Gegevensbeschermingsautoriteit (GBA) anser att vaccinationsstatus utgör känsliga hälsouppgifter enligt dataskyddsförordningen (GDPR) och att en person som vägrat att tillhandahålla sådana uppgifter har tillräckligt intresse för att lämna in ett klagomål till myndigheten även om ingen behandling faktiskt ägt rum.
Av beslutet framgår att den personuppgiftsansvarige var en dansskola som vägrat att återinskriva en person eftersom hon inte ville bekräfta om hon vaccinerats mot covid-19 eller inte. Eftersom den personuppgiftsansvarige inte haft någon rättslig grund för att fråga om hennes vaccinationsstatus lämnade personen in ett klagomål till GBA.
GBA inledde med att klargöra att ingen behandling av personuppgifter hade ägt rum, eftersom den klagande inte delat med sig av sin vaccinationsstatus. Även om den klagande inte kunde betraktas som en registrerad i den mening som avses i artikel 4.1 GDPR, har hon haft rätt att lämna in ett klagomål till GBA.
GBA uppgav att med tanke på att en vaccinationsstatus kan kvalificeras som känsliga hälsouppgifter enligt artikel 9.1 GDPR, är det i princip förbjudet att behandla uppgiften. I artikel 9.2 GDPR anges undantagen från denna princip, och dessa villkor måste läsas tillsammans med den rättsliga grund som krävs enligt definitionen i artikel 6 GDPR. Till skillnad från andra fall där GBA har funnit en överträdelse trots avsaknad av behandling, ansåg GBA i detta fall att det inte fanns tillräckliga bevis för att denna information faktiskt begärts av den personuppgiftsansvarige. GBA avskrev därför ärendet.