Donosimo zanimljiv slučaj iz Italije kojeg valja proučiti i pripaziti da se i nama nešto takvo ne dogodi.
Organizacija tzv. civilnog društva u najboljoj je namjeri zatražila od nekoliko lokalnih škola statističke podatke povezane s COVID-19 okolnostima, konkretno, broj slučajeva izolacije u školama, broj slučajeva pozitivnih i negativnih testova učenika i broj razreda u samoizolaciji.
Na prvi pogled iz ovih podataka nije moguće identificirati pojedinog učenika.
No, neke škole odbile su postupiti prema tom zahtjevu jer su, očigledno dobro savjetovane od strane svog Službenika za zaštitu podataka, procijenile da prikupljanje i obrada tih podataka može ipak dovesti do identifikacije pojedinog učenika.
Važno je ovdje početi s čistom teorijom GDPR-a koji definira osobni podatak, praktično sročeno, kao svaku informaciju temeljem koje se određena osoba može identificirati na izravan ili neizravan način, nor. prikupljanjem i kombiniranjem podataka iz više izvora.
Upravo tako je rezoniralo i talijansko nadzorno tijelo i stalo na stranu škola.
Jasno su prepoznali da na lokalnoj razini postoji objektivna mogućnost i verbalnog dijeljenja informacija, posebice kad su u pitanju male škole, iz kojih se može prepoznati pojedinog učenika neizravnom identifikacijom.
Životno je istinito da se verbalnom komunikacijom mogu odati razne dodatne informacije, od podatka o konkretnoj školi, konkretnom razredu, jel taj razred možda već bio spomenut u novinama zbog izolacije ili samoizolacije, koliko susjedi ili sumještani u malom mjestu već sve znaju i u dobroj vjeri podijele te informacije.
Ovdje je važno uočiti da se uslijed smanjenja uzorka ispitanika, konkretno dijece, bez obzira na namjeravanu obradu statističkih podataka, može na tako malom uzorku ponekad prepoznati konkretnog učenika.
I autor ovog posta imao je sličan slučaj kad je škola željela napraviti eksperiment temeljem anonimnim podataka na jednom razredu i između ostalih "statističkih podataka" bio je potreban i podataka o BMI (Body Mass Index). Ako se radi o jednom razrednom odijeljenju i ako u njemu postoji učenik s neuobičajenim iznosom BMI, jasno je da ga se može identificirati bez ikakvog drugog podatka.
U oba navedena slučaja zapravo djecu dovodimo u izraženost riziku otkrivanja njihovog zdravstvenog stanja čije neovlašteno otkrivanje može toj djeci prouzročiti teške posljedice.
Štoviše, takvo indirektno prikupljanje informacija može dovesti i do prenošenja lažnih ili netočnih podataka o pojedinom djetetu, čime se osim kršenja načela točnosti podataka, i na taj način može nanijeti šteta za pojedino dijete.
Više o talijanskom slučaju i odlčnoj reakciji nadzornog tijela:
https://gdprhub.eu/index.php?title=Garante_per_la_protezione_dei_dati_personali_(Italy)_-_9582723&mtc=today
