Biuletyn Informacji Publicznej RPO

• Informacje m.in. o wieku, płci, wzroście, wadze czy wyniku testów sprawnościowych wszystkich uczniów trafią do publicznej bazy, która ma monitorować sprawność fizyczną i wyłaniać talenty
• Przetwarzanie danych, w tym danych wrażliwych, odbywa się jednak bez zgody uczniów czy rodziców
• Choć dane będą zanonimizowane, może to prowadzić do identyfikacji osoby, zwłaszcza w małych miejscowościach. A ujawnienie informacji np. o wadze dzieci naraża je na naruszenie ich prawa do prywatności oraz godności
• Gromadzenie i udostępnianie danych mogłoby się odbywać na zasadzie dobrowolności, za zgodą ucznia bądź rodzica – podkreśla Rzecznik Praw Obywatelskich
• AKTUALIZACJA:  Projektodawca nie przedłożył organowi nadzorczemu przedmiotowego projektu ustawy do zaopiniowania na etapie prac legislacyjnych, chociaż projekt dotyczył przetwarzania danych osobowych i to przetwarzania na dużą skalę - odpisał Prezes UODO
• Stosowanie w praktyce przepisów budzących wątpliwości z punktów widzenia prawa ochrony danych będzie natomiast przedmiotem postępowań kontrolnych i administracyjnych, prowadzonych wskutek złożonych skarg lub wskutek autonomicznej decyzji organu nadzorczego 

Zastępca rzecznika praw obywatelskich Stanisław Trociuk interweniuje w tej sprawie u ministra sportu i turystyki Kamila Bortniczuka oraz ministra edukacji i nauki Przemysława Czarnka.

Do RPO wpływają skargi w sprawie ewidencji „Sportowe talenty”, wprowadzonej ustawą z 17 sierpnia 2023 r. o zmianie ustawy o zdrowiu publicznym oraz niektórych innych ustaw. Wątpliwości dotyczą właściwej ochrony danych osobowych przetwarzanych w tej ewidencji, a także celowości i proporcjonalności niektórych przepisów z punktu widzenia poszanowania prawa do prywatności i ochrony danych osobowych gwarantowanych w Konstytucji RP oraz w rozporządzeniu unijnym RODO.

Artykuł 47 Konstytucji statuuje prawo jednostki do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz prawo decydowania o życiu osobistym. Ustanowienie ograniczeń praw i wolności jest możliwe na warunkach przewidzianych w art. 31 ust. 3 Konstytucji RP, w szczególności ograniczenia takie są dopuszczalne „tylko wtedy, gdy są konieczne w demokratycznym państwie”. Artykuł 51 ust. 2 Konstytucji RP uniemożliwia zaś władzy publicznej pozyskiwanie, gromadzenie i udostępnianie innych informacji o obywatelach niż niezbędnych w demokratycznym państwie prawnym.

Wspomniana ustawa przewiduje utworzenie publicznej bazy danych gromadzącej dane osobowe wszystkich uczniów, w tym dane wrażliwe. Chodzi o: imię, nazwisko, nr PESEL, rok urodzenia, wiek, płeć, masę ciała, wzrost, wynik testów sprawnościowych i ich datę; klasę, oddział, typ szkoły i jej nazwę i adres, gminę, powiat i województwo, gdzie uczeń uzyskał wynik z testów sprawnościowych. Według uzasadnienia ustawy celem ewidencji jest monitorowanie sprawności fizycznej dzieci i młodzieży oraz możliwość identyfikacji talentów sportowych.

Bardzo obszerny zakres danych, w tym danych identyfikujących (nr PESEL) – a także danych wrażliwych, gromadzonych w jednym miejscu – budzi zastrzeżenia z punktu widzenia ich bezpieczeństwa. Dane te w pełnym zakresie są udostępniane każdej szkole. Uzupełnia ona dane przekazane przez rodziców i nauczycieli. Ponadto dane te są udostępniane także klubowi i związkowi sportowemu oraz polskiemu związkowi sportowemu. Udostępnia się je także podmiotowi publicznemu oraz takiemu podmiotowi niepublicznemu, który realizuje zadania naukowo-badawcze, dydaktyczne, oświatowe lub statystyczne. 

Będą to co prawda dane zanonimizowane. Jednak udostępnienie informacji nawet bez danych identyfikujących – lecz zawierających pozostałe informacje o wieku, płci, wzroście, masie ciała, roku urodzenia, szkole i klasie, do której uczęszcza dany uczeń – może mimo wszystko prowadzić do identyfikacji osoby, zwłaszcza w małych miejscowościach bądź gdy dane przetwarzane są w sposób zautomatyzowany.

Ze względu na bardzo szeroki, nieokreślony krąg podmiotów, którym udostępnia się dane, a także fakt, iż mają być one przetwarzane przez każdą szkołę, ryzyko naruszenia ich bezpieczeństwa należy ocenić jako wysokie. Ujawnienie danych osobowych dotyczących m.in. masy ciała dzieci potencjalnie naraża je na naruszenie ich prawa do prywatności oraz godności.

