Biuletyn Informacji Publicznej RPO

• RPO skarży do Wojewódzkiego Sądu Administracyjnego w Warszawie postanowienie Prezesa UODO, by nie zajmować się problemem, jak dane o zdrowiu aktywistki wyciekły z państwowych systemów do TVP.
• Tu chodzi o bezpieczeństwo danych medycznych każdego obywatela. UODO ma obowiązek sprawdzać, czy te dane są odpowiednio chronione.
• Dlatego sprawa ta nie jest indywidualna – podkreśla RPO. Od tego, jak państwo będzie reagować na wyciek danych medycznych ze swoich systemów, zależy zaufanie obywateli do metod, jakimi rząd zwalcza pandemię. Już teraz RPO dostaje wiele skarg świadczących o tym, że zaufanie to spada.

Po tym, jak TVP SA ujawniła wynik testu Marty Lempart, RPO wystąpił do Prezesa Urzędu Ochrony Danych Osobowych o interwencję. Prezes odmówił, a że jego stanowisko ma formę postanowienia, RPO składa teraz skargę na tę decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie.

RPO uważa, że postanowienie Prezesa UODO narusza przepisy kodeksu postępowania administracyjnego oraz europejskiego rozporządzenia RODO. Dlatego RPO uważa, że postanowienie PUODO powinno być uchylone.

16 grudnia 2020 r. TVP ujawniła, że test Marty Lempart na koronawirusa jest pozytywny. 22 grudnia RPO zwrócił się do Prezesa Urzędu Ochrony Danych Osobowych z żądaniem wszczęcia postępowania administracyjnego w przedmiocie naruszenia przepisów o ochronie danych osobowych. W piśmie procesowym do WSA Rzecznik Praw Obywatelskich wyjaśnia, że 19 stycznia dostał postanowienie Prezesa UODO o odmowie. Jako podstawa zostały wskazane art. 61a § 1 k.p.a. w zw. z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.

Prezes UODO uznał – przypomina RPO -  że takie postępowanie mógłby wszcząć na wniosek samej zainteresowanej. Mógłby teoretycznie zająć się sprawą i poprosić Martę Lempart o zgodę, ale nie było to jego zdaniem możliwe (RPO zauważa jednak w piśmie procesowym, że UODO nie próbował w żaden sposób skontaktować się z aktywistką). Prezes stwierdził też, że nie ma obowiązku zajmować się sprawą na wniosek RPO, choć – jak zauważa RPO - Rzecznik ma właśnie takie uprawnienia, by działać w imieniu obywateli.

Rzecznik Praw Obywatelskich argumentuje, że sprawa ma charakter nie tylko jednostkowy. Skoro instytucje do tego powołane nie zamierzają wyjaśniać, jak informacje dotyczące zdrowia osoby krytycznej wobec władz pojawiły się w rządowych mediach, to każdy może zadać sobie pytanie, jak bezpieczne są jego dane przetwarzane w związku z działaniami państwa w dobie pandemii. Co więcej, pojawianie się takich przypadków może przesądzić o wzbudzeniu nieufności wobec rozwijanych obecnie projektów skierowanych do obywateli w sektorze ochrony zdrowia, takich jak Internetowe Konto Pacjenta czy e-recepta, jak i całego systemu o informacji w ochronie zdrowia (Już teraz zastrzeżenia co do bezpieczeństwa tych rozwiązań są zgłaszane Rzecznikowi).

Rzecznik Praw Obywatelskich podkreślił również, że wątpliwości co do bezpieczeństwa przetwarzania danych dotyczących zdrowia w związku z pandemią COVID-19 mogą wpłynąć na pogłębianie się niechęci do poddawania się testom diagnostycznym w kierunku SARS-CoV-2.

Odnosząc się z kolei do twierdzenia Prezesa UODO, że wszczęcie postępowania w tej sprawie jest niedopuszczalne ze względu na to, że działalności dziennikarskiej nie stosuje się przepisów RODO, RPO wyjaśnia, że w sprawie nie chodzi o ocenę działania mediów. Prezes UODO powinien był zbadać legalności przekazania takich danych dziennikarzom (mediom) przez administratora danych osobowych. Dane osób testowanych na na covid są przetwarzane m.in. w systemie teleinformatycznym udostępnionym przez jednostkę podległą Ministrowi Zdrowia zgodnie z §2 ust. 5 rozporządzenia Rady Ministrów z dnia 21 grudnia 2020 r. w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii (Dz. U. poz. 2316 ze zm.). Na podstawie § 2 ust. 8 tego rozporządzenia dane te są przetwarzane przez szeroki katalog podmiotów. Analogiczne rozwiązania były przewidziane w poprzednich aktach prawnych regulujących tę materię (m.in. rozporządzenie Rady Ministrów z dnia 1 grudnia 2020 r.; Dz. U. poz. 2132).

VII.501.305.2020