W związku ze zmniejszającą się ilością zachorowań na COVID-19 rząd zmniejsza obowiązujące restrykcje i zwiększa limity dotyczące ilości osób, które mogą uczestniczyć w imprezach, czy też przebywać w restauracjach lub hotelach. Jak wskazano, do limitów tych nie są wliczane osoby, które zostały zaszczepione. Jednakże, czy żądanie podania takiej informacji jest zgodne z RODO?

Przepisy nie pozwalają żądać udostępniania informacji o zaszczepieniu

Przepisy rozporządzenia Rady Ministrów z dnia 6 maja 2021 r. w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii nie uprawniają podmiotów zobowiązanych do przestrzegania określonego tymi przepisami limitu osób do żądania od nich udostępnienia informacji o zaszczepieniu przeciwko COVID-19.

Informacja o szczepieniu jako szczególny rodzaj danych osobowych

Informacje o zaszczepieniu są danymi osobowymi dotyczącymi zdrowia przez co stanowią szczególną kategorię danych osobowych, o której mowa w art. 9 ust. 1 RODO. Zgodnie z tym przepisem zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.

Ustęp drugi tego artykułu stanowi wyjątki, dzięki którym wyżej wskazane dane wrażliwe mogą podlegać przetwarzaniu. Przetwarzanie danych szczególnych kategorii jest dopuszczalne zgodnie z art. 9 ust. 2 lit i RODO m.in. wówczas, gdy jest to niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii Europejskiej lub prawa państwa członkowskiego, które zawierają odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową.

Jak uzyskać informację o zaszczepieniu, aby nie wliczać konkretnych osób do limitów?

Przepisy wskazanego wcześniej rozporządzenia Rady Ministrów z dnia 6 maja 2021 roku nie regulują możliwości żądania od osób udostępnienia informacji na temat ich szczepienia. Nie określają też, kto i na jakich zasadach oraz w jaki sposób może weryfikować, czy dana osoba jest zaszczepiona przeciwko COVID-19. Nie przewidują też „konkretnych środków ochrony”, o których mowa w powołanym wyżej art. 9 ust. 2 lit. i RODO. Jak wskazuje Prezes Urzędu Ochrony Danych Osobowych w tej sytuacji, tylko gdy zainteresowana osoba wyrazi zgodę na przedłożenie informacji o zaszczepieniu, pozyskanie takich informacji może zostać uznane za uprawnione – spełniona bowiem będzie przesłanka, o której mowa w art. 9 ust. 2 lit. a RODO. Co istotne, zachowane muszą być przy tym warunki pozyskania zgody określone w art. 4 pkt 11 i art. 7 RODO. Oznacza to, że zgoda musi być dobrowolna, świadoma, konkretna – wyrażona w formie jednoznacznego okazania woli i możliwa do odwołania w każdym czasie. Istotne przy tuj jest to, że gdy osoba, której dane dotyczą, zdecyduje się na dobrowolne okazanie certyfikatu szczepienia, to wystarczające jest, że administrator się z nim zapozna i wpuści tę osobę poza limitem. Nie może zaś tej informacji dalej przechowywać.