Czy wojewoda może utworzyć bazę wyników badań w kierunku wirusa SARS-CoV-2?

Do urzędu wojewódzkiego wielokrotnie kierowane były prośby dotyczące usprawnienia sposobu przekazywania kompleksowych informacji nt. wyników badań laboratoryjnych wykonywanych w kierunku SARS-CoV-2., Czy w związku z tym wojewoda może (powołując się na art. 14 ust. 2 pkt 1 i art. 20a ustawy o zarządzaniu kryzysowym) pozyskiwać od laboratoriów prowadzących badania w kierunku SARS-CoV-2 na terenie województwa dobowe dane dotyczące: imienia i nazwiska, numeru PESEL, wyniku badania, daty pobrania materiału, wieku, adresu, telefonu? Czy po scaleniu wszystkich danych, tak stworzoną bazę danych może następnie udostępniać uprawnionym podmiotom na ich uzasadniony wniosek (np. podmioty lecznicze: szpitale, wojewódzka stacja ratownictwa medycznego)?

Co do zasady wszelkie działania podejmowane przez podmioty publiczne powinny mieć oparcie w obowiązujących przepisach prawa regulujących ich działalność. Wobec tego podstawa prawna do przetwarzania (w tym udostępniania) danych osobowych przez takie podmioty również powinna wynikać z przepisów prawa i być związana z realizowanymi przez nie zadaniami.

Przetwarzanie tzw. danych zwykłych może się odbywać jedynie po spełnieniu jednego z warunków określonych w art. 6 RODO, a w przypadku szczególnej kategorii danych osobowych po spełnieniu przesłanek określonych w art. 9 RODO, w połączeniu z właściwymi przepisami szczególnymi określającymi zadania konkretnych organów i instytucji. Zatem co do zasady, aby podmiot publiczny legalnie przetwarzał (w tym pozyskiwał i udostępniał) dane osobowe, musi istnieć przepis prawa, pozwalający na takie przetwarzanie. Podkreślić przy tym należy, że dane dotyczące zdrowia zaliczane są do szczególnych kategorii danych , przetwarzanie których może stanowić poważną ingerencję w sferę prywatności (a nawet intymności) osób, których dane dotyczą, lub pociągać za sobą znacznie większe zagrożenia niż przetwarzanie tzw. danych zwykłych. Dlatego administrator, pozyskując takie dane, powinien zachować szczególną staranność oraz przetwarzać jedynie takie dane, które istotnie są konieczne do realizacji celu przetwarzania.

Rozważane przedsięwzięcie dotyczy utworzenia przez wojewodę bazy zawierającej dane osobowe osób poddanych badaniu w kierunku SARS-CoV-2 oraz wyników tych badań (imienia i nazwiska, numeru PESEL, wyniku badania, daty pobrania materiału, wieku, adresu, telefonu). Informacje te wojewoda pozyskiwałby od laboratoriów prowadzących badania w kierunku SARS-CoV-2 na terenie województwa, a następnie udostępniał np. podmiotom leczniczym, szpitalom, stacjom ratownictwa medycznego. Administrator rozważa możliwość przyjęcia za podstawę prawną do prowadzenia takiej bazy przepisów prawa zawartych w art. 14 ust. 2 pkt 1 i art. 20a ustawy o zarządzaniu kryzysowym. Zgodnie z art. 14 ust. 2 pkt 1 powyższej ustawy, do zadań wojewody w sprawach zarządzania kryzysowego należy kierowanie monitorowaniem, planowaniem, reagowaniem i usuwaniem skutków zagrożeń na terenie województwa. Natomiast zgodnie z art. 20a tej ustawy, organy właściwe w sprawach zarządzania kryzysowego mają prawo żądania udzielenia informacji, gromadzenia i przetwarzania danych niezbędnych do realizacji zadań określonych w ustawie.

