Stanowisko UODO co do uzyskiwania informacji o zaszczepieniu przeciwko COVID-19

Nowelizacją Rozporządzenia Rady Ministrów z 6 maja 2021 r. w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii (dalej „Rozporządzenie”), która weszła w życie z dniem 6 czerwca br., zwiększono limity uczestników imprez i spotkań. Aktualnie maksymalna dopuszczalna liczba uczestników imprez lub spotkań odbywających się na otwartym powietrzu, w lokalu lub w wydzielonej strefie gastronomicznej sali sprzedaży wynosi 150 osób. Kolejny etap luzowania obostrzeń, dotyczący m.in. zwiększenia dopuszczalnego obłożenia hoteli, kin i teatrów, wszedł w życie z dniem 26 czerwca br. Do limitów wynikających z Rozporządzenia nie wlicza się osób zaszczepionych przeciwko COVID-19.

W związku z wątpliwościami co do sposobu ustalania, że dana osoba została zaszczepiona, Urząd Ochrony Danych Osobowych (dalej „UODO”) wydał komunikat w tej sprawie [1]. W ocenie UODO, przepisy Rozporządzenia nie uprawniają podmiotów zobowiązanych do przestrzegania limitów (np. organizatorów imprez) do żądania od osób fizycznych (np. uczestnika imprezy) udostępnienia informacji o zaszczepieniu przeciwko COVID-19. Powyższe stanowisko wynika z faktu, że dane w przedmiocie zaszczepienia konkretnej osoby stanowią dane dotyczące zdrowia, a zatem przynależą do szczególnej kategorii danych osobowych w rozumieniu ogólnego Rozporządzenia o ochronie danych osobowych nr 2016/679 (dalej „RODO”). Zgodnie z art. 9 ust. 2 lit. i RODO, przetwarzanie takich danych wymagałoby istnienia szczególnej podstawy prawnej w przepisach prawa Unii Europejskiej lub prawa państwa członkowskiego.

W Komunikacie UODO przypomniał, że aktualnie obowiązujące przepisy nie przewidują możliwości żądania od osób fizycznych, w tym uczestników imprez/spotkań udostępnienia informacji na temat ich zaszczepienia. Nie określają też, kto i na jakich zasadach oraz w jaki sposób może weryfikować, czy dana osoba jest zaszczepiona przeciwko COVID-19.

Oznacza to, że jedyną możliwością uzyskania informacji o zaszczepieniu konkretnej osoby przeciwko COVID-19 jest jej zgoda na przetwarzanie danych o zaszczepieniu. W takim przypadku spełniona bowiem będzie przesłanka legalizująca przetwarzanie danych osobowych, o której mowa w art. 9 ust. 2 lit. a RODO. Należy przy tym pamiętać, że przy pobieraniu zgody osób zainteresowanych nie powinno się utrwalać (np. skanować) okazanych dokumentów potwierdzających fakt zaszczepienia. Przepisy nie przewidują bowiem podstawy do dalszego przechowywania informacji o zaszczepieniu po zweryfikowaniu informacji. Administrator danych osobowych (np. organizator imprezy) powinien zatem poprzestać na zapoznaniu się z okazanym dokumentem/informacją i nie może go dalej przechowywać. W świetle RODO konieczne będzie natomiast przekazanie osobie zainteresowanej informacji (klauzul informacyjnych) o zasadach przetwarzania jej danych dotyczących zaszczepienia.

Jak możemy pomóc ?

Kancelaria KPMG Law D.Dobkowski sp.k.:

  • analizuje przepisy związane z wystąpieniem epidemii COVID-19 oraz wynikające z nich obowiązki dla naszych klientów, w tym w kontekście przetwarzania danych osobowych,
  • przygotowuje odpowiednią dokumentację, w tym formularze zgody na przetwarzanie danych osobowych i formularze klauzul informacyjnych wymaganych w świetle RODO,
  • reprezentuje klientów w sporach z osobami, których dane dotyczą i w postępowaniach przed organem nadzorczym (UODO).

[1] Pełna treść Komunikatu została opublikowana na stronie internetowej: Aktualności – UODO.

Informacje zawarte w niniejszej publikacji mają charakter ogólny i nie dotyczą sytuacji konkretnej firmy. Ze względu na szybkość zmian zachodzących w polskim prawodawstwie prosimy o upewnienie się w dniu zapoznania się z niniejszą publikacją, czy informacje w niej zawarte są wciąż aktualne. Przed podjęciem konkretnych decyzji proponujemy skonsultowanie ich z naszymi doradcami.