Czy basen lub aquapark ma prawo prosić o ksero karty ciąży lub orzeczenia niepełnosprawności na potrzeby zniżki?

Jedna z moich czytelniczek chciała skorzystać z usług aquaparku. Przeglądając cennik dowiedziała się, że może skorzystać ze zniżki dla kobiet w ciąży. Jednak dużą wątpliwość wzbudziły od niej wymagania, jakie trzeba spełnić, aby otrzymać zniżkę. Postanowiła napisać do mnie w tej sprawie:

z opisu wychodzi mi, że kobiety w ciąży otrzymają zniżkę, po pozostawieniu w kasie parku kserokopii karty ciąży. W karcie ciąży są dane dotyczące daty urodzenia, wagi, ciśnienia i np wynik testu na HIV…

Postanowiłam sprawdzić o co chodzi i poprosić aquapark o wyjaśnienie.

Cennik wygląda następująco (dostępny na stronie energylandia.pl/cennik/cennik-indywidualny/ ) zdjęcie z dnia 19-08-2016 r.

Zadałam pytanie rzecznikowi prasowemu, Panu Krystianowi Kojderowi (28 lipca 2016 r.):

Szanowni Państwo,

uprzejmie proszę o złożenie wyjaśnień w przedmiotowej sprawie:

1. Jaką mają Państwo podstawę prawną do zbierania kserokopii dokumentów potwierdzających stopień niepełnosprawności oraz informacje o stanie zdrowia (tzn. kartę ciąży)?

2. Czy zgodnie z art. 40 ustawy o ochronie danych osobowych, otrzymaliście Państwo zgodę Generalnego Inspektora Ochrony Danych Osobowych na przetwarzanie wyżej wymienionych danych wrażliwych?

3. W jaki sposób są chronione dane wrażliwe Państwa klientów, którzy składają w kasie kserokopie dokumentów?

Otrzymałam następującą odpowiedź (1 sierpnia 2016 r.):

Szanowna Pani,
Uprzejmie informuję, iż możliwość otrzymania przez daną osobę biletu zniżkowego jest uwarunkowana przedstawieniem dokumentu stwierdzającego uprawnienie do zniżki.
Wypada wyjaśnić, iż zgoda jest przez taką osobę wyrażana w formie pisemnej – zgodnie z ustawą o ochronie danych osobowych.
Odnosząc się do kwestii podniesionej przez Panią adekwatności przetwarzania danych pragnę wyjaśnić następujące. Przetwarzane są wyłącznie takie dane jak: imię i nazwisko, adres zamieszkania, data urodzenia, informacja potwierdzająca niepełnosprawność w przypadku biletu zniżkowego dla osób niepełnosprawnych oraz ewentualnie imię i nazwisko opiekuna osoby niepełnosprawnej, pozostałe dane są zaczerniane.
W świetle powyższego nie dochodzi do nadmiernej ingerencji w prywatność osób ubiegających się o zniżkę, a ww. dane z jednej strony pozwalają na przyznanie zniżki uprawnionej osobie, a z drugiej strony chronią przed nadużyciami ze strony klientów lub osób pracujących na kasie polegającymi na skorzystaniu ze zniżki przez osoby nieuprawnione.
Niemniej pragnę Panią zapewnić, iż obecnie pracujemy nad nowymi – wewnętrznymi regulacjami w zakresie ochrony danych osobowych klientów Rodzinnego Parku Rozrywki Energylandia w Zatorze.

Przyznam, że odpowiedź nie usatysfakcjonowała mnie, więc postanowiłam poprosić o kolejne wyjaśnienia (1 sierpnia 2016 r.):

Szanowny Panie,

dziękuję za informację i jednocześnie bardzo proszę o odniesienie się do kwestii potwierdzenia ciąży w celu otrzymania zniżki.

Na podstawie jakiej procedury jest przyznawana zniżka? Czy pracownik ogląda kartę (jeśli tak, to które strony), czy bierze kserokopię?

Czy mogłabym otrzymać kopię formularza zgody na przetwarzanie danych osobowych, którą podpisuje klient?

Nie odniósł się Pan do kwestii legalności przetwarzania danych wrażliwych. Jeżeli podstawą prawną jest dla Państwa zgoda, oznacza to, że powinniście byli Państwo zgłosić fakt przetwarzania danych wrażliwych do rejestru GIODO i otrzymać jego zgodę na takie czynności przed przystąpieniem do ich przetwarzania. Bardzo proszę o informację w tej sprawie.

Rzecznik prasowy chyba doszedł już do wniosku, że nie ma ochoty dłużej składać wyjaśnień:

Szanowna Pani,
Procedurami, drukami oraz regulaminem zajmuje się nasze Biuro, do którego przesyłam Pani kolejne pytania.