Celem utworzenia takiej bazy miało by być usprawnienie sposobu przekazywania kompleksowych informacji nt. wyników badań laboratoryjnych wykonywanych w kierunku SARS-CoV-2. Administrator nie doprecyzował jednak, dla realizacji którego z zadań spośród zadań wskazanych w art. 14 ust. 2 pkt 1, niezbędne jest przetwarzanie wskazanych powyżej danych osób poddanych badaniom, ani w jakim celu i na jakiej podstawie dane te udostępniane byłyby podmiotom leczniczym.

Niemniej analizując powyższe przepisy należy stwierdzić, iż słuszne są wątpliwości co do uznania ich za podstawę prawną do prowadzenia takiego przetwarzania. Trudno bowiem wywieść z nich uprawnienie do utworzenia przez wojewodę bazy/rejestru zawierającego powyższe dane osobowe. Jednocześnie przypomnieć należy, że z uwagi na określoną w art. 7 Konstytucji RP zasadę działania organów publicznych na podstawie i w granicach prawa, organ publiczny nie może domniemywać swoich kompetencji, jeśli nie wynikają one wprost z przepisu prawa. Jednocześnie pomocniczo można wskazać, że zagadnienie gromadzenia oraz udostępniania informacji o osobach, u których stwierdzono COVID-19 uregulowane zostało w szczególności w rozporządzeniu Rady Ministrów z dnia 16 maja 2020 r. w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii, wydanym na podstawie art. 46a i art. 46b pkt. 1-6 i 8-12 ustawy o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi oraz w rozporządzeniu Ministra Zdrowia z dnia 7 kwietnia 2020 r. w sprawie Krajowego Rejestru Pacjentów z COVID-19 wydanym na podstawie art. 20 ust. 1 ustawy o systemie informacji w ochronie zdrowia.

Zgodnie z przepisami rozporządzenia w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii w systemie teleinformatycznym udostępnionym przez jednostkę podległą ministrowi właściwemu do spraw zdrowia właściwą w zakresie systemów informacyjnych ochrony zdrowia, mogą być również przetwarzane dane innych osób podlegających obowiązkowej kwarantannie w związku z epidemią, o której mowa w § 1, a także osób podlegających izolacji w warunkach domowych, osób, w stosunku do których podjęto decyzję o wykonaniu testu diagnostycznego w kierunku SARS-CoV-2, oraz osób zakażonych tym wirusem (§ 2 pkt 4). Ponadto zgodnie z § 2 pkt 5 tego rozporządzenia dane osób, w stosunku do których podjęto decyzję o wykonaniu testu diagnostycznego w kierunku SARS-CoV-2, w tym dane zawarte w zleceniach wykonania takich testów wystawionych przez podmioty inne niż organy Państwowej Inspekcji Sanitarnej oraz wyniki tych testów, mogą być również przetwarzane w systemie teleinformatycznym stanowiącym moduł Krajowego Rejestru Pacjentów z COVID-19 prowadzonego przez Narodowy Instytut Kardiologii Stefana Kardynała Wyszyńskiego - Państwowy Instytut Badawczy w Warszawie. W kolejnych przepisach tego rozporządzenia został określony sposób udostępniania danych z powyższego systemu teleinformatycznego oraz Krajowego Rejestru Pacjentów z COVID-19.

W przedstawionej sytuacji wskazane byłoby zatem w pierwszej kolejności dokonanie analizy, czy ww. podmioty lecznicze nie są uprawnione są pozyskiwania powyższych danych z istniejących już ewidencji, w szczególności z powyższych systemów i rejestrów. Warto też zwrócić uwagę, że zadania związane z przeciwdziałaniem COVID-19 w obecnej sytuacji muszą być realizowane przez poszczególne podmioty we współpracy z Państwową Inspekcją Sanitarną. W związku z powyższym w oświadczeniu w sprawie koronawirusa z dnia 12 marca 2020 r., Prezes UODO wskazywał, że wszelkie problemy związane ze zwalczaniem i zapobieganiem rozprzestrzeniania się koronawirusa powinny być w świetle powyższych unormowań w pierwszej kolejności zgłaszane i wyjaśniane z GIS jako organem właściwym w tych sprawach.

2020-06-03