Obrada osobnih podataka u vrijeme pandemije

Izvanredne okolnosti kojima svjedočimo u posljednje vrijeme, koje su povezane sa širenjem virusa COVID-19, dovode u pitanje odnos nacionalne sigurnosti i javnog interesa s temeljnim ljudskim pravima na zaštitu osobnih podataka i pravom na privatnost. 

Je li GDPR i dalje na snazi?

U bilo kakvim izvanrednim okolnostima zakoni su i dalje na snazi, ako ih se posebnim zakonima i uredbama ne stavi izvan snage. Tako se i Opća uredba o zaštiti podataka (GDPR) i dalje primjenjuje. Obrada osobnih podataka trebala bi smatrati zakonitom ako je potrebna za zaštitu interesa koji je neophodan za očuvanje života ispitanika ili druge fizičke osobe. Obrada osobnih podataka na temelju životno važnih interesa druge fizičke osobe u načelu bi se smjela obavljati samo ako se obrada očito ne može temeljiti na drugoj pravnoj osnovi. Neke vrste obrade mogu poslužiti i za važne potrebe javnog interesa i životno važne interese ispitanika. Na primjer, ako je obrada potrebna u humanitarne svrhe, među ostalim za praćenje epidemija i njihovog širenja ili u humanitarnim krizama. Posebno u slučajevima prirodnih katastrofa i katastrofa uzrokovanih ljudskim djelovanjem.

GDPR se ne primjenjuje na pitanja zaštite temeljnih prava i sloboda ili slobodnog protoka osobnih podataka u vezi s djelatnostima koje ne ulaze u područje primjene prava Europske unije, kao što su djelatnosti u vezi s nacionalnom sigurnošću. Također, GDPR se ne primjenjuje na obradu osobnih podataka koju fizičke osobe obavljaju u okviru isključivo osobne ili kućne aktivnosti te stoga nije povezana s profesionalnom ili komercijalnom djelatnošću. U osobne ili kućne aktivnosti može se ubrajati korespondencija i posjedovanje adresa ili društveno umrežavanje te internetske aktivnosti poduzete u kontekstu takvih aktivnosti.

Postupanje nadležnih tijela

Zaštita pojedinaca s obzirom na obradu osobnih podataka koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i slobodnom kretanju takvih podataka i njihovo sprečavanje, podliježe posebnim zakonima. Također se primjenjuje Direktiva (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca pri obradi osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP.

U Hrvatskoj se na ovakve epidemijske situacije primjenjuje Zakon o zaštiti pučanstva od zaraznih bolesti. Na temelju zakona ministar zdravstva donosi Listu zaraznih bolesti. Zakon utvrđuje zarazne bolesti čije sprječavanje i suzbijanje je od interesa za Republiku Hrvatsku. Kada se proglasi epidemija poduzimaju se opće mjere (osiguravanje ispravnosti hrane i vode, dezinfekcija), posebne mjere (prijavljivanje zaraze, informiranje) i sigurnosne mjere (karantene, zabrana putovanja, obveza informiranja). Važno je naglasiti da je svatko dužan poštovati ovaj zakon te za svaku povredu zakona Državni inspektorat može na licu mjesta naplatiti novčanu kaznu fizičkoj osobi i pravnoj osobi. Također, ako se osoba ne pridržava izrečenih mjera te širi i prenosi zaraznu bolest može biti kažnjena za kazneno djelo te se takvoj osobi može izreći kazna zatvora u trajanju do 3 godine. Stoga, nadležna tijela imaju ovlasti obrađivati sve podatke koji su im potrebni za zaštitu od prijetnji javnog sigurnosti te u svrhu istrage kaznenih djela.

Posebne kategorije podataka

Zbog same prirode izvanrednih okolnosti, tijekom posljednjih mjeseci dolazi do pojačane obrade zdravstvenih podataka koji predstavljaju posebnu kategoriju podataka. Primjerice, podaci o temperaturi, simptomima se smatraju posebnom kategorijom podataka. Posebne kategorije podataka, u skladu s čl. 9. GDPR-a se obrađuju samo iznimno, ako je zadovoljen jedan od uvjeta iz navedenog članka. Tek ako postoji pravna osnova za obradu posebnih kategorija podataka, potrebno je razmotriti čl. 6. GDPR o zakonitim osnovama za obradu osobnih podataka.

Obrada osobnih podataka radnika

Poslodavci se nalazi trenutačno u dvojakoj situaciji. S jedne strane su obvezi osigurati zaštitu na radu i da bi adekvatno usvojili određene mjere moraju znati zdravstvene podatke radnika, dok s druge strane ne smiju povrijediti pravo na privatnost i zaštitu osobnih podataka radnika.

Čl. 28. Zakona o radu definirane su obveze poslodavca u zaštiti života, zdravlja i ćudoređa radnika. Stavkom 1. navedenog članka propisano da je poslodavac dužan pribaviti i održavati postrojenja, uređaje, opremu, alate, mjesto rada i pristup mjestu rada, te organizirati rad na način koji osigurava zaštitu života i zdravlja radnika. Navedeno je poslodavac dužan uskladiti u skladu s posebnim zakonima i naravi posla koji se obavlja. Nadalje, čl. 1. st. 2. Zakona propisano je kako je svrha zakona sustavno unapređivanje sigurnosti i zaštite zdravlja radnika i osoba na radu, sprječavanje ozljeda na radu, profesionalnih bolesti i bolesti u vezi s radom. U čl. 5. st. 1. istaknuto je kako su život, zdravlje i očuvanje radne sposobnosti vrednote od posebnog društvenog interesa u Republici Hrvatskoj.

