BEZPIECZEŃSTWo DANYCH

Osoby zaszczepione, wyłączone z limitu osób uczestniczących w wydarzeniach, a RODO

Nowe limity osób, które chcą wziąć udział w wydarzeniach nie dotyczą osób zaszczepionych. Jednakże nie jest jasne dla organizatorów wydarzeń, w jaki sposób mogą weryfikować fakt zaszczepienia, aby realizacja była zgodna z RODO.

KAROLINA SZUŚCIK, CISA Inspektor Ochrony Danych, KAMSOFT S.A.

W związku z obowiązującym od 20 marca 2020 stanem epidemii, w ostatnim czasie wprowadzono limity osób mogących uczestniczyć w różnych wydarzeniach, m.in. organizowanych na otwartym powietrzu. Przepisy przewidują jednak możliwość wyłączenia z określonych limitów osób zaszczepionych przeciwko COVID-19. Brakuje jednak podstawy prawnej do pozyskiwania zaświadczenia o przebytym szczepieniu od uczestników takiego wydarzenia. W ostatnich dniach, Urząd Ochrony Danych Osobowych w opublikowanym na swojej stronie internetowej komunikacie wypowiedział się w kwestii weryfikowania statusu osób zaszczepionych przeciwko COVID-19. UODO oświadczył co następuje: Zgodnie z rozporządzeniem Rady Ministrów z 6 maja 2021 r. w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii wprowadzono limity osób mogących uczestniczyć w różnych wydarzeniach, m.in. organizowanych na otwartym powietrzu. Przepisy przewidują jednak możliwość niewliczania do określonych limitów osób zaszczepionych przeciwko COVID-19 – przykładem tego będzie impreza lub spotkanie do 150 osób, odbywające się na otwartym powietrzu lub w lokalu/wydzielonej strefie gastronomicznej sali sprzedaży (§ 9 ust. 15 pkt 2 przytoczonego rozporządzenia). Wprowadzone przepisy nie zapewniły jednak możliwości żądania od osób uczestniczących w wydarzeniach objętych limitami udostępniania informacji na temat ich zaszczepienia. Brak podstawy prawnej do pozyskiwania od uczestników takiego wydarzenia informacji o odbyciu przez nie szczepienia, potwierdził Urząd Ochrony Danych Osobowych w komunikacie z 24 czerwca 2021 r. Urząd Ochrony Danych Osobowych wskazał, że rozporządzenie z 6 maja 2021 r. nie określa, kto i na jakich zasadach oraz w jaki sposób może weryfikować fakt zaszczepienia przeciwko COVID-19. W takiej sytuacji jedyną podstawą prawną przetwarzania informacji o zaszczepieniu będzie zgoda osoby, której dane dotyczą (art. 9 ust 2 lit a RODO). Dane o zaszczepieniu są danymi dotyczącymi zdrowia, a więc stanowią szczególną kategorię danych osobowych (art. 9 RODO). W takim przypadku zgoda na przetwarzanie danych osobowych musi być wyraźna, a także spełniać wymogi określone w art. 4 pkt 11 i art. 7 RODO, tj. być dobrowolna, konkretna, świadoma i jednoznaczna, a także możliwa do odwołania w każdej chwili. Urząd Ochrony Danych Osobowych wskazał również, aby nie utrwalać okazanych przez uczestników dokumentów lub zebranych oświadczeń woli dotyczących zaszczepienia – wystarczające będzie zapoznanie się z okazanym dokumentem. Nie ma przesłanek do dalszego przechowywania informacji o zaszczepieniu uczestników wydarzenia. 

Źródło: uodo.gov.pl/pl/138/2088