Znają numer Twojej szczepionki i telefon. Kto? Wszyscy ciekawi

Teraz Rzecznik Praw Obywatelskich pyta prezesa Urzędu Ochrony Danych Osobowych, czy nie pora te wszystkie upoważnienia przejrzeć i ustalić, czy naprawdę wszyscy mają mieć dostęp do bardzo wrażliwych danych osobowych.

Jak to się stało, że skarbówka może znać numer mojej szczepionki?

Władza może nie zdaje sobie sprawy z tego, co uchwaliła — stąd oburzenie polityków na dziennikarzy Onetu, którzy zrobili listę zaszczepionych i niezaszczepionych ministrów. Albo opisane przez "Gazetę Wyborczą" starania, by wyśledzić pracownika sanepidu, który mogli ujawnić mediom machinacje prezesa TVP Jacka Kurskiego z kwarantanną po dodatnim teście.

To jest baza, z której po obróbce, dałoby się pewnie wyciągnąć informacje o poglądach, zawodzie, nawykach, trybie życia (jeśli zna się liczbę kwarantann granicznych, albo kwarantann z kontaktu, albo zna się datę zaszczepienia i nazwę szczepionki, wiele można wywnioskować). Z której można wyciągać dane do manipulacji, straszenia i mobilizowania konkretnej grupy do konkretnego działania.

Straż Pożarna wie, gdzie się szczepiłam

Władza nadawała te uprawnienia w pośpiechu (bo COVID) i trochę metodą wpisów w mediach społecznościowych (opublikować, potem najwyżej się poprawi).

Pierwsze rozporządzenia rządu, z wiosny 2020, miały uregulować sprawy kwarantanny i kwarantanny granicznej. Chodziło o dopilnowanie ludzi, by nie wychodzili z domu – i w tym celu państwo przyznało sobie wgląd do danych. Potem doszły testy i ich wyniki. Z końcem roku 2020 – szczepienia.

Zmiany rozporządzenia wpadały na posiedzenie rządu czasem co kilka dni. W sumie było 69 dokumentów, ale jeden z nich nie był procedowany (wszystkie wylicza RPO). Żaden nie przeszedł konsultacji i etapu opiniowania. Nie obejrzała go komisja prawnicza ani żaden z komitetów stałych Rady Ministrów. Po prostu wpadało to na posiedzenie rządu, a potem podpisywał to premier (co widać na stronach Rządowego Centrum Legislacji).

Premier może się zapoznać z Twoimi kwarantannami

A rozporządzenia te składały się z takich na przykład passusów:

• “w ust. 4 wyrazy »przepisy ust. 2, 5 i ust. 10 pkt 3 i 5 stosuje się« zastępuje się wyrazami „przepisy ust. 2, 5, ust. 10 pkt 3, 3a i 5, ust. 10a, ust. 12 pkt 1 lit. d i pkt 2 oraz § 6a stosuje się” (5 czerwca 2020)”

albo

• “W rozporządzeniu Rady Ministrów z dnia 6 maja 2021 r. w sprawie ustanowienia określonych ograniczeń, nakazów i zakazów w związku z wystąpieniem stanu epidemii (Dz. U. poz. 861, z późn. zm.1) ) użyte w § 2 w ust. 1, w ust. 2 we wprowadzeniu do wyliczenia i w ust. 18, w § 2a w ust. 1, w § 9 w ust. 3a we wprowadzeniu do wyliczenia, w ust. 5, w ust. 6b we wprowadzeniu do wyliczenia, w ust. 7b, w ust. 10 we wprowadzeniu do wyliczenia, w ust. 15 we wprowadzeniu do wyliczenia, w ust. 16a, w ust. 19c we wprowadzeniu do wyliczenia, w ust. 19d we wprowadzeniu do wyliczenia, w ust. 20a we wprowadzeniu do wyliczenia, w ust. 20b we wprowadzeniu do wyliczenia, w ust. 22a we wprowadzeniu do wyliczenia, w ust. 23a we wprowadzeniu do wyliczenia, w ust. 26a, w ust. 27a we wprowadzeniu do wyliczenia, w ust. 31e we wprowadzeniu do wyliczenia, w ust. 34c–34e, w ust. 35c we wprowadzeniu do wyliczenia, w ust. 35d, w ust. 35e, w ust. 37 we wprowadzeniu do wyliczenia, w ust. 38b i w ust. 38c we wprowadzeniu do wyliczenia, w § 10 w ust. 1 we wprowadzeniu do wyliczenia, w ust. 3 we wprowadzeniu do wyliczenia, w ust. 4a i w ust. 6b, w § 15 w ust. 1 we wprowadzeniu do wyliczenia, w § 16 w ust. 1 we wprowadzeniu do wyliczenia, w § 18 w ust. 1, w § 21 w ust. 1, w § 23 w ust. 1, w § 24 w ust. 2a we wprowadzeniu do wyliczenia i w ust. 6 we wprowadzeniu do wyliczenia, w § 25 w ust. 1 we wprowadzeniu do wyliczenia, w ust. 2 i w ust. 3 oraz w § 26 w ust. 1b we wprowadzeniu do wyliczenia, w ust. 3, w ust. 10b we wprowadzeniu do wyliczenia, w ust. 13 we wprowadzeniu do wyliczenia i w ust. 15 we wprowadzeniu do wyliczenia wyrazy »31 stycznia 2022 r.« zastępuje się wyrazami »28 lutego 2022 r.«”

A pomiędzy te — przedłużające lub doprecyzowujące ograniczenia wpisy wpadały takie:

