ASCPD solicită Ministerului Educaţiei eliminarea consimţământului ca temei legal de prelucrare

ASCPD solicită eliminarea formularului de consimţământ şi a referirilor la consimţământul părinţilor/reprezentanţilor legali din cuprinsul procedurii Ministerului Educaţiei şi Cercetării şi din nota de informare, precum şi pe cele privind interzicerea participării la evaluarea naţională în lipsa consimţământului.

Conform unui comunicat de presă, Asociaţia Specialiştilor în Confidenţialitatea şi Protecţia Datelor (ASCPD) a sesizat Ministerul Educaţiei şi Cercetării privind articolul 5, alin. 2 din Procedura privind modul de comunicare a rezultatelor obţinute de candidaţii la Evaluarea Naţională pentru absolvenţii clasei a VIII-a în anul şcolar 2019-2020, care prevede că “unitatea de învăţământ ia măsurile care se impun pentru ca părinţii, reprezentanţii legali ai elevului să completeze formularul intitulat consimţământul pentru prelucrarea datelor cu caracter personal, în vederea desfăşurării examenului de Evaluare Naţională/admitere la liceu.

Asociaţia Specialiştilor în Confidenţialitatea şi Protecţia Datelor (ASCPD) consideră că temeiul invocat ca bază a prelucrării datelor personale, este eronat şi solicită, în mod justificat, modificarea Procedurii privind modul de comunicare a rezultatelor obţinute de candidaţii la Evaluarea Naţională pentru absolvenţii clasei a VIII-a în anul şcolar 2019-2020. 

În acest sens, ASCPD a transmis o scrisoare deschisă adresată Ministerului Educaţiei şi Cercetării şi Direcţiei Generale Învăţământ Preuniversitar solicitând eliminarea formularului de consimţământ şi a referirilor la consimţământul părinţilor/reprezentanţilor legali din cuprinsul procedurii menţionate şi din nota de informare, precum şi pe cele privind interzicerea participării la evaluarea naţională în lipsa consimţământului, atrăgând totodată atenţia că utilizarea consimţământului ca temei de prelucrare a datelor ar putea avea ca efect îngrădirea dreptului la educaţie al elevilor pe de-o parte, cât şi încălcarea  principiului echităţii prevăzut la art. 5, alin. 1., lit. a) din Regulamentul (EU) 2016/679 şi implicit a principiului privind reducerea la minimum a datelor, prevăzut la art. 5, alin. 1., lit. c) al Regulamentului.

În această scrisoare deschisă, Asociaţia consideră că temeiul invocat de Ministerul Educaţie şi Cercetării, că bază a prelucrării datelor personale, este eronat, motivând următoarele:

• "În conformitate cu articolul 6 din Regulamentul (UE) 679/2016, pentru ca prelucrarea să fie legală, există 6 temeiuri posibile:

• persoana vizată şi-a dat consimţământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;
• prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract;
• prelucrarea este necesară în vederea îndeplinirii unei obligaţii legale care îi revine Ministerului Educaţiei şi Cercetării (MEC);
• prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice;
• prelucrarea este necesară pentru îndeplinirea unei sarcini care serveşte unui interes public sau care rezultă din exercitarea autorităţii publice cu care este învestit MEC;
• prelucrarea este necesară în scopul intereselor legitime urmărite de MEC sau de o parte terţă, cu excepţia cazului în care prevalează interesele sau drepturile şi libertăţile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.

În Orientările privind consimţământul în temeiul Regulamentului 2016/679, Grupul de lucru „Articolul 29” subliniază că atunci când un operator “alege să se bazeze pe consimţământ pentru orice parte a prelucrării, acesta trebuie să fie pregătit să respecte alegerea respectivă şi să pună capăt acelei părţi a prelucrării dacă persoana vizată îşi retrage consimţământul. Transmiterea mesajului că datele vor fi prelucrate pe baza consimţământului, în timp ce prelucrarea se bazează de fapt pe un alt temei legal ar fi în mod fundamental inechitabilă faţă de persoanele în cauză.

Cu alte cuvinte, Ministerul Educaţiei şi Cercetării nu poate schimba consimţământul cu alte temeiuri legale. De exemplu, nu este permisă utilizarea retroactivă a temeiului privitor la interesul legitim pentru a justifica prelucrarea în cazul în care s-au întâmpinat probleme în legătură cu validitatea consimţământului

Prin urmare, utilizarea consimţământului trebuie luată în calcul doar atunci când celelalte temeiuri ale prelucrarii nu au putut fi aplicate.

