- Jeżeli banki mają prawo dokonywać identyfikacji klienta w oparciu o cztery czy pięć pytań, to tym bardziej szkoła wyższa powinna to robić - mówi w wywiadzie dla DPG Maciej Kawecki, dyrektor departamentu zarządzania danymi w Ministerstwie Cyfryzacji.
Uczelnie mają problem z monitorowaniem karier zawodowych absolwentów. Wszystko przez RODO. Jedna ze szkół zaalarmowała nas, że art. 13b ust. 12 ustawy – Prawo o szkolnictwie wyższym (art. 352 ust. 15 nowej Konstytucji dla nauki) ogranicza zakres możliwych do pozyskania danych (w celu dostosowania programu studiów do potrzeb rynku pracy) jedynie do imienia, nazwiska, adresu do korespondencji i e-maila. Czy tak jest rzeczywiście?
Jeżeli w przepisie aktu rangi ustawowej przewidziany został katalog danych osobowych, to powinien on determinować zakres gromadzonych danych. Natomiast w sytuacji gdy mamy tylko normę ogólną, nakładającą na szkołę wyższą określone zadanie lub przyznającą jej uprawnienie, to wówczas oczywistym jest, że może ona gromadzić wszystkie informacje niezbędne do realizacji tego celu. Podam przykład. Ustawa z 20 lipca 2018 r. – Prawo o szkolnictwie wyższym i nauce stanowi, że uczelnia przeprowadza egzaminy. Na studiach polonistycznych w ramach zaliczeń student może napisać przykładowo esej, że jest poważnie chory czy że był hospitalizowany. I to mogą być prawdziwe informacje, będące danymi szczególnie chronionymi. Przepis nie wskazuje wyraźnie, że uczelnia jest uprawniona do gromadzenia takich informacji, niemniej są one w tym przypadku niezbędne do tego, aby szkoła wyższa mogła sprawdzać właśnie postępy edukacyjne studenta i prowadzić działalność naukowo-dydaktyczną (badawczą). Tak więc dane takie bez wątpienia mogą być przez nią gromadzone.
Niektóre uczelnie, chcąc pozyskiwać więcej danych, proszą po prostu o zgodę absolwenta. Czy to właściwa interpretacja przepisów?
Jak najbardziej. Artykuł 6 RODO wskazuje, że podstawą przetwarzania danych osobowych może być zgoda, umowa czy też uprawnienie wynikające z przepisów prawa. Jeżeli mamy artykuł, który określa możliwe do pozyskania informacje, a nam zależy na poszerzeniu tego zakresu, możemy zwrócić się o takie przyzwolenie. Ważne jest jednak to, aby nie tworzyć wrażenia przymusu. Czyli np. uczelnia nie mogłaby prosić o taką zgodę osoby, która w trakcie jej udzielania startuje w postępowaniu rekrutacyjnym na studia. Mogłoby to rodzić wrażenie jej wymuszenia.
Czyli zgoda może w tym wypadku rozszerzyć ustawowy katalog danych.
Tak. Dostosowując polskie prawo do RODO, wyszliśmy z założenia, że norma ustawowa nie zawsze musi przesądzać wyraźnie każdą informację, której pozyskanie jest konieczne dla realizacji określonego celu. Mamy przykład zmian kodeksu pracy wprowadzonych do ustawy wdrażającej RODO i zmieniającej dużą liczbę ustaw sektorowych, poddawanej obecnie pracom na forum Stałego Komitetu Rady Ministrów. Projektowane zmiany kodeksu pracy zawierają katalog danych osobowych, które mogą być pozyskiwane od pracownika i kandydata na dane stanowisko. Jednocześnie określamy, że pozostałe informacje można gromadzić, jeżeli te osoby wyrażą na to zgodę. Taki przepis wprowadziliśmy do k.p. tylko ze względu na stosunek podległości służbowej. W innych przypadkach, pomimo iż nie zostało to wyartykułowane wprost, też obowiązuje taka sama zasada. We wskazanym przez panią kazusie uczelnia może pozyskać szerszy zakres danych aniżeli wskazany w tym przepisie za zgodą. Szkoła wyższa musi jednak pamiętać, że można ją w każdym czasie odwołać. Uczelnie muszą także pamiętać, że pozyskując zgodę, biorą na siebie ryzyko związane z jej odwołaniem i cofnięciem.
