Zbyt szeroki dostęp do danych osób zaszczepionych

Rzecznik Praw Obywatelskich zwrócił się do prezesa Urzędu Ochrony Danych Osobowych Jana Nowaka o analizę przepisów dotyczących dostępu do danych osób zaszczepionych. Przepisy nie dają bowiem obywatelom jasnych informacji o tym, co dzieje się z ich danymi, jakim organom i służbom są udostępnianie oraz tego, że mogą je one modyfikować - zaznacza RPO. W tym kontekście zaniepokojenie Rzecznika wzbudziły doniesienia mediów o ujawnieniu informacji o fakcie zaszczepienia - bądź nie - osób publicznych.

Zamknięty katalog podmiotów

Rzecznik Praw Obywatelskich zaznaczył, że katalog osób, które mają dostęp do takich informacji, jest zamknięty i nie znajdują się w nim podmioty medialne. Tak wynika z przepisów wykonawczych do ustawy z 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi. Do wycieku danych doszło przez brak odpowiednich zabezpieczeń w systemach teleinformatycznych, co w opinii Rzecznika nie zmienia faktu naruszenia poufności danych. Wobec zaistniałej sytuacji RPO podał w wątpliwość konieczność udostępniania informacji o szczepieniu tak wielu podmiotom. Przywołał wyrok Trybunału Konstytucyjnego, w którym TK wskazywał, że ograniczenia praw i wolności mogą być wprowadzane tylko wtedy, kiedy jest to niezbędne. Rzecznik poprosił więc prezesa UODO, żeby przeanalizował, czy wszystkie podmioty, które aktualnie posiadają dane o szczepieniach, powinny je posiadać. 

Zgodnie z rozporządzeniem Rady Ministrów z 6 maja 2021 r. w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z występowaniem stanu epidemii, dane osób, które nie poddały się szczepieniu przeciwko COVID-19 (imię i nazwisko, nr PESEL i nr telefonu) mogą być udostępniane z Elektronicznej Platformy Gromadzenia, Analizy i Udostępniania Zasobów Cyfrowych o Zdarzeniach Medycznych - w celu informowania osób, których dotyczą te dane, o możliwości poddania się szczepieniu.

Z kolei dane osób, które poddały się szczepieniu (m.in. nazwisko i imię, data urodzenia, wiek, płeć, adres, nr PESEL, dane kontaktowe oraz szczegóły zaszczepienia) są – w myśl tego rozporządzenia -  przetwarzane w Elektronicznej Platformie. Mogą być przekazywane do systemu teleinformatycznego udostępnionego przez jednostkę podległą ministrowi ds. zdrowia właściwą w zakresie systemów informacyjnych ochrony zdrowia w celu zapewnienia podmiotom mającym dostęp do tego systemu możliwości weryfikowania posiadania przez daną osobę statusu osoby zaszczepionej przeciwko COVID-19.

Dane te  udostępniane są:

1)    organom Państwowej Inspekcji Sanitarnej, 
2)    Narodowemu Funduszowi Zdrowia, 
3)    Zakładowi Ubezpieczeń Społecznych, 
4)    Kasie Rolniczego Ubezpieczenia Społecznego, 
5)    Narodowemu Instytutowi Zdrowia Publicznego PZH - Państwowemu Instytutowi Badawczemu, 
6)    Narodowemu Instytutowi Kardiologii Stefana Kardynała Wyszyńskiego - Państwowemu Instytutowi Badawczemu w Warszawie, 
7)    wojewodom, 
8)    Policji, 
9)    Straży Granicznej, 
10)    Agencji Bezpieczeństwa Wewnętrznego, 
11)    Centralnemu Biuru Antykorupcyjnemu, 
12)    Krajowej Administracji Skarbowej, 
13)    Państwowej Straży Pożarnej, 
14)    Służbie Ochrony Państwa, 
15)    Służbie Kontrwywiadu Wojskowego, 
16)    Żandarmerii Wojskowej, 
17)    Wojskom Obrony Terytorialnej, 
18)    Systemowi Wspomagania Dowodzenia Państwowego Ratownictwa Medycznego, 
19)    ministrowi właściwemu do spraw informatyzacji, 
20)    operatorowi pocztowemu obowiązanemu do świadczenia usług powszechnych

- w celu realizacji ich zadań ustawowych lub statutowych lub zadań związanych z prowadzeniem działań dotyczących przeciwdziałania epidemii wywołanej zakażeniami wirusem SARS-CoV-2. Ponadto również Narodowy Fundusz Zdrowia może udostępnić dane osoby poddanej szczepieniu świadczeniodawcy podstawowej opieki zdrowotnej w celu realizacji przez świadczeniodawcę ustawowych zadań oraz wydawania zaświadczenia potwierdzającego zaszczepienie.

