Przekazywanie do Sanepidu danych niezaszczepionych
Przekazywanie do Sanepidu danych niezaszczepionych dzieci w związku z uchylaniem się od obowiązkowych szczepień. Z uwagi na fakt, iż temat związany z legalnością przekazywania do Sanepidu danych osób uchylających się od obowiązkowych szczepień wciąż powraca, najczęściej w kontekście przekazywania danych dzieci i ich rodziców, zapraszamy do zapoznania się z niniejszym tekstem.
Jak powinna zachować się przychodnia w takiej sytuacji
Utrzymująca się tendencja ...
Obserwujemy schemat działań, który zakłada, iż osoby zabiegające o nie udostępnianie danych osobowych np. ich dzieci, w związku z uchylaniem się od obowiązkowych szczepień, bezpośrednio notyfikują z wykorzystaniem skarg Urząd Ochrony Danych Osobowych, bądź też starają się posługiwać konstrukcjami przewidzianymi w RODO np. wniosek o ograniczenie przetwarzania danych. Naturalnie każda sprawa wymaga należytej uwagi i poświęcenia jej czasu, albowiem w rzeczywistości może okazać się, iż wniosek taki w części, jest zasadny. Z tego względu zachęcam do dalszej lektury opracowania.
Wyciąg z Decyzji UODO ...
Temat związany z przetwarzaniem polegającym na udostępnianiu wykazu danych osobowych osób dzieci uchylających się od szczepień, w tym danych osobowych osób ich opiekunów prawnych, osób odpowiedzialnych za realizację obowiązku szczepienia, był przedmiotem analizy także przez UODO. W tej sprawie zapadały rozstrzygnięcia.
Stan faktyczny opisany w skardze ...
cyt.:” (…) W treści skargi Skarżący wskazali, że Przychodnia udostępniła na rzecz PPIS ich dane osobowe bez zgody i podstawy prawnej oraz zażądali dostosowania operacji przetwarzania danych osobowych do przepisów o ochronie danych osobowych oraz „wprowadzenia zakazu przetwarzania wskazanych danych (…) w tym zakazu do przekazywania danych innym instytucjom, bez przesłanek prawnych”. (…)”.
Podstawy prawne przetwarzania ...
cyt.: „(…)W odniesieniu do tzw. „danych zwykłych” wskazać należy, że ich przetwarzanie regulowane jest w art. 6 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), zwane dalej: RODO. Zgodnie z tym przepisem, przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Natomiast przetwarzanie tzw. „danych wrażliwych” uregulowane jest w art. 9 RODO, który enumeratywnie określa sytuacje w których takie dane mogą być przetwarzane. Zgodnie z art. 9 RODO przetwarzanie danych wrażliwych jest dozwolone tylko jeśli spełniony jest jeden z warunków art. 9 ust. 2 RODO. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Wskazać również należy, że zgodnie z art. 6 ust. 1 RODO, przetwarzanie „danych zwykłych” może nastąpić niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) i jest dopuszczalne również między innymi wtedy, gdy jest to niezbędne dla wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO). Natomiast „dane szczególne” mogą być przetwarzane między innymi do celów profilaktyki zdrowotnej (…) na podstawie prawa Unii lub prawa państwa członkowskiego z zastrzeżeniami ust. 3 (lit. h) oraz gdy przetwarzanie jest niezbędne w związku z interesem publicznym w dziedzinie zdrowia publicznego na podstawie prawa Unii Europejskiej lub państwa członkowskiego (lit. i).(…)”.
art. 6 ust. 1 lit c) RODO w związku z art. 9 ust. 2 lit. h) oraz i) RODO
Podstawa dla obowiązku szczepień ...
cyt.: „(…)Zgodnie z art. 5 ust. 1 pkt 1 ppkt b ustawy z dnia 5 grudnia 2008 o zabieganiu oraz zwalczaniu zakażenia i chorób zakaźnych u ludzi (Dz. U. 2008 Nr 234 poz. 1570), dalej: u.z.z., osoby przebywające na terytorium Rzeczpospolitej Polskiej są zobowiązane na zasadach określonych w tej ustawie do poddawania się szczepieniom ochronnym. W przypadku osoby bez pełnej zdolności do czynności prawnych, odpowiedzialność za spełnienie tego obowiązku ponosi osoba, która sprawuje prawną pieczę lub faktyczną opiekę nad osobą małoletnią lub bezradną, zgodnie z art. 3 ust. 1 pkt 1 ustawy z dnia 6 listopada 2008 r. o Prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. z 2017 r. poz. 1318 z późń. zm.). Co więcej, art. 5 ust. 1 pkt 4 u.z.z. zobowiązuje osoby przebywające na terytorium Rzeczpospolitej Polskiej do udzielania danych osobowych i informacji między innymi organom Państwowej Inspekcji Sanitarnej, które są niezbędne do prowadzenia nadzoru epidemiologicznego nad zakażeniami i chorobami zakaźnymi, zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych oraz informacji niezbędnych do realizacji obowiązków wymienionych w art. 5 ust. 1 pkt 1-3 u.z.z.(…)”.
