Prezes Urzędu Ochrony Danych Osobowych przedstawił swoje stanowisko w sprawie szczególnych uprawnień Państwowej Inspekcji Sanitarnej (PIS) w trakcie walki z epidemia wirusa COVID-19 w zakresie przetwarzania danych osobowych. 

Uprawnienia te wynikają bezpośrednio zarówno z zapisów regulacji dotyczących działalności tej instytucji (ustawa z dnia 14 marca 1985 r. o Państwowej Inspekcji Sanitarnej), jak też przepisów regulujących jej uprawnienia i sposób funkcjonowania w warunkach zagrożenia epidemią, tj. :

• ustawy z dnia 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi;
• ustawy 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz.U. z 2020 r. poz. 374), tzw. specustawy.

Co istotnie, jak wskazuje UODO – wszelkie decyzje, wytyczne oraz zalecenia PIS wydawane różnym podmiotom na podstawie na podstawie art. 17 specustawy dotyczącej przeciwdziałania COVID-19 będą stanowić dla nich podstawę prawną do przetwarzania danych osobowych. 

Jak podkreślił Prezes UODO:  „Główny Inspektor Sanitarny, działając jako organ ustalający ogólne kierunki działania organów Państwowej Inspekcji Sanitarnej oraz koordynujący i nadzorujący działalność tych organów, rozpoznając pojawiające się problemy oraz konieczność uregulowania pewnych kwestii związanych ze zwalczaniem epidemii, posiada również przesłanki do wprowadzenia nowych regulacji. Analizując zatem potrzeby związane z przeciwdziałaniem COVID-19 Główny Inspektor Sanitarny może oddziaływać na inne podmioty oraz na zmiany w obowiązujących przepisach, a w przypadku sygnalizowanych mu problemów wskazywać na przyjmowanie właściwych rozwiązań.”

Realizacja zadań związanych z przeciwdziałaniem COVID-19 wymaga współpracy służb sanitarnych z wieloma organami i podmiotami publicznymi, np. jednostkami samorządu terytorialnego, strażami,  inspekcjami czy przedsiębiorcami. Zadania tych podmiotów, które są określone w ustawach regulujących ich działalność lub przepisach prawa, w obecnej sytuacji muszą być realizowane we współpracy z Państwową Inspekcją Sanitarną również z uwzględnieniem zmian wprowadzonych specustawą i wydanych na jej podstawie zaleceń lub decyzji.

UODO zaleca przy tym, by zarówno Główny Inspektor Sanitarny, jak i organy Państwowej Inspekcji korzystali przy tym ze wsparcia swoich inspektorów ochrony danych osobowych (IOD), tak aby podejmowane działania jednocześnie służyły zapobieganiu i zwalczaniu epidemii oraz nie naruszały jednocześnie prawa do prywatności i przepisów o ochronie danych osobowych. Rolą poszczególnych IOD, którzy powinni monitorować w PIS procesy związane z tworzeniem nowych regulacji, jest wskazywanie „właściwych i rozsądnych” rozwiązań, godzących zadania z zakresu zapobiegania, przeciwdziałania i zwalczania COVID-19 oraz właściwego przetwarzania danych osobowych. 

Podejmując wszelkie działania GIS, jak i organy Państwowej Inspekcji Sanitarnej powinny zatem pamiętać, by dane osobowe, które w związku z ich zadaniami są przetwarzane, były należycie chronione. Organy te zatem przy opracowywaniu nowych regulacji, wytycznych i zaleceń powinny kierować zasadami określonymi w RODO, a więc m.in. zasadą ograniczenia celu czy zasadą ograniczenia przechowywania danych. Prezes UODO zadeklarował również z swej strony pełną gotowość do współpracy oraz wsparcia w tym zakresie.

Szczególną uwagę trzeba zwrócić także na zakres udostępnianych informacji podczas wywiadów czy konferencji prasowych, dotyczących osób dotkniętych koronawirusem. Należy przy tym minimalizować zakres ujawnianych danych, np.  wskazywać na występowanie u tych osób chorób współistniejących, bez podawania jednak szczegółowych jednostek chorobowych.  Tą część stanowiska UODO należy odnieść do zakresu danych, jakie pracodawcy przekazują lub będą przekazywać osobom zatrudnionym na temat pozytywnych wyników testów na obecność koronawirusa dotyczących poszczególnych pracowników. Jak wskazuje UODO:

Podczas ujawniania informacji dotyczących osób fizycznych należy zminimalizować ich zakres danych osobowych. Przekazywanie do publicznej wiadomości jedynie danych niezbędnych pozwoli na zachowanie zasad przetwarzania danych osobowych, a także uchroni osoby, których dane dotyczą przed naruszeniem prywatności, utratą ich godności oraz wykluczeniem społecznym.

/…/ Informacje o osobach zarażonych i poddanych kwarantannie powinny się ograniczać tylko do takich, które pozwolą w sposób wystarczający informować opinię publiczną i unikać chaosu informacyjnego.

Pełny tekst stanowiska Prezesa UODO znajduje się w jego piśmie z marca 2020 skierowanym do Głównego Inspektora Sanitarnego (dołączonym do niniejszego komunikatu). Można się z nim także zapoznać pod linkiem: