Praca egzaminacyjna to też dane osobowe

Peter Nowak jako księgowy (Trainee Accountant) przystępował do egzaminów przeprowadzanych przez Institute of Chartered Accountants of Ireland – instytut biegłych rewidentów w Irlandii. Nie mógł jednak zaliczyć egzaminu z finansów strategicznych i rachunkowości zarządczej. Po czwartej nieudanej próbie Peter Nowak wystąpił z wnioskiem o udostępnienie mu wszelkich przetwarzanych przez Institute of Chartered Accountants of Ireland. Instytut udostępnił wnioskodawcy większość dokumentów, odmówiono jednak udostępnienia arkusza egzaminacyjnego. Uzasadniając odmowę wskazano, iż praca egzaminacyjna nie stanowi „danych osobowych” w rozumieniu ustaw o ochronie danych wedle prawa irlandzkiego.

Peter Nowak szukał ochrony u irlandzkiego odpowiednika polskiego Generalnego Inspektora Ochrony Danych Osobowych – Office of the Data Protection Commissioner. Jednak w odpowiedzi urząd wskazał, że

arkusze egzaminacyjne nie są zasadniczo brane pod uwagę [do celów ochrony danych] […] ze względu na to, że tego rodzaju materiał nie stanowi na ogół danych osobowych

[Opinia Rzecznika Generalnego Juliane Kokott, Peter Nowak przeciwko Data Protection Commissioner, C‑434/16]

Ostatecznie urząd uznał, iż analiza sprawy nie daje podstaw do stwierdzenia, iż doszło do naruszenia ustawy o ochronie danych osobowych, a dokument, względem którego skarżący chciał skorzystać z prawa do sprostowania nie stanowi danych osobowych.

Księgowy zaskarżył tą decyzję, a w toku postępowania przed irlandzkim Sądem Najwyższym zwrócono się do Trybunału Sprawiedliwości Unii Europejskiej z pytaniami prejudycjalnymi:

1. czy informacje zapisane przez osobę przystępującą do egzaminu zawodowego w odpowiedziach lub jako odpowiedzi na arkuszu egzaminacyjnym mogą stanowić dane osobowe w rozumieniu dyrektywy 95/46/WE?
2. jeżeli odpowiedź na pytanie pierwsze brzmi, że wszystkie informacje lub niektóre z nich mogą stanowić dane osobowe w rozumieniu dyrektywy, jakie czynniki są istotne dla określenia, czy w danym przypadku taki arkusz egzaminacyjny stanowi dane osobowe i jakie znaczenie należy przypisać tym czynnikom?

Dane osobowe według dyrektywy

Obecnie w Unii Europejskiej kwestię ochrony danych osobowych reguluje dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych. Od 25 maja 2018 r. dyrektywą tą zastąpi jednak stosowane bezpośrednio rozporządzenie z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych tzw. RODO.

Zgodnie z art. 2 lit. a) dane osobowe oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej („osoby, której dane dotyczą”). Osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka szczególnych czynników określających jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość.

Z kolei artykuł 12 tejże dyrektywy określa prawa jakie przysługują osobie, której dane są przetwarzane. Jest to m.in. prawo do:

• potwierdzenia, czy dane są przetwarzane oraz co najmniej informacji o celach przetwarzania danych, kategoriach danych oraz odbiorcach lub kategoriach odbiorców, którym dane te są ujawniane;
• informacji o danych przechodzących przetwarzanie oraz posiadanych informacji o ich źródłach;
• wiadomości na temat zasad automatycznego przetwarzania danych;
• sprostowania, usunięcia lub zablokowania danych.

Praca egzaminacyjna

Rzecznik generalny zakwestionowała stanowisko irlandzkiego organu uznając, że arkusz egzaminacyjny zawiera zbiór danych osobowych, ponieważ obejmuje informacje na temat egzaminowanego kandydata.

Praca taka zawiera nie tylko informacje o rozwiązaniu określonych zadań, ale potwierdza także fakt przystąpienia do egzaminu określonej osoby oraz obrazuje posiadane przez nią umiejętności. Jest to szczególnie istotne gdy odpowiedzi wymagają opracowania przez zdającego, a nie są wyłącznie wynikiem zaznaczenia odpowiedzi, np. w testach wielokrotnego wyboru. Zdaniem rzecznika dodatkowym argumentem potwierdzającym powiązanie wyników z daną osobą jest fakt, iż informacje o pozytywnych wynikach egzaminów są umieszczane w życiorysach. Jednak nie tylko ocena końcowa czy punkty za realizację określonych zadań stanowią dane osobowe. Przyjęto, iż charakter taki ma również pismo odręczne.

Za zbiór danych osobowych zostanie uznana praca egzaminacyjna niezależnie od tego czy została podpisana nazwiskiem egzaminowanego czy też została zakodowana przy wykorzystaniu numeru identyfikacyjnego lub kodu kreskowego.