Wątpliwości budzą także deklarowane cele ewidencji: monitorowanie sprawności fizycznej oraz możliwości identyfikacji talentów sportowych. Ze skarg wynika bowiem, że rzeczywistym celem jest umożliwienie klubom i związkom sportowym pozyskiwania informacji o potencjalnych zawodnikach i umożliwienie im kontaktu z nimi za pośrednictwem szkół. A przetwarzanie danych dzieci i młodzieży, w tym danych wrażliwych, odbywa się bez zgody uczniów czy rodziców.

Przy zakładanych celach gromadzenie i udostępnianie danych z ewidencji „Sportowe talenty" mogłoby się raczej odbywać na zasadzie dobrowolności, za zgodą ucznia, bądź rodzica.

Kwestie świadczeń opieki zdrowotnej uczniów reguluje ustawa z 12 kwietnia 2019 r. o opiece zdrowotnej nad uczniami. Realizacja celu monitorowania sprawności fizycznej nie wymaga zatem dodatkowej ewidencji.

Wprowadzanie informacji do bazy ma się odbywać poprzez zobowiązanie uczniów i rodziców do ich udostępnienia. Szczególne wątpliwości budzi zatem rzetelność i prawidłowość przekazywanych danych, ochrona tych informacji na etapie przetwarzania ich przez szkołę i wprowadzania do systemu, a przede wszystkim obowiązek ich udostępniania przez uczniów lub rodziców we wskazanych celach.

Ponadto obawy może budzić, że przyjęte unormowania będą prowadziły do wykluczenia osób niepełnosprawnych z powodu obniżonej sprawności ruchowej.

Zastrzeżenia budzi też sam proces ustawodawczy i dochowanie w nim zasad poprawnej legislacji. W szczególności trzeba mieć na uwadze, że wprowadzenie tak istotnych zmian od 1 września 2023 r., bez odpowiedniej vacatio legis, stawia podmioty odpowiedzialne w trudnej sytuacji – nie daje właściwego czasu na przygotowanie się do zmian.

RPO prosi obu ministrów o wyjaśnienia co do tych wątpliwości oraz o wskazanie, jak będzie egzekwowany obowiązek przekazania informacji dotyczących masy ciała i wzrostu od rodziców i młodzieży.

Stanowisko Jana Nowaka, prezesa Urzędu Ochrony Danych Osobowych

W nawiązaniu do pism z 26 września br. (znak sprawy: VII.501.151.2023.MK), w sprawie uchwalenia przepisów dotyczących utworzenia ewidencji „Sportowe talenty” w przepisach ustawy z dnia 17 sierpnia 2023 r. o zmianie ustawy o zdrowiu publicznym oraz niektórych innych ustaw (Dz. U. poz. 1718), skierowanych do Ministra Edukacji i Nauki oraz do Ministra Sportu i Turystyki, jak również do wiadomości m.in. Prezesa Urzędu Ochrony Danych Osobowych, uprzejmie informuję, że organ nadzorczy opiniował projekty rozporządzeń Ministra Edukacji i Nauki:

1)    zmieniającego rozporządzenie w sprawie podstawy programowej wychowania przedszkolnego oraz podstawy programowej kształcenia ogólnego dla szkoły podstawowej, w tym dla uczniów z niepełnosprawnością intelektualną w stopniu umiarkowanym lub znacznym, kształcenia ogólnego dla branżowej szkoły I stopnia, kształcenia ogólnego dla szkoły specjalnej przysposabiającej do pracy oraz kształcenia ogólnego dla szkoły policealnej 
2)    zmieniającego rozporządzenie w sprawie podstawy programowej kształcenia ogólnego dla liceum ogólnokształcącego, technikum oraz branżowej szkoły II stopnia.

Organ nadzorczy nie został jednak zaangażowany w proces legislacyjny dotyczący poselskiego projektu ustawy o zmianie ustawy o zdrowiu publicznym, zakończonego wprowadzeniem do porządku prawnego przepisów Ustawy z dnia 17 sierpnia 2023 r. o zmianie ustawy o zdrowiu publicznym oraz niektórych innych ustaw (Dz. U. poz. 1718). Projektodawca nie przedłożył organowi nadzorczemu przedmiotowego projektu ustawy do zaopiniowania na etapie prac legislacyjnych, chociaż projekt dotyczył przetwarzania danych osobowych i to przetwarzania na dużą skalę.

Należy pamiętać, że organ nadzorczy nie posiada inicjatywy ustawodawczej, a jego ekspercka rola w rekomendowaniu rozwiązań uwzględniających europejskie przepisy o ochronie danych osobowych przy budowaniu określonych norm prawnych może być tylko wówczas realizowana, jeśli nie będzie pomijany w procesie ich tworzenia. Stosowanie w praktyce przepisów budzących wątpliwości z punktów widzenia prawa ochrony danych będzie natomiast przedmiotem postępowań kontrolnych i administracyjnych, prowadzonych wskutek złożonych skarg lub wskutek autonomicznej decyzji organu nadzorczego.

VII.501.151.2023