Ochrona danych osobowych przy realizacji inicjatyw wspierających młodzież

Wszelkie inicjatywy związane z przetwarzaniem danych osobowych dzieci powinny być poprzedzone gruntowną analizą prawną, tak by podejmowane działania nie naruszały ich praw, w tym prawa do ochrony danych osobowych.

W ostatnim czasie Prezes UODO został poproszony o wyrażenie opinii na temat planowanego uruchomienia konsultacji edukacyjno-informacyjnych dla młodzieży wspierającej rówieśników w kryzysie zdrowia psychicznego pod kątem zgodności tej inicjatywy z przepisami o ochronie danych osobowych.

W odpowiedzi, podkreślającej, że ocena prawna konkretnego przedsięwzięcia związanego z przetwarzaniem danych osobowych może być dokonana wyłącznie w trybie postępowania administracyjnego, Prezes UODO udzielił kierunkowych wskazówek umożliwiających samodzielne przeprowadzenie takiej oceny.

Jednocześnie zwrócił uwagę, że ochrona danych osobowych dzieci została zaakcentowana przez unijnego prawodawcę w motywie 38 RODO, zgodnie z którym: „Szczególnej ochrony danych osobowych wymagają dzieci, gdyż mogą one być mniej świadome ryzyka, konsekwencji, zabezpieczeń i praw przysługujących im w związku z przetwarzaniem danych osobowych. Taka szczególna ochrona powinna mieć zastosowanie przede wszystkim do wykorzystywania danych osobowych dzieci do celów marketingowych lub do tworzenia profili osobowych lub profili użytkownika oraz do zbierania danych osobowych dotyczących dzieci, gdy korzystają one z usług skierowanych bezpośrednio do nich.

Zgoda osoby sprawującej władzę rodzicielską lub opiekę nie powinna być konieczna w przypadku usług profilaktycznych lub doradczych oferowanych bezpośrednio dziecku.” Dlatego też wszelkie inicjatywy związane z przetwarzaniem danych osobowych dzieci powinny być poprzedzone gruntowną analizą prawną pod kątem możliwych ryzyk dla ich praw.

Jak przetwarzać dane małoletnich?

W ocenie organu nadzorczego projektodawcy przedsięwzięć skierowanych do dzieci powinni kierować się przede wszystkim następującymi zaleceniami:

1. Na jak najwcześniejszym etapie należy dokonać faktycznej i dogłębnej analizy tego, jakie kategorie danych osobowych, w jakim zakresie będą przetwarzane.
2. Szczególną uwagę trzeba zwrócić na to, czy będą przetwarzane szczególne kategorie danych (np. dane dotyczące zdrowia).
3. Zgodnie z art. 9 ust. 1 rozporządzenia RODO przetwarzanie szczególnych kategorii danych jest co do zasady zabronione, chyba że zachodzi jedna z przesłanek określonych w art. 9 ust. 2 RODO. W przypadku gdy podstawą przetwarzania miałby być przepis prawa krajowego, powinien on w sposób jednoznaczny określać zakres i cel przetwarzania szczególnych kategorii danych oraz odpowiadać wymogom wynikającym z art. 9 ust. 2 i 3 RODO. Ponadto, stosownie do art. 9 ust. 4 RODO, państwa członkowskie mogą utrzymać lub wprowadzić dalsze warunki, w tym ograniczenia, dotyczące przetwarzania danych genetycznych, biometrycznych lub danych dotyczących zdrowia. Oznacza to, że projektowane rozwiązania powinny uwzględniać nie tylko przesłanki dopuszczalności przetwarzania wynikające z RODO, ale również wymagania przewidziane w prawie krajowym odnoszące się do tych kategorii danych.
4. Należy określić podstawy prawne, na których to przetwarzanie będzie oparte – uwzględnić, czy są w przepisach krajowych sposoby przetwarzania danych osobowych na potrzeby realizacji określonego projektu/przedsięwzięcia zgodnie z zasadami określonymi w RODO.
5. Jeżeli twórca projektu zakłada, że podstawą prawną przetwarzania danych ma być zgoda, to musi spełniać odpowiednie wymagania, w tym uwzględniać regulacje kodeksu rodzinnego i opiekuńczego – w przeciwnym razie może zostać zakwestionowana jako podstawa do przetwarzania danych osobowych. Pojęcie zgody osoby, której dotyczą dane, definiuje art. 4 pkt 11 RODO i oznacza „dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych”.
   Zgoda udzielona przed rozpoczęciem przetwarzania danych osobowych powinna być wyrażona wprost, określać osobę, która zgody udziela, oraz osobę, której dane osobowe mają być udostępnione. Osoby te muszą wiedzieć, komu udzielają zgody na przetwarzanie danych, jaki jest ich zakres. Powinny też wiedzieć, przez jaki okres i w jakim celu dane te będą przetwarzane. Należy pamiętać, że nikt nie ma prawa wymuszać na nikim wyrażenia zgody. Taka zgoda jest nieważna. W myśl art. 7 ust. 3 RODO zgoda jest odwoływalna i uprawnienie to przysługuje osobie, której dane dotyczą, w każdym czasie. Osoba ta ma więc prawo w dowolnym momencie wycofać zgodę.
   Przepis nakłada na administratora obowiązek poinformowania osoby o tym prawie, zanim wyrazi zgodę. Wycofanie zgody musi być tak samo łatwe, jak jej wyrażenie. Dlatego jeżeli np. na stronie internetowej istniał mechanizm do wyrażenia zgody, to podobny powinien być udostępniony również do jej wycofania. Rozwiązanie takie nie powinno być w żaden sposób ukryte. Podobnie, gdy administrator odbierał zgodę drogą mailową czy telefoniczną, to jej odwołanie powinno być możliwe w ten sam sposób. Uprawnienie osoby do rzeczywistego wycofania zgody łączy się z wymogiem jej dobrowolności.
6. Planując dane przedsięwzięcie należy określić role i obowiązki poszczególnych podmiotów, które będą miały realny dostęp do danych (np. będą je mogły wprowadzać/ modyfikować /usuwać/ przeglądać).
7. Projektodawca powinien określić „cykl życia” danych osobowych, jakie mają być przetwarzane na potrzeby danego projektu (od momentu ich pozyskania do ich usunięcia).
8. W planowanych projektach / przedsięwzięciach, które będą wykorzystywały nowe technologie powinny być zapewnione: zachowanie poufności, integralności, autentyczności i kompletności oraz dostępności danych osobowych, które będą w nich przetwarzane; pamiętać przy tym należy, że ryzyka (zagrożenia) powinny być szacowane w sposób okresowy (ciągły). Mogą one z czasem ulegać zmianom. Zidentyfikowanie nowych ryzyk przekłada się z kolei na dostosowywanie do nich adekwatnych zabezpieczeń. Dotyczy to zwłaszcza obszarów takich jak: nieuprawniony dostęp, wyciek lub nieuprawniona modyfikacja. Jednocześnie należy też określić, jakie środki techniczne i organizacyjne będą wdrożone w celu ich skutecznego ograniczenia lub minimalizacji ich potencjalnych skutków.
9. Podkreślenia wymaga, że przepisy RODO, wśród obowiązków nałożonych na administratora, wskazują m.in.: obowiązek dokonania oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych, tj. analizy ryzyka przed rozpoczęciem procesów przetwarzania danych (art. 35 RODO), jak również stałego badania przyjętych rozwiązań nie tylko przy określaniu sposobów przetwarzania, ale i w czasie ich realizacji (art. 25).