Informacje o zaszczepieniu są danymi dotyczącymi zdrowia i stanowią szczególną kategorię danych osobowych, o której mowa w art. 9 ust. 1 RODO. Przetwarzanie takich danych wymaga większej ochrony oraz spełnienia przynajmniej jednej z przesłanek określonych w art. 9 ust. 2 RODO, a zatem może być prowadzone między innymi, gdy jest to niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii Europejskiej lub prawa państwa członkowskiego, które zawierają odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową (art. 9 ust. 2 lit. i RODO). Również przepisy Kodeksu Pracy nie zezwalają na przetwarzanie danych o szczepieniach, które zgodnie z ustawą o prawach pacjenta, ustawą o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi oraz z RODO tak jak inne dane o zdrowiu pracownika, poza badaniami okresowymi i wstępnymi, są objęte tajemnicą lekarską. Tym samym wszelkie zaświadczenia o szczepieniu podlegają tej ochronie. Zatem zgodnie z przepisami pracodawca nie ma możliwości pozyskiwać informacji o zaszczepieniu się pracownika przeciw COVID-19, a pracownik nie jest obowiązany udzielać pracodawcy takich informacji. W przypadku odmowy przekazania informacji o zaszczepieniu przez pracownika, wobec pracownika nie powinny zostać wyciągnięte konsekwencje takie jak zmiana warunków zatrudnienia czy rozwiązanie z nim umowy o pracę. Dotychczasowe przepisy regulujące kwestie postępowania w związku z przeciwdziałaniem rozprzestrzenianiu się koronawirusa nie określają na jakich zasadach można uzyskać informacje o zaszczepieniu pracowników czy osób uczestniczących w zgromadzeniach, imprezach, osób korzystających z klubów fitness czy innych aktywności objętych limitami osób. Nie wskazano jednoznacznie na jakich zasadach można żądać od tych osób informacji na temat ich szczepienia, również nie zostało w przepisach określone, kto i w jaki sposób może weryfikować, czy dana osoba jest zaszczepiona przeciwko COVID-19.
Wyjątkiem, kiedy pracodawca może wymagać od pracownika informacji o zaszczepieniu się przeciw COVID-19 jest polecenie właściwego organu wydane zgodnie z tzw. ustawą covidową i ustawą o Państwowej Inspekcji Sanitarnej.
Generalnie przedsiębiorca, organizator imprezy, czy właściciel klubu fitness powinien zweryfikować ile osób uczestniczących w imprezie, korzystających z klubu jest zaszczepionych, a ile nie. Trudność przeprowadzenia takiej weryfikacji związana jest z brakiem jasnych podstaw prawnych do przeprowadzenia takiej weryfikacji oraz zasad uzyskania informacji od uczestników. Pomimo zobowiązania podmiotów do przestrzegania określonego przepisami (rozporządzenie Rady Ministrów z 6 maja 2021 r. w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii) limitu osób nie podano jasnej podstawy prawnej pozyskiwania od uczestników wydarzenia informacji o odbyciu przez nich szczepienia ochronnego. W zw. z czym organizatorzy czy właściciele klubów fitness nie mają prawa żądać podania danych o zaszczepieniu, korzystający z klubu czy uczestnicy imprezy, nie mają obowiązku ich podania. W tych okolicznościach, tylko osoba korzystająca z usług objętych limitami i tylko jeśli wyrazi zgodę może samodzielnie przedstawić informację o zaszczepieniu. Pozyskanie informacji o szczepieniach może zostać uznane za uprawnione w przypadku, kiedy spełniona będzie przesłanka, o której mowa w art. 9 ust. 2 lit. a RODO, jednak należy pamiętać, iż spełnione muszą zostać warunki pozyskania takiej zgody określone w art. 4 pkt 11 i art. 7 RODO. To oznacza, że zgoda musi uwzględniać postanowienia RODO czyli powinna być dobrowolna, świadoma, konkretna i wyrażona w formie jednoznacznego okazania woli oraz możliwa do odwołania w każdej chwili. Co więcej organizator imprezy czy tym bardziej właściciel klubu fitness nie powinien utrwalać informacji o szczepieniach tylko zweryfikować w razie potrzeby np. w sytuacji przekroczenia obowiązujących limitów. Utrwalanie i przechowywanie informacji o szczepieniach nie znajduje potwierdzenie w obecnych przepisach i może stanowić naruszenie prywatności osób. W powyższym zakresie wypowiedział się Urząd Ochrony Danych Osobowych w swoim stanowisku z 23 czerwca 2021 r. zatytułowanym “Wyłączenia zaszczepionych z limitu osób na imprezach”.
Zatem gdy osoba, której dane dotyczą, zdecyduje się na dobrowolne okazanie certyfikatu szczepienia, to wystarczające jest, że administrator się z nim zapozna i wpuści tę osobę poza limitem. Nie może zaś tej informacji dalej przechowywać.
Podsumowując, obecny stan prawny nie daje zbyt wielu możliwości pozyskiwania informacji przez pracodawców bądź podmioty prywatne zobligowane do stosowania limitów osób na temat poddania się szczepieniu przeciw COVID-19 zarówno przez pracowników jak i osoby korzystającez usług tychże podmiotów prywatnych objętych limitami. W takiej sytuacji, jedynym rozwiązaniem jest odwołanie się do poczucia odpowiedzialności i samodzielne przekazanie informacji o szczepieniu. Jednak zawsze pozyskując informacje o szczepieniach należy pamiętać o spełnieniu wymagań RODO dotyczących dobrowolności przekazywania szczególnych kategorii danych osobowych do jakich zalicza się informacja o szczepieniu.
Autor: Piotr Maziakowski