RODO w cieniu pandemii.

Autor: Maciej Kopeć

Pandemia wywróciła do góry nogami całą dotychczasową rzeczywistość. Strach przed nieznanym, próby dostosowania się do dynamicznie zmieniających się rządowych obostrzeń i niepewność biznesowa spowodowały, że w imię walki z COVID-19 poświęcono prywatność. A rząd, niestety, nie wprowadził żadnych precyzyjnych przepisów, które pozwalałyby na bezpieczne funkcjonowanie w tej nowej rzeczywistości danych osobowych. Podczas pierwszej fali pandemii wiele branż (np. hotele, beauty, lotnicza) postanowiło wprowadzić oświadczenia COVID-owe. Tymczasem nikt przecież nie zbierał oświadczeń od klientów sklepów, restauracji, wiernych odwiedzających kościoły, czy pasażerów kolei lub autobusów. Oświadczenia, w swoim zamyśle, miały umożliwić Sanepidowi w przypadku zlokalizowania ogniska epidemii dotarcie do wszystkich, którzy mogli zetknąć się z wirusem. Oświadczenia z awierają dane w rażliwe o stanie zdrowia. I podlegają szczególnej ochronie A przecież wszystkie te informacje można uzyskać w inny sposób. Hotel prowadzi ewidencję wszystkich gości. Fryzjerka, kosmetyczka czy lekarz, umawiając kogoś na wizytę posiadają informacje, zwykle wraz z kontaktowym numerem telefonu do osoby korzystającej z ich usług. Branża lotnicza również nie ma problemu z ustaleniem danych pasażera. Tak więc w przypadku zlokalizowania ogniska choroby, ustalenie osób, które mogły mieć styczność z wirusem jest stosunkowo proste i nie wymaga zbierania specjalnych oświadczeń o stanie zdrowia. Jedynym efektem wprowadzenia oświadczeń o stanie zdrowia były walające się po śmietnikach kartki, zawierające dane osobowe (imię, nazwisko, telefon, adres, czasem e-mail). Nikt też nie potrafił ustalić czasu przechowywania tych oświadczeń. Próbowałem ten temat zgłębić na prośbę kilku hoteli. Po wielu telefonach do Sanepidu w jednej z wojewódzkich stacji ustaliłem ustnie z kierowniczką, że okres retencji (przechowywania danych), może wynosić 30 dni (14 dni na możliwe pojawienie się objawów i 14 na wszelki wypadek). Dlaczego tak rozpisuję się na temat zbieranych oświadczeń? Ponieważ wszystkie te oświadczenia zawierają, prócz podstawowych danych osobowych, dane o stanie zdrowia (czyli dane szczególnej kategorii), które zgodnie z RODO należy też poddać szczególnej ochronie. Tymczasem zbierając oświadczenia prawie wszyscy zapomnieli o istnieniu RODO, o obowiązku informacyjnym, o minimalizacji zbierania danych, o tym, że jest to nowy element czynności przetwarzania danych, który należy umieścić w rejestrze czynności przetwarzania danych (rejestr jest wymagany przez UODO podczas kontroli). Świadczenie „usług medycznych” wymaga dokumentacji medycznej. I jednego VAT -u w pakiecie Podczas drugiej fali kreatywność hotelarzy mierzyła się z nieudolnością rządzących w zakresie tworzenia przepisów. I tak zamiast noclegu można było wynająć parking przed hotelem, otrzymując pokój gratis. W końcu rząd tak przykręcił śrubę, że podczas trzeciej fali jedyną furtką na przyjęcie gości stały się hotele świadczące usługi medyczne. Planowałem nawet napisać na ten temat artykuł, ale [...]