Ochrana osobných údajov počas pandémie koronavírusu

Pre lepšie pochopenie sme vybrali okruhy tém, ktoré sa objavujú v tejto právnej oblasti najmä z dôvodu stretu dvoch záujmov - záujmu ochrániť osobné údaje a verejnému záujmu ochrániť život a zdravie ľudí pred pandémiou koronavírusu.

Momentálne značne diskutovanou témou sa stalo spracovanie lokalizačných údajov zákazníkov telekomunikačnými operátormi. Táto téma zarezonovala spoločnosťou z dôvodu výrazného obmedzenia práva a slobôd jednotlivcov v čase mimoriadnej situácie a núdzového stavu. Parlament síce schválil zákon č. 62/2020 Z.z. o niektorých mimoriadnych opatreniach v súvislosti so šírením nebezpečnej nákazlivej ľudskej choroby COVID-19 a v justícii, ktorým sa menia a dopĺňajú niektoré zákony a ktorým doplnil zákon č. 351/2011 Z.z. o elektronickej komunikácii o nové povinnosti a oprávnenia pri spracúvaní údajov telekomunikačného tajomstva s informáciou o čase vzniku lokalizačného údaju, no tento bude v blízkej dobe pravdepodobne podrobený prieskumu Ústavného súdu SR.

Pod pojem telekomunikačné tajomstvo spadajú jednak informácie o identifikácií komunikujúcich strán ako aj o lokalizačných údajoch, ktorých sa novela priamo týka. Z uvedeného teda vyplýva, že hlavné obavy spočívajú v tom, či oprávnený telekomunikačný operátor a úrad nebudú môcť získať a spracúvať rôzne osobné údaje, ktoré zákon obmedzuje len akousi povinnosťou spracúvať osobné údaje výlučne v rozsahu potrebnom na identifikáciu užívateľov v záujme ochrany života a zdravia na základe písomného odôvodnenia.

Cieľom zákona je, okrem iného, umožniť Úradu verejného zdravotníctva SR zbierať, spracúvať a uchovávať tieto údaje počas trvania mimoriadnej situácie a núdzového stavu, najdlhšie však do 31. decembra 2020.  Po preskúmaní zákona Ústavným súdom SR sa nakoniec ukáže, či uvedené zásahy do práv jednotlivcov nebolo príliš rozsiahle a z toho dôvodu protiústavné.

V tomto smere je kritické upozorniť, že prevažná väčšina komunikácie v týchto dňoch sa uskutočňuje telefonicky, a je otázne či nie je ich bezpečnosť kompromitovaná v dôsledku uvedených opatrení. Inak je to však pri komunikácií cez technologické zariadenia prostredníctvom internetu, ktorý dnes nepodlieha úprave zákona o elektronickej komunikácii, a preto by sa na takúto komunikáciu nemala nová úprava vzťahovať. Napriek tomu, je dobré byť obozretný a opatrný a prehodnotiť bezpečnosť používaných akýchkoľvek systémov a zavedených interných opatrení spojených s využívaním technologických zariadení, ako aj možnosť využívať VPN a šifrovanú komunikáciu.

Informovanie miest a obcí o karanténe alebo ochorení COVID-19

Z médií sme sa dozvedeli, že viaceré obce a mestá sa stretli s nedisciplinovanosťou svojich obyvateľov, ktorí boli diagnostikovaní ochorením COVID 19, čo spôsobilo ich obavy z nekontrolovateľného šírenia ochorenia na ich území. Z tohto dôvodu začali obce požadovať informácie k pobytu pacientov v obci avšak tieto ich žiadosti nebolo možné splniť. Z vyjadrenia Úradu na ochranu osobných údajov, ktoré sa nachádza v Stanovisku úradu k požadovaniu údajov o osobách nakazených Covid-19 alebo o osobách v karanténe mestami a obcami vyplynulo, že informácia o karanténe alebo nákaze obyvateľa, konkrétnej osoby z obce alebo mesta v spojení s jej presným identifikovaním, predstavuje osobitnú kategóriu osobných údajov. V zmysle skôr uvedeného, nie je spracúvanie osobitnej kategórie osobných údajov dovolené s výnimkou existencie zákonného dôvodu, najčastejšie právneho predpisu.

V nadväznosti na uvedené, dnes nie je možné sa oprieť o žiadny zákon alebo právny predpis, či opatrenie, ktoré by oprávňovalo obce a mestá na spracúvanie týchto citlivých údajov. Túto situáciu by mohlo zmeniť prijatie opatrenia štátu na základe zákona o civilnej ochrane obyvateľstva, ktoré by poskytovalo dostatočné záruky a malo by vhodnú právnu formu. Nie je vylúčené, že v blízkej dobe ak bude situácia gradovať a záujem sa preváži k ochrane ostatných obyvateľov obce, dôjde k prijatiu takéhoto opatrenia a právny základ pre spracúvanie obcami a mestami bude založený. Momentálne sa štát takýmto opatreniam odhaľujúcim zdravotné údaje občanov chce vyhnúť nakoľko nechce neprimerane stigmatizovať samotných pacientov a tým im sťažovať už tak náročnú situáciu.

