Osoby zaszczepione nie wliczają się do limitów osób, gdyż rząd uznał, że nie stwarzają one zagrożenia. Teoretycznie można by więc zrobić koncert nawet na 10 tys. osób, a nie na 250, bo taki limit obowiązuje od soboty. W praktyce jednak może to być trudne. Nie wolno bowiem żądać od klientów paszportu covidowego.
„Ponieważ informacje o zaszczepieniu są danymi dotyczącymi zdrowia, to stanowią szczególną kategorię danych osobowych, o której mowa w art. 9 ust. 1 RODO. Ich przetwarzanie jest objęte ściślejszą ochroną i dopuszczalne oraz legalne po spełnieniu przynajmniej jednej z przesłanek określonych w ustępie 2 powołanego przepisu” – czytamy w ubiegłotygodniowym komunikacje UODO.
Przetwarzanie tych danych jest dopuszczalne „ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi”, ale musi wynikać z prawa unijnego lub krajowego, które zawiera „odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową”.
W Polsce zasady dotyczące limitów wynikają z rozporządzenia Rady Ministrów w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii (Dz.U. z 2021 r. poz. 861 ze zm.). Problem w tym, że jego przepisy nie przewidują możliwości żądania dowodu zaszczepienia ani wspomnianych konkretnych środków ochrony praw.
„W tej sytuacji, tylko gdy zainteresowana osoba wyrazi zgodę na przedłożenie informacji o zaszczepieniu, pozyskanie takich informacji może zostać uznane za uprawnione. Co istotne, zachowane muszą być przy tym warunki pozyskania zgody określone w art. 4 pkt 11 i art. 7 RODO. Oznacza to, że zgoda musi być dobrowolna, świadoma, konkretna – wyrażona w formie jednoznacznego okazania woli i możliwa do odwołania w każdym czasie” – poucza UODO.
Nawet wtedy nie wolno w żaden sposób utrwalać okazanego paszportu i przechowywać takich danych. To zaś może być problematyczne dla przedsiębiorców, bo w razie kontroli nie będą mogli udowodnić, że nadmiarowa liczba klientów czy uczestników imprezy rzeczywiście jest zaszczepiona.
Ponieważ informacje o zaszczepieniu są danymi dotyczącymi zdrowia, to stanowią szczególną kategorię danych osobowych, o której mowa w art. 9 ust. 1 RODO