Zgoda na przetwarzanie informacji o zaszczepieniu

Obecnie coraz więcej przedsiębiorstw z branży opiekuńczej współpracuje z osobami dysponującymi tzw. paszportem covidowym. Wynikająca z nich informacja o zaszczepieniu jest często przekazywana firmom pośredniczącym lub bezpośrednim odbiorcom usług (podopiecznym), a także znajduje się w ofertach skierowanych do tych podmiotów bądź w tzw. profilach opiekunów. Stąd też warto ustalić, jak zapewnić zgodne z prawem przetwarzanie informacji o zaszczepieniu w kontekście przepisów o ochronie danych osobowych.

Informacja o szczepieniu jest daną wrażliwą

Niewątpliwie informację o zaszczepieniu wynikającą z paszportu covidowego uznać należy za szczególną kategorię danych osobowych (tzw. dana „wrażliwa”). Potwierdza to stanowisko UODO zaprezentowane w komunikacie z dnia 23.06.2021 r.: „Ponieważ informacje o zaszczepieniu są danymi dotyczącymi zdrowia, to stanowią szczególną kategorię danych osobowych, o której mowa w art. 9 ust. 1 RODO. Ich przetwarzanie jest objęte ściślejszą ochroną i dopuszczalne oraz legalne po spełnieniu przynajmniej jednej z przesłanek określonych w ustępie 2 powołanego przepisu”.

Skoro tak, posługiwanie się przez firmę opiekuńczą informacją o posiadaniu certyfikatu przez jej opiekuna oznacza przetwarzanie informacji o jego zaszczepieniu i stanowi czynność przetwarzania w rozumieniu przepisów RODO.

Kiedy można przetwarzać dane o zaszczepieniu?

Przetwarzanie zaś jest dopuszczalne tylko wtedy, gdy istnieje podstawa prawna ku temu – ich katalog w przypadku danych „wrażliwych” przewiduje art. 9 RODO ust. 2. Wymienia on jako jedną z podstaw umożliwiających przetwarzanie zgodę osoby, której dane dotyczą – a dokładnie mówiąc „wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach”.

Zgoda musi więc:

• być wyraźna;

• precyzować jeden lub kilka wskazanych celów przetwarzania, które na dodatek muszą być skonkretyzowane.

Co powinna zawierać zgoda?

Jednocześnie (o czym na końcu przywołanego komunikatu przypomina UODO), taka zgoda musi też spełniać ogólne warunki przewidziane w art. 4 pkt 11 RODO, tzn. być konkretna, świadoma, jednoznaczna i dobrowolna. O ile w większości wypadków zapewnienie zgodności pozyskiwanych zgód z trzema pierwszymi wymogami nie powinno stwarzać trudności, to w przypadku ostatniej przesłanki – dobrowolności, sytuacja może się skomplikować.

Złożenie zgody nie powinno bowiem następować w okolicznościach, które mogłyby choćby w niewielkim stopniu sugerować, że jej wyrażenie nie było całkowicie dobrowolne, tzn. osoba udzielająca zgody nie miała w pełni wolnego wyboru i prawa do odmowy bez stawiania jej w niekorzystnej pozycji. Przykładem byłoby postawienie potencjalnego opiekuna przed wyborem: albo udzieli zgodę na przetwarzanie informacji o zaszczepieniu, albo nie zostanie z nim zawarta umowa o współpracy.

Powyższy przykład ma wprawdzie charakter skrajny, ale w praktyce możliwe są także scenariusze pośrednie, kiedy również mamy do czynienia z „niepełną” dobrowolnością – np. opiekun wpierw nie zgodził się na publikację informacji o zaszczepieniu w swoim profilu i dlatego otrzymuje mniej zleceń bądź też zlecenia te są na warunkach mniej korzystnych aniżeli te przydzielane opiekunom, którzy taką zgodę wyrazili, wobec czego opiekun ten decyduje się jednak zgody udzielić. Powstaje pytanie, czy tak złożona zgoda ma wciąż charakter dobrowolny, skoro opiekun podjął taką decyzję pod przynajmniej częściowym wpływem okoliczności od niego niezależnych (otrzymywanie mniejszej liczby zleceń)?

Problem dobrowolności zgody w realiach działalności firm opiekuńczych pozostaje niestety nierozstrzygnięty. Nie ulega jednak wątpliwości, że przetwarzanie przez taką firmę informacji o zaszczepieniu współpracującego z nią opiekuna definitywnie wymaga podstawy prawnej, a taką w większości wypadków stanowić może zgoda osoby zaszczepionej. Zgoda powinna zostać jednak udzielona dobrowolnie.