Zgodnie z obecnymi przepisami wydanie mLegitymacji, czyli elektronicznej wersji tradycyjnej legitymacji szkolnej wyświetlanej na ekranie telefonu, jest fakultatywne. Taka wersja dokumentu to jedynie ułatwienie dla uczniów, którzy i tak posiadają papierową wersję legitymacji. Jaką podstawę prawną powinna w klauzuli informacyjnej dotyczącej usługi mLegitymacja wskazać szkoła? Czy jest nią zgoda, czy może obowiązek prawny? Kwestię tę wyjaśnia UODO.

Szkoła wykonuje obowiązek lub działa w interesie publicznym

W przypadku podmiotów publicznych oraz podmiotów, których działalność uregulowana została przepisami prawa, co do zasady, podstawę prawną przetwarzania (w tym udostępniania i pozyskiwania) danych osobowych powinno stanowić wykonanie obowiązku prawnego ciążącego na …

(…) administratorze (art. 6 ust. 1 lit. c RODO) lub wykonanie zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e RODO). Jednak w sytuacji, gdy przetwarzane mają być szczególne kategorie danych, przesłanką dla ich przetwarzania będzie zwykle art. 9 ust. 2 lit. g RODO, tj. przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym na podstawie prawa Unii lub prawa państwa członkowskiego. Powołanie się na te przesłanki wymaga dodatkowo istnienia przepisów prawa wskazujących na zadania podmiotu publicznego, dla których realizacji niezbędne jest przetwarzanie danych osobowych.

Legitymacja mobilna na życzenie

Warunki i tryb wydawania mLegitymacji szkolnej uregulowane są w rozporządzenia MEN w sprawie świadectw, dyplomów państwowych i innych druków. Zgodnie z § 3 ust. 1 ww. rozp. świadectwa szkolne promocyjne, świadectwa ukończenia szkoły, indeksy, legitymacje szkolne i e-legitymacje szkolne wydają szkoły publiczne i niepubliczne: szkoły podstawowe, szkoły ponadpodstawowe i placówki kształcenia ustawicznego.

W ust. 2 tego przepisu wskazano, że szkoły, wydając legitymację szkolną albo e-legitymację szkolną, mogą wydać dodatkowo mLegitymację szkolną, stanowiącą dokument elektroniczny przechowywany i prezentowany przy użyciu oprogramowania przeznaczonego dla urządzeń mobilnych, o którym mowa w art. 19e ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne. Zgodnie z § 3 ust. 3 ww. rozp. mLegitymacja szkolna jest wydawana na wniosek pełnoletniego ucznia lub rodziców niepełnoletniego ucznia.

W punkcie V załącznika nr 4 do cyt. rozp. wskazano m.in. zakres informacji, jakie są widoczne w wizualizacji mLegitymacji szkolnej na ekranie urządzenia mobilnego. Wśród tych informacji są w szczególności następujące dane osobowe ucznia: numer legitymacji, który w przypadku ucznia niepełnosprawnego jest uzupełniony dodatkowo oznaczeniem „N”, kolorowe zdjęcie, imię lub imiona, nazwisko, data urodzenia, nr PESEL, wiek, nazwa i adres szkoły.

Z tego wynika, że w treści mLegitymacji przetwarzane mogą być zarówno dane osobowe zwykłe ucznia, jak i szczególne kategorie danych (dane dotyczące zdrowia).

Dwie podstawy przetwarzania

Według UODO, w świetle powyższych uregulowań szkoła, która wydaje mobilną legitymację, musi wziąć pod uwagę dwie podstawy przetwarzania danych, przy czym żadną z nich nie będzie zgoda.

Za właściwą przesłankę przetwarzania danych zwykłych w celu wydawania przez szkołę mLegitymacji należy uznać art. 6 ust. 1 lit. e RODO w związku z przepisami ustawy o systemie oświaty oraz ww. rozp. Zgodnie z tą przesłanką przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Przesłankę tę wskazuje się, co do zasady, w przypadkach, gdy ustawodawca przewidział możliwość, a nie obowiązek realizacji zadania przewidzianego w przepisie prawa.

Natomiast w przypadku przetwarzania szczególnej kategorii danych osobowych za właściwą przesłankę należy uznać tę wskazaną w art. 9 ust. 2 lit. g RODO (tj. przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą) w połączeniu z przepisami ustawy o systemie oświaty oraz ww. rozp.

Przepis prawa wyklucza zgodę

Podsumowując, jeżeli podstawą prawną przetwarzania danych osobowych jest określony przepis prawa w związku z art. 6 ust. 1 lit. c lub art. 6 ust. 1 lit. e RODO, przesłanka zgody nie znajduje zastosowania. W piśmiennictwie wskazuje się, że „w przypadku przesłanki zgody, w celu niezaburzenia elementu dobrowolności, nie jest, co do zasady, dopuszczalne niejako dodatkowe jej wykorzystywanie do legalizacji przetwarzania, w sytuacji gdy administrator dysponuje właśnie inną przesłanką przetwarzania danych w tym samym celu i zakresie, np. związaną z wykonywaniem umowy czy realizacją obowiązku wynikającego z przepisu prawa”.

Małgorzata Tabaszewska – specjalistka prawa oświatowego

Podstawa prawna:

1. Rozporządzenie Ministra Edukacji Narodowej z dn. 27.08.2019 r. w sprawie świadectw, dyplomów państwowych i innych druków – Dz.U. z 2019 r. poz. 1700, z późn. zm.
2. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dn. 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych – zwane RODO) – Dz.Urz. UE z 2016 r. L 119/1.