Obowiązkowe sprawozdania ...
cyt.: „(…)Zgodnie z art. 17 ust. 8 u.z.z. osoby przeprowadzające szczepienia ochronne prowadzą dokumentację medyczną dotyczącą obowiązkowych szczepień, przechowują karty uodpornienia, dokonują wpisów potwierdzających wykonanie szczepienia, sporządzają sprawozdania z przeprowadzonych szczepień ochronnych oraz sporządzają sprawozdania ze stanu zaszczepienia osób objętych profilaktyczną opieka zdrowotna, które przekazywane są do odpowiedniego Państwowego Powiatowego Inspektora Sanitarnego. Artykuł 17 ust. 10 u.z.z. wskazuje, iż wzór sprawozdania określa Rozporządzenie Ministra Zdrowia z dnia 18 sierpnia 2011 r. w sprawie obowiązkowych szczepień ochronnych (t.j. Dz. U. z 2018 r. poz. 753), zwane dalej: r.o.s.o., które wymaga umieszczenia w nim wykazu osób uchylających się od szczepień ochronnych (załącznik nr 4, dział drugi r.o.s.o.).(…)’.
cyt.: „(…)Wskazać bowiem należy, że przestrzeganie ustawowego obowiązku poddania się szczepieniom ochronnym przeciw chorobom zakaźnym wynikającego z art. 5 ust. 1 pkt 1 ppkt b u.z.z., jak również udzielenie informacji dotyczących jego realizacji zabezpieczone zostało przymusem administracyjnym (tak również: Wojewódzki Sąd Administracyjny w Kielcach wyroku z dnia 21 lutego 2013 r. wydanym w sprawie o sygn. akt II SA/Ke 7/13). Zgodnie bowiem z art. 3 § 1 w zw. z art. 2 §1 pkt 10 ustawy z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji (Dz. U. 2014 r. poz. 1619 ze zm.), dalej: u.p.e.a. lub ustawą o postępowaniu egzekucyjnym, egzekucję administracyjną stosuje się do obowiązków o charakterze niepieniężnym pozostających we właściwości organów administracji rządowej i samorządu terytorialnego lub przekazanych do egzekucji administracyjnej na podstawie szczególnego przepisu. W rozumieniu art. 1a pkt 13 u.p.e.a. wierzycielem jest podmiot uprawniony do żądania wykonania obowiązku lub jego zabezpieczenia w administracyjnym postępowaniu egzekucyjnym lub zabezpieczającym (tu: PPIS), natomiast zgodnie z art. 5 §1 pkt 2 u.p.e.a. uprawnionym do żądania wykonania w drodze egzekucji administracyjnej obowiązku określonego w art. 2 §1 pkt 10 u.p.e.a. jest organ lub instytucja bezpośrednio zainteresowana w wykonaniu przez zobowiązanego obowiązku albo powołana do czuwania nad wykonaniem obowiązku (por. również wyrok Naczelnego Sądu Administracyjnego z dnia 12 czerwca 2014 r. wydany w sprawie o sygn. akt II OSK 1312/13; wyrok Wojewódzkiego Sądu Administracyjnego w Bydgoszczy z dnia 9 czerwca 2015 r. wydany w sprawie o sygn. akt II SA/Bd 423/15). Uznać zatem należy, że sprawozdanie sporządzane na podstawie art. 17 ust. 8 pkt 2 u.z.z. powinno zawierać dane niezbędne do wysłania przez odpowiedni oddział Państwowej Inspekcji Sanitarnej upomnienia wzywającego do wykonania obowiązku szczepiennego oraz podejmowania dalszych czynności egzekucyjnych w przypadku niewykonania obowiązku. Podkreślić bowiem należy, że dane pozyskiwane przez PPIS jak i mu udostępniane muszą być również wystarczające do prowadzenia skutecznej egzekucji obowiązku szczepień, w ramach której wierzyciel (tu: PPIS) sporządza tytuł wykonawczy. Zakres tych danych regulowany jest przez art. 27 ustawy o postępowaniu egzekucyjnym. Zgodnie z art. 27 § 1 pkt 2 i 3 u.p.e.a., tytuł wykonawczy powinien zawierać imię, nazwisko, adres zamieszkania, numer PESEL zobowiązanego oraz treść podlegającego egzekucji obowiązku.(…)”.
UODO stwierdził ...
Przekazywanie do Sanepidu danych niezaszczepionych
cyt.:”(…) Odnosząc się do wspomnianych wcześniej żądań Skarżących, wskazać należy, że udostepnienie danych w zakresie informacji o stanie zdrowia dziecka Skarżących przez Przychodnię do PPIS miało oparcie w art. 9 ust. 2 lit h oraz i RODO w zakresie informacji o stanie zdrowia, a w zakresie pozostałych danych w art. 6 ust. 1 lit. c RODO, wobec czego w tym zakresie danych przychylenie się do żądań Skarżących należy uznać za bezzasadne. (…)”.
Skarga zawierała wniosek o przeprowadzenie kontroli ...
Podsumowanie ...
Decyzja UODO z dnia 27 marca czerwca 2019r. [ZSZZS.440.60.2018]
Decyzja UODO z dnia 17 czerwca 2019r. [ZSZZS.440.50.2019]