Z rôznych médií sa k nám dostávajú v dnešnej dobe rôzne informácie, o ktorých je veľmi ťažko zistiť či sú alebo nie sú pravdivé. Dokonca  kolovala informácia podľa ktorej štát údajne^[1] neinformoval niektorých obyvateľov rómskych osád o výsledkoch ich testov, aby tým predišiel ich vzájomnému stretávaniu. V tomto smere, neviem či je uvedená informácia pravdivá, ak by však teoreticky bola , uvedený postup by bol značne otázny nakoľko je v rozpore s Chartou práv pacienta v SR a zákonom o zdravotnej starostlivosti podľa ktorých má pacient právo na informácie týkajúce sa jeho zdravotného stavu.

Aký bude pravdepodobne ďalší vývoj? Pokiaľ sa pandemická situácia v SR začne zhoršovať a záujem ochrany ostatných obyvateľov pred nákazou preváži nad záujmami jednotlivca, pravdepodobne dôjde k obmedzeniu jeho práv spojených s ochranou osobných údajov tým, že sa v súlade so zákonom sprístupnia inak neoprávneným subjektom.

Kontrola teploty zamestnancov a informovanie o ochorení na pracovisku

Vo všeobecnosti by mal byť každý zamestnávateľ opatrný pri spracúvaní osobitných kategórií osobných údajov, aj keď niekedy nie je jednoduché určiť, či osobný údaj je alebo nie je citlivý.

V súvislosti s kontrolou teploty a informovanosti pracovníkov o nákaze na pracovisku pôjde bez pochyby o spracúvanie citlivých osobných údajov. K takémuto spracúvaniu vedie zamestnávateľov najmä zákonná povinnosť zaistiť bezpečnosť a ochranu zdravia pri práci ako aj povinnosti uložené opatreniami oprávnenými orgánmi dohľadu, avšak vždy musí byť spracúvanie primerané s minimálnym rozsahom spracúvaných údajov.

Napríklad aj zákon o bezpečnosti a ochrane zdravia pri práci ukladá zamestnávateľovi rôzne povinnosti v súvislosti s bezprostredným a vážnym ohrozením života a zdravia, ktoré by mohli odôvodniť zásah do práv a slobôd zamestnancov primeraným spôsobom, avšak každý takýto zásah vyžaduje predchádzajúce posúdenie nevyhnutnosti a primeranosti tak, aby nedošlo k porušeniu ochrany osobných údajov dotknutých osôb.

Informačná povinnosť

Netreba zabudnúť, že každý prevádzkovateľ bez ohľadu na právny základ spracúvania osobných údajov je povinný poskytnúť dotknutej osobe zákonom definované informácie o spracúvaní jej osobných údajov uvedené v čl. 12 až 14 nariadenia GDPR a zákona o ochrane osobných údajov v stanovených lehotách a transparentným spôsobom.

Len v niektorých špecifických prípadoch, ak prevádzkovateľ nezískava údaje priamo od dotknutej osoby, nemusí ani splniť svoju informačnú povinnosť. Jednou z takýchto výnimiek je aj skutočnosť, že poskytovanie takýchto informácií sa ukáže ako nemožné alebo by si vyžadovalo neprimerané úsilie, alebo pokiaľ je pravdepodobné, že to znemožní alebo závažným spôsobom sťaží dosiahnutie cieľov takéhoto spracúvania. V takých prípadoch prijme prevádzkovateľ vhodné opatrenia na ochranu práv a slobôd a oprávnených záujmov dotknutej osoby vrátane sprístupnenia daných informácií verejnosti. Podobná výnimka existuje aj vo vzťahu k prevádzkovateľom, ktorí získali osobné údaje inak ako od dotknutej osoby, na základe práva Únie alebo štátu, ktoré sa na nich priamo vzťahuje a toto právo upravuje primerané opatrenia. Uvedená výnimka by sa tiež mohla uplatniť napríklad v určitých prípadoch povinných hlásení, ak vyplývajú zo zákona.

Z dôvodu enormných pokút, ktorých výška je priamo ovplyvnená typom neoprávnene spracúvaných osobných údajov, pričom zaradenie údaju nie je vždy jednoznačné, odporúčame každé spracúvanie ako aj uplatnenie výnimky podrobiť posúdeniu, ktoré bude predchádzať samotnému spracúvania za účelom predchádzania porušenia ochrany osobných údajov.

[1] Informácia pochádza z televízneho spravodajstva