• “w ust. 7 po wyrazach »Centralnemu Biuru Antykorupcyjnemu «, dodaje się wyrazy »Krajowej Administracji Skarbowej«” (21 maja 2020)
• albo “w ust. 7 po wyrazach »Straży Granicznej«,” dodaje się wyrazy »Agencji Bezpieczeństwa Wewnętrznego«” (30 czerwca 2020),
• albo “w ust. 7 po wyrazach »Służbie Ochrony Państwa« dodaje się przecinek i wyrazy »Służbie Kontrwywiadu Wojskowego «”, (23 października 2020)

Poczta może znać dane niezaszczepionego sąsiada

W efekcie powstała licząca 20 pozycji lista instytucji, które mają wgląd w ciągle rozbudowywane dane sanitarne. Obecnie dostęp do nich ma — poza sanepidem i NFZ:

• ZUS i KRUS
• Narodowy Instytut Zdrowia Publicznego PZH
• Narodowy Instytut Kardiologii Stefana Kardynała Wyszyńskiego w Warszawie. Stąd dane czerpią: minister zdrowia oraz szef Kancelarii Prezesa Rady Ministrów; urzędy wojewódzkie (jest ich oczywiście 17)
• premier jako pełniący obecnie funkcję “ministra właściwego do spraw informatyzacji”. Te zadania wykonuje obecnie w jego imieniu Janusz Cieszyński (szef podatkowego zespołu ratowniczego ds. Polskiego Ładu).
• Krajowa Administracja Skarbowa
• Poczta Polska
• policja
• straż graniczna,
• Wojska Obrony Terytorialnej i żandarmeria wojskowa
• ABW, CBA, SOP i SKW
• Państwowa Straż Pożarna,
• system numerów alarmowych 112 i 999 (System Wspomagania Dowodzenia Państwowego Ratownictwa Medycznego)

Policja zna nawet nazwę zaszczepionej części ciała

Wszystkie te instytucje mają dostęp do naszych danych “w celu realizacji ich zadań ustawowych lub statutowych lub zadań związanych z prowadzeniem działań dotyczących przeciwdziałania epidemii wywołanej zakażeniami wirusem SARS-CoV-2".

Jakie to dane?

Osoby niezaszczepione znane są w tej bazie z: imienia i nazwisko, PESELa i numer telefonu

Zaszczepieni dodatkowo podali:

• datę urodzenia i wiek (co da się i tak wyczytać z PESLELa),
• płeć,
• ale także adres
• i dane dotyczące szczepienia,
  • w tym datę i godzinę szczepienia,
  • numer dawki,
  • nazwę handlową szczepionki,
  • numer serii,
  • kod EAN,
  • nazwę podmiotu odpowiedzialnego,
  • ilość podanej szczepionki,
  • drogę jej podania oraz część ciała, w którą ją podano.
  • A także informacje o miejscu, gdzie szczepionka została podana.

Ale to nie wszystko. Bo rozporządzenie dało wszystkim wypisanym u góry instytucji prawo do poprawiania, edytowania i uzupełniania naszych danych.

RPO do PUODO: Czy czytaliście te 68 rozporządzeń?

“Czy tak szeroki katalog podmiotów mających dostęp do bardzo szerokich danych dotyczących osób zaszczepionych, bo obejmujący nawet dane dotyczące numeru podanej dawki szczepienia, jest konieczny, uzasadniony i niezbędny w demokratycznym państwie” - pisze RPO Marcin Wiącek do prezesa UODO Jana Nowaka.

Czy dopuszczalne jest, by danymi osobowymi dysponował sobie rząd w rozporządzeniu, bez upoważnienia w ustawie (rząd powoływał się na ustawę o chorobach zakaźnych u ludzi z 2008 r. - tam takich podstaw nie ma). I to w materii, co do której Konstytucja mówi jasno: można się nią zajmować tylko w ustawie?

Czy to dopuszczalne, by obywatele nie wiedzieli, co się dzieje z danymi o nich, kto i po co je może zmienić?

I w zasadzie jakimi prawem – skoro Konstytucja tego wprost zabrania, a stan nadzwyczajny w pandemii nie został ogłoszony?

RPO tłumaczy w piśmie do Jana Nowaka: Trybunał Konstytucyjny wielokrotnie już wypowiadał się w zakresie konstytucyjnej ochrony prywatności, która stanowi jeden z podstawowych elementów aksjologii demokratycznego państwa prawnego.

A to wszystko na podstawie rozporządzenia, choć Konstytucja wymaga ustawy

W jednej ze spraw TK wskazał, że prawo do prywatności to „w szczególności możność samodzielnego decydowania o ujawnianiu innym podmiotom informacji dotyczących własnej osoby, a także sprawowania kontroli nad tymi informacjami, nawet jeżeli znajdują się w posiadaniu innych osób (autonomia informacyjna jednostki) oraz możność samostanowienia o swym życiu osobistym w aspekcie przedmiotowym, podmiotowym oraz czasowym (autonomia decyzyjna jednostki).

W sferze autonomii informacyjnej normy konstytucyjne gwarantują jednostce ochronę przed pozyskiwaniem, przetwarzaniem, przechowywaniem i ujawnieniem, w sposób naruszający reguły przydatności, niezbędności i proporcjonalności sensu stricto, informacji m.in. o stanie zdrowia (…)”.

I jeszcze za TK: “Ustawa powinna określać w sposób szczególnie precyzyjny warunki przetwarzania danych dotyczących sfery intymności jednostki. Ustawodawca może natomiast przekazać do unormowania w drodze rozporządzenia niektóre sprawy szczegółowe i techniczne związane z przetwarzaniem danych osobowych”.

RPO podaje też PUODO linki do 69 rozporządzeń i prosi, by je sprawdził. Można się więc spodziewać odpowiedzi. Ale czy PUODO odważy się skrytykować władzę?