danych osobowych za właściwą przesłankę należy uznać tę wskazaną w art. 9 ust. 2 lit. g RODO (tj. przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą) w połączeniu z właściwymi przepisami ustawy o systemie oświaty oraz ww. rozporządzenia. Przetwarzanie danych osobowych przez szkołę dla celów wydania mLegitymacji należy uznać za niezbędne dla wykonania obowiązków nałożonych na ten podmiot w ww. przepisach.

Jednocześnie należy zauważyć, że jeżeli podstawą prawną przetwarzania danych osobowych jest określony przepis prawa w związku z art. 6 ust. 1 lit. c lub art. 6 ust. 1 lit. e RODO, przesłanka zgody nie znajdzie zastosowania. W piśmiennictwie wskazuje się, że „w przypadku przesłanki zgody, w celu niezaburzenia elementu dobrowolności, nie jest co do zasady dopuszczalne niejako dodatkowe jej wykorzystywanie do legalizacji przetwarzania, w sytuacji gdy administrator dysponuje właśnie inną przesłanką przetwarzania danych w tym samym celu i zakresie, np. związaną z wykonywaniem umowy czy realizacją obowiązku wynikającego z przepisu prawa” (Chomiczewski Witold, Lubasz Dominik [w:] Bielak-Jomaa Edyta (red.), Lubasz Dominik (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, Lex online, art. 6).

2021-11-03