Czy Twoje dziecko albo wnuk jest na tej liście? Jak rządowy projekt budzi poważne wątpliwości w świetle prawa do prywatności i RODO. Miliony danych będą przetwarzane bezpodstawnie?
REKLAMA
REKLAMA
W dobie cyfryzacji, gdzie dane stały się pewnego rodzaju walutą, a ich ochrona fundamentalnym prawem, każdy nowy projekt rządowy zakładający gromadzenie informacji o obywatelach, a zwłaszcza o dzieciach, podlega szczegółowej analizie. Ostatnio inicjatywa ustawodawcza, która na pierwszy rzut oka wydaje się szlachetna – promocja sportu i dbałość o kondycję fizyczną najmłodszych – stała się przedmiotem ostrej krytyki ze strony najwyższego organu nadzorczego w Polsce, w tym zakresie. Prezes Urzędu Ochrony Danych Osobowych (UODO) w specjalnym piśmie wyraził głębokie zaniepokojenie planami rozszerzenia centralnej ewidencji uczniów, wskazując na szereg poważnych uchybień, które mogą prowadzić do masowego i niezgodnego z prawem przetwarzania milionów wrażliwych danych.
- Czy Twoje dziecko albo wnuk jest na tej liście? Jak rządowy projekt budzi poważne wątpliwości w świetle prawa do prywatności i RODO. Miliony danych będą przetwarzane bezpodstawnie?
- Kontekst: Rozszerzanie systemu z wadami od samego początku
- Czy Twoje dziecko albo wnuk jest na tej liście? Jak rządowy projekt budzi poważne wątpliwości w świetle prawa do prywatności i RODO. Miliony danych będą przetwarzane bezpodstawnie? Fundamentalny błąd: brak jasno zdefiniowanego celu przetwarzania
- Czy zbieramy za dużo danych?
- Dane zdrowotne w szarej strefie prawnej
- Szeroki dostęp i ryzyko ponownej identyfikacji
- Bezterminowe przechowywanie: cyfrowe piętno na całe życie?
- Podsumowanie: wezwanie do naprawy systemu, a nie jego rozszerzania
Czy Twoje dziecko albo wnuk jest na tej liście? Jak rządowy projekt budzi poważne wątpliwości w świetle prawa do prywatności i RODO. Miliony danych będą przetwarzane bezpodstawnie?
W dobie cyfryzacji, gdzie dane stały się pewnego rodzaju walutą, a ich ochrona fundamentalnym prawem, każdy nowy projekt rządowy zakładający gromadzenie informacji o obywatelach, a zwłaszcza o dzieciach, podlega szczegółowej analizie. Ostatnio inicjatywa ustawodawcza, która na pierwszy rzut oka wydaje się szlachetna – promocja sportu i dbałość o kondycję fizyczną najmłodszych – stała się przedmiotem ostrej krytyki ze strony najwyższego organu nadzorczego w Polsce, w tym zakresie. Prezes Urzędu Ochrony Danych Osobowych (UODO) w specjalnym piśmie wyraził głębokie zaniepokojenie planami rozszerzenia centralnej ewidencji uczniów, wskazując na szereg poważnych uchybień, które mogą prowadzić do masowego i niezgodnego z prawem przetwarzania milionów wrażliwych danych.
REKLAMA
REKLAMA
Projekt nowelizacji ustawy o sporcie, zakładający objęcie systemem „Badanie kompetencji ruchowych uczniów” (dawniej „Sportowe talenty”) już dzieci z klas I-III szkół podstawowych, rodzi fundamentalne pytania o granice "inwigilacji" w służbie pozornie dobrego celu. Czy monitoring sprawności fizycznej siedmiolatków musi wiązać się z tworzeniem centralnej bazy zawierającej ich dane osobowe, a nawet informacje o zdrowiu? Analiza uwag przedstawionych przez Prezesa UODO maluje niepokojący obraz systemu, który w swojej obecnej formie może stać się wampirem danych, działającym na granicy lub poza prawem.
Kontekst: Rozszerzanie systemu z wadami od samego początku
Aby zrozumieć skalę problemu, cofnijmy się do 2023 roku. Wówczas wprowadzono ewidencję „Sportowe talenty”, która objęła uczniów od czwartej klasy szkoły podstawowej wzwyż. System od początku był kontrowersyjny. Gromadził w centralnym rejestrze nie tylko podstawowe dane identyfikacyjne, takie jak imię, nazwisko i numer PESEL czerpane z systemu informacji oświatowej, ale również dane wrażliwe podawane bezpośrednio przez szkoły: wyniki testów sprawnościowych, a co istotniejsze, masę i wzrost każdego ucznia. Nałożenie na rodziców i samych uczniów obowiązku corocznego przekazywania informacji o wadze i wzroście od razu wywołało falę krytyki, kwestionującą zasadność i proporcjonalność takiego rozwiązania.