• Condiţiile de utilizare a consimţământului ca temei legal, sunt descrise pe larg în cuprinsul art. 7 din Regulamentul (UE) 679/2016, respectiv Ministerului Educaţiei şi Cercetării trebuie să demonstreze că persoana vizată şi-a dat consimţământul informat pentru prelucrarea datelor sale cu caracter personal printr-o alegere liberă autentică, cererea în vederea obţinerii consimţământului trebuie să fie într-o formă care o diferenţiază de celelalte aspecte, inteligibilă şi uşor accesibilă, utilizând un limbaj clar şi simplu.
• Mai mult, Art. 4 din Regulamentul (UE) 679/2016 defineşte “consimţământul” persoanei vizate ca fiind “orice manifestare de voinţă liberă, specifică, informată şi lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declaraţie sau printr-o acţiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate;” şi, de asemenea, conţinutul considerentului 42 “Consimţământul nu ar trebui considerat ca fiind acordat în mod liber dacă persoana vizată nu dispune cu adevărat de libertatea de alegere sau nu este în măsură să refuze sau să îşi retragă consimţământul fără a fi prejudiciată.”
• Persoana vizată îşi poate retrage în orice moment consimţământul, iar pentru retragerea acestuia trebuie să existe condiţii la fel de simple ca cele la acordarea acestuia. Acest aspect este determinant în momentul alegerii temeiului juridic de prelucrare a datelor personale deoarece, în cele mai multe cazuri, prelucrarea nu poate înceta prin simpla retragere a consimţământului.
• Este important de precizat că dacă Ministerului Educaţiei şi Cercetării alege să-şi întemeieze prelucrarea pe consimţământ, acesta trebuie să fie pregătit ca, în cazul retragerii consimţământului, să respecte această solicitare (drept) şi să înceteze prelucrarea. Cu alte cuvinte, Ministerului Educaţiei şi Cercetării nu poate trece de la consimţământ la un alt temei legal de prelucrare. Datorită cerinţei de a dezvălui baza legală pe care îşi întemeiază prelucrarea încă de la data colectării datelor personale, MEC trebuie să decidă, anterior colectării, care este baza legală aplicabilă.
• În cazul în care la stabilirea temeiului legal al prelucrării s-a avut în vedere Art. 8 şi respectiv Considerentul 38 din Regulamentul (UE) 679/2016, vă rugăm să aveţi în vedere că acestea se referă la consimţământul în cazul copiilor în legătură cu serviciile societăţii informaţionale iar în cazul de faţă nu poate fi vorba despre societatea informaţională, ci despre accesul liber la sistemul de învăţământ românesc.
• Conform Art. 8 din Regulamentul (UE) 679/2016, în cazul în care se aplică articolul 6 alineatul (1) litera (a), în ceea ce priveşte oferirea de servicii ale societăţii informaţionale în mod direct unui copil, prelucrarea datelor cu caracter personal ale unui copil este legală dacă copilul are cel puţin vârsta de 16 ani. Dacă copilul are sub vârsta de 16 ani, respectiva prelucrare este legală numai dacă şi în măsura în care consimţământul respectiv este acordat sau autorizat de titularul răspunderii părinteşti asupra copilului. Statele membre pot prevedea prin lege o vârstă inferioară în aceste scopuri, cu condiţia ca acea vârstă inferioară să nu fie mai mică de 13 ani. Considerăm că interpretarea faptului că actul de învăţământ este un “serviciu al societăţii informaţionale” este de asemenea eronat, având în vedere considerentul 38 care aduce următoarele clarificări : “Copiii au nevoie de o protecţie specifică a datelor lor cu caracter personal, întrucât pot fi mai puţin conştienţi de riscurile, consecinţele, garanţiile în cauză şi drepturile lor în ceea ce priveşte prelucrarea datelor cu caracter personal. Această protecţie specifică ar trebui să se aplice în special utilizării datelor cu caracter personal ale copiilor în scopuri de marketing sau pentru crearea de profiluri de personalitate sau de utilizator şi la colectarea datelor cu caracter personal privind copiii în momentul utilizării serviciilor oferite direct copiilor. Consimţământul titularului răspunderii părinteşti nu ar trebui să fie necesar în contextul serviciilor de prevenire sau consiliere oferite direct copiilor. “
• Pentru clarificare, menţionăm faptul că în conformitate cu Art. 4 (25) din Regulamentul (UE) 679/2016, un serviciu al societăţii informaţionale înseamnă un serviciu astfel cum este definit la articolul 1 alineatul (1) litera (b) din Directiva 2015/1535, respectiv “orice serviciu prestat în mod normal în schimbul unei remuneraţii, la distanţă, prin mijloace electronice şi la solicitarea individuală a beneficiarului serviciului. În sensul prezentei definiţii (i) „la distanţă” înseamnă că serviciul este prestat fără ca părţile să fie prezente simultan; (ii) „prin mijloace electronice” înseamnă că serviciul este transmis iniţial şi primit la destinaţie prin intermediul echipamentului electronic pentru prelucrarea (inclusiv arhivarea digitală) şi stocarea datelor şi este transmis integral, transferat şi recepţionat prin cablu, radio, mijloace optice sau alte mijloace electromagnetice; (iii) „la solicitarea individuală a beneficiarului serviciilor” înseamnă că serviciul este prestat prin transmiterea datelor în urma solicitării individuale.”
• Atragem atenţia asupra clauzelor contractului educaţional, contract prevăzut în anexa 1 la Regulamentul-cadru de organizare şi funcţionare a unităţilor de învăţământ preuniversitar, aprobat prin Ordinul ministrului educaţiei naţionale şi cercetării ştiinţifice nr. 5.079/2016 aşa cum a fost modificat prin Ordinul 3027/2018 dar şi asupra articolului 198 din regulamentul menţionat, respectiv “(2) În unităţile de învăţământ sunt interzise măsurile care pot limita accesul la educaţie al elevilor, cum ar fi, de exemplu, efectuarea de către aceştia a serviciului pe şcoală, interzicerea participării la cursuri sau sancţionarea elevilor care nu poartă uniforma unităţii de învăţământ sau altele asemenea.”
• Subliniem că nu poate fi vorba despre un consimţământ liber exprimat şi fără urmări negative asupra elevului atât timp cât acestuia, în lipsa consimţământului, i se refuză participarea la evaluarea naţională, încălcând astfel dreptul la educaţie al elevului. Vă reamintim că dreptul la învăţătură este garantat prin articolul 32 din Constituţia României iar alin. 5 din articolul 49 instituie obligativitatea pentru Autorităţile publice de a contribui la asigurarea condiţiilor pentru participarea liberă a tinerilor la viaţa politică, socială, economică, culturală şi sportivă a ţării.
• De asemenea, orice prelucrare de date personale trebuie trecută prin filtrul principiilor din Art. 5 din Regulamentul (UE) 679/2016, la o primă analiză fiind clar încălcat principiul minimizării datelor, ridicându-se totodată întrebări cu privire la modalitatea şi termenele de stocare a acestor consimţăminte.