Pismo odręczne jako dane osobowe

Nie tylko Peter Nowak, ale również rządy Polski i Czech w swoich stanowiskach wyrazili pogląd, że:

odpowiedzi udzielone pismem odręcznym zawierają dodatkowe informacje o osobie egzaminowanej, a mianowicie o jej piśmie. Praca sporządzona pismem odręcznym jest mianowicie próbką pisma, która, przynajmniej potencjalnie w późniejszym okresie mogłaby zostać wykorzystana jako poszlaka, by zweryfikować, czy inny tekst także został sporządzony w formie odręcznego pisma egzaminowanej osoby. Może ono więc stanowić wskazówkę odnośnie do tożsamości autora pracy. Kwestia, czy taka próbka pisma jest przydatna do tego, żeby móc jednoznacznie zidentyfikować piszącego, nie odgrywa żadnej szczególnej roli przy kwalifikacji jako dane osobowe. Także wiele innych danych osobowych nie pozwala bowiem w oderwaniu od innych z nich dokonać jednoznacznej identyfikacji osób. Dlatego nie ma konieczności rozstrzygania kwestii, czy pismo odręczne powinno być traktowane jako informacja biometryczna.

[Opinia Rzecznika Generalnego Juliane Kokott, Peter Nowak przeciwko Data Protection Commissioner, C‑434/16]

Inne elementy pracy egzaminacyjnej

W trakcie postępowania słusznie zauważono, iż praca egzaminacyjna poza danymi pozwalającymi na zidentyfikowanie zdającego oraz jego odpowiedziami zawierać może również uwagi osoby sprawdzającej. Odstąpiono jednak od określenia ich charakteru z uwagi na brak związku z pytaniami prejudycjalnymi. Rozstrzygnięcie to może być jednak istotne, bo określać będzie zakres w jakim osoba uprawniona może otrzymać dostęp do pracy egzaminacyjnej jako zbioru danych osobowych. Jednak nawet gdyby przyjąć takie założenie, to w odniesieniu do tych informacji i tak nie będzie przysługiwało uprawnionemu prawo do sprostowania danych. Sprostowaniu podlegają bowiem dane nieaktualne lub nieprawdziwe. Za takie nie można jednak w żadnym wypadku uznać uwag osoby sprawdzającej pracę egzaminacyjną. Odnoszą się one bowiem do tej konkretnej pracy i wyrażają stanowisko egzaminatora.

Sprostowanie danych osobowych a „sprostowanie” pracy egzaminacyjnej

Nie można zapominać, iż skarżący zamierzał uzyskać dostęp do swojej pracy w celu wykonania prawa do sprostowania danych osobowych, które gwarantuje mu prawodawstwo unijne i krajowe. W teorii działanie takie mogłoby się sprowadzać do próby poprawienia oceny uzyskanej z egzaminu. Rzecznik zakwestionował jednak taką możliwość interpretacji przepisów:

Sprostowanie wchodziłoby jednak w rachubę, gdyby miało się okazać, że praca dokumentuje wynik egzaminu określonej osoby w sposób niekompletny lub niedokładny. Taki przypadek nastąpiłby przykładowo wtedy, gdyby – jak zauważa rząd grecki – zainteresowanej osobie przyporządkowano arkusz egzaminacyjny innego uczestnika egzaminu, co dałoby się dowieść m.in. za pomocą pisma odręcznego, lub gdyby zagubieniu uległy części arkusza egzaminacyjnego.

[Opinia Rzecznika Generalnego Juliane Kokott, Peter Nowak przeciwko Data Protection Commissioner, C‑434/16]

Podobnie wątpliwym jest skorzystanie z prawa do żądania usunięcia danych. Uzasadnieniem dla skorzystania z tego uprawnienia byłaby utrata mocy dowodowej wyników egzaminu. Należy bowiem pamiętać, iż prawidłowość i kompletność informacji zawartych w pracy egzaminacyjnej winna być oceniana przy uwzględnieniu celu, w jakim je zabrano i są przetwarzane. Celem egzaminu jest bowiem weryfikacja wiedzy i umiejętności kandydata. Nawet błędnie praca egzaminacyjna błędnie wypełniona nie pozwala na przyjęcie, iż zawiera ona błędne dane osobowe, które winny ulec sprostowaniu.

Komentarz SDO Nowe Technologie

W Polsce obecnie możliwy jest dostęp do wyników sprawdzianu (kończącego naukę w szkole podstawowej), egzaminu gimnazjalnego oraz egzaminu maturalnego przez zdającego, a gdy jest on niepełnoletni także przez opiekuna prawnego. Interpretacja zaprezentowana przez rzecznika generalnego otwiera jednak możliwość uzyskania dostępu także na innej podstawie.

Ewentualne orzeczenie uwzględniające uwagi rzecznika może mieć istotne znaczenie dla takich podmiotów jak okręgowe komisje egzaminacyjne, uniwersytety oraz wszelkie inne organy zajmujące się przeprowadzaniem testów lub egzaminami. Może to wymusić inne podejście do procesu ich organizacji. Nawet w przypadku gdy praca egzaminacyjna jest zakodowana egzaminatorzy powinni posiadać upoważnienie do przetwarzania danych osobowych nadane przez administratora.

O autorze:

• Paweł Tański

  szef sekcji / radca prawny