Teraz rząd chce pójść o krok dalej i objąć tą samą ewidencją, pod nową, bardziej neutralnie brzmiącą nazwą, również najmłodsze dzieci. Zamiast naprawić wady pierwotnej regulacji, nowelizacja je utrwala i rozszerza na jeszcze bardziej wrażliwą grupę. Mechanizmy gromadzenia, przechowywania i – co kluczowe – udostępniania danych mają pozostać bez zmian. Oznacza to, że dane milionów dzieci, w tym tych w wieku 7-9 lat, będą trafiać do szerokiego katalogu odbiorców, takich jak kluby sportowe, związki, podmioty naukowe i statystyczne. Co niezwykle istotne, zarówno ustawa z 2023 roku, jak i obecny projekt, powstały bez żadnych konsultacji z organem ds. ochrony danych osobowych, mimo że dotyczą one jednej z najbardziej wrażliwych kategorii informacji.
Czy Twoje dziecko albo wnuk jest na tej liście? Jak rządowy projekt budzi poważne wątpliwości w świetle prawa do prywatności i RODO. Miliony danych będą przetwarzane bezpodstawnie? Fundamentalny błąd: brak jasno zdefiniowanego celu przetwarzania
Zdaniem Prezesa UODO, "grzech pierworodny" całego projektu leży w braku jednoznacznego, precyzyjnego określenia w samym tekście ustawy, po co właściwie zbierane są te dane. Uzasadnienie projektów odwołuje się ogólnie do „monitorowania sprawności fizycznej” czy „identyfikacji talentów sportowych”. Cele te, choć szlachetne, nie zostały jednak wyrażone wprost w przepisach prawnych, co jest fundamentalnym błędem z perspektywy RODO.
REKLAMA
Precyzyjne zdefiniowanie celu jest istotą każdego systemu przetwarzania danych. To od niego zależy wszystko: jaki zakres informacji jest niezbędny, jak długo dane mogą być przechowywane i komu można je udostępnić. Bez jasno postawionego celu niemożliwa jest ocena, czy przetwarzanie jest „niezbędne” i „proporcjonalne”, co jest kluczowym wymogiem zarówno art. 5 RODO, jak i art. 51 Konstytucji RP. Ten ostatni artykuł stanowi wprost, że władze publiczne mogą pozyskiwać i gromadzić dane obywateli wyłącznie w zakresie niezbędnym do realizacji swoich ustawowych zadań. W przypadku projektowanej ewidencji, cel jest tak płynny, że praktycznie każdy zakres danych mógłby zostać uznany za „niezbędny”, co otwiera furtkę do niekontrolowanej inwigilacji.
Czy zbieramy za dużo danych?
Centralny rejestr gromadzi dane identyfikacyjne (imię, nazwisko, PESEL), dane antropometryczne (wzrost, waga) oraz wyniki testów sprawnościowych. Taki szeroki katalog informacyjny, włączając w to dane, które mogą być kwalifikowane jako szczególnie wrażliwe, rażąco narusza zasadę minimalizacji, która nakazuje przetwarzać wyłącznie te dane, które są absolutnie niezbędne do osiągnięcia określonego celu.
UODO słusznie zauważa, że do badań statystycznych i ogólnego monitorowania sprawności populacji uczniów w zupełności wystarczyłyby dane zagregowane lub w pełni zanonimizowane. Jeśli celem jest identyfikacja talentów sportowych, to poszukiwanie konkretnego ucznia i tak odbywa się na poziomie szkoły. Klub sportowy zainteresowany uczniem o wybitnych wynikach mógłby zostać skierowany do placówki, a nie otrzymywać dane, które nawet po pozornym anonimizowaniu pozwalają na identyfikację. System mógłby działać w oparciu o kanał komunikacji, w którym szkoła jest pośrednikiem, bez konieczności przechowywania imion, nazwisk i numerów PESEL w centralnej, ogólnodostępnej bazie.
Dane zdrowotne w szarej strefie prawnej
Jednym z najpoważniejszych zarzutów jest kwestia danych dotyczących wzrostu i masy ciała. W połączeniu z wiekiem i płcią, pozwalają one na obliczenie wskaźnika BMI (Body Mass Index), który jest wskaźnikiem medycznym i ocenia stan odżywienia. Zgodnie z RODO, kwalifikuje to je do kategorii danych dotyczących zdrowia, objętych szczególną ochroną.
