Międzyresortowa wymiana danych na temat szczepień niezgodna z prawem

MEiN dostało z MZ informacje na temat szczepień nauczycieli akademickich, studentów i doktorantów. Prezes UODO udzielił ministrom upomnienia w związku z naruszeniem przepisów unijnego rozporządzenia RODO.

26 stycznia 2022 r. rzecznik praw obywatelskich wystąpił do ministra edukacji i nauki o wyjaśnienie okoliczności uzyskania przez ministra adekwatnego do spraw szkolnictwa wyższego i nauki szczegółowych danych nauczycieli akademickich, studentów oraz doktorantów uczelni wraz z informacją o byciu zaszczepionym.

Pismo wiązało się z obawami, iż minister do spraw szkolnictwa wyższego i nauki mógł mieć dostęp do szczegółowych danych zdrowotnych. Są to dane o charakterze wrażliwym, co do których konstytucja przewiduje najwyższy stopień ochrony. Żaden zaś akt prawny nie upoważnia ministra edukacji i nauki do dostępu do takich danych. Mogło zatem dojść do naruszenia konstytucyjnej zasady legalizmu, zgodnie z którą organy władzy działają na podstawie i w granicach prawa.

Minister Przemysław Czarnek odpisał 10 lutego 2022 r., iż na żadnym etapie weryfikacji poziomu zaszczepienia członków wspólnot uczelni resort nie miał dostępu do szczegółowych danych o charakterze wrażliwym, pozwalających zidentyfikować poszczególne osoby. Resort uzyskał jedynie dane statystyczne na temat poziomu zaszczepienia w uczelniach, a więc dane anonimowe. MEiN wyjaśnił, iż z inicjatywy Konferencji Rektorów Akademickich Szkół Polskich 21 grudnia 2021 r. ministrowie edukacji oraz zdrowia zawarli porozumienie o współpracy w celu pozyskania informacji statystycznej o poziomie zaszczepienia przeciwko chorobie COVID-19 w środowisku akademickim.

Jak podkreślił RPO w piśmie do PUODO, z wyjaśnień MEiN wynika jednak, iż zestawiono dane zawarte w dwóch różnych rejestrach i połączono je po numerze PESEL – by sprawdzić, które osoby z tych grup są zaszczepione, a które nie.

Dane przekazano na zlecenie MEiN ze Zintegrowanego Systemu Informacji o Szkolnictwie Wyższym i Nauce POL-on do Elektronicznej Platformy Gromadzenia, Analizy i Udostępnienia Zasobów Cyfrowych o Zdarzeniach Medycznych.

„Doszło do tego na podstawie porozumienia, a więc bez podstawy prawnej wynikającej z ustawy” – wskazał Marcin Wiącek. Dlatego poprosił o stanowisko i informację o podjętych krokach. Do biura rzecznika wpłynęła odpowiedź Katarzyny Hildebrandt, zastępczyni dyrektora Departamentu Kontroli i Naruszeń UODO. Dowiadujemy się z niej, iż decyzją z 10 stycznia tego roku prezes Urzędu Ochrony Danych Osobowych udzielił ministrowi nauki oraz ministrowi zdrowia upomnienia w związku z naruszeniem przepisów polegających na „przetwarzaniu w sposób nieuprawniony i niezgodny z celem danych osobowych nauczycieli akademickich, doktorantów i studentów w zakresie szczepień przeciwko COVID-19 oraz powierzeniu ww. danych w drodze porozumienia o współpracy z 21 grudnia 2021 r. zawartego między ministrem zdrowia a ministrem edukacji i nauki, które nie stanowiło umowy lub innego instrumentu prawnego, w myśl art. 28 ust. 3 rozporządzenia 2016/679. Decyzja jest ostateczna, stronom służy prawo do wniesienia skargi na decyzję Wojewódzkiego Sądu Administracyjnego”.