Czy pisemna odpowiedź na egzaminie może być daną osobową?

Czy udzielone, pisemne odpowiedzi na pytania egzaminacyjne naniesione przez przystępującego do egzaminu zawodowego oraz komentarze egzaminującego do tych odpowiedzi mogą stanowić dane osobowe?

Twierdzącej odpowiedzi na to pytanie udzielił 20 grudnia 2017 roku Trybunał Sprawiedliwości UE w sprawie Peter Nowak przeciwko Data Protection Commissioner (Irlandia) o numerze C‑434/16.

W przedmiotowej sprawie Peter Nowak przystąpił do egzaminów z rachunkowości pierwszego stopnia oraz trzech egzaminów drugiego stopnia przeprowadzanych przez Institute of Chartered Accountants of Ireland (instytut biegłych rewidentów Irlandii, zwany „CAI”) i zdał te egzaminy. Nie zdał on jednak egzaminu z „finansów strategicznych i rachunkowości zarządczej”, w ramach którego można było korzystać z własnych materiałów referencyjnych („open book exam”). Po tym jak nie zdał on tego egzaminu po raz czwarty, najpierw zaskarżył on wynik egzaminu a następnie wystąpił z wnioskiem do CAI o udostępnienie danych osobowych. CAI odmówił udostępnienia jego arkusza egzaminacyjnego, uzasadniając to w ten sposób, że praca egzaminacyjna nie zawiera „danych osobowych” w rozumieniu ustawy o ochronie danych osobowych. Pan Nowak zwrócił się więc do Komisarza ds. ochrony danych, ten jednak podtrzymał stanowisko w sprawie. Pan Nowak wytoczył sprawę, która trafiła ostatecznie przed Sąd Najwyższy Irlandii (Supreme Court), ten zaś zwrócił się z następującymi pytaniami prejudycjalnymi do Trybunału Sprawiedliwości:

1)      Czy informacje zapisane przez osobę przystępującą do egzaminu zawodowego w odpowiedziach lub jako odpowiedzi na arkuszu egzaminacyjnym mogą stanowić dane osobowe w rozumieniu dyrektywy 95/46?

2)      Jeżeli odpowiedź na pytanie pierwsze brzmi, że wszystkie informacje lub niektóre z nich mogą stanowić dane osobowe w rozumieniu dyrektywy 95/46, jakie czynniki są istotne dla określenia, czy w danym przypadku taki arkusz egzaminacyjny stanowi dane osobowe, i jakie znaczenie należy przypisać tym czynnikom?”.

Trybunał Sprawiedliwości wskazał na szerokie pojęcie „danych osobowych” zawarte w art. 2 lit. a) dyrektywy 95/46, który definiuje dane osobowe jako „wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej”. Zgodnie z tym samym przepisem „osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka szczególnych czynników określających jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość”.

Niewątpliwie, jak uznał TSUE, zdający egzamin jest osobą fizyczną, a jego dane są zamieszczone na formularzu egzaminacyjnym w postaci imienia i nazwiska lub w postaci numeru identyfikującego. Nie można podzielić argumentacji Komisarza ds. ochrony danych, jakoby nie stanowią danych osobowych formularze egzaminacyjne ze względu na fakt, że egzaminujący nie posiadał dostępu danych identyfikujących osobę zdającą egzamin. Trybunał wskazał, iż takie dane są w posiadaniu podmiotu organizującego egzamin – w tym przypadku CIA, który jest w stanie przypisać udzielone odpowiedzi do osoby zdającego.

Pojawiło się jednak pytanie czy pisemne odpowiedzi i ewentualne naniesione przez egzaminatora komentarze odnoszące się do tych odpowiedzi stanowią informacje dotyczące tej osoby w rozumieniu art. 2 lit. a) dyrektywy 95/46?

W tym zakresie TSUE stanął na stanowisku, iż  „treść tych odpowiedzi (…) odzwierciedla poziom wiedzy i umiejętności osoby przystępującej do egzaminu w danej dziedzinie i, w odpowiednim przypadku, sposób jej rozumowania, wnioskowania i przyjęte przez nią krytyczne podejście. W przypadku egzaminu  pisanego odręcznie odpowiedzi te zawierają poza tym informacje odnoszące się do charakteru pisma.  Co więcej, odpowiedzi te są zbierane w celu dokonania oceny kwalifikacji zawodowych osoby egzaminowanej i jej zdolności do wykonywania danego zawodu.

Wreszcie, wykorzystanie tych informacji, wskutek którego dana osoba może w szczególności zdać egzamin, do którego przystępuje, bądź go nie zdać, może mieć wpływ na prawa i interesy tej osoby, ze względu na to, że wykorzystanie to może warunkować przykładowo szanse owej osoby na wykonywanie danego zawodu bądź zatrudnienie na danym stanowisku”.

Jeśli zaś chodzi o komentarze egzaminującego do udzielonych odpowiedzi Trybunał uznał, że „treść tych komentarzy odzwierciedla (…) wyrażoną przez egzaminatora opinię czy ocenę indywidualnych osiągnięć danej osoby na tym egzaminie, a w szczególności poziomu jej wiedzy i umiejętności w danej dziedzinie”.

Tym samym Trybunał wskazał, iż takie odpowiedzi i komentarze podpadają pod definicję danych osobowych w rozumieniu art. 2 lit. a) dyrektywy 95/46.

Argumentując swoja decyzję TSUE wskazał, iż nie uznanie pisemnych odpowiedzi oraz komentarzy do nich za dane osobowe powoduje wyłączenie zasad i gwarancji mających zastosowanie w dziedzinie ochrony danych osobowych, a w szczególności określonych w art. 6 i 7 dyrektywy 95/46 zasad dotyczących jakości tych danych i legalności ich przetwarzania, a także określonych w art. 12 i 14 tej dyrektywy praw do dostępu, sprostowania i zgłoszenia sprzeciwu osoby, której dane te dotyczą, jak również prawa do objęcia kontrolą sprawowaną przez organ nadzorczy zgodnie z art. 28 tej dyrektywy. A przecież nie można wykluczyć sytuacji, kiedy zdający będzie sprzeciwiał się przekazywaniu formularzy egzaminacyjnych podmiotom trzecim. Tak samo jak ma prawo do ich weryfikacji, a nawet żądania po jakimś czasie do usunięcia takich danych. Z tych też powodów uznać należy odpowiedzi i komentarze do nich jako dane osobowe podlegające pełnej ochronie prawnej.

Źródło: https://curia.europa.eu/jcms/jcms/j_6/pl/