Dziennikarze nie są zatem upoważnieni do dostępu do danych wrażliwych, a za takie należy uznać informację o byciu zaszczepionym bądź nie. Trudno winić dziennikarzy, którzy wykorzystując brak odpowiednich zabezpieczeń w systemach teleinformatycznych, dotarli do takich informacji. Należy założyć, że czynili to w interesie publicznym - by skonfrontować deklaracje osób publicznych co do akcji szczepień z ich decyzjami. Jak wynika z artykułów, dziennikarze poinformowali o tym Ministerstwo Zdrowia, łącznie z  tym, jak udało im się dotrzeć do takich informacji.  Nie zmienia to jednak faktu naruszenia poufności danych. 

RPO wystąpił do prezesa UODO także z pytaniem, czy urząd analizował rozporządzenie rządu, które jest podstawą prawną do przetwarzania przez niektóre podmioty danych osób zaszczepionych oraz niezaszczepionych. Jak pisze Rzecznik, przed wprowadzeniem rozporządzenie nie przeprowadzono konsultacji publicznych. Nie było ono również opiniowane przez komisję prawniczą. Rzecznik prosi UODO o “poinformowanie o dokonywanych przez PUODO analizach rozporządzenia będącego przedmiotem tego wystąpienia, zwłaszcza ich kolejnych zmian co do przetwarzania danych dotyczących zdrowia, jak też przetwarzania ich przez poszczególne podmioty”. Kontrola nad przetwarzaniem tych informacji jest szczególnie ważna, ponieważ z danych, w których posiadanie weszli dziennikarze, można było zidentyfikować miejsce zamieszkania danej osoby, o ile mieszka ona w małej miejscowości. Rzecznik podkreślił, że taka sytuacja “budzi poważne zastrzeżenia co do bezpieczeństwa danych przetwarzanych przez organy państwa w systemach teleinformatycznych.”

Jak pisała w ubiegłym tygodniu Gazeta Wyborcza, 800 pracowników sanepidu, którzy sprawdzili w bazie EWP, jakim cudem Jacek Kurski, mimo dodatniego wyniku testu PCR, został zwolniony z izolacji, "musi złożyć wyjaśnienia na piśmie. A ich szefowie mają ich przykładnie ukarać."

Informację o tym wystąpieniu RPO przekazał premierowi Mateuszowi Morawieckiemu i ministrowi zdrowia Adamowi Niedzielskiemu.

Problemy studentów uczelni medycznych

Rzecznik zwrócił się także do Ministra Zdrowia z wnioskiem o przygotowanie odpowiednich przepisów w zakresie możliwości weryfikacji szczepień studentów kierunków medycznych. Do 1 marca wszyscy studenci kierunków medycznych powinni być zaszczepieni przeciw  COVID-19, niektóre uczelnie uzależniają od tego kontynuowanie studiów.

Według Rzecznika Praw Obywatelskich jest to ograniczenie prawa do nauki, ponieważ przepisy nie przewidują takiej sankcji za niepoddanie się obowiązkowym szczepieniom. Dodatkowo obowiązek przekazania uczelni dowodu szczepienia może ograniczać prawo do ochrony prywatności. RPO zwracał uwagę na problem ograniczania praw niezaszczepionych studentów także przed wprowadzeniem obowiązku szczepień dla medyków. Tym bardziej, że student, który chce kontynuować naukę, w praktyce nie ma innego wyjścia, jak ujawnienie informacji o pełnym zaszczepieniu.

RPO wielokrotnie podkreślał, że ograniczenie konstytucyjnych praw i wolności może nastąpić wyłącznie na podstawie ustawy. Takie ograniczenie ponadto nie może naruszać istoty wolności lub prawa i musi służyć ochronie określonych konstytucyjnie wartości. W końcu, takie ograniczenie musi być też proporcjonalne

Polecamy także: