UODO: do pozyskania informacji o zaszczepieniu uczestnika imprezy potrzebna jego zgoda
Kwestia pozyskiwania informacji o szczepieniach na potrzeby weryfikacji liczby osób na imprezach i innych spotkaniach budzi wiele kontrowersji wśród ekspertów. W sprawie głos zabrał Urząd Ochrony Danych Osobowych.
Klauzule regulują obowiązki ADO i procesora
Jak słusznie zauważa UODO, informacje o zaszczepieniach stanowią dane osobowe szczególnej kategorii jako dane dotyczące zdrowia. Z tego względu zasługują na ściślejszą ochronę. Przetwarzanie tych danych osobowych może odbyć się na jednej z podstaw prawnych wymienionych w art. 9 ust. 2 RODO.
Jest ono dopuszczalne m.in. gdy jest niezbędneze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii Europejskiej lub prawa państwa członkowskiego, które zawierają odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową (art. 9 ust. 2 lit. i RODO).
Limity nie uwzględniają zaszczepionych
Jak to się ma do ograniczeń w zakresie liczby osób mogących uczestniczyć w różnych wydarzeniach. Otóż w myśl § 26 ust. 16 rozporządzenia Rady Ministrów z 6 maja 2021 r. w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii, do liczby osób mogących uczestniczyć w imprezie i spotkaniu:
-
do 25 osób, które odbywają się w lokalu lub budynku wskazanym jako adres miejsca zamieszkania lub pobytu osoby, która organizuje imprezę lub spotkanie,
-
do 150 osób, które odbywają się na otwartym powietrzu albo w lokalu lub w wydzielonej strefie gastronomicznej sali sprzedaży
nie wlicza się m.in. osób zaszczepionych przeciwko COVID-19. Informacja o zaszczepieniu ma więc istotne znaczenia dla ustalenia czy w danym przypadku
Nie obędzie się bez zgody podmiotu danych
Niestety przepisy tego rozporządzenia nie regulują możliwości żądania od osób uczestniczących w takim wydarzeniu udostępnienia informacji na temat ich szczepienia. Brak jest także regulacji, kto i na jakich zasadach oraz w jaki sposób może weryfikować, czy dana osoba jest zaszczepiona przeciwko COVID-19. Nie sprecyzowano też „konkretnych środków ochrony”, o których mowa w powołanym wyżej art. 9 ust. 2 lit. i RODO. Z tego względu nie można powoływać się na ten przepis w zakresie pozyskiwania informacji o zaszczepionych.
Art. 9 ust. 2 lit. i RODO nie może stanowić podstawy uprawniającej podmioty zobowiązane do przestrzegania określonego tymi przepisami limitu osób do pozyskiwania od uczestników takiego wydarzenia informacji o odbyciu przez nich szczepienia przeciwko COVID-19.
Pozostaje więc uzyskanie zgody osoby uczestniczącej w danej imprezie na przedłożenie informacji o zaszczepieniu (art. 9 ust. 1 lit. a RODO). Muszą być przy tym spełnione warunki pozyskania tej zgody.
Zgoda musi być:
-
dobrowolna,
-
świadoma,
-
konkretna,
-
wyrażona w formie jednoznacznego okazania woli,
-
możliwa do odwołania w każdym czasie.
Pamiętajmy o regule minimalizacji
Absolutnie nie należy tu jednak przetwarzać danych osobowych w sposób nadmiarowych np. poprzez utrwalanie okazanych dokumentów czy też zebranych oświadczeń woli. Nie ma bowiem przesłanek do dalszego przechowywania informacji o zaszczepieniu po zweryfikowaniu informacji.
Należy ograniczyć się do zapoznania się z certyfikatem potwierdzającym zaszczepienie. Nie należy go natomiast utrwalać.
-
Strona internetowa UODO (uodo.gov.pl).
- Zgoda marketingowa – czy także od firmy lub instytucji
- Zgoda na przetwarzanie danych osobowych do celów reklamy behawioralnej – jak powinna wyglądać
- Obowiązek informacyjny w związku z rozmową telefoniczną - jak przekazać klauzulę informacyjną RODO
- Postępowanie z ryzykiem dla danych osobowych w związku z wdrożeniem sztucznej inteligencji AI
- System zabezpieczeń przed smishingiem już działa
- Informacja publiczna na wniosek dziennikarza – czy podlega anonimizacji
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