Este de menţionat şi faptul că la întocmirea unei astfel de proceduri trebuie implicat direct Responsabilul cu protecţia datelor personale dar, poate şi mai important, trebuie, în cazul unor neclarităţi, consultată Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) în vederea emiterii unui aviz sau a unui punct de vedere.

În aceste condiţii considerăm oportună analiza celorlalte temeiuri de prelucrare a datelor personale, în acest caz existând obligaţii legale ale Ministerului Educaţiei şi Cercetării de prelucrare a datelor şi un contract educaţional, prevăzut în anexa 1 la Regulamentul-cadru de organizare şi funcţionare a unităţilor de învăţământ preuniversitar, aprobat prin Ordinul ministrului educaţiei naţionale şi cercetării ştiinţifice nr. 5.079/2016  aşa cum a fost modificat prin Ordinul 3027/2018  care stă la baza prelucrărilor.

Abia după efectuarea acestei analize şi eliminarea posibilităţii invocării art.6 alin.1 lit. b), lit. c) sau lit. e), putem ajunge la ipoteza utilizării consimţământului, studiind cu atenţie ce se întâmplă în cazul retragerii acestuia, dacă sunt condiţii de retragere facilă a consimţământului şi dacă acesta este liber exprimat."

În finalul scrisorii deschise, Asociaţia Specialiştilor în Confidenţialitatea şi Protecţia Datelor din România solicită

• Eliminarea din Nota de informare introdusă prin Procedura privind modul de comunicare a rezultatelor obţinute de candidaţii la Evaluarea Naţională pentru absolvenţii clasei a VIII-a în anul şcolar 2019-2020 a paragrafului “Dacă nu sunteţi de acord cu prelucrarea datelor cu caracter personal nu se poate derula Evaluarea Naţională în condiţiile prevăzute de prevederile legale în vigoare”
• Modificarea articolul 5, alin. 2 din Procedura privind modul de comunicare a rezultatelor obţinute de candidaţii la Evaluarea Naţională pentru absolvenţii clasei a VIII-a în anul şcolar 2019-2020 în sensul eliminării formularului de consimţământ şi a referirilor la consimţământul părinţilor/reprezentanţilor legali din cuprinsul procedurii menţionate şi din nota de informare, precum şi pe cele privind interzicerea participării la evaluarea naţională în lipsa consimţământului.
• Luarea măsurilor ca la Examenul Naţional de Bacalaureat 2020 această situaţie să nu se repete, deoarece se încalcă dreptul fundamental la educaţie dar şi principiile fundamentale ale Regulamentului (UE) 679/2016, precum principiul minimizării, prin introducerea unui formular suplimentar (birocraţie fără utilitate justificată şi fără bază legală) şi prelucrarea excesivă a unor informaţii care ulterior trebuie stocate limitat în condiţiile în care exista deja obligaţie legală pentru prelucrarea datelor personale ale elevilor.