Pytanie: Czy od mogę uzyskać oświadczenie dotyczące kontaktu z osobą zakażoną?

Otrzymałam pytanie: W związku z różnymi ograniczeniami podczas stanu epidemii, pojawiają się pytania dotyczące sposobów zapewniania bezpieczeństwa pracy stacjonarnej. W szczególności pytania osób, które mają wchodzić do biura o ich stan zdrowia lub kontakt w ostatnim czasie z osobami, które są chore.

Przyznam szczerze, że takie wątpliwości są jak najbardziej uzasadnione, ponieważ trudno tutaj znaleźć podstawę, która pozwalałaby na gromadzenie takiej informacji. Po pierwsze jest to informacja o stanie zdrowia. Nie zawsze dostajemy ją wprost, jednakże uzyskujemy to oświadczenie właśnie w celu oceny stanu zdrowia składającego oświadczenie, czyli tego czy potencjalnie, może być zarażony koronawirusem. Jeżeli mówimy o informacji o stanie zdrowia to wkracza z całą stanowczością art. 9 RODO, zgodnie z którym przetwarzanie takich danych jest zakazane z wyłączeniem warunków legalizujących wskazanych w ustępie drugim. Warto do niego czasami zerknąć, aby sprawdzić możliwości legalnego przetwarzania tego typu informacji.

Wśród przesłanek legalizujących przetwarzanie informacji o stanie zdrowia, jest w szczególności oparcie przetwarzania na przepisach powszechnie obowiązującego prawa. Na dzień dzisiejszy może to być indywidualna decyzja uprawnionego organu (w zależności od rodzaju podmiotu będzie to decyzja administracyjna wojewody, ministra zdrowia lub premiera) albo indywidualna decyzja sanepidu. Możliwość wydania takiej decyzji wynika ze spec ustawy covidowej, a także znowelizowanej ustawy o Państwowej Inspekcji Sanitarnej.

Jeżeli nie mamy takiej indywidualnej decyzji możemy sięgnąć jeszcze po zalecenia GIS-u, ale w nich próżno szukać informacji że możemy pozyskiwać takie oświadczenia, raczej GIS skłania się ku temu, że jeżeli już bardzo bardzo chcemy to weźmy zgodę. Ale wiecie, zgoda nie jest najlepszą przesłanką, bo jeżeli chcemy oprzeć przetwarzanie szczególnej kategorii danych, w ogóle jakichkolwiek danych na zgodzie, to ta zgoda musi być dobrowolna, świadoma, przede wszystkim ten ktoś może odmówić udzielenia takiej zgody i będzie mógł ją wycofać w dowolnym momencie. W związku z tym, moim zdaniem nie będzie to właściwa podstwa prawna tego działania. Chybaże, że ktoś bardzo chce przekazać te informacje administratorowi (z własnej woli), może to zrobić na podstawie zgody, ale wtedy wkracza celowość i adekwatność z artykułu 5 RODO, czyli w jakim celu administrator gromadzi te informacje, co z nimi zrobi. Powstaje też pytanie, czy faktycznie to, że ktoś oświadczy, że nie miał kontaktu z nikim zakażonym wystarczy, czy on jest świadomy tego swojego oświadczenia. Kto z Was z ręką na sercu jest w stanie powiedzieć, w ciągu ostatnich 14 dni nie miał kontaktu z nikim zakażonym? Ja bałabym się złożyć takie oświadczenie, bo ja jestem wręcz pewna, że ja miałam z kimś kontakt (w sklepie, na ulicy), co nie znaczy że jestem chora, więc moim zdaniem takie oświadczenie nic nie wnosi.

Nazywam się Sylwia Czub-Kiełczewska, jestem ekspertką ds. ochrony danych osobowych oraz certyfikowaną audytorką wewnętrzną ISO 27001 /TISAX. Pomagam organizacjom wdrożyć skuteczne systemy bezpieczeństwa informacji, przeprowadzam audyty zgodności z RODO / ISO27001. Jestem skuteczna, bo stosuję indywidualne podejście, oparte na zrozumieniu klienta oraz jego działalności. Potrzebujesz wsparcia? Napisz do mnie