RODO Impreza, koncert? Weź certyfikat

W Polsce jednym z przepisów regulujących kwestie postępowania w związku z przeciwdziałaniem rozprzestrzenianiu się koronawirusa jest rozporządzenie Rady Ministrów z 6 maja 2021 r. w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii.

Określa ono m.in. limity osób mogących uczestniczyć w różnych wydarzeniach, czy to w pomieszczeniu zamkniętym np. strefie gastronomicznej czy na otwartym powietrzu np. koncercie. Zgodnie z § 26 ust. 16, do liczby osób mogących uczestniczyć w imprezie i spotkaniu, nie wlicza się m.in. osób zaszczepionych przeciwko COVID-19.
Ponieważ informacje o szczepieniu stanowią szczególną kategorię danych osobowych, są danymi dotyczącymi zdrowia. Przetwarzanie ich jest objęte większą ochroną i dopuszczalne po spełnieniu przynajmniej jednej z przesłanek m.in., gdy jest to niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego.
Jednak w.w. rozporządzenie nie uprawnia podmiotów zobowiązanych do przestrzegania określonego tymi przepisami limitu osób do żądania od nich udostępnienia informacji o zaszczepieniu przeciwko COVID-19. Nie określają też, kto i w jaki sposób może weryfikować, czy dana osoba jest zaszczepiona przeciwko COVID-19. Nie przewidują też „konkretnych środków ochrony”, o których mowa w przepisach RODO.
Dlatego nie można uznać ich za podstawę uprawniającą do pozyskiwania od uczestników takiego spotkania informacji o przyjęciu przez nich szczepienia. Tym samym nie mają one prawa żądać podania od nich takich danych, a osoba, której dane dotyczą, nie ma obowiązku ich podania.
Więc na jakich zasadach można uzyskać informacje o zaszczepieniu?
W tej sytuacji, tylko gdy zainteresowana osoba wyrazi zgodę na przedłożenie informacji o zaszczepieniu, pozyskanie takich informacji może zostać uznane za uprawnione. Co istotne, zachowane muszą być przy tym warunki pozyskania zgody określone art. 7 RODO., czyli zgoda musi być dobrowolna, świadoma, konkretna – wyrażona w formie jednoznacznego okazania woli i możliwa do odwołania w każdym czasie.
Ewentualne okazywanie dowodów potwierdzających fakt zaszczepienia może się odbywać z inicjatywy samej osoby zainteresowanej.
Należy przy tym pamiętać również o tym, by podmiot nadmiarowo nie ingerował w prywatność osoby np. poprzez utrwalanie okazanych dokumentów czy też zbieranie oświadczeń woli. Brak jest bowiem przesłanek także do dalszego przechowywania informacji o zaszczepieniu po zweryfikowaniu informacji.
Zatem gdy osoba, której dane dotyczą, zdecyduje się na dobrowolne okazanie certyfikatu szczepienia, powinno być wystarczające, że podmiot się z nim zapoznał i wpuścił tę osobę poza limitem. Nie może zaś tej informacji dalej przechowywać.

Artur Majchrzycki – Inspektor Ochrony Danych, jest ekspertem ds. ochrony danych osobowych. Specjalizuje się w problemach związanych z wdrażaniem przepisów ochrony danych osobowych. Posiada wieloletnie doświadczenie związane z zabezpieczeniami informatycznymi w ochronie danych. Audytor Wewnętrzny Systemów Zarządzania Bezpieczeństwem Informacji zgodnego z ISO/IEC 27001.
Kontakt do autora:
tel. 501 15 11 15
email: a.majchrzycki@moment24.pl