Agencija za zaštitu osobnih podataka je objavila na svojim internetskim stranicama očitovanje. Stav Agencije je da u konkretnom slučaju pravni temelj za obradu osobnih podataka moguće pronaći u članku 6. GDPR-a ako je obrada nužna radi poštovanja pravnih obveza voditelja obrade prema Zakonu o radu i Zakonu o zaštiti na radu.  Ako je obrada osobnih podataka nužna, u skladu s čl. 9. GDPR-a, može se provoditi i kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe.

Izjava Europskog odbora za zaštitu podataka

Europski odbor za zaštitu podataka je 16.3.2020. objavio  izjavu prema kojoj ističe da GDPR predviđa ovakve okolnosti. Osobne podatke potrebno obrađivati proporcionalno svrsi za očuvanje zdravlja ljudi i ključnih interesa te kako bi se poštovale pravne obveze koje postoje u nacionalnim zakonima.

Što se tiče elektroničkih podataka, kao što je slučaj u Italiji da se pojedinci prate na koji način poštuju izrečene mjere, Odbor ističe da je za to područje mjerodavna Direktiva o privatnosti i elektroničkim komunikacijama. Načela obrade takvih podataka nalažu da se lokacijski podaci prate na način da ih pružatelj usluge anonimizira. Ako lokacijski podaci nisu anonimni, potrebna je privola osobe čija se lokacija prati.

U određenim nužnim situacijama države Europske unije mogu, u skladu s čl. 15. Direktive, donijeti zakonske mjere kojima će ograničiti opseg prava i obveza iz Direktive.  Takvo ograničenje mora predstavljati nužnu, prikladnu i razmjernu mjeru unutar demokratskog društva s ciljem zaštite nacionalne sigurnosti, obrane, javne sigurnosti te s ciljem sprečavanja, istrage, otkrivanja i progona kaznenih djela. Sve mjere moraju biti u skladu s općim načelima prava Europske unije, uključujući ona iz članka 6. st. 1. i 2. Ugovora o Europskoj uniji.

Što nam slijedi?

Postavlja se pitanje hoćemo li uskoro imati tehnološka rješenja i aplikacije za napredno praćenje ljudi, kao što je to bio slučaj u Kini. Važno je istaknuti da je tehnologija neutralna. Na ljudima je odluka kako će usmjeriti određenu tehnologiju. U tehnologiju koju danas koristimo i razvijamo zapravo implementiramo društvene vrijednosti. Europska unija je, kao udruženje država koje se temelji na demokratskim vrijednostima, nakon svjetskih ratova, odlučila poraditi na društvenim vrijednostima. Tako trenutačno imamo niz zaštićenih ljudskih prava i sloboda. Iz tog razloga se stav Europske unije u pogledu korištenja tehnologija razlikuje od nekih drugih država u kojima ne postoji demokratski sustav.

Pravo na privatnost i pravo na zaštitu osobnih podataka su temeljena ljudska prava. To znači da nisu apsolutna prava koja čovjek ima pod bilo kojim uvjetima. U praksi to izgleda da praćenje pojedinaca ovisi o riziku koji prijeti. Pa tako praćenje može biti pravna obveza ako neki zakon propisuje da je to nužno, kao što je slučaj kod policijskih istraga i nadzora sigurnosno-obavještajnog sustava. Također, praćenje lokacije može biti mjera od javnog interesa ako država iz određenih razloga smatra nužnim. Praćenje lokacije od privatnih kompanija je, u pravilu dozvoljeno, samo uz privolu pojedinca ili u sklopu pružanja određene usluge, a operatori javnih komunikacijskih mreža i usluga zadržavaju prometne podatke i podatke o lokaciji 12 mjeseci u svrhu zaštite obrane i nacionalne sigurnosti, u skladu s čl. 109. Zakona o elektroničkim komunikacijama.

Hitne izmjene zakona

Na sjednici 18.3.2020. Vlada Republike Hrvatske je predložila po hitnom postupku usvajanje prijedloga zakona o dopunama Zakona o elektroničkim komunikacijama.

Čl. 104. Zakona o elektroničkim komunikacijama.

“Podaci o lokaciji bez prometnih podataka, koji se odnose na pretplatnike ili korisnike javnih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga, mogu obrađivati samo u slučaju kada su učinjeni neimenovanima (anonimnima), ili na temelju prethodne privole pretplatnika ili korisnika usluga, na način i u razdoblju potrebnom za pružanje usluge s posebnom tarifom”.

Odredbama članka 104. nisu obuhvaćene situacije obrade podataka koji označavaju zemljopisni položaj terminalne opreme korisnika javno dostupne elektroničke komunikacijske usluge (“podaci o lokaciji”) bez prometnih podataka.

Vlada je predložila da se Zakon o elektroničkim komunikacijama dopuni odredbom članka 104.a. Odredba bi iznimno dopustila obradu podataka o lokaciji bez prometnih podataka u cilju zaštite nacionalne ili javne sigurnosti. Navedeno bi se provodila u precizno i jasno određenim slučajevima.

Zaključak

Ono što u određenom trenutku smatramo da ima legitiman cilj i da nam je potrebno u demokratskom društvu, ovisi o okolnostima i riziku koji nam prijeti. Preostaje nam za vidjeti tko i kako će nadalje provoditi obradu osobnih podataka u ovim izvanrednim okolnostima. U svakom slučaju, obrada osobnih podataka trebala bi biti osmišljena tako da bude u službi čovječanstva. Pravo na zaštitu osobnih podataka i pravo na privatnost nisu apsolutna prava. Mora ih se razmatrati u vezi s funkcijom u društvu te ih treba ujednačiti s drugim temeljnim pravima u skladu s načelom proporcionalnosti.

Marija Bošković Batarelo, mag.iur