Dane osobowe o szczepieniach przeciwko COVID-19 na uczelniach przetwarzane bez podstawy prawnej
Prezes Urzędu Ochrony Danych Osobowych ukarał upomnieniem Ministra Edukacji i Nauki oraz Ministra Zdrowia za przetwarzanie danych osobowych szczególnej kategorii bez podstawy prawnej. Co więcej, dane te zostały przekazane pomiędzy ministrami mimo braku umowy powierzenia przetwarzania danych osobowych.
Dane osobowe o szczepieniach przekazane pomiędzy Ministrem Zdrowia a Ministrem Edukacji i Nauki
Sprawa, która trafiła do Urzędu Ochrony Danych Osobowych w wyniku interwencji Rzecznika Praw Obywatelskich. dotyczyła przetwarzania danych osobowych w sprawie szczepień przeciwko COVID-19 studentów, doktorantów i nauczycieli akademickich. Dane te pozyskał Minister Zdrowia na zlecenie Ministra Edukacji i Nauki - ze Zintegrowanego Systemu Informacji o Szkolnictwie Wyższym i Nauce POL-on. Przekazano je następnie Elektronicznej Platformy Gromadzenia, Analizy i Udostępnienia Zasobów Cyfrowych o Zdarzeniach Medycznych.
W związku z przekazaniem danych pomiędzy resortami zostało zawarte porozumienie o współpracy z 21 grudnia 2021 r.
Informacje statystyczne stały się danymi osobowymi dotyczącymi zdrowia
W odpowiedzi na zapytanie RPO Minister Edukacji i Nauki tłumaczył, że pozyskano jedynie dane statystyczne w celu ustalenia poziomu zaszczepienia przeciwko COVID w środowisku akademickim. Z tym stanowiskiem nie zgodził się jednak w toku późniejszego postępowania Prezes UODO. Z poczynionych ustaleń wynikało, że pozyskane dane zostały zestawione i połączone według numerów PESEL. Dzięki temu można było sprawdzić, które konkretnie osoby zostały zaszczepione, a które nie.
W konsekwencji mieliśmy do czynienia z danymi osobowymi szczególnej kategorii.
Porozumienie o współpracy nie zastępuje umowy powierzenia przetwarzania danych
Prezes UODO stwierdził także, że przekazanie danych osobowych nastąpiło w drodze porozumienia o współpracy z 21 grudnia 2021 r. zawartego między Ministrem Zdrowia a Ministrem Edukacji i Nauki. Tymczasem ministrowie powinni w tej sytuacji zawrzeć umowę powierzenia przetwarzania danych albo skorzystać innego instrumentu przewidzianego w art. 28 ust. 3 RODO.
W konsekwencji Prezes UODO ukarał upomnieniami zarówno Ministra Zdrowia jak i Ministra Edukacji i Nauki.
- Zgoda marketingowa – czy także od firmy lub instytucji
- Organizacja konkursu dla uczniów – umowa powierzenia przetwarzania danych pomiędzy szkołą a organem prowadzącym
- Kara za przetwarzanie danych osobowych w rozmowach telefonicznych bez podstawy prawnej
- Obowiązek informacyjny w związku z rozmową telefoniczną - jak przekazać klauzulę informacyjną RODO
- Postępowanie z ryzykiem dla danych osobowych w związku z wdrożeniem sztucznej inteligencji AI
- Kiedy należy sporządzić ocenę skutków dla ochrony danych w związku z wdrożeniem sztucznej inteligencji
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
