Bawarski Urząd Krajowy ds. Nadzoru nad Ochroną Danych wydał oświadczenie w sprawie weryfikacji zaświadczeń o szczepieniu przeciwko COVID-19 i wynikach testów. Organ porusza nie tylko zagadnienia prawne, ale również kwestie techniczne i organizacyjne. Dane dotyczące stanu zdrowia, a do nich należą informacje o zaszczepieniu lub zakażeniu, powinny podlegać szczególnej ochronie. Ich administratorzy powinni zatem podejmować odpowiednie środki uwzględniające większe ryzyko naruszenia oraz jego bardziej dotkliwych konsekwencji dla obywateli.
Zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2021/953 z dnia 14 czerwca 2021 r. w sprawie ram wydawania, weryfikowania i uznawania interoperacyjnych zaświadczeń o szczepieniu, o wyniku testu i o powrocie do zdrowia w związku z COVID-19 (unijne cyfrowe zaświadczenie COVID) w celu ułatwienia swobodnego przemieszczania się w czasie pandemii COVID-19 zaświadczenie o szczepieniu oprócz takich danych jak imię i nazwisko, data urodzenia zawiera również informacje o rodzaju szczepionki, jej producencie, liczbie szczepień, dacie ich wykonania. Z kolei zaświadczenia dotyczące badań na obecność koronawirusa zawierają dane o rodzaju badania, jego wyniku, dacie wykonania, punktu lub obiektu, w którym je wykonano.
Organ zwraca uwagę administratorów na zasadę minimalizacji danych osobowych (art. 5 ust. 1 lit. c RODO). Weryfikacja zaświadczeń nie powinna pociągać za sobą tworzenie nadmiarowych rejestrów zawierających informacje o wynikach testów lub informacji o statusie szczepienie. Jeżeli tworzenie takich rejestrów jest konieczne, to administratorzy powinni rozważyć ograniczenie gromadzonych przez siebie informacji – nie wszystkie dane zawarte w zaświadczeniach, choć zgodne z zakresem wskazanym w rozporządzeniu 2021/953, muszą być istotne dla danego administratora, a przez to nie powinny być przez niego przetwarzane. Zmniejszenie zakresu przetwarzanych danych minimalizuje zarówno ryzyko wystąpienia naruszenia, jak i uciążliwość jego skutków.