Jak uczelnie poradziły sobie z wdrożeniem zmian dotyczących ochrony danych osobowych?
RODO niewiele tak naprawdę zmieniło w pracy typowej szkoły wyższej. Od wielu lat prawo o szkolnictwie wyższym stanowi, że wyniki egzaminów wstępnych na studia czy studia doktoranckie są ogłaszane publicznie. Z kolei rezultaty egzaminów śródsemestralnych nie są jawne. Jednak uczelnie od bardzo dawna stosują zasadę pseudonimizacji. Jest to często numer albumu studenta lub jego pseudonim, którym podpisał się na pracy. W kontekście nauki i szkolnictwa wyższego istotne jest to, że ustawa o ochronie danych osobowych zawiera wyraźne wyłączenie ze stosowania RODO w dwóch celach: wypowiedzi artystycznej i wypowiedzi akademickiej. Czyli RODO w ogóle nie znajduje zastosowania – to jest decyzja ustawodawcy – w tych dwóch przypadkach.
Czym właściwie jest wypowiedź akademicka?
To nie tylko prace, wykłady, ćwiczenia, konferencje naukowe i ich agendy. Ale to wszystkie sytuacje, gdzie akademicy wypowiadają się naukowo. Mówiąc szczerze, nie wyobrażam sobie np. prawa do bycia zapomnianym przy takim charakterze działalności.
A wypowiedź artystyczna?
Proszę zwrócić uwagę, że w spektaklach teatralnych są często wykorzystywane dane osobowe. Jeżeli ktoś stworzył performance, który zawiera nagrania przechodniów, to jeżeli ma to wymiar artystyczny, w kontekście ochrony danych osobowych nie jest chroniony. Pomijam w tym przypadku kwestie dóbr osobistych.
Wygląda na to, że w sektorze szkolnictwa wyższego poradzono sobie lepiej aniżeli w edukacji.
Nie spotkałem się w uczelniach z jakimiś dramatycznymi nadinterpretacjami przepisów czy wręcz absurdami związanymi z RODO. Pamiętam jedynie, że zwróciła się do nas osoba, której uczelnia nie chciała telefonicznie przekazać informacji o wynikach rekrutacji na studia. Takie działanie byłoby uzasadnione, o ile szkoła wyższa nie miałaby możliwości zweryfikowania tożsamości osoby dzwoniącej. Jeżeli jednak mogła zapytać o kilka szczegółów i na ich podstawie zweryfikować tożsamość, to nie powinna z tego powodu odmawiać udzielenia informacji. Jeżeli banki mają prawo dokonywać identyfikacji klienta w oparciu o cztery czy pięć pytań, to tym bardziej uczelnia wyższa powinna to robić.
Dlaczego uczelnie nie mają problemów z RODO, a w szkołach podstawowych czy liceach dochodzi do absurdów w kwestii stosowania nowych regulacji?
Wydaje mi się, że kluczowy jest tutaj dostęp do informacji i szkoleń. Uczelnie zawsze są instytucjami większymi niż szkoły czy przedszkola, z lepszym dostępem do ekspertów. Znaczna część z nich od lat prowadzi studia, kursy z ochrony danych osobowych, których wykładowcy są zatrudnieni na uczelniach. Wynika to z innego zaplecza. To, gdzie my dostrzegamy największy problem z RODO i z czym staramy się walczyć, to są firmy szkoleniowe, które często wprowadzają w błąd.
Wydaliście poradnik na temat RODO w służbie zdrowia. Czy szkoły wyższe też mogą liczyć na taką publikację?
Kończymy obecnie prace nad poradnikiem dotyczącym RODO w edukacji i poradnikiem ogólnym, zawierającym odpowiedzi na pytania z różnych sektorów. Do tego ostatniego chcemy włączyć też kwestie dotyczące szkół wyższych. Nie ma ich jednak wiele, tak jak wskazałem, nie dochodzą do nas sygnały dotyczące jakichś wyjątkowych problemów w tym zakresie, co cieszy.