Tutaj system wykazuje totalną bezradność prawną. Przetwarzanie danych zdrowotnych wymaga jednej z rygorystycznych podstaw prawnych wymienionych w art. 9 RODO. Ustawodawca nie wskazuje żadnej. Nie może być to zgoda, ponieważ ustawa nakłada obowiązek podania danych, więc zgoda nie jest dobrowolna. Brakuje również wyraźnego wskazania na „ważny interes publiczny w dziedzinie zdrowia publicznego”, który mógłby takie przetwarzanie usprawiedliwić. Co więcej, brakuje jakichkolwiek dodatkowych zabezpieczeń technicznych i organizacyjnych, które RODO nakazuje stosować przy przetwarzaniu tej kategorii danych. W efekcie, miliony informacji o stanie zdrowia dzieci są przetwarzane w prawnej próżni.
Szeroki dostęp i ryzyko ponownej identyfikacji
Projekt zakłada, że dane udostępniane podmiotom trzecim, takim jak kluby sportowe, będą „anonimowe” – bez imienia, nazwiska i PESEL. To jednak tylko pozorna ochrona. Zestaw informacji, który trafi do odbiorców – wiek, płeć, wzrost, waga, wyniki szczegółowych testów sprawnościowych, a także nazwa szkoły i klasa – w praktyce może prowadzić do łatwej identyfikacji dziecka.
Wyobraźmy sobie małą miejscowość lub niewielką szkołę, gdzie w danej klasie jest tylko kilku chłopców lub dziewczynek. Klub sportowy, otrzymując dane o 9-letniej dziewczynce ze szkoły pod numerem X, o wzroście 145 cm i wybitnych wynikach w biegu na 60 metrów, bez trudu będzie w stanie wskazać, o kogo chodzi. Ryzyko jest tym większe, im mniejsza jest społeczność. Szeroki i nieprecyzyjny katalog odbiorców, połączony z tak bogatym zbiorem danych, tworzy idealne warunki do naruszenia prywatności i zasad minimalizacji.
Bezterminowe przechowywanie: cyfrowe piętno na całe życie?
Ostatnim, ale równie istotnym problemem, jest sposób, w jaki ustawa reguluje czas przechowywania danych. Dane identyfikacyjne mają być usuwane po 5 latach od ukończenia szkoły. Jednak dane dotyczące cech fizycznych i wyniki testów sprawnościowych – czyli te najbardziej wrażliwe – mają być przechowywane bezterminowo.
UODO słusznie pyta: jaki cel uzasadnia tak drastyczne rozwiązanie? Cele ewidencji są bieżące: monitorować sprawność na teraz i ewentualnie wyłowić talenty do klubów w danym roku. Nie ma żadnego logicznego uzasadnienia, by przechowywać szczegółowe dane o wadze i wzroście dziecka z pierwszej klasy podstawowej przez kilkadziesiąt lat, nawet po jego wejściu w dorosłość. Tak długie retencje danych są nieproporcjonalne i stwarzają ryzyko ich wykorzystania w przyszłości do celów, których nigdy nie przewidziano. Dłuższe przechowywanie mogłoby dotyczyć wyłącznie danych w pełni zanonimizowanych, służących do wieloletnich badań statystycznych.
Podsumowanie: wezwanie do naprawy systemu, a nie jego rozszerzania
Krytyka ze strony Prezesa UODO jest kompleksowa i wskazuje na systemowe błędy na etapie projektowania prawa. Brak konsultacji z ekspertami od ochrony danych, niewykonanie wymaganej dla tak dużych projektów Oceny Skutków dla Ochrony Danych (DPIA), a wreszcie szereg fundamentalnych błędów merytorycznych, składają się na obraz regulacji tworzonej w oderwaniu od realiów prawnych i zasad etyki.
Rekomendacje UODO są jasne: należy wrócić do deski kreślarskiej. Trzeba w ustawie precyzyjnie określić cel przetwarzania, drastycznie ograniczyć zbierany zakres danych w myśl zasady minimalizacji, stworzyć solidną podstawę prawną dla przetwarzania danych zdrowotnych, szczegółowo uregulować zasady dostępu i udostępniania, a także powiązać okresy retencji z rzeczywistymi potrzebami. Potencjalnym rozwiązaniem, choć wymagającym całkowitej zmiany filozofii projektu, byłoby oparcie udziału w ewidencji na w pełni dobrowolnej zgodzie rodziców i uczniów. Bez tych fundamentalnych zmian, rozszerzenie systemu na najmłodsze dzieci będzie nie tylko krokiem w złym kierunku, ale potencjalnie masowym naruszeniem prawa do prywatności, które pozostawi cyfrowe ślady na całe życie milionów Polaków, zanim jeszcze będą w stanie zrozumieć jego konsekwencje.
REKLAMA
© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.
REKLAMA