Pytanie zostało przekierowane do „biura: 1 sierpnia 2016 roku, do dzisiaj, pomimo ponawiania prośby, nie otrzymałam odpowiedzi.

Pozostaje mi złożyć skargę do GIODO (jestem gotowa wydać te 10 zł oraz ponieść koszt znaczka, ponieważ sprawa wydaje mi się bulwersująca). Po pierwsze pomimo deklaracji, że jest zbierana zgoda oraz są wdrożone procedury, nie otrzymałam szczegółowych wyjaśnień w tym zakresie (nie wysłano mi kopii zgody, ani regulaminu). Stwierdzono, że dane są zaczerniane, ale nie wiadomo, jak jest procedura, czy na przykład następuje to od razu po zrobieniu kopii. Inną kwestią jest to, czy konieczne jest kserowanie tego dokumentu. Czy nie wystarczyłoby spisać danych osobowych oraz dodać informacji, że klientowi przysługuje zniżka ze względu na (wiek, niepełnosprawność, stan zdrowia)? Czy klient, który ukończył 65 rok życia, rzeczywiście musi składać kopię dowodu osobistego, potwierdzającego wiek? Czy nie wystarczyłoby, żeby za każdym razem okazywał dowód albo został wpisany do bazy (lub na jakąś listę)? Jaki jest cel kopiowania orzeczenia o niepełnosprawności? Jest tam dużo więcej informacji, niż tylko te niezbędne do przyznania zniżki. Podobnie argumentowała moja czytelniczka, która czuła się urażona faktem, że pracownik chciałby otrzymać wgląd w całą kartę ciąży i jeszcze ją skopiować. Uważa, że to narusza jej prawo do prywatności.

Po kolei:

Stanowisko GIODO w kwestii kserowania dowodów tożsamości od lat jest jednolite – jest on przeciwny praktyce i walczy z nią:
www.giodo.gov.pl/329/id_art/1534/j/pl/
www.giodo.gov.pl/1520016/id_art/6471/j/pl/
www.giodo.gov.pl/332/id_art/2839/j/pl/
Kwestia legalności zbierania wrażliwych danych osobowych na podstawie zgody. Po pierwsze, mimo próśb nie uzyskałam formularza, więc mam wątpliwości, czy rzeczywiście jest stosowana taka praktyka, jednak zakładam, że tak jest. Zgodnie z art. 27 ust. 2 pkt 1:
Przetwarzanie danych wrażliwych jest jednak dopuszczalne, jeżeli osoba, której dane dotyczą, wyrazi na to zgodę na piśmie, chyba że chodzi o usunięcie dotyczących jej danych.Czyli można uznać, że wyjaśnienia rzecznika prasowego jest ok. Jednakże należy pamiętać, że nie wystarczy zebrać zgody na przetwarzanie danych wrażliwych. Absolutnie konieczne jest jeszcze zarejestrowanie zbioru danych wrażliwych w rejestrze GIODO (czyli tak naprawdę uzyskanie zgody Generalnego Inspektora na przetwarzanie danych wrażliwych):
Art. 46. 2. Administrator danych (wrażliwych), o których mowa w art. 27 ust. 1, może rozpocząć ich przetwarzanie w zbiorze danych po zarejestrowaniu zbioru, chyba że ustawa zwalnia go z obowiązku zgłoszenia zbioru do rejestracji.Ponieważ podstawą przetwarzania danych wrażliwych jest zgoda osoby, której dane dotyczą, uznać należy, że ten administrator danych nie jest zwolniony z obowiązku zgłoszenia zbioru danych przed rozpoczęciem jego przetwarzania. Dokonałam sprawdzenia w rejestrze GIODO:

Ponieważ jesteście nieocenieni i błyskawicznie reagujecie na moje wpisy, przytaczam też ironiczną i trafną uwagę od innej czytelniczki (Marty Rejner):

Ciekawe czy gdy jest widoczna ciąża to też biorą kopię historii przebiegu ciąży!? Na przykład w prawie drogowym jest tak, że jeżeli kobieta jest w widocznej ciąży to nie musi się zapinać pasami i żadnych dodatkowych zaświadczeń nie potrzeba, ewentualnie policjant może poprosić tylko do wglądu.

Art. 39 ust. 2 pkt 2 Ustawy z dnia 20 czerwca 1997 roku „Prawo o ruchu drogowym”: Obowiązek korzystania z pasów bezpieczeństwa nie dotyczy kobiety o widocznej ciąży.

Spodobał Ci się ten wpis?