Biuletyn Informacji Publicznej RPO

• Poza informacjami o podróży i danymi osobowymi osoby przekraczające polską granicę samolotem mają obowiązek podać informacje o stanie zdrowia
• Zdaniem RPO w przepisach nie ma podstawy do gromadzenia danych osobowych w tak szerokim zakresie
• Zakres przetwarzanych danych osobowych powinna precyzyjnie określać ustawa z poszanowaniem praw określonych w Konstytucji

RPO Marcin Wiącek ma wątpliwości związane z prawem do prywatności i ochroną danych osobowych dotyczące formularza Karty Lokalizacji Podróżnego. W związku z tym podjął sprawę z urzędu i zwraca się do ministra zdrowia Adama Niedzielskiego o wyjaśnienia.

Karta Lokalizacji Podróżnego (KLP) to dokument, który wypełniają wszystkie osoby przekraczające polską granicę samolotem. Dane z karty są przekazywane do sanepidu i mają służyć łatwiejszemu namierzeniu osób, które mogły mieć kontakt z pasażerem samolotu zakażonym wirusem SARS-CoV-2.

Wątpliwości rzecznika budzi szeroki zakres informacji, które mają obowiązek podawać podróżni w KLP, a w szczególności konieczność podawania informacji o stanie zdrowia. Bo jak wynika z formularza KLP, obok informacji dotyczących podróży (np. kraj rozpoczęcia podróży, lotnisko lądowania, nr lotu, data przylotu) i danych osobowych (np. imię, nazwisko, data urodzenia PESEL/nr dowodu/nr paszportu, dane kontaktowe), osoba podróżująca ma obowiązek podać także dane osób współpodróżujących, w odniesieniu do których należy wskazać informacje o statusie zaszczepienia, wykonanym teście, o przebytej chorobie.

Co na ten temat mówią przepisy?

Aktualne rozporządzenie nakazujące wypełnienie KLP nie przewiduje, jakie dane osobowe powinny zostać w niej zawarte. Wynika z niego, że pasażerowie są zobowiązani do potwierdzenia stanu zdrowia - niezależnie od informacji podawanych w KLP. Odbywa się to poprzez złożenie oświadczenia o stanie zdrowia według wzoru udostępnionego przez linię lotniczą, ale także poprzez przedstawienie negatywnego testu, przedstawienie informacji o zaszczepieniu, czy przebyciu choroby - potwierdzonych Unijnym Certyfikatem Covid.

RPO zwraca uwagę, że również wzór Formularza Lokalizacji Pasażera określony w załączniku do Konwencji o Międzynarodowym Lotnictwie Cywilnym sporządzonej 7 grudnia 1944 r. w Chicago nie przewiduje zbierania informacji o stanie zdrowia. Co więcej także formularz Europejskiej Karty Lokalizacji Pasażera nie zakłada zbierania takich informacji.

Wymóg przedłożenia Kart Lokalizacji Pasażera, musi ponadto uwzględniać przepisy rozporządzenia RODO i określone w nim wymogi w zakresie ochrony danych osobowych. Oznacza to, że cele w jakich przetwarzane są te dane powinny zostać konkretnie określone w przepisach. Na tym polega zasada legalności działań administracji publicznej.

Konstytucyjne prawo ochrony danych osobowych

Rzecznik przypomina, że zgodnie z Konstytucją RP nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby. A władze publiczne mogą pozyskiwać, gromadzić oraz udostępniać wyłącznie takie informacje o obywatelach, które są niezbędne w demokratycznym państwie prawnym. Nie mogą zbierać „wygodnych” informacji o osobie. To gwarantuje ochronę jej prywatności.

Z orzecznictwa Trybunału Konstytucyjnego wynika, że warunki dopuszczalności przetwarzania danych osobowych to są sprawy istotne, które muszą zostać uregulowane w ustawie. W sposób szczególnie precyzyjny przepisy ustawy powinny określać warunki przetwarzania danych dotyczących sfery intymności jednostki. Dlatego niedopuszczalne jest dowolne określenie w rozporządzeniu zakresu danych, które mogą być przetwarzane - musi on wynikać z przepisów ustawy.

Rozporządzenie może regulować tylko niektóre sprawy szczegółowe i techniczne związane z przetwarzaniem danych osobowych. Nie może jednak wyznaczać zakresu ingerencji w autonomię informacyjną jednostki. Dotyczy to w szczególności zakresu danych, które mogą być przetwarzane.

Inne wątpliwości RPO

Należy zwrócić uwagę, że aktualne przepisy nie przewidują regulacji dotyczących przypadków udostępniania pasażerom kart papierowych, tak jak to wynikało z rozporządzenia wydanego w maju 2021 r. W związku z tym pojawiają się dodatkowe pytania dotyczące przetwarzania danych osobowych z KLP w sytuacji wprowadzania kart do systemu elektronicznego. Kto w takich sytuacjach jest administratorem danych osobowych; czy realizowany jest obowiązek informacyjny wynikający z RODO; jak chronione są dane osobowe; przez jaki okres przechowywane są karty papierowe?

Z tych wszystkich powodów RPO prosi ministra zdrowia o wyjaśnienia. W szczególności o odniesienie się do wątpliwości co do zakresu udostępniania danych osobowych w KLP, podstawy prawnej przetwarzania danych osobowych, a także zasad przetwarzania danych w odniesieniu do kart papierowych.

VII.501.38.2022